Nasza firma wykorzystana w masowym oszustwie fakturowym - Jak uchronić się przed cyberprzestępcami

Uwaga na oszustów! Nasza marka wykorzystana w próbie wyłudzenia

Dziś chcę podzielić się z Wami historią, która pokazuje, jak sprytni i bezwzględni potrafią być cyberprzestępcy. Nasza firma nie padła ofiarą oszustwa, ale została wykorzystana jako narzędzie do próby wyłudzenia pieniędzy od innych przedsiębiorstw. Oto co się wydarzyło i czego możemy się z tego nauczyć.

Nieoczekiwany czwartek

Wszystko zaczęło się w czwartek o 8:22. Nagle zaczęliśmy odbierać dziwne telefony i maile od firm, z którymi nawet nie współpracowaliśmy. Pytali o fakturę na 12 000 zł netto za "analizę e-commerce", której nigdy nie wystawiliśmy.

Szybko zorientowaliśmy się, że ktoś bezprawnie wykorzystał naszą markę do oszustwa na dużą skalę.

Skala problemu: setki fałszywych faktur

Z każdą godziną odkrywaliśmy coraz więcej szczegółów. Okazało się, że oszuści wysłali ponad 400 fałszywych faktur do różnych firm w całej Polsce! Wyobraźcie sobie: gdyby tylko 2% firm dało się nabrać, przestępcy mogliby wyłudzić ponad 100 000 zł.

Jak działali oszuści?

Przeanalizowaliśmy dokładnie całą sytuację i odkryliśmy schemat działania przestępców:

1. Kradzież tożsamości firmy Oszuści skopiowali nasze logo, dane i styl komunikacji. Stworzyli przekonującą kopię faktury rzekomo z naszej firmy.
2. Tworzenie listy potencjalnych ofiar Wytypowali firmy, które mogłyby korzystać z usług konsultingowych w e-commerce - dokładnie takich, jakie oferujemy.
3. Fałszywe adresy e-mail Stworzyli adresy łudząco podobne do adresów osób pracujacych w firmie która byłą celem ataku. Na przykład, zamiast [email protected], użyli [email protected].
4. Masowa wysyłka fałszywych faktur Z tych spreparowanych adresów wysłali setki maili do działów księgowości różnych firm, prosząc o "pilne opłacenie załączonej faktury", mail wyglądał jak prośba prezesa o pilne opłącenie faktury wysłana do działu księgowego. Dział księgowy nie ma wglądu we wszystkie prace jakie są zlecena na zewnatrz w danej firmie dlatego nie był w stanie na tej podstawie zweryfkować prawdziwości tego kosztu. Rzecz jasna JCD nie współpracowało z żadną z atakowanych firm!
5. Fałszywe konto bankowe Oczywiście, numer konta na fałszywych fakturach nie należał do nas, a do oszustów, to była jedyna różnica, dane firmy były prawdziwe, tylko numer konta nie!

Dlaczego to mogło zadziałać?

Oszustwo bazowało na kilku psychologicznych trikach:

1. Wykorzystanie znanej marki: Nasza reputacja miała uwiarygodnić oszustwo.
2. Presja czasu: "Pilna" faktura miała skłonić do szybkiego działania, bez dokładnej weryfikacji.
3. Rutyna: Wiele firm regularnie płaci faktury, więc taka prośba mogła nie wzbudzić podejrzeń.
4. Profesjonalizm: Fałszywe faktury były bardzo starannie przygotowane.

Jak się chronić? Praktyczne rady

1. Weryfikuj adres e-mail nadawcy Zwracajcie uwagę na najmniejsze różnice w adresach mailowych.
2. Sprawdzaj numer konta Zawsze porównujcie numer konta z poprzednimi fakturami lub potwierdzajcie go telefonicznie.
3. Nie ulegaj presji czasu Jeśli ktoś naciska na szybką płatność, to czerwona flaga. Zawsze znajdźcie czas na dokładną weryfikację.
4. Dzwoń i potwierdzaj W razie wątpliwości, zawsze lepiej zadzwonić do firmy oraz do pracownika od którego ją otrzymaliśmy i potwierdzić fakturę.
5. Edukuj zespół Przeszkolcie pracowników z rozpoznawania potencjalnych oszustw.

Nasze działania

Gdy tylko zorientowaliśmy się, co się dzieje, natychmiast przeszliśmy do działania:

1. Zgłosiliśmy sprawę na policję, dostarczając wszystkie zebrane dowody.
2. Powiadomiliśmy urząd skarbowy o fałszywych fakturach wystawionych w naszym imieniu.
3. Wspólnie z innymi firmami, które się z nami skontaktowały, zgłosiliśmy sprawę do banku, prosząc o zablokowanie konta oszustów.
4. Wysłaliśmy ostrzeżenia do wszystkich naszych klientów i partnerów mimo że oni nie byli tym razem na celowniku przstępców
5. Wzmocniliśmy nasze wewnętrzne procedury bezpieczeństwa.

Wnioski i refleksje

Ta sytuacja była dla nas wyzwaniem. Z jednej strony musieliśmy szybko działać, aby zapobiec oszustwom. Z drugiej - chronić naszą reputację i wyjaśniać sytuację zaniepokojonym firmom. Do poniedziałku odebraliśmy ponad 30 telefonów w tej sprawie. 

Jesteśmy pod ogromnym wrażeniem reakcji społeczności biznesowej. Otrzymaliśmy dziesiątki telefonów od firm, które chciały nas ostrzec i pomóc. To pokazuje, że wciąż jest w nas dużo empatii i chęci współpracy.

Co dalej?

Ta historia to ważna lekcja dla nas wszystkich. Świat cyfrowy, mimo swoich zalet, niesie ze sobą nowe zagrożenia. Musimy być czujni, edukować się nawzajem i wspólnie budować bezpieczniejsze środowisko biznesowe.

Zachęcam Was do dzielenia się tą historią. Im więcej osób będzie świadomych takich zagrożeń, tym trudniej będzie oszustom osiągnąć swój cel.

Jeśli macie podobne doświadczenia lub pytania dotyczące ochrony swojej marki w sieci, podzielcie się nimi w komentarzach. Razem możemy stworzyć silną sieć wzajemnego wsparcia i ochrony.

Pamiętajcie: w dzisiejszych czasach ostrożność to nie paranoja, to konieczność!

Epilog

Historia zatacza koło - 14 stycznia o godzinie 11:00 zaobserwowaliśmy powtórkę znanego już scenariusza. Do naszego zespołu ponownie zaczęły napływać liczne zgłoszenia od firm, które padły ofiarą nowego wariantu cyberataku. Tym razem przestępcy udoskonalili swoją metodę działania.

Oszuści wykorzystują brak odpowiedniej konfiguracji zabezpieczeń poczty elektronicznej (SPF lub DKIM) po stronie atakowanych firm. Dzięki temu mogą wysyłać wiadomości, które wyglądają jak autentyczna korespondencja pochodząca z firmowych domen ofiar.

To kolejne przypomnienie, jak istotne jest prawidłowe zabezpieczenie firmowych skrzynek pocztowych. Odpowiednia konfiguracja protokołów SPF i DKIM skutecznie utrudnia przestępcom podszywanie się pod adresy mailowe Waszych firm.

Wpis dotyczacy zabezpieczenia poczty
 

Autor: Adam Czajkowski

Z ponad dwudziestoletnim doświadczeniem w branży IT, jest ekspertem w tworzeniu użytkowych doświadczeń (UX) oraz doświadczonym deweloperem, specjalizującym się w architekturze aplikacji dedykowanych, w tym paneli webowych. Jego kariera jest świadectwem pasji do technologii i innowacji, łącząc umiejętności techniczne z wyczuciem estetyki, by tworzyć intuicyjne i efektywne rozwiązania. Dzięki bogatemu doświadczeniu jest w stanie skutecznie przekształcać złożone potrzeby biznesowe w przejrzyste, funkcjonalne aplikacje, co czyni go ekspertem w dziedzinie technologii i projektowania użytkowego.