Uten sikkerhet for nettbetalinger kan du bidra til et atomvåpenprogram. Tror du det er sprøtt? Tenk om igjen. Hvis du noen gang har blitt svindlet gjennom nettkriminalitet, er det stor sjanse for at de stjålne midlene havnet i Nord-Korea.
Men den daglige risikoen for virksomheter i vekst er kjedeligere: nettkriminelle er ute etter penger. Noen ganger stjeler de hemmeligheter som de kan gjøre om til penger: immaterielle rettigheter, kredittopplysninger eller kredittkortdetaljer. Eller holder de virksomheter som gisler mot løsepenger.
Jeg skal beskrive de raskeste, enkleste og beste måtene å håndtere den største cyberrisikoen i virksomheter på: å foreta nettbetalinger. Jeg begynner med teknologistrategier og går deretter videre til betalinger.
Teknologisk sikkerhet – verdt det?
Hvis du googler «sikkerhet ved nettbetalinger», finner du vanligvis topp 10-lister som i stor grad gjenspeiler de generelle sikkerhetsrådene fra de siste 20 årene: vanskelige passord, multifaktorautentisering (MFA), kryptering, antivirus (AV), brannmurer og lignende.
Disse listene springer ut fra en filosofi om forsvarbarhet og ansvarsfraskrivelse. Hvem kan huske lange, kompliserte og helt unike passord for hvert system de bruker? Selv om det teknisk sett ville beskytte deg, gjør det hovedsakelig at sikkerhetsrådgiveren kan si «Hva var det jeg sa!» med stor sikkerhet om at rådene deres ikke ble fulgt.
Brannmurer, multifaktorautentisering og AV er dessuten heller ikke det de var for 15 år siden. I dag sier de kule typene at et sterkt teknologisk forsvar er en XDR-drevet og WebAuthN-federert sky med en AI SIEM. Eller noe i den retningen; det vil endre seg innen 2026, det lover jeg.
Hva er galt med en teknologisjekkliste?
De blir raskt utdatert. Alt leveres med kryptering i dag, den gratis og innebygde AV-en er like god som eller bedre enn kommersielle tilbud, tradisjonell MFA omgås enkelt, og 0-tillitsidentitet har i stor grad erstattet behovet for brannmurer.
Tre sikkerhetsprinsipper som fortsatt vil fungere
Det finnes tre prinsipper som har bestått og fortsatt vil bestå tidens prøve når det gjelder å beskytte teknologi: delegering, prosess og måling.
1. Delegering
Virksomheter over hele verden har innsett at den sikreste, mest robuste og billigste IT-strategien er å gjøre mindre IT. Overgang til programvare-som-tjeneste-plattformer (SaaS) er den mest populære måten å gjøre dette på – det eliminerer nesten all teknologien. Bruk en ekstern IT-tjenesteleverandør til å håndtere sikkerhetstiltak for alt du ikke kan kvitte deg med.
2. Prosess
Din største styrke og svakhet er mennesker. Å identifisere, effektivisere og beskytte risikofylte aktiviteter er vanligvis den enkleste og mest effektive måten å forbedre den generelle sikkerheten på. Det bidrar også til å holde prioriteringene riktige for teknologifolk: Det er mye viktigere å beskytte ERP-systemet ditt enn grafisk design-appen.
3. Måling
Hvordan sørger du for at delegatene dine beskytter deg tilstrekkelig? Deleger dette også! Det finnes gratis og enkle måter å måle sikkerheten ved nettbetalinger på en plattform, og alle vil forbli oppdaterte. Dette tar vanligvis 20 minutter med googling: Det er definitivt verdt det for viktige produkter.
- Søk etter en historikk over sikkerhetsbrudd og datainnbrudd hos leverandørens virksomhet.
- Slå dem opp på en plattform for sikkerhetsvurdering. SecurityScorecard og RiskRecon har et gratis nivå.
- Se etter et program for belønning av sikkerhetsfeil; dette er et godt tegn. Bugcrowd, Synack og Hackerone er vanlige plattformer.
Hvis du trenger større nøyaktighet, kan mange rådgivere innen teknologisikkerhet utføre en grundigere vurdering mot et rimelig gebyr. Vær oppmerksom på at måling ikke er en engangsaktivitet. Når virksomheter endrer seg, kan også sikkerheten deres gjøre det.
Have an account? Log In
Betalinger
Å betale leverandører er en forhandling: noen metoder gagner deg, mens andre gagner dem. De fleste av disse vurderingene er ikke sikkerhetsrelaterte: å betale med sjekk og insistere på NET30-betingelser gir deg bedre kontroll over kontantstrømmen. Bekvemmeligheten ved kredittkort medfører en betydelig kostnad for leverandøren din. Dette er viktige faktorer og godt diskutert.
I dag forklarer jeg hvordan disse sikkerhetsalternativene for nettbetaling påvirker risikoen din for svindel. Jeg rangerer de viktigste nettbaserte betalingsmetodene etter hvilken risiko de utgjør for deg, forklarer hvorfor og foreslår de beste måtene å redusere denne risikoen på.
Kredittkort
Risiko: Lavest
Kredittkortbetalinger er konsekvent den sikreste måten å betale for ting på. Nesten alle utstedere dekker svindel fullstendig – noen ganger opptil ett år senere og uten å stille spørsmål. Enda bedre er det at disse selskapene, fordi de har dette insentivet, investerer betydelig i svindeloppdagelse på vegne av kundene sine. Kvaliteten kan variere mellom institusjoner, men er ofte bedre enn noe du kan kjøpe.
Kortopplysninger blir ofte stjålet, enten gjennom manipulering av et salgsstedssystem (kalt skimmere) eller ved å stjele alt fra et sentralt system for betalingsbehandling. Dette tyveriet avtar hvert år etter hvert som Sikkerhetsstandardrådet for betalingskortbransjen strammer inn kravene overfor alle som behandler kredittkort.
Ulempen er kostnaden for leverandørene dine: De fleste kortbehandlere tar et gebyr på 2.7% fra hver transaksjon, mens behandling av store volumer kan gi rabatter helt ned til 1.5%. Dette gebyret finansierer hovedsakelig svindeldekning og kortfordeler.
Beskyttelse
Bruk firmakort
Sørg for at betalinger for virksomheten skjer med kredittkort som juridisk er knyttet til virksomheten, og ikke til eiere og ansatte. Å skille privatøkonomi og virksomhetens økonomi gjør ikke bare regnskapet enklere, men beskytter også eiernes og de ansattes økonomiske helse dersom noe går galt med virksomheten.
Bonus: Bruk av kort bygger også opp kreditt for virksomheter, noe som forbedrer vilkårene og rentene som er tilgjengelige for lån betydelig. Mens personlig kreditt er knyttet til SSNs, registreres virksomhetskreditt mot EIN. De største kredittopplysningsbyråene i USA er Dun & Bradstreet, Creditsafe, Experian Business og Equifax Business.
Virtuelle kort
Hva om du kunne opprette så mange kredittkort du ville, med ett klikk? Det ville gitt deg utrolig detaljert kontroll over svindel: hver leverandør kunne fått et kort, og du kunne låst grensen på hvert kort til et forventet beløp. Når du avslutter tjenester, kunne du slutte å betale dem uten å være avhengig av at de slutter å belaste deg.
Et økende antall fintech-selskaper og banker tilbyr nettopp dette. Fra en nettportal kan du opprette, administrere og fjerne et nærmest ubegrenset antall kort. Alle belastes mot en felles konto, slik at du får en samlet oversikt over forbruket. Den ledende aktøren på dette området er Ramp, som har investert i en spesialutviklet regelmotor som gir omfattende kontroll.
Den største kilden til kredittkortsvindel er stjålne kortopplysninger. Det finnes en omfattende forsyningskjede av svindlere som stjeler kortdata, andre som kjøper opplysningene og produserer duplikatkort, samt pengemuldyr som bruker disse duplikatene til falske belastninger. De fleste av oss har opplevd dette, og det er et bryderi: Kortet må sperres, et nytt må sendes i posten, og hver tjeneste som bruker kortet må oppdateres.
Med virtuelle kort blir dette enkelt. Uventede betalinger blir mer åpenbare, og det er bare nødvendig å endre betalingsopplysningene hos én enkelt leverandør. Du vet nøyaktig hvilken leverandør som muliggjorde svindelen: De uautoriserte belastningene går til leverandørens dedikerte kort.
Betalingsnettverk
Risiko: Lav
Et betalingsnettverk er et register over selskaper med verifisert betalingsinformasjon. I stedet for å utveksle betalingsopplysninger manuelt velger du leverandøren din fra listen, angir beløpet, og betalingen overføres automatisk. Slike nettverk vedlikeholdes ofte av store banker og integreres som en del av en administrert tjeneste for leverandørreskontro. Det finnes noen offentlig tilgjengelige nettverk, som Bottomline Paymode-X i USA og EFTsure i Australia. Hvis du bruker en banktilbudt tjeneste for leverandørreskontro, må du sørge for at den tilbyr leverandørverifisering. Noen banker sender blindt sjekker til hvilken som helst adresse du oppgir, så de beskytter naturligvis ikke mot svindel.
Fintech-selskaper rettet mot små virksomheter utvikler også raskt slike nettverk, og eksperter i nettverket mitt forventer å se betydelig vekst på dette området i løpet av de neste årene.
Konsekvent bruk av et betalingsnettverk reduserer svindel betydelig (dette er også en viktig fordel med mobile betalingsapper). En av de største kildene til B2B-svindel er betalinger mellom legitime virksomheter som blir avlyttet, vanligvis ved å lure dem til å bruke feil betalingsinformasjon. Betalingsnettverk eliminerer denne feilkilden: De sørger for at betalingsopplysningene er korrekte, og arbeider for å hindre uvedkommende i å bli med på plattformen.
Sjelden vil alle leverandørene dine være på et nettverk, så denne metoden kan ikke stå alene.
ACH
Risiko: Lav–middels
Transaksjoner gjennom automatiserte avregningshus (vanligvis ACH, også kalt direkte innskudd) har den laveste svindelraten sammenlignet med andre kommersielle betalingsmetoder på nett. De fleste av disse transaksjonene er imidlertid automatiserte overføringer mellom store selskaper med uavhengig og sofistikert svindelkontroll. Risikoen for dem er ikke den samme som risikoen for et mindre selskap. Det er fortsatt ganske trygt å betale gjennom ACH, særlig hvis leverandøren din bruker en dedikert betalingsplattform med en selvbetjent betalingsportal.
ACH fungerer gjennom sjekksystemet og avregnes på 3–5 dager basert på svindelindikatorer som betalingsbeløp og tidligere aktivitet. I likhet med kredittkortsystmet har det ingen autorisasjonsmekanisme: Kunnskap om et kontonummer gjør det mulig å belaste kontoen. Mens kredittkortbransjen prøver å holde kortnumrene hemmelige, er det ikke mulig å gjøre det samme med bankkontonumre: De er tilgjengelige for alle som ser en av sjekkene dine eller ser betalingsopplysningene dine for ACH.
I tillegg finnes det lite svindeldekning for virksomheter. Banker er bare forpliktet til å tilbakeføre penger innen 24 timer etter transaksjonen.
Den viktigste beskyttelsen mot ACH-svindel er at transaksjonen må initieres av en finansinstitusjon med god status. I USA stiller reglene om kjenn kunden din (KYC), tiltak mot hvitvasking (AML) og andre bankregler fra FFIEC strenge krav til banker om å kontrollere kunder og transaksjoner for mistenkelig aktivitet. Selv om regelverket alltid ligger ett skritt etter kriminaliteten, har banker sterke insentiver til å hindre kriminelle i å bruke tjenestene deres.
Beskyttelse
Disse metodene fungerer både for ACH og sjekker.
Del opp kontoer og varsler
Det kan gi utmerket beskyttelse til lave kostnader å opprette flere kontoer for ulike formål. Ved å opprette en egen konto for kundefordringer, likviditetsforvaltning og leverandørgjeld kan du begrense eksponeringen din for svindel. Kundefordringskontoer bør tømmes jevnlig over i likviditetsforvaltningskontoen, og midler til forventede belastninger flyttes fra likviditetsforvaltningskontoen til kontoer for leverandørgjeld. Konfigurer varsler for alle kontoer ved uventede situasjoner, som lave saldoer.
På denne måten kjenner utenforstående bare til kontoer med begrensede midler, slik at svindelforsøk ikke blir like skadelige selv om de lykkes. Ulike banker tilbyr varierende grad av automatisering for denne strategien, og mange tilbyr den som en pakketjeneste for større kunder, vanligvis kalt likviditetsstyring.
Godkjente leverandører (kun ACH)
Noen banker lar bedriftskontoer begrense ACH-belastninger til en autorisert liste over kontoer. Dette kan eliminere muligheten for falske ACH-transaksjoner, men krever noe vedlikehold og kan være vanskelig å feilsøke.
Unngå ACH og sjekker for leverandører som behandler betalinger manuelt
Ettersom risikoen for ACH- og sjekksvindel er direkte knyttet til hvor mange personer som ser sjekkene dine, kan du redusere den ved å bare bruke dem hos automatiserte, selvbetjente betalingsformidlere.
For ACH bør du se etter en nettportal der du logger inn og angir betalingsmåten din. Ofte kan du se om en slik plattform leveres av en leverandør: Quickbooks, Stripe og Paypal er populære valg. Egenutviklede løsninger blir sjeldnere behandlet automatisk, og innebærer derfor høyere risiko.
For sjekker er dette en løsning med innbetalingsboks som automatisk behandler kundefordringer for mange virksomheter. Du kan finne ut om en adresse tilhører en slik løsning ved å søke den opp på et kart. Hvis den tilhører banken din eller en kjent leverandør av innbetalingsbokstjenester, er det det du bør se etter.
Ikke skriv ut egne sjekker
En betydelig del av sjekk- og ACH-svindelen skyldes ganske enkelt tyveri av sjekker fra posten du sender ut.
Du kan unngå dette ved å bruke en betalingstjeneste til å skrive ut og sende sjekker på dine vegne. Dette leveres ofte sammen med et betalingsnettverk. Mange banker tilbyr dette med varierende grad av automatisering. Slike sjekker skrives ut på et sentralt anlegg, og tyveri er vanskelig.
Bytt bank
Hvis du mistenker at banken din ikke har investert i beskyttelse mot sjekk- eller ACH-svindel, bør du ganske enkelt bytte bank. Selv om det ikke finnes uavhengige og objektive rangeringer av banker på dette området, og du sannsynligvis ikke har tilstrekkelig innflytelse til å kontrollere dem, finnes det noen prinsipper:
- Større er ofte bedre. Større institusjoner har ofte råd til å bruke mer på forebygging av nettbasert svindel.
- Kompetanse er ofte bedre. En historikk med svindel, feilforvaltning eller enkel uorganisering er et dårlig tegn.
- Nyere er ofte bedre. Bankledelsen er ofte konservativ når det gjelder endringer, inkludert nye måter å bekjempe svindel mot kundene sine på.
Sjekker
Risiko: Middels
Svindel med sjekker er den vanligste kilden til svindel ved B2B-betalinger, ifølge AFP:s årlige rapport. I likhet med ACH gir sjekker et 24-timersvindu til å bestride en transaksjon. I tillegg er sjekker enkle å skrive ut hvis kontonummeret er kjent. Alle som ser sjekkene dine, er en ny mulighet til å forsøke seg på sjekk- eller ACH-svindel (og dessuten er det få sikkerhetsfordeler ved nettbetaling når du ikke, du vet, betaler på nettet).
Bankene kan oppdage det meste av sjekksvindelen, men ikke alle investerer like mye, så kvaliteten på banken din har stor betydning for denne risikoen.
Beskyttelse
(se teknikkene ovenfor under ACH)
Proprietære betalingssystemer
Risiko: Høy
Zelle, Cash App, Venmo, PayPal og bankoverføringer er foretrukne mekanismer for kriminalitet, med liten sikkerhet ved nettbetaling. Transaksjonene er umiddelbare og irreversible. Disse plattformene har ingen regulatorisk kontroll eller forbrukerbeskyttelse, så de har få insentiver til å oppdage og forhindre svindel.
Disse plattformene brukes best av forbrukere og til små beløp – for å betale tilbake noen for middagen eller tenåringen som klippet plenen din.
Beskyttelse
Vær forsiktig
Hvis en leverandør må betales gjennom en av disse, bør du være forsiktig. Dobbeltsjekk betalingsopplysningene, og bruk dem bare til transaksjoner du har råd til å avskrive. Sikre plattformen så godt du kan: Hvis noen sniker seg inn og sender penger til seg selv, kan det bli ille.
Kombiner med kontosegmentering
Å finansiere disse betalingsplattformene med dedikerte, begrensede kontoer er en enkel og effektiv måte å begrense eksponeringen din på.
Debetkort
Risiko: Dårlig idé
Debetkort har alle ulempene ved kredittkort, ulempene ved sjekker og fordelene ved ingen av delene. Fordi et debetkort brukes i kredittkortsystemet, blir kortnumrene ofte stjålet og brukt til svindel. Debetkorttransaksjoner har imidlertid ingen svindeldekning: I likhet med sjekker må du bestride en uredelig transaksjon innen 24 timer.
Enda verre er det at verktøyene og modenheten bankene har utviklet for å bekjempe sjekksvindel, ikke fungerer på korttransaksjoner, og banker som tilbyr debetkort, investerer sjelden i den svindeloppdagelsen som er vanlig hos kredittkortselskaper.
Beskyttelse
More Articles
Avslutt dem
Debetkort er farlige, og det finnes ingen bruk for dem som et kredittkort ikke kan håndtere bedre. De ekstra belønningene er ikke verdt det.
Kryptovaluta
Risiko: Vanvittig
Dette er det motsatte av sikkerhet ved nettbetaling.
Etter min mening er de eneste virksomhetene som trenger å få betalt i kryptovaluta, kriminelle nettverk. Kryptovaluta har alle ulempene ved proprietære betalingsplattformer (umiddelbare transaksjoner, ingen svindelforebygging, ingen regulatoriske insentiver) og er mer sårbar for tekniske angrep, markedsmanipulasjon og en kultur preget av svindel i sine institusjoner. Den legger til rette for hvitvasking av penger og tyveri.
Beskyttelse
Ikke gjør det
Med mindre du er en kriminell liga.
Vær smart, vær beskyttet
Selv om betalingssvindel på nettet er den største cybertrusselen mot de fleste virksomheter, kan det å håndtere den gå raskt, enkelt og effektivt. Ved å sette ut teknologitjenester på en fornuftig måte og holde seg til tryggere betalingsmetoder på nettet eliminerer du mye av denne risikoen.
Det meste av den gjenværende AP-risikoen kan også enkelt unngås. Abonner for å få beskjed om neste del, der jeg diskuterer hvordan AP-strategi og -prosesser også kan stoppe hackere og kriminelle.
Tanker, meninger eller spørsmål? Send meg en melding, bli med i samtalen nedenfor, eller delta på sosiale medier.
