BEC-hyökkäys ja tilinumeron muutos: Tunnista toimittajapetos

Tämä skenaario on jokaisen talousjohtajan ja CISO:n pahin painajainen. Taloushallintonne saa sujuvan ja asiallisen sähköpostiviestin tutulta alihankkijalta. Lähettäjän osoite on täysin aito, viestipohja vastaa brändiohjeistusta ja viesti liittyy saumattomasti aiempaan keskusteluketjuun. Asia vaikuttaa rutiininomaiselta: kyseessä on pankkiyhteyden ja IBAN-tilinumeron päivitys seuraavaa laskua varten. Todellisuudessa yhteistyökumppanin sähköpostitili on kaapattu. Kyseessä on klassinen ja vaarallinen BEC-hyökkäys (Business Email Compromise) eli toimitusjohtaja- tai toimittajapetos.

Tällaisessa kohdennetussa sosiaalisessa manipuloinnissa sähköpostin tekniset suodattimet (kuten SPF, DKIM ja DMARC) eivät hälytä, koska tekninen lähettäjätili on oikea ja legitiimi. Viestissä ei ole haitallisia linkkejä eikä saastuneita liitetiedostoja, jotka paljastaisivat huijauksen. Organisaation ainoa puolustuslinja on talous- ja reskontratiimin tarkkaavaisuus sekä tinkimätön sisäisten varmennusprosessien noudattaminen.

Miten torjua toimittajapetos, kun sähköpostiviesti on aito?#

Lyhyesti: Kun toimittajan tili on kaapattu, torju BEC-petos tekemällä aina toissijainen puhelinvarmistus erikseen tarkistettuun numeroon, tunnistamalla poikkeuksellinen kiirehtiminen ja vaatimalla kahden hengen hyväksyntä kaikkiin maksutietojen muutoksiin.

Kun rikollinen ottaa yrityksen sähköpostitilin haltuunsa, hän saattaa seurata viestintää päivien ajan taustalla. Hän tarkkailee odottavia laskuja, allekirjoitusoikeuksia ja viestinnän sävyä. Tässä vaiheessa tekniset estojärjestelmät eivät enää riitä. Ennen kuin maksumääräys lähtee pankkiin, organisaation on nojattava pettämättömiin toimintamalleihin ja inhimilliseen valppauteen:

• Pakollinen toissijainen varmistus (Out-of-Band): Tämä on ehdoton kultainen sääntö. Jokainen sähköpostitse saapuva pyyntö muuttaa toimittajan IBAN-tilinumeroa tai maksutietoja täytyy varmistaa soittamalla tutulle yhteyshenkilölle. Puhelinnumero on otettava sisäisestä toimittajarekisteristä (ERP, alkuperäinen sopimus), ei koskaan saapuneen viestin allekirjoituksesta tai liitetiedostosta.
• Kahden hengen hyväksyntäperiaate: Pankkitietojen muuttaminen taloushallintojärjestelmässä tulee vaatia kahden eri henkilön erillisen hyväksynnän sen jälkeen, kun virallinen varmistus on dokumentoitu.
• Varmennettu varayhteyskanava: Jos vakiintunut yhteyshenkilö ei vastaa puhelimeen, ota yhteys kumppaniyrityksen viralliseen vaihteeseen ja pyydä yhdistämään taloushallintoon tai yritysjohtoon.

Mitkä käyttäytymisen merkit paljastavat kaapatun sähköpostin?#

Lyhyesti: Paljastavia merkkejä ovat perusteeton kiire, poikkeavaan maahan rekisteröity pankkitili, sähköpostilaatikkoon luodut salaiset edelleenlähetyssäännöt ja kieltäytyminen suorasta puhelinkeskustelusta tapaamisiin tai matkoihin vedoten.

Vaikka hyökkääjä hallinnoi oikeaa sähköpostilaatikkoa, hän tekee lähes aina hienovaraisia virheitä käyttäytymisessään. Aika ja kiire ovat hyökkääjän tärkeimmät aseet: varat on saatava siirrettyä ennen kuin laatikon todellinen omistaja huomaa murron.

Tärkeimmät heikot signaalit laskutuksessa

Seuraavien poikkeamien tulee aina nostaa hälytyskellot reskontrassa:

• Yllättävä kiire: Viestissä painotetaan kireää eräpäivää, kirjanpidon sulkemista tai palvelun välitöntä keskeyttämistä, jotta vastaanottaja ei ehtisi suorittaa normaaleja tarkistuksia.
• Ristiriitaiset pankkitiedot: Suomalainen sopimuskumppani ilmoittaa tilinumeron, jonka maatunnus viittaa toiseen maahan tai toimintaan liittymättömään verkkopankkiin.
• Puhelujen välttely: Jos yrität soittaa lähettäjälle, hyökkääjä vastaa nopeasti sähköpostilla olevansa palaverissa, matkoilla tai sairaana, ja vaatii asian hoitamista vain kirjallisesti.
• Muuttunut sävy tai kieli: Poikkeukselliset fraasit, epätyypilliset kirjoitusvirheet tai epätavallinen tuttavallisuus voivat paljastaa, että viestin takana on eri henkilö.

Paras tapa valmentaa henkilöstö tunnistamaan nämä vivahteet on toistuva harjoittelu todellisissa tilanteissa. Simulaattoriratkaisu, kuten asiantuntijoidemme kanssa käyttöönotettava Super Phisher, tutustuttaa taloushallinnon tiimit edistyneisiin sosiaalisen manipuloinnin skenaarioihin, jotka mallintavat todellisia toimittajapetoksia.

Miten toimia, jos maksu on jo lähetetty väärälle tilille?#

Kun maksu on hyväksytty vilpilliselle tilille, jokainen minuutti ratkaisee. Rikollisverkostot siirtävät ja pesevät varat eteenpäin usein vain muutamassa tunnissa. Selkeä toimintamalli talousjohdon ja tietoturvatiimin välillä mahdollistaa välittömän reagoinnin.

Hätätilanteen toimintaohje

Kun epäilys herää tai petos vahvistuu:

1. Ilmoita välittömästi omaan pankkiin: Ota heti yhteys pankkinne maksuliikenne- ja petososastoon ja pyydä varojen hätäpalautusta (recall-prosessi).

2. Ilmoita CISO:lle ja tietohallinnolle: Eristä viestit, tallenna sähköpostien täydet otsikkotiedot (header-tiedot) ja varmista, onko samaa viestiä lähetetty muille organisaation työntekijöille.

3. Varoita kumppaniyritystä: Ilmoita kaapatun yrityksen johdolle puhelimitse, jotta heidän IT-tiiminsä voi palauttaa tilin hallinnan, katkaista aktiiviset istunnot ja poistaa mahdolliset salaiset edelleenlähetyssäännöt.

4. Tee ilmoitus viranomaisille: Tee rikosilmoitus Poliisille ja ilmoitus Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskukselle (NCSC-FI). Toimita viranomaisille kaikki tekniset tiedot (IP-osoitteet, IBAN-tiedot ja alkuperäiset .eml-muotoiset sähköpostit).

Maksuliikenteen turvaaminen vaatii organisaatiolta pelkkiä ohjeistuksia syvempää toimintakulttuurin muutosta. Ota yhteyttä tiimiimme ja suunnitellaan yhdessä talous- ja hallintotiimeillenne mitoitettu koulutuskokonaisuus, joka suojaa organisaationne varat ja prosessit.

BRAIN SECURITY KÄYTÄNNÖSSÄ · Super Phisher

Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut#

Aiheeseen liittyvät artikkelit

• Typosquatting ja homoglyfihyökkäykset: Miten opettaa henkilöstö lukemaan URL-osoitteita (Phishing & Social Engineering) : Opi tunnistamaan typosquatting ja homoglyfihyökkäykset. Valmenna henkilöstö havaitsemaan vaaralliset URL-osoitteet ja torjumaan tietojenkalastelu tehokkaasti.
• Väärennetyt tiedostonjaot ja sähköiset allekirjoitukset: B2B-organisaatioiden uusi ansa (Phishing & Social Engineering) : Opi torjumaan tiedostonjako- ja allekirjoitushuijaukset, AiTM-hyökkäykset sekä istuntokaappaukset yritysympäristössä Traficomin suositusten mukaisesti.
• Sosiaalinen manipulointi ammatillisissa verkostoissa: Kun valeura kätkee tietomurron (Phishing & Social Engineering) : Opi miten kyberrikolliset hyödyntävät ammatillisia verkostoja, virittävät valetyötarjouksia asiantuntijoille ja murtavat yrityksen suojauksen.
• HR ja rekrytointi kyberkohteena: Tunnista haitalliset CV:t ja deepfake-työnhakijat (Industries & Roles) : Suojaa HR-tiimisi saastuneilta ansioluetteloilta, vaarallisilta portfolioilta ja tekoälypohjaisilta deepfake-videotyönhakijoilta. Lue ohjeet.

Tutustu Brain Securityn ratkaisuihin verkkosivuillamme

• Liittyvä ratkaisu : Super Phisher : Realistiset tietojenkalastelusimulaatiot (Super Phisher): opeta henkilöstö tunnistamaan ja ilmoittamaan huijausviestit.
• Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan
• Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme
• Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan
• Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)