Платёжка-двойник

Владелец Святослав Дубов в пятницу платит поставщику за партию петель 2 800 000 ₽. Бухгалтер отправит платёж в 11:30. К обеду поставщик звонит: денег нет, ушли на чужой счёт по реквизитам из письма, похожего на письмо поставщика (тот же бланк и подпись, почти тот же адрес). Кто-то заранее читал переписку фабрики с поставщиком и подменил реквизиты. Поднимите журнал входов в почту, сверьте с показаниями и найдите того, кто отправил письмо-двойник.

⌚ ХРОНОЛОГИЯ: 09:00 — 12:00 все показания — внутри этого окна

§ ПОДОЗРЕВАЕМЫЕ (5) · нажмите для досье

Святослав Дубов

Владелец фабрики «Дубовъ-Мебель» (пострадавший)

ПОТЕРПЕВШИЙ

Жанна Котельникова

Менеджер по закупкам, ведёт переписку с поставщиками

Зоя Башмакова

Главный бухгалтер, отправляет платежи

Эдуард Свирский

Системный администратор (приходящий, на полставки)

Лилия Дербенёва

Секретарь-референт, приёмная

Глеб Тарасюк

Зять владельца, фрилансер «по сайтам и рекламе»

§ ЛОКАЦИИ — 5 ПОМЕЩЕНИЙ

Проходная→ Опенспейс (бухгалтерия и закупки)
Вахтёр, единственная камера над турникетом.
Опенспейс (бухгалтерия и закупки)→ Проходная, Каморка (серверная), Кабинет директора
Четыре стола, стопки счетов.
Каморка (серверная)→ Опенспейс (бухгалтерия и закупки), Приёмная
Сервер, роутер, своя розетка с «белым» адресом; камер нет.
Кабинет директора→ Опенспейс (бухгалтерия и закупки), Приёмная
Дубовый стол, кульман, сейф.
Приёмная→ Кабинет директора, Каморка (серверная)
Стол секретаря, здесь принимают курьеров.

§ ПРЕДМЕТЫ — 4 НА СЦЕНЕ

🎣 Фишинговое письмо «подтвердите пароль почты» (поддельная страница входа)
✉️ Письмо-двойник с похожего домена (подменённые банковские реквизиты)
🔑 Слабый пароль бухгалтера без второго подтверждения входа
🔌 Чужая флешка в компьютере приёмной

§ УЛИКИ И ПОКАЗАНИЯ (14)

⌜ ВЗЛОМ ОБНАРУЖЕН · 12:00 ⌝ Взлом — локация «Каморка (серверная)». — источник: В 12:00 поставщик звонит: оплаты за петли нет. 2 800 000 ₽ ушли в 11:30 по реквизитам из письма, похожего на письмо поставщика, но адрес отправителя отличался на одну букву, а счёт был чужой. По журналу почтового сервера это письмо ушло бухгалтеру в 11:15 из самой фабрики — с компьютера через розетку интернета в каморке (серверной).

⌜ ПРОТОКОЛ ⌝ Святослав Дубов: «Поставщик звонит — денег нет. Зоя отправила по письму: бланк, печать, подпись их, один в один. Только адрес почты на букву другой и счёт не тот. Кто-то у меня в доме читал нашу переписку и знал, что в пятницу я плачу за партию».

⌜ ПРОТОКОЛ ⌝ Из журнала почтового сервера: письмо-двойник ушло бухгалтеру в 11:15 с компьютера в каморке (отдельная розетка с «белым» постоянным адресом). Ящиком закупок весь день нормально пользовались из опенспейса. Письма поставщика за неделю до этого кто-то открывал и помечал «важное» — тоже из каморки, по вечерам.

⌜ В ОДИНОЧЕСТВЕ · 11:15 ⌝Жанна Котельникова был(а) одна. — источник: Вахтёр дядя Коля: «В четверть двенадцатого сунулся в каморку с бумагой — Жанна одна сидит за компьютером у сервера. Больше до обеда туда никто не заходил, я б видел, коридор как на ладони».

⌜ АЛИБИ · 11:15 ⌝Жанна Котельникова находился(-ась) в локации «Каморка (серверная)». — источник: Сама Жанна: «Сидела в каморке в четверть двенадцатого — там тихо, отчёт сводила». С какого компьютера — сначала «со своего, из зала», потом «может, с того, что у сервера». Отчёт за утро показать не смогла — «не сохранила».

⌜ АЛИБИ · 11:15 ⌝Зоя Башмакова находился(-ась) в локации «Опенспейс (бухгалтерия и закупки)». — источник: Лилия, заносившая Зое чай: «К одиннадцати Зоя уже с банком висела, платёж не уходил, оператор диктовала, что нажимать». Опенспейсники подтверждают: Зоя в четверть двенадцатого всё так же воевала с платежом в опенспейсе, никуда не уходила.

⌜ ПРОТОКОЛ ⌝ Таксист Марат: «Эдика катал с утра. С десяти до двенадцати мы по двум конторам на Машмете мотались, он там чинил. На мебельную фабрику он поехал только после обеда, к часу». То есть в 11:15 Эдика в здании фабрики не было.

⌜ АЛИБИ · 11:15 ⌝Лилия Дербенёва находился(-ась) в локации «Приёмная». — источник: Курьер Денис: «Накладные привёз в 11:05, секретарь меня в приёмной до полудня промурыжила — печать искала, начальника ждала. От стола не вставала, я напротив сидел». Маршрутный лист отбит на въезде в 11:03.

⌜ ВМЕСТЕ · 11:15 ⌝Глеб Тарасюк и Святослав Дубов находились в одной комнате. — источник: Святослав Дубов: «Зять с одиннадцати у меня в кабинете сидел, сайт на ноуте показывал, каталог смотрели до обеда. Ни на шаг от меня, никуда не отходил».

⌜ ПРЕДМЕТ · 11:15 ⌝Письмо-двойник с похожего домена (подменённые банковские реквизиты) ✉️ видели в локации «Каморка (серверная)». — источник: Письмо-двойник (адрес отправителя отличается от поставщика на одну букву) ушло бухгалтеру в 11:15. По служебным пометкам письма видно сеть отправки — это «белый» постоянный адрес, который на фабрике один и заведён только на розетку в каморке. С него же за неделю до этого кто-то читал переписку с поставщиком.

⌜ ПРОТОКОЛ ⌝ Счёт, на который ушли 2,8 миллиона, банк раскрыл: оформлен три недели назад на Веру Опалько. Вахтёр дядя Коля: «Опалько — это ж кума Жанны, она к ней на проходную приходила». В телефоне Жанны переписка с этой Верой: «оформи на себя карточку, я отблагодарю».

⌜ ПРЕДМЕТ · 09:30 ⌝Фишинговое письмо «подтвердите пароль почты» (поддельная страница входа) 🎣 видели в локации «Опенспейс (бухгалтерия и закупки)». — источник: В ящике закупок неделю назад лежало фишинговое письмо «подтвердите пароль» с поддельной ссылкой на копию страницы входа. Открывали его из опенспейса. Похоже на «внешних хакеров», но по тому письму никто пароль так и не ввёл: поддельная страница не зафиксировала ни одного ввода.

⌜ ПРЕДМЕТ · 11:00 ⌝Слабый пароль бухгалтера без второго подтверждения входа 🔑 видели в локации «Опенспейс (бухгалтерия и закупки)». — источник: У Зои на банк-клиенте простой пароль и нет одноразового кода — формально «дыра». Но платёж ушёл не из-за взлома программы: Зоя сама оплатила по реквизитам из письма-двойника, считая его настоящим. Её пароль ни при чём — обманули человека, не технику.

⌜ ПРОТОКОЛ ⌝ В журнале сервера строчка: удалённый вход под учёткой Эдика в 11:10. Похоже на «зашёл снаружи и подменил». Но это не человек: в 11:10 по расписанию запускается автоматическое резервное копирование под той же учёткой. Живая сессия Эдика с его ноутбука началась только в 12:05. В 11:15 Эдик был на другом конце города (улика 7).

§ ВЫНЕСТИ ОБВИНЕНИЕ

ВзломщикВектор атакиМомент

← В архив