Henkilöllisyysvarkauden petosjärjestelmät maksavat yrityksille miljardeja: miten pienentää riskiä ja reagoida nopeasti

Henkilöllisyysvarkaus ei ole enää vain kuluttajaongelma. Se on liiketoimintaongelma, kassavirtaongelma, vaatimustenmukaisuusongelma ja luottamusongelma. Kun rikolliset käyttävät varastettuja tai keinotekoisia henkilöllisyyksiä tilien avaamiseen, maksujen ohjaamiseen uudelleen tai työntekijätietojen väärinkäyttöön, tappiot harvoin pysähtyvät ensimmäiseen vilpilliseen tapahtumaan.

Yritykset voivat menettää rahaa suoraan varastettujen varojen, maksamattomien laskujen, perusteettomien hyvitysten ja takaisinperintöjen kautta. Lisäksi niille voi koitua kustannuksia siivouksesta, oikeudellisesta tarkastelusta, viranomaisille raportoinnista, sisäisestä tutkinnasta, järjestelmien palauttamisesta ja asiakkaiden уведомtamisesta. Lopputulos on usein paljon kalliimpi kuin itse petos.

Pienille ja keskisuurille yrityksille vaikutus voi olla erityisen vakava. Yksittäinen tilikaappaus tai palkanmaksun ohjaaminen väärään paikkaan voi häiritä toimintaa, heikentää asiakkaiden luottamusta ja paljastaa sisäisten kontrollien heikkouksia, jotka kasvun aikana oli helppo sivuuttaa.

Millaisia henkilöllisyysvarkauden petosjärjestelmät ovat

Henkilöllisyysvarkauden petosjärjestelmät alkavat yleensä varastetuista henkilötiedoista. Tiedot voivat olla peräisin tietojenkalastelusta, haittaohjelmista, tietomurroista, sisäpiirin väärinkäytöstä, asiakirjavarkaudesta tai sosiaalisesta manipuloinnista. Kun rikollisilla on tarpeeksi tietoja, he voivat esiintyä oikeana henkilönä, luoda keinotekoisen henkilöllisyyden tai manipuloida liiketoimintaprosessia.

Yleisiä väärinkäyttötapoja ovat:

• Luotto- tai pankkitilien avaaminen toisen henkilön nimissä
• Maksutietojen muutospyyntöjen tekeminen toimittajille tai alihankkijoille
• Palkan ohjaaminen vilpilliseen tiliin
• Väärien vero- tai hyvityshakemusten jättäminen
• Työntekijä- tai asiakastilien kaappaaminen
• Varastettujen tunnistetietojen käyttäminen sisäisiin järjestelmiin pääsemiseksi
• Heikkojen perehdytys- tai varmennusprosessien hyväksikäyttö

Petos ei tarvitse olla monimutkainen vahingon aiheuttamiseksi. Monissa tapauksissa hyökkääjä tarvitsee vain yhden työntekijän, yhden heikon hyväksymisvaiheen tai yhden huomiotta jääneen tietokentän onnistuakseen.

Miksi yritys joutuu maksamaan laskun

Yritykset usein kantavat petoksen kustannukset, vaikka ne eivät olisi henkilöllisyysvarkauden suoran kohteen roolissa. Vilpillinen tapahtuma voi silti aiheuttaa todellisia tappioita yritykselle, joka käsitteli sen, hyväksyi sen tai ei havainnut sitä riittävän nopeasti.

Suurimmat kustannustekijät ovat yleensä:

• Varastetut varat ja palautumattomat siirrot
• Takaisinperinnät ja maksukiistat
• Jäädytetyt tai viivästyneet saatavat
• Työntekijöiden aika tutkintaan ja korjaaviin toimiin
• Asianajokulut ja vaatimustenmukaisuuteen liittyvät kulut
• Mainehaitta ja luottamuksen menetys
• Palvelukatkokset ja toimintaseisokit

On myös epäsuora kustannus, jota on vaikeampi mitata. Kun petos tulee asiakkaiden, toimittajien tai rahoittajien tietoon, yrityksen on ehkä käytettävä kuukausia todistaakseen, että sen kontrollit ovat luotettavia. Se voi vaikuttaa kumppanuuksiin, rahoitukseen ja tulevaan kasvuun.

Yleisimmät henkilöllisyysvarkauden petosjärjestelmät

Keinotekoinen henkilöllisyysvarkaus

Keinotekoinen henkilöllisyysvarkaus yhdistää aitoa ja keksittyä tietoa uuden henkilöllisyyden luomiseksi, joka näyttää riittävän uskottavalta perus­tarkastusten läpäisemiseen. Rikolliset käyttävät usein aidon tiedon sirpaleita, kuten sosiaaliturvatunnusta yhdistettynä väärennettyyn nimeen tai osoitteeseen. Koska henkilöllisyys on osittain aito, sen havaitseminen voi olla vaikeaa, kunnes tappiot alkavat kertyä.

Tilikaappaus

Tilikaappauksessa hyökkääjät käyttävät varastettuja kirjautumistietoja, palautuslinkkejä tai sosiaalista manipulointia päästäkseen asiakkaiden, työntekijöiden tai toimittajien tileille. Sisään päästyään he voivat muuttaa maksutietoja, varastaa dataa tai hyväksyä vilpillisiä tapahtumia.

Toimittaja- ja laskupetos

Tämä järjestelmä kohdistuu ostoreskontraan. Huijarit esiintyvät aitoina toimittajina tai alihankkijoina ja pyytävät pankkitietojen päivittämistä. Jos pyyntö hyväksytään ilman toissijaista varmennusta, seuraava maksu menee suoraan hyökkääjälle.

Palkan ohjaaminen

Palkkapetos tapahtuu, kun hyökkääjä tai sisäpiiriläinen muuttaa suorien tilisiirtojen tietoja niin, että palkka ohjataan väärälle tilille. Tämä voi käynnistyä vaarantuneen työntekijäportaalin tai väärennetyn HR-pyynnön kautta.

Sisäpiirin väärinkäyttö

Kaikki henkilöllisyysvarkaus ei tule yrityksen ulkopuolelta. Työntekijä, alihankkija tai entinen tiimin jäsen voi käyttää väärin pääsyään asiakastietoihin, palkka-aineistoihin tai perehdytysjärjestelmiin varastaakseen tietoja tai hyväksyäkseen vilpillisiä muutoksia.

Asiakirja- ja postivarkaus

Myös fyysisillä asiakirjoilla on edelleen merkitystä. Varastettu posti, poisheitetyt lomakkeet tai hukatut asiakirjat voivat paljastaa nimiä, osoitteita, verotietoja, pankkitietoja ja muuta dataa, jota rikolliset voivat käyttää petosprofiilin rakentamiseen.

Varoitusmerkit, joihin kannattaa reagoida heti

Petos on helpompi pysäyttää, kun tiimit osaavat tunnistaa merkit. Varoitusmerkkejä ilmenee usein tavallisen liiketoiminnan yhteydessä, mutta ne on helppo sivuuttaa, jos tarkistusprosessia ei ole määritelty.

Kiinnitä huomiota seuraaviin:

• Pyyntö pankkitietojen muuttamisesta poikkeuksellisen kiireellisenä
• Asiakkaan tai toimittajan tiedot, jotka eivät vastaa aiempia tietoja
• Useita epäonnistuneita kirjautumisyrityksiä tuntemattomista sijainneista
• Äkilliset muutokset työntekijän tilisiirtotietoihin
• Epäjohdonmukaiset henkilöllisyysasiakirjat perehdytyksen aikana
• Kaksoiskappaleet tileistä, joilla on samankaltaiset yhteystiedot
• Maksupyynnöt, jotka ohittavat normaalit hyväksymisvaiheet
• Tilitoiminta oudoissa kellonajoissa tai uusilta laitteilta

Yksittäinen merkki ei välttämättä todista petosta. Useiden pienten poikkeamien muodostama kuvio sen sijaan pitäisi käynnistää tarkistus ennen kuin rahat liikkuvat tai käyttöoikeudet vahvistetaan.

Miten pienentää henkilöllisyysvarkauden riskiä

Rakenna vahvat varmennusvaiheet

Jokaisen rahaa, käyttöoikeuksia tai henkilötietoja koskevan pyynnön pitäisi kulkea varmennusprosessin läpi, joka on erillinen alkuperäisestä pyyntökanavasta. Jos sähköposti pyytää pankkitietojen muuttamista, vahvista asia puhelimitse tai tunnetun portaalin kautta, ei vastaamalla samaan sähköpostiketjuun.

Rajoita pääsyä arkaluonteisiin tietoihin

Mitä harvempi voi tarkastella, viedä tai muokata henkilöllisyystietoja, sitä pienempi on väärinkäytön riski. Käytä roolipohjaisia käyttöoikeuksia, määräaikaisia käyttöoikeuksien tarkastuksia ja lokitusta arkaluonteisille toimille. Käyttöoikeudet pitäisi myöntää työnkuvan, ei mukavuuden perusteella.

Opeta työntekijöitä hidastamaan

Petos onnistuu, kun tiimit toimivat nopeasti tarkistamatta yksityiskohtia. Koulutuksen pitäisi opettaa henkilöstöä kyseenalaistamaan kiire, tunnistamaan esiintymistaktiikat ja pysähtymään, kun pyyntö tuntuu epäilyttävältä. Etulinjan työntekijät, taloustiimit ja HR-henkilöstö ovat erityisen tärkeitä, koska he käsittelevät riskialtteimpia pyyntöjä.

Suojaa perehdytys- ja asiakastiedot

Perehdytyksen, rahoituksen ja tuen aikana kerätyt henkilöllisyystiedot pitäisi salata, säilyttää turvallisesti ja säilyttää vain niin kauan kuin on tarpeen. Paperiasiakirjat pitäisi lukita, silputa, kun niitä ei enää tarvita, ja pitää poissa avoimista työtiloista.

Vahvista digitaaliset kontrollit

Käytä monivaiheista tunnistautumista, turvallisia salasanasääntöjä, istuntoseurantaa ja laitehälytyksiä tilikaappausriskin pienentämiseksi. Tarkastele kirjautumisanomalioita, IP-osoitteen muutoksia ja toistuvia palautusyrityksiä. Jos järjestelmäsi sallivat sen, vaadi vahvistettu lisävarmennus pankkimuutoksille ja suurille siirroille.

Seuraa maksuja ja toimittajamuutoksia

Maksuprosesseihin pitäisi sisältyä poikkeamaraportointi ja hyväksymissäännöt pankkitietojen, maksunsaajien tai laskujen reitityksen muutoksille. Jos toimittaja päivittää pankkitilinsä, vahvista pyyntö erillisen tunnetun yhteyshenkilön kautta ennen seuraavan maksun vapauttamista.

Pidä audit trail selkeänä

Hyvä audit trail auttaa sekä ennaltaehkäisyssä että tutkinnassa. Kirjaa, kuka muutti mitä, milloin muutos tehtiin, mistä pyyntö tuli ja miten se varmennettiin. Jos petos tapahtuu, yksityiskohtaiset lokit voivat auttaa rekonstruoimaan tapahtumaketjun ja rajaamaan vahingot.

Arvioi kolmansien osapuolten riski

Henkilöllisyysvarkaus kulkee usein toimittajien, palkanlaskentapalvelujen, pankkien ja ohjelmistotyökalujen kautta. Tarkastele, mitä tietoja näillä kumppaneilla on, miten he varmentavat pyynnöt ja millaisia kontrollit he käyttävät tilimuutosten suojaamiseen. Heikko kumppani voi olla helpoin reitti liiketoimintaasi.

Mitä tehdä, jos petos tapahtuu

Nopeus ratkaisee. Tavoitteena on estää lisävahingot, säilyttää todisteet ja rajata altistus.

Ensimmäiseksi jäädytä kyseinen tili, maksu tai prosessi, jos voit tehdä sen turvallisesti. Säilytä sitten lokit, sähköpostit, asiakirjat ja hyväksynnät, jotka liittyvät tapaukseen. Ilmoita pankillesi tai maksupalveluntarjoajallesi välittömästi, jos varoja siirrettiin tai maksun kohdetta muutettiin.

Seuraavaksi ota mukaan lakiasiain neuvonantaja, yrityksen johto ja mahdolliset viranomais- tai lainvalvontakontaktit. Jos asiakkaiden tai työntekijöiden tietoja paljastui, arvioi, soveltuvatko ilmoitusvelvoitteet. Lopuksi tarkastele juurisyytä, jotta sama kontrollipuute ei toistu.

Vastaussuunnitelma pitäisi laatia ennen kuin tapaus tapahtuu. Kun kaikki tietävät jo etukäteen, kenelle soitetaan ja mikä suljetaan, yritys menettää huomattavasti vähemmän aikaa ensimmäisen kriittisen tunnin aikana.

Miksi yrityksen perustaminen ja kirjanpito ovat tärkeitä

Henkilöllisyysvarkauksien torjunta ei ole vain kyberturvallisuuskysymys. Se on myös hallintokysymys. Yritykset, joilla on selkeät perustamisasiakirjat, täsmällinen omistusrakenne ja johdonmukaiset sisäiset kontrollit, pystyvät paremmin varmistamaan päätösvallan, kun pyyntöjä tulee.

Siksi perustajien pitäisi käsitellä yrityksen perustamista ja vaatimustenmukaisuutta osana riskienhallintaa alusta alkaen. Järjestelmälliset yhtiöasiakirjat, erillinen liiketili ja dokumentoidut hyväksymisprosessit vähentävät epäselvyyttä ja tekevät petoksen peittelystä vaikeampaa. Uusille yrittäjille perustamiskumppani kuten Zenind voi auttaa luomaan yrityksen oikein, jotta hallinnolliset kontrollit rakentuvat vakaalle pohjalle.

Yhteenveto

Henkilöllisyysvarkauden petosjärjestelmät maksavat yrityksille miljardeja, koska ne hyödyntävät luottamuksen ja varmennuksen välistä kuilua. Rikolliset eivät aina tarvitse kehittyneitä työkaluja. Usein he tarvitsevat vain heikon prosessin, kiireessä tehdyn hyväksynnän tai tiimin jäsenen, jolla ei ole aikaa tarkistaa asioita.

Yritykset, jotka vähentävät pääsyä, varmistavat muutokset erillisen kanavan kautta, kouluttavat työntekijöitä ja pitävät vahvat audit trailit, ovat paljon vaikeampia kohteita. Yritykset, jotka suhtautuvat henkilöllisyyden suojaamiseen vakavasti, eivät suojaa vain asiakkaita tai työntekijöitä. Ne suojaavat myös liikevaihtoa, mainetta ja liiketoiminnan pitkän aikavälin vakautta.