2020年8月15日 星期六

騙案追縱:傢具商遇電郵騙案損失200萬元 網絡專才教路兩大策略防中招

巴士的報

公司電郵騙案屢見不鮮,大多數發生在中小型公司,這些公司忽略網絡安全,讓騙徒輕易得手。

這次騙案涉及一家中型辦公室傢具供應商,犯案手法非常簡單,騙徒以電腦程式,漁翁撒網向超過一萬家公司發電郵,只要一間公司中招,收穫已經很豐富。

中招的是公司40歲資深男會計師,有一天他接到客戶的電郵指示,催促找數,電郵和客戶慣用的電郵,有一個英文字母不同,會計師警覺性不足,按電郵指示,在銀行轉帳了25萬美元(195萬港元)到電郵指定的戶口,其實戶口號碼亦與平日客戶所用的戶口不同,但會計師並沒有查證。

騙徒輕易騙得25萬美元,食髓知味,兩三天後再要求會計師轉帳50萬美元,會計師才覺得不對勁,馬上向客戶核實,發現早前的25萬美元,客戶並未收到,才知被騙。

網絡安全專家C君分析,事主好大機會之前曾開啟騙徒的釣魚電郵,並打開一些連結,雖然沒有作進一步行動,但已等同開了門,讓騙徒長驅直入,其後騙徒極可能開展「攞料」行動,如在網上查閱這間公司的資料、業務性質、員工數目,甚至主要部門主管的名字、電話、及電郵,透過這些電郵或電話聯絡事主,找到進一步資料後,才發電郵到公司或個別人士,減少事主的戒心。

C君認為,公司應首先假設,所有電郵都是假的,在這大前提下制訂策略,識別那些是真電郵,那些是假電郵。以下兩大策略可供參考:

第一、制訂內部政策指引

制訂公司資訊科技及資料處理政策,寫成指引,然後分派給員工,敦促他們閱讀及明白內容,並簽名作實。例如列出程序,如何處理客戶的要求,包括轉換銀行戶口、處理大額交易、以及改變簽名樣式等。可以成立內部資料庫,儲存所有客戶的電郵、銀行帳戶及聯絡方法,涉及金錢往來,必須根據內部資料庫的記錄進行,如果客戶要求更改這些資料,須先向客戶核實,再由更高級的職員簽名確認。除此之外,要定期為員工提供培訓,例如每半年或一年一次,因為員工有流動性,舊員工可能忘記,新員工可能不清楚,定期培訓可以確保人人根據指引辦事。

第二、確保公司電腦系統安全

為了確保公司伺服器的安全,可向網絡安全專家購買服務,或由公司內部的IT專才負責。他們可在公司電腦系統加載防毒軟件,識別垃圾郵件及釣魚郵件,此外還有一招殺手鐧,就是定期扮釣魚專家,發電郵給同事,測試他們會否隨意開啟這些外來電郵,以及電郵內的連結,讓管理層可以找出那些員工犯錯誤,再培訓及矯正。

神探馬如龍指出,好多公司騙案其實可以避免,只要公司制訂指引、員工切實執行,騙徒便不會得逞。

Holmes

沒有留言:

張貼留言