Zloraba Sursa: napadalci zbirajo podatke za milijonske prevare

V zadnjih dneh je SI-CERT zaznal val lažnih elektronskih sporočil, v katerih se pošiljatelji lažno predstavljajo kot Statistični urad Republike Slovenije (Surs). V sporočilih prejemnike obveščajo o domnevno obveznem statističnem poročanju za potrebe Eurostata ter od njih zahtevajo podatke o poslovanju s tujimi partnerji.

Elektronskim sporočilom so priloženi dokumenti in Excelovi obrazci, ki posnemajo uradno dokumentacijo Sursa. Čeprav datoteke ne vsebujejo zlonamerne kode, je njihov namen drugačen – pridobivanje občutljivih poslovnih informacij, so opozorili na SI-CERT. 

Elektronski naslovi prejemnikov so bili po vsej verjetnosti pridobljeni iz javno dostopnih evidenc in drugih javno objavljenih kontaktnih podatkov podjetij.

Po pojasnilih strokovnjakov iz centra SI-CERT gre za pripravljalno fazo tako imenovanih ciljanih napadov. Napadalci skušajo najprej s pretvarjanjem zbrati podatke o poslovnih odnosih podjetij, odprtih terjatvah, obveznostih in poslovnih partnerjih.

Takšne informacije nato pogosto uporabijo pri izvedbi prevar tipa Business Email Compromise (BEC), direktorskih prevar (CEO fraud) ali prevar s spremembo bančnih računov.

V drugi fazi napada se prevaranti lažno predstavljajo tako slovenskim podjetjem kot njihovim tujim poslovnim partnerjem. Z uporabo elektronskih naslovov, ki posnemajo legitimne poslovne kontakte, skušajo prepričati eno od strani, naj plačilo odprtih računov nakaže na drug bančni račun.

"Tujega poslovnega partnerja kontaktirajo iz email naslova, ki vsebuje ime slovenskega poslovnega partnerja (npr. podjetje@accounting-office.eu) ter zahtevajo preusmeritev plačil odprtih računov na nove bančne račune, ki so v upravljanju napadalcev; slovensko podjetje kontaktirajo iz email naslova, ki vsebuje ime njihovega poslovnega partnerja, se predstavljajo v njihovem imenu ter zahtevajo posodobitev ter posredovanje podatkov o bančnih računih," so zapisali na SI-CERT.

Bistvo prevare je, da tuje podjetje nakaže znesek fakture na bančni račun, ki je pod nadzorom napadalcev, opozarjajo na SI-CERT-u.

Strokovnjaki podjetjem svetujejo, naj na takšna sporočila ne odgovarjajo in ne posredujejo zahtevanih podatkov.

Posebno pozornost je treba nameniti elektronskemu naslovu pošiljatelja. V zaznanih primerih so bila sporočila poslana z domene gp-surs.eu, ki ni uradna domena SURS-a. Domena je bila registrirana šele pred nekaj dnevi, kar je eden od znakov, da gre za spletno prevaro.

Na SI-CERT še svetujejo, da naj v primeru, da podjetje prejme zahtevo za statistično poročanje, verodostojnost takšne zahteve preveri neposredno pri Sursu prek uradnih kontaktnih kanalov.

Če je podjetje na sporočilo že odgovorilo in napadalcem posredovalo zahtevane podatke, SI-CERT svetuje, da o tem takoj obvesti odgovorne osebe v podjetju ter povečano previdnost pri vseh morebitnih zahtevah za spremembe bančnih računov ali nenavadnih plačilnih navodilih.

Prav tako naj o potencialni zlorabi obvestijo poslovne partnerje, katerih podatke so posredovali, vso sumljivo nadaljnjo komunikacijo pa naj posredujejo pristojnim centrom za odzivanje na incidente na elektronska naslova cert@cert.si ali cert@gov.si.

Na SI-CERT poudarjajo, da skupaj z Uradom Vlade RS za informacijsko varnost že izvajajo ukrepe za omejevanje negativnih učinkov, podjetja pa pozivajo k previdnosti in dodatnemu preverjanju vseh nenavadnih zahtevkov za posredovanje poslovnih podatkov.