»Spremenili smo TRR«: kako računovodstvo zaščititi pred plačilno prevaro

Kako deluje prevara s spremembo TRR

Prevara s spremembo transakcijskega računa je preprosta: računovodstvo prejme e-sporočilo, ki je videti, kot da ga je poslal stalni dobavitelj, z obvestilom, da se je njegov TRR spremenil. Naslednji račun podjetje plača na novi IBAN, denar pa konča pri napadalcu. Najučinkovitejša zaščita je pravilo, da se podatki o računu dobavitelja nikoli ne spremenijo samo na podlagi e-sporočila, ampak šele po povratnem klicu na številko, ki jo že imate v svoji evidenci.

Takšna prevara ne potrebuje zlonamerne kode in je protivirusni program ne ustavi. Sporočilo pogosto pride iz pravega, a prevzetega predala dobavitelja ali z domene, ki se od prave razlikuje za eno črko. Zato je tehnična zaščita le druga obrambna črta.

Kako je videti v praksi

Vzemimo kovinsko-predelovalno podjetje iz Velenja s šestdesetimi zaposlenimi in tremi ljudmi v računovodstvu. Pločevino kupujejo pri italijanskem dobavitelju, s katerim sodelujejo leta. Napadalec je pred tem prevzel poštni predal prodajnega referenta pri dobavitelju in tedne bral korespondenco. Pozna zneske, roke in celo ime računovodkinje v Velenju.

V petek popoldne pride sporočilo iz istega niza pogovorov kot vedno: zaradi menjave banke naj podjetje odprti račun za 38.000 € plača na nov IBAN, priložen je dopis z logotipom in podpisom. Nič ni sumljivega, razen da je nova banka v drugi državi in da se mudi. Če računovodkinja spremeni podatke v Pantheonu ali Minimaxu in pripravi plačilo, je denar v ponedeljek zjutraj že prenesen naprej.

Znaki, ki morajo sprožiti preverjanje

Nobeden od teh znakov sam po sebi ne dokazuje prevare, vsak pa je razlog za preverjanje:

• obvestilo o novem računu pride po e-pošti, brez predhodnega dogovora,
• nova banka je v drugi državi kot sedež dobavitelja ali kot prejšnja banka,
• sporočilo poudarja nujnost, zaupnost ali grozi z zamudnimi obrestmi,
• naslov pošiljatelja ali naslov za odgovor se razlikuje v eni črki ali končnici,
• v sporočilu je prošnja, naj se ne odgovarja na običajni naslov ali naj se ne kontaktira nikogar drugega,
• spremenjen je tudi naziv prejemnika, ki se ne ujema več povsem z imenom podjetja.

Postopek, ki prevaro ustavi

Kontrola mora biti zapisana in veljati za vse, tudi za direktorja. Predlagamo tak postopek:

1. Spremembe samo prek obrazca. Nov TRR dobavitelja se vnese le na podlagi pisnega obrazca, ki ga podpiše odgovorna oseba pri dobavitelju.
2. Povratni klic na znano številko. Preverjanje opravite s klicem na številko iz pogodbe ali iz starejše evidence, nikoli na številko iz novega sporočila.
3. Načelo štirih oči. Spremembo podatkov vnese ena oseba, potrdi pa druga. V računovodskem programu nastavite pravice tako, da ena oseba ne more opraviti obojega.
4. Čakalni rok. Prvo plačilo na nov račun izvedite šele po nekaj dneh ali najprej nakažite manjši znesek, ki ga dobavitelj potrdi.
5. Preverjanje prejemnika pri banki. Pri nakazilih v evrih banke zdaj preverijo, ali se ime prejemnika ujema z IBAN. Opozorila o neujemanju nikoli ne preskočite, ampak plačilo ustavite in preverite.
6. Zapis. V evidenco dobaviteljev zapišite, kdo je spremembo preveril, kdaj in s kom je govoril.

Tehnična zaščita e-pošte

Ko je postopek urejen, tehnični ukrepi zmanjšajo število prevar, ki sploh pridejo do računovodstva. V Microsoft 365 ali Google Workspace so na voljo brez velikih dodatnih stroškov:

Zadnja dva ukrepa varujeta tudi vaše stranke. Prevara deluje v obe smeri: če napadalec prevzame predal vaše prodaje, bo vašim kupcem pošiljal obvestila o vašem novem TRR.

Različica z »direktorjem«

Sorodna oblika prevare ne posnema dobavitelja, ampak vodstvo. Računovodstvo prejme kratko sporočilo, navidezno od direktorja, ki je na sejmu ali dopustu: potrebuje nujno nakazilo za varščino, prevzem ali svetovalca, o tem pa naj nihče ne govori. Pravilo je isto. Nobeno nenapovedano plačilo, ki pride samo po e-pošti ali v aplikaciji za sporočanje, se ne izvede brez preverjanja po drugem, že znanem kanalu. Vodstvo naj to pravilo samo javno podpre, sicer si ga zaposleni ne bodo upali uporabiti, ko bo sporočilo podpisal »šef«.

Usposabljanje, ki ga ljudje res uporabijo

Splošno predavanje o kibernetski varnosti računovodstvu ne pomaga veliko. Koristnejša je kratka delavnica na resničnih primerih: kako je bilo videti ponarejeno sporočilo, kje je bila napaka v domeni, kako zveni klic, ko napadalec dodatno pritiska. Vključite tudi tajništvo in nabavo, saj prejemajo isto vrsto sporočil. Ponovite jo enkrat na leto in ob vsaki zaposlitvi v računovodstvu.

Kaj storiti, če je denar že odšel

Čas je ključen. Prve ure odločajo, ali bo banka denar še lahko zadržala.

1. Takoj obvestite svojo banko in zahtevajte odpoklic plačila. Pri čezmejnih nakazilih je možnost uspeha manjša, a ne nična.
2. Prijavite kaznivo dejanje policiji in obvestite SI-CERT, ki pomaga pri razumevanju napada.
3. Obvestite pravega dobavitelja po preverjenem kanalu, saj je njegov predal verjetno prevzet.
4. Preverite svoje predale: prijave iz neznanih držav, nova pravila za posredovanje in aplikacije s pravicami do pošte.
5. Če so bili izpostavljeni osebni podatki, presodite, ali gre za kršitev, ki jo morate prijaviti Informacijskemu pooblaščencu. O pravnih posledicah se posvetujte s pravnim svetovalcem.

Kje začeti

Najprej zapišite postopek za spremembo podatkov dobaviteljev in ga predstavite računovodstvu, kar lahko storite že ta teden. Nato preverite nastavitve pošte in prijav. Pri tehničnem delu vam pomagamo v okviru storitev poslovna e-pošta in koledarji ter nadzor dostopa in zaščita končnih točk. Delavnico za računovodstvo in nabavo na vaših primerih izvedemo prek videoklica v okviru izobraževanj za podjetja.