Un e-mail fals, o factură reală și 76.250 de euro dispăruți. Cum funcționează frauda „Man-in-the-Middle”

O firmă din Alba Iulia a virat 76.250 de euro într-un cont controlat de escroci, după ce aceștia s-au interpus în corespondența cu un partener străin. Factura era plauzibilă, suma era așteptată, iar mesajul părea trimis de furnizor. Singurul element schimbat a fost cel care conta: IBAN-ul.

Atacatorul nu trimite mesajul la întâmplare

Poliția spune că autorii au folosit adrese de e-mail similare celor reale și au transmis ambelor firme modificarea datelor bancare.

Asta indică mai degrabă o fraudă de tip Business Email Compromise decât un atac „Man-in-the-Middle”* în sensul tehnic strict.

Într-un atac informatic clasic, infractorul interceptează direct comunicația dintre două părți.

În fraudele comerciale prin e-mail, el poate compromite una dintre căsuțele poștale sau poate crea o adresă aproape identică.

De exemplu, furnizor.com devine furnizor-rom.com, iar litera „l” poate fi înlocuită cu „I”.

Pe telefon sau într-o zi aglomerată, diferența trece ușor neobservată.

Escrocul așteaptă factura potrivită

Dacă o căsuță de e-mail a fost compromisă, atacatorul poate urmări săptămâni întregi conversațiile fără să intervină.

Află cine aprobă plățile, ce sume sunt așteptate, cum se exprimă partenerul și când urmează să fie trimisă factura.

Uneori creează reguli ascunse care îi redirecționează mesajele sau le șterg automat. Alteori răspunde de pe un domeniu imitat și copiază semnătura, sigla, numele persoanei de contact și istoricul discuției.

Astfel, mesajul fals nu spune:

„Trimiteți urgent bani unui prinț din Nigeria”.

Spune ceva absolut credibil: „Vă rugăm să folosiți noul nostru cont bancar.”

În Alba, factura nu era partea falsă

Pe 17 august, atacatorii s-ar fi introdus în corespondența dintre cele două societăți.

Ulterior, firma din Alba a primit o factură de 76.250 de euro de la o adresă asemănătoare celei folosite de partenerul extern.

Reprezentanții societății au plătit suma în contul indicat.

În asemenea fraude, factura, marfa și relația comercială pot fi perfect reale. Înșelătoria încape într-un singur rând: contul beneficiarului.

Tocmai de aceea metoda funcționează atât de bine. Angajatul nu crede că face o plată neobișnuită. Crede că își îndeplinește o obligație obișnuită.

Un telefon putea opri transferul

Regula esențială este simplă: orice schimbare de IBAN trebuie confirmată printr-un canal separat.

Firma trebuie să sune partenerul la numărul deja cunoscut, nu la cel indicat în mesajul suspect.

Pentru sumele mari sunt necesare verificarea de către două persoane și o procedură distinctă de aprobare.

Autentificarea multifactor, parolele unice și verificarea regulilor de redirecționare reduc riscul compromiterii conturilor.

La nivelul domeniului trebuie configurate SPF, DKIM și DMARC:

SPF stabilește ce servere au voie să trimită mesaje în numele firmei,

DKIM aplică o semnătură digitală prin care poate fi verificată autenticitatea e-mailului,

iar DMARC stabilește ce se întâmplă cu mesajele care nu trec aceste verificări – sunt acceptate, trimise în spam sau respinse.

Dacă plata a fost făcută, banca trebuie anunțată imediat pentru blocarea ori retragerea transferului, urmată de sesizarea Poliției și păstrarea mesajelor cu antetele tehnice complete.

Escrocii n-au spart seiful firmei…

Au intrat prin rutina ei administrativă și au schimbat o linie într-un e-mail. Restul operațiunii l-a făcut victima, corect și la timp.

*Se numește „Man-in-the-Middle” deoarece atacatorul se așază, nevăzut, între două firme care comunică și se dă drept fiecare în relația cu cealaltă.
El urmărește conversația, modifică informația esențială — aici, IBAN-ul — și lasă ambele victime să creadă că discută direct între ele.