Hastighet, følelser, autoritet: Hvordan en svindler nesten kom seg inn i et regnskapsførerfirma

Skattesesongen holder regnskapsførere opptatt, og det holder også svindlere opptatt. Tidlig i sommer ble et regnskapsførerfirma mål for noen som utga seg for å være en ny klient. Svindleren brukte flere uker på å bygge tillit før han gjorde et trekk. Den gode nyheten er at denne historien ender bra. Den bedre nyheten er at du får lære av det uten å måtte leve gjennom det.

Oppsettet

Kontakten kom gjennom CPA-firmaets nettsides kontaktside. Den potensielle klienten hadde et navn, en personlig bakgrunnshistorie og et rimelig sett med spørsmål om skatteforberedelser. De var for syke til å levere skatt, og kunne CPA-firmaet hjelpe dem med å levere for sent? I flere uker fortsatte e-postene å komme for å avtale et møte for å diskutere skattesituasjonen.

Svindel som dette er avhengig av tre spesifikke mekanismer, og det å navngi dem hjelper teamet ditt med å gjenkjenne mønsteret raskere enn noen teknisk detalj kunne. Hastighet, siden svindelen beveger seg raskt akkurat når en avgjørelse må tas. Emosjonalitet, siden en sympatisk personlig historie senker garden før en eneste mistenkelig lenke i det hele tatt dukker opp. Autoritet, siden forespørselen ankommer pakket inn i noe kjent og pålitelig, i dette tilfellet et møteverktøy som nesten alle bedrifter bruker hver dag.

The Switch

På møtedagen sendte svindleren en melding der de hevdet at firmaets egen videolenke ikke fungerte, og tilbød en erstatningslenke i stedet. Lenken så ut som en vanlig møteinvitasjon til Microsoft Teams, men det gjorde den ikke. Ved å klikke på den kom man til en falsk registreringsside, som i stillhet registrerte den ansattes datamaskin i et enhetsadministrasjonssystem kontrollert av svindleren. Derfra kjørte skjulte skript med systemtillatelser på høyt nivå og forsøkte å installere programvare for ekstern tilgang.

Lagre

Her er den delen som er verdt å feire. Firmaets antivirusprogramvare blokkerte begge forsøkene på å installere verktøy for ekstern tilgang. En fullstendig gjennomgang i etterkant fant ingen bevis for at noen stjal data, og bekreftet at firmaets e-postsystem forble urørt. Én datamaskin var vitne til angrepet. Resten av firmaet var aldri vitne til det.

Den virkelige leksjonen

Noen få detaljer gjør dette verdt å dele utover ett firma sin nesten-bomme. Svindleren brukte et nettsted som hadde eksistert i to år, så ethvert verktøy som lette etter helt nye mistenkelige domener ville ha gått fullstendig glipp av det. Svindleren så også ut til å legge merke til hvilken programvare for fjerntilgang firmaet allerede stolte på, og prøvde å installere en matchende kopi i håp om at den ville gli inn. Lærdommen her er enkel. Stol på det spesifikke verktøyet teamet ditt har satt opp, ikke alle verktøy som deler navnet sitt.

Små skritt som hjelper

Du trenger ikke et stort sikkerhetsbudsjett for å redusere risikoen her. En håndfull rimelige tiltak bidrar til å stoppe disse angrepene på flere forskjellige tidspunkter.

• Implementer endepunktdeteksjon og -respons, kjent som EDR, på alle arbeidsstasjoner. I denne hendelsen blokkerte endepunktbeskyttelse begge installasjonene av ekstern tilgang, selv etter at svindelen var vellykket i alle tidligere trinn, noe som gjorde den til den eneste kontrollen som står mellom et feilklikk og et fullstendig kompromittering.
• Bygg din menneskelige brannmur gjennom regelmessig opplæring i sikkerhetsbevissthet. Ansatte som er opplært til å gjenkjenne viktighet, følelser og autoritet, jobber sammen og oppdager svindel uten filter, og pausen én opplært person tar koster ingenting, samtidig som den sparer uker med opprydding.
• Fjern stående administratorrettigheter fra vanlige arbeidsstasjoner. Skriptene i dette angrepet kjørte med systemtillatelser på høyt nivå, og en konto uten disse rettighetene gjør det samme klikket til et mye mindre problem.
• Ta et «Kjenn kunden din»-trinn før du planlegger møter med nye potensielle kunder. Å be en ny kontakt om å bekrefte identiteten sin, gjennom en tilbakeringing til et oppført nummer, en ID-sjekk fra myndighetene eller en kort screeningsamtale på din egen møtelenke, skremmer bort svindlere som bruker falske personaer før et angrep i det hele tatt når kalenderen.
• Be IT-leverandøren din om å blokkere enhetsadministrasjon og verktøy for ekstern tilgang som bedriften din ikke bruker, ikke bare sjekke etter dem. Windows-policyinnstillinger forhindrer uautorisert enhetsregistrering direkte, og applikasjonskontroll i de fleste endepunktplattformer stopper uautoriserte verktøy ved installasjonstidspunktet i stedet for å finne dem etter at en angriper har plantet et.
• Undersøk hver lenke før du klikker, og bekreft uventede lenker ved å ringe avsenderen på et nummer du allerede har bekreftet. En musepeker viser når en lenkes virkelige destinasjon ikke samsvarer med visningen, og en tilbakeringing på et kjent godt nummer stopper en svindler som kontrollerer e-posttråden.

De fleste av disse trinnene koster tid snarere enn penger, og selv de betalte, som EDR, passer et SMB-budsjett. Velg ett denne uken og start der.

Hoot Up denne uken

Du gjør allerede hundre ting riktig hver dag for å holde bedriften din i gang. Legg til én ting til denne uken. Ta fem minutter med teamet ditt for å snakke om hvordan en ekte ny kundemelding høres ut kontra et svindelforsøk. Småprat som dette bygger selvtillit, ingen programvareoppdatering erstatter. Kom i gang ... Fremgang slår perfeksjon hver gang, og å lese dette setter deg allerede et skritt foran der du var i går.

---

kilder:

• Sjekk vår CyberHoots trusselmelding – CH-TA-2026-0001 for ytterligere informasjon:

---

Sikre bedriften din med CyberHoot i dag!