Фішингові листи з підробленим рахунком: як захистити бухгалтерію від підміни реквізитів, правила оплати, DMARC і двофакторний захист

Бухгалтер отримує лист «від постійного постачальника»: реквізити змінилися, оплатіть новий рахунок сьогодні. Лист виглядає як завжди, гроші йдуть шахраям, а повернути їх майже не вдається. Тоді керівник питає, де була діра. Чи то була пошта, люди чи правила оплати? Тут фішингові листи з підробленим рахунком розібрано в трьох шарах захисту: поштовий домен, процес оплати й команда. Наприкінці чек-лист на одну сторінку і план на перші години, якщо гроші вже пішли.

Як працюють фішингові листи з підміною реквізитів і чому вони так часто спрацьовують

Шахрайство через ділове листування, або BEC, це обман, у якому зловмисник імітує чи зламує робочу скриньку, щоб перенаправити платіж. У поширеній версії він спостерігає за справжнім листуванням із постачальником, а потім надсилає наступний рахунок з іншим номером рахунку. Підроблений рахунок спрацьовує, бо в ньому немає нічого дивного: ланцюжок справжній, тон звичний, сума очікувана. Фішингові схеми не потребують зламу: листи можуть бути чистими, а рахунок підробленим. Платіж іще й проходить між двома відділами, і кожен вважає, що перевірив інший.

Шар 1: захист домену за допомогою SPF, DKIM і DMARC

Що робить кожен запис

• SPF перелічує сервери, яким дозволено надсилати пошту від імені вашого домену.
• DKIM підписує кожен лист, щоб отримувач бачив, що його не змінено.
• DMARC каже приймальним серверам, що робити, коли SPF або DKIM не проходять: спостерігати, відправляти в карантин чи відхиляти.

В огляді Microsoft про шахрайство через ділову пошту DMARC названо серед заходів, що знижують підробку вашого домену. Запускайте DMARC у режимі спостереження, кілька тижнів читайте звіти, виправляйте законних відправників і лише потім переходьте до карантину та відхилення. Правильне налаштування DMARC захистить клієнтів від листів з вашим іменем, але не зупинить шахрая з подібного домену, тому наступні два шари так само важливі.

Захист скриньок

Увімкніть двофакторний захист. Зробіть це для кожної скриньки, позначайте листи ззовні компанії та перевіряйте правила пересилання, адже зловмисники часто ховають там копії листів. Рекомендації Секретної служби США дають ту саму пораду й додають реєстрацію схожих доменних імен. Налаштування поштової автентифікації та політик доступу входить до наших послуг DevOps і безпеки.

Шар 2: правила оплати, що зупиняють підміну реквізитів навіть за ідеального листа

1. Зміна реквізитів приймається лише після дзвінка за номером із договору, а не з листа.
2. На новий рахунок діє пауза перед першою оплатою.
3. Платежі вище встановленої суми потребують двох підписів різних людей.
4. Дані постачальника змінює один призначений співробітник, а не той, хто отримав лист.
5. Платник надсилає постачальнику повідомлення з назвою банку та останніми цифрами рахунку.

Запит	Обов’язкова перевірка
Нові банківські реквізити постачальника	Дзвінок за номером із договору, другий погоджувач
Термінова оплата «сьогодні»	Пауза й підтвердження другим каналом
Керівник просить переказ поштою	Підтвердження особисто чи телефоном до оплати

Правила оплати працюють, бо не залежать від того, чи виглядає лист підозріло. Фінансовий відділ дотримується їх навіть за бездоганного тексту. Вони зупиняють підроблений рахунок ще на вході, а зміна реквізитів без дзвінка перестає бути можливою.

Шар 3: коротка інструкція для бухгалтерії, асистентів і керівників

Напишіть одну сторінку. Тримайте її поруч з екраном оплати. У ній сказано, хто може змінювати дані постачальника, який канал підтверджує зміну, що робити з терміновим проханням керівника і кого попередити про підозрілий лист. Двічі на рік проводьте коротке тренування з нешкідливим тестовим листом і просіть повідомляти про нього протягом години, а не видаляти, щоб повідомлення стало звичкою, а не приводом для ніяковості. Керівникам та їхнім асистентам потрібна та сама інструкція. Підроблений запит від імені директора це класична версія схеми, і підміна реквізитів нерідко б’є спершу по асистенту.

AI-листи й голосові підробки: що змінилося і які перевірки більше не працюють

ШІ робить шахрайські листи гладкими й особистими, тому порада «шукайте помилки в тексті» більше не захищає. Те саме стосується знайомого голосу в слухавці, адже голос можна імітувати. Спирайтеся на процес: дзвінок за відомим номером, другий погоджувач і письмова заявка на зміну. Бездоганно написаний лист, який усе ж просить обійти процедуру, і є сигналом тривоги.

Якщо гроші вже пішли: перші години, банк, поліція та повідомлення

1. Одразу зателефонуйте до банку, повідомте про шахрайський переказ і попросіть відкликати чи заморозити його.
2. Зверніться до поліції каналом, не пов’язаним зі зламаною поштою.
3. Змініть паролі й збережіть оригінальні листи як докази.
4. Повідомте про випадок національний орган з кіберзлочинності або, якщо ви в США, Центр скарг на інтернет-злочини IC3.
5. Сповістіть страхову компанію та постачальника, від чийого імені писали.

Швидкість вирішує. Тримайте на чек-листі номер антифрод-лінії банку та відповідального за кожен крок.

Чек-лист на одну сторінку для фінансового відділу

• SPF, DKIM і DMARC налаштовано, звіти читаються.
• Двофакторний захист увімкнено для кожної скриньки.
• Зміна реквізитів підтверджується дзвінком за відомим номером.
• Великі платежі потребують двох погоджувачів.
• Команда знає інструкцію на одну сторінку й план на випадок втрати грошей.

Якщо рахунки надходять поштою потоком, посібник з автоматизації обробки рахунків покаже, як додати автоматичні перевірки, а чек-лист безпеки сайту закриває решту цифрового периметра.

Замовити перевірку поштового домену до наступної підміни реквізитів

Ви можете замовити перевірку поштового домену як коротке окреме завдання. Ми дивимося SPF, DKIM і DMARC, двофакторний захист і процес оплати та даємо короткий список рекомендацій.