BEC sukčiavimas: kaip patikrinti el. laiško siuntėją prieš mokant

Trumpas atsakymas

Verslo el. pašto sukčiavimas (BEC) yra apgaulė, kai nusikaltėliai siunčia laiškus, atrodančius kaip iš jūsų vadovo, tiekėjo ar teisininko, ir prašo sumokėti ar pakeisti banko rekvizitus. Norėdami patikrinti siuntėją, raidė po raidės peržiūrėkite tikrą adresą ir domeną, laiško duomenyse ieškokite SPF, DKIM ir DMARC rezultato „pass“ ir nevykdykite jokio mokėjimo prašymo, kol nepaskambinote žmogui numeriu, kurį jau turėjote. Jei sumokėjote, nedelsdami skambinkite į banką ir praneškite.

Svarbiausi skaičiai

• 3,05 mlrd. JAV doleriųnuostoliai dėl BEC sukčiavimo, apie kuriuos 2025 m. pranešta FBI, iš viso 24 768 skundaiFBI IC3 2025 Internet Crime Report
• 679 mln. JAV doleriųtiek 2025 m. aukoms įšaldė FBI Recovery Asset Team, tai 58 % sėkmės rodiklis iš praneštų 1,16 mlrd. JAV doleriųFBI IC3 2025 Internet Crime Report
• 41,3 mln. svarų sterlingųprarasta dėl sąskaitų ir mokėjimo nurodymų sukčiavimo Jungtinėje Karalystėje 2025 m., iš viso 2 305 atvejaiUK Finance Annual Fraud Report 2026
• 55,5 mlrd. JAV doleriųužfiksuotų BEC nuostolių visame pasaulyje nuo 2013 m. spalio iki 2023 m. gruodžio, iš viso 305 033 incidentaiFBI IC3 PSA, 2024 m. rugsėjis

Gaunate laišką iš tiekėjo, kuriam mokate kas mėnesį. Jie pakeitė banką, ir kita sąskaita turėtų būti apmokėta į naują sąskaitą. Arba jūsų generalinis direktorius rašo iš oro uosto: skubus, konfidencialus mokėjimas turi būti atliktas iki dienos pabaigos. Vardas teisingas, tonas teisingas, logotipas teisingas. Klausimas tik vienas: ar laišką tikrai išsiuntė tas žmogus, apie kurį galvojate?

Tai verslo el. pašto sukčiavimas (angl. business email compromise, BEC), vienas brangiausių nusikaltimų, kuriuos stebi FBI. Įmonės ir asmenys 2025 m. pranešė apie 3,05 mlrd. JAV dolerių nuostolius dėl BEC, iš viso FBI Internet Crime Complaint Center gavo 24 768 skundus. Sprendimas paprastas, bet griežtas: keli laiško patikrinimai ir atgalinio skambučio taisyklė, kurios niekas nepraleidžia.

Kas yra BEC sukčiavimas?

Verslo el. pašto sukčiavimas yra apgaulė, kai nusikaltėliai el. paštu apsimeta kuo nors, kuo pasitikite, pavyzdžiui, tiekėju, vadovu, darbuotoju ar teisininku, kad priverstų jus pervesti pinigų ar atskleisti jautrius duomenis. FBI apibūdina jį kaip nukreiptą į žmones ir įmones, kurie reguliariai atlieka banko pervedimus, naudojant nulaužtas ar suklastotas el. pašto paskyras, o vis dažniau ir telefono numerius bei vaizdo susitikimų programėles. Airijos Nacionalinis kibernetinio saugumo centras išskiria keturias dažnas formas:

• Tiekėjų ar sąskaitų sukčiavimas: tikro tiekėjo el. paštas nulaužiamas arba nukopijuojamas su panašiu domenu, kad būtų siunčiamos netikros sąskaitos ar „nauji banko rekvizitai“.
• CEO sukčiavimas: netikras vadovas prašo skubaus, slapto pervedimo ar dovanų kortelių.
• Atlyginimo nukreipimas: netikras darbuotojas prašo personalo skyriaus pervesti jo atlyginimą į naują sąskaitą.
• Apsimetimas teisininku: netikras advokatas ar notaro biuras atsiunčia pervedimo nurodymus sandoriui ar būsto pirkimui.

Jungtinėje Karalystėje bankai 2025 m. užfiksavo 41,3 mln. svarų sterlingų nuostolius dėl sąskaitų ir mokėjimo nurodymų sukčiavimo, iš viso 2 305 atvejus, ir dar 5,6 mln. svarų sterlingų dėl CEO sukčiavimo.

Kaip atrodo BEC sukčių laiškas?

Jis atrodo įprastai, ir būtent tai yra esmė. BEC laiškuose retai būna kenkėjiškų programų ar nuorodų. Jie remiasi įtikinama istorija, terminu ir nedideliu pakeitimu. Štai tipiški pavyzdžiai, perpasakoti savais žodžiais:

Laba diena, informuojame, kad perkėlėme savo sąskaitas į kitą banką. Atnaujinti rekvizitai prisegti. Prašome juos naudoti apmokant sąskaitą Nr. 4471 ir visus būsimus mokėjimus. Senoji mūsų sąskaita uždaryta.

Ar esate prie kompiuterio? Reikia, kad šiandien sutvarkytumėte konfidencialų mokėjimą dėl įmonės įsigijimo. Kol kas niekam apie tai nesakykite. Esu susitikimuose, tad bendraukime tik el. paštu.

Sveiki, personalo skyriau, pakeičiau banką. Ar galite atnaujinti mano sąskaitą atlyginimui iki šio mokėjimo? Nauji rekvizitai žemiau.

FBI pažymi, kad dirbtinis intelektas dabar daro šiuos laiškus dar tvarkingesnius: pokalbių įrankiai gali mėgdžioti vadovo rašymo stilių, o balso klonavimas gali paremti prašymą telefonu. 2025 m. įmonės pranešė apie daugiau nei 30 mln. JAV dolerių BEC nuostolius, susijusius su dirbtiniu intelektu.

Kaip patikrinti el. laiško siuntėją?

Patikrinkite tikrą adresą, domeną, autentifikavimo rezultatus, tada patvirtinkite telefonu, naudodami numerį, kurį jau turėjote. Eikite šia tvarka.

1. Atskleiskite visą adresą. Rodomas vardas („Sarah Lee, Buhalterija“) gali būti bet koks. Bakstelėkite ar užveskite pelę ant jo, kad pamatytumėte tikrą adresą. Telefone šį žingsnį lengva praleisti, todėl FBI pataria nustatyti el. paštą taip, kad rodytų pilnus adresus.
2. Perskaitykite domeną raidė po raidės. Ieškokite sukeistų ar pridėtų simbolių: „acme-corp.com“ vietoj „acmecorp.com“, „rn“ vietoj „m“, „l“ vietoj „i“, „.co“ vietoj „.com“ arba nemokamo adreso, pavyzdžiui, Gmail, kai įmonė turi savo domeną.
3. Patikrinkite „Reply-To“. Spauskite „Atsakyti“ ir prieš rašydami pažiūrėkite į eilutę „Kam“. Jei ji pasikeičia į kitą adresą, laiškas sukurtas taip, kad jūsų atsakymas nukeliautų kitur.
4. Patikrinkite autentifikavimo rezultatus (SPF, DKIM, DMARC), paaiškintus žemiau.
5. Peržiūrėkite susirašinėjimo istoriją. Ar tai naujas pokalbis, kuris „tęsia“ seną? Ar pasikeitė parašas, telefono numeris ar tonas?
6. Paskambinkite ir patvirtinkite numeriu iš savo įrašų, niekada ne tuo, kuris nurodytas laiške. Būtent šis žingsnis ir sustabdo nuostolius.

Tikras laiškas iš nulaužtos paskyros praeis visus techninius patikrinimus. Todėl 6 žingsnis nėra pasirenkamas, kai kalbama apie bet kokį mokėjimą ar banko rekvizitų keitimą.

Kaip patikrinti laiško SPF, DKIM ir DMARC?

Atidarykite visą laiško informaciją ar antraštes ir ieškokite žodžių „pass“ arba „fail“ šalia SPF, DKIM ir DMARC. Gmail atidarykite laišką, spustelėkite trijų taškų meniu ir pasirinkite „Rodyti originalą“. Outlook atidarykite laiško ypatybes arba „Peržiūrėti laiško šaltinį“ ir ieškokite eilutės „Authentication-Results“.

„Fail“ mokėjimo laiške yra ženklas sustoti. „Pass“ įrodo tik tai, kad laiškas atėjo iš to domeno. Jis neįrodo, kad domenas yra tas tikrasis (panašus domenas gali praeiti visas tris patikras) ar kad paskyra nebuvo nulaužta. Laikykite šias patikras filtru, o ne nuosprendžiu.

Kaip patikrinti, kam priklauso domenas ar el. pašto adresas?

Pasižiūrėkite domeno registracijos datą, tada patikrinkite žmogų už adreso. Naudokitės nemokama ICANN registracijos duomenų paieška. Dešimties metų senumo tiekėjo domenas yra normalu. Panašus domenas, užregistruotas praėjusią savaitę, yra sukčiavimas. Airijos NCSC būtent dėl šios priežasties rekomenduoja blokuoti ar žymėti laiškus iš naujai užregistruotų domenų.

Naujam kontaktui, naujam tiekėjui ar nepažįstamam vardui padeda Search A-Z verslo paieška. Įrašykite siuntėjo vardą, pavardę ir šalį, pasirinkite „Verslo kontaktas“ ir pridėkite el. pašto adresą bei įmonę. Ataskaitoje patikriname, ar el. paštas tikras ir kokia jo sukčiavimo rizika, ir parodome asmens darbo el. paštą, dabartines pareigas ir įmonę, darbo patirtį, viešus profesinius profilius, įmonės registracijos duomenis (pareigas JK Companies House ir pasauliniame LEI registre), naujienas ir paminėjimus internete bei viešus įspėjimus apie sukčiavimą, jei tokių yra. Jei „naujojo sąskaitų vadybininko“ pas tiekėją nėra jokių pėdsakų, tai ir yra jūsų atsakymas. Asmuo niekada nesužinos, kad jo ieškojote.

Kas yra atgalinio skambučio patvirtinimo tvarka?

Atgalinio skambučio tvarka yra rašytinė taisyklė, kad bet koks naujas mokėjimas, banko rekvizitų pakeitimas ar skubaus pervedimo prašymas patvirtinamas jūsų inicijuotu skambučiu numeriu, kuris jau yra jūsų duomenyse, prieš pervedant pinigus. Tai pati veiksmingiausia apsauga nuo BEC, bet tik tada, kai ji taikoma tinkamai. JPMorgan gairėse apie tai, kada atgaliniai skambučiai nepavyksta, išvardytos dažniausios klaidos: pasitikėjimas gautu skambučiu, kuris „patvirtina“ laišką, laiške ar sąskaitoje nurodyto telefono numerio naudojimas ir pokalbis ne su tuo žmogumi.

Paprasta tvarka, kurią galite nusikopijuoti:

• Kiekvienas tiekėjo ar darbuotojo banko rekvizitų pakeitimas patvirtinamas jūsų skambučiu numeriu iš tiekėjų bylos, sutarties ar oficialios tiekėjo svetainės, niekada ne iš paties prašymo.
• Skambinama konkrečiam žmogui, su kuriuo jau esate bendravę.
• Prašymai, pažymėti kaip skubūs ar konfidencialūs, tikrinami daugiau, o ne mažiau.
• Mokėjimus, viršijančius nustatytą sumą, turi patvirtinti du žmonės.
• Nauji banko rekvizitai prieš pirmą mokėjimą palaikomi tam tikrą laiką (pavyzdžiui, nuo 24 iki 48 valandų).
• Darbuotojams raštu pasakyta, kad niekas, įskaitant generalinį direktorių, nebus baudžiamas už tai, kad atidėjo mokėjimą jam patikrinti.

Skambučio scenarijus:

Laba diena, čia Aleksas iš Northfield buhalterijos. Gavome el. laišką apie naujus banko rekvizitus jūsų sąskaitoms. Prieš ką nors keisdami, ar galite patvirtinti, kad jį siuntėte, ir perskaityti man paskutinius keturis naujos sąskaitos numerio skaitmenis?

Kaip įmonei elgtis gavus prašymą pakeisti mokėjimo rekvizitus?

Kiekvieną mokėjimo pakeitimą laikykite įtartinu, kol jis nepatvirtintas kitu kanalu, ir užfiksuokite kiekvieną žingsnį. Ši tvarka tinka ir mažoms, ir didelėms įmonėms:

1. Užregistruokite prašymą su data, siuntėjo adresu ir prašomais duomenimis. Kol kas į jį neatsakykite.
2. Paskambinkite tiekėjui numeriu, kuris jau yra jūsų sistemoje, ir pasitikrinkite su įprastu kontaktiniu asmeniu.
3. Patikrinkite naujos sąskaitos savininko pavadinimą. Jungtinėje Karalystėje paslauga Confirmation of Payee parodo, ar sąskaitos savininko vardas sutampa. Euro zonoje, taip pat ir Lietuvoje, gavėjo patikra (Verification of Payee) tą patį daro eurų pervedimams nuo 2025 m. spalio 9 d. Rezultatas „nesutampa“ ar „iš dalies sutampa“ yra pavojaus signalas.
4. Gaukite antro tvirtintojo pritarimą pakeitimui.
5. Atlikite nedidelį bandomąjį mokėjimą ir telefonu patvirtinkite, kad jis gautas, prieš pervesdami visą sumą.
6. Stebėkite tolesnius laiškus. Spaudimas praleisti bet kurį iš šių žingsnių pats savaime yra įspėjamasis ženklas.

Tos pačios taisyklės saugo ir jus kaip tiekėją: raštu praneškite klientams, kad niekada nekeisite banko rekvizitų vien el. paštu. Dėl naujų klientų mūsų gide, kaip patikrinti naują klientą prieš pradedant darbą, aptariamos platesnės patikros.

Ką daryti, jei sumokėjau netikrą sąskaitą?

Nedelsdami skambinkite į banką ir paprašykite atšaukti mokėjimą, tada tą pačią dieną praneškite FBI ar savo šalies policijai. Greitis svarbiau už viską. Airijos NCSC įspėja, kad daugumos lėšų nebeįmanoma susigrąžinti, jei apie jas nepranešama per pirmąsias kelias valandas.

1. Skambinkite į banko sukčiavimo prevencijos skyrių dabar. Paprašykite atšaukti pervedimą ir kad gavėjo bankas įšaldytų lėšas. Nurodykite sumą, datą, gavėjo sąskaitą ir mokėjimo paskirtį.
2. JAV: pateikite pranešimą ic3.gov su visais operacijos duomenimis, nepriklausomai nuo sumos. FBI Recovery Asset Team naudoja Financial Fraud Kill Chain procedūrą, kad kartu su bankais įšaldytų pinigus. 2025 m. ji nagrinėjo 3 900 incidentų ir įšaldė 679 mln. JAV dolerių, tai 58 % sėkmės rodiklis. Ji gali sekti ir „antrojo šuolio“ pervedimus, jei juos nurodysite, o tarptautiniais pervedimais rūpinasi kartu su FinCEN.
3. JK: praneškite Report Fraud, kuri 2025 m. gruodį pakeitė Action Fraud, numeriu 0300 123 2040, arba Škotijos policijai numeriu 101. Jūsų bankas taip pat pradės savo lėšų susigrąžinimo procesą.
4. ES: praneškite savo šalies policijai ir bankui. Airijoje NCSC taip pat prašo jį informuoti. Lietuvoje apie nusikaltimą galite pranešti per epolicija.lt, o apie kibernetinį incidentą ir NKSC per pranešimo formą.
5. Apsaugokite el. pašto paskyrą. Pakeiskite slaptažodžius, įjunkite kelių veiksnių autentifikavimą ir patikrinkite, ar nėra persiuntimo ar pašto dėžutės taisyklių, slepiančių atsakymus. Tai dažnas ženklas, kad paskyra buvo perimta.
6. Išsaugokite įrodymus. Išsaugokite laiškus su pilnomis antraštėmis, sąskaitas, skambučių žurnalus ir operacijų įrašus. Nieko netrinkite.
7. Įspėkite tikrąjį tiekėją ar klientą. Jo arba jūsų paskyra vis dar gali būti pažeista.

Jei su jumis susisiekia „susigrąžinimo paslauga“, siūlanti už mokestį atgauti pinigus, tai dar vienas sukčiavimas. Tikras lėšų susigrąžinimas vyksta per jūsų banką ir teisėsaugą.

Kaip apsaugoti įmonę nuo el. pašto sukčiavimo?

Derinkite griežtą mokėjimų tvarką su keliais techniniais pagrindais. Ir FBI, ir Airijos NCSC rekomenduoja:

• Kelių veiksnių autentifikavimą kiekvienoje el. pašto paskyroje.
• SPF, DKIM ir DMARC nustatymus jūsų pačių domenuose, kad nusikaltėliai negalėtų lengvai apsimesti jumis jūsų klientams.
• El. paštą, kuris rodo pilnus siuntėjų adresus ir žymi išorinius siuntėjus.
• Akivaizdžių į jūsų domeną panašių domenų registravimą arba jų stebėseną.
• Patikrintą tiekėjų sąrašą su žinomais telefono kontaktais.
• Reguliarius darbuotojų mokymus, naudojant tikrus pavyzdžius, tokius kaip pateikti aukščiau.

BEC dažnai prasideda nuo jūsų komandos tyrinėjimo: kas tvirtina mokėjimus, kas yra tiekėjai, kas išvykęs. Mūsų gide, kaip atpažinti netikrus LinkedIn profilius, paaiškinama, kaip netikros paskyros renka šią informaciją.

Esmė

Nulaužto laiško nuo tikro iš pažiūros neatskirsite, tad nė nebandykite. Patikrinkite adresą ir domeną, SPF ir DKIM laikykite pirmuoju filtru, o kiekvieną mokėjimo pakeitimą patvirtinkite paskambinę numeriu, kurį jau turėjote. Jei pinigai jau išėjo, skambinkite į banką ir praneškite per kelias valandas, o ne dienas.

Dažnai užduodami klausimai

Kas yra BEC sukčiavimas?

Verslo el. pašto sukčiavimas (BEC) yra apgaulė, kai nusikaltėliai el. paštu apsimeta patikimu kontaktu, pavyzdžiui, tiekėju, vadovu ar teisininku, kad apgaule priverstų jus pervesti pinigų ar pakeisti banko rekvizitus. 2025 m. FBI gavo 24 768 skundus dėl BEC, o nuostoliai siekė 3,05 mlrd. JAV dolerių.

Kaip suprasti, ar laiškas tikrai nuo to, kuo prisistato siuntėjas?

Atskleiskite visą siuntėjo adresą, raidė po raidės patikrinkite domeną, pažiūrėkite, kur keliauja atsakymai, ir laiško duomenyse ieškokite SPF, DKIM ir DMARC rezultato „pass“. Jei reikalas susijęs su pinigais, patvirtinkite paskambinę žmogui numeriu, kurį jau turėjote.

Ar sukčiai gali naudoti tikrą el. pašto adresą?

Taip. Jei tiekėjo ar kolegos paskyra nulaužta, sukčių laiškai ateina iš tikro adreso ir praeina visus techninius patikrinimus. Todėl mokėjimo pakeitimus visada reikia patvirtinti telefonu, naudojant numerį iš savo įrašų.

Ką reiškia DMARC „fail“?

Tai reiškia, kad eilutėje „Nuo“ rodomas domenas nesutampa su domenu, kuris praėjo SPF ar DKIM patikrą. Laiške apie mokėjimą ar banko rekvizitų keitimą laikykite DMARC „fail“ stipriu ženklu, kad siuntėjas suklastotas.

Ar galiu atgauti pinigus sumokėjęs netikrą sąskaitą?

Kartais, jei veikiate greitai. Iš karto skambinkite į banką ir paprašykite atšaukti mokėjimą, o JAV praneškite ic3.gov, JK Report Fraud, Lietuvoje policijai per epolicija.lt. 2025 m. FBI Recovery Asset Team įšaldė aukoms 679 mln. JAV dolerių, bet po pirmųjų kelių valandų galimybės smarkiai sumažėja.

Kas yra FBI Financial Fraud Kill Chain?

Tai procedūra, kurią FBI Recovery Asset Team naudoja kartu su bankais, kad įšaldytų apgaulingus pervedimus, įskaitant tarptautinius per FinCEN. Ją inicijuojate greitai pranešę ic3.gov su visais operacijos duomenimis ir paprašę banko atšaukti mokėjimą.

Kas yra panašus domenas?

Interneto ar el. pašto domenas, sukurtas taip, kad atrodytų kaip tikras, pavyzdžiui, acme-corp.com vietoj acmecorp.com, arba su raide, pakeista panašia. Patikrinkite registracijos datą ICANN paieškoje: panašiam domenui paprastai tik kelios dienos ar savaitės.

Šaltiniai

1. FBI Internet Crime Complaint Center, 2025 Internet Crime Report
2. FBI IC3 PSA: Business Email Compromise, 55 mlrd. JAV dolerių sukčiavimas (2024 m. rugsėjis)
3. UK Finance Annual Fraud Report 2026
4. National Cyber Security Centre (Airija): gairės dėl BEC sukčiavimo (2025 m. liepa)
5. J.P. Morgan: kada atgaliniai skambučiai nepavyksta
6. City of London Police: paslauga Report Fraud pradeda veikti (2025 m. gruodis)
7. ICANN: registracijos duomenų paieška (RDAP)
8. Mason Hayes & Curran: ES momentinių mokėjimų reglamentas ir gavėjo patikra
9. Lietuvos policija: praneškite apie bandymą sukčiauti

Skaičiai yra naujausi, kuriuos kiekvienas šaltinis buvo paskelbęs atnaujinant šį vadovą. Praneštų sukčiavimo nuostolių suma yra tik minimali: apie daugumą sukčiavimo atvejų niekada nepranešama.