Deskribapena
Phishing mota bat da CEOaren iruzurra, hau da, pertsona bat, erakunde bat edo zerbitzu bat ordezteko teknika, zeinaren bidez zuzendari exekutiboa (CEO) edo erakundearen barruan kargu garrantzitsu bat duen edozein pertsona ordezten den, haren kontutik email bat bidaliz datu konfidentzialak edo transferentzia/ordainketa jakin bat egiteko eskatuz, enpresaren ohiko prozesuetatik kanpo.
Iruzurgileak biktimak aztertzen ditu eta enpresari buruzko informazioa biltzen du. Konpainiaren organigrama eta ohiko eragiketak zein diren dakienean, erakundeko CEOaren edo goi-kargu baten nortasuna ordezten du, normalean haren posta-kontua konprometituta edo jatorrizkoaren antzekoa den helbide bat sortuta. Ondoren, mezu elektronikoak bidaltzeari ekiten dio hirugarren bati ordainketa eskatzeko, betiere modu urgente eta konfidentzialean. Biktima presionatzea da helburua, afera urgentea dela helaraziz. Jarraibideak jaso ondoren, iruzurgileak kontrolatzen dituen kontuetara egiten ditu eskatutako ordainketak iruzurra jaso duen enplegatuak.
Laburbilduta, CEO baten ordezkapenean gertatzen diren faseak ondoren aipatzen direnak dira:
- 1. fasea - Biktimaren hautaketa: ordeztu nahi den pertsona identifikatzen da, pertsona horri dagokion enpresaren sektorea ikertzen da, eta horrekin batera, haren harreman-sarea, haren kolaboratzaileak, ohiko transakzioak, eta abar.
- 2. fasea. – Prestaketa: Pertsonaren kontuaren segurtasuna konprometitzen da edo oso antzeko domeinu bat erregistratzen da, zeina legitimoak diruditen mezu elektronikoak bidaltzeko erabiliko den.
- 3. fasea - Enplegatuaren manipulazioa: transferentziak egiteko baimenak dituen edo informazio sentsiblerako sarbidea duen enplegatu batekin jartzen da harremanetan erasotzailea, ingeniaritza sozialeko tekniken bidez, horrela hari iruzur egiteko.
- 4. fasea - Enplegatuaren erreakzioa: eskatzen zaiona zalantzarik gabe egiteko erreakzioa izan dezake enplegatuak, normalean mezua urgentea izaten baita. Hori horrela, enplegatuak ez du egiaztatzen emaila zein helbidetatik bidali den, mezua behar bezala idatzita ote dagoen egituraren edo gramatikaren aldetik, edo eskariak enpresaren ohiko jokabidearen barruan zentzua ote duen.
- 5. fasea - Inpaktua: Ziberdelitugileek erabiltzen dituzten kontu-zenbakiak hirugarren herrialdeetakoak edo paradisu fiskaletakoak izaten dira, Europakoekin alderatuta politika desberdinak dituzten lekuetakoak. Legeria desberdin batek, ordu- eta hizkuntza-aldeekin batera, oso misio zail bihurtzen dute transferentzien deuseztapena edo diruaren jarraipena egitea.
Adibideak:
Prebentzio-aholkuak
Iruzur horren biktima izatea saihesteko, enpresak honako ekintza hauek bere jardunean txertatzea aholkatzen dugu:
- Ordainketa-prozesuen definizioa
Pausoz pauso dokumentatzea nola egin behar diren enpresetako ordainketa-prozesuak. Ohiko prozedurak eta prozedura bereziak eduki behar ditu dokumentazioak, hala nola ohiko baimen-emailerik ez egotea edo presakako eskariak izatea, enplegatuek betiere uneoro nola jokatu behar duten jakin dezaten eta iruzurra saihesteko helburuarekin.
- Konfigurazio sendoa
Emailak eskaneatzeko erremintak instalatzea ohikoak ez diren domeinuetatik datozen mezu elektronikoak edo eduki gaizto edo iruzurrezkoa dutenak detektatu eta blokeatzeko.
- Enplegatuen kontzientziazioa
- Enplegatuei erakustea nola ezagutu ditzaketen ingurune digital batean gertatzen diren maula eta iruzur ohikoenak.
- Prestakuntzak egitea enplegatuek goitik behera ezagutu ditzaten beren lanpostuari buruzko prozedurak.
- Enplegatuak kontzientziatzea prozedura horiek egikaritzean pauso bakar bat ere jan ez dezaten presioaren ondorioz.
- Gardentasunaren kultura bat sustatzea prozesu eta transakzioetan mezu elektronikoen eta iruzurrezko eskarien faltsutasuna nabarmena izan dadin.
- Mezuen jatorri diren helbide elektronikoak egiaztatzea.
- Pasahitzak edo informazio sentsiblea on line inoiz ere ez ematea.
- Enplegatuei azaltzea beren bizitza profesionalei buruz informazioa Interneten argitaratzeak dituen arriskuak zein diren eta horretaz nola babestu behar duten.
Erantzun-aholkuak
CEOa ordezteko saio bat dela susmarazten digun email bat edo mezu bat jasotzen badugu, zehatz-mehatz aztertu behar da mezuaren edukia:
- Xehetasunak arduraz egiaztatzea, hala nola izenak, iturriaren helbideak eta sinadurak.
- Mezu urgente eta espero ez direnen egiazkotasuna beste komunikazio-kanal baten bidez egiaztatzea, hala nola igorlearekin zuzenean hitz egitea, haiei deitzea edo testu-mezuak bidaltzea.
- Akats gramatikalak eta ortografia-akatsak bilatzea.
- Iruzurra dela identifikatzen bada Zibersegurtasuneko Euskal Zentroaren zibersegurtasuneko gorabeherei aurre egiteko aholkularitza-zerbitzuari bidal diezaiokezue mezua aztertu eta mehatxua arintzeko dagozkion neurriak har ditzan.
Esteka Interesgarriak
https://www.incibe.es/protege-tu-empresa/avisos-seguridad/fraude-del-ceo
https://www.osi.es/sites/default/files/docs/guia_fraudes/guia-fraudes-online.pdf
https://www.europol.europa.eu/sites/default/files/documents/es_1.pdf
https://www.welivesecurity.com/la-es/2020/05/04/fraude-del-ceo-que-es-como-reconocer-esta-estafa/
https://www.bbva.com/es/fraude-al-ceo-como-funciona-y-como-prevenirlo/
https://www.caixabank.es/particular/seguridad/suplantacion-de-identidad_es.html
