Глава 76: Двойная верификация и документирование: правила, спасающие деньги

За долгие годы юридической практики мне приходилось сталкиваться с владельцами бизнеса в самые тяжелые моменты их жизни. Я видел директоров хайтек-компаний, столкнувшихся с тем, что значительные средства исчезали из-за одного нажатия кнопки, и владельцев малого бизнеса, чувствовавших, что дело всей их жизни оказалось под угрозой из-за одного письма, пришедшего в неудачный момент. Если есть один урок, который проходит красной нитью через многие дела, так это то, что в быстром цифровом мире, в котором мы живем, «эффективность» иногда становится врагом финансовой безопасности.

Многих сотрудников учат быть быстрыми, отвечать на письма за считанные минуты, закрывать вопросы и платить поставщикам, чтобы работа не останавливалась. Но именно в этой гонке, в культе «быстро и сейчас», иногда находится лазейка, которую ищут мошенники. Они не всегда ищут брешь в антивирусном программном обеспечении; они ищут момент, когда бухгалтерия предпочтет короткий путь установленной процедуре. Эта глава посвящена тормозам этого поезда — двойной верификации и документированию — простым правилам, которые являются разделительной чертой между бизнесом и тяжелым финансовым ущербом.

Следующий сценарий является учебным примером, основанным на распространенных схемах мошенничества. Персонажи и события приведены исключительно в иллюстративных целях.

Случай компании «Техно-Глоб»: когда тишина — самый большой предупреждающий знак

Это было обычное утро вторника в офисе «Техно-Глоб», семейной компании по импорту электронных компонентов. Михаль, многолетний главный бухгалтер компании, считалась опорой организации. Она знала многих поставщиков, сроки платежей и реквизиты банковских счетов. Генеральный директор Рами часто говорил, что Михаль — это организационная память компании.

В 10:30, когда Михаль работала над текущими задачами, в ее входящие пришло письмо от основного поставщика компании, фирмы «Evergreen Components». Письмо выглядело совершенно обычным: узнаваемый логотип, строка темы с номером последнего заказа и даже вежливый стиль письма Чанга, их постоянного контактного лица.

«Дорогая Михаль, — говорилось в письме, — в продолжение последнего заказа, доставленного на этой неделе, сообщаю, что в связи с ежегодным аудитом мы сменили банковский счет, предназначенный для получения платежей в долларах. Пожалуйста, обновите в своей системе новые реквизиты (приложен официальный подписанный документ) для ближайшего платежа на сумму 380 000 долларов. Спасибо за сотрудничество, Чанг».

Михаль взглянула на приложенный документ. Он выглядел официально, с печатью банка и копией подтверждения управления счетом. Она вошла в ERP-систему компании, обновила данные бенефициара и отправила платеж на утверждение Рами. Рами увидел уведомление в своем телефоне. «Это для Evergreen?» — спросил он себя. «Да, сумма соответствует заказу, который мы получили вчера». Он подтвердил перевод в банковском приложении.

Десять дней прошли спокойно. На 11-й день телефон на столе Михаль зазвонил. Это был настоящий Чанг. «Михаль, все в порядке? Мы не получили оплату за крупный заказ, а нам нужно отправить следующую партию».

Кровь отхлынула от лица Михаль. «Но я отправила деньги на прошлой неделе на новый счет в Сингапуре, как ты просил в письме».

«Какой новый счет в Сингапуре?» — спросил Чанг дрожащим голосом. — «Я никогда не отправлял такое письмо. Мы работаем с одним и тем же банком уже много лет».

В этот момент выяснился масштаб ошибки. Быстрая проверка показала, что письмо, которое получила Михаль, было отправлено с адреса, почти идентичного оригиналу, за исключением одной маленькой буквы: вместо chang@evergreen-comp.com письмо пришло с chang@evergreen-conp.com. Буква «m» превратилась в «n». Разрыв в миллиметр на экране обошелся компании в огромную сумму.

В этом сценарии атмосфера в компании была тяжелой. Михаль чувствовала удар по доверию, а Рами понял, что компания находится в опасности из-за пострадавшего денежного потока. На профессиональный вопрос «Как это случилось?» ответ обычно прост: технология была использована во зло, а человеческий фактор пропустил этап, на котором необходимо убедиться, что цифровая реальность данных соответствует реальности человеческой.

Непроходимая стена: что такое двойная верификация (Out-of-Band Verification)?

В мире информационной безопасности термин «двойная верификация» или «внеканальная верификация» (Out-of-Band — OOB) считается критически важным инструментом. Идея, лежащая в его основе, проста: нельзя полагаться только на один канал связи для осуществления действий, несущих значительный финансовый или операционный риск.

Если получено распоряжение об изменении банковских реквизитов по электронной почте — электронная почта является первым каналом связи. Чтобы подтвердить это распоряжение, можно использовать другой канал связи, такой, который не был скомпрометирован тем же возможным взломом, что привел к получению поддельного письма. Этим каналом может быть телефонный звонок по известному номеру контактного лица или личная встреча.

Почему это критично? Потому что в мошенничествах типа BEC (Business Email Compromise) злоумышленники могут получить доступ к почтовому ящику поставщика или сотрудника. В таком случае диалог внутри того же канала (почты) может вестись с враждебной стороной. Только обращение за пределы загрязненного цифрового пространства — в физический мир голосовых звонков — может помочь в раскрытии мошенничества.

Три возможных столпа двойной верификации:

1. Разделение каналов: Если информация поступила по почте, рекомендуется провести верификацию по телефону. Если информация поступила в WhatsApp, стоит провести верификацию через голосовой или видеозвонок.
2. Проверка личности подтверждающего: При телефонном звонке рекомендуется не звонить по номеру, указанному в подписи полученного письма. Можно использовать номер, указанный в постоянных контактах, на официальном сайте компании или в исходном договоре.
3. Документирование процедуры верификации: Рекомендуется записывать, кто проводил проверку, с кем, в какое время и что было сказано в разговоре. Эта запись может послужить весомым доказательством в случае будущего разбирательства.

Юридический аспект: обязанность проявлять осторожность и ответственность бизнеса

В судебных делах, касающихся этой темы, центральным вопросом может стать то, кто проявил халатность, допустившую возникновение ущерба. Здесь рассматриваются отношения между бизнесом, банком и третьей стороной.

В Государстве Израиль Закон о платежных услугах 2019 года регулирует часть ответственности в случае неутвержденных платежных операций. Тем не менее, когда речь идет о бизнесе, самостоятельно подтвердившем перевод (даже на основании ложных данных), правовая ситуация требует глубокого изучения. Общий юридический анализ показывает, что суды склонны рассматривать «обязанность проявлять осторожность» плательщика.

Когда бизнес получает уведомление об изменении банковского счета поставщика, может возникнуть обязанность проверить информацию. Если бизнес меняет реквизиты получателя и переводит значительную сумму без проведения процедуры верификации, против него может быть выдвинут аргумент о «смешанной вине» (халатности со стороны самого бизнеса).

С другой стороны, можно рассмотреть и обязанность проявлять осторожность, возложенную на банк. Существует юридическая возможность утверждать, что банки — это не просто «труба» для перевода денег. Если речь идет об очень необычной операции, может возникнуть ожидание, что банк проведет дополнительную проверку. Тем не менее, шансы на успех этого аргумента зависят от обстоятельств и договоров с банком, которые иногда включают пункты об освобождении от ответственности, когда операция была проведена согласно распоряжению клиента.

Документирование, упомянутое ранее, имеет огромное значение. При анализе юридических возможностей, бизнес, доказавший, что он выполнил разумную процедуру проверки, может улучшить свою позицию, утверждая, что не проявил халатности и что ответственность должна быть распределена между другими сторонами.

Создание протокола «двойной верификации» в организации: практическое руководство

В ходе профессиональной работы возникла необходимость внедрения «процедуры изменения данных получателя» как части организационной культуры. Это управленческий инструмент, определяющий действия, необходимые при каждом изменении платежных реквизитов.

Этап 1: Предварительная проверка

Как только приходит электронное письмо с просьбой об изменении банковских реквизитов, необычным запросом на оплату или обновлением данных контактного лица, рекомендуется приостановить операцию до завершения полной верификации.

Этап 2: Установление физического контакта

Можно дать указание бухгалтеру установить телефонную связь с известным контактным лицом у поставщика и провести четкую верификацию новых данных и точного имени получателя.

Этап 3: Перекрестная проверка

В ходе разговора можно задать вопросы, ответы на которые должна знать только другая сторона, чтобы убедиться, что речь не идет о выдаче себя за другого лица по телефону.

Этап 4: Надзор и контроль

Можно установить, что обновление банковских данных в системе будет выполняться одним человеком, а утверждение обновления — другим сотрудником, с фиксацией факта проведения документированной телефонной верификации.

Этап 5: Пробный перевод

В случаях сделок на крупные суммы можно рассмотреть перевод небольшой суммы и получение подтверждения от поставщика о том, что деньги дошли до адресата, и только после этого переводить остаток.

Важность документирования: доказательное значение

С профессиональной точки зрения операцию, которая не была задокументирована, может быть сложно доказать в будущем. Надлежащее документирование может послужить инструментом защиты перед страховыми компаниями или при обвинениях в халатности.

Возможные элементы для документирования:

• Документирование первоначального запроса: Сохранение письма, содержащего просьбу об изменении.
• Журнал звонков: Запись обращения по официальному номеру поставщика.
• Внутренняя записка: Краткое резюме содержания разговора о верификации и личности подтверждающего лица со стороны поставщика.
• Двойное подтверждение в системе: Доказательство внутреннего контроля над изменением данных получателя.

Эта документация может помочь доказать, что бизнес действовал как «разумный и благоразумный владелец бизнеса», и тем самым снизить юридические риски.

Предупреждающие знаки (Red Flags), требующие двойной верификации

Существуют случаи, когда риск мошенничества может быть выше. В таких ситуациях рекомендуется проявлять повышенную осторожность:

1. Внезапное изменение банковских реквизитов.
2. Дефицит времени и необычно срочные запросы.
3. Просьба сохранить операцию в секрете.
4. Незначительные изменения в адресе электронной почты или адресе сайта, с которого пришло сообщение.
5. Просьба о переводе средств в страну, отличную от места нахождения поставщика.

Возможные действия в случае подозрения на мошеннический перевод

Если возникло подозрение, что средства были отправлены на ошибочный счет, существуют действия, которые можно предпринять в срочном порядке:

1. Обращение в банк-отправитель: Изучение возможности отмены или приостановки перевода.
2. Обращение в банк-получатель: Отчет о подозрении на мошенничество с целью попытки замораживания средств.
3. Отчет властям: Подача жалобы и получение соответствующего подтверждения для продолжения процедур.
4. Юридическая консультация: Изучение возможностей получения судебных приказов об аресте или замораживании средств.
5. Проверка страхового покрытия: Изучение соответствующих полисов на случай кибер- или финансовых мошенничеств.

Заключение: безопасность находится в зоне человеческой ответственности

Технологические системы защиты важны, но во многих случаях самой значительной защитой бизнеса является организационная культура и рабочие процедуры.

В возможном сценарии финал случая мошенничества может быть сложным. Не всегда можно вернуть все средства, но с помощью юридического анализа можно рассмотреть возможности частичного возврата или мировых соглашений в случаях, когда была доказана ответственность других факторов. Важный урок заключается в том, что простые инструменты, такие как телефонное подтверждение и надлежащее документирование, могут предотвратить тяжелый ущерб.

Вероятность защиты средств бизнеса зависит от обстоятельств и соблюдения правил осторожности. Двойная верификация и документирование — это значимые инструменты в защите экономической стабильности бизнеса.

Юридический аспект — дополнительные акценты:

Важно помнить, что при юридическом рассмотрении может изучаться степень внедрения внутренних контролей в бизнесе. В общем анализе юридических возможностей «закрывание глаз» на предупреждающие знаки может повлиять на возможность получения компенсации от третьих сторон. Ответственность за осторожное поведение лежит на бизнесе. Поэтому можно рассматривать хранение записей о процедурах верификации как юридическую необходимость, обосновывающую аргументы бизнеса в случае ущерба.