Kiri ülemuselt nägi täiesti tavapärane välja. Uus hankija vajas kiiret ülekannet – ikka selleks, et kindlustada suuremahulise lepingu koju toomine. Ülemus ise ei saanud ülekannet teha, sest oli just paar päeva tagasi puhkusele läinud ega soovinud tööasjadega tegeleda. Sa isegi ei mõelnud, et see võiks olla osav e-maili pettus ning tegid ülekande ära. Pealegi olid just sotsiaalmeedias näinud pilte Türgis seiklevast ülemusest.
Alles hiljem selgub, et kirjutajaks ei olnudki ülemus, vaid hoopis osav pettur. Kuid nüüd on juba hilja…
Mõistmine, et oled käitunud täpselt petturite meele järgi lööb rivist välja ja ohustab karjääri
Just sellist raha väljapetu skeemi kasutab uus põlvkond pettureid, keda iseloomustab põhjalik eeltöö ja osav psühholoogiline manipulatsioon. Skeem on nii laialt levinud, et sellele on omistatud nimi “juhi pettus” ehk CEO fraud.
Lihtsakoeline e-maili pettus, mille valem on põhjalik eeltöö
Kogu skeem seisneb tegelikult tavapärases e-maili pettuses ega vajagi petturitelt suurt tehnilist taipu, küll aga olulist ettevalmistust, et saadetud palve ja petukiri tunduks tõene. Selleks alustatakse info kogumist juba kuid enne.
Sihikule võetud ettevõtte kohta proovitakse teada saada võimalikult palju, näiteks hakatakse jälgima ülemuse sotsiaalmeedia kontosid, et saada aimu, millise inimesega on tegu. Julgemad petturid lisavad ta endale lausa sõbraks. Tundub uskumatu, kuid olles eduka firma juht lisandub uusi sotsiaalmeediasõpru peale igat suuremat konverentsi või networkingu üritust. Kui ülemus on veel jaganud infot mõnel konverentsil osalemise kohta, siis piisab petturil kirjutada: „Nii tore oli Sinuga konverentsil X kohtuda. Loodan, et saame oma tööalast juttu veelgi jätkata“ ja pettur leiabki tee sotsiaalmeedia sõpraderingi. Keegi meist ei mäleta kõiki networkingu üritustel sõlmitud uusi tutvusi ning vähesed julgevad kirjutavale inimesele öelda „Kahjuks ma ei mäleta Sind“.
Sotsiaalmeedia roll: e-maili pettus
Sotsiaalmeediakontodel jagatud. info on petukirjade koostajaile väga väärtuslik materjal.
Lubades petturi oma sotsiaalvõrgustiku sõpraderingi, avatakse talle uks suurele kogusele infole. Inimeste sotsiaalmeediakontodelt saab head aimu kellega on tegu, mis on talle tähtis, kes on ta sõbrad ning kus tal meeldib liikuda, süüa, puhata jne. Infot on palju, seda tuleb osata lugeda ning petturid valdavad seda kunsti hästi.
Kaaskolleegide roll
Kui sotsiaalmeediavõrgustikud on luubi alla võetud jätkub infokogumine ettevõtte enda kohta. Üheks petturi infokanaliks on firma töötajad. Olulist infot saab näiteks müügimeeskonnalt. Müük on harjunud pidevalt suhtlema uute kontaktidega ning nad on innukad vastama kõikidele päringutele. See on ju nende töö! Müügiga suheldes saab pettur kätte olulise info, mis aitab e-kirja pettust vormistada. Ei midagi põhjapanevat, kuid nagu öeldakse- asja ilu peitub detailides. Näiteks korjatakse müügimeilidest välja ettevõttes kasutuses olev signatuur ehk e-kirja jalus, mis lisab petukirjale usutavust.
„Aga ma ju näen, et kiri pole ülemuselt“ proovite nüüd väita. Ka selle peale on petturid mõelnud. Peale müügiga suhtlemist ja pidevat ettevõtte ning ülemuse jälgimistööd teavad petturid, kuidas on vormistatud teie ettevõtte e-kirjad ning millise loogika järgi meiliaadressid. Nüüd jääb üle registreerida endale domeen, kust kiri saata. Domeeni registreerimisel kasutatakse nippi, kus teie firmanime domeenilie lisatakse/jäetakse välja mõni täht või vahetatakse sõnas tähtede jäjrekrod. Inimese aju on selline tore organ, mis asendab puuduva info endale sobivaga. Kas märkasid üle-eelmises lauses olevaid kirjavigu? Kui ei, siis tegi ka sinu aju endale sobivad asendused :)
Lisaks sellele on võimalik petturitel saata kirju ka Sinu ettevõte domeeni alt, seda nimetatakse nö spoofinguks. Tänu sellele jääb saajal täielikult mulje, et kiri on tulnud otse ülemuselt. Nimi, e-mail kui ka signatuur ju klapivad. Küll aga on sellised petukirjad enamasti väga lühikese sisuga ja sisaldavad tihti ka piltlikult öeldes naljakaid kirjavigu või valet lauseehitust, mis annab põhjust kahelda kirja õigsuses.
Näide:
Subject:erakorralise ülekandega
Kas te teete rahvusvahelise pangaülekandega täna?
siiralt
kasutaja nimi
CEO fraud-i planeerijad, selliseid algelisi kirju ei koosta. Peale eeltööd ongi petukiri saatmiseks valmis. Pealkirja võidakse vürtsitada veel sõnadega „kiire“, „makse“, „palve“ vms, et rõhuda asja kiireloomulisele iseloomule. Üldjuhul on petturid oma kirjad ehitanud nii hästi, et tihtipeale ei õnnestu spämmifiltritel kirja kinni püüda.
Petukiri võib välja näha täitsa tavaline. Sõnad “kiire” ja “kohe” aitavad rõhutada asja kiireloomulisust ning suurendavad seega petuplaani õnnestumist
Kuidas ettevõtet e-maili pettuse eest kaitsta?
Nagu ikka on terve selle skeemi õnnestumiseks vaja inimest, kes käituks just nii nagu petturitel plaanitud. Seega saab pettuse ohvriks langemise ohtu oluliselt vähendada koolitades ja teavitades töötajaid ning hoides firma õhkkonna positiivsena. Väidetavalt on autoritaarsete juhtidega firmas sellise petuskeemi õnnestumised sagedasemad.
Esmalt tulebki parendada ettevõttesisest suhtlust. Ülemusena tasub endalt küsida, kas mu alluvad teavad, et ma ei palu e-maili teel suurte finantskannete tegemist ega karda minult kahtluse korral isiklikult üle küsida? Kui vastus eelnevale küsimusele on „Ei“ tuleks hakata teavitustööd tegema ja julgustama. Samuti tuleb silmas pidada, et üle küsimine ei tohiks olla vastamine sellele samale meilile, vaid ikkagi otsesuhtlus. Näiteks telefonikõne toimib sellisel puhul hästi.
Samuti peaks üle vaatama, kellel ettevõttes on luba finantskandeid teha ja millises ulatuses. Kui suurte summade ülekandmine on väga lihtne (nt ei vaja mitme inimese kinnitust) tasuks seda protsessi muuta.
Loomulikult on olemas ka tehnilised vahendid vähendamaks pettuse ohvriks langemise riski.
Tasub meeles pidada, et kui asi puudutab raha on parem olla veidi paranoiline kui ülemäära usaldav.
Kui soovite e-maili pettuse vältimise võimalustest rohkem teada, võtke meiega ühendust:
Toomas Mõttus
toomas.mottus@primend.com
19.10.2017