Mjeseci tišine, jedan e-mail i zašto uopšte postoji SOC

Prevara u kojoj je iz jedne domaće kompanije na pogrešan račun otišlo oko 1,5 miliona maraka nije bila tehnički spektakl. Bila je strpljiva, tiha i usmjerena na proces plaćanja, a njega ima svaka firma. Upravo u tim tihim sedmicama leži i odgovor na pitanje čemu služi sigurnosni operativni centar.

Kada se krajem jula pojavila vijest da je iz jedne domaće kompanije uplatom na pogrešan račun otišlo oko 1,5 miliona konvertibilnih maraka, prve reakcije bile su sasvim razumljive. Kako je to uopšte moguće? Kome smo mi zanimljivi? I, gotovo refleksno: kod nas se to ne dešava.

A dešava se. I nikome se ne dešava zbog nepažnje ili nesposobnosti, nego zato što su ovakvi napadi pažljivo osmišljeni da prevare i najopreznije ljude. Dešavalo se i ranije, samo se rjeđe prijavljivalo i još rjeđe javno govorilo, često i zbog osjećaja neugodnosti koji ovakva iskustva nose sa sobom, sasvim neopravdano, jer žrtva prevare nije kriva za to što je neko drugi smislio uvjerljivu obmanu. U ovom tekstu zato nema imena. Nije napisan da bi bilo ko bio prozvan, niti da bi neko sa strane glumio pamet. Za to je kasno i od toga nema koristi. Napisan je zato što je ovakav napad, iz ugla ljudi koji se cyber sigurnošću bave svakodnevno, gotovo udžbenički i zato što se pouke iz njega mogu primijeniti u bilo kojoj firmi u Bosni i Hercegovini, počevši od sutra ujutro. Niko nije imun i to je u redu, važno je samo znati šta uraditi dalje.

Šta se, prema javno dostupnim informacijama, dogodilo

Prijava o računarskoj prevari u kojoj je iz kompanije otuđen veći iznos novca podnesena je policiji krajem jula. Slučaj je preuzeo sektor kriminalističke policije nadležnog kantonalnog MUP-a, pod nadzorom kantonalnog tužilaštva, a u istragu su uključeni i Državna agencija za istrage i zaštitu te međunarodne institucije, s obzirom na sumnju da iza napada stoji organizovana grupa. Većem dijelu novca ušlo se u trag i on je blokiran na računu u inostranstvu, dok je povrat preostalog iznosa neizvjesniji.

Ključni detalj, međutim, nije iznos. Ključni detalj je vrijeme. Napadači su, prema objavljenim informacijama, mjesecima pratili elektronsku komunikaciju između kompanije i njenog poslovnog partnera iz inostranstva, presretali poruke i uredno ih prosljeđivali stvarnim primaocima, tako da niko nije imao razloga posumnjati da nešto nije u redu. Napad se, dakle, nije desio onog dana kada je novac otišao. Tog dana se samo naplatio.

Napad ima ime i nije egzotičan

Riječ je o napadu poznatom kao Business Email Compromise (BEC), odnosno o kompromitaciji poslovne elektronske pošte. To je danas jedan od finansijski najisplativijih oblika cyber kriminala na svijetu, a tehnički je gotovo dosadan. Nema probijanja firewalla, nema ransomware ekrana, nema dramatike. Upravo je ta jednostavnost razlog zašto može prevariti bilo koga, bez obzira na iskustvo ili oprez.

Kako je za medije objasnio inspektor Federalne uprave policije Saša Petrović, u ovakvim slučajevima često nije kompromitovana pošta kupca, nego dobavljača. Napadač na tuđem serveru postavi pravilo za automatsko prosljeđivanje poruka, mirno prati prepisku i čeka trenutak plaćanja. Tada blokira legitimnog dobavljača, na fakturi izmijeni samo SWIFT i IBAN, i pošalje „ispravku“ s objašnjenjem koje zvuči uvjerljivo: nova banka, sankcije, ratna situacija, tehnički problem.

„Ono što ovakav napad čini opasnim nije tehnika, nego strpljenje. Napadač sedmicama, ponekad i mjesecima, ne radi ništa osim što čita. Kada se konačno javi, javi se usred prepiske koja već traje, s tačnim imenima, tačnim brojem ugovora i tačnim iznosom. U takvoj situaciji nije čudno da to neko ne prepozna na vrijeme. Nijedna osoba, koliko god pažljiva, ne treba sama biti posljednja linija odbrane od nečega ovako pripremljenog. Zato odbrana ne smije počivati na pojedincu, nego mora biti proces koji ne zavisi od toga kako je neko taj dan spavao.“

Ermin Avdagić, Key Account Manager, Comtrade System Integration

To je i razlog zašto je pogrešno, pa i nepravedno, ovakav incident svesti na „nepažnju zaposlenika“. Kada napadač sjedi unutar legitimne prepiske, i to najčešće tuđe, pažnja pojedinca sama po sebi nije dovoljna kontrola. Prava kontrola je proces koji štiti ljude, umjesto da na njih prebacuje odgovornost koju sami ne mogu ponijeti.

„Mali smo mi“ više nije odbrana, ako je ikada i bila

Lako je pomisliti da smo premali ili previše po strani da bismo bili zanimljivi napadačima. Mnoge firme tako misle i to je ljudska i logična pretpostavka. No taj osjećaj sigurnosti danas više ne odgovara stvarnosti, jer izbor mete odavno nije ručni posao. Kriminalne grupe danas rade po modelu profita, a ne po modelu prestiža. Firma s izlaznom fakturom od nekoliko stotina hiljada eura jednako je zanimljiva u malom bosanskohercegovačkom gradu kao i u Frankfurtu.

Ovo, uostalom, nije izolovan slučaj, niti razlog za dodatnu brigu pojedinačnih firmi. Naprotiv, dobro je znati da u tome nisu same. Federalna uprava policije još je u maju upozorila na porast prevara putem lažnih e-mailova, banke u Bosni i Hercegovini svoje klijente redovno upozoravaju upravo na BEC scenarij, a Centar za sigurnosne studije ocijenio je da ovakvi slučajevi pokazuju da je otpornost institucija i privrednih subjekata na digitalne prijetnje trenutno nedovoljna, uz ponovljeni poziv za usvajanje državne strategije cyber sigurnosti i uspostavljanje tima za odgovor na računarske incidente.

Upozorenja, dakle, postoje. Ono što u praksi najčešće nedostaje jeste mehanizam koji upozorenje pretvara u konkretnu zaštitu, a to je nešto što svaka kompanija može početi rješavati već danas, uz pravu podršku i bez osjećaja da sve mora riješiti sama.

Zašto SOC uopšte postoji

Ovdje se vraćamo na ono najvažnije iz cijele priče: na mjesece u kojima se ništa nije desilo. U tom periodu napadač ne krade, nego čita. I upravo zbog tog perioda postoji sigurnosni operativni centar: ne zbog trenutka udara, nego zbog tihih sedmica prije njega, kada se anomalije mogu primijetiti dok još ništa nije izgubljeno i kada se šteta može spriječiti umjesto samo sanirati.

Prijava na poslovni nalog iz druge države u tri ujutro. Novo pravilo za automatsko prosljeđivanje pošte. Neuobičajen obrazac slanja. Registracija domena koji se od vašeg razlikuje za jedno slovo. Svaka od tih sitnica sama za sebe ne znači ništa, a interni IT tim je i inače zatrpan svakodnevnim poslom i jednostavno nema kapacitet da svaku od njih uoči na vrijeme. Zajedno, i posmatrane 24 sata dnevno, te sitnice znače sve. To je razlika između incidenta koji se rješava jednim telefonskim pozivom i incidenta koji se rješava uz tužilaštvo, međunarodnu pravnu pomoć i neizvjestan povrat sredstava.

Druga polovina odgovora tiče se brzine. Kada se novac jednom pošalje, šansa za njegovo zaustavljanje mjeri se u satima, a ne u danima. Firme koje imaju unaprijed pripremljen plan odgovora ne gube dragocjeno vrijeme na pitanje koga sada zvati, a upravo je brza reakcija nadležnih u ovom slučaju omogućila da veći dio sredstava bude blokiran.

Izgradnja vlastitog SOC-a na papiru zvuči logično, ali traži ozbiljna ulaganja u ljude, procese i tehnologiju, i to kontinuirano, a ne jednokratno, što realno nije za svaku firmu, niti mora biti. Zato se sve više kompanija odlučuje za upravljani pristup: oslanjanje na partnera koji tim, procese i tehnologiju već ima i koji taj teret rado preuzima na sebe.

Šta konkretno uraditi ove sedmice

Dobra vijest je da se BEC može zaustaviti kombinacijom nekoliko sasvim dostupnih mjera, od kojih većina ne košta gotovo ništa. Evo odakle je najlakše krenuti:

• Promjena bankovnih instrukcija tretirajte kao sigurnosni incident. Svaka izmjena IBAN-a ili SWIFT-a treba se provjeriti drugim kanalom, telefonom na broj koji je otprije u vašoj bazi, a nikako na broj naveden u tom istom e-mailu.
• Pravilo četiri oka za plaćanja iznad praga. Jedna osoba ne treba biti jedina tačka odluke na transakciji koja može ugroziti likvidnost firme.
• Zaštita e-mail domena. SPF, DKIM i DMARC u režimu provođenja, oznaka za vanjske pošiljaoce i nadzor registracije domena sličnih vašem.
• Višefaktorska autentifikacija i nadzor pravila u sandučetu. Novo pravilo za automatsko prosljeđivanje pošte jedan je od najjasnijih znakova kompromitacije i ujedno jedan od najrjeđe primijećenih, jednostavno zato što ga niko ne traži dok ne postoji razlog za sumnju.
• Edukacija finansija i nabavke, ne samo IT-a. Meta ovakvog napada nije server, nego proces plaćanja i ljudi koji ga izvršavaju, a oni zaslužuju podršku i jasne alate, ne samo očekivanje da će sami prepoznati prevaru.
• Plan odgovora na incident, napisan unaprijed. Ko zove banku, ko nadležne institucije, ko partnera i u kojem roku, kako se ta pitanja ne bi rješavala usred krize, kada je najteže razmišljati jasno.
• Provjera stanja umjesto pretpostavke. Sigurnosna procjena i simulirani phishing pokazuju gdje zaista stojite, ne kao osuda, nego kao polazna tačka za dalje unapređenje.

„Najčešće pitanje koje dobijemo poslije ovakvih vijesti jeste koliko košta zaštita. Rjeđe se razmišlja o tome koliko košta sedmica u kojoj niko nije imao priliku da pogleda šta se dešava. I to je očekivano, jer se firme prirodno bave svojim osnovnim poslom, a ne cyber prijetnjama. Zato smo tu mi. Kompanije nas najčešće kontaktiraju nakon incidenta i to je u redu, svako krene odatle gdje jeste. Gotovo sve što tada radimo moglo se uraditi i ranije, uz manje stresa za sve.“

Ermin Avdagić, Key Account Manager, Comtrade System Integration

Na raspolaganju smo

Comtrade System Integration ove je godine otvorio Security Operations Center u Sarajevu, kao dio regionalne mreže koja obuhvata i centre u Beogradu i Ljubljani. Kompanija spada među 15 najvećih provajdera upravljanih cyber security usluga u Evropi i među 75 u svijetu, posluje po ISO 27001 standardu i sarađuje s vodećim globalnim vendorima uz najviši partnerski status.

Kroz SOC pružamo neprekidni nadzor, detekciju i odgovor na incidente, zaštitu identiteta i pristupa, zaštitu podataka, sigurnosne procjene i testiranje otpornosti, s timom koji je dostupan na lokalnom jeziku, u istoj vremenskoj zoni i s razumijevanjem okolnosti u kojima ovdje posluju kompanije. Bez koordinacije preko više vremenskih zona i bez čekanja.

Ako se u bilo čemu od ovoga prepoznajete, niste jedini i uvijek ima vremena da se stanje popravi. Organizacijama koje nemaju jasne smjernice, a žele znati gdje realno stoje, rado stojimo na raspolaganju za analizu postojećeg stanja i konkretne, razumljive preporuke za unapređenje, bez pritiska i bez osuđivanja. Najbolji način da se nosite s cyber napadom jeste da ga spriječite prije nego što postane poslovni problem.

Provjerite gdje vaša kompanija zaista stoji Za kompanije koje žele provjeriti koliko su izložene ovakvom scenariju pripremili smo kratak i jednostavan upitnik. Popunjavanje traje dvije minute, a na osnovu odgovora javljamo se s inicijalnom procjenom izloženosti kompromitaciji poslovne e-pošte i konkretnim, praktičnim preporukama za vaš slučaj, bez naknade i bez obaveze. Upitnik je dostupan na: Koliko je vaša kompanija spremna za cyber incident? Ispunite obrazac