Poliția Română a publicat pe site-ul instituției o serie de recomandări în scopul prevenirii fraudelor informatice prin e-mail. Astfel, se recomandă evitarea efectuării de transferuri bancare către parteneri străini de afaceri, fără a verifica telefonic veridicitatea schimbării unor practici comerciale stabilite anterior, precum și precauție atunci când se solicită prin e-mail schimbarea adresei de corespondență electronică, a conturilor bancare ori a valutelor în care se fac plățile sau când se observă că s-a schimbat țara în care sunt deschise conturile în care trebuie efectuate plățile.

„Business E-mail Compromise Fraud «BEC Fraud» presupune accesarea de către infractori în mod neautorizat a conturilor de e-mail ale unor societăți comerciale din străinătate, monitorizarea corespondenței purtate de către angajații respectivei societăți și simularea corespondenței reale pe care aceștia o poartă cu societatea parteneră de afaceri, prin intermediul unei adrese de e-mail asemănătoare sau identice. Această activitate are de regulă ca finalitate deturnarea transferului de bani către un cont bancar diferit față de cel al beneficiarului legitim, contul bancar fiind controlat de alți membri ai grupării infracționale. Frauda țintește societățile comerciale ce lucrează cu furnizori sau clienți străini (activități de comerț exterior) și efectuează cu regularitate plăți prin transfer bancar”, precizează Poliția Română, într-un comunicat.

Potrivit Poliției Române, din analiza cazurilor investigate s-a constatat că societățile comerciale care desfășoară activități comerciale din România (cu personalitate juridică română) au avut calitatea de victimă, în majoritatea cazurilor, în sensul ca au trimis bani în alte conturi decât cele legitime ale furnizorului extern. Din aceeași analiză a rezultat că, în aproape toate cazurile semnalate, compromiterea sistemelor informatice, respectiv a adresei de poștă electronică, a avut loc la societățile comerciale străine care erau în relații comerciale cu cele române.

• evitați utilizarea conturilor de e-mail web-based (yahoo, hotmail, gmail etc.) pentru activitatea societății comerciale. Recomandabilă este utilizarea unor conturi de e-mail dintr-un domeniu propriu;
• fiți suspicioși cu privire la mesajele în care se solicită efectuarea unor operațiuni în secret sau a unor operațiuni rapide către destinatari incerți sau neverificați;
• aveți în vedere crearea unor proceduri minimale de audit IT și de securitate referitoare la plăți, în sensul implementării unei verificări în minimum doi pași.

1. stabiliți o comunicare alternativă, cum ar fi cea telefonică, cu furnizorul sau clientul străin pentru a valida orice schimbare a practicii comerciale statuate, pentru a elimina posibilitatea ca hakerul să intercepteze o eventuală comunicație;
2. utilizarea de semnături digitale sau a criptării mesajelor între părțile implicate în activitatea comercială;
3. raportarea și nedeschiderea mesajelor nesolicitate sau de tip SPAM, acestea putând conține malware;
4. nu utilizați funcția „Reply” pentru a răspunde în corespondența de serviciu. Folosiți funcția „Forward” și scrieți manual sau selectați din agendă adresa de e-mail unde doriți să transmiteți mesajul.

• Fiți precauți la schimbarea subită a unor practici comerciale stabilite anterior, în special a conturilor de e-mail sau conturilor bancare și a valutelor în care se fac plățile, precum și a țării în care sunt deschise conturile.
• Verificați și telefonic la furnizor sau client, la un număr de telefon deținut anterior și verificat, dacă modificările solicitate prin e-mail sunt reale.

1. Componenta de Social Engineering – prin care se strâng date istorice online, referitoare la societățile vizate (sediu social, persoane din management, CUI, cont bancar, adrese de poștă electronică, portofoliu de clienți, eventuale documente accesibile online ce prezintă elemente de identificare ale societății comerciale ce pot fi utilizate pentru a crea aparența de legitimitate);
2. Componenta de intruziune/compromitere a adresei de poștă electronică (EAC – Email Account Compromise.)
3. Deschiderea unui cont cu acte false în străinătate, pe numele furnizorului sau clientului străin.

Poliția Română recomandă instruirea personalului cu privire la tipologiile de fraudă, precum și implementarea de măsuri IT și politici de securitate. De asemenea, se solicită o atenție sporită la publicarea în mediul online, în special în zona social media și pe site-ul companiei, a informațiilor detaliate privind ierarhia persoanelor care activează în cadrul companiei, a îndatoririlor acestora sau a detaliilor de tip out of office, precum și a conturilor bancare și a detaliilor complete și mijloacelor de comunicație utilizate.

(Copyright foto: rawpixel / 123RF Stock Photo)