A CEO fraud az egyik legveszélyesebb és legkifinomultabb pszichológiai manipulációs technika, amely kifejezetten a cégekre és szervezetekre fókuszál. Ezeknél a támadásoknál a bűnözők a vállalat felsővezetőinek nevében próbálnak meg pénzügyi tranzakciókat kezdeményezni vagy érzékeny adatokat megszerezni. A technika hatékonysága abban rejlik, hogy a támadók kihasználják az alkalmazottak lojalitását, és sürgető, az autoritásra építő utasításokat adnak, amelyeknek nehéz ellenállni. 

Hogyan működik?

Ennek a visszaéléstípusnak jellemzően több szakasza van, és alapos előkészületet igényel a támadók részéről. A csalók általában hamis e-maileket vagy egyéb kommunikációs csatornákat (például telefonhívás, SMS) használnak, hogy megtévesszék az alkalmazottakat, különösen a pénzügyi részlegen dolgozó munkatársakat.

1. Információgyűjtés és felkészülés: A támadók alaposan feltérképezik a céget, megismerik a kulcsembereket, az alkalmazottak pozícióit és a belső folyamatokat. Ehhez közösségi média profilokat, céges weboldalakat és nyilvánosan elérhető információkat használnak fel. Sok esetben korábbi adatszivárgásokból származó adatokkal is rendelkeznek, hogy minél hitelesebben tudjanak fellépni .

2. Hamis e-mailek küldése (Spoofing): A támadók gyakran használják a „spoofing” technikát, amely során a küldött e-mail úgy néz ki, mintha a vezérigazgató vagy más felsővezető küldte volna. Az üzenetek általában sürgetőek, és azonnali cselekvésre szólítanak fel, például pénz átutalására vagy érzékeny információk megosztására. Az üzenetek gyakran tartalmaznak olyan kéréseket, amelyek kívül esnek a normális üzleti gyakorlaton, de fontosnak és hivatalosnak tűnnek.

3. Közvetlen megkeresés: Egyes esetekben a támadók közvetlenül hívják fel az áldozatot, például a pénzügyi igazgatót vagy más fontos szerepet betöltő alkalmazottat, és felsővezetőként mutatkoznak be. A telefonhívásokban a támadók a diszkrécióra helyezik a hangsúlyt, így az áldozatok gyakran nem mernek visszakérdezni vagy ellenőrzést kérni.

4. Pénzügyi tranzakciók kicsikarása: A CEO fraud célja általában egy nagy összegű pénzátutalás kicsikarása, amit gyakran nemzetközi bankszámlákra vagy kriptovaluta tárcákra akarnak átutalni. A tranzakciók nehezen visszakövethetők, és ha végrehajtják azokat, az átutalt összeg visszaszerzése szinte lehetetlen.

A módszer hatékonysága több tényezőnek köszönhető, amelyek közül a legfontosabbak a pszichológiai nyomás és a hitelesség látszata. Az üzenetekben sürgetik az alkalmazottakat, és azonnali cselekvést várnak el tőlük. Az alkalmazottak gyakran nem mernek késlekedni, hiszen a „főnöktől” érkező kéréseket általában prioritással kezelik. A támadók kihasználják a vállalati hierarchiából eredő nyomást és a beosztottak hajlandóságát arra, hogy teljesítsék a felsővezetők utasításait.

A támadók gyakran hangsúlyozzák, hogy a kérést diszkréten kell kezelni, és nem szabad másokat bevonni a folyamatba. Ez az utasítás tovább nehezíti a kérések hitelességének ellenőrzését, és spoofing miatt a támadók tényleg hitelesnek tűnhetnek. Az e-mailek gyakran pontosan megegyeznek a valódi vezetők kommunikációjával, így az áldozatok számára nehéz felismerni a csalást.

Hogyan védekezzünk?

Biztonsági protokollok kialakítása: Minden cégnek rendelkeznie kell olyan biztonsági protokollokkal, amelyek szabályozzák a pénzügyi tranzakciók engedélyezését. A tranzakciók megerősítését mindig több lépcsős hitelesítéssel kell végezni, például több vezető jóváhagyásával.

1. Kétfaktoros hitelesítés és személyes ellenőrzés: Ha egy pénzügyi tranzakciót egy felsővezetőtől érkező kérés alapján kezdeményeznek, mindig le kell ellenőrizni az utasítást személyesen vagy telefonon. Ez segít elkerülni, hogy a támadók sikerrel járjanak egy egyszerű hamis e-maillel.

2. Edukáció: Az alkalmazottakat rendszeresen képezni kell az effajta csalások felismerésére, és a különböző védekezési technikák elsajátítására. Fontos, hogy mindenki tisztában legyen azzal, hogy a vezetői kérések is ellenőrzésre szorulnak.

3. E-mail szűrők és biztonsági eszközök használata: Az e-mail szűrők és biztonsági rendszerek segíthetnek azonosítani a spoofing e-maileket és a gyanús kommunikációt. A vállalati IT-rendszereknek fel kell készülniük az ilyen típusú támadások elhárítására. Érdemes olyan biztonsági rendszereket bevezetni, amelyek riasztanak, ha egy tranzakció gyanúsnak tűnik, például ha egy utalás összege kiugróan magas, vagy a kedvezményezett egy ismeretlen bankszámlaszám.