Whaling – co to jest, na czym polega i jak się chronić?

Ze względu na wysokie ryzyko, jakie niesie ze sobą atak whaling, przedsiębiorstwa powinny wdrożyć wielowarstwowe środki ostrożności. Podstawą jest budowanie świadomości pracowników – szczególnie osób odpowiedzialnych za finanse, księgowość oraz wszystkich, którzy mogą otrzymać polecenie przelewu lub wydania danych. Regularne szkolenia z zakresu cyberbezpieczeństwa powinny uwzględniać scenariusze ataku „na prezesa” i uczyć, jak rozpoznawać potencjalne oznaki takiej manipulacji (np. nietypowy styl języka w e-mailu od przełożonego, nacisk na poufność i pośpiech, drobne różnice w adresie nadawcy).

Drugim filarem ochrony są odpowiednie procedury wewnętrzne. Firma powinna wprowadzić zasadę wielostopniowej autoryzacji dużych transferów finansowych – np. każda transakcja powyżej określonej kwoty musi być potwierdzona dodatkowo telefonicznie lub osobiście u nadawcy polecenia, zanim zostanie zrealizowana. Ważne, aby takie potwierdzenie odbywało się niezależnie od informacji podanych w e-mailu (np. dzwoniąc na znany numer prezesa z wewnętrznego spisu, a nie na numer podany w podejrzanej wiadomości). Również zmiana numerów kont kontrahentów powinna wzbudzać czujność – jeżeli w korespondencji przychodzi prośba o przekazanie płatności na nowy rachunek bankowy, należy zweryfikować ją innym kanałem komunikacji z daną firmą.

Od strony technicznej warto zastosować zabezpieczenia utrudniające tego rodzaju oszustwa. Należą do nich mechanizmy email authentication (SPF, DKIM, DMARC), które pozwalają wychwycić próby podszywania się pod domenę firmową w wiadomościach e-mail. Systemy filtrujące pocztę mogą oznaczać ostrzeżeniem wiadomości przychodzące spoza organizacji lub z nietypowych adresów. Jednak nawet najlepsze filtry nie zastąpią czynnika ludzkiego – dlatego nacisk na kulturę bezpieczeństwa w firmie jest kluczowy.

Jeżeli pomimo środków ostrożności dojdzie do incydentu tego typu, należy działać jak najszybciej. W przypadku zlecenia przelewu na konto oszustów – niezwłocznie skontaktować się z bankiem, próbując zablokować transakcję lub odzyskać środki (czas odgrywa tu rolę krytyczną). Równolegle trzeba zgłosić sprawę organom ścigania, składając oficjalne zawiadomienie o podejrzeniu popełnienia przestępstwa. Tego rodzaju atak stanowi bowiem przestępstwo – choć polski Kodeks karny¹ nie wymienia wprost tych nazw, działania sprawców wyczerpują znamiona m.in. oszustwa komputerowego z art. 287 k.k. (kara do 5 lat pozbawienia wolności) oraz podszywania się pod inną osobę z art. 190a § 2 k.k. (kara do 3 lat). Często taki atak wiąże się także z nielegalnym uzyskaniem dostępu do informacji (np. włamaniem na skrzynkę e-mail prezesa), co jest osobno penalizowane w art. 267 k.k. Z perspektywy poszkodowanej firmy zgłoszenie na policję i do prokuratury jest istotne nie tylko dla ewentualnego ujęcia sprawców, ale też z uwagi na kwestie ubezpieczeniowe i formalne. Trzeba jednak mieć świadomość, że wykrycie i ukaranie winnych bywa trudne – wielu sprawców działa spoza granic kraju, a postępowania nieraz kończą się umorzeniem z powodu niewykrycia sprawcy. Mimo to, każdą próbę ataku należy traktować poważnie i raportować odpowiednim służbom.

Podsumowanie: Whaling jest wyjątkowo podstępną formą ataku phishingowego, której ofiarą może paść nawet doświadczony menedżer. W polskich realiach prawnych jest to czyn zabroniony, ściągający na sprawców odpowiedzialność karną, a na firmy – ryzyko poważnych strat finansowych i prawnych. Najlepszą strategią obrony jest prewencja: edukacja, procedury i szybkie reagowanie na wszelkie nieprawidłowości. Tylko łącząc świadomość pracowników z technologicznymi zabezpieczeniami i zdroworozsądkową zasadą ograniczonego zaufania, można skutecznie chronić się przed tego rodzaju atakami i innymi zagrożeniami w cyberprzestrzeni.