Nie je šéf ako “šéf”… Falošný e-mail, ktorý mohol prísť aj vám

Niektoré podvody prichádzajú potichu. Bez vírusov, výhražných tónov či červených výkričníkov.

Svoje o tom vieme aj u nás v ASData, kde sa nám stal prípad, ktorý by ste možno čakali skôr od kyberzločincov útočiacich na veľké banky. Niekto sa totižto rozhodol, že sa bude vydávať za nášho šéfa, a nie hocijako.

„Dobrý deň,
máte chvíľku čas? Rád by som s vami spolupracoval na dôležitej úlohe. Odpovedzte na môj e-mail a uveďte prosím svoje osobné telefónne číslo, aby som vám mohol poskytnúť viac informácií.
Ďakujem.
Štefan Chochláč”

Daný e-mail bol vcelku dôkladne pripravený. Meno a podpis sedeli, tón komunikácie bol neutrálny a primeraný ponuke spolupráce. Jediným rozdielom bola neoficiálna adresa odosielateľa, ktorá nesedela s našou firemnou doménou. Miesto nej prišiel e-mail z adresy priacovnymail@gmail.com.

E-mail síce neobsahoval žiadne vírusy alebo škodlivé prílohy, len zdvorilú ponuku na spoluprácu. To však mohlo byť len prvým krokom plánu podvodu. Vytvoriť dôveru, aby neskôr prišli oveľa zákernejšie požiadavky, napr. odkazy na škodlivý softvér, žiadosti o citlivé informácie či falošné faktúry.

Takýto typ útoku sa nazýva e-mailová impersonácia (angl. e-mail impersonation), teda predstieranie identity niekoho iného, a to v online priestore. Útočníci vytvoria e-mail, ktorý vyzerá, že je od dôveryhodnej osoby… či už je to šéf, kolega, klient alebo známa značka.

Nejde vždy o hacknutie účtu. Väčšinou si podvodník len vytvorí podobnú adresu (napr. s inou doménou alebo jedným pozmeneným písmenkom) a očakáva, že príjemca si to nevšimne. Bohužiaľ, v mnohých prípadoch sa mu to podarí.

Podobné prípady zažívajú veľké spoločnosti ako Tatra banka, Microsoft, Facebook či Google. V ich mene kolujú podvodné e-maily, ktoré žiadajú zadanie údajov, potvrdenie platieb či kliknutie na odkaz.

Aj keď nás to neteší, uvedomujeme si, že ak sa to stalo nám, relatívne menšej firme, môže sa to stať komukoľvek. Aj práve preto sme sa rozhodli o tom hovoriť nahlas.

Zhrnuli sme tak niekoľko zásad, ktoré pred podobnými situáciami môžu ochrániť nielen vás, ale aj vašu firmu:

1. Vždy si skontrolujte e-mailovú adresu
   Nenechajte sa oklamať tým, ako sa e-mail zobrazuje v prehľade. Kliknite na meno odosielateľa a pozrite si skutočnú adresu. Ak nesedí s oficiálnou firemnou doménou, spozornite.
2. Overujte si zvláštne požiadavky
   Ak vám váš školega, šéf či klient napíše niečo, čo nie je bežné, zavolajte mi alebo napíšte cez inú platformu, napr. Slack, Teams, SMS atď.
3. Neposielajte cez e-mail citlivé údaje
   Nikdy! Ani heslá, ani osobné údaje a už vôbec nie platobné informácie.
4. Používajte firemné e-maily s vlastnou doménou
   Adresy typu meno@nazovfirmy.sk sú dôveryhodnejšie a zároveň ťažšie zneužiteľné.
5. Zapnite si dvajfaktorové overenie (2FA)
   Týka sa to nielen e-mailov, ale aj všetkých účtov, kde je to možné. Znížite tak riziko, že niekto získa prístup k vášmu účtu.

V (online) svete, kedy e-mail dokáže veľmi jednoducho oklamať aj skúseného používateľa, sa dnes viac než inokedy oplatí byť paranoidne opatrný.

My v ASData sme si to zažili na vlastnej koži a aj preto sme sa rozhodli, že na túto skúsenosť upozorníme verejne. Nie zo strachu, ale preto, že jediná skutočná obrana je informovanosť. Dajte si pozor na to, kto vám píše a slepo neverte žiadnej správe, aj keď prichádza zo zdanlivo dôveryhodného zdroja.

Máte podobnú skúsenosť alebo otázky o online bezpečnosti? Napíšte nám alebo sa spojte s odborníkmi. Váš digitálny priestor si zaslúži byť chránený.