Плейбук: поддельное платёжное поручение и смена реквизитов
Остановите оплату, если счёт, реквизиты или «срочная доплата» пришли письмом, которое не совпадает с договором. Компрометация учётки — в обзоре пяти: сценарий учётки. Общий ритм: первые 24 часа. Каталог: каталог плейбуков.
Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Тексты мошеннических писем и инструкции по их сборке не приводим.
Признаки и что не делать
| Признак | Не делать |
|---|---|
| Новый расчётный счёт «с сегодня», срочность, просьба не звонить | Платить, отвечать в ту же цепочку, слать «подтверждение» с кодами |
| Адрес похож на поставщика, домен другой | Искать «как обойти» фильтр. Смотрите MX и SPF своего и заявленного отправителя только как проверку факта |
Не меняйте пароли с той же станции, с которой открыли письмо.
Первые шаги
- Бухгалтерия ставит платёж на стоп. Руководитель инцидента — ИБ плюс финансист.
- Позвоните поставщику по номеру из договора или из прошлых актов, не из письма и не из подписи.
- Сохраните письмо целиком (заголовки) во внешнее хранилище, не пересылайте его всем.
- Если деньги уже ушли — банк, заявление, юрист. Технически дальше как учётка: сессии, правила пересылки.
- Предупредите остальных одним фактом без скриншота письма: канал.
Приоритет: критический, если сумма ушла или ушла бы без звонка. Эскалация директору сразу. Если в письме были персональные данные клиентов — сроки РКН: уведомление.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Звонят на номер из письма | Номер подменён. Только договор |
| ИБ ищет вредонос, бухгалтерия уже оплатила | Не тот плейбук первым. Сначала стоп денег |
Где это в модели зрелости
Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Фишинг учётки закрывает вход. Этот сценарий закрывает платёж.
Как проверить
- У бухгалтерии есть правило: новый счёт только после звонка по договору.
- Контакты поставщиков не берутся из входящей почты.
- Плейбук лежит в каталоге, не только в голове казначея.
Источники
- CIS Control 17: cisecurity.org/controls.
