กลโกงการฉ้อโกงตัวตนสร้างความสูญเสียให้ธุรกิจนับพันล้าน: วิธีลดความเสี่ยงและตอบสนองอย่างรวดเร็ว

การฉ้อโกงตัวตนไม่ใช่ปัญหาที่จำกัดอยู่แค่ผู้บริโภคอีกต่อไป แต่เป็นปัญหาของธุรกิจ เป็นปัญหากระแสเงินสด เป็นปัญหาการปฏิบัติตามกฎระเบียบ และเป็นปัญหาความไว้วางใจ เมื่ออาชญากรใช้ตัวตนที่ถูกขโมยหรือสร้างขึ้นเทียมเพื่อเปิดบัญชี เปลี่ยนเส้นทางการชำระเงิน หรือใช้ข้อมูลพนักงานในทางที่ผิด ความเสียหายมักไม่หยุดอยู่แค่ธุรกรรมฉ้อโกงแรกเริ่ม

บริษัทอาจสูญเสียเงินโดยตรงจากเงินที่ถูกขโมย ใบแจ้งหนี้ที่ไม่ได้รับชำระ การคืนเงินปลอม และการปฏิเสธการชำระเงิน แต่ยังต้องแบกรับต้นทุนจากการแก้ไขปัญหา การตรวจทานทางกฎหมาย การรับมือกับข้อกำกับดูแล การสืบสวนภายใน การกู้คืนระบบ และการแจ้งลูกค้า ผลลัพธ์จึงมักมีค่าใช้จ่ายสูงกว่าความเสียหายจากการฉ้อโกงครั้งแรกมาก

สำหรับธุรกิจขนาดเล็กและขนาดกลาง ผลกระทบอาจรุนแรงเป็นพิเศษ การยึดครองบัญชีเพียงครั้งเดียวหรือการเปลี่ยนเส้นทางเงินเดือนเพียงครั้งเดียวสามารถรบกวนการดำเนินงาน บั่นทอนความเชื่อมั่นของลูกค้า และเปิดเผยจุดอ่อนในกระบวนการควบคุมภายในที่อาจมองข้ามได้ง่ายระหว่างการเติบโต

กลโกงการฉ้อโกงตัวตนมีลักษณะอย่างไร

กลโกงการฉ้อโกงตัวตนมักเริ่มจากข้อมูลส่วนบุคคลที่ถูกขโมย ข้อมูลนั้นอาจมาจากฟิชชิง มัลแวร์ การรั่วไหลของข้อมูล การใช้ข้อมูลโดยคนในองค์กร การขโมยเอกสาร หรือวิศวกรรมสังคม เมื่ออาชญากรมีข้อมูลเพียงพอ พวกเขาสามารถแอบอ้างเป็นบุคคลจริง สร้างตัวตนเทียม หรือบิดเบือนกระบวนการทางธุรกิจได้

การนำไปใช้ในทางที่ผิดที่พบได้บ่อย ได้แก่:

• เปิดบัญชีเครดิตหรือบัญชีธนาคารในชื่อบุคคลอื่น
• ขอเปลี่ยนแปลงข้อมูลการชำระเงินของผู้ขายหรือผู้รับจ้าง
• เปลี่ยนเส้นทางเงินเดือนเข้าบัญชีฉ้อโกง
• ยื่นคำขอภาษีหรือขอคืนเงินเท็จ
• ยึดครองบัญชีของพนักงานหรือลูกค้า
• ใช้ข้อมูลรับรองที่ถูกขโมยเพื่อเข้าถึงระบบภายใน
• ใช้ประโยชน์จากกระบวนการรับเข้าหรือการยืนยันตัวตนที่อ่อนแอ

กลโกงไม่จำเป็นต้องซับซ้อนก็สร้างความเสียหายได้ ในหลายกรณี ผู้โจมตีต้องการเพียงพนักงานหนึ่งคน ขั้นตอนอนุมัติที่อ่อนแอหนึ่งจุด หรือช่องข้อมูลที่ถูกมองข้ามหนึ่งช่องเท่านั้น

เหตุใดธุรกิจจึงต้องเป็นฝ่ายรับภาระ

ธุรกิจมักต้องแบกรับต้นทุนจากการฉ้อโกง แม้จะไม่ได้เป็นเป้าหมายโดยตรงของเหตุการณ์การขโมยตัวตนส่วนบุคคล ธุรกรรมฉ้อโกงหนึ่งรายการก็ยังสามารถสร้างความสูญเสียจริงให้กับบริษัทที่ประมวลผล อนุมัติ หรือไม่ตรวจพบได้อย่างรวดเร็ว

ตัวขับเคลื่อนต้นทุนที่ใหญ่ที่สุดมักได้แก่:

• เงินที่ถูกขโมยและการโอนที่ไม่สามารถกู้คืนได้
• การปฏิเสธการชำระเงินและข้อพิพาทด้านการชำระเงิน
• ลูกหนี้ที่ถูกอายัดหรือจ่ายล่าช้า
• เวลาของพนักงานที่ใช้ในการสืบสวนและแก้ไข
• ค่าทนายความและต้นทุนการรับมือด้านการปฏิบัติตามกฎระเบียบ
• ความเสียหายต่อชื่อเสียงและการสูญเสียความเชื่อมั่น
• การหยุดชะงักของบริการและเวลาหยุดทำงานของการดำเนินงาน

ยังมีต้นทุนทางอ้อมที่วัดได้ยากกว่า เมื่อการฉ้อโกงถูกเปิดเผยต่อลูกค้า ผู้ขาย หรือผู้ให้กู้ ธุรกิจอาจต้องใช้เวลาหลายเดือนเพื่อพิสูจน์ว่าการควบคุมของตนน่าเชื่อถือ ซึ่งอาจส่งผลต่อความร่วมมือ แหล่งเงินทุน และการเติบโตในอนาคต

กลโกงการฉ้อโกงตัวตนที่พบบ่อยที่สุด

การฉ้อโกงตัวตนสังเคราะห์

การฉ้อโกงตัวตนสังเคราะห์เป็นการผสมข้อมูลจริงกับข้อมูลที่สร้างขึ้นเพื่อสร้างตัวตนใหม่ที่ดูน่าเชื่อถือพอจะผ่านการตรวจสอบพื้นฐานได้ อาชญากรมักใช้ข้อมูลจริงบางส่วน เช่น หมายเลขประกันสังคมที่จับคู่กับชื่อหรือที่อยู่ปลอม เนื่องจากตัวตนนั้นมีส่วนที่เป็นข้อมูลจริง การตรวจจับจึงทำได้ยากจนกว่าความสูญเสียจะเริ่มสะสม

การยึดครองบัญชี

ในการยึดครองบัญชี ผู้โจมตีใช้ข้อมูลเข้าสู่ระบบที่ถูกขโมย ลิงก์รีเซ็ตรหัสผ่าน หรือวิศวกรรมสังคมเพื่อเข้าถึงบัญชีของลูกค้า พนักงาน หรือผู้ขาย เมื่อเข้าไปได้แล้ว พวกเขาอาจเปลี่ยนรายละเอียดการชำระเงิน ขโมยข้อมูล หรืออนุมัติธุรกรรมฉ้อโกง

การฉ้อโกงผู้ขายและใบแจ้งหนี้

กลโกงนี้มุ่งเป้าไปที่ทีมบัญชีเจ้าหนี้ ผู้ฉ้อโกงจะแอบอ้างเป็นผู้ขายหรือผู้รับจ้างที่ถูกต้องและขอให้เปลี่ยนรายละเอียดบัญชีธนาคาร หากคำขอนั้นได้รับอนุมัติโดยไม่มีการยืนยันซ้ำ การชำระเงินครั้งถัดไปจะถูกส่งตรงไปยังผู้โจมตี

การเปลี่ยนเส้นทางเงินเดือน

การฉ้อโกงเงินเดือนเกิดขึ้นเมื่อผู้โจมตีหรือคนในองค์กรเปลี่ยนรายละเอียดการฝากโดยตรง ทำให้ค่าจ้างถูกส่งไปยังบัญชีที่ไม่ถูกต้อง ซึ่งอาจเกิดจากพอร์ทัลพนักงานที่ถูกเจาะหรือคำขอจากฝ่ายทรัพยากรบุคคลที่ถูกปลอมแปลง

การใช้ข้อมูลภายในในทางที่ผิด

การฉ้อโกงตัวตนไม่ได้มาจากภายนอกบริษัทเสมอไป พนักงาน ผู้รับจ้าง หรืออดีตสมาชิกทีมอาจใช้สิทธิ์เข้าถึงข้อมูลลูกค้า ไฟล์เงินเดือน หรือระบบรับเข้าทำงานในทางที่ผิดเพื่อขโมยข้อมูลหรืออนุมัติการเปลี่ยนแปลงที่ฉ้อโกง

การขโมยเอกสารและจดหมาย

เอกสารทางกายภาพยังมีความสำคัญ จดหมายที่ถูกขโมย แบบฟอร์มที่ถูกทิ้ง หรือบันทึกที่วางผิดที่อาจเปิดเผยชื่อ ที่อยู่ ข้อมูลภาษี รายละเอียดบัญชีธนาคาร และข้อมูลอื่น ๆ ที่อาชญากรสามารถใช้สร้างโปรไฟล์สำหรับการฉ้อโกงได้

สัญญาณเตือนที่ควรให้ความสนใจทันที

การฉ้อโกงจะหยุดได้ง่ายขึ้นเมื่อทีมงานรู้ว่าควรมองหาอะไร สัญญาณเตือนมักปรากฏขึ้นระหว่างการทำงานตามปกติ แต่ก็มักถูกมองข้ามหากไม่มีขั้นตอนตรวจสอบที่ชัดเจน

ควรระวัง:

• มีการขอเปลี่ยนข้อมูลธนาคารอย่างเร่งด่วนผิดปกติ
• ข้อมูลลูกค้าหรือผู้ขายไม่ตรงกับบันทึกก่อนหน้า
• ความพยายามเข้าสู่ระบบล้มเหลวหลายครั้งจากตำแหน่งที่ไม่คุ้นเคย
• การเปลี่ยนแปลงคำสั่งฝากโดยตรงของพนักงานอย่างกะทันหัน
• เอกสารยืนยันตัวตนระหว่างรับเข้าทำงานไม่สอดคล้องกัน
• บัญชีซ้ำที่มีรายละเอียดการติดต่อคล้ายกัน
• คำขอชำระเงินที่ข้ามขั้นตอนอนุมัติตามปกติ
• กิจกรรมบัญชีในช่วงเวลาที่ผิดปกติหรือจากอุปกรณ์ใหม่

สัญญาณเพียงอย่างเดียวอาจยังไม่พิสูจน์ว่ามีการฉ้อโกง แต่หากรูปแบบของความผิดปกติเล็ก ๆ หลายจุดเกิดขึ้นพร้อมกัน ควรเริ่มการตรวจสอบก่อนที่เงินจะถูกโอนหรือการเปลี่ยนแปลงสิทธิ์เข้าถึงจะเสร็จสมบูรณ์

วิธีลดความเสี่ยงจากการฉ้อโกงตัวตน

สร้างขั้นตอนการยืนยันที่เข้มแข็ง

คำขอใด ๆ ที่เกี่ยวข้องกับเงิน การเข้าถึงบัญชี หรือข้อมูลตัวตน ควรมีขั้นตอนยืนยันที่แยกจากช่องทางคำขอเดิม หากอีเมลขอให้เปลี่ยนข้อมูลธนาคาร ควรยืนยันทางโทรศัพท์หรือผ่านพอร์ทัลที่รู้จัก ไม่ใช่ตอบกลับในเธรดอีเมลเดิม

จำกัดการเข้าถึงข้อมูลสำคัญ

ยิ่งมีคนเห็น ส่งออก หรือแก้ไขบันทึกตัวตนน้อยเท่าไร ความเสี่ยงจากการใช้งานในทางที่ผิดก็ยิ่งต่ำลง ใช้สิทธิ์ตามบทบาทงาน การทบทวนสิทธิ์เข้าถึงเป็นระยะ และการบันทึกกิจกรรมสำหรับการกระทำที่อ่อนไหว ควรให้สิทธิ์ตามหน้าที่งาน ไม่ใช่ตามความสะดวก

ฝึกอบรมพนักงานให้ช้าลงก่อนตัดสินใจ

การฉ้อโกงสำเร็จเมื่อทีมงานรีบทำโดยไม่ตรวจสอบรายละเอียด การฝึกอบรมควรสอนให้เจ้าหน้าที่ตั้งคำถามกับความเร่งด่วน รู้จักเทคนิคการแอบอ้าง และหยุดชั่วคราวเมื่อคำขอดูผิดปกติ พนักงานด่านหน้า ทีมการเงิน และเจ้าหน้าที่ฝ่ายทรัพยากรบุคคลมีความสำคัญเป็นพิเศษ เพราะพวกเขาจัดการคำขอที่มีความเสี่ยงสูงที่สุด

ปกป้องกระบวนการรับเข้าทำงานและข้อมูลลูกค้า

ข้อมูลตัวตนที่เก็บระหว่างการรับเข้าทำงาน การจัดหาเงินทุน และการสนับสนุนควรถูกเข้ารหัส จัดเก็บอย่างปลอดภัย และเก็บไว้เฉพาะเท่าที่จำเป็น บันทึกกระดาษควรถูกล็อก ทำลายเมื่อไม่จำเป็นต้องใช้แล้ว และเก็บให้พ้นจากพื้นที่ทำงานที่เปิดโล่ง

เสริมความแข็งแกร่งให้การควบคุมดิจิทัล

ใช้การยืนยันตัวตนหลายขั้นตอน นโยบายรหัสผ่านที่ปลอดภัย การติดตามเซสชัน และการแจ้งเตือนอุปกรณ์เพื่อลดความเสี่ยงการยึดครองบัญชี ตรวจสอบความผิดปกติในการเข้าสู่ระบบ การเปลี่ยนแปลง IP และความพยายามรีเซ็ตรหัสผ่านซ้ำ ๆ หากระบบของคุณรองรับ ควรกำหนดให้มีการยืนยันเพิ่มเติมสำหรับการเปลี่ยนแปลงบัญชีธนาคารและการโอนมูลค่าสูง

ติดตามการชำระเงินและการเปลี่ยนแปลงข้อมูลผู้ขาย

กระบวนการชำระเงินควรมีรายงานข้อยกเว้นและกฎการอนุมัติสำหรับการเปลี่ยนแปลงรายละเอียดธนาคาร ผู้รับชำระเงิน หรือเส้นทางของใบแจ้งหนี้ หากผู้ขายอัปเดตบัญชีธนาคารของตน ควรยืนยันคำขอผ่านผู้ติดต่อที่รู้จักอีกช่องทางหนึ่งก่อนปล่อยการชำระเงินครั้งถัดไป

รักษาเส้นทางการตรวจสอบที่ชัดเจน

เส้นทางการตรวจสอบที่ดีช่วยได้ทั้งการป้องกันและการสืบสวน บันทึกว่าใครเปลี่ยนอะไร เปลี่ยนเมื่อไร คำขอมาจากที่ใด และมีการยืนยันอย่างไร หากเกิดการฉ้อโกง บันทึกที่ละเอียดจะช่วยรื้อฟื้นลำดับเหตุการณ์และจำกัดความเสียหายได้

ทบทวนความเสี่ยงของบุคคลที่สาม

การฉ้อโกงตัวตนมักไหลผ่านผู้ขาย ผู้ให้บริการเงินเดือน ธนาคาร และเครื่องมือซอฟต์แวร์ ทบทวนว่าพันธมิตรเหล่านั้นถือครองข้อมูลอะไร ยืนยันคำขออย่างไร และมีการควบคุมใดเพื่อปกป้องการเปลี่ยนแปลงบัญชี พันธมิตรที่อ่อนแออาจกลายเป็นช่องทางที่ง่ายที่สุดในการเข้าถึงธุรกิจของคุณ

ต้องทำอย่างไรเมื่อเกิดการฉ้อโกง

ความรวดเร็วมีความสำคัญ เป้าหมายคือหยุดการสูญเสียเพิ่มเติม เก็บรักษาพยานหลักฐาน และควบคุมผลกระทบ

เริ่มจากระงับบัญชี การชำระเงิน หรือกระบวนการที่ได้รับผลกระทบ หากสามารถทำได้อย่างปลอดภัย จากนั้นเก็บรักษาบันทึก อีเมล เอกสาร และการอนุมัติที่เกี่ยวข้องกับเหตุการณ์ แจ้งธนาคารหรือผู้ให้บริการชำระเงินทันทีหากมีการโอนเงินหรือมีการเปลี่ยนปลายทางการชำระเงิน

ถัดไป ให้ฝ่ายกฎหมาย ผู้นำภายใน และหน่วยงานกำกับดูแลหรือเจ้าหน้าที่บังคับใช้กฎหมายที่จำเป็นเข้ามาเกี่ยวข้อง หากข้อมูลลูกค้าหรือพนักงานรั่วไหล ให้พิจารณาว่ามีภาระหน้าที่ในการแจ้งเตือนหรือไม่ สุดท้าย ให้ทบทวนสาเหตุรากเหง้าเพื่อไม่ให้ช่องโหว่เดิมเกิดขึ้นอีก

ควรมีแผนตอบสนองเขียนไว้ล่วงหน้าก่อนเกิดเหตุ เมื่อทุกคนรู้แล้วว่าจะต้องโทรหาใครและต้องปิดอะไร ธุรกิจก็มีโอกาสสูญเสียเวลาน้อยลงในชั่วโมงสำคัญแรกเริ่ม

เหตุใดการจัดตั้งธุรกิจและการเก็บบันทึกจึงสำคัญ

การป้องกันการฉ้อโกงตัวตนไม่ใช่แค่ประเด็นด้านความปลอดภัยทางไซเบอร์เท่านั้น แต่ยังเป็นประเด็นด้านธรรมาภิบาลด้วย ธุรกิจที่มีเอกสารการจัดตั้งที่เรียบร้อย มีเอกสารแสดงกรรมสิทธิ์ที่ชัดเจน และมีการควบคุมภายในที่สม่ำเสมอ จะอยู่ในตำแหน่งที่ดีกว่าในการยืนยันอำนาจเมื่อมีคำขอเข้ามา

นั่นเป็นเหตุผลหนึ่งที่ผู้ก่อตั้งควรมองการตั้งธุรกิจและการปฏิบัติตามข้อกำหนดเป็นส่วนหนึ่งของการบริหารความเสี่ยงตั้งแต่เริ่มต้น บันทึกนิติบุคคลที่เป็นระเบียบ แยกบัญชีธนาคารธุรกิจออกจากส่วนตัว และมีขั้นตอนอนุมัติที่เป็นเอกสารช่วยลดความสับสนและทำให้การฉ้อโกงปกปิดได้ยากขึ้น สำหรับผู้ประกอบการรายใหม่ พันธมิตรด้านการจัดตั้งอย่าง Zenind สามารถช่วยวางโครงสร้างธุรกิจให้ถูกต้องตั้งแต่ต้น เพื่อให้การควบคุมด้านการบริหารมีรากฐานที่มั่นคง

สรุป

กลโกงการฉ้อโกงตัวตนสร้างความสูญเสียให้ธุรกิจนับพันล้าน เพราะมันอาศัยช่องว่างระหว่างความไว้วางใจกับการยืนยันตัวตน อาชญากรไม่ได้จำเป็นต้องใช้เครื่องมือขั้นสูงเสมอไป พวกเขามักต้องการเพียงกระบวนการที่อ่อนแอ การอนุมัติที่เร่งรีบ หรือสมาชิกทีมที่ไม่มีเวลาตรวจสอบซ้ำ

ธุรกิจที่ลดการเข้าถึง ยืนยันการเปลี่ยนแปลงนอกช่องทางเดิม ฝึกอบรมพนักงาน และเก็บเส้นทางการตรวจสอบที่แข็งแรง จะตกเป็นเป้าหมายได้ยากกว่ามาก บริษัทที่ให้ความสำคัญกับการปกป้องตัวตนไม่ได้กำลังปกป้องแค่ลูกค้าหรือพนักงานเท่านั้น แต่กำลังปกป้องรายได้ ชื่อเสียง และเสถียรภาพระยะยาวของธุรกิจด้วย