Business email compromise (BEC), czyli kompromitacja firmowej poczty e-mail, to odrębna kategoria przestępstw finansowych, a nie wariant phishingu, którego celem przypadkowo stali się menedżerowie wysokiego szczebla. Phishing odnosi sukces, gdy skłoni kogoś do kliknięcia czegoś, czego nie powinien klikać. Business email compromise działa bez całego tego mechanizmu: cały atak to starannie przygotowana wiadomość e-mail z prośbą do konkretnej osoby o wykonanie czynności, która wydaje się w pełni naturalna w trakcie normalnego dnia pracy. Największe incydenty mogą wiązać się z przelewem sześciocyfrowych kwot w ramach jednej transakcji, a zanim ktokolwiek się zorientuje, pieniądze zazwyczaj opuściły już kraj.

Nie pojawiają się żadne sygnały, na które zwykle zwraca uwagę filtr antyspamowy czy dobrze przeszkolony pracownik. To właśnie odróżnia business email compromise od zwykłego phishingu i dlatego ogólna świadomość na temat prób wyłudzenia informacji niewiele może zdziałać, by go powstrzymać. Pokażemy Ci, jak rozpoznać atak typu business email compromise i chronić swoją organizację.

Czym jest business email compromise?

Business email compromise to ukierunkowany atak, w którym przestępca podszywa się pod osobę cieszącą się zaufaniem ofiary — zazwyczaj kadrę zarządzającą wyższego szczebla, dostawcę lub współpracownika z firmy — i prosi o przelew bankowy, zmianę szczegółów płatności lub poufne dane logowania.

W takim ataku zazwyczaj nie występuje złośliwe oprogramowanie(nowe okno) ani szkodliwy link. Różni się natomiast sposób fałszowania tożsamości nadawcy, a atakujący mają więcej możliwości, niż większość osób przypuszcza:

  • Domeny łudząco podobne: atakujący rejestruje domenę niemal identyczną z prawdziwą, zamieniając pojedynczą literę lub dodając myślnik, i liczy na to, że nikt nie przyjrzy się dokładnie adresowi.
  • Spoofing nazwy wyświetlanej: nazwa wyświetlana w polu „Od” zostaje ustawiona tak, aby odpowiadała zaufanej osobie — na przykład „Jan Kowalski” — podczas gdy rzeczywisty adres jest zupełnie inny. Wiele mobilnych aplikacji pocztowych domyślnie pokazuje tylko nazwę wyświetlaną, przez co prawdziwy adres nawet nie pojawia się na ekranie.
  • Spoofing nagłówka: protokół SMTP, który przesyła wiadomości e-mail, sam z siebie nie weryfikuje nagłówka „From”, więc atakujący może wysłać wiadomość rzekomo pochodzącą z prawdziwego adresu, wcale nie mając nad nim kontroli. To, czy trafi ona do skrzynki odbiorczej, zależy od tego, jak przebiegnie uwierzytelnianie domeny odbierającej.
  • Manipulacja adresem odpowiedzi: widoczny adres nadawcy wygląda autentycznie, ale w tle ustawiony jest inny adres Reply-To, więc w momencie, gdy odbiorca kliknie „odpowiedz”, wątek zostaje po cichu przekierowany do atakującego.
  • Przejęcie konta: atakujący uzyskuje dostęp do prawdziwego konta e-mail i wysyła prośbę bezpośrednio z niego.

Ostatni z tych scenariuszy — przejęcie konta — jest najtrudniejszy do wykrycia, ponieważ z technicznego punktu widzenia z wiadomością wszystko jest w porządku. Została wysłana z prawdziwego adresu w autentycznej niestandardowej domenie e-mail i może nawet kontynuować wątek, w którym odbiorca brał już udział.

Jak działa schemat ataku business email compromise

Ataki business email compromise są skrupulatnie planowane, a nie improwizowane, i to właśnie faza przygotowań pochłania zazwyczaj większość wysiłku przestępcy.

Rozpoznanie

Wszystko zaczyna się od rekonesansu: profile na LinkedInie ujawniają stanowiska i strukturę podległości, komunikaty prasowe firmy informują o fuzjach, rundach finansowania czy nowych relacjach z dostawcami, a automatyczna odpowiedź o nieobecności może dać atakującemu ten jeden szczegół, którego potrzebuje najbardziej — potwierdzenie, że prawdziwy dyrektor jest w tej chwili nieosiągalny.

Wybór celu

Następnie atakujący przechodzi do wyboru celu. Nie każdy pracownik jest przydatny podczas próby ataku business email compromise; celem musi być osoba mająca uprawnienia do zlecania przelewów lub modyfikowania szczegółów płatności, co zazwyczaj zawęża grono do działu finansów, rozliczeń, kadr lub płac.

Rozpoczęcie podszywania się

Po wybraniu celu i wiarygodnego scenariusza następuje podszywanie się — albo za pomocą podrobionej domeny, albo rzeczywiście przejętej skrzynki pocztowej — z zachowaniem tonu, podpisu i stopnia formalności, jakimi posługuje się prawdziwy nadawca.

Nawiązanie kontaktu

Atakujący kontaktuje się z kimś w firmie, przedstawiając pilną prośbę lub żądanie. Może to być przejęcie firmy, które musi zostać sfinalizowane jeszcze dzisiaj, audytor potrzebujący natychmiastowych danych lub współpracownik w podróży, z którym nie można skontaktować się telefonicznie.

Zazwyczaj prośba dotyczy przelewu bankowego, zmiany szczegółów konta bankowego lub danych logowania — przedstawiona w sposób sugerujący, że to rutynowe działanie, którego nie należy kwestionować.

Cztery typowe scenariusze business email compromise

Oto kilka najczęstszych taktyk stosowanych przez atakujących w ramach business email compromise.

Oszustwo na prezesa

Wiadomość e-mail rzekomo pochodzi od dyrektora generalnego, dyrektora zarządzającego lub innego członka kierownictwa z prośbą do pracownika działu finansowego o realizację pilnej, często poufnej płatności. Pozorny autorytet nadawcy odgrywa tu kluczową rolę, ponieważ niewielu pracowników czuje się swobodnie, kwestionując polecenie, które wygląda na pochodzące od najwyższego kierownictwa.

Oszustwo na fakturę

Dotychczasowy dostawca firmy rzekomo informuje o zmianie szczegółów rachunku bankowego — zwykle w terminie tuż przed terminem płatności prawdziwej faktury. Ponieważ istnieją autentyczne relacje biznesowe i rzeczywista płatność do wykonania, ten wariant jest często najtrudniejszy do wykrycia przez dział finansowy i odpowiada za jedne z najwyższych pojedynczych strat raportowanych przez przedsiębiorstwa.

Przekierowanie wynagrodzenia

Wiadomość e-mail od osoby podszywającej się pod pracownika lub dział kadr zawiera prośbę do działu płac o zaktualizowanie szczegółów rachunku bankowego przed najbliższą wypłatą. Prośba jest na tyle drobna i rutynowa, że rzadko wzbudza podejrzenia — i właśnie dlatego bywa tak skuteczna.

Podszywanie się pod wsparcie IT

Wiadomość podszywająca się pod wewnętrzny dział IT lub helpdesk prosi pracownika o potwierdzenie hasła lub zatwierdzenie monitu logowania przed aktualizacją systemu. W przeciwieństwie do pozostałych trzech scenariuszy celem nie są bezpośrednio pieniądze, lecz dane logowania, które ułatwiają przeprowadzenie każdej innej formy ataku business email compromise.

Ile naprawdę kosztuje business email compromise

Straty wynikające z ataków typu business email compromise raportuje się inaczej niż zwykłe oszustwa kartowe, co po części tłumaczy, dlaczego tak łatwo zbagatelizować skalę tego problemu. Centrum ds. Przestępczości Internetowej FBI odnotowało 2,77 mld dolarów(nowe okno) strat w wyniku ataków business email compromise w ramach 21,442 zgłoszonych incydentów w 2024 roku, a łączne straty na świecie w wyniku tego procederu w ciągu ostatniej dekady przekraczają 55 mld dolarów(nowe okno). Średnie statystyczne nie oddają jednak pełnego obrazu sytuacji. Głośne przypadki pokazują, do czego może doprowadzić pojedyncza, starannie spreparowana wiadomość e-mail.

W latach 2013–2015 litewski oszust wyłudził od firm Facebook i Google łącznie 121 mln dolarów(nowe okno) za pomocą fałszywych faktur od podmiotu podszywającego się pod Quanta Computer — dostawcę sprzętu, z którego usług rzeczywiście korzystały obie firmy. Ponieważ faktury wpisywały się w istniejące relacje biznesowe, zespoły księgowe opłacały je nieprzerwanie przez dwa lata.

W 2016 roku austriacki dostawca komponentów lotniczych FACC padł ofiarą wiadomości e-mail, w której nadawca podszył się pod ówczesnego dyrektora generalnego, żądając przelewu w wysokości około 50 mln euro(nowe okno) na rzekomy projekt akwizycji — dokładnie według scenariusza opisanego na początku tego artykułu. Część przelewu udało się firmie wstrzymać po wykryciu oszustwa, ale reszty środków nigdy nie odzyskano.

Przypadki te obrazują kategorię przestępstw, która wymyka się standardowym statystykom phishingu. Próby wyłudzenia informacji mierzy się wolumenem: milionami niemal identycznych wiadomości e-mail, z których większość filtr zatrzymuje, zanim ktokolwiek je zobaczy.

Business email compromise mierzy się w pojedynczych incydentach — z których każdy jest zaplanowany pod kątem konkretnego celu i pojedynczej płatności, i każdy jest w stanie w jedno popołudnie wyrządzić większe szkody niż tysiąc zablokowanych phishingowych wiadomości e-mail.

Każda organizacja, która w przeszłości realizowała przelewy bankowe lub zmieniała dane bankowe dostawcy, powinna traktować to jako realne ryzyko finansowe i zgłaszać podejrzane incydenty do swojego krajowego centrum zgłaszania oszustw — IC3 FBI w Stanach Zjednoczonych, Action Fraud w Wielkiej Brytanii lub ich odpowiedników w innych krajach.

Procedury i zabezpieczenia, które skutecznie powstrzymują business email compromise

Ponieważ ataki business email compromise omijają techniczne sygnały ostrzegawcze, na których opierają się szkolenia antyphishingowe, metody ich zwalczania również muszą być inne. Świadomość pomaga, ale obrona, która naprawdę zdaje egzamin, ma charakter proceduralny i techniczny — nie chodzi jedynie o to, by pracownicy uważniej czytali wiadomości e-mail.

Podwójna autoryzacja

Podwójna autoryzacja każdej płatności powyżej określonego progu musi być bezwzględnym obowiązkiem, a nie opcjonalnym gestem, gdy komuś przypomni się o weryfikacji. Zgoda jednej osoby nigdy nie powinna wystarczać do przelania znaczącej kwoty pieniędzy — bez względu na to, jak wysokie stanowisko zajmuje zlecający i jak pilna wydaje się prośba.

Weryfikacja zwrotna

Weryfikacja zwrotna zamyka lukę, której sam e-mail nie jest w stanie zabezpieczyć. Każda prośba o zmianę szczegółów konta bankowego lub realizację płatności powinna zostać potwierdzona telefonicznie, przy użyciu numeru z bazy kontaktów, a nigdy tego podanego w samej wiadomości — numer podany przez atakującego po prostu połączy Cię z powrotem z oszustem.

Przegląd procedur zatwierdzania płatności

Regularne przeglądy procedur zatwierdzania płatności pomagają również z czasem zmniejszyć ryzyko business email compromise. W miarę rozwoju firm tymczasowe wyjątki i nieformalne skróty często stają się częścią codziennej pracy, a nikt nie weryfikuje, czy nadal są bezpieczne. Sprawdzanie, kto może autoryzować płatności, jak zatwierdzane są zmiany szczegółów rachunków bankowych i które transakcje wymagają dodatkowej weryfikacji, pomaga zapewnić, że mechanizmy kontroli finansowej odpowiadają aktualnemu poziomowi ryzyka w organizacji. Nawet najlepiej zaprojektowane procedury tracą skuteczność, jeśli nie są aktualizowane wraz z rozwojem biznesu.

Uwierzytelnianie poczty e-mail

Techniczne uwierzytelnianie poczty e-mail to kluczowy element bezpieczeństwa poczty, który ma tutaj szczególne znaczenie — znacznie większe niż w przypadku większości zwykłego phishingu, ponieważ ataki business email compromise często opierają się na podszywaniu pod domenę własnej organizacji, aby podszyć się pod jej kadrę kierowniczą.

DMARC, działając wraz z SPF i DKIM, informuje serwery pocztowe odbiorców, co zrobić z wiadomościami, które nie przeszły pomyślnie uwierzytelniania w Twojej domenie. Dzięki temu atakującemu znacznie trudniej jest wysłać wiadomość, która wygląda tak, jakby pochodziła od Twojego prezesa.

Otwarta kultura bezpieczeństwa

Żadne z tych rozwiązań nie zadziała bez fundamentalnej zasady kultury organizacyjnej: wstrzymanie się i zweryfikowanie prośby jest zawsze dopuszczalne, bez względu na to, kto wydaje się być nadawcą. Pracownicy, którzy obawiają się, że wyjdą na osoby utrudniające pracę lub nieufne wobec przełożonych, są dokładnie tymi celami, w które celuje atak business email compromise. Ten strach znika dopiero wtedy, gdy kierownictwo wielokrotnie i wyraźnie daje do zrozumienia, że kwestionowanie nietypowych poleceń jest oczekiwane, a nie odbierane jako brak lojalności.

Jak rozpoznać sygnały ostrzegawcze próby ataku business email compromise

Atak business email compromise rzadko zdradza się oczywistymi, technicznymi znakami ostrzegawczymi. Wiadomość może pochodzić ze znanego adresu, odnosić się do prawdziwego projektu i posługiwać się językiem zgodnym z dotychczasowymi wątkami korespondencji. Dlatego kontekst prośby ma często większe znaczenie niż sama wiadomość e-mail.

Podczas analizy incydentów business email compromise powtarza się kilka schematów. Prośba ominięcia standardowych procedur zatwierdzania powinna zawsze wzbudzać czujność. Podobnie jak nieoczekiwane polecenie zachowania poufności płatności, zmiana szczegółów konta bankowego dostawcy tuż przed terminem płatności faktury czy wiadomości wysyłane wtedy, gdy członek kierownictwa jest w podróży i trudno się z nim skontaktować. Atakujący celowo wybierają sytuacje, w których pracownicy mają mniejsze szanse na zweryfikowanie prośby innym kanałem.

Drobne zmiany w stylu komunikacji mogą być również cenną wskazówką. Przełożony, który zwykle deleguje zatwierdzanie wydatków, nagle sam prosi o realizację płatności. Dostawca, który zazwyczaj kontaktuje się przez dedykowanego opiekuna klienta, przesyła instrukcje dotyczące rachunku bankowego z innego adresu. Żaden z tych znaków nie stanowi jednoznacznego dowodu ataku, ale każdy powinien skłonić do dodatkowej weryfikacji przed wysłaniem pieniędzy lub zmianą szczegółów konta.

Najbezpieczniejszym podejściem jest traktowanie nietypowych żądań finansowych jako wyjątków od procesów biznesowych, a nie sytuacji wymagających natychmiastowych decyzji. Krótki telefon pod zaufany numer lub potwierdzenie przez sprawdzony, wewnętrzny kanał komunikacji może zapobiec stratom, których odzyskanie zajęłoby tygodnie lub miesiące.

Jak przejęte dane logowania ułatwiają atak business email compromise?

Nie każda próba ataku business email compromise opiera się na podszywaniu pod domenę. Czasami zaczyna się od autentycznie przejętego konta e-mail, na które atakujący po prostu zalogował się przy użyciu hasła, które wyciekło w innym miejscu.

Gdy atakujący znajdzie się w środku, nie musi niczego udawać. Może czytać archiwalne wątki, idealnie dopasować styl i formatowanie oraz wysłać fałszywą prośbę z adresu, który przejdzie każde uwierzytelnianie — ponieważ to rzeczywiście konto należące do nadawcy.

W tym miejscu higiena haseł bezpośrednio łączy się z zapobieganiem atakom business email compromise. Narzędzie Proton Data Breach Observatory monitoruje, jak często firmowe dane logowania trafiają do baz przestępców na długo przed tym, zanim ktokolwiek w poszkodowanej firmie to zauważy — a przejęcie konta to bezpośredni rezultat takich wycieków.

Bezpieczna firmowa poczta e-mail, unikalne hasła na każdym koncie w połączeniu z uwierzytelnianiem wieloskładnikowym (MFA) sprawiają, że hasło ujawnione w jednym wycieku nie może zostać wykorzystane do zalogowania się do skrzynki pocztowej i zainicjowania ataku business email compromise od środka.

Menadżer haseł dla firm, taki jak Proton Pass for Business, sprawia, że utrzymanie takiego standardu w całej organizacji staje się w pełni wykonalne i nie zależy wyłącznie od pamiętania przez poszczególnych pracowników o nieużywaniu tego samego hasła. Gdy dane logowania są odpowiednio generowane i przechowywane, podatności na naruszenia danych oraz przejęcia kont ulegają znacznemu zmniejszeniu.

Chroń swoje konta firmowe przed przejęciem za pomocą bezpiecznego menadżera haseł dla firm.