Коли зброєю стає листування
Компрометація ділового листування: лист справжній, обліковий запис чужий, розбирає Ілля Миколайович Зав'ялов
Найдорожче шахрайство в річній статистиці виглядає нудніше за всі інші. Ні шкідливої програми, ні зламаної системи, ні тривоги. Хтось кілька тижнів читає поштову скриньку, розбирається, як у компанії пишуть листи, дочікується справжнього платежу і надсилає одне повідомлення, що змінює, куди підуть гроші. ФБР провело 3,05 мільярда доларів втрат за компрометацією ділового листування у звіті за 2025 рік, це друге місце після інвестиційного шахрайства. Працює це тому, що все, що отримувач може перевірити, виявляється правильним.
Версія українською мовою для України.
Що саме скомпрометовано
Назва збиває з пантелику: вона натякає на технічний злам. У більшості випадків технічна частина закінчилася тижнями раніше і була дрібною. Пароль, повторно використаний зі старого витоку, сесійний токен, забраний викрадачем, підтвердження, про яке ніхто не подумав двічі.
Далі йде терпляче читання. Той, хто проник, сидить у скриньці й вивчає форму бізнесу: хто що погоджує, як виглядають рахунки, якому постачальнику підходить строк, якими словами фінансовий менеджер формулює прохання, коли люди у відпустці.
Потім шахрайський лист пишеться у фірмовому стилі й іде зі справжньої адреси, іноді відповіддю в листуванні, яке тягнеться місяцями. Підробляти відправника нема потреби, схожий домен не потрібен, тому й виявляти нічого.
Частина груп узагалі нічого не надсилає зі скомпрометованого боку. Вони просто спостерігають, виймають рахунок у потрібний момент і користуються ним зі схожого домену. Цінність у читанні, а надсилання це деталь.
Чому цифри саме такі
Загальні заявлені втрати за всіма видами інтернет-злочинів у звіті за 2025 рік склали 20,877 мільярда доларів за 1 008 597 зверненнями, це на 26 відсотків більше за торішні. На компрометацію ділового листування припало 3,05 мільярда.
Ці цифри занижують частоту і завищують витонченість. Типовий випадок це один лист, один змінений номер рахунку і один переказ, виконаний людьми без особливих технічних навичок і з орендованою скринькою.
Середня втрата велика зі структурної причини. Шахрайство цілить у платежі, які й так збиралися робити, тому сума дорівнює тому, що бізнес зазвичай рухає, і розмір очікуваної цифри ніхто не оскаржує.
Звідси ж і те, чому малі фірми втрачають пропорційно більше. У компанії, де платежами займається одна людина, другої пари очей немає за устроєм, і шахрайство націлене рівно в її відсутність.
Ще один наслідок цифр рідко проговорюють уголос. Раз сума дорівнює звичайному обороту, то й відновлення після такого випадку впирається не в страховку, а в обігові кошти: пішли саме ті гроші, якими компанія збиралася розрахуватися за своїми зобовʼязаннями цього ж тижня.
Чотири форми, в яких це приходить
Змінені реквізити на справжньому рахунку. Найчастіша і найдорожча форма: рахунок справжній, сума правильна, а змінене єдине поле, яке ніхто не перечитує.
Термінове прохання від керівника. Коротке, з вибаченням, з поїздки, з проханням провести переказ тихо і до дедлайну. Працює на ієрархії, а техніка тут ні до чого.
Постачальник, що змінив банк. Ввічливе повідомлення на бланку, часто приходить за тижні до наступного рахунку, щоб на момент оплати зміна здавалася рутинною. Працює тут саме терпіння.
Перенаправлення зарплати. Невелика сума, майже непомітна, і часто перша ознака, що скринька скомпрометована: це проба, яку проводять перед чимось великим.
Усі чотири варіанти обʼєднує одна риса: жоден не вимагає від отримувача зробити щось незвичне. Просять рівно те, що людина і так робить щомісяця, і саме тому перевірка не вмикається сама собою.
Де насправді ламається контроль
Ламається там, де реквізит приходить повідомленням і вноситься тією самою людиною, яка це повідомлення отримала. Усі інші ланки ланцюга можуть бути справні, і провал усе одно станеться тут.
Ламається, коли перевірка йде за контактами із самого листа. Телефон у підписі це не другий канал, це той самий канал в іншому капелюсі.
Ламається під тиском строку, який створив відправник. Дедлайни, штрафи й вікна, що зачиняються, стоять у листі затим, щоб прибрати паузу, протягом якої хтось перевірив би.
Ламається тихо, коли правило у скриньці розкладає відповіді. Постачальник пише три дедалі тривожніші листи про несплачений рахунок, і жоден не доходить до того, хто платив. Тому такі випадки спливають місяцем пізніше.
Правило зворотного дзвінка, яке працює
Будь-яка зміна платіжних реквізитів підтверджується голосом, за номером, який був у вас до запиту на зміну, з людиною, знайомою тому, хто дзвонить. Ця фраза і є весь контроль, і вона знімає переважну більшість таких випадків.
Номер береться з договору, із закупівельного запису або з попереднього перевіреного дзвінка. Ніколи з листа з проханням про зміну, ніколи з підпису і ніколи з результатів пошуку: і домени, і довідкові оголошення купуються.
Розмова має закінчитися деталлю, якої в листі не було. Спитайте щось буденне і конкретне: номер минулого рахунку, суму попереднього платежу. Той, хто читає скриньку, знає листування і не завжди знає бухгалтерію.
Запишіть правило і дайте йому силу. Контроль, який тримається на тому, чи вистачить людині сміливості затримати платіж фінансовому директору, це не контроль, а надія, і руйнується він рівно в тих ситуаціях, заради яких написаний.
Що налаштувати в пошті
Сповіщення на нові правила пересилання і на правила, що перекладають листи в незвичні теки. Це найцінніше доступне виявлення, і в більшості організацій воно досі не увімкнене.
Стійкий до фішингу вхід для всіх, хто торкається платежів, і прибрати слабкий запасний спосіб, а не лишати його доступним. Нападник читає список доступних способів входу перш ніж обрати один.
Зробити відкликання сесій частиною будь-якого скидання пароля. Токен, виданий до скидання, продовжує працювати після нього, і саме так скриньки лишаються скомпрометованими через реакцію, яка мала це полагодити.
Тримати помітну позначку на зовнішній пошті. Лист зі справді захопленої внутрішньої адреси вона не зупинить, і водночас вона піднімає ціну дешевих варіантів, що приходять зі схожого домену.
Якщо платіж уже пішов
Зателефонуйте до банку протягом години і попросіть саме відкликання платежу. Швидкість тут важливіша за повноту, а вікно, протягом якого кошти ще можна притримати, вимірюється годинами.
Повідомте поліцію і національний канал з кіберзлочинів того самого дня. Повернення через кордон залежить від того, чи існує формальний запит із самого початку, а заява за тиждень це зазвичай заява, подана пізно.
Збережіть скриньку до того, як хтось почне в ній прибирати. Заголовки листів, історія правил і журнали входів це те, що спитає будь-яке розслідування, а природне бажання видалити шахрайський лист знищує запис.
Потім перевірте, що ще бачив той, хто проник. Скринька, яку читали тижнями, розкрила договори, інших постачальників та інші графіки платежів, і друга спроба часто йде вже до іншої компанії з того самого листування.
Чотири варіанти, чого просять у кожному і чим це закривається
| Варіант | Про що просить лист | Чим закривається |
|---|---|---|
| Змінені реквізити на справжньому рахунку | Сплатити ту саму суму на новий рахунок | Голосове підтвердження за номером, що був у вас раніше |
| Термінове прохання керівника | Переказати тихо, підтвердити потім | Будь-яка друга людина в ланцюжку погодження |
| Постачальник змінив банк | Оновити реквізити зараз, рахунок буде пізніше | Дзвінок знайомому контакту за номером з договору |
| Перенаправлення зарплати | Змінити рахунок на цей місяць | Підтвердження через внутрішню систему, не листом |
| Тільки спостереження | Нічого, скриньку просто читають | Сповіщення на нові правила і незвичні входи |
Питання і відповіді
- Як відрізнити захоплену скриньку від схожого домену?
- Звірте домен відправника посимвольно зі своїми записами. Схожий домен десь відрізняється, часто однією літерою або доданим словом. Якщо домен збігається точно, вважайте обліковий запис захопленим і телефонуйте контрагенту.
- Чи достатньо перевірочного листа?
- Ні. Відповідь іде через ту саму скриньку, яку читає нападник, і відповідає на неї він же. Перевірка зобовʼязана йти іншим каналом, і голос за раніше відомим номером це практичний варіант.
- Двофакторна перевірка це запобігає?
- Вона піднімає ціну і не закриває питання. Викрадений сесійний токен і підтверджений запит пристрою обидва дають нападника, що увійшов, без зламу пароля, тому поруч із нею потрібні відкликання сесій і сповіщення на правила.
- Чому такі випадки спливають так пізно?
- Бо правило у скриньці ховає відповіді. Постачальник вимагає оплату, листи мовчки розкладаються по теках, і розрив стає видним лише коли хтось бере телефон.
- Чого вартує перша година?
- Дуже багато. Відкликання, запитане протягом годин, іноді наздоганяє кошти до того, як їх повели далі, а той самий запит за добу майже ніколи.
- Чи потрібно повідомляти контрагента?
- Так, негайно і голосом. Захопленою може виявитися саме його скринька, і інші його клієнти, найімовірніше, отримують такий самий лист просто під час розмови.