Топ 5 кибер измами, които удрят българските фирми и хора точно сега
Alexander Sverdlov
Анализатор по сигурността
Накратко
- Измамите залагат на бързината, не на технологията. Почти всяка схема ви създава фалшива спешност (сметката ви е блокирана, пратката чака, фактурата е просрочена), за да ви накара да действате, преди да помислите. Едно обаждане за проверка спира повечето от тях.
- За фирмите най-скъпата схема е BEC. Компрометиран или имитиран имейл, който подменя IBAN в реална фактура, отнася средно най-големите суми. Защитата е процедурна, не техническа: проверка на нова банкова сметка по втори канал.
- Телефонната измама (vishing) е най-подценявана. Фалшив служител на банката или на сигурността ви убеждава сами да прехвърлите парите на сигурна сметка. Никоя истинска банка никога не иска това.
- Фалшивите магазини и куриерски връзки растат лавинообразно. Линк за дребно доплащане на доставка от Еконт или Спиди води към фалшива страница, която краде картовите ви данни. Никога не въвеждайте карта от връзка в SMS.
- Инвестиционните и крипто измами обещават доходност, която не съществува. Фалшиви платформи с реклами уж от известни българи източват спестявания постепенно, докато поискате да теглите.
- Първите часове след измама решават всичко. Незабавно обаждане до банката, смяна на пароли, сигнал до ГД БОП и, при изтекли лични данни на клиенти, уведомление до КЗЛД в срок до 72 часа. Подготовката предварително е по-евтина от всяка измама.
Обаждането дойде в петък следобед. Счетоводителката на малка строителна фирма беше платила фактура на дългогодишен доставчик, точно както правеше всеки месец. Разликата този път беше една: имейлът с фактурата идваше от истинския адрес на доставчика, езикът беше безупречен, сумата съвпадаше с договореното, а в текста учтиво се споменаваше, че фирмата е сменила банката си и молят превода да отиде по нов IBAN. Тя плати. Доставчикът така и не получи парите, защото имейл кутията му беше превзета седмици по-рано и нападателят просто беше изчакал реалната фактура, за да подмени само номера на сметката.
Когато разглеждахме случая след това, управителят зададе въпроса, който задават почти всички пострадали фирми: как изобщо можехме да го хванем? Честният отговор не беше нов антивирус или по-скъпа защитна стена. Беше едно телефонно обаждане до доставчика на познат номер, за да се потвърди новата сметка, преди да тръгнат парите. Нито една от петте измами в тази статия не разчита на гениална технология. Всички разчитат на това, че сте заети, че се доверявате на познато име и че в момента на решението няма да спрете за трийсет секунди да проверите.
Това е целта на тази публикация: да разпознавате петте схеми, които в момента нанасят най-много щети на български фирми и граждани, преди да сте в средата на една от тях. За всяка обясняваме как точно работи, защо е толкова убедителна, по какви конкретни признаци се хваща и какво да направите, ако вече е станало късно. Накрая даваме практичен план за защита на фирмата и ясни срокове за реакция, включително кога възниква задължение да сигнализирате ГД БОП и да уведомите КЗЛД.
Адресат на статията са собственици, управители, счетоводители и отговорници за сигурността в български малки и средни фирми, както и всеки, който иска да защити парите и данните си, без да става специалист по киберсигурност. Няма да има технически жаргон, който не ви трябва. Ще има конкретни действия, които работят.
Раздел 1
Защо измамите станаха толкова убедителни
Образът на измамника от преди десет години, чужденец с развален български и подозрителен имейл от непознат адрес, отдавна не отговаря на реалността. Днешните схеми срещу български цели са изпипани на език, който звучи местно и официално, използват реални имена на банки, институции и куриерски фирми, и често идват през канали, на които сте свикнали да се доверявате. Резултатът е, че разпознаването по принципа кое изглежда нередно вече не е достатъчно, защото нещата изглеждат напълно редно.
Три промени стоят зад този скок в качеството. Първата е достъпът до инструменти, които генерират граматически безупречен текст на български за секунди, така че характерните грешки, по които разпознавахме измамите, изчезнаха. Втората е количеството изтекли лични данни в обращение: имена, телефони, имейли и история на покупки, които позволяват на измамника да знае достатъчно за вас, за да звучи правдоподобно. Третата е специализацията: измамите вече се правят от организирани групи, които разделят труда и усъвършенстват сценариите си върху хиляди опити.
За българския контекст има и специфичен фактор. Малките фирми тук рядко имат собствен човек по сигурността, счетоводството често минава през една заета служителка с достъп до банкирането, а културата на проверка по втори канал не е изградена. Това прави фирмата уязвима не защото хората са невнимателни, а защото няма процедура, която да хване измамата, когато вниманието неизбежно се изчерпи в натоварен ден.
Измама 1
Фишинг и SMS измами от името на банка, НАП и куриер
Това е най-разпространената схема и тази, която почти всеки българин е виждал поне веднъж. Получавате имейл или SMS, който изглежда от банката ви, от НАП, от Български пощи или от куриерска фирма, с кратко спешно съобщение и една връзка. Текстът варира: сметката ви е временно ограничена и трябва да я потвърдите, имате надвзет данък за възстановяване, пратка чака доставка след дребно доплащане на митническа или куриерска такса. Връзката води към страница, която изглежда точно като истинската и иска да въведете данни за вход или картови данни.
Версията през SMS, наричана smishing, е особено ефективна, защото съобщенията изглеждат кратки и безобидни, а телефонът не показва адреса на връзката толкова ясно, колкото браузърът на компютъра. Класическият български пример е фалшиво съобщение уж от Еконт или Спиди с линк за доплащане на няколко лева за доставка. Сумата е нарочно дребна, за да не се замислите, но страницата зад нея краде пълните данни на картата ви, които после се използват за много по-големи плащания.
Защо работи: схемата комбинира познато име, на което се доверявате, с правдоподобен повод и фалшива спешност. Когато чакате реална пратка, съобщение за доплащане изглежда логично. Когато наближава краят на данъчната година, имейл от НАП не изненадва. Измамникът не ви убеждава в нещо абсурдно, а пасва на нещо, което вече очаквате.
По какво се хваща: връзката води към адрес, който прилича на истинския, но не е (например с допълнителни думи или различно окончание след името на банката). Истинските банки, НАП и куриерите никога не искат картови данни или парола през връзка в имейл или SMS. При най-малко съмнение не цъкайте връзката, а влезте ръчно в сайта или приложението, които вече ползвате, и проверете там.
За фирмите фишингът е особено опасен, защото една въведена служебна парола отваря достъп до фирмената поща, а оттам нататък следват по-сложните схеми от следващите раздели. Затова защитата срещу фишинг не е лична хигиена на отделния служител, а въпрос на цялата фирма: задължително двуфакторно удостоверяване на служебните акаунти, обучение на хората да разпознават признаците и ясно правило, че никой не въвежда служебни данни от връзка, получена по имейл.
Измама 2
BEC и фалшива фактура: тихата подмяна на IBAN
Тази схема носи най-малко заглавия, но отнася най-големите суми от българските фирми. Нарича се BEC, компрометиране на служебна кореспонденция, и в основата си е измама с подмяна на банкова сметка. Нападателят получава достъп до имейл кутията на едната страна по реална търговска връзка, обикновено чрез фишинг, наблюдава кореспонденцията седмици наред, научава тона, имената и ритъма на плащанията, и изчаква подходящия момент, за да се намеси.
Намесата е минимална и затова толкова успешна. Когато дойде реална фактура, измамникът я прехваща или изпраща почти идентична своя версия, в която е сменен само номерът на сметката, придружен с учтиво обяснение за смяна на банка. Всичко останало съвпада: подателят, сумата, описанието, дори историята на предишните съобщения. Счетоводителят, който плаща тази фактура всеки месец, няма основание да заподозре нещо и превежда парите на сметката на нападателя.
Защо работи: измамата не изисква да повярвате в нещо невероятно. Изисква да направите нещо, което и без това правите редовно, само че с друг номер на сметка. Няма граматически грешки, няма непознат подател, няма подозрителна връзка. Точно затова техническите защити рядко я улавят, а отговорността пада изцяло върху процедурата на фирмата.
Контролите, които спират BEC: задължителна проверка на всяка нова или променена банкова сметка чрез обаждане на предварително известен номер, не на номера от имейла; правило за двойно одобрение на преводи над определена сума; двуфакторно удостоверяване на цялата фирмена поща, за да не може кутията изобщо да бъде превзета; и яснота сред счетоводството, че смяна на IBAN по имейл винаги се потвърждава по втори канал, без изключения и без значение колко познат изглежда подателят.
Измама 3
Телефонна измама: фалшивият служител на банката
Телефонната измама, или vishing, е психологически най-изпипаната от петте, защото се води на живо и измамникът се адаптира към реакциите ви в реално време. Получавате обаждане от човек, който се представя за служител на банката ви, на отдел за сигурност или дори на полицията. Тонът е спокоен и професионален. Съобщават ви тревожна новина: засечен е опит за неоторизирано плащане от сметката ви, или акаунтът ви е компрометиран и парите ви са в опасност.
След това идва капанът. За да защитите парите си, ви казват, трябва спешно да ги прехвърлите на сигурна сметка, която те ще ви продиктуват, или да продиктувате код, който току-що сте получили по SMS, за да потвърдят самоличността ви. И двете искания водят до едно и също: вие сами, доброволно и със собствените си ръце, превеждате парите на измамника или му давате кода, с който той потвърждава своя превод от ваше име.
Защо работи: измамникът използва авторитет (служител на банката или полицай), страх (парите ви са в опасност) и спешност (трябва да действате веднага), за да изключи спокойната ви преценка. Колкото повече се паникьосвате, толкова по-малко мислите, а точно това е целта. Често измамниците разполагат и с част от данните ви, последните цифри на картата или скорошна покупка, които изтичат при предишни пробиви и служат, за да звучи обаждането автентично.
Златното правило: нито една истинска банка, институция или полиция никога няма да ви поиска да прехвърлите пари на сигурна сметка, да продиктувате код за потвърждение или да инсталирате приложение за отдалечен достъп. В мига, в който чуете някое от тези три искания, затворете телефона, без да се извинявате, и се обадете сами на банката си на официалния номер. Истински служител никога няма да се обиди от това.
Измама 4
Фалшиви онлайн магазини, обяви и куриерски връзки
Тази група схеми се храни от навика ни да пазаруваме онлайн. Тя има три основни форми. Първата е фалшивият онлайн магазин: красив сайт с невероятно ниски цени на търсени стоки, който приема плащане и или не доставя нищо, или открадва картовите данни. Втората е измамата през обяви в платформи като OLX и Bazar, при която уж купувач или продавач ви праща връзка за плащане или получаване на пари, която всъщност е фишинг страница. Третата е куриерската връзка, която вече споменахме, за дребно доплащане на доставка.
Общото между трите е, че точката на удара е страницата за плащане. Стигате до нея от реклама, от съобщение или от линк в обява, страницата изглежда професионално и иска данните на картата ви. След като ги въведете, измамникът разполага с всичко необходимо, за да направи плащания от ваше име, понякога веднага, понякога след дни, когато вече сте забравили за дребната сума, която сте очаквали да платите.
За търговците тази измама има и втора страна. Ако управлявате собствен онлайн магазин, същите групи атакуват и вас: чрез фалшиви поръчки с откраднати карти, чрез върнати плащания, които ви оставят без стока и без пари, и чрез внедряване на зловреден код в страницата ви за плащане, който краде картите на вашите реални клиенти. Защитата на собствения магазин е отделна тема, но започва от поддържане на платформата актуална, ограничаване на достъпа до администрацията и наблюдение за неоторизирани промени по кода.
Как да се пазите: никога не въвеждайте картови данни от връзка, получена в SMS или съобщение, а отидете ръчно до сайта на куриера или магазина. Проверявайте онлайн магазина за реални контакти, БУЛСТАТ и отзиви, преди да платите. За покупки от обяви предпочитайте плащане при доставка с преглед. Ползвайте отделна карта с нисък лимит за онлайн пазаруване или виртуална карта, така че дори при кражба загубата да е ограничена. И включете известия за всяко плащане, за да хванете нередност веднага.
Измама 5
Инвестиционни и крипто измами
Последната схема цели спестяванията, а не дребните суми, и затова щетите по нея често са най-тежки за отделния човек. Започва с реклама в социалните мрежи, нерядко с фалшиво участие на известен българин или с измислена новинарска статия, която обещава лесна и сигурна доходност от инвестиция в крипто или акции. Оставяте телефон, след което ви звъни любезен консултант, който ви води през регистрация в платформа, изглеждаща професионално, с табло, графики и нарастващи числа.
В началото всичко изглежда наред. Внасяте малка сума, виждате я как расте, дори може да ви позволят да изтеглите малка печалба, за да изградят доверие. После консултантът ви насърчава да внесете повече, защото моментът бил уникален. Когато решите да изтеглите по-сериозна сума, започват пречките: данъци, такси, проверки, които трябва да платите предварително, и в крайна сметка платформата спира да отговаря, а парите ги няма, защото никога не е имало реална инвестиция.
Защо работи: схемата експлоатира желанието за по-добра доходност в среда на ниски лихви и изгражда доверие постепенно, със същата психология като всяка финансова пирамида. Ранната малка печалба, която ви позволяват да изтеглите, е инвестиция на измамника в това да повярвате, преди да внесете сериозните пари. Колкото по-професионално изглежда платформата, толкова по-опасна е, защото външният вид е единственото истинско нещо в нея.
Признаците: гарантирана или необичайно висока доходност без риск, натиск да внесете бързо или повече, изискване да платите такси предварително, за да изтеглите собствените си пари, реклами с известни личности, които препоръчват инвестицията, и платформа, която не е лицензиран инвестиционен посредник. Преди да инвестирате, проверете дали дружеството е под надзора на финансовия регулатор. Сигурната доходност без риск не съществува, а който ви я обещава, ви лъже.
Раздел 7
Какво да правите: защита за фирмата и план при инцидент
Доброто в петте схеми е, че всичките се спират от една и съща малка група дисциплинирани навици. Не ви трябва скъпа технология, а няколко правила, които да станат рефлекс за вас и за екипа ви. На ниво фирма това означава задължително двуфакторно удостоверяване на цялата служебна поща и банкиране, процедура за проверка на всяка нова банкова сметка по втори канал, двойно одобрение за по-големи преводи, кратко обучение на служителите да разпознават фишинг и vishing, и ясно правило, че спешността сама по себе си е причина за повече предпазливост, а не за по-малко.
Когато измамата все пак мине, първите часове са решаващи. Реакцията по ясна последователност често е разликата между възстановена сума и пълна загуба, и между дребен инцидент и изтичане на клиентски данни, което носи регулаторни последствия. По-долу е планът, който даваме на клиентите си.
Има и регулаторно измерение, което фирмите често пропускат. Ако в резултат на измамата изтекат лични данни на ваши клиенти или служители, например когато превзета фирмена поща съдържа техни данни, възниква задължение по GDPR да уведомите КЗЛД в срок до 72 часа от узнаването, а при висок риск и самите засегнати хора. Чисто финансова загуба на фирмата без засягане на лични данни не поражда това задължение, но границата невинаги е очевидна, затова при по-сериозен инцидент е разумно да се консултирате навреме.
Фирмите, които преминават през такива инциденти без тежки последствия, не са по-щастливи от останалите. Те просто са взели предварително няколко решения с голям ефект: включили са 2FA навсякъде, въвели са проверка по втори канал за плащанията, обучили са хората си и знаят кого да наберат в първия час. Това е достижимо за всяка малка фирма в рамките на няколко седмици и скромен бюджет, и е несравнимо по-евтино от една успешна измама.
Често задавани въпроси
Шест въпроса, които чуваме най-често
Как да проверя дали SMS или имейл наистина е от банката ми?
Най-сигурният подход е никога да не се доверявате на връзката в самото съобщение и да проверявате по канал, който вие контролирате. Не цъкайте линка и не звъннете на номера, посочен в съобщението. Вместо това отворете официалното мобилно приложение на банката или въведете адреса на сайта ѝ ръчно в браузъра и проверете там дали наистина има съобщение или действие, което се изисква от вас. Ако искате да говорите с банката, наберете номера от гърба на картата си или от официалния сайт. Помнете основното правило: истинска банка никога няма да ви поиска парола, пълни картови данни или код за потвърждение през имейл, SMS или телефонно обаждане. В мига, в който видите такова искане, третирайте съобщението като измама, независимо колко автентично изглежда. Дребните детайли в адреса на връзката, допълнителни думи или различно окончание след името на банката, също издават измамата, но дори когато адресът изглежда правилен, ръчната проверка през приложението остава най-надеждна.
Преведох пари на измамник. Какво да направя веднага?
Действайте по минути, защото времето е всичко. Първо се обадете незабавно на банката си, обяснете, че сте жертва на измама, и поискайте спиране или отзоваване на превода. В първите часове, особено ако получаващата сметка е в същата или в българска банка, понякога преводът все още може да бъде блокиран или върнат, преди парите да бъдат изтеглени. Ако сте дали данни на картата си, блокирайте я веднага през приложението или с обаждане. Второ, ако сте въвели парола, сменете я незабавно навсякъде, където я ползвате, и включете двуфакторно удостоверяване. Трето, подайте сигнал в полицията, конкретно в Главна дирекция Борба с организираната престъпност, която разследва киберизмамите, и запазете всички доказателства: имейли, съобщения, екранни снимки, номера на сметки и часове. Четвърто, ако сте фирма и измамата е довела до достъп до данни на клиенти, преценете задължението за уведомяване на КЗЛД. Колкото по-бързо минете през тези стъпки, толкова по-голям е шансът за частично или пълно възстановяване.
Кога трябва да уведомя ГД БОП и кога КЗЛД?
Това са две различни задължения с различна логика. Сигналът до полицията, и по-конкретно до Главна дирекция Борба с организираната престъпност, е уместен при всяка измама, при която сте загубили пари или са ви откраднати данни, независимо дали сте физическо лице или фирма. Той служи за разследване и е необходим, ако искате институциите да проследят парите и евентуално да ги възстановят. Уведомяването на КЗЛД е отделно и възниква само когато инцидентът засяга лични данни на физически лица. Ако например фишинг превземе фирмената ви поща, в която се съхраняват имена, имейли или други данни на клиенти и служители, по GDPR имате задължение да уведомите КЗЛД в срок до 72 часа от момента, в който сте узнали за пробива, а при висок риск за хората и да информирате самите засегнати. Чисто финансова загуба на фирмата, без засягане на лични данни, не поражда задължение към КЗЛД, но поражда основание за сигнал до полицията. При по-сложни случаи, където не е ясно дали лични данни са компрометирани, по-разумно е да приемете, че са, и да се консултирате навреме, отколкото да пропуснете срока.
Как да защитя служителите си от BEC и фалшиви фактури?
Защитата срещу BEC е предимно процедурна, а не техническа, защото имейлът в тази схема често е напълно истински и нито един антивирус не вижда нищо нередно. Най-силната единична мярка е проста: всяка нова или променена банкова сметка на доставчик се потвърждава задължително с обаждане на предварително известен номер, преди да тръгне какъвто и да е превод, и никога на номер, посочен в самия имейл. Към това добавете правило за двойно одобрение на преводи над определена сума, така че нито един човек да не може сам да изпрати голямо плащане. Включете двуфакторно удостоверяване на цялата фирмена поща, за да не може кутия изобщо да бъде превзета, защото точно превзетата поща дава на измамника достъп до реалната кореспонденция. Обучете счетоводството и всеки с достъп до банкирането да разпознават схемата и да приемат смяната на IBAN по имейл като сигнал за повишено внимание, не като рутина. И създайте култура, в която проверката по втори канал не се възприема като недоверие към доставчика, а като нормална част от процеса. Тези мерки струват малко и спират най-скъпата измама за фирмите.
Отговорна ли е банката да ми върне парите?
Зависи изцяло от това как точно е станала загубата, и тук разликата е съществена. Когато плащане е извършено без вашето знание и съгласие, например при откраднати картови данни, които някой използва без вие да сте потвърждавали транзакцията, обикновено имате по-силна позиция, защото правилата за неоторизирани плащания предвиждат защита за потребителя. Когато обаче вие сами сте оторизирали превода, дори подведени от измамник, например при телефонна измама, при която сте прехвърлили парите доброволно, или при подменен IBAN, който сте платили сами, позицията е значително по-слаба, защото от гледна точка на банката нареждането е дошло от вас. Това не означава, че нямате никакъв шанс: ако сигнализирате много бързо, банката понякога може да спре или върне превода, преди парите да бъдат изтеглени, а в някои случаи се прилагат и допълнителни защити. Но именно защото авторизираните измами се възстановяват трудно, превенцията и бързата реакция са далеч по-надеждни от разчитането банката да поеме загубата. Документирайте всичко, сигнализирайте веднага и потърсете съдействие, но не залагайте предварително на това, че сумата ще ви бъде върната.
Малка фирма сме без ИТ отдел. Откъде да започнем?
Точно малките фирми без собствен ИТ човек печелят най-много от няколко прости стъпки, защото при тях една измама боли най-силно, а защитата струва най-малко. Започнете от три неща, които можете да направите тази седмица. Първо, включете двуфакторно удостоверяване на цялата служебна поща и на банкирането, защото това спира превземането на акаунти, което стои в основата на повечето сериозни схеми. Второ, въведете писмено правило за проверка на всяка нова банкова сметка по втори канал и за двойно одобрение на по-големи преводи, и се уверете, че всеки с достъп до плащанията го знае. Трето, отделете половин час да обучите екипа си на признаците на фишинг и телефонна измама от тази статия и им дайте ясно разрешение да спират и да проверяват, дори когато някой създава спешност. Тези три стъпки покриват по-голямата част от риска. След това, когато имате готовност, добавете тестване на резервните копия, кратък план за реакция при инцидент с ясни първи стъпки и контакт на специалист, на когото да се обадите при нужда. Не е необходимо да изграждате всичко наведнъж. Важното е да започнете от мерките с най-голям ефект, а те са евтини и достъпни за всяка фирма.
Александър Свердлов
Основател на Atlant Security. Автор на 2 книги за информационна сигурност, лектор по киберсигурност на най-големите конференции по киберсигурност в Азия и панелист на конференция на ООН. Бивш член на екипа за консултации по сигурността на Microsoft, външен консултант по киберсигурност в Емиратската корпорация за ядрена енергия.