BEC-мошенничество: как работают фейковые письма от директора и счета

Короткий ответ

BEC (Business Email Compromise) — мошенничество, при котором злоумышленник выдает себя за руководителя, поставщика или партнера и убеждает сотрудника перевести деньги на чужой счет. В таких письмах часто нет вирусов и ссылок, поэтому спам-фильтры их пропускают. Атака бьет не по технике, а по процессу оплаты и доверию.

Главная защита — не программа, а правило: любой платеж на новые или измененные реквизиты подтверждается по независимому каналу и проходит через второго сотрудника.

Как это работает

Злоумышленнику нужен правдоподобный повод и адрес, которому поверят. Варианты адреса:

• поддельный домен, отличающийся одной буквой: company-uz.com вместо company.uz;
• бесплатная почта с именем директора в поле отправителя;
• реально взломанный ящик сотрудника или поставщика — самый опасный вариант, письмо приходит в существующую переписку;
• подмена адреса для ответа (Reply-To), чтобы ответ ушел мошеннику.

Перед атакой мошенники изучают компанию: сайт, соцсети, новости, кто директор, кто бухгалтер, с какими поставщиками работаете.

Типичные сценарии

Письмо от «директора». «Я на встрече, не могу говорить. Нужно срочно оплатить счет партнеру, детали ниже. Никому пока не говорите — сделка конфиденциальная».

Смена реквизитов поставщика. «У нас сменился банк, оплату по текущему счету переведите на новые реквизиты». Часто приходит из взломанного ящика настоящего поставщика, прямо в ветке обсуждения реального заказа.

Поддельный счет. Счет, похожий на настоящий, от знакомого подрядчика, но с другим номером счета получателя.

«Юрист» или «аудитор». Письмо от имени внешнего консультанта, сопровождающего якобы секретную сделку.

Запрос данных. Вместо денег просят выгрузку зарплатных данных или документов сотрудников — для следующих атак.

Тревожные признаки

• Срочность и давление: «до конца дня», «иначе сорвется сделка».
• Просьба о секретности и обходе обычного порядка.
• Новые реквизиты, особенно в другой стране или на другое юрлицо.
• Руководитель «недоступен по телефону», хотя обычно отвечает.
• Адрес отправителя или Reply-To отличается от привычного, пусть и на один символ.
• Необычный стиль, обращение, подпись.
• Сумма чуть ниже порога, после которого требуется дополнительное согласование.

Процедура проверки платежей

Внедрите для бухгалтерии письменный регламент:

1. Обратный звонок. Любое изменение реквизитов подтверждается звонком по номеру из договора или справочника компании, а не из письма.
2. Принцип четырех глаз. Платеж на новые реквизиты или выше определенной суммы согласует второй сотрудник.
3. Реестр реквизитов. Реквизиты поставщиков хранятся в отдельном справочнике, изменения в нем вносятся только после проверки.
4. Срочность — не повод пропустить проверку. Руководитель заранее и публично заявляет: «Я никогда не попрошу обойти процедуру».
5. Пауза для новых реквизитов. Первый платеж на новый счет проходит только после подтверждения, даже если это задерживает оплату.
6. Быстрая эскалация. Сотрудник знает, к кому идти с подозрительным письмом, и не боится «побеспокоить» директора.

Технические меры

Процедура важнее, но техника снижает число попыток:

• 2FA на всех почтовых ящиках, чтобы их сложнее было взломать;
• настройка SPF, DKIM и DMARC для вашего домена — так сложнее подделать письма от вашего имени;
• пометка внешних писем в почтовом клиенте;
• оповещения о новых правилах пересылки в ящиках — взломщики часто создают их, чтобы читать переписку;
• регистрация похожих доменов, если ваш бренд часто подделывают.

Если деньги уже ушли

• Немедленно свяжитесь со своим банком и попросите отозвать или заморозить платеж: чем быстрее, тем больше шансов.
• Сообщите в правоохранительные органы.
• Проверьте почтовые ящики на взлом: смените пароли, проверьте правила пересылки и активные сессии.
• Предупредите поставщика, если атака шла от его имени.