Τα σχήματα απάτης ταυτότητας κοστίζουν στις επιχειρήσεις δισεκατομμύρια: Πώς να μειώσετε τον κίνδυνο και να αντιδράσετε άμεσα

Η απάτη ταυτότητας δεν είναι πλέον ένα στενό πρόβλημα που αφορά μόνο τους καταναλωτές. Είναι πρόβλημα για την επιχείρηση, για τις ταμειακές ροές, για τη συμμόρφωση και για την εμπιστοσύνη. Όταν οι εγκληματίες χρησιμοποιούν κλεμμένες ή συνθετικές ταυτότητες για να ανοίξουν λογαριασμούς, να ανακατευθύνουν πληρωμές ή να εκμεταλλευτούν αρχεία εργαζομένων, οι απώλειες σπάνια σταματούν στην πρώτη δόλια συναλλαγή.

Οι εταιρείες μπορούν να χάσουν χρήματα άμεσα μέσω κλεμμένων κεφαλαίων, απλήρωτων τιμολογίων, ψεύτικων επιστροφών και chargebacks. Μπορεί επίσης να πληρώσουν για αποκατάσταση, νομικό έλεγχο, ρυθμιστική ανταπόκριση, εσωτερική διερεύνηση, αποκατάσταση συστημάτων και ειδοποίηση πελατών. Το αποτέλεσμα είναι συχνά πολύ πιο ακριβό από την αρχική απάτη.

Για τις μικρές και μεσαίες επιχειρήσεις, ο αντίκτυπος μπορεί να είναι ιδιαίτερα σοβαρός. Μια μόνο παραβίαση λογαριασμού ή ανακατεύθυνση μισθοδοσίας μπορεί να διαταράξει τις λειτουργίες, να διαβρώσει την εμπιστοσύνη των πελατών και να εκθέσει αδυναμίες στους εσωτερικούς ελέγχους που ήταν εύκολο να παραβλεφθούν κατά την ανάπτυξη.

Πώς μοιάζουν τα σχήματα απάτης ταυτότητας

Τα σχήματα απάτης ταυτότητας συνήθως ξεκινούν με κλεμμένα προσωπικά δεδομένα. Αυτές οι πληροφορίες μπορεί να προέρχονται από phishing, κακόβουλο λογισμικό, παραβιάσεις δεδομένων, κατάχρηση από εσωτερικό άτομο, κλοπή εγγράφων ή κοινωνική μηχανική. Μόλις οι εγκληματίες αποκτήσουν αρκετά δεδομένα, μπορούν να υποδυθούν ένα πραγματικό άτομο, να δημιουργήσουν μια συνθετική ταυτότητα ή να χειραγωγήσουν μια επιχειρησιακή διαδικασία.

Συνήθεις καταχρήσεις περιλαμβάνουν:

• Άνοιγμα πιστωτικών ή τραπεζικών λογαριασμών στο όνομα άλλου ατόμου
• Αίτημα αλλαγής στοιχείων πληρωμής για προμηθευτές ή συνεργάτες
• Εκτροπή μισθοδοσίας σε δόλιο λογαριασμό
• Υποβολή ψευδών αιτήσεων για φορολογικές ή επιστροφές χρημάτων
• Κατάληψη λογαριασμών εργαζομένων ή πελατών
• Χρήση κλεμμένων διαπιστευτηρίων για πρόσβαση σε εσωτερικά συστήματα
• Εκμετάλλευση αδύναμων διαδικασιών onboarding ή επαλήθευσης

Ένα σχήμα δεν χρειάζεται να είναι εξελιγμένο για να προκαλέσει ζημιά. Σε πολλές περιπτώσεις, ο επιτιθέμενος χρειάζεται μόνο έναν εργαζόμενο, ένα αδύναμο βήμα έγκρισης ή ένα πεδίο δεδομένων που παραβλέφθηκε για να πετύχει.

Γιατί οι επιχειρήσεις τελικά πληρώνουν το κόστος

Οι επιχειρήσεις συχνά απορροφούν το κόστος της απάτης ακόμη και όταν δεν αποτελούν τον άμεσο στόχο μιας κλοπής προσωπικής ταυτότητας. Μια δόλια συναλλαγή μπορεί παρ’ όλα αυτά να δημιουργήσει πραγματικές ζημίες για την εταιρεία που την επεξεργάστηκε, την ενέκρινε ή απέτυχε να την εντοπίσει έγκαιρα.

Οι μεγαλύτεροι παράγοντες κόστους συνήθως περιλαμβάνουν:

• Κλεμμένα κεφάλαια και μη ανακτημένες μεταφορές
• Chargebacks και διαφορές πληρωμών
• Δεσμευμένα ή καθυστερημένα εισπρακτέα ποσά
• Χρόνο εργαζομένων που δαπανάται για διερεύνηση και αποκατάσταση
• Αμοιβές δικηγόρων και κόστος ανταπόκρισης σε θέματα συμμόρφωσης
• Βλάβη στη φήμη και απώλεια εμπιστοσύνης
• Διακοπές υπηρεσιών και λειτουργική αδράνεια

Υπάρχει επίσης ένα έμμεσο κόστος που είναι δυσκολότερο να μετρηθεί. Μόλις η απάτη γίνει ορατή σε πελάτες, προμηθευτές ή δανειστές, η επιχείρηση μπορεί να χρειαστεί μήνες για να αποδείξει ότι οι έλεγχοί της είναι αξιόπιστοι. Αυτό μπορεί να επηρεάσει συνεργασίες, χρηματοδότηση και μελλοντική ανάπτυξη.

Τα πιο συνηθισμένα σχήματα απάτης ταυτότητας

Απάτη συνθετικής ταυτότητας

Η απάτη συνθετικής ταυτότητας συνδυάζει πραγματικές και κατασκευασμένες πληροφορίες για να δημιουργήσει μια νέα ταυτότητα που φαίνεται αρκετά νόμιμη ώστε να περάσει βασικούς ελέγχους. Οι εγκληματίες συχνά χρησιμοποιούν θραύσματα πραγματικών δεδομένων, όπως έναν Αριθμό Κοινωνικής Ασφάλισης μαζί με ψεύτικο όνομα ή διεύθυνση. Επειδή η ταυτότητα είναι εν μέρει πραγματική, ο εντοπισμός μπορεί να είναι δύσκολος μέχρι να αρχίσουν να συσσωρεύονται οι απώλειες.

Κατάληψη λογαριασμού

Στην κατάληψη λογαριασμού, οι επιτιθέμενοι χρησιμοποιούν κλεμμένα διαπιστευτήρια σύνδεσης, συνδέσμους επαναφοράς ή κοινωνική μηχανική για να αποκτήσουν πρόσβαση σε λογαριασμούς πελατών, εργαζομένων ή προμηθευτών. Μόλις μπουν μέσα, μπορεί να αλλάξουν στοιχεία πληρωμής, να κλέψουν δεδομένα ή να εγκρίνουν δόλιες συναλλαγές.

Απάτη προμηθευτή και τιμολογίου

Αυτό το σχήμα στοχεύει τις ομάδες πληρωτέων λογαριασμών. Οι απατεώνες υποδύονται νόμιμους προμηθευτές ή συνεργάτες και ζητούν να ενημερωθούν τα στοιχεία τραπεζικού λογαριασμού. Αν το αίτημα εγκριθεί χωρίς δευτερεύουσα επαλήθευση, η επόμενη πληρωμή πηγαίνει απευθείας στον επιτιθέμενο.

Εκτροπή μισθοδοσίας

Η απάτη μισθοδοσίας συμβαίνει όταν ένας επιτιθέμενος ή εσωτερικό άτομο αλλάζει τα στοιχεία άμεσης κατάθεσης ώστε οι μισθοί να σταλούν σε λάθος λογαριασμό. Αυτό μπορεί να προκληθεί μέσω παραβιασμένης πύλης εργαζομένου ή μέσω παραποιημένου αιτήματος HR.

Κατάχρηση από εσωτερικό άτομο

Δεν προέρχεται όλη η απάτη ταυτότητας από έξω από την εταιρεία. Ένας εργαζόμενος, συνεργάτης ή πρώην μέλος της ομάδας μπορεί να καταχραστεί την πρόσβαση σε αρχεία πελατών, αρχεία μισθοδοσίας ή συστήματα onboarding για να κλέψει πληροφορίες ή να εγκρίνει δόλιες αλλαγές.

Κλοπή εγγράφων και αλληλογραφίας

Τα φυσικά έγγραφα εξακολουθούν να έχουν σημασία. Κλεμμένη αλληλογραφία, πεταμένες φόρμες ή λανθασμένα τοποθετημένα αρχεία μπορούν να εκθέσουν ονόματα, διευθύνσεις, φορολογικές πληροφορίες, τραπεζικά στοιχεία και άλλα δεδομένα που οι εγκληματίες μπορούν να χρησιμοποιήσουν για να χτίσουν ένα προφίλ απάτης.

Προειδοποιητικά σημάδια που χρειάζονται άμεση προσοχή

Η απάτη είναι ευκολότερο να σταματήσει όταν οι ομάδες ξέρουν τι να προσέχουν. Τα προειδοποιητικά σημάδια συχνά εμφανίζονται κατά τη φυσιολογική ροή της εργασίας, αλλά είναι εύκολο να παραμεριστούν αν δεν υπάρχει καθορισμένη διαδικασία ελέγχου.

Προσέξτε για:

• Αίτημα αλλαγής τραπεζικών στοιχείων με ασυνήθιστη επείγουσα φύση
• Πληροφορίες πελάτη ή προμηθευτή που δεν ταιριάζουν με προηγούμενα αρχεία
• Πολλαπλές αποτυχημένες προσπάθειες σύνδεσης από άγνωστες τοποθεσίες
• Απότομες αλλαγές στις οδηγίες άμεσης κατάθεσης εργαζομένων
• Ασυνεπή έγγραφα ταυτότητας κατά το onboarding
• Διπλούς λογαριασμούς με παρόμοια στοιχεία επικοινωνίας
• Αιτήματα πληρωμής που παρακάμπτουν τα συνήθη βήματα έγκρισης
• Δραστηριότητα λογαριασμού σε ασυνήθιστες ώρες ή από νέες συσκευές

Ένα μόνο σήμα μπορεί να μην αποδεικνύει απάτη. Ένα μοτίβο μικρών ανωμαλιών, όμως, θα πρέπει να ενεργοποιεί έλεγχο πριν μετακινηθούν χρήματα ή οριστικοποιηθούν αλλαγές πρόσβασης.

Πώς να μειώσετε τον κίνδυνο απάτης ταυτότητας

Δημιουργήστε ισχυρά βήματα επαλήθευσης

Κάθε αίτημα που αφορά χρήματα, πρόσβαση σε λογαριασμούς ή δεδομένα ταυτότητας θα πρέπει να απαιτεί διαδικασία επαλήθευσης ξεχωριστή από το αρχικό κανάλι του αιτήματος. Αν ένα email ζητά αλλαγή τραπεζικών πληροφοριών, επιβεβαιώστε το τηλεφωνικά ή μέσω μιας γνωστής πύλης, όχι απαντώντας στο ίδιο νήμα email.

Περιορίστε την πρόσβαση σε ευαίσθητα δεδομένα

Όσο λιγότεροι άνθρωποι μπορούν να δουν, να εξαγάγουν ή να επεξεργαστούν αρχεία ταυτότητας, τόσο μικρότερος είναι ο κίνδυνος κατάχρησης. Χρησιμοποιήστε δικαιώματα βάσει ρόλου, περιοδικούς ελέγχους πρόσβασης και καταγραφή για ευαίσθητες ενέργειες. Η πρόσβαση θα πρέπει να δίνεται με βάση τη λειτουργία της θέσης και όχι την ευκολία.

Εκπαιδεύστε τους εργαζομένους να επιβραδύνουν

Η απάτη πετυχαίνει όταν οι ομάδες ενεργούν γρήγορα χωρίς να ελέγχουν τις λεπτομέρειες. Η εκπαίδευση θα πρέπει να μαθαίνει στο προσωπικό να αμφισβητεί την επείγουσα φύση, να αναγνωρίζει τεχνικές υποδύσεως και να σταματά όταν ένα αίτημα δεν φαίνεται σωστό. Οι εργαζόμενοι πρώτης γραμμής, οι οικονομικές ομάδες και το προσωπικό HR είναι ιδιαίτερα σημαντικοί, επειδή χειρίζονται τα αιτήματα υψηλότερου κινδύνου.

Προστατεύστε το onboarding και τα δεδομένα πελατών

Τα δεδομένα ταυτότητας που συλλέγονται κατά το onboarding, τη χρηματοδότηση και την υποστήριξη θα πρέπει να κρυπτογραφούνται, να αποθηκεύονται με ασφάλεια και να διατηρούνται μόνο όσο χρειάζεται. Τα έντυπα αρχεία θα πρέπει να κλειδώνονται, να τεμαχίζονται όταν δεν χρειάζονται πλέον και να κρατιούνται μακριά από ανοιχτούς χώρους εργασίας.

Ενισχύστε τους ψηφιακούς ελέγχους

Χρησιμοποιήστε πολυπαραγοντικό έλεγχο ταυτότητας, ασφαλείς πολιτικές κωδικών πρόσβασης, παρακολούθηση συνεδριών και ειδοποιήσεις συσκευών για να μειώσετε τον κίνδυνο κατάληψης λογαριασμού. Ελέγχετε ανωμαλίες σύνδεσης, αλλαγές IP και επαναλαμβανόμενες προσπάθειες επαναφοράς. Αν τα συστήματά σας το επιτρέπουν, απαιτήστε πρόσθετη επαλήθευση για αλλαγές τραπεζικών στοιχείων και μεταφορές υψηλής αξίας.

Παρακολουθήστε τις πληρωμές και τις αλλαγές προμηθευτών

Οι ροές πληρωμών θα πρέπει να περιλαμβάνουν αναφορές εξαιρέσεων και κανόνες έγκρισης για αλλαγές σε τραπεζικά στοιχεία, παραλήπτες πληρωμής ή δρομολόγηση τιμολογίων. Αν ένας προμηθευτής ενημερώσει τον τραπεζικό του λογαριασμό, επιβεβαιώστε το αίτημα μέσω ξεχωριστής γνωστής επαφής πριν απελευθερωθεί η επόμενη πληρωμή.

Διατηρήστε καθαρά ίχνη ελέγχου

Ένα καλό ίχνος ελέγχου βοηθά τόσο στην πρόληψη όσο και στη διερεύνηση. Καταγράψτε ποιος άλλαξε τι, πότε το άλλαξε, από πού προήλθε το αίτημα και πώς επαληθεύτηκε. Αν συμβεί απάτη, τα λεπτομερή logs μπορούν να βοηθήσουν στην ανασύνθεση της ακολουθίας και στον περιορισμό της ζημιάς.

Εξετάστε τον κίνδυνο τρίτων

Η απάτη ταυτότητας συχνά περνά μέσω προμηθευτών, παρόχων μισθοδοσίας, τραπεζών και εργαλείων λογισμικού. Εξετάστε ποια δεδομένα κρατούν αυτοί οι συνεργάτες, πώς επαληθεύουν τα αιτήματα και ποιοι έλεγχοι χρησιμοποιούν για να προστατεύουν τις αλλαγές λογαριασμών. Ένας αδύναμος συνεργάτης μπορεί να γίνει η ευκολότερη οδός προς την επιχείρησή σας.

Τι να κάνετε αν συμβεί απάτη

Η ταχύτητα μετρά. Ο στόχος είναι να σταματήσει η περαιτέρω απώλεια, να διατηρηθούν τα αποδεικτικά στοιχεία και να περιοριστεί η έκθεση.

Πρώτα, παγώστε τον επηρεασμένο λογαριασμό, την πληρωμή ή τη ροή εργασίας αν μπορείτε να το κάνετε με ασφάλεια. Στη συνέχεια, διατηρήστε τα logs, τα email, τα έγγραφα και τις εγκρίσεις που σχετίζονται με το περιστατικό. Ενημερώστε αμέσως την τράπεζα ή τον πάροχο πληρωμών σας αν μεταφέρθηκαν χρήματα ή αν άλλαξε ο προορισμός πληρωμής.

Έπειτα, εμπλέξτε νομικό σύμβουλο, την εσωτερική διοίκηση και τυχόν απαραίτητες ρυθμιστικές ή αστυνομικές επαφές. Αν εκτέθηκαν δεδομένα πελατών ή εργαζομένων, καθορίστε αν ισχύουν υποχρεώσεις ειδοποίησης. Τέλος, εξετάστε τη βασική αιτία ώστε να μην εμφανιστεί ξανά το ίδιο κενό ελέγχου.

Ένα σχέδιο ανταπόκρισης θα πρέπει να είναι γραμμένο πριν συμβεί ένα περιστατικό. Όταν όλοι ήδη ξέρουν ποιον να καλέσουν και τι να απενεργοποιήσουν, η επιχείρηση είναι πολύ λιγότερο πιθανό να χάσει χρόνο κατά την πρώτη κρίσιμη ώρα.

Γιατί η ίδρυση επιχείρησης και η τήρηση αρχείων έχουν σημασία

Η πρόληψη της απάτης ταυτότητας δεν είναι μόνο ζήτημα κυβερνοασφάλειας. Είναι επίσης ζήτημα εταιρικής διακυβέρνησης. Οι επιχειρήσεις με καθαρά αρχεία ίδρυσης, σαφή τεκμηρίωση ιδιοκτησίας και συνεπείς εσωτερικούς ελέγχους βρίσκονται σε καλύτερη θέση να επαληθεύουν την εξουσιοδότηση όταν φτάνουν αιτήματα.

Αυτός είναι ένας λόγος για τον οποίο οι ιδρυτές θα πρέπει να αντιμετωπίζουν τη σύσταση και τη συμμόρφωση της επιχείρησης ως μέρος της διαχείρισης κινδύνου από την αρχή. Οργανωμένα αρχεία οντότητας, ξεχωριστή τραπεζική δραστηριότητα για την επιχείρηση και τεκμηριωμένες διαδικασίες έγκρισης μειώνουν τη σύγχυση και καθιστούν δυσκολότερη την απόκρυψη της απάτης. Για νέους επιχειρηματίες, ένας συνεργάτης σύστασης όπως η Zenind μπορεί να βοηθήσει στη σωστή εγκαθίδρυση της επιχείρησης ώστε οι διοικητικοί έλεγχοι να έχουν σταθερή βάση.

Το συμπέρασμα

Τα σχήματα απάτης ταυτότητας κοστίζουν στις επιχειρήσεις δισεκατομμύρια επειδή εκμεταλλεύονται το κενό ανάμεσα στην εμπιστοσύνη και την επαλήθευση. Οι εγκληματίες δεν χρειάζονται πάντα εξελιγμένα εργαλεία. Συχνά χρειάζονται μόνο μια αδύναμη διαδικασία, μια βιαστική έγκριση ή ένα μέλος της ομάδας που είναι πολύ απασχολημένο για να ελέγξει ξανά.

Οι επιχειρήσεις που περιορίζουν την πρόσβαση, επαληθεύουν τις αλλαγές εκτός του αρχικού καναλιού, εκπαιδεύουν τους εργαζομένους και διατηρούν ισχυρά ίχνη ελέγχου είναι πολύ δυσκολότερο να στοχοποιηθούν. Οι εταιρείες που αντιμετωπίζουν σοβαρά την προστασία ταυτότητας δεν προστατεύουν μόνο πελάτες ή εργαζομένους. Προστατεύουν τα έσοδα, τη φήμη και τη μακροπρόθεσμη σταθερότητα της επιχείρησης.