גופים פיננסיים ומשרדי ייעוץ: מייל, התחזות והונאות תשלום

מאמר זה הוא מידע כללי ואינו ייעוץ משפטי, פיננסי או רגולטורי. לגבי דרישות החלות על גוף פיננסי מסוים, יש לפנות לעורך דין או ליועץ רגולציה.

הכסף עובר במייל, והתוקפים יודעים את זה

בגופים פיננסיים קטנים, כמו משרדי ייעוץ, חברות שירות פיננסי או משרדים שמטפלים בכספי לקוחות, הוראות רבות מגיעות בכתב. מייל שמבקש לשנות חשבון, להעביר סכום או לשחרר מסמך הוא חלק מהיום-יום, ולכן גם מייל מזויף יכול להיראות רגיל.

הונאה מסוג BEC (מייל עסקי מזויף) מתבססת בדיוק על זה. התוקף מתחזה למנהל, ללקוח או לספק, ובונה הודעה שנראית אמינה כדי לקבל תשלום או פרטי גישה. כדי להמחיש: מזכירה מקבלת הודעה "מהמנכ"ל" שמבקשת להעביר תשלום דחוף לחשבון חדש. הכתובת נראית נכונה, הנימה אמינה והלחץ גדול. ההונאה מצליחה כשאין נוהל שמאט את ההחלטה.

שלושה וקטורים עיקריים

• התחזות לדומיין: מישהו שולח מייל שנראה כאילו הגיע מהדומיין שלכם, כי הדומיין לא מוגן בהגדרות אימות.
• דומיין דומה: מישהו רושם כתובת שנראית כמעט זהה, ומשתמש בה.
• פריצה לתיבה אמיתית: ההודעה אמיתית מבחינה טכנית, כי נשלחה מהתיבה עצמה. זה המקרה הקשה ביותר לזיהוי.

מה עוזר

1. אימות בקשה בערוץ אחר: כל בקשה לשינוי פרטי תשלום או להעברה חריגה מאומתת בטלפון למספר שכבר שמור אצלכם.
2. אישור כפול לפעולות מעל סכום שתקבעו.
3. אימות דו-שלבי בתיבות ובמערכות הבנקאות והניהול.
4. הגדרת SPF, DKIM ו-DMARC בדומיין, בעדיפות למדיניות שמפעילה אכיפה ולא רק מעקב. ראו הסבר פשוט.
5. הדרכה ותרגול כדי שעובדים יזהו לחץ, דחיפות ובקשה חריגה.

איך בודקים אם אפשר להתחזות אליכם

הסריקה החינמית של PhishingU בודקת את רשומות DMARC, SPF ו-DKIM של הדומיין. היא אינה בודקת דומיינים דומים ואינה בודקת האם תיבה נפרצה. מה שהיא כן עושה: נותנת תמונה ראשונה של האם הדומיין מוגדר כך שמקשה על התחזות. מדריך נוסף: איך בודקים אם אפשר להתחזות אליכם.

תרחיש לדוגמה (לא מקרה אמיתי): בקשה "מהמנהל"

מנהל חשבונות במשרד קטן מקבל הודעה שנראית כמו הודעה מהמנהל, בשעת ערב. "אני בפגישה ולא יכול לדבר. צריך להעביר תשלום דחוף לספק חדש, אשלח לך פרטים. תעדכן כשסיימת." ההודעה קצרה, בנימה המוכרת, ובלי אפשרות לבדיקה. ההונאה מצליחה כי היא יוצרת לחץ, מונעת שיחה ומרגישה לגיטימית.

אילו שאלות לשאול לפני שמעבירים כסף

1. האם הבקשה חריגה מבחינת סכום, יעד או דחיפות?
2. האם היא מבקשת לא לספר לאחרים או לא להתקשר?
3. האם הכתובת בשדה "מאת" זהה לגמרי לכתובת הידועה, אות אחר אות?
4. האם אפשר לאמת בקשה זו בטלפון?

אם התשובה לאחת השאלות מדאיגה, עוצרים ומאמתים.

הרגלים שכדאי להטמיע

• לא מעבירים תשלום בלי שני אישורים מעל סכום שקבע המשרד.
• רשימת ספקים מאושרים, ושינוי ברשימה מחייב אימות טלפוני.
• לא נכנסים לבנק או למערכת דרך קישורים מההודעה.
• דיווח מיידי גם על ניסיון שלא הצליח, כדי שאחרים יידעו.

חלוקת אחריות ברורה

בגוף קטן קורה שכולם יודעים "שמישהו אחר" מטפל בנושא. כדאי לקבוע במפורש: מי מאשר תשלומים, מי מתחזק את הגדרות המייל והדומיין, מי מקבל דיווחים על הודעות חשודות ומי פונה לבנק במקרה חירום. כתבו את השמות ומספרי הטלפון במקום אחד, והזכירו לצוות פעם בכמה חודשים.

מה כדאי לתעד

תיעוד קצר של הנוהל ושל מה שנעשה, כולל מתי הוגדרו אימות דו-שלבי והגדרות הדומיין, מתי התקיימה הדרכה ובאיזה היקף, עוזר כשלקוח או גורם אחר שואל מה נעשה. הוא גם עוזר בבירור פנימי אחרי אירוע. אילו מסמכים נדרשים מגוף פיננסי מסוים היא שאלה רגולטורית שכדאי להעלות מול גורם מוסמך.