Wyłudzenia w transporcie na fałszywy adres e-mail

Sektor transportu staje się coraz bardziej narażony na ataki cyberprzestępców. Najczęstszą formą oszustwa jest wyłudzanie środków za pomocą fałszywych e-maili. Fraud email lub phishing to metody, w których przestępcy podszywają się pod kontrahentów lub pod pracowników, aby przekierować płatność na swoje konto. Branża TSL jest szczególnie narażona na takie przestępstwa ze względu na międzynarodową współpracę i wysoką częstotliwość transakcji.

Skutki oszustw e-mailowych bywają dla firm transportowych bardzo dotkliwe. Przedsiębiorcy muszą zmierzyć się nie tylko z bezpośrednią stratą finansową, ale także ponoszą dodatkowe koszty związane z dochodzeniem. Warto zaznaczyć, że takie incydenty mogą również negatywnie wpłynąć na relacje z kontrahentami.

Branża transportowa jest szczególnie narażona na takie przestępstwa ze względu na częste, międzynarodowe transakcje. Realizowanie transakcji na dużą skalę utrudnia ich monitorowanie, a także wychwycenie nieprawidłowości czy fałszywych wiadomości. Oszuści, aby zmniejszyć szansę na weryfikację danych, często korzystają z chwil, gdy przedsiębiorstwa działają pod presją, np. z konieczności opłacenia usług w terminie lub szybkiej dostawy.

Fraud email – na czym polega?

Mechanizm polega na podszyciu się pod firmę lub osobę w celu przechwycenia płatności. Przestępcy tworzą adres e-mail zbliżony do prawdziwego (np. z rozszerzeniem domeny lub zmienioną literą) lub uzyskują dostęp do skrzynek e-mailowych, a następnie wysyłają wiadomość z instrukcją przelewu na “nowe” konto bankowe.
Najczęstszymi schematami są:

• instrukcje zmiany rachunku bankowego – oszust informuje o zmianie rachunku bankowego, a następnie prosi o przelanie na niego środków,
• podszywanie się pod osoby zarządzające – przestępcy wysyłają e-mail, w którym podszywają się pod dyrektora finansowego lub członka zarządu, polecając pilny przelew na podany rachunek,
• fałszywe faktury – przestępca wysyła wiadomość z fakturą, odwzorowującą oryginał, ale z fałszywym numerem konta.

Wyrok sądu w przypadku przelewu na fałszywy numer konta

W Polsce niedawno doszło do sytuacji, w której przedsiębiorstwo transportowe padło ofiarą oszustwa e-mailowego. Przestępcy, wykorzystując luki w zabezpieczeniach, drogą mailową podszyli się pod kluczowego dostawcę. Przez co firma przelała należność na fałszywy rachunek w innym kraju.

Przewoźnik pozwał kontrahenta, który wysłał wynagrodzenie na inny, wskazany w fałszywym mailu numer konta. Kontrahent tłumaczył się, że fałszywą fakturę otrzymał z adresu mailowego, z którego wcześniej korespondował z przewoźnikiem. Dodatkowo uznał, że nie ma obowiązku płacić za tą samą usługę drugi raz.

Według sądu kontrahent ponosi odpowiedzialność za brak weryfikacji danych do przelewu. Uznał także, że skoro kontrahent nie zachował szczególnej ostrożności, powinien ponownie zrobić przelew – tym razem na prawidłowe konto. (Wyrok Sądu Rejonowego w Kaliszu z dnia 30.11.2022 sygn akt:V GC 460/18)

Sposoby na ochronę przed wyłudzeniami na fałszywe adresy e-mail

Choć sprawa może trafić do sądu, to jej proces jest długotrwały, a zwrot środków – niepewny. Dlatego w pierwszej kolejności przedsiębiorstwa powinny wdrożyć działania chroniące przed oszustwami. Mogą one nie tylko zapobiec znacznym stratom finansowym, ale także zwiększyć poziom bezpieczeństwa współpracy na międzynarodowych rynkach.

Ochrona przed phishingiem i oszustwami w sektorze TSL opiera się na:

1. stosowaniu bezpiecznych kanałów komunikacji – przedsiębiorstwa powinny korzystać z systemów do zarządzania finansami z dwuskładnikową weryfikacją (2FA), a także odpowiednimi zabezpieczeniami,
2. monitorowaniu kont i historii zmian w danych kontaktowych – regularne monitorowanie wszelkich zmian w danych klientów lub dostawców może usprawnić wykrywanie oszustw,
3. weryfikacji zmian w danych płatniczych – zgłoszenia dotyczące zmiany rachunku bankowego powinno być zweryfikowane z wystawiającym fakturę,
4. szkoleniach dla pracowników – pracownicy muszą wiedzieć, jak weryfikować prawdziwość maili, a także zauważać potencjalnie podejrzane wiadomości,
5. ustalaniu jasnych procedur płatności – każda zmiana w rachunku bankowym czy warunkach płatności powinna być weryfikowana przez dedykowaną osobę w firmie.

Jak działać w przypadku podejrzenia wyłudzenia?

Jeśli przedsiębiorstwo transportowe odkryje, że padło ofiarą oszustwa, istotna jest natychmiastowa reakcja:

1. Zgłoszenie na policję – cyberprzestępstwa, powinny być niezwłocznie zgłaszane organom ścigania. W razie działań międzynarodowych policja może podjąć współpracę z zagranicznymi służbami.
2. Powiadomienie banku – natychmiastowe zgłoszenie oszustwa do banku może zwiększyć szanse na cofnięcie przelewu, jeśli zostanie ono wykryte wystarczająco wcześnie.
3. Analiza incydentu i wzmocnienie zabezpieczeń – przedsiębiorstwa, które doświadczyły wyłudzenia, powinny przeprowadzić audyt bezpieczeństwa, a następnie wdrożyć dodatkowe procedury ochronne.