PIGILAN ANG BAYAD BAGO ITO LUMABAS.
Perpekto ang itsura ng email. Ang bank account, hindi.
Hindi dumadaan sa firewall mo ang mga kriminal. Nagla-log in sila sa isang totoong mailbox, hinihintay ang isang totoong invoice at binabago ang isang linya lang — ang bank account. Nagbabayad ang team mo gaya ng dati, at wala na ang pera.
Mga numero mula sa pinakabagong taunang ulat ng FBI Internet Crime Complaint Center (ang sentro ng FBI para sa mga reklamo sa cybercrime) — mga ulat sa US lang; hindi inilalabas ang tunay na kabuuan sa buong mundo.
Nagsimula na ang bagong panahon ng panloloko.
May AI na ang mga kriminal. Wala na ang baluktot na Ingles na dati'y nagbubuko sa kanila.
Perpektong email, sa kahit anong wika
Nagbabala ang FBI na gumagamit ang mga kriminal ng AI tools para gumawa ng kapani-paniwala at personalized na phishing messages — sa walang-mali na German, Hungarian o Japanese, sa dami na hindi kaya ng kahit anong grupo ng tao.
Ang “CFO” mo sa isang video call
Sa Hong Kong, isang empleyado ng engineering firm na Arup ang nagpadala ng mga US$25 milyon matapos ang isang video call kung saan deepfake pala ang mga kasamahan niya. Mukhang totoo ang lahat ng nasa screen.
Mas mabilis, mas mura, kahit saan
Taon-taon, mas pinapamura ng AI ang mga atakeng ito at mas pinapahirap silang mapansin. Ang mga kumpanyang umaasa pa rin sa “mapapansin naman namin” ang pinakamadaling target na natitira.
Sources: babala ng FBI San Francisco tungkol sa mga kriminal na gumagamit ng AI; kaso ng Arup ayon sa ulat ng Construction Briefing at Business Insider.
Anim na minuto. Walang nakapansin.
Kilalanin si Doris mula sa accounting — isang kathang-isip na halimbawa. May antivirus, firewall at two-factor login ang kumpanya niya. Ganito karaniwang nangyayari ang ganitong klase ng atake.
- 02:00 · ANG PAIN
Isang login page na mukhang totoo
Nag-log in si Doris sa isang kapani-paniwalang kopya ng karaniwan niyang login page. Tahimik nitong ipinapasa ang login niya — pati ang two-factor code — sa attacker.
- 02:02 · ANG SUSI
Nakuha ang session
Hawak na ng attacker ang naka-log in niyang session. Nasa loob na siya ng totoong mailbox ni Doris, nang hindi na kailangan ulit ang password.
- 02:04 · ANG PAGTATAGO
Isang hindi nakikitang mailbox rule
Isang rule na may inosenteng pangalan ang naglilipat ng bawat email tungkol sa invoice o bayad palayo sa paningin niya.
- 02:06 · ANG NAKAW
Isang linya ang nagbago
Sumasagot siya sa loob mismo ng totoong thread ng supplier gamit ang isang “updated” na invoice. Parehong tao, parehong tono — bagong bank account.
Kathang-isip si Doris at ang kumpanya. Inilalarawan ng mga hakbang kung paano gumagana ang totoong business email compromise para makilala mo ito — hindi para ituro kung paano ito gawin.
Re: Invoice 4471 – bagong detalye
- Walang virus na na-install.
- Walang kahina-hinalang link na nakarating sa accounting.
- Totoo ang address ng sender.
- Isang bagay lang ang nagbago: ang bank account.
- Kaya ang tanging maaasahang harang ay i-verify ang pagbabago sa pangalawa at kilalang channel bago magbayad.
Gumagana ang proteksyon mo — pero hindi laban dito.
Marami nang napipigilan ang antivirus, two-factor login at spam filter. Pero nilalampasan lang sila ng atakeng ito.
Walang kailangang i-scan
Ordinaryong browser at nakaw na session lang ang gamit ng attacker. Walang malware na humahawak sa laptop.
Nalampasan nang isang beses — sapat na iyon
May mga phishing kit na kumukuha ng naka-log in na session pagkatapos ng two-factor step. Malaking tulong dito ang mga phishing-resistant na security key.
Totoong email ito
Galing sa totoong account, sa loob ng totoong thread, ang mapanlinlang na reply. Para sa filter, normal na normal ito.
Defense in depth: panatilihin ang tatlo — at magdagdag ng rule na hindi kayang pekein ng kahit sinong attacker: tinatanggap lang ang binagong bank account matapos itong kumpirmahin sa isang channel na alam mo na dati.
Kaya bang magpadala ng email ng kahit sino sa pangalan ng kumpanya mo?
Binabasa namin nang live ang public email protection ng domain mo (SPF at DMARC). Walang iniimbak tungkol sa domain mo.
Paano ito gumagana: humihingi ang browser mo sa Google Public DNS (dns.google) ng mga public record. Hindi kayang silipin ng check na ito ang loob ng mga mailbox — ang nakaw na session at mga nakatagong rule ang mismong binubuo ang WireKnox para mahuli. Bawat check ay nagdadagdag ng isang anonymous na pulse sa globe sa ibaba (time zone at resulta lang).
Bawat pulse ay totoong check.
Tuwing may gumagamit ng libreng check sa website na ito, may pulse na sumisindi sa lungsod ng kanilang time zone. Walang domain name, walang IP address — walang gawa-gawa.
Wala pang check sa nakaraang 30 araw — puwedeng ikaw ang unang pulse.
Nakatayo ang WireKnox sa pagitan ng email at ng bayad.
Tatlong bantay para sa tatlong sandaling inaasahan ng bawat ganitong nakaw.
GINAGAWA PA · BUKAS ANG EARLY ACCESS
Alarma sa nakatagong rule
Magfa-flag ng mga mailbox rule na nagtatago o nagfo-forward ng mga email tungkol sa invoice at bayad — ang paboritong taktika ng attacker.
Harang sa pagpalit ng bangko
Ikukumpara ang bank details sa bagong invoice sa dating gamit ng supplier na iyon, at iho-hold ang mga nagbago para ma-review.
Patunay sa call-back
Hihingin na kumpirmahin ang anumang binagong account sa isang channel na na-verify na nang maaga — hindi kailanman sa parehong email thread.
Ang pangako namin sa koneksyon sa mga mailbox mo: may tahasang pahintulot mo lang, pinakamaliit na access na kailangan, naka-encrypt, hiwalay bawat kumpanya, at may audit log na mababasa mo. Binabawasan ng WireKnox ang panganib — walang tool na makakagarantiyang hindi na mangyayari kailanman ang panloloko.
Isang nawalang bayad lang, mas mahal pa sa ilang taon ng WireKnox.
Batay sa mga numero ng FBI, nasa US$129,000 ang nawawala bawat naiulat na kaso. Hindi libre ang proteksyon — at hindi naman talaga dapat.
Company
- Hanggang 150 mailbox
- Approval workflow para sa pagpalit ng bangko
- Priority onboarding
Group
- Hanggang 1,000 mailbox
- Ilang kumpanya sa iisang view
- Personal na onboarding
Enterprise
- Walang limitasyong mailbox & entity
- Sariling security contact
- Custom na payment-approval rules
Libreng trial: 14 araw. Ipinakilala ng isa sa aming mga independent business developer? 30 araw. Pagkatapos noon, buwanan — walang libreng plan.
MAGSISIMULA ANG TRIAL SA LAUNCH“Hindi namin kailangan ito.” Sinabi rin iyan ng bawat biktima.
Hindi sikat na pangalan ang hinahanap ng mga kriminal. Bukas na pinto ang hinahanap nila — at ang maliit na finance team na iisang tao lang ang nagbabayad ng invoice ang pinakamalaking bukas na pinto.
Pinoprotektahan ng Microsoft ang mailbox. Walang taga-Microsoft na nakabantay sa sandaling binabayaran ng accountant mo ang “bagong” bank account ng supplier.
Chine-check ng libreng tools ang DNS mo. Kami rin — libre, dito mismo sa page na ito. Pero hindi kayang i-hold ng libreng tool ang isang bayad. Kapag pumalya ito, sino ang magbabalik ng pera mo?
Galing sa totoong supplier ang email, sa totoong thread, sa perpektong wika. Hindi mo rin napansin ang huling phishing test. Walang nakakapansin.
Ang $349 kada buwan ay mga $4,200 kada taon. Ikumpara mo iyan sa isang bayad na hindi na babalik — saka mo sabihin kung ano ang “mahal”.
Kapag nailipat na ang pera, kadalasan wala na iyon. Walang “saka na” sa wire fraud — bago lang ang bayad, o huli na.
Limang rule na pumipigil sa karamihan ng wire fraud.
1 · Huwag tanggapin ang bagong bank details sa email lang
2 · Dalawang tao sa bawat binagong account
3 · I-set ang DMARC sa reject
4 · Silipin ang mailbox rules buwan-buwan
5 · Ituring na babala ang pagmamadali
Mauna ka kapag nagbukas ang WireKnox.
Isang maliit na grupo ng mga kumpanya muna ang io-onboard namin. Sabihin sa amin ang pangalan ng kumpanya mo, ilang tao ang humahawak ng bayad at anong email system ang gamit ninyo.