Seu estabelecimento comercial passou pela verificação KYB. Um troco bancário fraudulento ainda pode impedir o próximo pagamento.

“Nossa equipe financeira mudou de banco. Por favor, utilize os dados bancários em anexo para o acerto de contas de amanhã.”

O e-mail chega em uma conversa familiar. O vendedor é real. Seu original KYB As verificações foram aprovadas. Nada disso prova que a nova instrução bancária veio de alguém autorizado a emiti-la.

Imagine um invasor que assumiu o controle da caixa de correio de um comerciante. Ele não precisa criar uma empresa falsa. Ele precisa que sua equipe de operações altere um dos destinatários antes que o próximo pagamento seja processado.

Considere a mudança como uma nova decisão.

Mantenha a aprovação comercial original separada da permissão para alterar os detalhes do pagamento. Seu registro de integração responde a perguntas sobre a empresa e seus funcionários naquele momento. Uma alteração de pagamento requer uma decisão atual sobre o solicitante, sua autoridade e o destino proposto.

O FBI O Centro de Reclamações sobre Crimes na Internet dos EUA (abre num novo separador) descreve o comprometimento de e-mail comercial como uma fraude que envolve solicitações de transferência e recomenda a verificação secundária de alterações nas informações da conta. Endereços de e-mail conhecidos e anexos convincentes não são suficientes para aprovação.

Anote as alterações que precisam ser revisadas. Inclua dados bancários, nomes dos beneficiários, moedas de liquidação e os canais de contato utilizados para confirmar instruções futuras.

Verifique por meio de um canal que a solicitação não criou.

Utilize os dados de contato já cadastrados antes da solicitação de alteração. Não ligue para o número que consta na nova carta de instruções e considere essa ligação como uma confirmação independente.

O FBI As orientações da empresa sobre pedidos de alteração de pagamento (abre num novo separador) recomendam especificamente o uso de números previamente conhecidos em vez de números fornecidos no e-mail.

Se o comerciante disser que todos os seus contatos de confiança estão indisponíveis, siga o procedimento de exceção documentado. Isso pode levar mais tempo. A urgência não torna um canal alternativo confiável.

Um portal de comerciantes seguro pode melhorar o processo, mas uma sessão autenticada por si só não comprova que a pessoa tem autoridade para alterar pagamentos. A apropriação indevida de contas e permissões excessivas para funcionários continuam sendo relevantes.

Faça três perguntas separadas.

Primeiro, quem está solicitando a alteração? Utilize evidências relacionadas ao representante comercial estabelecido, com provas adicionais quando a solicitação for arriscada.

Em segundo lugar, essa pessoa pode aprovar esta ação? Alguém autorizado a carregar faturas pode não estar autorizado a substituir instruções de pagamento. Verifique o mandato do comerciante e o processo de aprovação acordado. Confirme a delegação, quando aplicável.

Em terceiro lugar, verifique o que comprova a origem dos fundos? Quando disponível e apropriado, obtenha comprovante de titularidade da conta bancária ou de nomeação por meio do seu parceiro de pagamento. Investigue quaisquer inconsistências e acordos de liquidação com terceiros, conforme previsto em sua apólice.

Uma pessoa real pode solicitar uma alteração não autorizada. Uma conta com nome correto ainda pode ser inconsistente com o acordo firmado com o comerciante. Mantenha as evidências separadas para que o analista possa ver qual questão permanece sem resposta.

Impeça que o pagamento ultrapasse a revisão.

Armazene a alteração proposta sem substituir imediatamente o destino ativo. Mostre o status, o solicitante, as evidências e o aprovador.

Seu sistema de pagamento deve verificar qual versão de destino aprovada se aplica ao executar um pagamento. Defina o que acontece se uma revisão for iniciada após o pagamento ser enfileirado. Caso contrário, um operador poderá aprovar ou rejeitar uma alteração enquanto a tarefa utiliza um registro desatualizado ou não aprovado.

Para casos de maior risco, sua política pode exigir um revisor autorizado adicional ou uma suspensão temporária. Defina como o comerciante será notificado e como solicitações urgentes legítimas serão tratadas. Aplique restrições de forma proporcional e consistente.

Não permita que o mesmo funcionário altere silenciosamente o destino e apague o histórico da avaliação.

Teste com exceções genuínas

Uma empresa pode legitimamente alterar seu nome legal, trocar de banco ou usar um sistema de pagamento autorizado. Uma comparação rígida de nomes pode prejudicar um comerciante legítimo.

Crie um processo de revisão para esses casos. Registre por que as evidências apoiam o acordo, quem o aceitou e se uma revisão posterior é necessária. Um recurso bem-sucedido deve servir de base para melhorias no processo.

Teste um e-mail comprometido, um funcionário não autorizado, detalhes de retorno de chamada alterados, um pagamento simultâneo e uma verificação de propriedade incompleta. Seu teste deve verificar o destino de pagamento realmente usado, e não apenas se um revisor clicou em "aprovar".

O que Toden contribui

Toden A verificação de empresas auxilia na análise da empresa e das pessoas por trás dela. Esses registros podem embasar a análise, e verificações de identidade direcionadas podem ajudar a identificar quem está fazendo uma solicitação confidencial.

Eles, por si só, não verificam a titularidade de todas as contas bancárias nem autorizam alterações de pagamento. Seu parceiro de pagamento e seu aplicativo devem fornecer e garantir o cumprimento dessas obrigações.

Leia o nosso guia para autoridades de candidatura sobre os fundamentos de integração. Depois, fale com Toden Sobre a etapa de verificação de pessoa no seu processo de alteração de estabelecimento comercial.