Scenarij
CNIL lažni nalog za nakazilo, imenovan »prevara z lažnim direktorjem«, opisuje v več fazah. Goljuf zbere podatke o podjetju: organigram, stranke, dobavitelje. Pripravi lažno ime domene, podobno imenu podjetja ali dobavitelja, ali si prisvoji identiteto zaposlenega. Nato piše ali pokliče, pri čemer se izdaja za direktorja ali dobavitelja, z zahtevo, predstavljeno kot nujno in odobreno na najvišji ravni.
Različice so si podobne:
- nepričakovano, nujno in zaupno nakazilo, ki ga zahteva lažni direktor ali lažni odgovorni v skupini;
- dobavitelj, ki napove spremembo bančnega računa za naslednje račune;
- lažni račun, s pravim zneskom in v pravi obliki;
- lažni nadzor državnega organa, ki nato služi za pisanje strankam podjetja z novim bančnim računom, scenarij, ki ga opisuje francosko ministrstvo za gospodarstvo.
Vzvod je vedno človeški: nujnost, skrivnost, avtoriteta. Ministrstvo za gospodarstvo svetuje, naj ne ukrepate v naglici, tudi ob vztrajnem sogovorniku, in naj bodo podjetja še posebej pozorna med počitnicami, ko računovodstvo deluje v okrnjeni zasedbi.
Primer v ponazoritev. V petek pozno popoldne računovodkinja MSP prejme sporočilo »generalnega direktorja«: zaupen prevzem, odvetnik, ki bo poklical, nakazilo, ki ga je treba izvesti pred ponedeljkom. Sporočilo nima ne priponke ne povezave. Prikazno ime je pravilno, naslov ni. Tehnično nič ni »okuženo«.
Štiri oblike lažnega predstavljanja, ne ena
| Oblika | Kako je videti | SPF, DKIM, DMARC | Kaj jo lahko zazna |
|---|
| Lažno prikazno ime | »Claire Martin, generalna direktorica« piše z brezplačnega e-poštnega naslova | Veljavni za pravo domeno pošiljatelja; DMARC prikaznega imena ne obravnava | Primerjava med prikazanim imenom, naslovom in imeni vodilnih v domeni |
| Podobna domena | Podvojena črka, vezaj, druga končnica | So lahko popolni za podobno domeno | Podobnost z vašo domeno ali domeno dobavitelja, starost domene, ugled |
| Vaša točna domena, poslana od drugod | Prikazani naslov je pravi | DMARC ne uspe; sporočilo ustavi, če to zahteva politika domene | Preverjanje DMARC ob prejemu |
| Dejansko ogrožen račun | Sporočilo prihaja iz pravega nabiralnika direktorja ali dobavitelja | Vse je veljavno | Sprememba vedenja, vsebina (nov bančni račun) in predvsem postopek preverjanja |
Specifikacija DMARC to sama navaja: ne obravnava vizualno podobnih domen niti zlorabe prikaznega imena. Trije primeri od štirih se torej izognejo avtentikaciji domene. Podrobnosti so v SPF, DKIM in DMARC, primer ukradenega računa pa v neželena pošta, phishing, zlonamerna programska oprema in ogrožen račun.
Kaj tehnika ustavi
- Točno zlorabljeno domeno, kadar domena objavlja politiko DMARC s karanteno ali zavrnitvijo.
- Podobno domeno, s primerjavo z vašo domeno, domenami vaših dobaviteljev in znanimi blagovnimi znamkami ter s starostjo domene: domena, ustvarjena prejšnji teden, ki posnema vašo, je močan signal.
- Zavajajoče prikazno ime, kadar filter ve, kdo so vodilni v podjetju, in prikazano ime primerja z dejanskim naslovom.
- Znane scenarije: zahteva za nujno nakazilo, sprememba bančnih podatkov, lažni račun, poziv, naj pokličete določeno številko. Filter lahko te vzorce prepozna v besedilu, tudi brez priponke ali povezave.
- Nepravilnost: stalni dobavitelj, ki nenadoma piše iz druge države, ob drugi uri, z zahtevo, ki je še nikoli ni postavil.
Pogosto spregledano: filter privzeto ne ve, kdo je vaš direktor ali kdo so vaši dobavitelji. Ta kontekst, imena vodilnih in stalni dobavitelji, mu omogoča, da prepozna lažnega direktorja.
O čem tehnika ne odloča
Filter zmanjša število lažnih sporočil, ki prispejo. Ne potrjuje plačil. Dejansko ogrožen račun, verjetna zahteva, podobna domena, ki je ni na seznamih: sporočilo lahko pride skozi. Zadnja pregrada je postopek.
Refleksi, ki jih zapišite v postopek
- Vsako spremembo bančnih podatkov potrdite po že znani poti: s klicem na številko dobavitelja iz vaše dokumentacije, nikoli na tisto iz sporočila. CNIL priporoča, da znane kontakte pokličete po telefonu ali jih obiščete osebno.
- Dvojna potrditev nad določenim pragom, s strani dveh oseb, od katerih ena ni v isti izmenjavi sporočil.
- Nujnost in skrivnost sta opozorilna znaka, ne razloga za hitrejše ukrepanje. Pravi direktor sprejme povratni klic.
- Posodobljen seznam kontaktov dobaviteljev in strank, kot priporoča CNIL, da veste, koga poklicati.
- Povečana pozornost v času počitnic, zaključnega računa ali organizacijskih sprememb.
- Rezervacija domen, podobnih vaši, in dvofaktorska avtentikacija za e-pošto, ukrepa, ki ju navaja CNIL.
Kdo mora poznati ta pravila
Ne le računovodstvo. Poslovni asistenti, nabavniki, osebe, ki vodijo kartice dobaviteljev, in tisti, ki nadomeščajo odsotne, so naravne tarče scenarija, ker imajo dostop do plačil ali bančnih podatkov. CNIL priporoča, da zaposlene ozaveščate, naj preverjajo imena domen in so previdni pri neobičajnih zahtevah. Pisno pravilo, kratko, znano vsem in redno ponavljano, je vredno več od ustnega navodila: zaposlenemu omogoča, da lažnemu direktorju reče »ne«, ne da bi se bal, da ga bodo zatajili.
Če je goljufivo nakazilo že odšlo: takoj pokličite banko in poskušajte nakazilo preklicati, ohranite sporočila, vložite kazensko ovadbo. Obvestite tudi stranke ali dobavitelje, katerih ime je bilo zlorabljeno.
Pogosta vprašanja
Ali DMARC zadostuje proti prevari z lažnim direktorjem?
Ne. Ustavi točno zlorabo vaše domene, ne pa podobne domene ali prikaznega imena. Glejte SPF, DKIM in DMARC.
Ali je lahko sporočilo brez priponke in povezave nevarno?
Da. Prevara z nakazilom potrebuje le verodostojno besedilo in osebo, ki ga izvrši.
Sporočilo prihaja s pravega naslova dobavitelja: ali je varno?
Ne nujno: njegov račun je lahko ukraden. Glejte ogrožen račun. Odloči preverjanje po telefonu.
Sporočilo s prevaro je bilo postavljeno v karanteno: ali ga moram sprostiti, da preverim?
Ne. Preverite pri znanem kontaktu, ne da bi ga sprostili. Glejte Karantena, lažni pozitivni rezultati in prijave.
Kje je Klytic
Klytic MTA to zaščito razdeli med svoja paketa. Deluje pred katerim koli e-poštnim sistemom, brez Klytic Mail.
| Zaščita | Essential | Advanced |
|---|
| Preverjanje SPF, DKIM, DMARC, tudi za posredovana sporočila | Da | Da |
| Zloraba blagovne znamke, podobne domene, lažno prikazno ime | Da | Da |
| Neobičajno vedenje pošiljatelja | Da | Da |
| Prevara z lažnim direktorjem | Ne | Da |
| Lažni računi, lažna nakazila, kripto, vračila, financiranja, telefonski klici | Ne | Da |
| Opozorilo SMS, ko piše pomemben pošiljatelj | Dodatna možnost | Dodatna možnost |
Kontekst prevar domene (imena vodilnih, stalni dobavitelji) nastavi skrbnik domene: glejte Kdo nastavlja filter v Klytic MTA.
Česa Klytic MTA ne naredi: ne potrjuje plačil in ne nadomesti vašega postopka za nakazila. Ne vidi neposrednega telefonskega klica, le sporočila, ki pozivajo h klicu.
Ta stran opisuje splošne ukrepe. Ne nadomešča nasvetov vaše banke niti pristojnih organov v primeru dejanske prevare.
Viri
Pregledano oktobra 2026.
- CNIL, »Le faux ordre de virement international ou fraude au président«: potek napada (zbiranje podatkov, podobna domena, nujna zahteva), preventivni ukrepi (povratni klic znanim kontaktom, postopki potrjevanja, rezervacija podobnih domen, dvofaktorska avtentikacija). cnil.fr
- Francosko ministrstvo za gospodarstvo, »Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président«: nakazilo, predstavljeno kot nujno in zaupno, izdajanje za državni organ za napoved spremembe bančnega računa, ne ukrepati v naglici, pozornost med počitnicami. economie.gouv.fr
- RFC 7489, DMARC: zunaj obsega mehanizma so vizualno podobna imena domen in zloraba prikaznega imena. rfc-editor.org
- Klytic, stran Klytic MTA: razdelitev zaščite pred finančnimi prevarami med paketa Essential in Advanced, dodatne možnosti, načini namestitve, vzpostavitev prek zapisa MX. klytic.com
