14 deskundige tips voor B2B-betaalveiligheid die u deze maand kunt toepassen
Zonder beveiliging van online betalingen zou je kunnen bijdragen aan een nucleairewapenprogramma. Denk je dat dat absurd is? Denk nog eens na. Als je ooit bent opgelicht door cybercriminaliteit, is de kans groot dat het gestolen geld in Noord-Korea is beland.
Maar de alledaagse risico’s voor groeiende bedrijven zijn saaier: cybercriminelen zijn uit op geld. Soms stelen ze geheimen die ze in geld kunnen omzetten: intellectueel eigendom, kredietscores of creditcardgegevens. Of persen ze bedrijven af voor losgeld.
Ik beschrijf de snelste, eenvoudigste en beste manieren om het grootste cyberrisico in het bedrijfsleven aan te pakken: online betalingen verrichten. Ik begin met technologische strategieën en ga daarna verder met betalingen.
Create a Free Account to Read More
You'll also get access to a growing community of modern CFOs and finance executives accessing proven frameworks, tools, and insights to navigate AI-driven finance.
Have an account? Log In
Beveiligingstechnologie - de moeite waard?
Als je googelt op “beveiliging van online betalingen”, vind je meestal top-10-lijsten die sterk lijken op het algemene beveiligingsadvies van de afgelopen 20 jaar: moeilijke wachtwoorden, meervoudige authenticatie (MFA), versleuteling, antivirus (AV), firewalls en dergelijke.
Deze lijsten komen voort uit een filosofie van verdedigbaarheid en het vermijden van schuld. Wie kan voor elk systeem dat hij gebruikt lange, ingewikkelde en volledig unieke wachtwoorden onthouden? Hoewel dit je technisch gezien zou beschermen, stelt het de beveiligingsadviseur vooral in staat om met grote zekerheid te zeggen: “Ik zei het toch!”, omdat zijn advies niet is opgevolgd.
Bovendien zijn firewalls, meervoudige authenticatie en AV ook niet meer wat ze 15 jaar geleden waren. Tegenwoordig zeggen de hippe jongens dat een sterke technologische verdediging wordt aangestuurd door XDR en bestaat uit een met WebAuthN gefedereerde cloud met een AI SIEM. Of iets in die trant; dat verandert tegen 2026, dat beloof ik.
Wat is er mis met een technologische checklist?
Ze raken te snel verouderd. Tegenwoordig is alles voorzien van versleuteling, de gratis en standaard aanwezige AV is net zo goed als of beter dan commerciële aanbiedingen, traditionele MFA is eenvoudig te omzeilen en een identiteit zonder vertrouwen heeft de behoefte aan firewalls grotendeels vervangen.
Drie beveiligingsprincipes die blijven werken
Er zijn drie principes die de tand des tijds hebben doorstaan en dat zullen blijven doen bij het beveiligen van technologie: delegeren, processen en meten.
1. Delegeren
Bedrijven over de hele wereld realiseren zich dat de veiligste, meest veerkrachtige en goedkoopste IT-strategie is om minder IT te doen. Overstappen op software als dienst (SaaS)-platforms is de populairste manier – hiermee elimineer je vrijwel alle technologie. Gebruik een uitbestede IT-dienstverlener om beveiligingsmaatregelen te beheren voor alles wat je niet kunt elimineren.
2. Proces
Je grootste kracht en zwakte zijn mensen. Het identificeren, stroomlijnen en beveiligen van risicovolle activiteiten is meestal de eenvoudigste en effectiefste manier om de algehele beveiliging te verbeteren. Het helpt techneuten ook om de prioriteiten op orde te houden: het beschermen van je ERP is veel belangrijker dan de app voor grafisch ontwerp.
3. Meten
Hoe zorg je ervoor dat je gedelegeerden je afdoende beschermen? Delegeer ook dit! Er zijn gratis en eenvoudige manieren om de beveiliging van online betalingen van een platform te meten, en deze blijven allemaal actueel. Dit kost meestal 20 minuten googelen: absoluut de moeite waard voor belangrijke producten.
- Zoek naar een geschiedenis van beveiligingsinbreuken en datalekken bij het bedrijf van de aanbieder.
- Zoek de aanbieder op bij een platform voor beveiligingsbeoordelingen. SecurityScorecard en RiskRecon hebben een gratis abonnement.
- Controleer of er een programma voor bugpremies is; dat is een goed teken. Bugcrowd, Synack en Hackerone zijn veelgebruikte platforms.
Als je een grotere nauwkeurigheid nodig hebt, kunnen veel adviseurs op het gebied van technologische beveiliging tegen een redelijk tarief een diepgaandere beoordeling uitvoeren. Let op: meten is geen eenmalige activiteit. Naarmate bedrijven veranderen, kan ook hun beveiliging veranderen.
Betalingen
Leveranciers betalen is een onderhandeling: sommige methoden bevoordelen jou, andere hen. De meeste van deze overwegingen hebben niets met beveiliging te maken: betalen per cheque en vasthouden aan NET30-betalingsvoorwaarden geeft je betere controle over de cashflow. Het gemak van creditcards brengt aanzienlijke kosten voor je leverancier met zich mee. Dit zijn belangrijke factoren waar uitgebreid over is geschreven.
Vandaag leg ik uit hoe die beveiligingsopties voor online betalingen je frauderisico beïnvloeden. Ik rangschik de belangrijkste methoden voor online betalen op basis van het risico voor jou, leg uit waarom en stel de beste manieren voor om dat risico te verkleinen.
Creditcards
Risico: Laagste
Betalingen met creditcards zijn consequent de veiligste manier om voor zaken te betalen. Vrijwel alle uitgevers vergoeden fraude volledig – soms tot een jaar later en zonder vragen te stellen. Nog beter: omdat die bedrijven daar belang bij hebben, investeren ze aanzienlijk in fraudedetectie namens hun klanten. De kwaliteit hiervan kan per instelling verschillen, maar is vaak beter dan wat je zelf kunt kopen.
Kaartgegevens worden vaak gestolen, hetzij door een verkooppuntsysteem aan te passen (zogenaamde skimapparaten), hetzij door alles te stelen uit een centraal systeem voor betalingsverwerking. Deze diefstal neemt elk jaar af, omdat de Raad voor beveiligingsstandaarden van de betaalkaartenindustrie de druk opvoert op iedereen die creditcards verwerkt.
Het nadeel zijn de kosten voor je leveranciers: de meeste kaartverwerkers brengen 2.7% per transactie in rekening, waarbij volumeverwerking kortingen kan opleveren tot slechts 1.5%. Deze vergoeding financiert voornamelijk fraudedekking en kaartbeloningen.
Bescherming
Gebruik zakelijke kaarten
Zorg ervoor dat zakelijke betalingen worden uitgevoerd met creditcards die juridisch aan het bedrijf zijn gekoppeld, en niet aan eigenaren en werknemers. Het scheiden van persoonlijke en zakelijke financiën maakt niet alleen de boekhouding eenvoudiger, maar beschermt ook de financiële gezondheid van eigenaren en werknemers als er iets misgaat met het bedrijf.
Extra voordeel: het gebruik van kaarten bouwt ook krediet op voor bedrijven, waardoor de beschikbare voorwaarden en rentetarieven voor leningen aanzienlijk verbeteren. Terwijl persoonlijk krediet aan SSN's is gekoppeld, wordt zakelijk krediet geregistreerd op basis van EIN. De belangrijkste kredietbureaus in de VS zijn Dun & Bradstreet, Creditsafe, Experian Business en Equifax Business.
Virtuele kaarten
Wat als je met één klik op een knop zoveel creditcards kunt aanmaken als je wilt? Dat zou je een ongekend gedetailleerde controle over fraude geven: elke leverancier zou een kaart kunnen krijgen en je zou de limiet van elke kaart kunnen vergrendelen op een verwacht bedrag. Wanneer je diensten beëindigt, zou je kunnen stoppen met betalen zonder ervan afhankelijk te zijn dat de leverancier stopt met incasseren.
Steeds meer fintechbedrijven en banken bieden dit precies aan. Vanuit een webportaal kun je een (virtueel) onbeperkt aantal kaarten aanmaken, beheren en verwijderen. Ze worden allemaal ten laste gebracht van een gezamenlijke rekening, waardoor je centraal inzicht in de uitgaven krijgt. De marktleider op dit gebied is Ramp, die heeft geïnvesteerd in een aangepast regelsysteem dat uitgebreide controle mogelijk maakt.
De grootste bron van creditcardfraude is gestolen kaartinformatie. Er bestaat een uitgebreide toeleveringsketen van fraudeurs die kaartgegevens stelen, anderen die deze kopen en duplicaatkaarten maken, en geldezels die deze duplicaten gebruiken voor frauduleuze afschrijvingen. De meesten van ons hebben dit meegemaakt en het is een hoofdpijn: de kaart moet worden geannuleerd, er moet een nieuwe worden opgestuurd en elke dienst die deze kaart gebruikt, moet worden bijgewerkt.
Met virtuele kaarten wordt dit eenvoudig. Onverwachte betalingen vallen meer op en het wijzigen van betalingsgegevens is slechts bij één leverancier nodig. Je weet precies welke leverancier de fraude mogelijk heeft gemaakt: de ongeautoriseerde afschrijvingen worden gedaan met hun speciale kaart.
Betalingsnetwerken
Risico: Laag
Een betalingsnetwerk is een register van bedrijven met gecontroleerde betalingsgegevens. In plaats van betalingsgegevens handmatig uit te wisselen, selecteer je je leverancier uit de lijst, stel je het bedrag in en wordt de betaling automatisch overgemaakt. Vaak worden dergelijke netwerken onderhouden door grote banken en geïntegreerd als onderdeel van een beheerde crediteurenservice. Er zijn enkele openbaar beschikbare netwerken, zoals Bottomline Paymode-X in de VS en EFTsure in Australië. Als je een door een bank geleverde crediteurenservice gebruikt, controleer dan of deze leveranciersverificatie biedt. Sommige banken sturen blindelings cheques naar elk adres dat je opgeeft, dus het spreekt voor zich dat ze niet beschermen tegen fraude.
Fintechbedrijven die zich op kleine ondernemingen richten, ontwikkelen deze netwerken ook snel en experts in mijn netwerk verwachten de komende jaren een aanzienlijke groei op dit gebied.
Consistent gebruik van een betalingsnetwerk vermindert fraude aanzienlijk (dit is ook een belangrijk voordeel van mobiele betaalapps). Een van de grootste bronnen van B2B-fraude zijn onderschepte betalingen tussen legitieme bedrijven, meestal doordat deze bedrijven worden misleid om onjuiste betaalgegevens te gebruiken. Betalingsnetwerken elimineren deze foutbron: ze zorgen ervoor dat betaalgegevens correct zijn en werken eraan om te voorkomen dat fraudeurs zich bij het platform aansluiten.
Zelden zullen al je leveranciers op één netwerk zitten, dus deze techniek kan niet op zichzelf staan.
ACH
Risico: Laag-gemiddeld
Transacties via het geautomatiseerde verrekenhuis (meestal ACH genoemd, ook wel automatische incasso genoemd) hebben het laagste fraudecijfer in vergelijking met andere commerciële online betaalmethoden. Het merendeel van deze transacties bestaat echter uit geautomatiseerde overboekingen tussen grote bedrijven met onafhankelijke en geavanceerde fraudebestrijding. Het risico voor hen is niet hetzelfde als het risico voor een kleiner bedrijf. Betalen via ACH is nog steeds redelijk veilig, vooral als je leverancier een speciaal betaalplatform met een zelfbedieningsportaal gebruikt.
ACH werkt via het systeem voor betaalrekeningen en wordt binnen 3-5 dagen verwerkt op basis van fraudindicatoren zoals het betalingsbedrag en eerdere activiteit. Net als het creditcardsysteem heeft het geen autorisatiemechanisme: als iemand een rekeningnummer kent, kan die persoon een afschrijving op die rekening plaatsen. Hoewel de creditcardsector probeert kaartnummers geheim te houden, bestaat die mogelijkheid niet voor bankrekeningnummers: deze zijn beschikbaar voor iedereen die een van je cheques ziet of je ACH-betaalgegevens bekijkt.
Daarnaast is er weinig fraudedekking voor bedrijven. Banken zijn alleen verplicht om geld binnen 24 uur na de transactie terug te halen.
De grootste bescherming tegen ACH-fraude is dat een financiële instelling met een goede reputatie de transactie moet initiëren. De voorschriften voor het kennen van je klant (KYC), het tegengaan van witwassen (AML) en andere bankvoorschriften van de FFIEC in de VS leggen banken strenge eisen op om klanten en transacties te controleren op verdachte activiteiten. Hoewel regelgeving altijd achterloopt op criminaliteit, hebben banken een sterke stimulans om te voorkomen dat criminelen hun diensten gebruiken.
Bescherming
Deze methoden werken zowel voor ACH als voor cheques.
Rekeningen en meldingen segmenteren
Het aanmaken van meerdere rekeningen voor verschillende doeleinden kan tegen lage kosten uitstekende bescherming bieden. Het aanmaken van een speciale rekening voor debiteuren, treasury en crediteuren kan je blootstelling aan fraude beperken. Debiteurenrekeningen moeten regelmatig worden overgeboekt naar de treasuryrekening, en middelen voor verwachte afschrijvingen worden vanuit de treasuryrekening naar crediteurenrekeningen overgeboekt. Stel voor alle rekeningen meldingen in voor onverwachte situaties, zoals lage saldi.
Op deze manier kennen buitenstaanders alleen rekeningen met beperkte middelen, waardoor fraudepogingen minder schadelijk zullen zijn als ze slagen. Verschillende banken bieden uiteenlopende niveaus van automatisering voor deze strategie en veel banken bieden dit als een gebundelde dienst aan grotere klanten aan, meestal onder de naam Kasbeheer.
Geldige leveranciers (alleen ACH)
Bij sommige banken kunnen zakelijke betaalrekeningen zo worden ingesteld dat ACH-afschrijvingen worden beperkt tot een geautoriseerde lijst met rekeningen. Dit kan de mogelijkheid van frauduleuze ACH-transacties elimineren, maar vereist enig onderhoud en kan lastig zijn bij het oplossen van problemen.
Vermijd ACH en cheques voor leveranciers die betalingen handmatig verwerken
Omdat je risico op ACH- en chequefraude rechtstreeks samenhangt met het aantal mensen dat je cheques ziet, kun je dit risico beperken door ze alleen te gebruiken bij geautomatiseerde, zelfbedieningsbetaalverwerkers.
Zoek voor ACH naar een webportaal waarop je inlogt en je betaalmethode invoert. Vaak kun je zien of een dergelijk platform door een leverancier wordt aangeboden: Quickbooks, Stripe en Paypal zijn populaire keuzes. Zelf ontwikkelde oplossingen worden minder waarschijnlijk automatisch verwerkt en vormen daardoor een hoger risico.
Bij cheques gaat het om een lockboxfaciliteit die debiteuren voor veel bedrijven automatisch verwerkt. Je kunt nagaan of een adres een lockboxfaciliteit is door het op een kaart op te zoeken. Als het adres van je bank of een bekende lockboxverwerker is, is dat wat je zoekt.
Schrijf je eigen cheques niet uit
Een aanzienlijk deel van cheque- en ACH-fraude ontstaat door de eenvoudige diefstal van cheques uit je uitgaande post.
Je kunt dit voorkomen door een betaaldienst te gebruiken die namens jou cheques afdrukt en verstuurt. Dit wordt vaak gebundeld met een betalingsnetwerk. Veel banken bieden dit aan met verschillende niveaus van automatisering. Dergelijke cheques worden in een centrale faciliteit afgedrukt, waardoor diefstal moeilijk is.
Stap over naar een andere bank
Als je vermoedt dat je bank niet heeft geïnvesteerd in bescherming tegen cheque- of ACH-fraude, stap dan gewoon over. Hoewel er op dit gebied geen onafhankelijke en objectieve ranglijsten van banken bestaan en je waarschijnlijk niet voldoende onderhandelingsmacht hebt om ze te auditen, zijn er enkele principes:
- Groter is vaak beter. Grotere instellingen kunnen het zich vaak veroorloven om meer uit te geven aan online fraudepreventie.
- Deskundigheid is vaak beter. Een geschiedenis van fraude, wanbeheer of eenvoudige desorganisatie is een slecht teken.
- Nieuwere instellingen zijn vaak beter. Het management van banken is vaak conservatief als het gaat om veranderingen, waaronder opkomende manieren om fraude tegen te gaan voor hun klanten.
Cheques
Risico: Gemiddeld
Volgens het jaarlijkse rapport van de AFP is chequefraude de meest voorkomende bron van fraude bij B2B-betalingen. Net als ACH bieden cheques een periode van 24 uur om een transactie te betwisten. Bovendien zijn cheques gemakkelijk af te drukken als het rekeningnummer bekend is. Iedereen die je cheques ziet, is een nieuwe mogelijkheid om chequefraude of ACH-fraude te proberen (bovendien bieden online betalingen weinig voordelen op het gebied van betaalbeveiliging wanneer je niet, je weet wel, online betaalt).
Banken kunnen de meeste chequefraude detecteren, maar niet alle banken investeren hier evenveel in. Daarom maakt de kwaliteit van je bank een enorm verschil voor dit risico.
Bescherming
(zie bovenstaande technieken onder ACH)
Eigen betalingssystemen
Risico: Hoog
Zelle, Cash App, Venmo, PayPal en bankoverschrijvingen zijn geliefde middelen voor criminelen, met weinig betaalbeveiliging voor online betalingen. Transacties zijn direct en onomkeerbaar. Deze platforms staan niet onder toezicht en bieden geen consumentenbescherming, waardoor ze weinig stimulans hebben om fraude te detecteren en te voorkomen.
Deze platforms kunnen het best door consumenten en voor kleine bedragen worden gebruikt – bijvoorbeeld om iemand terug te betalen voor het diner of de tiener die je gazon heeft gemaaid.
Bescherming
Wees voorzichtig
Als een leverancier via een van deze platforms moet worden betaald, wees dan voorzichtig. Controleer de betaalgegevens dubbel en gebruik ze alleen voor transacties die je je kunt veroorloven af te schrijven. Beveilig het platform zo goed mogelijk: als iemand binnendringt en wat geld naar zichzelf overmaakt, kan dat grote problemen veroorzaken.
Combineer met rekeningsegmentatie
Het financieren van deze betaalplatforms met daarvoor bestemde, beperkte rekeningen is een eenvoudige en effectieve manier om je blootstelling te beperken.
Debetkaarten
Risico: Slecht idee
Debetkaarten hebben alle nadelen van creditcards, de nadelen van cheques en geen van beide voordelen. Omdat een debetkaart binnen het creditcardecosysteem wordt gebruikt, worden kaartnummers vaak gestolen en voor fraude gebruikt. Debetkaarttransacties bieden echter geen fraudedekking: net als bij cheques moet je een frauduleuze transactie binnen 24 uur betwisten.
Erger nog: de hulpmiddelen en volwassenheid die banken hebben ontwikkeld om chequefraude te bestrijden, werken niet bij kaarttransacties, en banken die debetkaarten aanbieden investeren zelden in de fraudedetectie die gebruikelijk is bij creditcardmaatschappijen.
Bescherming
Zeg ze op
Debetkaarten zijn gevaarlijk en er is niets waarvoor je ze nodig hebt dat een creditcard niet beter kan. De extra beloningen zijn het niet waard.
Cryptovaluta
Risico: Bizar
Dit is het tegenovergestelde van online betaalbeveiliging.
Naar mijn mening zijn de enige bedrijven die in cryptovaluta betaald moeten worden criminele bendes. Cryptovaluta hebben alle nadelen van eigen betaalplatforms (direct, geen fraudepreventie, geen wettelijke stimulansen) en zijn bovendien kwetsbaarder voor technische aanvallen, marktmanipulatie en een cultuur van fraude binnen hun instellingen. Ze lenen zich voor witwassen en diefstal.
Bescherming
Doe het niet
Tenzij je een criminele bende bent.
Blijf slim, blijf beschermd
Hoewel online betalingsfraude voor de meeste bedrijven de grootste cyberdreiging vormt, kan het aanpakken ervan snel, eenvoudig en effectief zijn. Door technologie verstandig uit te besteden en vast te houden aan veiligere online betaalmethoden, elimineer je een groot deel van dat risico.
Het meeste resterende AP-risico is ook eenvoudig te vermijden. Abonneer je om een melding te ontvangen van mijn volgende artikel, waarin ik bespreek hoe AP-strategie en -processen hackers en criminelen ook kunnen tegenhouden.
Gedachten, meningen of vragen? Neem contact met me op, neem hieronder deel aan het gesprek of doe mee via sociale media.
