А босс то не настоящий! Хакеры звонят главбухам и с помощью аудиодипфейков заставляют переводить миллионы со счета

Эксперты по информационной безопасности отмечают с начала 2024 года рост атак по мошеннической схеме FakeBoss (ложный начальник).

При этом аудиодипфейк моделируется с помощью технологии искусственного интеллекта на основании фрагмента речи человека. Его можно получить, в том числе, и позвонив по номеру телефону руководителя компании от имени его фитнес клуба, банка или любой другой организации.

Многочисленные утечки персональных данных существенно облегчают задачу злоумышленников, предоставляя им массу данных о человеке, включая номер мобильного телефона. 

На Западе аудиодипфейки при мошеннических схемах FakeBoss используются уже достаточно давно. Еще в 2019 году в Великобритании хакерам удалось похитить €220 тыс. у энергетической компании, выдав себя за ее гендиректора и убедив в телефонном разговоре сотрудника перевести деньги.

Защитить компании от подобных атак с использованием социальной инженерии вполне реально. В данном случае спасение утопающих — не дело рук исключительно самих утопающих. Безусловно, главбуху нужно быть бдительным и при поступлении подобного звонка от директора (или сообщения в мессенджере) стоит задать наводящие вопросы боссу, чтобы удостовериться, что это действительно он, а не переводить миллионы непонятно куда. 

Но и кредитным организациям, где обслуживается компания, также необходимо озаботиться безопасностью средств своих корпоративных клиентов.

Банки не должны экономить на средствах подтверждения транзакций, в том числе юрлиц, а также на системах противодействия мошенническим вызовам — антифроде. Кроме того, защищенность компании от подобных атак повышается в разы, когда руководитель компании сам подтверждает платежи и при этом видит куда уходят деньги. 

Представим себе  ту же ситуацию — звонок Марии Ивановне от шефа, но платежи в этой компании подтверждается мобильной цифровой подписью и заверяется директором. Как только главбухом будет создана платежка в пользу фейкового контрагента ООО «Ромашка», генеральному директору придет сообщение о созданном платежном поручении на смартфон,  он увидит, что платеж контрагенту — «липа» и просто не подтвердит платеж. И хищения средств не будет.

И это не миф, а реальная практика. Многие банки, кто используют мобильную электронную подпись для подтверждения транзакций, разделяют формирующего платеж и подписанта, и таким образом отлавливают большого количество фрода (как внутреннего, со стороны недобросовестных сотрудников компании, так и различные атаки социальных инженеров).

Кстати, мобильная цифровая подпись используется и при обслуживании состоятельных клиентов банка (сегмент Private). Здесь мобильного или интернет-банка в целях безопасности в принципе нет, все платежи совершаются персональным менеджером по звонку клиента. Для защиты от ошибок, мошенничеств и внутреннего фрода банки при работе с состоятельными гражданами часто используют мобильную цифровую подпись. 

В этом случае клиент сообщает менеджеру куда переводить его миллионы, далее ему приходит на смартфон в специальное приложение сообщение от банка о будущей транзакции, человек проверяет куда идет платеж и подтверждает его.  Удобно и безопасно.

Но, к сожалению, пока банков, перешедших на подтверждение операций с помощью мобильной цифровой подписи, не так много. И потому хакеры продолжают атаковать компании через главбухов и многочисленные Марии Ивановны, услышав в трубке телефона разгневанный голос босса, спешат быстрее переводить миллионы непонятно кому.