Haker nie zna granic

Jesteśmy tylko ludźmi, co sprawia, że są momenty, w którym o oszustwie zdarza się powiedzieć, niejako z uznaniem, że był przysłowiowym złotym strzałem. Mam tu na myśli spełnienie się wszystkich zaplanowanych uprzednio warunków, jakie założył sobie haker.

W pewnej prężnej firmie produkcyjnej o zasięgu międzynarodowym, w której panuje korporacyjny ład i każdy za coś konkretnego odpowiada, tak dobrze wszystko funkcjonowało na poziomie zarządzania ryzykiem, że aż musiało się coś zepsuć. Jak to w spółce z ograniczoną odpowiedzialnością, jest prezes Zarządu – zresztą bardzo poważny i kompetentny człowiek, cieszący się szacunkiem, członkowie Zarządu, prokurent oraz personel pomocniczy w postaci wykwalifikowanej kadry menadżerskiej. Opinia o firmie, której nazwy z oczywistych względów nie mogę podać, jest wyłącznie dobra.

W ostatnim czasie doszło tam jednak do niespodziewanego incydentu, chociaż nie wiem, czy kilkaset tysięcy złotych można takim nazwać. Do rzeczy. Spółka wykonała przelew w tej mniej więcej kwocie drogą elektroniczną, będąc przekonana, że realizuje kolejny etap umowy ze swoim zagranicznym kontrahentem. Z tych też względów czujność została uśpiona i niczego złego nie podejrzewano.

Kiedy nastąpił moment zwrotny? Niestety po kilku dniach od wykonania przelewu i to zdecydowanie więcej niż dwóch. Czyli w momencie, w którym nie dało odwrócić się biegu tej płatności.

Jeden z dyrektorów standardowo rozpoczął dzień od obsługi poczty mailowej i zdziwił go fakt, że firma partnerska dopytuje się o wskazanie przybliżonego terminu wykonania przelewu. O co im chodzi? Przecież pieniądze dawno wyszły! Pomyślał. Jednocześnie przekazał drugiej stronie potwierdzenie wpłaty. Odpowiedź zwrotka poruszyła kierownictwo spółki, kontrahent stanowczo zaprzeczył, aby numer konta bankowego do niego należał, rachunku nie zmieniał i obowiązuje taki sam jak ten z poprzednich przelewów.

W takiej sytuacji w trybie wręcz alarmowym zebrała się grupa decydentów na czele z informatykiem, żeby prześledzić losy korespondencji poprzedzającej wykonanie przelewu. Co stwierdzili? Otóż okazało się, że mail ich partnera handlowego jest jakby ten sam, przy czym słowo jakby ma fundamentalne znaczenie i jest kluczem do następnych rozważań. Analizowany mail jest troszeczkę dłuższy od oryginalnego, różni się zaledwie jednym słowem i to na samym końcu przed znakiem specjalnym @, za którą jest (...)gmail.com, czyli coś, czego wczesniej nie było. Skoro wcześniej tych dodatków nie było, a teraz już są, panowie nabrali pewności, że padli ofiarą oszustwa i to na całkiem sporą sumę.

Co dalej? Do banku nie było sensu już wydzwaniać, bo minął niezbędny czas na wstrzymanie przelewu, numer rachunku jest zagraniczny, a oszust użył poczty gmail. To wszystko oznacza spore kłopoty, bo z kim teraz rozmawiać i gdzie szukać pomocy? Pierwsza podstawowa sprawa, należy powiadomić Policję. Chociaż i tu decydenci mieli zagwozdkę, czy nie lepiej najpierw Prokuraturę, zatem co wybrać — organy ścigania, czy wymiaru sprawiedliwości. Ja takich wątpliwości nie mam żadnych. Otóż kto prowadzi lepszą, czy gorszą, ale zawsze współpracę międzynarodową? Zdecydowanie Policja, po to ma w swoich strukturach komórki organizacyjne bezpośrednio odpowiedzialne za międzynarodową wymianę informacji i to już na szczeblu komend wojewódzkich. Komenda Główna Policji posiada również za granicą swoich oficerów łącznikowych, którzy bezpośrednio podejmują działania we współpracy z lokalną policją na rzecz wyjaśnienia danej sprawy, co znacząco przyspiesza wszelkie formalności. Prokuratura aż takimi możliwościami nie dysponuje, a charakter współpracy międzynarodowej jest w znacznym stopniu sformalizowany, co wydłuża czas oczekiwania na żądane informacje.

W takiej sprawie oszuści wykorzystali szereg informacji, których zdobycie, jak sądzę, nie nastręczało trudności. Jeżeli nie dokonali elektronicznego przełamania zabezpieczeń w celu zapoznania się z korespondencją mailową, to pozyskali je na skutek wyniesienia poza firmę przez pracownika. Nie ma wątpliwości, że sprawcy musieli poznać cykl rozliczeniowy swojego kontrahenta z Polski, szatę graficzną faktury, adresy mailowe obu podmiotów, a następnie przystąpić do działania. Przyjdzie jednak odpowiedni czas, żeby dokończyć opis tej historii. Na razie, jest to zbyt świeży temat, a sprawa ma swój bieg.