הספק החליף חשבון בנק? גיליון מיוחד על ההונאה שמתחילה בחשבונית ונגמרת בהעברה

חשבונית מוכרת, ספק ותיק ואותה חתימה בתחתית הדואר אינם מבטיחים שהתשלום הבא יגיע לכתובת הנכונה. הודעה קצרה על החלפת חשבון בנק יכולה להיראות כמו עוד משימה של הנהלת החשבונות, ובפועל להסיט כסף לחשבון של מתחזה. בגיליון הזה נבנה תהליך עבודה מלא לבעל עסק: מה עושים כשהבקשה מגיעה, מי מאמת אותה, איך משנים את כרטיס הספק ומה עושים אם ההעברה כבר יצאה. המטרה אינה להפוך כל ספק לחשוד, אלא למנוע מבקשת תשלום אחת לעקוף את הבקרה.

מרכז התלונות לפשיעת אינטרנט של הבולשת האמריקאית מתאר הונאת דואר עסקי כתופעה שבה נפרצת תיבת דואר לגיטימית, או מתחזים לבעליה, כדי לגרום להעברה לא מורשית. באזהרה המפורטת שלו מוסבר שתוקפים יכולים לקרוא תכתובות אמיתיות, ללמוד עסקאות ממתינות ולהחליף את יעד התשלום. משום כך הבעיה אינה מוגבלת למכתב מלא שגיאות מכתובת זרה. לפעמים ההודעה מגיעה מתוך קשר עסקי מוכר, עם פרטים נכונים שנאספו מראש.

פותחים בתרחיש עסקי, לא בניחוש על זהות השולח

נניח עסק דמיוני שממתין לשלם לספק 48 אלף שקל עבור אספקה שכבר התקבלה. יום לפני התשלום מתקבלת הודעה: החשבון השתנה, נא להעביר לפרטים המצורפים. הסכום והחשבונית נכונים, ושם איש הקשר מוכר. זהו תרחיש לימודי, לא מקרה שאירע לחברה מסוימת. הבדיקה החשובה בו אינה אם המכתב נראה משכנע, אלא אם הוכח באופן נפרד שהספק אכן ביקש לשנות את חשבון הבנק שלו.

אם מנהל העסק משיב לאותה הודעה ושואל אם הכול תקין, הוא עלול לקבל אישור מאותו גורם ששלח אותה. גם טלפון המופיע בתוך המסמך החדש אינו בהכרח ערוץ עצמאי. ההמלצה הרשמית היא לאמת שינויי תשלום בפגישה או במספר טלפון מוכר. לכן לפני שמתחילים חשוב להחזיק רישום קשר מסודר שנקבע בזמן ההתקשרות עם הספק, ולא לבנות את האימות על פרטים שנמסרו באותה בקשת שינוי.

שלב ראשון: עוצרים רק את השינוי שבספק

הצעד המעשי הוא לסמן שהתשלום המסוים ממתין לאימות, בלי למחוק את החוב ובלי לקבוע שהספק ניסה להונות. יש הבדל בין עצירת שינוי החשבון לבין עצירת כל פעילות העסק. רושמים את מספר החשבונית, הסכום, מועד התשלום והפרטים החדשים שהתבקשו, ומעבירים את הבדיקה לאדם שהוגדר לכך מראש. אם מועד התשלום קרוב, מודיעים לאיש הקשר המאומת שיש בדיקת פרטים, ולא נכנעים ללחץ לקצר אותה.

לא משנים בינתיים את פרטי הספק הקיימים במערכת, ולא מעתיקים את החשבון החדש לקובץ התשלומים מתוך הנחה שיתוקן אחר כך. שינוי מוקדם עלול להישאר גם אם התשלום הנוכחי בוטל, ואז להעביר תשלומים עתידיים לאותו יעד. כדאי להפריד בין תיעוד הבקשה לבין אישור השינוי: הבקשה נשמרת כראיה לבדיקה, אבל אינה הופכת בעצמה לנתון פעיל במערכת הכספית.

שלב שני: חוזרים לערוץ שנקבע קודם

האימות נעשה עם איש קשר מוסמך של הספק, באמצעות מספר שכבר היה ברישומי העסק או בערוץ שנקבע לפני הבקשה. בשיחה בודקים במפורש שהוגשה בקשה לשינוי, מי מוסמך לאשר אותה ומהם פרטי החשבון הרלוונטיים. לא מסתפקים באמירה כללית שהחשבונית נכונה. החשבונית יכולה להיות אמיתית בעוד שפרטי הבנק הוחלפו. גם אם מוכר קולו של האדם, במקרה חריג ממשיכים לפי נוהל הבקרה ולא לפי תחושת היכרות בלבד.

אם המספר הישן אינו זמין, זה אינו אישור להשתמש אוטומטית במספר החדש. אפשר לפנות לערוץ העסקי שהוסכם בעבר, לבקש ליצור קשר עם גורם מוסמך נוסף או להשלים בדיקה מקצועית בהתאם לסכום ולנסיבות. בעל העסק צריך לקבוע מראש מי רשאי לבחור נתיב אימות חלופי, כדי שעובד יחיד לא יאלתר אותו ברגע של לחץ. ההצעה הזאת היא נוהל עבודה מומלץ, ולא כלל משפטי אחיד המחייב כל עסק.

שלב שלישי: מפרידים בין הכנת השינוי לאישורו

בעסק שיש בו יותר מאדם אחד המטפל בכסף, אפשר לקבוע שאדם אחד מרכז את המסמכים ואדם נוסף מאשר את עדכון פרטי הבנק. הבודק השני צריך לראות מה אומת ובאיזה ערוץ, ולא רק ללחוץ אישור על פעולה שהכין הראשון. בעסק קטן שבו הבעלים עושה הכול, ההפרדה יכולה להיות בין זמן קבלת ההודעה לבין בדיקת האימות מול הספק, עם רשימת בדיקה כתובה שלא נעלמת כשעמוסים.

תיעוד קצר מספיק אם הוא ברור: מועד הבקשה, שם מי שבדק, הערוץ שבו אומתה, שם המאשר ומועד כניסת השינוי לתוקף. שומרים את המידע במערכת העסקית המתאימה עם הרשאות מוגבלות, לא בקבוצת הודעות פתוחה. המטרה היא לא לצבור מסמכים לשם מסמכים, אלא לאפשר לאדם אחר להבין בעתיד למה הפרטים השתנו. כאשר אין תיעוד כזה, קשה להבחין בין שינוי לגיטימי, טעות הקלדה ובקשה שלא אושרה כלל.

מה בודקים לפני שהכסף יוצא

לפני אישור ההעברה חוזרים לחשבונית ולרישום הספק המאושר ומשווים את המוטב, הבנק, הסניף והחשבון הרלוונטיים. בודקים גם את הסכום ואת מטרת התשלום. מסמך בנקאי מצורף יכול לסייע, אבל אינו תחליף לאימות עצמאי של עצם הבקשה. אין להסיק שהצגת שם מוכר במסך או בקובץ מוכיחה לבדה למי שייך החשבון. אופן הבדיקות הזמין משתנה בין שירותים ובנקים, ולכן מבררים עם הבנק מה הוא אכן מאמת.

גם העברה קטנה לניסיון אינה מוכיחה שהספק הוא שקיבל אותה. היא יכולה להוכיח שהחשבון קיבל כסף, אך אם האישור על הקבלה חוזר באותו ערוץ שנפגע, לא נוצר אימות נפרד. חשוב יותר לסגור את שאלת הזהות והסמכות לפני תשלום מאשר לייצר תנועה כספית שנראית כמו בדיקה. אין כאן המלצה לבצע תשלום ניסוי או למסור פרטי בנק לגורם שלא אומת.

הודעה דחופה אינה חריגה מהנוהל

בקשה לשמור על סודיות, לדלג על מנהל הכספים או להעביר מיד לפני שהבנק נסגר היא סיבה לבחון את הבקשה בזהירות, לא הוכחה בפני עצמה להונאה. לעיתים יש גם לחץ עסקי אמיתי. הנוהל צריך לעבוד בשני המצבים: מבררים מה הדדליין, מסבירים מה הבדיקה הנדרשת ופונים בערוץ המאומת. החלטה לחרוג מבקרה צריכה להיות החלטה מודעת של גורם מוסמך, ולא תוצאה של נוסח מאיים או של תחושת אי נעימות מול ספק.

הכלל חל גם אם הבקשה מוצגת בשם מנהל בכיר בתוך העסק. אפשר לכבד מנהל בלי להסתמך על הודעה שאינה מוכיחה שהוא כתב אותה. הכתובת המוצגת, הלוגו והחתימה הם נתונים לבדיקה; הם אינם סמכות לשנות תשלום. כדאי להסכים מראש שכל מנהל יקבל בסבלנות שיחת אימות כאשר הוא מבקש העברה חריגה. בקרה שעובדת רק מול ספקים קטנים אך נעלמת מול שם בכיר משאירה פתח ברור לטעות.

אם ההעברה כבר בוצעה

כשמתעורר חשד לאחר תשלום, פונים מיד לבנק שממנו יצאה ההעברה ומבקשים לבדוק אפשרות לעצור אותה או להשיב את הכסף. מרכז התלונות האמריקאי ממליץ על קשר מהיר עם המוסד הפיננסי, אך אינו מבטיח השבה. אין להמתין לסיום בדיקה פנימית כדי להודיע לבנק. מציינים את פרטי ההעברה הידועים ואת הסיבה לחשד, ופועלים לפי הנחיות הבנק והגורמים המקצועיים לגבי המשך הטיפול.

במקביל שומרים את התכתובות המקוריות, הקבצים, פרטי ההעברה והזמנים, ומערבים גורם אבטחת מידע מתאים כדי לבדוק אם תיבת דואר נפגעה. לא מוחקים הודעות בניסיון לנקות את האירוע ולא מסתפקים בהחלפת סיסמה בלי לבדוק הגדרות חשבון והרשאות. באזהרה הרשמית מתואר שימוש בכללי דואר ובהעברה אוטומטית לכתובות חיצוניות. לכן הטיפול צריך לבדוק גם מה שונה בחשבון, בהתאם לממצאים, ולא רק איזו הודעה נשלחה.

את התרגיל כדאי לסיים בהודעת בדיקה פנימית שאינה נשלחת לספק אמיתי: עובד אחד מקבל בקשת שינוי מדומה, השני בודק את הנוהל, והבעלים רואה אם אפשר להשלים אותו גם כשאיש הכספים בחופשה. אין צורך להשתמש בפרטי חשבון אמיתיים לצורך התרגול. בודקים את רצף ההחלטות, לא את יכולתו של הצוות לבצע העברה במהירות. כך אפשר לזהות מראש תלות באדם יחיד או בקובץ שאיש אחר אינו יודע למצוא.

אחת לשינוי תפקיד או עזיבת עובד, עוברים גם על הרשאות העדכון והאישור במערכות התשלום. מי שצריך לקרוא חשבונית אינו בהכרח צריך לשנות פרטי מוטב. הפרדה כזאת אינה מחליפה אימות ספק, אבל היא מצמצמת את מספר המקומות שבהם טעות או בקשה לא מאומתת יכולה להפוך לשינוי קבוע. את ההרשאות מתאימים לצורכי העסק עם מנהל המערכת, בלי לפגוע ביכולת לעבוד.

מונעים את התשלום הבא, לא רק מסבירים את הקודם

לאחר האירוע או התרגיל מעדכנים את רישום הספק ומוודאים שקובצי תשלומים עתידיים אינם כוללים את הפרטים שבמחלוקת. בודקים אם נשלחו בקשות דומות ללקוחות או לספקים נוספים, ומחליטים עם אנשי המקצוע למי צריך להודיע ובאיזה נוסח עובדתי. אין לקבוע מראש מי חייב בפיצוי או מי התרשל. אלה שאלות תלויות נסיבות, מסמכים ודין, וכאשר נגרם נזק או קיים חשש לחשיפת מידע נדרשת גם בחינה משפטית מתאימה.

המשימה לשבוע הקרוב פשוטה ומוגדרת: בחרו ספק אחד בעל תשלומים משמעותיים, בדקו שיש עבורו איש קשר מאומת, ותרגלו בקשת שינוי חשבון בלי לבצע שום העברה. שאלו מי עוצר, מי מתקשר, מי מאשר והיכן נשמר התיעוד. אם כל התשובות מסתיימות אצל אותו עובד בלי ערוץ עצמאי, יש תהליך לשפר. המטרה אינה להבטיח שלעולם לא תהיה הונאה, אלא להקשות על הודעה אחת להפוך ישירות לפקודת תשלום.

מצאתם טעות או תוכן לא ראוי? דווחו לנו >>