Мошенничество руководство компании

Опубликовано: 30 ноября 2021

Руководители — привлекательные жертвы для мошенников. В их руках находятся не только большие финансы, но и доступы ко всем критически важным информационным активам компании. Попадаются на удочку преступников предприниматели и директора, увы, нередко. Кто-то — из-за доверчивости, кто-то — из-за невнимательности, а кто-то — из-за собственной халатности.

Кроме того, сегодня преступникам и мошенникам куда проще действовать: они используют цифровые методы мошенничества, дипфейки, подмену номеров и многое другое. На какие угрозы стоит обратить внимание, если вы руководитель?

С чем может столкнуться руководитель

У киберпреступников разные намерения: они могут быть нацелены на данные, счета компании или личные деньги топ-менеджера. Они также могут выполнять чей-то заказ, чтобы пошатнуть надежность компании или её репутацию — и распространять порочащие сведения. 

Способов получить доступ к информации у преступников более, чем достаточно — от взлома телефонов и компьютеров руководителя до вербовки инсайдеров. При этом собственные сотрудники тоже могут оказаться злоумышленниками. Поэтому все угрозы ИБ-специалисты обычно разделяют на внутренние и внешние.

Внешние киберугрозы

Причина, как понятно из названия, находится за пределами компании. Видов атак великое множество, но злоумышленники проворачивают их двумя основными способами: либо грубым взломом, либо хитрой социальной инженерией.

Социальная инженерия и фишинг (как её частный случай) — это универсальное оружие мошенников. У него множество разновидностей, но цель всегда одна — заставить жертву обманом действовать по воле мошенника. Обман — это фейковые письма, сайты, телефонные звонки. С развитием аудио- и видео-дипфейков, возможностью подменять телефонные номера и почты ситуация становится и вовсе угрожающей, потому что жертве почти невозможно отличить подделку от оригинала. Проблем добавляет и то, что фишинг — часто  многоступенчатая атака, и если кто-то ведет целенаправленную охоту за вами, он может развернуть целый спектакль. Распознать такую схему сложно, потому что мошенник вовлекает в длительное взаимодействие, в котором вы проникаетесь доверием.

Простой фишинг направлен на быстрое достижение цели — мошенник хочет, чтобы вы скачали какой-нибудь контент с вирусом-шифровальщиком, или «шпионом», указали платежные или персональные данные, перевели деньги на поддельные счета.

Вот пара примеров историй о простых и сложных атаках.

В Вологодской области предприниматели региона начали массово получать письма и звонки от мошенников, которые представлялись губернатором области. Они утверждали, что собирают деньги на реализацию госпрограмм. За первую половину года было зарегистрировано 1 144 заявлений от пострадавших, которые заявили об ущербе в 109 млн рублей.

И это — не единичный случай. С начала года зафиксировано немало подобных атак на людей «с должностью»: звонки от «пожарных», «Роспотребнадзора» и других важных лиц.

История вторая. Перед конференцией руководитель в срочном порядке дал задачу заказать партию брендированных канцелярских принадлежностей. Чтобы цена была выгоднее, решили делать большой заказ и восполнить тем самым запас на год вперед. Выбор пал на онлайн-магазин, предлагающий подходящую цену и сроки изготовления. Условия тоже более, чем устраивали — предоплата 20%. С размещением заказа исполнитель торопил, а получив деньги на счёт, перестал выходить на связь. Через какое-то время сайт магазина и вовсе ушел в небытие, но появились подозрительно похожие на него клоны. В спешке руководитель не поставил задачу подчиненным проверить контрагента или дату регистрации сайта.

Вот ещё одна история, которую рассказал директор по безопасности.

Во время авиаперелета руководитель одной компании обратил внимание, что сосед по ряду читал про курсы криптовалют. Разговорились, оказалось, что собеседник — большой эксперт в крипте, по прилету состоялась и сделка по инвестированию в 300 тыс. долларов в одну из валют. После чего «попутчик» пропал, сделка оказалась обманом. Расследование показало, что на бизнесмена была организована охота: мошенники знали о его интересе к инвестированию криптовалют, выяснили его график и даже выкупили место в самолете рядом с ним. Дальше — талант убеждать завершил дело.

Взломы

Как и в случае с социальной инженерией, самые опасные последствия могут наступить, если злоумышленник организует целевую атаку. Она может быть направлена как на ваши личные гаджеты и аккаунты, так и на корпоративные. Пример ниже демонстрирует это как нельзя лучше.

Московский бизнесмен обнаружил, что не может воспользоваться своим телефонным номером, а вслед за ним — сервисами, которые привязаны к нему. Самым критичным оказалась потеря доступа к банковскому приложению — злоумышленники перехватили его и сняли все деньги с личного и корпоративного счета в сумме — 26 млн рублей. Выяснилось, что кто-то перевыпустил SIM-карту по доверенности. Такое возможно, когда у мошенника есть скан паспорта или просто его данные и «прихват» в салоне связи. Подобных случаев немало.

Описанный выше случай произошел два года назад, на каждую подобную ситуацию хорошие банки реагируют сменой политики безопасности. Если банк видит, что поменялся уникальный идентификатор SIM-карты (IMSI), он блокирует операции до момента подтверждения перевыпуска сим-карты. Для снятия блокировки мошеннику придется узнать кодовое слово владельца карты.

Но несмотря на принимаемые банками меры, мошенники тоже не стоят на месте. Это означает, что вместо лобовых схем они начинают использовать более изощренные.

Вот другой пример последствий использования слабого пароля.

Логины-пароли руководителя попали в базу утечек, после чего взломали его корпоративную почту. С неё мошенник написал сотруднику, у которого запросил договор и счёт одного из контрагентов «на проверку». Сотрудник ничего не заподозрил и отправил документы. После этого мошенник под видом руководителя поменял в документах реквизиты и отдал счет на оплату, которая ушла налево.

Внутренние угрозы

Это любые риски, связанные с действиями собственных сотрудников. Тему внутреннего мошенничества руководители не любят обсуждать: неприятно, когда нарушителем оказывается кто-то из доверенного окружения. Несмотря на это, 80% опрошенных нами компаний считают внутренние инциденты опаснее внешних, так как инсайдерам не нужно взламывать ИТ-инфраструктуру, они имеют доступ к системе по роду деятельности.

Среди инсайдерских рисков: утечки информации, попытки откатов и взяточничества, саботажа, промышленного шпионажа и работы на конкурентов, организации фирм-боковиков — только 12% российских компаний не фиксировали инциденты по вине сотрудников и всего 38% не получили ущерба от подобных нарушений.

Статистика из исследования уровня информационной безопасности в компаниях России и СНГ за 2020 год

Для примера еще несколько случаев, уже о внутренних инцидентах.

ИБ-специалист обратил внимание на подозрительную активность на компьютере руководителя в нерабочее время. Оказалось, что в него вошёл сисадмин, используя для этого TeamViewer, пароль подобрал перебором. Целью были данные, которые он начал сгружать в облако. К счастью, работника вовремя остановили и данные никуда не утекли.

Во втором случае сотрудник решил отомстить начальнику за выговор и лишение премии из-за ежедневных опозданий и невыполнения рабочих обязанностей. Работник начал жаловаться друзьям в переписке в мессенджере на ужасного руководителя и обещал устроить ему «веселую жизнь». После этого приступил к действиям. Он скопировал на съемный жесткий диск большой объем информации: сведения о поставщиках и клиентах, скидках, а также финансовые документы. Однако, благодаря службе безопасности, вынести информацию за пределы офиса сотрудник не успел.

Почему же руководители так часто оказываются жертвами мошенников?

Решительность, привычка действовать в цейтноте, доверие ближнему кругу и своей интуиции, фокусировка только на главном — это те качества и привычки, которые помогают преуспевать в бизнесе. Руководитель не обращает внимание на незначительные мелочи. Он не хочет подрывать доверие к сотрудникам, чтобы получить больше отдачи от их работы. Он привык закрывать вопросы быстро, потому что время — деньги.

Мошенники знают эти особенности и оборачивают их в уязвимости.

Конечно, защититься от мошенников полностью не поможет даже развитая паранойя. Но что вы точно можете сделать — это не облегчать мошенникам жизнь. А именно:

1. Не передавайте свои гаджеты в третьи руки. Современные средства взлома позволяют получить доступ даже к заблокированным устройствам. Конечно, мошенникам неинтересно применять спецсредства всякий раз, когда они видят бесхозный смартфон. Но это не значит, что с вас нечего взять и на ваш гаджет никто не захочет установить программу-шпион.
2. Используйте антивирусы и обновляйте программы и приложения, чтобы устройства были защищены от новых зловредов и уязвимостей.
3. Настраивайте двухфакторную аутентификацию во всех сервисах, где это возможно (банковские приложения, CRM, соцсети). Настраивайте сложные пароли и придерживайтесь правила «один аккаунт — один пароль».
4. Берегите персональные данные, которые могут быть использованы в мошеннических целях. Это в общем случае сканы паспорта и платежные данные. Но специфика вашего бизнеса может диктовать и другие меры предосторожности: например, защиту информации о местонахождении.
5. Включайте здоровую бдительность в личной жизни и обращайте внимание, когда кто-то настойчиво чего-то от вас добивается. В корпоративной жизни лучше завести «профессионального параноика» в лице специалиста ИБ или службу безопасности, чтобы подсказывали, где ваш бизнес может встать на «тонкий лёд».
6. Внедряйте защитные инструменты. Минимум — это антивирусные программы, файрволы, спам-фильтры, разграничение доступа и системы контроля сотрудников (DLP-системы).

И еще один общий совет напоследок. Чтобы вы и ваши сотрудники могли тратить время не на то, чтобы озираться по сторонам, а на продуктивную работу, повышайте уровень ИБ-культуры. Пусть навыки грамотного компьютерного поведения будут выработаны до автоматизма. Проверьте уровень своих знаний и знаний ваших сотрудников небольшим ИБ-тестом.

Любое использование материалов медиапортала РШУ возможно только с разрешения

редакции.

Мошеннические действия персонала чреваты утечкой конфиденциальной информации к конкурентам фирмы и значительными убытками для неё. Чтобы уберечься от таких потерь, нужно принимать меры предосторожности, например, проверять связи между Вашими сотрудниками и конкурентами через автоматизированные онлайн-сервисы, такие, как Контур.Фокус. Давайте выясним, как обезопасить Ваш бизнес.

Что такое корпоративное мошенничество

Российскими законами формально не определено, что такое «корпоративное мошенничество». На практике данным термином принято называть махинации с целью либо хищения активов предприятия, либо причинения ему вреда без присвоения материальной собственности. Такие махинации нередко включают в себя злоупотребление доверием и обман.

Типы корпоративного мошенничества

Классифицировать корпоративное мошенничество можно по-разному в зависимости от того, кто преступник и как он действовал.

1. Связь преступника с компанией-жертвой:

• • внутреннее: закон нарушает персонал самой компании, в том числе топ-менеджеры
  • внешнее: в махинациях виновен кто-то извне штата, допустим, контрагенты

1. Виды незаконных действий:

• • мошенничество с активами фирмы, которое приводит к их противоправному изъятию
  • нарушения, не связанные с хищением материальных ценностей, к примеру сообщение ложной информации для трудоустройства, подделка документов, разглашение конфиденциальных сведений, искажение решений общих собраний учредителей фирмы

Как распознать корпоративное мошенничество

Вот основные подозрительные факторы, которые говорят о возможных махинациях:

• персонал нарушает правила заполнения документов: просит поставить подпись на пустом бланке, не указывает дату на документах или заверяет их задним числом
• у работника нет доверия к другим сотрудникам: он не желает передавать коллегам дела при уходе в отпуск и неохотно занимается совместным проектами
• отчётность часто корректируется
• тесные контакты с работниками иных отделов без служебной необходимости
• регулярное появление недостачи
• участились претензии к качеству товара, услуг, работ
• конфликт внутри компании, в том числе между её владельцем и топ-менеджером

Популярные мошеннические схемы

Давайте изучим наиболее популярные методы корпоративного мошенничества.

Присвоение товаров и денег

Работник, имеющий доступ к товару, может незаконно его присвоить. Допустим, на склад привезли одно количество продукции, а складской персонал указал в отчёт другое, а разницу забирает себе.

В магазине «V» снизился объём продаж в смены работника С. Руководство провело внутреннее расследование, чтобы установить причину. Ревизия выявила недостачу как товара на сумму 800 000 руб., так и денег в кассе на сумму 180 000 руб. Оказалось, работник продавал товар, а вырученные деньги присваивал. Суд счёл С. виновной в мошенничестве по ст. 160 УК РФ (Определение Первого кассационного суда общей юрисдикции от 21.01.2021 № 77-213/2021 по делу № 77-3151/2020).

Материальные ценности могут похищать и иначе — вывозить под видом бракованных или поломанных. Дорогостоящее оборудование могут списывать как неисправное и тайно продавать его. Так на машиностроительном заводе в одном из крупных городов России рабочий воровал лом цветных металлов. Охрана обнаружила краденое при внимательной проверке груза на КПП. Против сотрудника возбуждено уголовное дело.

Обман на производстве

Производственное мошенничество часто бывает основано на завышенных нормативах по расходу материалов. Работник списывает больший объём сырья, чем действительно тратит на производственный процесс, а разницу использует, как считает нужным.

Мошенники также могут подменить часть положенных материалов более дешёвыми. К примеру, при производстве зоокормов работники присваивают часть зерна, заменяя его мелким мусором вроде песка или перемолотой соломы. При изготовлении полуфабрикатов крадут мясо, добавляя вместо него костный остаток, который гораздо дешевле. Такие нарушения не только приносят работодателю материальный ущерб, но и вредят деловой репутации предприятия, так как падает качество конечного продукта.

Договоры подряда и расценки в них

Существует несколько схем мошенничества с ценами. Допустим, сотрудник-аферист подписал с аффилированным партнёром договор с завышенными расценками. Разность цены из договора и рыночной стоимости сообщники делят между собой. Эта схема получила неофициальное название «откат».

Популярны схемы обмана вокруг подрядных работ. Возможные нарушения со стороны недобросовестного подрядчика:

• применение более дешёвых материалов под видом более дорогих
• невыполнение отдельных стадий работ, которые не представляется возможным проверить, принимая готовый результат (к примеру, покраска стен в меньшее число слоёв)
• намеренно некорректный расчёт объёмов будущей работы (например, площади некой поверхности) с завышением стоимости услуги

Пример из практики. Администрация одного российского мегаполиса подписала со строительной фирмой контракт на реконструкцию центральной площади. Вместо предусмотренных проектом фонарей с плафонами исполнитель закупил другие, внешне похожие, но более дешёвые и низкого качества. Экономия составила более 4 млн руб., которые подрядчик присвоил. По заявлению городской администрации возбуждено уголовное дело, исполнитель привлечён к уголовной ответственности.

Подлог документов

Мошенничать с документами могут по-разному: фальсифицировать приказы о премиях, увеличивать расходы на командировку или, к примеру, использовать мёртвые души, то есть фиктивное трудоустройство. Первые две схемы обычно используются в единичных случаях, и вред от них невелик, а «трудоустройство» мёртвых душ куда серьёзнее. Компания вынуждена не только платить зарплату несуществующим, а значит и не выполняющим полезных функций сотрудникам, но и отчислять положенные суммы в разные государственные фонды. Это бьёт по бюджету регулярно и болезненно.

Практический пример. Глава компании фиктивно взял двух людей на работу электриком и сантехником. Они «проработали» больше 10 лет, отдав начальнику свои банковские карточки. На эти карты начислялись зарплаты и премии. Фирма отчисляла за этих двоих деньги в ПФР и ФСС. Фактически работу электрика и сантехника в организации не выполнял вообще никто. Когда требовался ремонт, пользовались услугами внешних исполнителей — естественно, за дополнительную плату. Обман вскрылся после смены директора. Новый руководитель провёл проверку штатного расписания и обнаружил мёртвые души. Он заявил в полицию на своего предшественника, было возбуждено уголовно дело, прежний директор был привлечён к уголовной ответственности.

Ещё одна форма фальсификации документов — отчёты о заведомо ложных показателях. Такая вероятность максимальна в тех организациях, где от работников требуют регулярного выполнения предустановленного плана, без которого не платят премии или часть зарплаты.

Практический пример: двое банковских работников оформляли кредиты на граждан, предъявлявших чужие паспорта. На самом деле документы либо были украденными или утерянными, либо их владельцы умерли. Сотрудники закрывали на это глаза, чтобы выполнить план и не лишиться премии. Эти кредиты никто не гасил, так что банк понёс от таких действий ущерб в 1,5 млн руб. Работников привлекли к уголовной ответственности по ст. 159 УК РФ (мошенничество).

Парашют из драгметалла

Золотыми парашютами принято называть высокое дополнительное вознаграждение высокопоставленным руководителям крупных предприятий. «Парашюты» выдаются при увольнении топ-менеджеров, которые существенно повлияли на развитие бизнеса, принимали правильные стратегические решения или даже спасли предприятие от краха.

Но крупные руководители часто мошенничают даже с такими бонусами. Они назначают большие суммы выплат сами себе, а потом грозятся увольнением и выводом средств. Угрозы применяются для давления на остальных участников ООО.

Разглашение конфиденциальных данных

Этот вид преступлений не предполагает кражи у работодателя материальных активов. Крадут не деньги, а закрытую информацию, к которой получают доступ в процессе работы, и впоследствии продают её посторонним. Продать могут клиентскую базу, уникальное производственное ноу-хау и иные полезные конкурентам сведения.

Способы противодействия

Противодействовать корпоративному мошенничеству следует системно. Не существует точного списка мер, которые могли бы окончательно ликвидировать проблему. Но можно выделить несколько основных направлений работы по защите от аферистов.

1. Разделяйте полномочия: пусть операции подтверждаются несколькими работниками из разных разных отделов фирмы. Это усложнит задачу мошеннику-одиночке.
2. Автоматизируйте бизнес-процессы: если история всех действий сохраняется в электронной системе, то её легко проверить в любой момент.
3. Ограничьте доступ к конфиденциальной информации. Давайте каждому работнику допуск только к тем данным, которые действительно нужны для исполнения его обязанностей. Случается, что уволенный сотрудник продолжает пользоваться ресурсами фирмы, просто потому что никто не удосужился заблокировать ему доступ к ним.
4. Применяйте современные сервисы мониторинга. Они обеспечивают контроль рабочей корреспонденции по ключевым словам или помогают обнаружить отправку посторонним адресатам писем с вложенными файлами.
5. Установите видеокамеры. Но помните, что Вы обязаны предупреждать работников об использовании любых программ для слежения.
6. Тщательно проверяйте соискателей, в первую очередь на руководящие и материально ответственные посты. Для полноты информации и экономии трудозатрат на такой проверке используйте автоматизированные сервисы, например, Контур.Фокус.
7. Внедряйте учёт рабочего времени. Ведение табелей — это ещё и дополнительная проверка штатного расписания, которая повысит вероятность обнаружить фиктивное трудоустройство.
8. Не игнорируйте подозрительное поведение сотрудников: выход на работу в выходные или, к примеру, лоббирование интересов определённого контрагента. Анализируйте его.

Несмотря на всё, сказанное выше, не стоит забывать, что в условиях тотального контроля работать некомфортно. Поэтому полезно выработать корпоративную культуру, обсуждать с коллективом проблемы и принимать во внимание мнение сотрудников. Сочетайте доверительные отношения в коллективе с разумной предосторожностью — так вы сведёте к минимуму риск столкнуться с корпоративным мошенничеством.