Тривожні сигнали щодо постачальника перед банківським переказом
Використовуйте затверджений базовий профіль бенефіціара, незалежне підтвердження дзвінком, журнал виплат та план реагування протягом першої години, якщо інструкції постачальника щодо переказу змінюються або виглядають підозріло.
Почніть з китайської юридичної назви або USCC. Підтвердьте відповідність компанії, перш ніж відкривати її профіль.
Найнебезпечніша інструкція щодо переказу від постачальника може надійти в межах знайомого ланцюжка електронних листів, містити правильну суму рахунку-фактури та нібито походити від особи, яку ваша команда вже знає. Отже, контроль платежу не може зводитися до питання «чи виглядає цей електронний лист справжнім?». Він має передбачати порівняння інструкції з незалежно встановленим базовим профілем постачальника та бенефіціара.
Цей алгоритм дій розділяє три часові рамки: контрольні заходи, впроваджені під час реєстрації постачальника; перевірка перед виплатою сьогоднішнього переказу; та дії протягом першої години після виявлення підозри на шахрайське перенаправлення. Основна увага приділяється ризикам платіжних інструкцій, а не простому повторенню загального списку тривожних сигналів щодо постачальників.
Етап 1: встановлення базового профілю до настання терміну оплати рахунку-фактури
Створіть затверджений запис про оплату постачальнику під час процесу реєстрації, коли ніхто не перебуває під тиском необхідності здійснити виплату. Зафіксуйте зареєстровану китайську назву компанії, Єдиний код соціального кредиту (USCC), сторону договору, очікуваного видавця рахунку-фактури, затвердженого бенефіціара, країну або регіон бенефіціара, назву банку, останні цифри рахунку, валюту та комерційне обґрунтування участі будь-якої іншої юридичної особи в ланцюжку.
Також встановіть два маршрути підтвердження, які не залежать від одного й того самого облікового запису електронної пошти: наприклад, номер телефону, перевірений під час попередньої комунікації, та контактні дані другої відомої особи. Документально зафіксуйте, хто у вашій організації має право затверджувати нового бенефіціара, та поріг суми, який вимагає затвердження двома особами.
Китайські правила щодо бізнес-ліцензій передбачають розміщення ідентифікаційних даних, таких як назва компанії та USCC, безпосередньо на ліцензії. Ознайомтеся з офіційними положеннями щодо полів ліцензії. Використовуйте ці дані як основу для запису про постачальника, а потім пов’яжіть їх із сторонами договору та платежу. Назва на вебсайті або підпис в електронному листі не є заміною зареєстрованої ідентичності.
Чому знайомого ланцюжка листування недостатньо
Шахрайство через компрометацію ділової електронної пошти (BEC) може включати підроблену адресу або реально зламану поштову скриньку. Зловмисник може спостерігати за реальними розмовами щодо виставлення рахунків і вставити інші реквізити рахунку саме в момент, коли очікується оплата. Отже, правильні імена, суми, описи продуктів та історія електронного листування можуть співіснувати із шахрайським бенефіціаром.
ФБР описує BEC як схему, яка може перенаправити платіж, призначений для знайомого постачальника, і рекомендує підтверджувати перекази через пряме голосове спілкування та раніше відомі контактні дані. Ознайомтеся з рекомендаціями ФБР щодо BEC.
Не запитуйте в тому самому ланцюжку електронних листів, чи був він скомпрометований. Не використовуйте номер телефону, доданий до зміненої інструкції. Маршрут перевірки має походити з вашого попередньо створеного запису або з іншого джерела, незалежного від повідомлення, що розглядається.
Сім тригерів, які мають зупинити виплату
Ці сигнали не доводять наявність шахрайства. Кожен із них є підставою для паузи, доки зміна не буде пояснена та незалежно підтверджена:
- Новий рахунок або бенефіціар. Будь-яка зміна порівняно із затвердженим базовим профілем перезапускає перевірку платежу, навіть якщо постачальник стверджує, що старий рахунок недоступний.
- Нова країна, регіон або непов’язана компанія. Постачальник просить направити кошти від сторони договору з материкового Китаю до гонконзької компанії, експортного агента, фізичної особи або в іншу юрисдикцію без затвердженого файлу стосунків.
- Терміновість в останній момент. Для обходу звичайної процедури затвердження посилаються на знижку, виробничий слот, святковий період, відвантаження або відрядження менеджера.
- Зміна моделі комунікації. Відправник змінює домен, особисту електронну пошту, обліковий запис у месенджері, номер телефону або мову спілкування та перешкоджає використанню старого маршруту.
- Відмова від голосового спілкування. Контактна особа погоджується спілкуватися лише електронною поштою або в чаті, коли потрібно підтвердити банківські реквізити.
- Розрив у документах. Бенефіціар, видавець рахунку-фактури, сторона договору, валюта або сума змінюються між версіями документів без чіткого сліду внесення змін.
- Незвичайна секретність або тиск авторитету. Ініціатор запиту стверджує, що вище керівництво затвердило виняток, але не дозволяє зв’язатися із затверджувачем безпосередньо.
Рекомендації ФБР визначають необґрунтовану терміновість, зміни інформації для переказу в останній момент, зміни каналів комунікації та відмову від голосового або відеозв’язку як попереджувальні знаки. Ознайомтеся з офіційним списком попереджувальних ознак.
Здійсніть незалежне підтвердження дзвінком
Зателефонуйте відомому контакту постачальника за номером, указаним у затвердженому записі про реєстрацію. Якщо основний контакт — це особа, поштова скринька якої могла бути скомпрометована, залучіть другого відомого контакту. Не озвучуйте всі очікувані відповіді заздалегідь; попросіть постачальника описати зміни своїми словами.
Практичний сценарій дзвінка такий:
«Ми обробляємо платіж із посиланням [внутрішнє посилання]. Будь ласка, назвіть юридичну назву одержувача, країну банку, валюту та останні чотири символи рахунку, які наразі авторизовані для цього рахунку-фактури. Якщо ці дані відрізняються від нашого затвердженого запису, поясніть, яка організація володіє рахунком, чому вона залучена, коли зміни набули чинності та хто у вашій компанії їх авторизував. Ми задокументуємо відповідь і завершимо власне затвердження перед проведенням платежу».
Зафіксуйте дату, час, набраний номер, учасників дзвінка, деталі, озвучені без підказок, запитані документи-підтвердження та внутрішнього рецензента. Дзвінок, який лише запитує «Чи правильна електронна адреса?», дає слабкі докази.
IC3 рекомендує використовувати додаткові канали або двофакторну верифікацію для змін інформації про рахунок. Див. рекомендації IC3 щодо запобігання та реагування.
Визначте зв’язок між компанією та одержувачем коштів
Невідповідність одержувача не є автоматично ознакою шахрайства. Китайські постачальники можуть використовувати експортну компанію, афілійовану торговельну організацію, групову казначейську компанію або гонконзьку компанію з документально підтверджених комерційних причин. Контрольний захід полягає в тому, щоб встановити, хто є окремою організацією, яку роль вона виконує, чи має вона повноваження отримувати кошти, а також чи підтримують контракт і рахунок-фактура таке домовлення.
Порівняйте ці назви поруч:
- зарееєстрована китайська компанія в поточному записі;
- продавець або сторона контракту;
- особа, що виставила рахунок-фактуру;
- юридична назва одержувача;
- особа, яка авторизувала зміну рахунку.
Якщо вони відрізняються, зберіть письмове пояснення, докази зв’язку, виправлені транзакційні документи (за потреби) та незалежно підтверджену авторизацію. Посібник із перевірки одержувача китайського постачальника детально розглядає цей зв’язок. Для проблеми з назвою в рахунку-фактурі скористайтеся окремим процесом вирішення невідповідностей у рахунках-фактурах.
Офіційні рекомендації Комерційної служби США передбачають перевірку існування компанії, її адреси, контактних даних і тривожних ознак у межах початкової перевірки компанії, відрізняючи її від поглибленої перевірки на місці в країні постачальника. Прочитайте рекомендації щодо перевірки компанії. Перевірка ідентичності постачальника та перевірка банківських інструкцій доповнюють одна одну, але жодна з них не замінює іншу.
Не покладайтеся на хибне відчуття безпеки через слабкі контрольні заходи
Тестовий платіж
Невеликий переказ підтверджує лише те, що кошти можуть надійти на рахунок і, можливо, що хтось може це відстежити. Він не встановлює, хто контролює рахунок, чи є відносини авторизованими, чи залишиться незмінною наступна інструкція.
Банківський лист або скріншот
Файл може бути змінений, застарілий або виданий для іншої організації. Розглядайте його як один із елементів для порівняння, а не як незалежне підтвердження. Перевіряйте суттєві зміни рахунку через встановлений контакт і власні банківські процедури.
Відповідь із зазвичай використовуваної електронної адреси
Скомпрометована поштова скринька може надсилати й отримувати відповіді. Перенесення тієї самої розмови в інше повідомлення в межах цього облікового запису не створює незалежного каналу зв’язку.
Термінове затвердження керівником
Внутрішнє затвердження не компенсує відсутність зовнішніх доказів. Якщо одержувач змінився, верифікатор повинен завершити кроки контролю змін до того, як особа, що затверджує, прийме комерційний ризик.
Етап 2: запис про проведення платежу за 30 хвилин
Безпосередньо перед випуском збережіть один стислий запис:
| Контроль | Докази випуску | Умова утримання |
|---|---|---|
| Ідентифікація постачальника | Китайська назва та USCC відповідають цільовому суб’єкту | Відсутність надійної ідентифікації або неправильна компанія |
| Сторони транзакції | Порівняння назв у контракті, рахунку-фактурі та бенефіціара | Непояснена різниця в суб’єктах |
| Безперервність інструкцій | Поточні дані збігаються із затвердженою базовою версією | Будь-яка непідтверджена зміна |
| Незалежне підтвердження | Відомий канал зв’язку, нотатка про дзвінок, другий контакт за потреби | Доступний лише електронний лист, що викликає сумніви, або новий телефон |
| Внутрішні повноваження | Зафіксовані необхідні особи, які надають схвалення, та власник винятку | Тиск задля обходу політики |
| Банківський запис | Особа, яка формує платіж, і особа, яка його перевіряє, порівнюють введені дані із затвердженим записом | Ручне введення відрізняється від пакета документів на схвалення |
Використовуйте операційний чекліст випуску банківського переказу для звичайного платежу без змін. Якщо банківські реквізити змінилися, перейдіть до спеціальної процедури зміни банківських реквізитів. Зміна не повинна бути прихована як одна позначка в інакше звичайному платежі.
Етап 3: перша година після підозри на перенаправлення коштів
Якщо команда виявляє, що кошти могли піти на неправильний рахунок, швидкість має вирішальне значення. Негайно зв’яжіться з фінансовою установою-відправником, повідомте, що переказ може бути шахрайським, і запросіть процедуру його скасування або повернення. IC3 також радить попросити установу-відправника зв’язатися з установою-одержувачем; вона зазначає, що повернення коштів не гарантоване.
Одночасно:
- зупиніть будь-які очікувані або заплановані платежі, використовуючи спірні реквізити;
- збережіть оригінальні електронні листи з заголовками, вкладеннями, повідомленнями чату, рахунками-фактурами, банківськими підтвердженнями та журналами схвалень;
- повідомте своїх контактів із безпеки, фінансів, юридичного відділу, страховика та керівництва відповідно до плану реагування на інциденти;
- зв’яжіться зі справжнім постачальником через раніше відомі канали, не використовуючи підозріле листування;
- подайте звіт через відповідні канали правоохоронних органів і боротьби з кіберзлочинністю для вашої юрисдикції; жертви у США можуть скористатися IC3;
- захистіть потенційно скомпрометовані поштові скриньки, перегляньте правила пересилання та сеанси, а також скиньте облікові дані через команду безпеки.
Не видаляйте підозріле листування, не ведіть переговорів з невідомим одержувачем і не відкладайте дзвінок у банк, намагаючись точно довести, як сталося компрометування.
Зробіть наступний платіж безпечнішим
Після будь-якої спроби або фактичного перенаправлення коштів перегляньте обидві сторони процесу: дані реєстрації постачальника, повноваження на зміну банківських реквізитів, безпеку електронної пошти, багатофакторну автентифікацію, сповіщення про пересилання пошти, ліміти платежів, розподіл обов’язків між особою, яка формує платіж, і особою, яка його перевіряє, а також те, як співробітники знаходять незалежні контактні дані.
Для повного пакету документів використовуйте документи, які потрібно зібрати перед банківським переказом постачальнику. Для ширшого огляду попереджувальних ознак щодо компанії та операційної діяльності використовуйте довідник із червоних прапорців постачальників. Розділення цих завдань запобігає помилковому сприйняттю чистого результату реєстру як автентифікації зміненої банківської інструкції.
Ця стаття надає загальну інформацію про контроль платежів і підготовку до інцидентів. Вона не містить порад щодо банківської справи, юридичних питань, кібербезпеки, страхування чи повернення коштів для конкретного переказу.