O tym, jak można stracić pensję

Mechanizm oszustwa jest tyleż prosty, co pomysłowy. Proceder polega na podszywaniu się oszustów pod inne osoby i wykorzystaniu słabości i luk w przepływie i weryfikacji informacji wewnątrz firmy, o czym jedna z nich boleśnie się przekonała.

Do działu HR firmy zadzwonił pracownik z pytaniem, kiedy otrzyma swoją pensję. Zdarzały się czasem opóźnienia w przelewach, więc z początku nikt się tym nie przejął. Kiedy jednak pojawił się drugi i trzeci telefon, pracownicy działu zaczęli się zastanawiać, co mogło się stać. Sprawdzili przelewy w banku – te wyszły na czas. Jeden z pracowników działu zwrócił jednak uwagę na dziwną zbieżność – wszyscy poszkodowani pracownicy w trakcie ostatniego miesiąca zgłosili emailowo zmianę numeru rachunku, na który ma wpływać ich pensja.

Żaden z tych pracowników nie przypominał sobie składania dyspozycji zmiany konta do przelewu wynagrodzenia. Firmowa procedura przewidywała jedynie przesłanie odpowiednio wypełnionego formularza w formie skanu – i w skrzynkach HR znalazły się wypełnione formularze. Podpisy nie zgadzały się z prawdziwymi podpisami nadawców, jednak procedura nie przewidywała ich weryfikacji – przecież emaile nadeszły z prawdziwych skrzynek ich rzekomych nadawców. Analiza logów poczty wskazała, że ktoś kilkanaście dni wcześniej zalogował się na skrzynki pracowników, prawdopodobnie za pomocą wykradzionych lub wyłudzonych wcześniej haseł.

Ofiarami ataku padło jedynie kilku pracowników całkiem sporej firmy – choć nie jest wykluczone, że w innych firmach mogły mieć miejsce podobne incydenty. Cała ta sytuacja wymaga zwrócenia uwagi na procedury obowiązujące wewnątrz dużych firm. Wydaje się, że w takich przypadkach należy wdrożyć mechanizm weryfikacji składanych wniosków za pomocą osobistego, choćby telefonicznego ich potwierdzenia. Radzimy wszystkim pracownikom zapytać w swoim dziale HR jak wygląda proces zmiany numeru konta, na które trafia Wasza pensja.