A számlacsaláshoz a támadónak többnyire kártevőre sincs szüksége, így a vírusirtó sem talál semmit. Egy könyvelő kap egy levelet egy ismert beszállítótól, amelyben az áll, hogy a cég bankszámlát váltott, és a következő számlát már az új számlára kérik. A könyvelő átírja a számlaszámot, a pénz elmegy, és két héttel később a valódi beszállító fizetési felszólítást küld.
Ez az üzleti levelezés kompromittálása, angol rövidítéssel BEC (Business Email Compromise). A támadás a levelezésen és a cég fizetési folyamatán át zajlik, ezért a védekezés is mindkét helyen kell: a levelezőrendszer beállításaiban és abban, hogyan hagyja jóvá a cég az utalásokat. Ez a cikk végigveszi, hogyan épül fel egy ilyen csalás, milyen technikai nyomokat hagy, és mi a teendő, ha a pénz már elment.
Mi a BEC, és miben más, mint a tömeges adathalászat
A tömeges adathalászat sok ezer címre küldi ugyanazt a levelet, és abból él, hogy a címzettek kis része rákattint egy hivatkozásra vagy megadja a jelszavát. A BEC célzott. A támadó egy konkrét céget választ, kideríti, ki fizeti a számlákat, kik a beszállítók, ki a cégvezető, és hogyan szoktak egymásnak írni. A levél egy valós üzleti helyzetbe illeszkedik, gyakran egy valódi levélváltás folytatása.
A BEC-levélben ritkán van hivatkozás vagy melléklet. A kérés maga a támadás: utaljon ide, változtassa meg a számlaszámot, vegyen ajándékkártyákat, küldje át a bérjegyzéket. Emiatt a hagyományos levélszűrő, amely kártékony fájlokat és hivatkozásokat keres, sokszor nem talál rajta kivetnivalót. Az ilyen levelek a social engineering eszközeivel dolgoznak, és a feladó tekintélyére építenek.
A kár nagyságát jól mutatja az amerikai FBI internetes bűnözéssel foglalkozó panaszközpontjának (IC3) 2024-es évről szóló, 2025 áprilisában kiadott jelentése. Eszerint 2024-ben a BEC-hez kapcsolódó bejelentett veszteség mintegy 2,77 milliárd dollár volt, ami a jelentés kategóriái közül a második legnagyobb. A szám csak az IC3-nak bejelentett eseteket tartalmazza, a valós kár ennél nagyobb.
Hamisított és átvett postafiók
A támadó két úton tud olyan levelet küldeni, amely egy ismert partnertől vagy a saját vezetőtől látszik érkezni.
Hamisított feladó
A legegyszerűbb a megjelenített név hamisítása. A levelezőkliens sokszor csak a nevet mutatja, például a cégvezető nevét, a mögötte álló cím pedig egy ingyenes postafiók. Mobiltelefonon, ahol a kliens még kevesebbet jelenít meg, ez különösen könnyen átmegy.
A második módszer a hasonló tartomány. A támadó regisztrál egy olyan tartományt, amely ránézésre a partneré: egy betűt felcserél, kötőjelet tesz bele, a .hu helyett .com végződést használ, vagy az „rn” betűpárral utánozza az „m” betűt. Erre a tartományra a támadó saját SPF-, DKIM- és DMARC-rekordot is beállíthat, így a levél minden hitelesítési ellenőrzésen átmegy, mert technikailag valóban arról a tartományról jön.
A harmadik a valódi tartomány hamisítása. Ezt az SPF, a DKIM és a DMARC megfelelő beállítása kiszűri, ha a fogadó oldal érvényesíti a DMARC-szabályt. Ahol a feladó tartományán nincs szigorú DMARC-szabály, ott a hamisított levél még célba érhet. A három rekordról a levelezési tartomány hitelesítéséről szóló cikk ír részletesen.
Átvett postafiók
Veszélyesebb, ha a támadó egy valódi postafiókot vesz át: a beszállító könyvelőjéét, a saját pénzügyes kollégáét vagy a vezetőét. Ehhez általában egy korábbi adathalász levéllel megszerzett jelszó vagy munkamenet-token kell. Az átvett fiókból küldött levél minden technikai ellenőrzésen átmegy, a megszokott aláírással és a korábbi levelek idézetével érkezik, és a címzett semmilyen formai eltérést nem lát.
Az átvett fiókban a támadó gyakran hetekig csak olvas. Megnézi, mely számlák esedékesek, ki kivel levelez, milyen hangnemben, és a legkedvezőbb pillanatban, például egy nagyobb számla kiküldése után szól közbe. Ha a beszállító fiókját vették át, a csalás a vevőt éri, holott a vevő rendszerében semmi nem romlott el.
A tipikus forgatókönyvek: bankszámlaváltozás és sürgős vezetői kérés
A bankszámlaváltozás
Az egyik jellemző forgatókönyvben a támadó egy beszállító nevében jelzi, hogy megváltozott a bankszámlaszám. Az indoklás hihető: bankváltás, könyvvizsgálat, átszervezés, egy anyavállalati számla. Néha módosított PDF-számlát is küld, amelyen csak a számlaszám más. A levél sokszor egy valódi számlázási levélváltásba érkezik, és a támadó a válaszokat is maga kezeli, hogy a gyanakvó visszakérdezés ne jusson el a valódi partnerhez.
Ennek egy változata a bérszámfejtést célozza: egy munkavállaló nevében kérik, hogy a fizetését mostantól egy másik számlára utalják.
A sürgős vezetői kérés
A másik klasszikus változatban a levél a cégvezetőtől érkezik, vagy annak látszik. Egy bizalmas ügyletről szól, egy felvásárlásról, egy külföldi partner előlegéről, és azonnali utalást kér, gyakran munkaidő végén vagy péntek délután. A levélben benne van, hogy a vezető most nem hívható, mert tárgyal vagy repülőn ül, és hogy az ügyről senkinek nem szabad beszélni. Ugyanez a minta jelenik meg, amikor ajándékkártyák vásárlását kérik, vagy amikor a levél egy magát ügyvédnek kiadó külső fél utalási kérését továbbítja.
A két forgatókönyv közös vonása, hogy a levél a szokásos ellenőrzés kikerülésére kér: sürgetéssel, titoktartással vagy azzal, hogy a megszokott kapcsolattartó éppen elérhetetlen.
Technikai jelek: hasonló tartomány, válaszcím, postafiók-szabály
Egy BEC-levél vagy egy átvett fiók több helyen is nyomot hagy. Ezek egy része a címzettnek is látható, másokat csak az üzemeltető talál meg a naplókban.
A feladó címe és a hasonló tartomány
Az első lépés mindig a teljes feladói cím megnézése, nem csak a megjelenített névé. A hasonló tartomány a gyors olvasásnál átcsúszik, ezért segít, ha a levelezőrendszer jelzi, hogy egy tartomány újonnan regisztrált, vagy hogy a feladó először ír a cégnek. Sok levélszűrőben beállítható megszemélyesítés elleni védelem a vezetők nevére és a fontos partnerek tartományaira, valamint egy figyelmeztető sáv a szervezeten kívülről érkező levelekre.
A válaszcím
A levél fejlécében a From és a Reply-To mező különbözhet. A támadó a feladót hagyhatja a valódi partner címén, a válaszcímet viszont a saját postafiókjára állítja. Ha a könyvelő a „Válasz” gombbal reagál, a levél már a támadóhoz megy. Ahol a Reply-To egy másik, a feladóétól eltérő tartományra mutat, ott ezt a levélszűrő vagy a kliens figyelmeztetése jól jelezheti.
A postafiók-szabály
Az átvett postafiókban a támadó gyakran létrehoz egy szabályt. Az egyik fajta a beérkező leveleket egy külső címre továbbítja, így a támadó a jelszócsere után is olvashatja őket. A másik fajta a partner válaszait vagy bizonyos kulcsszavakat, például „számla”, „utalás”, „bankszámla”, tartalmazó leveleket törli, vagy egy ritkán nézett mappába, például az RSS-hírcsatornák közé mozgatja. A MITRE ATT&CK tudásbázis mindkettőt külön technikaként tartja nyilván.
Ezekre a szabályokra érdemes bérlőszintű tiltást és riasztást beállítani: a külső címre irányuló automatikus továbbítást csak név szerint engedélyezni, és riasztást kérni minden olyan új szabályra, amely töröl vagy külső címre továbbít. Hogy egy felhős levelezőbérlőben mindez hol állítható, azt a bérlő biztonsági beállításairól szóló cikk írja le.
Bejelentkezési nyomok
Az átvett fiók a bejelentkezési naplóban is látszik: szokatlan országból vagy szolgáltatói hálózatból érkező belépés, új eszköz, új MFA-módszer regisztrálása, illetve egy olyan bejelentkezés, amely közvetlenül egy adathalász levél megnyitása után történt. Ezek a jelek akkor használhatók, ha a naplót valaki nézi, és a naplók elég ideig megmaradnak.
Folyamatkontrollok: visszahívás ismert számon, kettős jóváhagyás
Ahol a levél minden szűrőn átjut, ott a fizetési folyamat a következő védvonal. A cél az, hogy egyetlen levél alapján semmilyen utalási adat ne változhasson meg, akkor sem, ha a könyvelő a csalást nem ismeri fel.
Visszahívás ismert számon
Minden bankszámlaszám-változást telefonon kell megerősíteni, egy korábban rögzített, ismert telefonszámon. Ez a szám a szerződésből, a partnertörzsből vagy egy korábbi, régi levélből származzon, ne abból a levélből, amely a változást kéri, mert abban a támadó a saját számát adja meg. A visszahívás ugyanígy kell a vezetői utalási kérésnél is, akkor is, ha a levél szerint a vezető éppen nem elérhető.
Kettős jóváhagyás
A partnertörzsben a bankszámlaszám módosítását és egy új kedvezményezett első utalását két külön ember hagyja jóvá. Így egyetlen megtévesztett munkatárs nem tudja végigvinni a változtatást. A banki rendszerekben is beállítható, hogy egy összeghatár fölött vagy új kedvezményezettnél két aláíró kelljen.
További szabályok
- Változás után türelmi idő: az új számlaszámra az első utalás csak a visszahívás után és néhány nap elteltével induljon.
- Írásos szabály, amelyet a partnerek is ismernek: a cég e-mailben soha nem kér számlaszám-változást, és nem kér titkos, sürgős utalást.
- Kedvezményezett-ellenőrzés: az azonnali átutalásokról szóló (EU) 2024/886 rendelet szerint euróátutalásnál, azonnali és normál utalásnál egyaránt, a banknak utalás előtt egyeztetnie kell a kedvezményezett nevét a számlaszámmal. Az euróövezetben ez 2025. október 9. óta kötelező, az euróövezeten kívüli tagállamokban, így Magyarországon 2027. július 9-től. A forintutalásokra a rendelet nem vonatkozik. Ahol a bank ilyen ellenőrzést végez és eltérést jelez, azt komolyan kell venni.
- Képzés a pénzügyi és az asszisztensi munkakörökben: a munkatárs tudja, hogy a visszahívás kötelező lépés, és ha egy vezető sürgeti, az ellenőrzés mellett kiállni nem hiba.
Gyakori gyenge pont, hogy a folyamatban van egy kivétel: egy vezető, akinek a kérését nem szokás ellenőrizni, vagy egy partner, akit annyira ismernek, hogy a visszahívás udvariatlannak tűnik, ezért a szabálynak ezekre az esetekre is vonatkoznia kell.
Mi a teendő, ha az utalás már elment
Itt az idő számít a legtöbbet. Azonnali átutalásnál a pénz másodpercek alatt a másik számlán van, és a csalók jellemzően gyorsan továbbutalják vagy felveszik. Minél előbb lép a cég, annál nagyobb az esély, hogy a fogadó bank még zárolni tudja az összeget.
- Azonnal hívja fel a saját bankját, ne e-mailben jelezzen. Kérje a tranzakció visszahívását és azt, hogy a bank vegye fel a kapcsolatot a fogadó bankkal. A bank megmondja, milyen nyilatkozatot kell aláírni.
- Tegyen feljelentést a rendőrségen. A bankok gyakran ehhez kötik a további lépéseket, és a nyomozáshoz is erre van szükség.
- Értesítse a valódi partnert ismert telefonszámon. Ha az ő postafiókját vették át, neki is lépnie kell, és más vevői is veszélyben lehetnek.
- Vizsgálja meg a saját levelezését. Ha a levél a cég saját fiókjából vagy egy belső kolléga nevében jött, cseréljék le a jelszót, vonják vissza az aktív munkameneteket, töröljék a támadó által regisztrált MFA-módszereket, vagy ha ez nem egyértelmű, az összeset, és a felhasználó regisztráljon újra, nézzék át a postafiók-szabályokat és a továbbításokat, és mentsék el a bejelentkezési és auditnaplókat, mielőtt felülíródnak.
- Őrizze meg a bizonyítékokat: az eredeti leveleket teljes fejléccel, a módosított számlát, az utalási bizonylatot és a bankkal folytatott levelezést.
Ha a vizsgálat szerint egy postafiók valóban kompromittálódott, az már adatvédelmi incidens is lehet, mert a támadó olvashatta a fiók leveleit. Erről a vezetőségnek és az adatvédelmi tisztviselőnek is tudnia kell. Az első órák általános teendőiről az incidens utáni első 24 óráról szóló cikk ír.
Kapcsolódó szolgáltatás: E-mail biztonság →
