Mesajele false despre rambursări de la ANAF exploatează încrederea antreprenorilor
Alin Becheanu, de la ING Bank România, avertizează că escrocii folosesc pretexte precum rambursările ANAF pentru a obține acces la conturi și dispozitive. Pentru firme, recomandările includ instruirea angajaților, reguli de aprobare a plăților și verificarea securității sistemelor.
Mesajele care anunță o rambursare de la ANAF pot fi folosite pentru a convinge antreprenorii să ofere date bancare, coduri de autentificare sau acces la dispozitive. Într-un episod al podcastului „Mai departe în business”, Alin Becheanu, Head of Fraud Monitoring & Prevention la ING Bank România, explică mecanismele acestor fraude și măsurile pe care le pot lua firmele.
Cum funcționează schema cu rambursarea ANAF
Un apelant se prezintă drept inspector ANAF și spune că are nevoie de date bancare pentru ca banii să ajungă mai repede. Apoi poate cere coduri OTP, acces la dispozitiv, o tranzacție de test sau autentificarea în aplicația bancară, după care solicită victimei să-i lase controlul.
Becheanu subliniază diferența dintre a primi bani și a face o plată: pentru încasare este suficient contul bancar. Userul, parola și codurile de autentificare nu trebuie furnizate. Deși IBAN-ul nu este la fel de sensibil ca datele cardului, el recomandă atenție la informațiile publicate și la persoanele cărora le sunt transmise.
Transferurile rapide și scenariile pregătite
Potrivit lui Becheanu, transferurile instant pot trimite banii către atacatori în câteva secunde. Înainte, escrocheriile comerciale se bazau adesea pe ordine de plată sau extrase false și pe promisiunea că banii vor intra în câteva zile, în timp ce victima livra marfa imediat.
Atacatorii pot împărți activitățile între persoane care sună, deschid conturi și mută sau retrag banii. Victimele sunt pregătite să răspundă inclusiv unui apel ulterior din partea băncii, iar atacatorii le oferă explicații pentru tranzacție. Becheanu descrie aceste scheme ca operațiuni organizate, nu ca acțiuni izolate ale unui singur hacker.
Reguli de securitate pentru firme
Pentru companii, recomandările includ teste de penetrare realizate de firme specializate, instruire recurentă și simulări interne de phishing. Angajații ar trebui să știe cui raportează un click greșit și ce măsuri urmează. Accesul la datele clienților poate fi limitat pe roluri, iar accesările pot fi auditate.
Becheanu recomandă și reguli de aprobare a plăților, cu doi aprobatori pentru anumite sume, precum și verificarea telefonică a unei schimbări de IBAN comunicate de un furnizor. Printre măsurile menționate se mai numără autentificarea în doi pași, folosirea unui VPN pentru acces la distanță și separarea laptopului personal de cel de serviciu.
Următorii pași pentru firme sunt stabilirea regulilor interne de plată și raportare, instruirea angajaților și evaluarea securității site-ului printr-un test realizat de specialiști.
Sursa: start-up.ro