Головна тема цього матеріалу, що аргументує Артем Ляшанов – зміна самої моделі довіри у фінансовій авторизації, чому голос і зображення співрозмовника більше не можна вважати доказом його особи, і яку архітектуру контролю бізнес має вибудувати натомість. Далі, конкретний кейс, аналіз того, що зробило атаку можливою, і перелік практичних механізмів захисту для казначейських і фінансових команд.
Кейс
Співробітник казначейського підрозділу міжнародної компанії в Гонконзі отримав лист нібито від CFO групи у Великій Британії. Йшлося про конфіденційну M&A-транзакцію, яку треба провести поза стандартним циклом погоджень. Класична схема BEC (business email compromise) мала б зупинитися на цьому етапі, лист і сам по собі виглядав як типовий фішинг.
BEC (business email compromise) – це вид шахрайства, коли зловмисник видає себе за керівника чи партнера компанії в переписці, щоб змусити співробітника перевести гроші на його рахунок.
Але далі співробітника запросили на відеоконференцію, де серед учасників був сам CFO і кілька впізнаваних колег із фінансової функції.
Голос, міміка, манера ведення наради, усе відповідало людям, з якими співробітник взаємодіяв на регулярних звірках. За вказівкою, отриманою в межах цього дзвінка, він провів 15 платежів на суму близько 25,6 млн доларів на п'ять рахунків. Верифікація постфактум, дзвінок у головний офіс для уточнення деталей секретної транзакції і показала, що наради ніхто не скликав.
Старший поліційний суперінтендант Гонконгу Барон Чан прокоментував це так: «усі, кого він бачив на екрані, виявилися фейком».
Кошти повернути не вдалося. Кейс став референсним для індустрії саме тому, що обійшов не технічний контроль, а процедуру людської авторизації, той рівень, на який більшість фінансових організацій досі покладається як на останню лінію захисту.
Чому периметр верифікації більше не тримає
Засновник фінтех-проєктів Артем Ляшанов зазначає, що цей кейс варто розглядати як індикатор зміни моделі загроз для платіжної інфраструктури.
Кілька факторів, які, на його думку, змістили баланс на користь атакуючих:
- Голосовий клон будується з трьох секунд аудіо, а публічний профіль CFO чи скарбника (інвесторські презентації, конференції) є за визначенням відкритим джерелом training-даних;
- Розвідувальна фаза атаки спирається на публічно доступну інформацію про організаційну структуру;
- Соціальна інженерія експлуатує саме поняття конфіденційності угоди і тим самим виводить транзакцію з-під стандартного maker-checker контролю;
- Мультимодальність атаки (одночасно голос, відео і груповий соціальний тиск від колег на дзвінку) знижує ефективність поведінкових індикаторів, на які раніше покладалися програми security awareness.
За його оцінкою, збитки від deepfake-шахрайства у фінансовому секторі зросли втричі лише за рік, а середній розмір збитку на один інцидент у корпоративному сегменті вже вимірюється сотнями тисяч доларів.
Куди зміщується контроль
Ключовий висновок для фінансових команд в редизайні самої архітектури платіжної авторизації так, щоб вона не залежала від достовірності комунікаційного каналу, каже Артем Ляшанов.
Кілька контрольних механізмів, які мають стати базовою вимогою, а не додатковою опцією:
- Out-of-band верифікація. Жодна зміна реквізитів чи нестандартний платіж не підтверджується в межах того самого каналу, яким надійшов запит, лише через заздалегідь зафіксований і незалежний контакт;
- Callback виключно на номер із внутрішньої системи компанії, а не на контакт, вказаний у листі, повідомленні чи наданий співрозмовником під час дзвінка;
- Жорсткий maker-checker з нерозривним розділенням ролей для будь-якої транзакції поза типовим діапазоном сум чи одержувачів;
- Transaction risk scoring на рівні TMS/ERP, що автоматично ескалує нетипові за сумою, отримувачем чи часом платежі.
Організації, чия модель довіри досі будується на впізнаваності голосу чи обличчя, а не на процедурі, залишаються найбільш вразливою ланкою в цьому ланцюгу, резюмує Артем Ляшанов.
Як ми перевіряємо інформацію
За даними публічних рекомендацій NIST, ENISA та OWASP, а також матеріалів CISA, Microsoft Security Blog і Google Safety Center, ключові підходи до захисту від соціальної інженерії сьогодні зводяться до незалежної верифікації та розділення ролей. Ми співставляємо факти з первинними джерелами і звіряємо практичні висновки з вимогами ISO/IEC 27001.
Редакційний принцип простий: жодна рекомендація не публікується без перевірюваного джерела, а будь-яка цифра має вказаний контекст і дату.
Довіра у платежах має спиратися на процедуру, а не на голос чи обличчя. Перевірка — це правило, яке працює незалежно від того, хто виглядає переконливо. — Artem Lyashanov