Väärennetyt laskut yrityksenne nimissä: näin BEC-huijaus toimii

Valelaskuhuijaus on yksi BEC-huijauksen (business email compromise, yrityssähköpostihuijaus) muoto: rikollinen lähettää asiakkaallenne laskun tai ilmoituksen "pankkitietojen muutoksesta", joka näyttää tulevan yrityksestänne. Asiakas maksaa, rahat menevät rikollisen hallitsemalle tilille, ja molemmat osapuolet huomaavat asian viikkoja myöhemmin, kun oikea laskunne on yhä maksamatta.

FBI:n Internet Crime Complaint Center määrittelee BEC:n huijaukseksi, joka kohdistuu yrityksiin, jotka asioivat toimittajien kanssa tai tekevät säännöllisesti tilisiirtoja, ja joka toteutetaan kaappaamalla sähköpostitilejä tai muita viestintäkanavia sosiaalisen manipuloinnin tai tietomurron avulla (IC3 2025 Internet Crime Report). Samassa raportissa mainitaan vuodelta 2025 yhteensä 24 768 BEC-ilmoitusta, joissa ilmoitetut tappiot olivat 3 046 598 558 dollaria.

Useimmat näistä huijauksista eivät vaadi lainkaan teknistä murtautumista. Ne perustuvat vakuuttavaan lähettäjäosoitteeseen, uskottavaan tarinaan ja maksuprosessiin, joka luottaa sähköpostiin.

Miten huijaus rakennetaan

Tyypillinen valelaskuhyökkäys etenee muutamassa vaiheessa:

1. Taustatyö. Rikollinen selvittää, keitä asiakkaanne ovat, kuka lähettää laskunne ja miltä ne näyttävät. Verkkosivustot, lehdistötiedotteet, työpaikkailmoitukset ja edelleen välitetyt vanhat laskut ovat kaikki hyödyksi.
2. Lähettäjäidentiteetti. Joko väärennetty From-osoite oikeassa verkkotunnuksessanne, samankaltainen verkkotunnus kuten examp1e.com tai example-billing.com, tai oikea postilaatikko, joka on kaapattu varastetulla salasanalla.
3. Viesti. Lyhyt, rutiininomainen viesti: "Huomioittehan uudet pankkitietomme tätä ja tulevia maksuja varten." Usein se lähetetään vastauksena oikeaan viestiketjuun, jotta se näyttäisi tutulta.
4. Maksu. Asiakas päivittää toimittajatiedot ja maksaa. Kiire ("tili suljetaan perjantaina") pienentää todennäköisyyttä, että joku soittaa varmistaakseen asian.

Muodollisesti uhri on asiakkaanne, mutta vahinko osuu myös teihin: maksamaton lasku, hankala keskustelu ja asiakas, joka nyt miettii, kuinka turvallinen sähköpostinne on.

3 tapaa, joilla nimeänne käytetään

Väärennetty From-osoite omassa verkkotunnuksessanne. Tämä on mahdollista, kun SPF-, DKIM- ja DMARC-tietueenne puuttuvat tai ovat sallivia. DMARC-käytäntö p=none pyytää vastaanottajia toimittamaan tarkistuksessa epäonnistuneen postin silti perille. Oppaamme SPF, DKIM ja DMARC kertoo, miten tämä suljetaan.

Samankaltaiset verkkotunnukset. Verkkotunnus, joka eroaa omastanne yhdellä kirjaimella tai ylimääräisellä sanalla, läpäisee kaikki todennustarkistukset, koska rikollinen omistaa sen ja määrittää tietueet oikein. Lukekaa lisää artikkelista samankaltaiset verkkotunnukset ja typosquatting.

Kaapattu oikea postilaatikko. Jos työntekijän salasana on vuotanut eikä tilillä ole monivaiheista tunnistautumista, rikollinen voi lukea oikeita viestiketjuja, luoda edelleenlähetyssääntöjä ja lähettää viestejä aidosta osoitteesta. Tämä on vaikeimmin havaittava muoto.

Varoitusmerkit, jotka kannattaa kertoa asiakkaillenne

• Pyyntö muuttaa pankkitietoja, joka on lähetetty vain sähköpostilla.
• Uusi tili eri maassa tai eri nimellä kuin yrityksenne.
• Painostus maksaa nopeasti tai pitää muutos luottamuksellisena.
• Lähettäjäosoite, joka on melkein, mutta ei täsmälleen, teidän verkkotunnuksenne.
• Vastausosoite (reply-to), joka eroaa From-osoitteesta.

FBI:n neuvo on suora: varmistakaa tilitietojen muutospyynnöt toisen kanavan kautta ja tarkistakaa, että linkit ja lähettäjäosoitteet todella kuuluvat yritykselle, jona ne esiintyvät (IC3:n tiedote, syyskuu 2024).

Miten tarkistatte oman altistumisenne

Sähköpostipuolen voi käydä läpi muutamassa minuutissa:

dig +short TXT _dmarc.yourcompany.com
dig +short TXT yourcompany.com | grep spf1

Etsikää DMARC-käytäntöä p=quarantine tai p=reject ja SPF-tietuetta, joka päättyy merkintään ~all tai -all. Etsikää sitten rekisteröityjä verkkotunnuksia, jotka muistuttavat omaanne: vaihdettuja kirjaimia, lisättyjä yhdysmerkkejä, muita päätteitä, kuten .co tai .net. Tarkistakaa, onko näillä verkkotunnuksilla MX-tietueita, mikä tarkoittaa, että ne voivat vastaanottaa (ja yleensä myös lähettää) sähköpostia:

dig +short MX examp1e.com

Käykää lopuksi postilaatikkonne läpi ulkoisiin osoitteisiin ohjaavien edelleenlähetyssääntöjen varalta ja varmistakaa, että jokainen tili käyttää monivaiheista tunnistautumista.

Keinot, jotka pysäyttävät huijauksen

Sähköpostipuolella:

• Ottakaa DMARC käyttöön pakottavalla käytännöllä (p=quarantine tai p=reject), jotta verkkotunnuksestanne väärennetty posti hylätään.
• Lukitkaa verkkotunnukset, joista ei koskaan lähetetä postia, asetuksilla v=spf1 -all ja p=reject.
• Vaatikaa monivaiheinen tunnistautuminen jokaiseen postilaatikkoon.
• Ottakaa käyttöön hälytykset uusista edelleenlähetyssäännöistä ja kirjautumisista epätavallisista sijainneista.

Maksupuolella:

• Kertokaa asiakkaille kirjallisesti, että pankkitietonne eivät koskaan muutu pelkällä sähköpostilla.
• Julkaiskaa pankkitietonne verkkosivustollanne tai asiakasportaalissa, jotta asiakkaat voivat tarkistaa ne.
• Varmistakaa sisäisesti jokainen toimittajan pankkitietojen muutos puhelimitse numerosta, joka teillä jo on tiedossa, ei koskaan sähköpostissa annetusta numerosta.

Jos vahinko on jo tapahtunut

FBI korostaa, että aika ratkaisee. Ottakaa heti yhteyttä maksun lähettäneeseen pankkiin ja pyytäkää maksun palautusta, ja tehkää sitten ilmoitus osoitteessa ic3.gov summasta riippumatta (IC3 PSA I-091124-PSA). Ilmoittakaa asianomaiselle asiakkaalle kirjallisesti, vaihtakaa kaikkien mahdollisesti osallisten postilaatikoiden salasanat ja tarkistakaa edelleenlähetyssäännöt.

Datahorsesin rooli

Datahorses valvoo sitä, mitä hyökkääjä voi käyttää esiintyäkseen teinä: uusia rekisteröityjä samankaltaisia verkkotunnuksia ja niiden kykyä lähettää postia, SPF-, DKIM- ja DMARC-tietueitanne sekä merkkejä väärennetyistä kirjautumissivuista. Kun jotain ilmenee, ihminen tarkistaa sen ja saatte konkreettiset toimenpiteet, kuten kuvaamme kohdassa mitä tapahtuu, kun löydämme jotain. Teemme tämän ulkoa emmekä tarvitse pääsyoikeuksia. Läheistä riskiä, jossa viestit jäljittelevät johtajianne, käsittelemme artikkelissa toimitusjohtajahuijaus ja johtajien jäljittely.