Мошенничество с банковскими переводами, мошенничество со счетами и отзыв банка FFKC¶

Обнаружение того, что ваша компания, покупатель недвижимости, некоммерческая организация или семья только что перевели десятки или сотни тысяч долларов на банковский счет мошенника посредством компрометации деловой электронной почты (BEC), поддельного счета-фактуры поставщика или перехвата проводки стоимости закрытия недвижимости, является чрезвычайной, ежеминутной финансовой чрезвычайной ситуацией. В отличие от мошенничества с кредитными картами, где потребители защищены правилами нулевой ответственности и 60-дневными окнами возврата платежей, банковский перевод (Fedwire, SWIFT, CHAPS, или SEPA) или коммерческий ACH push предназначен для расчета в виде безотзывных денежных средств. Однако мошеннический банковский перевод НЕ является безнадежным, если вы начнете действовать в течение первых 24-48 часов. Преступные синдикаты не могут легко прийти в отделение внутри страны и снять 250 000 долларов США в физической бумажной валюте; украденные средства должны сначала находиться на внутреннем счете «денежного мула» или пройти через клиринговые банки-корреспонденты, а затем быть переведены за границу в Гонконг, Китай, Объединенные Арабские Эмираты, Турцию или конвертированы на бирже криптовалют. Если вы инициируете официальный межбанковский запрос Hold Harmless/отзыв гарантийного письма (SWIFT MT192 / pacs.004) и задействовать цепочку борьбы с финансовым мошенничеством национальных правоохранительных органов (FFKC) прежде чем банк-получатель заберет средства, банки и федеральные агенты замораживают и возвращают сотни миллионов долларов в виде украденных переводов каждый год.

Если мошенничество с использованием электронных средств связано с активным физическим похищением, захватом заложников или непосредственной угрозой насилия, позвоните по местному номеру службы экстренной помощи (911 в США и Канаде, 112 по всему Европейскому Союзу, 999 в Соединенном Королевстве) или обратитесь к нашему справочнику международных номера экстренных служб немедленно. В случае мошенничества с корпоративными счетами, хищений средств передачи прав собственности на недвижимость и мошенничества с использованием личных электронных средств откажитесь от всего и выполните приведенную ниже 6-этапную последовательность экстренного отзыва в течение следующих 15 минут.

Сделай это сейчас¶

1. Позвоните в отдел по борьбе с мошенничеством с использованием банковских переводов/казначейскими операциями вашего банка-отправителя в течение 5 минут и потребуйте немедленного «Отзыва о мошенничестве с освобождением от ответственности/Письма о возмещении ущерба»: Не стойте в очереди у кассы розничного отделения и не отправляйте защищенное веб-сообщение. Позвоните по номеру телефона, указанному в квитанции вашего отдела переводов или на горячую линию делового казначейства, и используйте именно эти слова: * «Мы стали жертвой активного электронного мошенничества, связанного с компрометацией деловой электронной почты, в переводе, отправленном [Дата/Время] на [$Сумма]. Мне нужно, чтобы вы немедленно отправили экстренный запрос на отзыв о мошенничестве (Fedwire Recall / SWIFT MT192 / camt.056) банку-получателю И выдать межбанковское задержание / письмо о возмещении ущерба от нашего имени, чтобы отдел по борьбе с мошенничеством банка-получателя немедленно заморозил счет получателя.»*
2. **Одновременно найдите мошеннический банк-получатель по его коду маршрутизации / ABA / SWIFT BIC и позвоните напрямую в отдел по борьбе с мошенничеством банка-получателя **: не ждите 6 часов, пока бэк-офис вашего банка отправит сообщение в банк мошенника. Просмотрите мошеннические инструкции по переводу средств, отправленные вам мошенником, найдите Название банка-получателя и Маршрутный номер ABA / IBAN / SWIFT BIC, позвоните на горячую линию корпоративной безопасности этого банка или на горячую линию по вопросам электронного мошенничества и сообщите им номер IMAD / OMAD (для Fedwire в США), UETR (для SWIFT), точную сумму в долларах и Номер счета получателя. Хотя банк-получатель не отправит вам деньги обратно по телефону, прямое предупреждение от жертвы в сочетании с IMAD/OMAD Номер отслеживания часто побуждает внутренних аналитиков по борьбе с мошенничеством банка-получателя немедленно заморозить счет мошенника административным мошенничеством, пока они ожидают официального письма о возмещении ущерба от вашего банка.
3. Подайте экстренную жалобу ФБР IC3 (ic3.gov) в Соединенных Штатах, чтобы активировать команду ФБР по восстановлению активов (RAT) и цепочка действий по финансовому мошенничеству (FFKC): Если перевод был отправлен с банковского счета в США или прошел через него в течение последних 72 часов (особенно если сумма на сумму более 50 000 долларов США или любая сумма закрытия сделки по недвижимости), перейдите к ic3.gov прямо сейчас и подайте онлайн-жалобу. Четко введите "Мошенничество с BEC/банковским переводом , отправлено в течение последних 72 часов" вверху описания, а также точный банк-отправитель, банк-получатель, номера маршрутизации ABA, номера счетов и IMAD/OMAD номера следов. Группа по восстановлению активов (RAT) ФБР управляет прямым каналом связи в режиме реального времени с отечественными банками и FinCEN для размещения федеральных административных блокировок на внутренних счетах «денежных мулов» (достигая исторического показателя успешного замораживания, превышающего 70 процентов, если об этом сообщается до того, как телеграфная связь перейдет за границу).
4. В Великобритании, ЕС, Канаде или Австралии немедленно активируйте национальную линию по блокировке средств по межбанковскому мошенничеству:
   • Великобритания: позвоните на линию по борьбе с мошенничеством вашего банка, используя горячую линию 159 Stop Scams (просто наберите 159), немедленно сообщите об этом в Action Fraud (0300 123 2040: выберите вариант активного мошенничества в реальном времени, если деньги в настоящее время находятся в пути) и примените Обязательные правила возмещения мошенничества в приложениях Регулятора платежных систем (PSR) (вступают в силу с октября 2024 года для быстрых платежей и CHAPS).
   • Европейский Союз: Требуйте немедленного отзыва кредитного перевода SEPA (camt.056 / pacs.004) для FRAD (Мошенническое происхождение) через свой банк и немедленно подать заявление в полицию в национальные подразделения финансовой разведки (FIU) может экстренно заморозить трансграничную деятельность в соответствии с директивами ЕС по борьбе с отмыванием денег.
   • Канада и Австралия: немедленно сообщите об этом в отдел отзыва переводов вашего банка, в Канадский центр по борьбе с мошенничеством (CAFC)/местное подразделение полиции по борьбе с финансовыми преступлениями или в Австралийский национальный центр по борьбе с мошенничеством/Обмен отчетами о мошенничестве AFCX (cyber.gov.au).
5. ** НЕ отправляйте мошеннику электронное письмо, НЕ спрашивайте «Вы получили перевод?» и НЕ оповещайте скомпрометированную ветку электронной почты **: как только мошенник поймет, что вы обнаружили мошенничество, он немедленно войдет в принимающий банковский счет и выведет весь оставшийся баланс через мгновенные криптографические каналы или международные переводы. Держите мошенника в полной неведении, пока ваш банк и ФБР заморозят целевой счет.
6. Сохраните скомпрометированные заголовки электронных писем (EML / MSG файлы) и изолировать взломанный почтовый ящик: не удаляйте электронные письма с поддельными счетами. Попросите вашу ИТ-команду экспортировать необработанные заголовки сообщений (Authentication-Results, Received: from, Reply-To) и проверьте как свою собственную систему электронной почты, так и систему электронной почты вашего поставщика на наличие правил пересылки скрытых входящих сообщений (см. наше руководство по взломанная учетная запись электронной почты: скрытые правила переадресации и восстановление).

Схема принятия решений: выполнение экстренного отзыва банковского перевода по платежной железной дороге¶

Используйте эту быструю операционную блок-схему, чтобы выполнить точный протокол отзыва для вашей конкретной платежной сети (Fedwire, ACH, SWIFT, или CHAPS/Faster Payments):

flowchart TD
    A["Обнаружен мошеннический банковский или электронный перевод"] --> B["Определите точный платежный маршрут и немедленно получите номер отслеживания"]
    B --> C{"Какой платежный рельс использовался?"}
    C -->|"Внутренние переводы США (Fedwire)"| D["Получите 22-значный номер трассировки IMAD/OMAD от банка-отправителя."]
    C -->|"Международный перевод (SWIFT)"| E["Получите 36-значную копию SWIFT UETR и MT103 от банка-отправителя."]
    C -->|"Перевод ACH внутри США"| F["Получите 15-значный номер трассировки ACH от банка-отправителя"]
    C -->|"Быстрые платежи в Великобритании / CHAPS или SEPA ЕС"| G["Получите более быстрые платежи FPID/CHAPS Ref или сквозной идентификатор SEPA"]
    D --> H["1. Банк-отправитель отправляет экстренный отзыв о мошенничестве + удержание возмещения за причиненный вред банку-получателю."]
    E --> H
    F --> I{"Сколько рабочих дней с момента расчета ACH?"}
    I -->|"В очереди / в тот же день"| J["Отмена непакетированного ACH или немедленный возврат/отзыв NACHA ODFI"]
    I -->|"От 1 до 5 рабочих дней"| K["Требовать ODFI отправить отзыв ACH + письмо о возмещении ущерба в отдел по борьбе с мошенничеством RDFI"]
    G --> L["Наберите 159 (Великобритания) / Линия по борьбе с банковским мошенничеством: инициируйте немедленное замораживание межбанковских операций и требование возмещения через приложение PSR"]
    H --> M["2. Жертва звонит в отдел по борьбе с мошенничеством в принимающем банке напрямую, используя IMAD/UETR и номер счета получателя."]
    K --> M
    M --> N["3. Подайте файл IC3 ФБР (ic3.gov) в течение 72 часов, чтобы активировать FBI RAT / цепочку убийств по финансовому мошенничеству + отчет местной полиции."]

Этап 1. Важнейшие технические идентификаторы, которые вы должны получить от своего банка в течение первых 15 минут.¶

Когда вы звоните в свой банк, банк-получатель, ФБР или полицию и говорите: «Сегодня утром мы перевели 142 000 долларов в Bank of America»*, этого недостаточно, чтобы обнаружить транзакцию в клиринговой системе, которая обрабатывает миллионы сообщений в час. Вы должны немедленно запросить у своего банка-отправителя точный номер криптографического/клирингового отслеживания для используемой платежной линии:

Почему банки-посредники/банки-корреспонденты , ваши лучшие друзья при отзыве международных переводов¶

Если мошенник обманом заставил вас перевести доллары США или евро в оффшорный банк в Гонконге, Китае, Сингапуре, Дубае или Восточной Европе, международный перевод SWIFT редко телепортируется напрямую из вашего местного банка в США или Европе в иностранный банк за 5 секунд.

Вместо этого международные переводы проходят через цепочку банков-корреспондентов (посредников) (таких как JPMorgan Chase New York, Citibank N.A., Bank of New York Mellon, Deutsche Bank Frankfurt или Standard Chartered) и должны проходить через ограничения по часовым поясам и автоматические санкции/фильтры проверки ПОД. Поскольку часы банковских операций в Азиатско-Тихоокеанском регионе и Европе не совпадают с дневными часами работы в Северной Америке, международный перевод, отправленный в 14:00 по нью-йоркскому времени, часто находится в очереди Нью-йоркского банка-корреспондента или остается незачисленным в утренней очереди проверки входящих сообщений иностранного банка-получателя в течение 8-24 часов.

• Действие, которое необходимо предпринять немедленно: попросите свой банк проверить SWIFT gpi Tracker, используя 36-значный код UETR. SWIFT gpi Tracker показывает в режиме реального времени, какой именно банк-посредник в настоящее время хранит средства (In Transit at Intermediary против Credited to Beneficiary).
• Если перевод все еще находится в промежуточном банке-корреспонденте в Нью-Йорке, Лондоне или Франкфурте, ваш банк может отправить приоритет SWIFT MT192 / camt.056 Остановить/отзыв непосредственно в этот банк-посредник (и вы можете оповестить телеграфный номер банка-посредника в Нью-Йорке/Лондоне с помощью UETR), приостановив движение денег прежде, чем они покинут внутреннюю юрисдикцию.

Этап 2. Активация системы ФБР по борьбе с финансовым мошенничеством (FFKC) и задержание правоохранительными органами¶

Когда вы имеете дело с банковским мошенничеством на сумму более 10 000 долларов (и особенно с переводами на сумму более 50 000 долларов США для корпоративных клиентов или недвижимости), отдел розничного мошенничества вашего банка , это только половина дела. Правоохранительные органы обладают законодательными полномочиями инициировать экстренное замораживание банков-получателей и пандусов криптовалюты даже до подписания официального ордера суда.

1. США: Как команда ФБР по возвращению активов (RAT) и FFKC Работа¶

Основан в 2018 году на базе Центра рассмотрения жалоб на интернет-преступления ФБР (IC3), Группа по восстановлению активов (RAT) упрощает связь между местными отделениями ФБР, местными финансовыми учреждениями и Сетью по борьбе с финансовыми преступлениями (FinCEN) в рамках Цепочки преступлений по финансовому мошенничеству (FFKC) протокол.

Чтобы максимизировать скорость FFKC напоминаем, отправьте отчет по адресу ic3.gov немедленно (не ждите до завтрашнего утра, чтобы сначала проконсультироваться с юристом, подайте ic3.gov форму в течение первого часа после обнаружения кражи) и включите каждое поле ниже без опечаток:

1. Информация о жертве: ваше официальное имя, название компании, номер телефона (используйте прямой номер мобильного телефона, на который вы ответите круглосуточно при первом звонке) и незащищенный адрес электронной почты.
2. Информация об исходном банке: полное название банка, адрес филиала, номер вашего исходного счета, номер маршрута ABA, а также имя/номер телефона специалиста по борьбе с мошенничеством в банке, с которым вы разговаривали.
3. Банковские реквизиты основного получателя (мошенника): полное название банка-получателя, город/штат/страна банка-получателя, Маршрутный номер ABA / SWIFT BIC, Номер счета получателя и точное имя получателя, указанные в мошеннических инструкциях по переводу.
4. Сведения о банке-посреднике/банке-корреспонденте (если применимо): любое название банка-посредника, SWIFT BIC или номер маршрута, указанные в листе перевода.
5. Метаданные транзакции: точная сумма в долларах с точностью до цента, точная временная метка и дата выполнения перевода, а также 22-значный код Fedwire. IMAD/OMAD номер или 36-значный SWIFT UETR.
6. Последующий телефонный звонок после отправки ic3.gov:
   • Сохраните/распечатайте PDF-копию отправленного вами ic3.gov жалоба немедленно.
   • Позвоните в местное отделение ФБР (fbi.gov/contact-us/field-offices) и ваше местное отделение Секретной службы США (USSS) (secretservice.gov/contact/field-offices, вспоминает BEC, соруководитель спецгруппы по борьбе с кибер-мошенничеством вместе с ФБР).
   • Сообщите дежурному агенту по телефону: "Мы только что подали экстренную жалобу IC3 на активный банковский перевод в размере [$Amount], отправленный [X] часов назад. У нас на руках номер Fedwire IMAD / SWIFT UETR, и мы просим срочно координировать действия с группой по восстановлению активов IC3 для отзыва цепочки действий по финансовому мошенничеству."

2. Великобритания: 159 Горячая линия и обязательные правила возмещения средств за мошенничество в приложениях PSR от октября 2024 г.¶

Если вас или ваше микропредприятие/благотворительную организацию в Соединенном Королевстве обманом заставили отправить банковский перевод (известный в банковском законодательстве Великобритании как Авторизованный push-платеж (APP) Мошенничество, когда мошенник обманом заставляет вас авторизовать быстрый платеж или перевод CHAPS с помощью поддельного счета, выдавая себя за адвоката или выдавая себя за банковское мошенничество):

1. Набрать номер 159 Немедленно: соединяет вас напрямую со службой предотвращения мошенничества вашего британского банка, чтобы инициировать срочный запрос на замораживание межбанковских платежей Faster Payments / CHAPS в банк-получатель.
2. Ссылайтесь на свое законное право на обязательное возмещение в соответствии с требованиями Регулятора платежных систем (PSR) Политика PS23/4 & PS24/3:
   • В соответствии с историческими правилами Регулятора платежных систем Великобритании, которые вступили в законную силу 7 октября 2024 года, британские поставщики платежных услуг (PSPs) по закону обязаны возместить жертвам мошеннических действий с авторизованными push-платежами (APP), отправленными через Faster Payments или CHAPS, сумму до 85 000 фунтов стерлингов в течение 5 рабочих дней (или до 35 рабочих дней, если банк ссылается на положение о расследовании «остановить время»), если банк не может доказать, что потребитель действовал с «грубой небрежностью» (очень высокий юридический барьер в соответствии со Стандартом осторожности потребителей) или был соучастником в мошенничество.
   • Даже если украденные средства превышают 85 000 фунтов стерлингов (например, мошенничество с передачей залога дома в размере 250 000 фунтов стерлингов), вы можете потребовать первые 85 000 фунтов стерлингов в соответствии с обязательной схемой PSR И потребовать остаток до 430 000 фунтов стерлингов, направив жалобу в Службу финансового омбудсмена (FOS, financial-ombudsman.org.uk) если банк-отправитель или банк-получатель не выполнил свои обязанности по мониторингу борьбы с мошенничеством или в соответствии с моделью условного возмещения (CRM) устаревшие принципы.

Этап 3: Конкретные планы действий в зависимости от сценария мошенничества с использованием электронных средств связи¶

То, как произошло мошенничество, определяет, кого еще необходимо немедленно уведомить, чтобы остановить вторичные кражи и установить юридическую ответственность.

Сценарий А: Закрытие объекта недвижимости / Взлом права собственности и условного депонирования (украден авансовый платеж покупателя жилья)¶

Мошенничество с закрытием сделок с недвижимостью является одним из самых дорогостоящих преступлений, затрагивающих семьи. Злоумышленники взломали учетную запись электронной почты агента по недвижимости, ипотечного брокера, титульной компании или закрывающего поверенного за несколько месяцев до этого, молча проверяют календарь на предмет даты закрытия и отправляют вам электронное письмо за 24-48 часов до закрытия с реалистичным вложением в формате PDF: "СРОЧНО: обновленные инструкции по переводу для [титульной компании] в связи с нашей аудитом условного депонирования в конце месяца."

Если вы только что перевели первоначальный взнос за дом или закрыли наличные мошеннику: 1. Немедленно выполните шаги 1, 2 и 3 из раздела «Сделайте это сейчас»: получите IMAD/OMAD от вашего банка, требуйте немедленного отзыва безвредных данных, позвоните напрямую в отдел по борьбе с мошенничеством банка-получателя и подайте заявление в ic3.gov в течение первых 30 минут. 2. Немедленно позвоните в компанию, имеющую право собственности, или закрывающему адвокату по телефону: - Сообщите ответственному за условное депонирование и главному юрисконсульту титульной компании, что ваш закрывающий провод был перенаправлен через поддельное или скомпрометированное электронное письмо. - Попросите их сохранить все журналы почтового сервера на своей стороне, в частности проверив, вошел ли злоумышленник непосредственно в учетную запись Microsoft 365/Google Workspace титульной компании или в учетную запись электронной почты риэлтора. (В соответствии с законами штата США о халатности и сравнительными доктринами Единого коммерческого кодекса, определение чьей системы электронной почты было взломано без надлежащего MFA имеет решающее значение, если перевод не восстановлен банками на 100 процентов). - Спросите у титульной компании, имеют ли они защиту от киберпреступности, социальной инженерии или мошенничества с использованием электронных средств или связаны ли они с титульным андеррайтером (например, Fidelity National Title, First American, Old Republic или Stewart Title), многие из которых поддерживают свои собственные специализированные 24/7 Коалиции по быстрому восстановлению банковских переводов с прямыми контактами с руководителями крупных банков. 3. Уведомите продавца и агентов по недвижимости в письменной форме: Если ваши заключительные средства заморожены в ходе активного расследования ФБР/межбанковского отзыва, попросите юриста по недвижимости немедленно отправить уведомление с просьбой предоставить краткое Продление даты закрытия контракта / Дополнение к устранению форс-мажорных обстоятельств, чтобы вы автоматически не лишились своего задатка, пока отзыв завершится в течение 5-14 дней в межбанковском окне.

Сценарий B: Мошенничество со счетами корпоративных поставщиков (перенаправление кредиторской задолженности B2B)¶

В случае мошенничества со счетами поставщиков B2B ваша кредиторская задолженность (AP) отдел получает электронное письмо от реального, давнего поставщика (billing@supplier.com или похожий домен billing@suppIier.com) с указанием: "Обратите внимание, что мы перевели наш коммерческий расчетный счет с Wells Fargo на Truist Bank; пожалуйста, обновите наши инструкции ACH/Wire для счета-фактуры № 90412."

Если ваша компания только что оплатила реальный счет на мошеннический банковский счет: 1. Выполнить безвредный отзыв банка и ФБР. ic3.gov подача заявки немедленно. 2. Определите, чей почтовый сервер на самом деле был взломан (ваш или вашего поставщика): - Попросите команду ИТ-безопасности проверить исходные данные. EML заголовки сообщений мошеннического письма: - Признак того, что реальный адрес электронной почты поставщика был взломан (настоящая компрометация поставщика): письмо передано. SPF: PASS, DKIM: PASSи DMARC: PASS для подлинного домена поставщика (@supplier.com), и пришли с реальных почтовых серверов Microsoft/Google. Это означает, что злоумышленник в настоящее время находится в реальном почтовом ящике вашего поставщика. Немедленно позвоните финансовому директору и ИТ-директору вашего поставщика, поскольку тот же злоумышленник в настоящее время рассылает фальшивые инструкции по телеграфному переводу всем остальным клиентам в почтовом ящике вашего поставщика. - Признак подделки похожего домена/отображаемого имени: письмо пришло от @supp1ier.com или @supplier-payments.com (проверьте whois дата создания, обычно зарегистрированная в течение последних 14 дней). Это означает, что либо почтовый ящик вашего сотрудника был взломан (позволяя хакеру прочитать исходный PDF-файл счета и создать соответствующий домен-двойник), ИЛИ почтовый ящик поставщика был взломан, и хакер установил аналогичный домен. Reply-To домен, чтобы поставщик не видел ответы в папке «Отправленные». 3. Немедленно сообщите своей компании по киберстрахованию и страхованию от преступлений: - Большинство коммерческих полисов Страхования киберответственности и полисов Коммерческих преступлений/Залога верности включают подтверждение покрытия Мошенничества в области социальной инженерии/Мошенничества при переводе денежных средств/Манипулирования счетами, А также включают Круглосуточную криминалистику по реагированию на инциденты и услуги тренера по юридическим нарушениям при нулевых личных расходах сверх вашей франшизы. - Предупреждение о сроках уведомления о страховании. Многие полисы киберстрахования требуют уведомления в течение 24-72 часов с момента обнаружения мошеннического банковского перевода. Позвоните сегодня на круглосуточную горячую линию по претензиям на странице декларации полиса.

Сценарий C: Выдача себя за генерального директора/руководителя («Срочное конфиденциальное приобретение/подарочная карта/изменение заработной платы»)¶

Если сотрудника обманом заставили перевести деньги на внешний счет с помощью электронной почты, текстовых SMS-сообщений, WhatsApp или Deepfake AI Voice/Video Call, выдавая себя за генерального директора или управляющего партнера, или если платежную ведомость обманным путем заставили изменить прямой депозит руководителя (ACH) номер маршрута: 1. Для переадресации прямого депозита по заработной плате: обратитесь к своему обработчику расчета заработной платы (ADP, Gusto, Paychex, Workday, Rippling, UKG) в течение нескольких минут и требуйте немедленного отзыва/отмены NACHA ACH и блокировки мошенничества на принимающей предоплаченной карте или банковском маршрутном номере (часто Green Dot, Chime, Sutton Bank, Bancorp или Pathward). Обработчики заработной платы имеют специальные отделы по борьбе с массовым мошенничеством, имеющие прямые связи с банками-эмитентами необанков.

Этап 4. Как определить, заражена ли ваша собственная сеть, и предотвратить повторную кражу проводов¶

Злоумышленники, успешно осуществившие мошенничество против организации на сумму более 100 000 долларов США, почти всегда пытаются повторить попытку в течение 7-14 дней, либо нацеливаясь на другой открытый счет поставщика, который они уже скачали из почтового ящика вашего бухгалтерского учета, либо отправляя электронное письмо вашим клиентам с целью перенаправить входящие платежи по дебиторской задолженности от вашей компании.

Пройдите судебно-медицинскую экспертизу из 5 пунктов, прежде чем санкционировать любые дальнейшие платежи.¶

1. Проверьте каждый почтовый ящик бухгалтерского, финансового, исполнительного и юридического отдела на предмет скрытых правил и приложений OAuth:
   • Следуйте нашему руководству по взломанная учетная запись электронной почты: скрытые правила переадресации и восстановление бежать Get-InboxRule -IncludeHidden во всех почтовых ящиках вашей организации, отзывайте незнакомые приложения OAuth и проверяйте правила транспорта почты Exchange на уровне клиента.
2. Аудит Entra ID/журналов входа в Google Workspace (Impossible Travel и Evilginx IP-адреса прокси-сервера AitM):
   • Проверьте журналы входа за последние 60 дней на наличие подключений от коммерческих VPN, ASN хостинг-провайдера (DigitalOcean, Linode, Stark Industries, M247, Choopa/Vultr, OVH), или незнакомые города. Если пользователь был скомпрометирован, несмотря на включенный MFA, он щелкнул фишинговую ссылку Противник посередине (AitM) (Evilginx / Tycoon 2FA). Отозвать все токены обновления (Revoke-MgUserSignInSession) и повысьте уровень финансового и исполнительного персонала до Аппаратных ключей безопасности FIDO2.
3. Проверьте, не было ли ваше доменное имя олицетворено похожим доменом:
   • Проверьте dnstwist (dnstwister.report) для доменного имени вашей компании. Если злоумышленник зарегистрировал визуально похожий домен (например, заменив строчную букву l с большой буквы Iили замена m с rnили добавление -billing.com), немедленно отправьте срочное Уведомление об удалении регистратора домена из-за злоупотреблений регистратору и хостинг-провайдеру аналогичного домена (включая EML заголовки, показывающие, что домен используется для активного мошенничества, регистраторы приостанавливают активные фишинговые домены BEC в течение нескольких часов, если им предоставлены заголовки).
4. Соблюдайте золотое правило проводной и ACH-безопасности (внеполосная двойная проверка):
   • **Никогда не проверяйте новые или измененные инструкции по проводу/ACH, позвонив по номеру телефона, указанному в электронном письме или в прикрепленном счете в формате PDF. ** Мошенник помещает свой собственный номер телефона Google Voice / записывающего телефона в поддельный счет в формате PDF, чтобы, когда вы позвоните для «подтверждения», мошенник ответил на звонок и подтвердил поддельный номер маршрута.
   • Обязательная политика: каждый банковский перевод, настройка нового поставщика или изменение существующих банковских реквизитов поставщика/начисления заработной платы на сумму более 1000 долларов США должны быть проверены путем звонка на заведомо надежный, исторический номер телефона, полученный из исходного генерального контракта с поставщиком в автономном режиме или независимого общедоступного каталога, И требуют Одобрения двойного контроля (один сотрудник инициирует перевод на банковском портале; второй независимый сотрудник проверяет внеполосно и выдает токен перевода).
5. Включить Positive Pay (для чеков и ACH) и услуги проверки аккаунта:
   • Включите Положительную блокировку оплаты/дебета ACH на всех коммерческих операционных счетах, чтобы никакая внешняя сторона не могла получить несанкционированное дебетование ACH.
   • При отправке платежей в Великобритании (Confirmation of Payee / CoP), ЕС (IBAN-Name Check согласно Регламенту ЕС о мгновенных платежах) или США (Early Warning Services / Nacha Account Validation), прежде чем высвободить средства, убедитесь, что имя владельца счета, возвращенное клиринговой сетью, соответствует предполагаемому названию компании.

Часто задаваемые вопросы¶

Источники проверены¶

• Федеральное бюро расследований (ФБР, США): Центр рассмотрения жалоб на интернет-преступления (IC3), группа по восстановлению активов (RAT), протокол цепочки действий по борьбе с финансовым мошенничеством (FFKC) и объявления государственной службы о компрометации деловой электронной почты (ic3.gov).
• Сеть по борьбе с финансовыми преступлениями (FinCEN, Министерство финансов США): Консультации по вопросам мошенничества с самозванцами и схемам «денежного мула» / Программа быстрого реагирования (RRP) на трансграничный отзыв переводов (fincen.gov).
• Агентство по кибербезопасности и безопасности инфраструктуры (CISA) и Секретная служба США (США): Защита от компрометации деловой электронной почты и мошенничества с использованием электронных средств недвижимости (cisa.gov, secretservice.gov).
• Регулятор платежных систем (PSR) и Управление финансового надзора (FCA, Великобритания): Заявление о политике PS23/4 и PS24/3: Борьба с мошенничеством с авторизованными push-платежами (APP): обязательное требование возмещения для более быстрых платежей и CHAPS (вступает в силу 7 октября 2024 г.) (psr.org.uk).
• Европейский платежный совет (EPC, Европейский Союз): Своды правил SEPA Credit Transfer (SCT) и SEPA Instant Credit Transfer (SCT Inst): отзыв в случае мошеннического происхождения (FRAD / camt.056) (europeanpaymentscouncil.eu).
• Комиссия по единому праву/Американский юридический институт (США): Статья 4A Единого коммерческого кодекса (UCC): Переводы денежных средств (§ 4A-207 Неправильное описание бенефициара; § 4A-211 Отмена и изменение Платежного поручения) (uniformlaws.org).

Связанные руководства¶

• Взломанная электронная почта: скрытые правила переадресации и восстановление
• Взлом банковского счета
• Мошенничество с дипфейковым голосовым клонированием и имитацией ИИ
• Фишинг и взломанные аккаунты
• Утечка криптовалютного кошелька и компрометация сид-фразы
• Мошенничество и мошенничество