Wprowadzenie do problemu / definicja
Duże przedsiębiorstwa coraz częściej stają się celem zaawansowanych kampanii socjotechnicznych, w których przestępcy podszywają się pod uczestników poufnych procesów fuzji i przejęć. Tego rodzaju oszustwa łączą cechy Business Email Compromise, spear phishingu oraz impersonacji kadry kierowniczej i zewnętrznych doradców. Celem nie jest zwykle kradzież danych, lecz nakłonienie pracownika do wykonania wysokokwotowego przelewu pod pozorem legalnej i pilnej transakcji korporacyjnej.
W skrócie
Opisywana kampania pokazuje, że cyberprzestępcy potrafią bardzo precyzyjnie rozpoznawać strukturę organizacyjną ofiary, historię przejęć, role pracowników oraz relacje biznesowe. Dzięki temu budują wiarygodną narrację oszustwa, w której ofiara otrzymuje polecenia zachowania pełnej poufności, przejścia na prywatne kanały komunikacji i realizacji pilnego transferu środków. W jednym z ujawnionych przypadków żądana kwota wynosiła 626 735,45 euro, a środki miały trafić do podmiotu w Hongkongu.
- atak był wymierzony w pracowników średniego i wyższego szczebla,
- wykorzystywano autorytet zarządu oraz rzekomych doradców,
- komunikacja była przenoszona poza firmowe systemy,
- celem było szybkie wykonanie przelewu o wysokiej wartości.
Kontekst / historia
Wyłudzenia finansowe bazujące na sfabrykowanych opłatach i fałszywych transakcjach są znane od lat, jednak w środowisku korporacyjnym ewoluowały w stronę wyjątkowo precyzyjnych ataków ukierunkowanych. W tym modelu atakujący nie tworzą całkowicie fikcyjnej historii, lecz osadzają oszustwo w realnym kontekście biznesowym ofiary. Wykorzystują wcześniejsze przejęcia, znane marki, spółki zależne i publicznie dostępne informacje o strukturze firmy.
Charakterystyczne dla tej kampanii było podszywanie się nie tylko pod członków kierownictwa, ale także pod renomowanych pośredników i doradców obsługujących rzekomą transakcję. Dzięki temu powstawała wielowarstwowa iluzja legalności: istniał poufny projekt, dokument o charakterze NDA, presja czasu oraz wyraźne polecenie zachowania tajemnicy. To przykład szerszego trendu, w którym przestępcy coraz częściej nadużywają zaufania do procesów biznesowych zamiast polegać wyłącznie na technicznych exploitach.
Analiza techniczna
Od strony operacyjnej kampania była przykładem dojrzałej socjotechniki wspartej rozpoznaniem typu OSINT. Przestępcy identyfikowali konkretnego pracownika, którego rola zawodowa uzasadniała udział w działaniach prawnych lub finansowych związanych z przejęciem. Następnie inicjowali kontakt przez komunikator lub inne kanały, wykorzystując detale zwiększające wiarygodność, takie jak numer telefonu zgodny z krajem pochodzenia osoby, pod którą się podszywali.
Kolejny etap polegał na zbudowaniu presji poufności. Ofiara otrzymywała instrukcję, aby nie angażować innych pracowników i prowadzić rozmowy przez prywatny e-mail lub komunikator. Z perspektywy bezpieczeństwa jest to kluczowy element obejścia kontroli organizacyjnych, ponieważ ogranicza widoczność incydentu dla zespołów SOC, systemów DLP, mechanizmów archiwizacji oraz detekcji anomalii w poczcie.
Narracja opierała się na prawdziwych elementach działalności firmy, ale zawierała logiczne niespójności. To ważna cecha współczesnych kampanii socjotechnicznych: historia nie musi być idealna, wystarczy, że jest dostatecznie prawdopodobna, by ofiara wykonała zadanie. W praktyce oznacza to skuteczne użycie mieszanki publicznie dostępnych danych, odpowiednio przygotowanych dokumentów, presji czasu i autorytetu rzekomego przełożonego.
W jednym z przypadków kluczowym momentem wykrycia była weryfikacja tożsamości podczas rozmowy głosowej. Pracownik zauważył, że głos osoby podającej się za członka kadry kierowniczej nie odpowiada rzeczywistej osobie. Pokazuje to, że nawet dobrze przygotowane kampanie mogą zawierać błędy operacyjne związane z voice impersonation, koordynacją narracji i spójnością szczegółów transakcji.
Konsekwencje / ryzyko
Ryzyko związane z tego typu oszustwami jest bardzo wysokie, ponieważ potencjalna strata ma charakter bezpośrednio finansowy i może sięgać setek tysięcy lub milionów euro bądź dolarów w ramach pojedynczego incydentu. W przeciwieństwie do wielu innych ataków cybernetycznych szkoda może wystąpić natychmiast po wykonaniu przelewu, bez potrzeby wdrażania malware, eksfiltracji danych czy eskalacji uprawnień.
Dodatkowym zagrożeniem jest obejście standardowych zabezpieczeń technicznych. Gdy komunikacja odbywa się przez prywatne kanały, klasyczne systemy ochrony poczty, EDR czy filtrowanie ruchu sieciowego mogą nie zarejestrować najważniejszej fazy ataku. W efekcie kampanie tego typu uderzają przede wszystkim w procesy decyzyjne, kulturę organizacyjną i słabe punkty kontroli płatności.
Istnieje również ryzyko wtórne. Udana próba może ujawnić informacje o strukturze organizacyjnej, procedurach akceptacyjnych oraz zachowaniach pracowników. Takie dane mogą zostać wykorzystane w kolejnych operacjach BEC, fraudach inwestycyjnych, vishingu lub atakach na partnerów biznesowych. W sektorach regulowanych dochodzą do tego konsekwencje reputacyjne, audytowe i związane z obowiązkami notyfikacyjnymi.
Rekomendacje
Podstawową linią obrony powinny być rygorystyczne kontrole procesu płatności, których nie można obejść ze względu na rzekomą tajność projektu ani presję ze strony fałszywego kierownictwa. Każdy transfer wysokiej wartości powinien wymagać niezależnej, wielokanałowej weryfikacji oraz stosowania zasady dual control lub four-eyes principle.
- wdrożenie formalnej procedury potwierdzania nietypowych dyspozycji finansowych i prawnych,
- weryfikacja przez znane i wcześniej zatwierdzone kanały kontaktu,
- obowiązkowe potwierdzanie zmian rachunków bankowych i płatności zagranicznych,
- rozszerzenie szkoleń o scenariusze związane z M&A, NDA i komunikacją poza systemami firmowymi,
- monitorowanie anomalii w procesach finansowych, a nie wyłącznie w infrastrukturze IT,
- regularne ćwiczenia tabletop z udziałem działów prawnych, finansowych, bezpieczeństwa i zarządu.
Szczególnie istotne jest także budowanie kultury organizacyjnej, w której pracownik ma prawo zatrzymać proces i zweryfikować polecenie, nawet jeśli wydaje się ono pochodzić od najwyższego szczebla zarządzania. W przypadku oszustw BEC to właśnie odporność proceduralna i decyzyjna bywa ważniejsza niż same mechanizmy techniczne.
Podsumowanie
Fałszywe transakcje fuzji i przejęć to dojrzała forma oszustwa BEC, która wykorzystuje jawne informacje biznesowe, autorytet kadry zarządzającej oraz presję poufności do wyłudzania wysokich kwot od dużych przedsiębiorstw. Kampanie tego typu nie muszą opierać się na zaawansowanym malware, ponieważ ich głównym celem jest obejście procedur i manipulacja człowiekiem. Najskuteczniejszą odpowiedzią pozostają twarde kontrole płatności, niezależna weryfikacja tożsamości oraz szkolenie pracowników w rozpoznawaniu narracji o „tajnej i pilnej transakcji”, która wymaga odejścia od standardowych procesów.