Falešné faktury jménem vaší firmy: jak funguje kompromitace firemního e-mailu

Podvod s falešnými fakturami je forma kompromitace firemního e-mailu (business email compromise, BEC): zločinec pošle vašemu zákazníkovi fakturu nebo oznámení o „změně bankovního spojení“, které vypadá, jako by přišlo od vaší firmy. Zákazník zaplatí, peníze odejdou na účet, který ovládá zločinec, a obě strany na to přijdou až po týdnech, kdy vaše skutečná faktura stále není uhrazená.

Internet Crime Complaint Center americké FBI definuje BEC jako podvod na firmy, které spolupracují s dodavateli nebo pravidelně posílají bankovní převody. Zločinec k němu zneužije e-mailové účty nebo jiné komunikační kanály, které ovládne sociálním inženýrstvím nebo průnikem do počítače (IC3 2025 Internet Crime Report). Stejná zpráva uvádí za rok 2025 celkem 24 768 stížností na BEC s nahlášenými ztrátami 3 046 598 558 USD.

Většina těchto podvodů se obejde úplně bez technického průniku. Stačí jim přesvědčivá adresa odesílatele, uvěřitelný příběh a platební proces, který slepě věří e-mailu.

Jak je podvod poskládaný

Typický útok s falešnou fakturou probíhá v několika krocích:

1. Průzkum. Zločinec zjistí, kdo jsou vaši zákazníci, kdo posílá vaše faktury a jak vypadají. Pomohou mu weby, tiskové zprávy, pracovní inzeráty i staré faktury, které někdo přeposlal dál.
2. Identita odesílatele. Buď padělaná adresa From na vaší skutečné doméně, podobná doména jako examp1e.com nebo example-billing.com, nebo skutečná schránka, kterou ovládl díky ukradenému heslu.
3. Zpráva. Krátká rutinní poznámka: „Upozorňujeme na naše nové bankovní spojení pro tuto i budoucí platby.“ Často přijde jako odpověď do skutečného vlákna, aby působila důvěryhodně.
4. Platba. Zákazník změní údaje dodavatele a zaplatí. Naléhavost („účet v pátek rušíme“) snižuje šanci, že někdo zavolá a změnu si ověří.

Obětí je formálně váš zákazník, škoda ale dopadne i na vás: neuhrazená faktura, nepříjemný rozhovor a zákazník, který teď pochybuje, jak bezpečný je váš e-mail.

3 způsoby, jak lze zneužít vaše jméno

Padělaná adresa From na vaší vlastní doméně. Je možná, když vaše záznamy SPF, DKIM a DMARC chybí nebo jsou příliš benevolentní. Politika DMARC p=none příjemcům říká, ať poštu, která neprojde ověřením, přesto doručí. Jak to uzavřít, vysvětluje náš průvodce SPF, DKIM a DMARC.

Podobné domény. Doména, která se od vaší liší jedním písmenem nebo slovem navíc, projde každým ověřením, protože ji zločinec vlastní a záznamy si nastaví správně. Více v článku podobné domény a typosquatting.

Napadená skutečná schránka. Pokud heslo zaměstnance uniklo a účet nemá vícefaktorové ověření, může zločinec číst skutečnou korespondenci, nastavit pravidla přeposílání a posílat ze skutečné adresy. Tuto variantu odhalíte nejhůř.

Varovné signály, na které upozorněte zákazníky

• Žádost o změnu bankovního spojení, která přišla jen e-mailem.
• Nový účet v jiné zemi nebo na jiné jméno, než má vaše firma.
• Tlak na rychlou platbu nebo na utajení změny.
• Adresa odesílatele, která se vaší doméně téměř, ale ne úplně podobá.
• Adresa pro odpověď (reply-to), která se liší od adresy From.

FBI radí jednoznačně: žádosti o změnu údajů o účtu ověřujte jiným kanálem a kontrolujte, zda odkazy a adresy odesílatelů skutečně patří firmě, za kterou se vydávají (oznámení IC3, září 2024).

Jak zjistit, jak jste na tom vy

E-mailovou část zkontrolujete za pár minut:

dig +short TXT _dmarc.yourcompany.com
dig +short TXT yourcompany.com | grep spf1

Hledejte politiku DMARC p=quarantine nebo p=reject a záznam SPF končící na ~all nebo -all. Potom vyhledejte registrované domény podobné té vaší: přehozená písmena, přidané pomlčky, jiné koncovky jako .co nebo .net. Ověřte, zda tyto domény mají MX záznamy; pokud ano, mohou přijímat (a obvykle i posílat) e-maily:

dig +short MX examp1e.com

Nakonec projděte schránky, zda v nich nejsou pravidla přeposílání na externí adresy, a ujistěte se, že každý účet používá vícefaktorové ověření.

Opatření, která podvod zastaví

Na straně e-mailu:

• Vynuťte DMARC (p=quarantine nebo p=reject), aby se padělaná pošta z vaší domény odmítala.
• Domény, ze kterých nikdy nepošlete poštu, uzamkněte pomocí v=spf1 -all a p=reject.
• Vyžadujte vícefaktorové ověření u každé schránky.
• Nastavte upozornění na nová pravidla přeposílání a přihlášení z neobvyklých míst.

Na straně plateb:

• Písemně sdělte zákazníkům, že se vaše bankovní spojení nikdy nezmění jen e-mailem.
• Uveďte bankovní spojení na webu nebo v zákaznickém portálu, aby si ho zákazníci mohli ověřit.
• Interně si každou změnu bankovního účtu dodavatele ověřte telefonem na čísle, které už máte v evidenci, nikdy na tom z e-mailu.

Pokud se to už stalo

FBI zdůrazňuje, že rozhoduje čas. Okamžitě kontaktujte banku, ze které platba odešla, a požádejte o zastavení převodu, potom podejte stížnost na ic3.gov bez ohledu na výši částky (IC3 PSA I-091124-PSA). Dotčeného zákazníka informujte písemně, změňte hesla ke všem schránkám, kterých se to mohlo týkat, a zkontrolujte pravidla přeposílání.

Kam zapadá Datahorses

Datahorses hlídá to, čím by se za vás útočník mohl vydávat: nově registrované podobné domény a to, zda z nich lze posílat poštu, vaše záznamy SPF, DKIM a DMARC a stopy falešných přihlašovacích stránek. Když se něco objeví, posoudí to náš specialista a vy dostanete konkrétní kroky, jak popisujeme v části co se stane, když něco najdeme. Děláme to zvenčí a nepotřebujeme žádné přístupy. Příbuzné riziko zpráv, které se vydávají za vaše vedení, popisuje článek CEO podvod a vydávání se za vedení.