Dr. Arben Murtezić o slučaju "Igman": Kako prepoznati e-mail koji firmu može koštati miliona?

Prošle sedmice u javnosti se dosta govorilo o slučaju u kojem je kompanija "Igman" iz Konjica postala žrtva kompjuterske prevare u milionskom iznosu. Šta se zaista dogodilo u ovom konkretnom slučaju utvrdiće nadležni organi te odlučiti o stepenu i vrsti odgovornosti.

Piše: Dr. Arben Murtezić, za portal Radiosarajevo.ba*

Kao i uvijek, institucijama treba omogućiti da rade bez pritiska, zato se ovdje bavimo generalnim problemom jednog od finansijski najopasnijih oblika digitalnog kriminala koji se naziva Business Email Compromise (BEC) odnosno kompromitiranje ili zloupotreba poslovnih e-mailova.

Trending

Dr. Arben Murtezić o slučaju "Igman": Kako prepoznati e-mail koji firmu može koštati miliona?

Primjera radi, prema zvaničnom izvještaju FBI za 2025. godinu, samo kompanije iz Sjedinjenih Američkih Država su na ovaj način, izgubile preko 3,04 milijarde dolara. Suštinski, to su prevare u kojima kriminalci koriste lažne poslovne e-mailove kako bi naveli zaposlenika da prebaci novac, ili preda osjetljive informacije.

BEC karakteriše visok stepen uspješnosti. Tako prema Microsoft Digital Defense izvještaju ovakvi napadi čine tek oko dva posto svih uočenih cyber prijetnji, ali čak 21 posto od svih uspješnih napada u kompanijama. I u ovom slučaju se potvrđuje da nas globalni napredak i poboljšanja mogu mimoići, ali problemi i negativni trendovi nikako.

Zabranjeno preuzimanje teksta bez pismenog odobrenja Redakcije portala Radiosarajevo.ba!

Najčešći oblici prevara

Dakle, govorimo o cyber kriminalu u širem smislu jer glavna meta nisu računari, nego ljudi koji donose odluke i imaju pristup finansijama. Tako da, iako, kada govorimo o cyber kriminalu, obično zamišljamo tehničke napade koje mogu izvesti samo vrhunski stručnjaci, BEC često ne zahtijeva gotovo nikakvo posebno tehničko znanje.

Upravo je posebno opasan zato što e-mailovi uglavnom nemaju sumnjivih priloga, virusa niti očigledno lažnog linka. Budući da većina tradicionalnih sigurnosnih sistema traži štetne datoteke i linkove, ovakva poruka može proći kroz zaštitne filtere. Postoji nekoliko tipičnih oblika BEC prevare. Jedan od najčešćih jeste lažna faktura. Napadač se predstavlja kao poznati dobavljač i obavještava firmu da su promijenjeni bankovni podaci. Sama faktura može izgledati autentično, ali novac odlazi na račun koji kontroliše kriminalac.

Drugi poznati oblik jeste "direktorska prevara" kada odgovorni u računovodstvu dobijaju poruku navodnog direktora koji traži hitan transfer.

Postoji jedna priča da je jedna naša firma pošteđena ogromne štete zbog toga što je u jednom takvom e-mailu navodni direktor persirao šefa računovodstva, s kojim je stvarni direktor inače u prijateljskim odnosima. Šefu računovodstva u nalogu za transfer ništa nije bilo sporno suštinski, ali ga je zabolio službeni ton, tako da ništa nije mogao uraditi dok to ne riješi te je otišao kod direktora. Nakon kraće diskusije u kojoj su vjerovatno obojica mislila da sa ovim drugim nešto nije u redu, sve se razjasnilo uvidom u e-mail. Značajan iznos je spašen, a piće poslije posla ne samo zasluženo već i neophodno. 

Proces prevare često počinje mnogo prije nego što stigne sporni e-mail. Napadač prvo bira firmu i prikuplja podatke sa njene web-stranice, LinkedIna, drugih društvenih mreža, javnih registara i poslovnih objava. Pokušava saznati ko je direktor, ko radi u finansijama, ko odobrava transakcije, s kojim dobavljačima firma posluje i kada je određena osoba na putovanju.

Tako se e-mailovi često završavaju porukom da pošiljaoca neće biti moguće kontaktirati jer ulazi u avion ili slično. Iznos se često pažljivo bira kako ne bi djelovao neuobičajeno i izazvao dodatnu provjeru.

Svako zlo za neko dobro

Svako zlo za neko dobro, poznata je poslovica, a ovo je jedna od ne tako čestih prilika u kojoj bi mogla imati i smisla. Naime, bez obzira na važnost i sofisticiranost tehničkog aspekta, podizanje svijesti je nezaobilazan stub svake strategije o kompjuterskoj sigurnosti. Uzgred budi rečeno, Bosna i Hercegovina je vjerovatno jedina zemlja u Evropi koja ovu strategiju nema.

Ništa, nažalost, u svrhu podizanja svijesti ne može poslužiti bolje od primjera koji postane poznat javnosti. Međutim, prijavljivanje i javno objavljivanje jeste jedan od najvećih problema u borbi protiv kompjuterskog kriminala.  Tamna brojka kompjuterskog kriminala, koja označava jaz između stvarnih i službeno prijavljenih djela, ogromna je i, prema više različitih izvora, oko 85% slučajeva ostaje neprijavljeno.

Kompanije najčešće skrivaju kompjuterske napade iz straha od gubitka ugleda i povjerenja klijenata,  kod dioničkih društava takve vijesti gotovo trenutno ruše cijenu dionica, dok menadžment istovremeno bježi od drakonskih kazni od strane regulatora i masovnih kolektivnih tužbi žrtava curenja podataka.

Budući da zbog ovog prikrivanja zvanične policijske statistike nisu ni približno tačne, stručnjaci su prisiljeni na "stručno nagađanje", odnosno procjenjivati stvarnu štetu indirektnim i složenim metodama. To čine između ostalog, provođenjem strogo anonimnih anketa među direktorima sigurnosti u industriji i nadzorom hakerskih foruma na Dark Webu, gdje se trguje ukradenim bazama podataka.

E-mail se uvijek provjerava dva puta

Važnu ulogu imaju i vodeće IT kompanije koje analiziraju podatke miliona antivirusnih sistema širom svijeta, što im omogućava da kroz matematičke modele i zabilježene anomalije izračunaju realne ekonomske gubitke u digitalnom prostoru.

Niz je savjeta i mjera koje se preporučuju radi sprječavanja ovih prevara. Između ostalog, firme trebaju imati procedure koje sprječavaju da jedna poruka i jedna osoba budu dovoljne za veliki transfer, a promjene bankovnih podataka treba potvrditi telefonskim pozivom na ranije poznati broj, a ne na broj naveden u sumnjivom e-mailu.

Očigledan znak upozorenja jeste neobjašnjiva žurba. Sumnjive su i iznenadne promjene instrukcija za plaćanje, zahtjevi da se komunikacija odvija samo putem e-maila, odbijanje telefonskog razgovora, zahtjevi za predujam koji ranije nije bio uobičajen i promjene podataka za isplatu plata. Posebnu pažnju treba obratiti na e-mail adrese koje se od stvarnih razlikuju samo u jednom slovu ili znaku.

Tehnička zaštita je naravno važna: višefaktorska autentifikacija, upozorenja za prijave iz stranih država, zaštita od lažiranja domena, evidencija promjena na e-mail računima i sistemi koji prepoznaju neuobičajene obrasce komunikacije. Napredni alati mogu analizirati ko s kim obično komunicira, kojim stilom i u kojem kontekstu, pa označiti poruku koja odstupa od uobičajenog ponašanja.

Međutim, ono što je, vjerovatno najpoznatiji haker na svijetu, Kevin Mitnick, konstatovao prije više decenija u vremenu dial-up interneta, vrijedi i danas u eri vještačke inteligencije. Ukratko, novac koji se potroši na tehničku zaštitu sistema je bačen, ako se ne ojača naslabija karika u lancu bezbjednosti, a to su zaposleni koji koriste te računarske sisteme.

*Dr. Arben Murtezić je doktor pravnih nauka iz oblasti međunarodnog prava s fokusom na borbu protiv kompjuterskog kriminala. Autor je knjiga i naučnih radova iz oblasti cyber sigurnosti, digitalnih dokaza i cyber kriminala. Autor je bivši glavni državni disciplinski tužilac i direktor Centra za edukaciju sudija i tužioca FBiH.

* * *

Mišljenja i stavovi objavljeni u rubrici "Ja mislim" su isključivo lični stavovi autora tekstova i moguće da ne odražavaju stavove redakcije portala Radiosarajevo.ba.