הונאת ״שינוי פרטי בנק״ במייל (BEC): איך זה קורה בעסקים קטנים ואיך עוצרים את זה

הונאת דואר עסקי (BEC, Business Email Compromise) היא אחת הדרכים הנפוצות שבהן עסקים מאבדים כסף, בלי שום נוזקה על המחשב. התוקף שולח מייל שנראה כאילו הוא מגיע מספק, מלקוח או מהמנכ״ל, ומבקש לשנות את פרטי חשבון הבנק או לבצע העברה דחופה. לפעמים המייל מגיע מכתובת דומה, ולפעמים מהתיבה האמיתית של הספק, אחרי שנפרצה. הדרך העיקרית לעצור את זה היא לא כלי טכני אלא נוהל: כל שינוי פרטי בנק מאומת בטלפון למספר שכבר שמור אצלכם, ושני אנשים מאשרים כל העברה חריגה. לצד הנוהל: אימות דו-שלבי בדואר, הגדרות אימות דומיין, ותגובה מהירה מול הבנק אם הכסף כבר עבר.

המדריך הוא חלק מהמדריך לכשלי סייבר נפוצים.

שלושה תרחישים נפוצים

בתרחיש השלישי גם עובד זהיר יכול להיכשל, כי המייל באמת מגיע מהתיבה של הספק. לכן הנוהל לא סומך על המייל בכלל.

הנוהל: חמישה כללים

1. שינוי פרטי בנק = טלפון. מתקשרים למספר שכבר שמור במערכת, לא למספר שבמייל או בחשבונית.
2. שני אנשים לכל העברה מעל סכום שקבעתם, ולכל העברה לספק חדש.
3. אין חריגות ״דחופות וסודיות״. אם המנכ״ל מבקש לעקוף, התשובה היא ״נאמת בטלפון״, וזה בדיוק מה שהמנכ״ל צריך לבקש מראש מהצוות.
4. תיעוד: מי אימת, מתי ומול מי. תיעוד מסייע גם בבירור מול הבנק ומול הביטוח.
5. בדיקה תקופתית של שינויי ספקים בתוכנת הנהלת החשבונות: מי שינה פרטי בנק ומתי.

ההגדרות הטכניות שעוזרות

• אימות דו-שלבי בכל תיבות הדואר, ובראשן של מי שמאשר תשלומים.
• SPF, DKIM ו-DMARC לדומיין שלכם. הם מקשים להתחזות לכתובת שלכם. בקשו מספק הדואר או ה-IT לוודא שהם מוגדרים.
• סימון מיילים חיצוניים: תווית שמראה שהמייל הגיע מחוץ לארגון.
• התראה על כללי העברה חדשים בתיבות, וחסימה של העברה אוטומטית לכתובות חיצוניות.
• סינון דואר שמזהה כתובות דומות לשל ספקים ולשלכם.

אלה רכיבים נפוצים בשירות אבטחת דואר מנוהל. ראו השוואת השירותים.

דוגמה להמחשה: כמה עולה מניעה מול כמה עולה הונאה

עסק עם 20 עובדים, שלושה מהם מאשרים תשלומים.

העברה מוטעית אחת של 48,000 ₪ שווה לעלות של יותר מעשר שנים של המניעה בדוגמה. ההשוואה הזו לא אומרת שאירוע יקרה, אלא מראה סדר גודל. הנוהל עצמו כמעט לא עולה כסף.

אם הכסף כבר עבר

1. התקשרו לבנק מיד ובקשו לנסות לעצור או להחזיר את ההעברה. הזמן קריטי.
2. שמרו את כל המיילים עם הכותרות המלאות. אל תמחקו.
3. בדקו את התיבה שלכם: האם נפרצה? כללי העברה? כניסות חשודות? החליפו סיסמה והפעילו MFA.
4. הודיעו לספק האמיתי בטלפון. ייתכן שהתיבה שלו נפרצה, וגם לקוחות אחרים שלו בסיכון.
5. דווחו ל-119 של מערך הסייבר. שקלו להגיש תלונה במשטרה.
6. ביטוח: בדקו אם הפוליסה מכסה הונאת העברת כספים. לעיתים זה כיסוי נפרד, עם תנאים כמו קיום נוהל אימות. ראו ביטוח סייבר.
7. פרטיות: אם התיבה שנפרצה הכילה מידע אישי של לקוחות, בדקו אם זה אירוע שמחייב הודעה. ראו דיווח על אירוע חמור.

סימנים טכניים שכדאי ללמד את מי שמשלם

עובד שמאשר תשלומים לא צריך להיות איש אבטחה, אבל כדאי שיכיר חמישה סימנים:

• כתובת דומה ולא זהה: אות אחת שהוחלפה, סיומת אחרת לדומיין, או שם תצוגה נכון עם כתובת אחרת מאחוריו. בטלפון הנייד רואים בדרך כלל רק את שם התצוגה, ולכן כדאי לפתוח את פרטי השולח.
• ״השב אל״ שונה מהשולח: המייל נראה כאילו הגיע מהספק, אבל התשובה תגיע לכתובת אחרת.
• שינוי בסגנון: ספק שתמיד כותב בעברית פתאום כותב באנגלית, או מנכ״ל שתמיד חותם בשם פרטי חותם בשם מלא.
• קובץ חשבונית חדש: פורמט אחר, קישור להורדה במקום קובץ מצורף, או בקשה ״לאשר את הפרטים בקישור״.
• לחץ זמן ובקשה לסודיות: ״לפני סוף היום״, ״אל תעדכן את רואה החשבון״.

ומצד ההגדרות, מי שמנהל את הדואר צריך לבדוק פעם בחודש שלושה דברים: כללי העברה וסינון חדשים בתיבות של מאשרי התשלומים, כניסות ממדינות או ממכשירים חריגים, ואפליקציות צד שלישי שקיבלו הרשאה לקרוא דואר. שלושתם משמשים תוקפים כדי להישאר בתיבה בלי שירגישו.

נוסח קצר לנוהל (להמחשה)

״כל בקשה להוספת ספק או לשינוי פרטי חשבון בנק של ספק קיים תאומת בשיחת טלפון יזומה למספר הרשום במערכת לפני הבקשה. מי שאימת ירשום בכרטיס הספק את התאריך, השעה ושם האדם שאישר. העברה לספק חדש, או מעל 20,000 ₪, תאושר בידי שני מורשים. בקשה דחופה מההנהלה לעקוף את הנוהל תיחשב חשודה, ותאומת בטלפון מול מי שביקש.״ התאימו את הסכום ואת השמות לעסק שלכם.

שאלות נפוצות

מי אחראי לכסף, אנחנו או הספק שהתיבה שלו נפרצה?

זו שאלה משפטית שתלויה בנסיבות, בחוזה ובהתנהלות של כל צד. נוהל אימות כתוב ומתועד מחזק את מעמדכם. התייעצו עם עורך דין.

האם הבנק יחזיר את הכסף?

אין ודאות. ככל שהפנייה מהירה יותר, יש יותר סיכוי לעצור את הכסף לפני שהוא יוצא מהחשבון של המקבל.

איך מדריכים עובדים בלי להפחיד?

תנו דוגמאות אמיתיות (מושחרות) ושני כללים פשוטים: שינוי בנק מאמתים בטלפון, ובקשה דחופה וסודית היא דגל אדום. תרגיל דיוג מבוקר, באישור ההנהלה, יכול לעזור לזהות מי צריך תדריך נוסף.

מקורות

• מערך הסייבר הלאומי (gov.il) — התרעות על הונאות ו-119
• משטרת ישראל (gov.il) — הגשת תלונה על עבירת סייבר
• בנק ישראל — מידע לציבור על הונאות ופנייה לבנקים