Ako sa zmenila
kybernetická
bezpečnosť firiem
Podvodníci dnes radšej manipulujú, než hackujú
Účtovníčka dostane e-mail od dlhoročného dodávateľa. Faktúra vyzerá presne ako vždy. Rovnaké logo, rovnaký podpis, rovnaká suma. Jediný rozdiel je v čísle účtu. Nikto si ho nevšimne. O pár minút odídu z firemného účtu desiatky tisíc eur.
Presne takto dnes často vyzerajú finančné podvody vo firmách. Nie ako filmový hackerský útok, ale ako dobre pripravená manipulácia, pri ktorej niekto vo firme urobí presne to, čo od neho podvodník potrebuje.
Keď sa dnes povie kybernetická bezpečnosť, už dávno nejde len o heslá, antivírus alebo ochranu počítačov. Ide aj o to, ako má firma nastavené schvaľovanie platieb, kto môže meniť limity, ako sa overuje zmena účtu na faktúre a či ľudia vo firme vedia rozpoznať tlak, urgentnosť a podozrivé správanie.
Podľa Jána Adamovského, šéfa bezpečnosti Slovenskej sporiteľne, dnes veľká časť útokov stojí na sociálnom inžinierstve. Inak povedané: podvodníci sa čoraz menej snažia hacknúť systém a čoraz viac sa snažia zmanipulovať človeka, aby peniaze poslal sám.
Kybernetické útoky sa zmenili
Ešte pred pár rokmi sa firemná bezpečnosť na internete spájala najmä s technickým prelomením prístupov. Dnes je situácia iná. Banky aj firmy výrazne investovali do bezpečnostných mechanizmov, dvojfaktorového overovania a monitoringu. Útočníci sa preto vo veľkom presunuli tam, kde býva vyššia šanca na úspech: k ľuďom.
Aj Ján Adamovský upozorňuje, že práve tu sa dnes láme väčšina incidentov. Podvodník už často nepotrebuje ukradnúť heslo. Stačí mu dôveryhodný e-mail, presvedčivý telefonát a psychologický tlak, pod ktorým človek schváli platbu, zmení účet alebo si nainštaluje vzdialený prístup.
Výraznú úlohu v tom hrá aj umelá inteligencia. Pomáha podvodníkom pripravovať presvedčivejšie e-maily, lepšie cieliť správy na konkrétne firmy a vo veľkom objeme generovať obsah, ktorý pôsobí dôveryhodne. Preto už dnes neplatí, že malá firma je pre podvodníkov nezaujímavá. Ak má účet, platby, účtovníctvo a ľudí, ktorí pracujú pod časovým tlakom, je zaujímavým cieľom.
Falošná faktúra
Toto je dnes jeden z najčastejších scenárov. Firma dostane faktúru, ktorá pôsobí dôveryhodne. Môže prísť od reálneho obchodného partnera alebo môže byť úplne novo vytvorená. Typický problém býva zmena čísla účtu, teda IBAN-u, na ktorý sa má platiť.
Ešte nebezpečnejšie sú prípady, keď podvodníci pomocou AI pripravia faktúru za službu, ktorá nikdy nebola dodaná. Často ide o marketingové, digitálne alebo administratívne služby, pri ktorých sa menšie sumy ľahšie stratia medzi inými platbami.
Prečo to funguje? Pretože faktúra zapadne do bežného workflow. Niekto ju prijme, niekto pripraví, niekto schváli. A ak v tomto procese chýba overenie zmeny účtu druhým kanálom, podvod prejde bez väčšieho podozrenia.
CEO fraud a BEC podvod
CEO fraud patrí medzi najnebezpečnejšie finančné podvody na internete. Podvodník sa vydáva za konateľa, riaditeľa alebo inú autoritu vo firme. Príde e-mail, správa alebo telefonát, ktorý pôsobí naliehavo a diskrétne. Typická formulácia znie: treba to vybaviť hneď, je to citlivé, nikomu o tom nehovor.
Dnes sa k tomu pridáva aj AI. Podvodníci vedia pripraviť dôveryhodný príbeh, použiť verejne dostupné informácie, fotografie a v niektorých prípadoch aj hlasové nahrávky, ktoré pôsobia ako konkrétna osoba. Ak firma nemá jasné pravidlá, že každá neštandardná platba sa overuje aj druhým kanálom, takéto útoky fungujú prekvapivo dobre.
Dôležité je aj to, že CEO fraud phishing a BEC podvod neútočia primárne na technológiu. Útočia na rešpekt voči autorite, strach zo zdržania a potrebu vybaviť vec rýchlo.
Falošný bankár, polícia alebo NBS
Ďalší častý scenár je telefonát od človeka, ktorý tvrdí, že volá z banky, polície alebo Národnej banky Slovenska. Tvrdí, že firemné peniaze sú ohrozené, že treba konať okamžite a že situácia je mimoriadna.
Najväčšie riziko je v tom, že tento typ útoku vytvára silný psychologický tlak. Rozhovor môže trvať desiatky minút aj hodiny. Človek pod stresom postupne prestáva racionálne vyhodnocovať situáciu a začne robiť presne to, čo mu útočník hovorí.
Preto platí jednoduché pravidlo: ak vám niekto telefonicky hovorí, že musíte realizovať prevod, potvrdzovať transakcie alebo si inštalovať nástroj na „záchranu peňazí“, je to mimoriadne silný varovný signál.
Vzdialený prístup
Súčasťou podvodu môže byť aj požiadavka, aby si človek nainštaloval nástroj na vzdialený prístup, napríklad TeamViewer, AnyDesk alebo podobné riešenie. Podvodník to vysvetlí ako pomoc, kontrolu alebo zabezpečenie účtu.
V realite však získa možnosť navigovať používateľa pri práci s bankovníctvom alebo ho priamo navádzať pri potvrdzovaní platieb. Človek má pocit, že zachraňuje firemné peniaze, no v skutočnosti pomáha útočníkovi vybieliť účet.
Prečo sú najväčším rizikom zamestnanci
Na prvý pohľad to znie nepríjemne, ale nie preto, že by ľudia vo firme boli nešikovní. Práve naopak. Útočníci cielia na svedomitých ľudí, ktorí chcú vybaviť veci rýchlo, zodpovedne a bez zdržania.
Podvod funguje vtedy, keď sa skombinuje autorita, časový tlak, stres a pocit zodpovednosti. Účtovníčka nechce zdržať dôležitú platbu. Finančný manažér nechce blokovať urgentnú požiadavku od konateľa. Majiteľ nechce spochybňovať telefonát, ktorý pôsobí ako bezpečnostný incident. A práve v tom je sila sociálneho inžinierstva.
Aj preto dnes firmy potrebujú viac než len technické zabezpečenie. Potrebujú vzdelávanie, opakovanie pravidiel a kultúru, v ktorej je normálne spomaliť, pýtať sa a overovať. Kybernetická bezpečnosť firmy totiž nestojí len na tom, čo vie technológia, ale aj na tom, čo si ľudia dovolia nespraviť pod tlakom.
Slovenská sporiteľňa túto tému otvára práve preto, že bezpečnosť nie je len o technológii v banke. Je aj o tom, aby klienti vedeli, aké typy útokov dnes existujú, ako vyzerajú podvody s peniazmi a aké správanie vo firme znižuje riziko, že niekto podvod schváli vlastnými rukami.
Aké procesy chránia firmu lepšie než antivírus
Mnohé firmy si myslia, že ak majú silné heslá a aktualizované zariadenia, sú v bezpečí. To je dôležitý základ, ale pri dnešných útokoch to nestačí. Veľkú časť rizika vedia odstrániť procesy, ktoré nie sú komplikované, ale musia byť dôsledné.
Kontrola štyroch očí
Ak existuje jedno pravidlo, ktoré chráni firmu lepšie než desiatky všeobecných poučiek, je to kontrola štyroch očí. Znamená to, že vyššie alebo rizikovejšie platby nikdy nesmie autorizovať len jeden človek.
Pri malých firmách sa roly často zlievajú do jednej osoby. Pri stredných firmách by to už mal byť štandard. V Business24 si vie majiteľ alebo konateľ skontrolovať, kto má aké limity a kto s kým podpisuje, vysvetľuje Veronika Vasiliev, odborníčka Slovenskej sporiteľne na elektronické bankovníctvo Business24.
Práve toto je jedno z najsilnejších opatrení aj pre malé a stredné firmy. Nemusia mať veľké IT oddelenie ani komplikovaný bezpečnostný systém. Stačí, ak majú nastavené, že platbu pripraví jedna osoba a schváli druhá. Pri vyšších sumách alebo neštandardných situáciách je to zásadný rozdiel.
Limity, podpisové pravidlá a oddelenie rolí
Rovnako dôležité je nastaviť limity podľa používateľov a rolí. Nie každý musí mať rovnaké oprávnenia. Niekto pripravuje platby, niekto ich kontroluje, niekto schvaľuje a niekto spravuje administráciu.
Ak sa vo firme zlejú všetky tieto roly do jednej osoby, vzniká zbytočné riziko. A to nielen pri útoku zvonka, ale aj pri vnútornom zlyhaní alebo chybe. Bezpečnejší workflow znamená, že firma má jasne určené, kto čo robí, aké má limity a kto môže meniť nastavenia.
Administrácia a audit používateľov
Jedna z najdôležitejších vecí, ktorú by si mal konateľ alebo majiteľ držať pod kontrolou, je administrácia firemného bankovníctva. Teda prehľad o tom, kto má aké oprávnenia, aké limity, aké podpisové pravidlá a aké bezpečnostné predmety používa.
Nie je rozumné delegovať túto časť bez kontroly. Práve v administrácii sa totiž rozhoduje o tom, kto vie pridávať používateľov, meniť limity alebo nastaviť podpisovanie platieb. Ján Adamovský v tejto súvislosti upozorňuje, že bezpečná firma nestojí len na technológii, ale najmä na dobre nastavených roliach a kontrole.
Overenie druhým kanálom
Ak sa mení číslo účtu, ak príde urgentná požiadavka na platbu alebo ak sa objaví neštandardná situácia, správny postup je neoverovať to v tom istom kanáli, v ktorom prišla požiadavka. Treba použiť druhý kanál.
Príde e-mail? Zavolajte na známe číslo. Príde telefonát? Overte si požiadavku cez oficiálny kontakt. Príde pokyn cez správu? Pýtajte si potvrdenie inou cestou. Toto jednoduché pravidlo vie zastaviť veľkú časť podvodov ešte predtým, než sa vôbec dostanú k peniazom.
Business24 a bezpečnejšie workflow platieb
Praktická bezpečnosť vo firme nestojí len na zásadách, ale aj na tom, ako jednoducho ich vie firma dodržiavať v bežnej prevádzke. Práve tu vstupuje do hry Business24. Ak má firma správne nastavenú administráciu, limity a podpisové pravidlá, vie si vytvoriť workflow, v ktorom sa rizikové situácie zachytia skôr, než sa zmenia na incident.
Výhodou je aj to, že firma vie kontrolovať, kto s kým podpisuje, aké limity má konkrétny používateľ a kto môže meniť nastavenia. Pri vyšších platbách sa tak dá prirodzene nastaviť kontrola štyroch očí, pri menších zase efektívny proces bez zbytočnej administratívy.
Zmysel dáva aj prepojenie procesov tam, kde je to praktické. Ak firma využíva účtovný systém a Open Banking spôsobom, ktorý znižuje manuálne prepisovanie platieb medzi systémami, znižuje aj priestor na chyby. Dôležité však je, aby automatizácia nenahradila kontrolu, ale aby ju podporila.
V praxi to znamená aj to, že konateľ nemusí podpisovať každú jednu platbu jednotlivo. Ak sú procesy nastavené správne, môže podpisovať pripravený balík platieb, pričom kontrola, história a schvaľovanie ostávajú zachované, dodáva Veronika Vasiliev. Firma tak nie je paralyzovaná bezpečnostnými pravidlami, ale naopak funguje bezpečnejšie a plynulejšie.
Čo robiť, keď máte podozrenie na podvod
Mnohé firmy spravia najväčšiu chybu v prvých minútach. Zľaknú sa, začnú konať rýchlo a pod tlakom urobia ďalšie nesprávne kroky. Preto je prvé pravidlo jednoduché: zastaviť sa.
Ak máte podozrenie na podvod, netreba nič ďalšie potvrdzovať, neklikať na odkazy, neinštalovať žiadny softvér a nepokračovať v komunikácii len preto, že druhá strana pôsobí autoritatívne. Každú neštandardnú požiadavku treba okamžite overiť druhým kanálom.
Ak už došlo k odoslaniu platby na podvodný účet, treba čo najrýchlejšie kontaktovať banku. Čím skôr sa situácia rieši, tým väčšia je šanca, že sa podarí platbu preveriť, zastaviť alebo iniciovať žiadosť o jej vrátenie. Zároveň treba incident zdokumentovať a obrátiť sa na orgány činné v trestnom konaní.
Aj podľa Jána Adamovského pri podvodoch rozhodujú prvé minúty. Ak sú peniaze ešte na účte v rámci banky, dajú sa bezodkladne zastaviť. Ak už odišli do inej banky, dá sa okamžite poslať žiadosť o ich vrátenie. Aj preto sa pri podozrení neoplatí čakať ani dúfať, že sa situácia vyrieši sama.
Nestačí technológia, rozhodujú procesy
Bezpečnosť a riziká na internete sa dnes vo firmách neriešia len na úrovni IT. Riešia sa v účtovníctve, vo financiách, pri práci s dodávateľmi, pri schvaľovaní platieb aj v tom, ako rýchlo chce firma vybavovať bežnú agendu.
Dobrá správa je, že množstvu incidentov sa dá predísť bez dramatických investícií. Firma nepotrebuje komplikovaný bezpečnostný aparát, aby si vedela nastaviť lepšie limity, dvojité schvaľovanie, audit používateľov, overovanie druhým kanálom a praktickejšie workflow v Business24. Práve tieto kroky dnes chránia firemné peniaze často účinnejšie než všeobecné poučky o internete.
Ak má mať kybernetická bezpečnosť vo firme reálny význam, musí byť súčasťou každodenného fungovania. Nielen raz ročne na školení, ale pri každej zmene účtu, pri každej neštandardnej platbe a pri každom telefonáte, ktorý vytvára tlak na rýchle rozhodnutie. Vtedy sa ukáže, či má firma bezpečnostné pravidlá len napísané, alebo ich naozaj žije.
Viac praktických príkladov, odporúčaní a situácií z firemnej praxe zaznelo aj v Biznis raňajkách so šéfom bezpečnosti Slovenskej sporiteľne Jánom Adamovským a odborníčkou Slovenskej sporiteľne na elektronické bankovníctvo Veronikou Vasiliev. Pozrite si celé video:
Počet internetových podvodov vo firmách rastie a útočníci sa čoraz častejšie nesnažia prelomiť bankové zabezpečenie, ale manipulovať ľudí vo vnútri firmy. O tom, aké typy útokov dnes vidia v praxi, prečo sú falošné faktúry a falošní bankári takí nebezpeční a ako nastaviť procesy vo firme aj v Business24, aby firma znížila riziko podvodov, sme sa rozprávali s Jánom Adamovským, šéfom bezpečnosti Slovenskej sporiteľne, a Veronikou Vasiliev, odborníčkou Slovenskej sporiteľne na Business24.
Aké sú súčasné trendy v online podvodoch?
JÁN ADAMOVSKÝ: Na číslach vidíme, že trend podvodov sa stále zvyšuje. Keď to porovnáme s minulým rokom, počty podvodov sú viac ako dvojnásobné.
Dôvodom je aj to, že podvodníci, rovnako ako my všetci, využívajú umelú inteligenciu. Pomáha im automatizovať podvody a cieliť ich presnejšie na konkrétne osoby a firmy. Preto vidíme aj oveľa viac pokusov o podvody voči firmám, než to bolo v minulosti.
Jednoznačný trend je aj to, že približne 95 % všetkých podvodov stojí na sociálnom inžinierstve. Podvodníci presviedčajú klientov – v prípade firiem majiteľov, účtovníkov alebo kohokoľvek s prístupom k účtu – aby urobili neJán Adamovskýký krok. Buď aby vraj o peniaze neprišli, alebo aby údajne na niečom zarobili.
Pamätám si, že pred štyrmi či piatimi rokmi sa útočníci viac snažili získať prístup do internet bankingu. Prečo sa dnes viac snažia presvedčiť ľudí?
JÁN ADAMOVSKÝ: Hlavný dôvod je, že banky, a platí to aj pre Slovenskú sporiteľňu, výrazne investovali do bezpečnostných mechanizmov. Veci ako ukradnuté prihlasovacie údaje alebo čísla kariet dnes vo veľkej miere vieme odhaliť a týmto útokom predchádzať.
Aj preto vidíme, že pri pokusoch o podvod dokážeme veľkú časť zachytiť. Napriek tomu, že podvodné transakcie často realizujú zmanipulovaní klienti sami, banka proti tomu aktívne bojuje a významnú časť z nich sa stále darí zachrániť.
Čo sú dnes najzraniteľnejšie miesta vo firme z pohľadu peňazí? Na čo útočníci mieria najčastejšie?
JÁN ADAMOVSKÝ: Pri firemných klientoch sú to najmä falošné faktúry. Ide o faktúry, ktoré prídu buď od existujúcich obchodných partnerov, alebo sa za nich len tvária. Najčastejšie je v nich zmenené číslo účtu. Peniaze, ktoré má firma zaplatiť za tovar alebo služby, tak odídu na účet podvodníka.
Stretávame sa aj s tým, že podvodníci pomocou umelej inteligencie generujú úplne falošné faktúry za tovary alebo služby, ktoré nikdy neboli dodané. Často ide o marketingové alebo digitálne služby, pri ktorých sú sumy síce nižšie, ale takýchto faktúr je veľké množstvo a podvodníci skúšajú, či ich niekto zaplatí.
Ešte vrátim k útokom na prístup do internet bankingu, aj keď sa dejú už v menšej miere. Ako často by si mal klient meniť heslo do Business24? Platí ešte pravidlo veľmi častého menenia, alebo aké odporúčania dnes dávate?
VERONIKA VASILIEV: Základ je heslo si pamätať a nepísať si ho niekam bokom. Ideálne nie na papierik pri počítači. Odporúčame meniť si ho približne raz za kvartál alebo aspoň raz za pol roka. Niekedy na to upozorní aj samotný systém.
Zároveň máme aj overenie druhým bezpečnostným faktorom. Nestačí teda len meno a heslo, ale je potrebný aj bezpečnostný prvok naviazaný priamo na používateľa – môže to byť SMS, mToken alebo EOK.
Tých útokov na prístup nie je veľa, ale aj tak vedia narobiť veľkú škodu. Spomínali ste aj ďalšie konkrétne príklady podvodov.
JÁN ADAMOVSKÝ: V poslednom období sa nám rozmohol aj typ podvodu, ktorý poznáme ako falošný bankár, falošný policajt alebo falošný pracovník Národnej banky Slovenska. Typické to bolo najprv v retailovom svete, kde podvodníci klientom tvrdili, že ich peniaze sú ohrozené a musia ich niekam previesť.
Teraz sa to začína obJán Adamovskývovať aj vo firemnom prostredí. Máme prípady, keď sa obeťou takého telefonátu stal účtovník alebo účtovníčka. Podvodníci s nimi telefonovali hodinu aj dve a držali ich pod silným psychickým tlakom.
Človek pod takýmto tlakom prestáva racionálne rozmýšľať a reaguje podľa pokynov podvodníka. Často im poskytne súčinnosť, nainštaluje si softvér na vzdialený prístup a následne podvodníci realizujú transakcie v jeho mene, pričom ich obeť sama potvrdzuje. Má pritom pocit, že zachraňuje firemné peniaze, ale deje sa presný opak.
Toto sú situácie, ktoré môžu byť pre firmy likvidačné. Ak firma príde o peniaze, ktoré potrebuje na bežný chod, podvodníci jej vedia v podstate vybieliť účet.
Pozrime sa teraz nielen na podvody, ale aj na prevenciu. Ako nastaviť procesy vo firme a v samotnom bankovníctve tak, aby sa riziko čo najviac znížilo?
JÁN ADAMOVSKÝ: Úplne prvá a najdôležitejšia vec je vedieť, aké útoky firme hrozia. Kedysi si mnohé menšie firmy mysleli, že pre podvodníkov nie sú zaujímavé. To už dnes neplatí. Umelá inteligencia si nevyberá, pracuje nepretržite a vie zbierať informácie o firmách. V dnešnej dobe je pre podvodníkov zaujímavá prakticky každá firma.
Preto je prevencia mimoriadne dôležitá. Informácie o typoch útokov treba šíriť ďalej vo firme. Každý človek, ktorý má prístup k financiám alebo k účtu, by mal vedieť, aké hrozby mu reálne hrozia.
Druhá zásadná vec je, že veľmi často je sociálnym inžinierstvom zmanipulovaný jeden človek, ktorý následne koná. Preto z pohľadu bezpečnosti odporúčame, aby transakciu vždy autorizovalo viac ľudí. Nikdy by to nemalo zostať na jednej osobe.
Ako sa to dá konkrétne riešiť v Business24? Ako si firma vie nastaviť kontrolu štyroch očí alebo podobné pravidlá?
VERONIKA VASIELIEV: Ideálne je mať kontrolu štyroch očí, najmä pri vyšších platbách. Samozrejme, treba sa pozerať aj na to, ako má firma nastavené disponovanie s finančnými prostriedkami na účte.
V Business24 administrácii si vie majiteľ alebo konateľ cez administrátora skontrolovať, kto má aké limity, kto s kým podpisuje a podobne. Vie si tým zabezpečiť, že pri vyšších platbách bude vždy fungovať kontrola štyroch očí. Dá sa pozerať aj na limity bezpečnostných predmetov, ktoré má používateľ k dispozícii.
Niektoré veci si klient vie nastaviť priamo v Business24. Komplexnejšie zmeny rieši cez svojho poradcu, ale rýchle úpravy, napríklad zvýšenie alebo zníženie limitu na platby, si vie urobiť aj priamo v systéme.
Keď sa pozrieme na malé a stredné firmy, čo by mal byť minimálny bezpečnostný štandard?
VERONIKA VASIELIEV: V malých firmách sa často viaceré úlohy zlievajú do jednej osoby – môže to robiť konateľ, majiteľ alebo malý počet ľudí. Preto je tam zastupiteľnosť menšia. Aj preto by som pri vyšších platbách určite odporúčala kontrolu štyroch očí.
Dajú sa dopredu nastaviť platby, notifikácie na podpis a pri každej platbe je k dispozícii história, kde si klient vie pozrieť, kto ju zadal, kedy ju zadal a či sa na nej niečo menilo.
Pri stredných firmách, kde sú už role lepšie rozdelené, by som kontrolu štyroch očí odporúčala ako štandard. Veľmi pomáha aj prepojenie s účtovným systémom, teda aby sa platby nemuseli ručne prepisovať.
Dá sa tým riešiť aj riziko zvnútra firmy? Napríklad keď by niekto zo zamestnancov urobil chybu alebo konal úmyselne?
JÁN ADAMOVSKÝ: Kontrola štyroch očí rieši veľmi veľa vecí. Či už ide o útok zvonka alebo podvod zvnútra, nemalo by stačiť, aby bol do procesu zapojený len jeden človek. To je úplný základ.
Druhá dôležitá vec je preverovať komunikáciu. Nikdy si nemôžeme byť úplne istí, s kým komunikujeme. Podvodníci to využívajú napríklad pri CEO podvode, keď sa niekto vydáva za riaditeľa firmy.
Dnes už vedia pomocou umelej inteligencie vytvoriť dôveryhodný príbeh, použiť fotografie konkrétnych ľudí aj hlasové nahrávky, ktoré znejú presvedčivo. Môžu tvrdiť, že firma ide robiť akvizíciu, že treba autorizovať transakciu a že o tom netreba nikomu hovoriť. Dokonca zneužijú meno reálne existujúcej právnickej kancelárie alebo právnika.
V takých prípadoch je veľmi dôležité zastaviť sa a overiť si komunikáciu iným kanálom. Môžeme mať pocit, že komunikujeme s človekom zvnútra firmy, ale v skutočnosti to môže byť podvodník.
To však môže majiteľa alebo konateľa spomaľovať. Ako nastaviť workflow platieb tak, aby sa nestal úzkym hrdlom?
VERONIKA VASIELIEV: Vždy je to o celkovom nastavení procesov vo firme. Veľa pomáha Open Banking, pretože klient vie zo svojho účtovného systému importovať platby do Business24. Nemusí potom každú jednu platbu zadávať ručne a konateľ už podpisuje pripravený balík platieb.
Tým pádom sa stáva akoby posledným kontrolným bodom, kde si vie skontrolovať sumy a to, či je všetko v poriadku. Kontrola štyroch očí je dôležitá práve preto, aby všetko nebolo na jednej osobe, najmä keď tá koná v strese alebo pod nátlakom.
Odporúčala by som teda pracovať s balíkmi platieb, importovať ich priamo z účtovného systému a až na konci nechať finálnu kontrolu podľa podpisových pravidiel. Popri tom si treba nastavovať limity, oprávnenia a dvojité schvaľovanie.
Keď sa bavíme o delegovaní, čo by si majiteľ alebo konateľ naopak nemal vzdávať?
VERONIKA VASIELIEV: Určite administrácie. Teda prehľadu o tom, kto môže disponovať firemnými financiami cez Business24, kto môže zadávať platby, akými bezpečnostnými predmetmi a s akými oprávneniami.
Toto by som nedelegovala na hocikoho vo firme. Mala by to mať v rukách dôveryhodná osoba, pretože práve cez administráciu sa dajú nastaviť aj podpisové pravidlá s veľmi vysokými alebo neobmedzenými limitmi.
Konateľ by mal mať možnosť robiť si audit používateľov a pravidelne si kontrolovať, ako sú nastavené oprávnenia a limity.
A ak si klient nie je istý, či má všetko nastavené správne, vie to konzultovať s bankou?
VERONIKA VASIELIEV: Áno, samozrejme. Na klientskom centre máme vyškolených kolegov a klient sa vie obrátiť aj na svojho poradcu, ktorého kontakt nájde v Business24.
Najčastejšie otázky o kybernetickej bezpečnosti
Kybernetická bezpečnosť firmy je ochrana firemných systémov, účtov, dát, platieb a ľudí pred digitálnymi hrozbami. V praxi sa netýka len technológií, ale aj procesov, schvaľovania platieb, prístupových práv a správania zamestnancov.
Podvodníci dnes pracujú efektívnejšie, viac využívajú automatizáciu a AI a útoky vedia lepšie prispôsobiť konkrétnym firmám. Zároveň sa zvyšuje počet situácií, v ktorých vedia zmanipulovať človeka, aby konal sám.
Pretože už neplatí, že podvodník sa zameriava len na veľkých hráčov. Ak má firma peniaze na účte, účtovníctvo, dodávateľov a človeka, ktorý vie autorizovať platbu, je zaujímavým cieľom bez ohľadu na veľkosť.
Phishing je podvodná komunikácia, ktorej cieľom je presvedčiť človeka, aby poskytol údaje, klikol na odkaz alebo urobil konkrétnu akciu. Vo firmách často smeruje k platbám, falošným faktúram, zmenám účtov alebo k získaniu prístupu do systémov.
CEO fraud je typ podvodu, pri ktorom sa útočník vydáva za konateľa, riaditeľa alebo inú autoritu vo firme a žiada urgentnú alebo diskrétnu platbu. Často je postavený na nátlaku, autorite a zákaze overovania.
Najčastejšie varovné signály sú zmena čísla účtu, neštandardná požiadavka, nová faktúra za službu, ktorú si nikto nevie zaradiť, alebo tlak na rýchlu úhradu. Každú zmenu účtu treba overiť druhým kanálom.
Pretože znižuje riziko, že pod psychologickým tlakom alebo v strese rozhodne jeden človek sám. Ak platbu pripravuje jedna osoba a schvaľuje druhá, firma zachytí veľkú časť podvodov skôr, než peniaze odídu.
Treba okamžite kontaktovať banku, požiadať o preverenie alebo vrátenie platby, zdokumentovať incident a obrátiť sa na políciu. Pri podvodoch rozhoduje rýchlosť, preto sa neoplatí čakať ani dúfať, že sa situácia vyrieši sama.