BEC измама с бизнес имейл: как да проверите подателя, преди да платите

Кратък отговор

Измамата с компрометиран бизнес имейл (BEC) е схема, при която престъпници изпращат имейли, които изглеждат като от шефа ви, от доставчик или от адвокат, и искат да платите или да смените банкови данни. За да проверите подателя, разгледайте истинския адрес и домейна буква по буква, потърсете „pass“ за SPF, DKIM и DMARC в подробностите на съобщението и никога не изпълнявайте искане за плащане, преди да сте се обадили на човека на номер, който вече сте имали. Ако сте платили, веднага се обадете на банката си и подайте сигнал.

Ключови числа

• 3,05 млрд. доларазагуби от BEC измами, подадени до ФБР през 2025 г., при 24 768 сигналаFBI IC3 2025 Internet Crime Report
• 679 млн. доларазамразени в полза на жертвите от екипа на ФБР за възстановяване на активи (Recovery Asset Team) през 2025 г., 58% успеваемост при подадени 1,16 млрд. долараFBI IC3 2025 Internet Crime Report
• 41,3 млн. британски лиризагуби от измами с фактури и банкови нареждания във Великобритания през 2025 г., при 2305 случаяUK Finance Annual Fraud Report 2026
• 55,5 млрд. долараустановени загуби от BEC измами по света от октомври 2013 до декември 2023 г., при 305 033 инцидентаFBI IC3 PSA, септември 2024 г.

Получавате имейл от доставчик, на когото плащате всеки месец. Сменил е банката си и следващата фактура трябва да отиде по новата сметка. Или изпълнителният ви директор пише от летището: спешно и поверително плащане трябва да излезе до края на деня. Името е вярно, тонът е верен, логото е вярно. Въпросът е дали човекът, когото мислите за подател, наистина го е изпратил.

Това е измама с компрометиран бизнес имейл (business email compromise, BEC) и е едно от най-скъпите престъпления, които ФБР следи. Фирми и граждани са съобщили за загуби от 3,05 млрд. долара от BEC измами през 2025 г. при 24 768 сигнала до центъра на ФБР за сигнали за интернет престъпления (IC3). Решението е просто, но строго: няколко проверки на имейла и правило за обратно обаждане, което никой не прескача.

Какво е BEC измама с бизнес имейл?

BEC измамата е схема, при която престъпници се представят по имейл за някого, на когото имате доверие, например доставчик, ръководител, служител или адвокат, за да ви накарат да изпратите пари или чувствителни данни. ФБР я описва като насочена към хора и фирми, които редовно правят банкови преводи, чрез компрометирани или подправени имейл акаунти и все по-често също чрез телефонни номера и приложения за видеосрещи. Националният център за киберсигурност на Ирландия изброява четири често срещани форми:

• Измама с доставчик или фактура: имейлът на истински доставчик е хакнат или копиран с домейн, който прилича на истинския, за да се изпращат фалшиви фактури или „нови банкови данни“.
• CEO измама: фалшив ръководител иска спешен, таен превод или подаръчни карти.
• Пренасочване на заплати: фалшив служител моли отдел „Човешки ресурси“ да превежда заплатата му по нова сметка.
• Представяне за адвокат: фалшив адвокат или нотариална кантора изпраща инструкции за превод по сделка или покупка на жилище.

Във Великобритания банките са регистрирали загуби от 41,3 млн. британски лири от измами с фактури и банкови нареждания през 2025 г. при 2305 случая и още 5,6 млн. британски лири от CEO измами.

Как изглежда един BEC имейл?

Изглежда обикновен и точно в това е въпросът. BEC имейлите рядко съдържат зловреден софтуер или линкове. Те разчитат на правдоподобна история, срок и една малка промяна. Ето типични примери, преразказани:

Здравейте, моля, имайте предвид, че сменихме обслужващата ни банка. Новите данни са в прикачения файл. Моля, използвайте ги за фактура № 4471 и всички бъдещи плащания. Старата ни сметка е закрита.

На бюрото ли сте? Трябва днес да обработите поверително плащане по една придобивка. Засега не го обсъждайте с никого. В срещи съм, затова само по имейл.

Здравейте, смених банката си. Може ли да обновите сметката за заплатата ми преди това изплащане? Новите данни са по-долу.

ФБР отбелязва, че изкуственият интелект прави тези имейли по-гладки: чат инструментите могат да имитират стила на писане на ръководител, а клонирането на глас може да подкрепи искането по телефона. Фирмите са съобщили за над 30 млн. долара загуби от BEC измами с участие на изкуствен интелект през 2025 г.

Как да проверите подателя на имейл?

Проверете истинския адрес, домейна, резултатите от удостоверяването и после потвърдете по телефона на номер, който вече сте имали. Минете през тези стъпки поред.

1. Покажете пълния адрес. Показваното име („Сара Лий, Счетоводство“) може да е всякакво. Докоснете го или задръжте мишката върху него, за да видите истинския адрес. На телефон тази стъпка лесно се пропуска, затова ФБР съветва да настроите имейла си да показва пълните адреси.
2. Прочетете домейна буква по буква. Търсете разменени или добавени знаци: „acme-corp.com“ вместо „acmecorp.com“, „rn“ вместо „m“, „l“ вместо „i“, „.co“ вместо „.com“ или безплатен адрес като Gmail за компания, която има собствен домейн.
3. Проверете Reply-To. Натиснете „Отговор“ и погледнете реда „До“, преди да пишете. Ако там се появи друг адрес, имейлът е направен така, че да пренасочи отговора ви другаде.
4. Проверете резултатите от удостоверяването (SPF, DKIM, DMARC), обяснени по-долу.
5. Вижте историята на кореспонденцията. Нова нишка ли е, която „продължава“ стара? Сменили ли са се подписът, телефонът или тонът?
6. Обадете се, за да потвърдите, на номер от собствените си записи, никога на номер от имейла. Това е стъпката, която наистина спира загубата.

Истински имейл от хакнат акаунт ще мине всяка техническа проверка. Затова стъпка 6 не е по желание при никакво плащане или смяна на банкова сметка.

Как да проверите SPF, DKIM и DMARC на имейл?

Отворете пълните подробности или заглавките (headers) на съобщението и потърсете думите „pass“ или „fail“ до SPF, DKIM и DMARC. В Gmail отворете имейла, натиснете менюто с трите точки и изберете „Показване на оригинала“. В Outlook отворете свойствата на съобщението или „Преглед на източника на съобщението“ и потърсете реда „Authentication-Results“.

„Fail“ на имейл за плащане е знак „стоп“. „Pass“ доказва само, че имейлът е дошъл от този домейн. Не доказва, че домейнът е правилният (домейн двойник може да мине и трите проверки), нито че акаунтът не е хакнат. Използвайте тези проверки като филтър, а не като присъда.

Как да проверите кой притежава домейн или имейл адрес?

Проверете датата на регистрация на домейна, а после и човека зад адреса. Използвайте безплатната справка за регистрационни данни на ICANN. Домейн на доставчик, който е на десет години, е нещо нормално. Домейн двойник, регистриран миналата седмица, е измама. Ирландският NCSC препоръчва да блокирате или маркирате поща от новорегистрирани домейни точно по тази причина.

За нов контакт, нов доставчик или име, което не познавате, помага бизнес търсене в Search A-Z. Въведете пълното име и държавата на подателя, изберете „Бизнес контакт“ и добавете имейл адреса и компанията. Докладът проверява дали имейлът е истински и какъв е рискът от измама и показва служебния имейл на човека, настоящата му работа и компания, професионалния му опит, публичните професионални профили, регистрацията на компанията (роли в UK Companies House и световния регистър LEI), новини и споменавания в интернет и евентуални публични предупреждения за измами. Ако „новият мениджър на сметки“ няма никаква следа при доставчика, това е отговорът ви. Човекът никога не разбира, че сте търсили.

Какво е политика за потвърждение с обратно обаждане?

Политиката за обратно обаждане е писмено правило, според което всяко ново плащане, смяна на банкови данни или искане за спешен превод се потвърждава с изходящо обаждане на номер, който вече е във вашите записи, преди парите да тръгнат. Това е най-ефективната защита срещу BEC измами, но само ако се прилага правилно. Насоките на JPMorgan за това кога обратните обаждания се провалят изброяват обичайните грешки: доверие на входящо обаждане, което „потвърждава“ имейла, използване на телефона, отпечатан в имейла или фактурата, и разговор с човек, който не е правилният.

Проста политика, която можете да копирате:

• Всяка промяна в банковите данни на доставчик или служител се потвърждава с изходящо обаждане на номер от досието на доставчика, договора или официалния му сайт, никога от самото искане.
• Обаждането е до конкретен човек, с когото сте работили и преди.
• Искания с отбелязана спешност или поверителност минават през повече проверки, не през по-малко.
• Плащания над определена сума изискват одобрение от двама души.
• Новите банкови данни се задържат за период на изчакване (например от 24 до 48 часа) преди първото плащане.
• Служителите са уведомени писмено, че никой, включително изпълнителният директор, няма да има проблеми, ако забави плащане, за да го провери.

Сценарий за разговора:

Здравейте, Алекс от счетоводството на Northfield е. Получихме имейл за нови банкови данни за вашите фактури. Преди да променим каквото и да е, може ли да потвърдите, че вие сте го изпратили, и да ми кажете последните четири цифри на новата сметка?

Как една фирма трябва да обработва искане за смяна на данните за плащане?

Приемайте всяка промяна в плащанията за съмнителна, докато не бъде потвърдена по друг канал, и документирайте всяка стъпка. Тази процедура работи както за малки, така и за големи фирми:

1. Запишете искането с датата, адреса на подателя и исканите данни. Все още не отговаряйте.
2. Обадете се на доставчика на номера, който вече е в системата ви, и потвърдете с обичайния си контакт.
3. Проверете името на новата сметка. Във Великобритания Confirmation of Payee показва дали името на сметката съвпада. В еврозоната проверката на получателя (Verification of Payee) прави същото за преводите в евро от 9 октомври 2025 г. Резултат „няма съвпадение“ или „близко съвпадение“ е тревожен сигнал.
4. Осигурете второ одобрение за промяната.
5. Изпратете малко тестово плащане и потвърдете по телефона, че е пристигнало, преди да преведете цялата сума.
6. Внимавайте за последващи съобщения. Натискът да прескочите някоя от тези стъпки сам по себе си е предупредителен знак.

Същите правила ви пазят и като доставчик: кажете писмено на клиентите си, че никога няма да смените банковите си данни само по имейл. За нови клиенти нашето ръководство за това как да проверите нов клиент, преди да започнете разглежда по-широките проверки.

Какво да направите, ако сте платили фалшива фактура?

Обадете се веднага на банката си и поискайте плащането да бъде върнато, а после подайте сигнал до ФБР или националната си полиция още същия ден. Скоростта е по-важна от всичко. Ирландският NCSC предупреждава, че повечето средства не могат да бъдат върнати, ако не бъдат сигнализирани в първите няколко часа.

1. Обадете се сега на отдела за измами на банката си. Поискайте отзоваване на превода и замразяване на средствата от получаващата банка. Посочете сумата, датата, сметката на получателя и основанието.
2. САЩ: подайте сигнал на ic3.gov с пълните данни за транзакцията, независимо от сумата. Екипът на ФБР за възстановяване на активи използва процедурата Financial Fraud Kill Chain, за да работи с банките за замразяване на парите. През 2025 г. е обработил 3900 инцидента и е замразил 679 млн. долара, 58% успеваемост. Може да проследи и преводи „втора стъпка“, ако ги посочите, и работи с FinCEN по международните преводи.
3. Великобритания: подайте сигнал до Report Fraud, която замени Action Fraud през декември 2025 г., на 0300 123 2040, или на Police Scotland на 101. Банката ви също ще започне собствена процедура за възстановяване.
4. ЕС: подайте сигнал до националната си полиция и до банката си. В Ирландия NCSC също иска да бъде уведомен. В България подайте сигнал до ГДБОП, дирекция „Киберпрестъпност“ (cybercrime.bg).
5. Защитете имейл акаунта. Сменете паролите, включете многофакторно удостоверяване и проверете за правила за препращане или правила в пощенската кутия, които скриват отговори. Те са често срещан признак, че акаунтът е превзет.
6. Пазете доказателства. Запазете имейлите с пълните заглавки, фактурите, списъците с обаждания и данните за транзакциите. Не трийте нищо.
7. Предупредете истинския доставчик или клиент. Неговият акаунт или вашият може все още да е компрометиран.

Ако „услуга за възстановяване“ се свърже с вас с предложение да ви върне парите срещу такса, това е поредната измама. Истинското възстановяване минава през банката ви и органите на реда.

Как да защитите фирмата си от измами по имейл?

Комбинирайте строга процедура за плащания с няколко технически основи. ФБР и ирландският NCSC препоръчват:

• Многофакторно удостоверяване на всеки имейл акаунт.
• Настроени SPF, DKIM и DMARC на собствените ви домейни, за да не могат престъпниците лесно да се представят за вас пред клиентите ви.
• Поща, която показва пълните адреси на подателите и маркира външните податели.
• Регистриране на очевидни двойници на собствения ви домейн или наблюдение за такива.
• Проверен списък с доставчици с известни телефони за контакт.
• Редовно обучение на служителите с истински примери като тези по-горе.

BEC измамите често започват с проучване на екипа ви: кой одобрява плащанията, кои са доставчиците, кой пътува. Нашето ръководство за това как да разпознаете фалшиви профили в LinkedIn обяснява как фалшивите акаунти събират тази информация.

Накратко

Не можете да различите хакнат имейл от истински само като го погледнете, затова не се опитвайте. Проверете адреса и домейна, използвайте SPF и DKIM като първи филтър и потвърждавайте всяка промяна в плащанията с обаждане на номер, който вече сте имали. Ако парите са изпратени, обадете се на банката си и подайте сигнал в рамките на часове, а не на дни.

Често задавани въпроси

Какво е BEC измама с бизнес имейл?

Измамата с компрометиран бизнес имейл (BEC) е схема, при която престъпници се представят по имейл за доверен контакт, например доставчик, ръководител или адвокат, за да ви подведат да изпратите пари или да смените банкови данни. През 2025 г. ФБР е получило 24 768 сигнала за BEC измами със загуби от 3,05 млрд. долара.

Как да разбера дали имейлът наистина е от човека, за когото се представя?

Покажете пълния адрес на подателя, проверете домейна буква по буква, вижте къде отиват отговорите и потърсете „pass“ за SPF, DKIM и DMARC в подробностите на съобщението. За всичко, свързано с пари, потвърдете с обаждане на номер, който вече сте имали.

Може ли истински имейл адрес да се използва за измама?

Да. Ако акаунтът на доставчик или колега е хакнат, измамните имейли идват от истинския му адрес и минават всяка техническа проверка. Затова промените в плащанията винаги трябва да се потвърждават по телефона, на номер от собствените ви записи.

Какво означава DMARC fail?

Означава, че домейнът в реда „От“ не съвпада с домейн, който е минал проверките SPF или DKIM. При имейл за плащане или смяна на банкова сметка приемайте DMARC fail като силен знак, че подателят е подправен.

Мога ли да си върна парите, след като съм платил фалшива фактура?

Понякога, ако действате бързо. Обадете се веднага на банката си, за да поискате отзоваване на превода, и подайте сигнал на ic3.gov в САЩ или до Report Fraud във Великобритания. Екипът на ФБР за възстановяване на активи е замразил 679 млн. долара за жертви през 2025 г., но шансовете рязко намаляват след първите няколко часа.

Какво е FBI Financial Fraud Kill Chain?

Това е процедурата, с която екипът на ФБР за възстановяване на активи работи с банките, за да замрази измамни преводи, включително международни преводи чрез FinCEN. Задействате я, като подадете сигнал бързо на ic3.gov с пълните данни за транзакцията и поискате от банката си отзоваване.

Какво е домейн двойник?

Уеб или имейл домейн, направен така, че да изглежда като истински, например acme-corp.com вместо acmecorp.com, или с буква, заменена с подобна. Проверете датата на регистрация в справката на ICANN: двойникът обикновено е само на дни или седмици.

Източници

1. FBI Internet Crime Complaint Center, 2025 Internet Crime Report
2. FBI IC3 PSA: Business Email Compromise, измамата за 55 млрд. долара (септември 2024 г.)
3. UK Finance Annual Fraud Report 2026
4. National Cyber Security Centre (Ирландия): насоки за BEC измами (юли 2025 г.)
5. J.P. Morgan: кога обратните обаждания се провалят
6. City of London Police: услугата Report Fraud стартира (декември 2025 г.)
7. ICANN: справка за регистрационни данни (RDAP)
8. Mason Hayes & Curran: Регламентът на ЕС за незабавните плащания и проверката на получателя

Данните са последните, публикувани от всеки източник към момента на обновяване на ръководството. Съобщените загуби от измами са долна граница: повечето измами никога не се съобщават.