CEO Fraud in prestreženi računi: Kako zavarovati podjetje pred finančnimi prevarami?

Dve različni tveganji, ki ju podjetja pogosto zamešajo

Ko podjetje sklene kibernetsko zavarovanje, običajno pričakuje zaščito pred »hekerji«. Ta predstava je zožena. V praksi obstajata dve povsem različni vrsti kibernetske škode, ki jih zavarovalna stroka obravnava ločeno.

1. Vdor v informacijski sistem. Napadalec izkoristi tehnično ranljivost, šifrira podatke, ukrade osebne podatke ali ohromi proizvodnjo. Škoda nastane na sistemih in v obliki izpada. To je jedro klasične Cyber police, ki jo podrobno razčlenjujemo v članku Kibernetsko zavarovanje za podjetja.

2. Preslepitev človeka (socialni inženiring). Sistem ni napaden. Napadalec z lažno identiteto, ponarejenim e-poštnim naslovom ali prestreženo komunikacijo doseže, da zaposleni sam izvede nakazilo na račun storilca. Denar zapusti podjetje po veljavnih internih postopkih, z veljavnim podpisom in veljavnim bančnim ključem.

Razlika ni akademska. Prav ta razmejitev odloča, ali bo škoda krita. Večina standardnih pogojev Cyber police krije škodo, ki izvira iz nepooblaščenega dostopa do sistema. Nakazilo, ki ga je pooblaščena oseba izvedla prostovoljno, temu opisu ne ustreza – tudi če je bilo ozadje nedvomno kriminalno.

O stalno naraščajočem obsegu tovrstnih prevar in aktualnih vzorcih napadov redno poroča SI-CERT prek portala Varni na internetu, splošne informacije o zavarovalnih produktih in trgu pa objavlja Slovensko zavarovalno združenje.

Anatomija napada: kako v resnici poteka CEO Fraud

Napad skoraj nikoli ni improviziran. Poteka v štirih fazah, ki lahko trajajo tudi več tednov.

Faza 1 – Izvidnica. Napadalec zbere javno dostopne podatke: sodni register, letno poročilo, objave na LinkedInu, spletno stran podjetja z organizacijsko shemo, objave o novih poslih. Ugotovi, kdo je direktor, kdo vodi finance, kdo dejansko odobrava plačila in kdaj je direktor odsoten (dopust, sejem, službena pot v tujino).

Faza 2 – Vstop v komunikacijo. Uporabi se ena od treh tehnik:

• Spoofing – ponarejen prikazni naslov pošiljatelja, ki je videti kot direktorjev.
• Podobna domena – registrirana domena z zamenjano črko (rn namesto m, l namesto I), ki je v naglici skoraj neopazna.
• Prevzem poštnega predala (BEC) – napadalec dejansko dostopa do poštnega predala dobavitelja ali zaposlenega in bere korespondenco v realnem času. To je najnevarnejša oblika, saj je vsebina sporočila pristna.

Faza 3 – Sprožilec. Pri CEO Fraud gre za nujno, zaupno nakazilo: »sredi pogajanj za prevzem sem, ne komuniciraj z nikomer, nakazilo mora biti izvedeno danes do 14. ure«. Sporočilo je jezikovno korektno, sklicuje se na resnične notranje okoliščine in izkorišča hierarhijo.

Pri prevari s spremembo bančnega računa je scenarij bolj prefinjen: napadalec počaka na pravi račun pravega dobavitelja, ga prestreže, spremeni le IBAN in ga posreduje naprej. Vse ostalo – številka računa, znesek, specifikacija, podpis – je pristno. Pogosto pošlje še spremno sporočilo: »obveščamo vas o spremembi poslovne banke«.

Faza 4 – Izplen in izginotje. Sredstva se v nekaj urah razpršijo prek več računov v različnih državah ali kriptovalutnih menjalnicah. Realna možnost povrnitve po 48 urah pade skoraj na nič.

Pomembno spoznanje za vodstvo: v tem procesu ni tehnične napake, ki bi jo IT lahko preprečil. Zato je odgovor procesen in zavarovalen, ne zgolj tehnološki.

Zakaj osnovna polica tega ne krije: primerjava kritij

Spodnja tabela prikazuje, kako različne police obravnavajo isti dogodek – nakazilo 180.000 EUR na lažni IBAN dobavitelja.

Tri ugotovitve, ki jih pri pregledih polic srečamo najpogosteje:

1. Klavzula za socialni inženiring ni samodejno vključena. Če v polici ni izrecno navedena, kritja ni – ne glede na višino glavnega limita.
2. Podlimit je bistveno nižji od glavnega limita. Podjetje z limitom 2 mio EUR ima pogosto le 100.000 EUR za socialni inženiring, kar pri tipični velikosti nakazila v B2B ne zadošča.
3. Kritje je pogojeno s postopkom. Skoraj vse zavarovalnice zahtevajo dokazljiv callback: telefonski klic na predhodno znano številko dobavitelja (nikoli na številko iz spornega sporočila) pred prvim nakazilom na nov IBAN. Brez zapisa o preverjanju je škoda zavrnjena zaradi kršitve varnostne zahteve iz police.

Za razumevanje, kako se izključitve in podlimiti sistematično pregledujejo, priporočamo članek Revizija zavarovalnih polic.

Študija primera: prestrežen račun kooperanta

Podjetje. Slovenski proizvajalec kovinske opreme, 62 zaposlenih, 14 mio EUR prometa, redni kooperant iz Italije.

Potek. Napadalci so pridobili dostop do poštnega predala italijanskega kooperanta in tri tedne spremljali korespondenco. Ko je bil izstavljen račun za 186.400 EUR za dobavo, so ga prestregli, spremenili IBAN v madžarski račun in poslali naprej z opombo o »prehodu na novo poslovno banko zaradi reorganizacije«. Sporočilo je prišlo iz pravega naslova, v isti niti korespondence, z enakim podpisom in enakim jezikom.

Računovodkinja je račun uskladila z dobavnico, vodja nabave ga je potrdil, direktor podpisal. Postopek je bil izveden po pravilih – le da pravila niso predvidevala preverjanja spremembe IBAN.

Odkritje. Enajst dni kasneje je kooperant poslal opomin za neplačan račun.

Ukrepi in izid:

Dvojna posledica je tisto, kar podjetja najbolj preseneti: plačilo na lažni račun ne izpolni obveznosti do dobavitelja. Podjetje je torej izgubilo 165.100 EUR in hkrati ostalo dolžno prvotni znesek.

Kaj bi spremenila ustrezna polica. Klavzula Social Engineering Fraud s podlimitom 250.000 EUR in odbitno franšizo 10.000 EUR bi ob dokazanem callback postopku pokrila približno 155.000 EUR. Letni strošek te razširitve pri primerljivem podjetju je reda velikosti nekaj sto do nekaj tisoč evrov – torej pod enim odstotkom nastale škode.

Kaj mora biti zapisano v vaši polici in v vaših postopkih

Na polici preverite naslednjih sedem točk:

1. Social Engineering Fraud je izrecno naveden kot krito nevarnost, ne le omenjen v opisu produkta.
2. Višina podlimita je usklajena z vašo največjo tipično transakcijo, ne s povprečno.
3. Kritje velja tudi za poosebljanje dobavitelja in stranke, ne le vodstva podjetja.
4. Vključen je Invoice Manipulation za primere, ko napadalec v vašem imenu izda ponarejen račun vaši stranki.
5. Opredeljena je odbitna franšiza in način njenega obračuna po posameznem dogodku.
6. Jasno je zapisan zahtevani postopek preverjanja – kaj natančno zavarovalnica šteje za veljavno verifikacijo.
7. Dogovorjeni so roki prijave in 24/7 kontaktna točka zavarovalnice.

V podjetju uvedite pet kontrol, ki so hkrati pogoj kritja:

• Obvezni callback ob vsaki spremembi bančnega računa dobavitelja, na predhodno znano telefonsko številko iz pogodbe. Klic se zabeleži (datum, ura, sogovornik, oseba, ki je klicala).
• Pravilo štirih oči za vsa nakazila nad določenim pragom (priporočeno 10.000 EUR).
• Prepoved odstopanja od postopka zaradi nujnosti. Nujnost je najpogostejši sprožilec prevare; postopka ne sme razveljaviti nihče, niti direktor po e-pošti.
• Tehnične kontrole poštnega prometa (SPF, DKIM, DMARC) in vidno označevanje zunanjih sporočil.
• Redno usposabljanje računovodstva, nabave in tajništva s praktičnimi simulacijami. Zapisnik usposabljanja je hkrati dokaz skrbnosti v postopku likvidacije škode.

Ob sumu prevare ravnajte v tem vrstnem redu: nemudoma zahtevajte recall pri svoji banki, obvestite banko prejemnika, podajte prijavo policiji, obvestite SI-CERT, prijavite škodo zavarovalnici in zavarujte dokaze (izvorna e-sporočila z glavami, zapisi o odobritvi). Vsaka ura zamude bistveno zmanjša možnost povrnitve sredstev.

Vodstvo naj upošteva še eno razsežnost: če je do izgube prišlo zaradi odsotnosti osnovnih kontrol, lahko lastniki ali nadzorni svet naslovijo zahtevek na poslovodstvo. Ta izpostavljenost sodi v D&O polico – podrobneje v članku D&O zavarovanje in odgovornost direktorjev, regulativni vidik kibernetske skrbnosti pa v članku Direktiva NIS2 in osebna odgovornost vodstva.

Kot neodvisni zavarovalni posrednik pri Trendsvetu pregledamo vaše obstoječe police, ugotovimo, ali je socialni inženiring dejansko krit, in pridobimo primerljive ponudbe več zavarovalnic po enakih izhodiščih. Naročite pregled polic.