Bez bezpieczeństwa płatności internetowych możesz przyczyniać się do rozwoju programu broni nuklearnej. Wydaje ci się to szalone? Pomyśl jeszcze raz. Jeśli kiedykolwiek padłeś ofiarą cyberprzestępstwa, istnieje duża szansa, że skradzione środki trafiły do Korei Północnej.
Jednak codzienne zagrożenia dla rozwijających się firm są bardziej przyziemne: cyberprzestępcy polują na pieniądze. Czasami kradną sekrety, które mogą zamienić na pieniądze: własność intelektualną, oceny zdolności kredytowej lub dane kart kredytowych. Albo biorą firmy jako zakładników dla okupu.
Opiszę najszybsze, najłatwiejsze i najlepsze sposoby rozwiązania największego cyberzagrożenia w biznesie: dokonywania płatności internetowych. Zacznę od strategii technologicznych, a następnie przejdę do płatności.
Technologie bezpieczeństwa — czy warto?
Jeśli wyszukasz w Google „bezpieczeństwo płatności internetowych”, zwykle znajdziesz listy 10 najważniejszych kwestii, które są bardzo podobne do ogólnych porad dotyczących bezpieczeństwa z ostatnich 20 lat: trudne hasła, uwierzytelnianie wieloskładnikowe (MFA), szyfrowanie, program antywirusowy (AV), zapory sieciowe i tym podobne.
Listy te wynikają z filozofii nastawionej na możliwość obrony i unikanie winy. Kto jest w stanie zapamiętać długie, skomplikowane i całkowicie unikalne hasła do każdego używanego systemu? Choć z technicznego punktu widzenia zapewniłoby to ochronę, w większości przypadków pozwala doradcy ds. bezpieczeństwa z dużą pewnością powiedzieć: „A nie mówiłem!”, gdy jego zalecenia nie zostały zastosowane.
Co więcej, zapory sieciowe, uwierzytelnianie wieloskładnikowe i programy antywirusowe również nie są już takie jak 15 lat temu. Dziś modni specjaliści twierdzą, że silna obrona technologiczna opiera się na XDR, federacyjnej chmurze WebAuthN i SIEM z AI. Albo czymś w tym rodzaju; do 2026 na pewno się to zmieni.
Co jest nie tak z listą kontrolną technologii?
Zbyt szybko się dezaktualizują. Obecnie wszystko jest szyfrowane, bezpłatny i domyślnie dostępny program antywirusowy jest równie dobry lub lepszy niż rozwiązania komercyjne, tradycyjne MFA można łatwo obejść, a tożsamość oparta na zasadzie zerowego zaufania w dużej mierze wyeliminowała potrzebę stosowania zapór sieciowych.
Trzy zasady bezpieczeństwa, które nadal będą działać
Istnieją trzy zasady, które sprawdziły się w czasie i nadal będą się sprawdzać w ochronie technologii: delegowanie, proces i pomiar.
1. Delegowanie
Firmy na całym świecie zdają sobie sprawę, że najbezpieczniejszą, najbardziej odporną i najtańszą strategią IT jest ograniczenie własnych działań IT. Najpopularniejszym sposobem jest przejście na platformy typu oprogramowanie jako usługa (SaaS) — eliminuje to niemal całą technologię. Skorzystaj z usług zewnętrznego dostawcy IT, aby zarządzał środkami bezpieczeństwa w obszarach, których nie możesz wyeliminować.
2. Proces
Największą siłą i słabością są ludzie. Identyfikowanie, usprawnianie i ochrona ryzykownych działań to zazwyczaj najłatwiejszy i najskuteczniejszy sposób na poprawę ogólnego poziomu bezpieczeństwa. Pomaga to również właściwie ustalać priorytety specjalistom technicznym: ochrona systemu ERP jest znacznie ważniejsza niż ochrona aplikacji do projektowania graficznego.
3. Pomiar
Jak upewnić się, że osoby, którym delegujesz zadania, odpowiednio cię chronią? Deleguj również to! Istnieją bezpłatne i łatwe sposoby pomiaru bezpieczeństwa płatności internetowych na platformie, a wszystkie pozostają aktualne. Zwykle zajmuje to 20 minut wyszukiwania w Google: zdecydowanie warto poświęcić ten czas na ważne produkty.
- Poszukaj informacji o historii naruszeń bezpieczeństwa i wycieków danych w firmie dostawcy.
- Sprawdź dostawcę na platformie oceny bezpieczeństwa. SecurityScorecard i RiskRecon oferują bezpłatny poziom usług.
- Sprawdź, czy istnieje program nagród za wykrywanie błędów; to dobry znak. Bugcrowd, Synack i Hackerone to popularne platformy.
Jeśli potrzebujesz większej dokładności, wielu doradców ds. bezpieczeństwa technologicznego może przeprowadzić bardziej szczegółową ocenę za rozsądną opłatą. Pamiętaj: pomiar nie jest działaniem wykonywanym jednorazowo. Gdy firmy się zmieniają, ich poziom bezpieczeństwa również może się zmieniać.
Have an account? Log In
Płatności
Płacenie dostawcom to negocjacje: niektóre metody są korzystniejsze dla Ciebie, a inne dla nich. Większość tych kwestii nie jest związana z bezpieczeństwem: płacenie czekiem i naleganie na warunki NET30 zapewnia Ci lepszą kontrolę nad przepływami pieniężnymi. Wygoda kart kredytowych wiąże się dla Twojego dostawcy z istotnym kosztem. Są to ważne czynniki, które zostały szeroko omówione.
Dziś wyjaśnię, jak te opcje bezpieczeństwa płatności internetowych wpływają na ryzyko oszustwa. Uszereguję główne metody płatności internetowych według ryzyka dla Ciebie, wyjaśnię dlaczego oraz zaproponuję najlepsze sposoby na jego ograniczenie.
Karty kredytowe
Ryzyko: Najniższe
Płatności kartą kredytową są niezmiennie najbezpieczniejszym sposobem płacenia za towary i usługi. Niemal wszyscy wydawcy kart całkowicie pokrywają straty wynikające z oszustw – czasem nawet do roku później, bez zadawania pytań. Co więcej, ponieważ firmy te mają ku temu motywację, znacznie inwestują w wykrywanie oszustw w imieniu swoich klientów. Jakość tych rozwiązań może różnić się w zależności od instytucji, ale często przewyższają one wszystko, co można kupić.
Dane kart są często kradzione — albo poprzez modyfikację systemu sprzedaży (zwaną skimmingiem), albo poprzez kradzież wszystkich danych z centralnego systemu przetwarzania płatności. Kradzieże te stają się z roku na rok coraz rzadsze, ponieważ Rada ds. Standardów Bezpieczeństwa Branży Kart Płatniczych wywiera coraz większą presję na wszystkich, którzy przetwarzają płatności kartami kredytowymi.
Minusem jest koszt ponoszony przez Twoich dostawców: większość operatorów płatności kartą pobiera opłatę w wysokości 2.7% od każdej transakcji, a przy przetwarzaniu dużych wolumenów oferuje zniżki obniżające ją nawet do 1.5%. Opłata ta finansuje głównie ochronę przed oszustwami i nagrody za korzystanie z kart.
Ochrona
Korzystaj z kart firmowych
Upewnij się, że płatności firmowe są dokonywane za pomocą kart kredytowych prawnie powiązanych z firmą, a nie z właścicielami i pracownikami. Oddzielenie finansów osobistych od firmowych nie tylko ułatwia księgowość, lecz także chroni kondycję finansową właścicieli i pracowników, jeśli z firmą wydarzy się coś złego.
Premia: korzystanie z kart buduje również historię kredytową firm, znacznie poprawiając dostępne warunki i oprocentowanie kredytów. Podczas gdy kredyt osobisty jest powiązany z numerami SSN, kredyt firmowy jest indeksowany za pomocą EIN. Główne agencje informacji kredytowej w USA to Dun & Bradstreet, Creditsafe, Experian Business oraz Equifax Business.
Karty wirtualne
A co, gdyby można było tworzyć dowolną liczbę kart kredytowych jednym kliknięciem? Zapewniłoby to niezwykłą szczegółowość kontroli oszustw: każdy dostawca mógłby otrzymać własną kartę, a Ty mógłbyś ustawić jej limit na oczekiwaną kwotę. Gdy zakończysz korzystanie z usług, możesz przestać za nie płacić, bez konieczności polegania na dostawcy, że przestanie Cię obciążać.
Coraz więcej firm z sektora technologii finansowych i banków oferuje dokładnie takie rozwiązanie. Za pośrednictwem portalu internetowego można tworzyć, zarządzać i usuwać praktycznie nieograniczoną liczbę kart. Wszystkie obciążają wspólne konto, zapewniając centralny obraz wydatków. Liderem w tej dziedzinie jest firma Ramp, która zainwestowała w niestandardowy silnik reguł umożliwiający szeroki zakres kontroli.
Największym źródłem oszustw związanych z kartami kredytowymi są skradzione informacje o kartach. Istnieje rozbudowany łańcuch dostaw oszustów: jedni kradną dane kart, inni je kupują i wytwarzają duplikaty kart, a tak zwani mułowie finansowi używają tych duplikatów do dokonywania oszukańczych obciążeń. Większość z nas tego doświadczyła i jest to uciążliwe: kartę trzeba anulować, wysłać nową, a następnie zaktualizować dane we wszystkich usługach korzystających z tej karty.
W przypadku kart wirtualnych staje się to banalnie proste. Nieoczekiwane płatności są bardziej widoczne, a zmiana danych płatniczych jest konieczna tylko u jednego dostawcy. Dokładnie wiesz, który dostawca umożliwił oszustwo: nieautoryzowane obciążenia są przypisane do przeznaczonej dla niego karty.
Sieci płatnicze
Ryzyko: Niskie
Sieć płatnicza to rejestr firm ze zweryfikowanymi informacjami dotyczącymi płatności. Zamiast ręcznie wymieniać dane płatnicze, wybierasz dostawcę z listy, ustalasz kwotę, a płatność jest automatycznie przekazywana. Często takie sieci są utrzymywane przez duże banki i zintegrowane jako część zarządzanej usługi zobowiązań (AP). Istnieją również publicznie dostępne sieci, takie jak Bottomline Paymode-X w USA i EFTsure w Australii. Jeśli korzystasz z usługi AP oferowanej przez bank, upewnij się, że zapewnia ona weryfikację dostawców. Niektóre banki bezkrytycznie wysyłają czeki na dowolny wskazany przez Ciebie adres, więc nie trzeba dodawać, że nie chronią przed oszustwami.
Firmy z sektora technologii finansowych, kierujące swoją ofertę do małych przedsiębiorstw, również szybko rozwijają takie sieci, a eksperci z mojego otoczenia spodziewają się znacznego wzrostu w tym obszarze w ciągu kilku najbliższych lat.
Konsekwentne korzystanie z sieci płatności znacząco ogranicza oszustwa (jest to również kluczowa zaleta aplikacji do płatności mobilnych). Jednym z największych źródeł oszustw B2B są przechwycone płatności między legalnie działającymi firmami, zwykle na skutek nakłonienia ich do użycia nieprawidłowych danych płatniczych. Sieci płatności eliminują to źródło błędów: zapewniają poprawność danych płatniczych i pomagają zapobiegać dołączaniu do platformy osób podszywających się pod innych.
Rzadko zdarza się, aby wszyscy dostawcy byli w jednej sieci, dlatego ta technika nie może być stosowana samodzielnie.
ACH
Ryzyko: niskie–średnie
Transakcje za pośrednictwem automatycznej izby rozliczeniowej (zwykle określane skrótem ACH, nazywane również wpłatą bezpośrednią) charakteryzują się najniższym odsetkiem oszustw w porównaniu z innymi komercyjnymi metodami płatności online. Jednak większość tych transakcji stanowią automatyczne przelewy między dużymi firmami, które mają niezależne i zaawansowane mechanizmy kontroli oszustw. Ryzyko dla nich nie jest takie samo jak ryzyko dla mniejszej firmy. Płatności za pośrednictwem ACH są nadal dość bezpieczne, zwłaszcza jeśli dostawca korzysta z dedykowanej platformy płatniczej z portalem płatniczym samoobsługowym.
ACH działa za pośrednictwem systemu rachunków bieżących, a rozliczenie trwa od 3 do 5 dni, zależnie od wskaźników oszustwa, takich jak kwota płatności i wcześniejsza aktywność. Podobnie jak system kart kredytowych, nie ma mechanizmu autoryzacji: znajomość numeru rachunku pozwala obciążyć ten rachunek. Branża kart kredytowych stara się utrzymywać numery kart w tajemnicy, ale w przypadku numerów rachunków bankowych nie ma na to szans: są one dostępne dla każdego, kto zobaczy jeden z Twoich czeków lub sprawdzi dane płatności ACH.
Ponadto firmy mają niewielką ochronę przed oszustwami. Banki są zobowiązane do odzyskania pieniędzy jedynie w ciągu 24 godzin od transakcji.
Największą ochronę przed oszustwami ACH zapewnia fakt, że transakcję musi zainicjować instytucja finansowa o dobrej reputacji. W Stanach Zjednoczonych przepisy dotyczące poznania klienta (KYC), przeciwdziałania praniu pieniędzy (AML) oraz inne regulacje bankowe FFIEC nakładają na banki rygorystyczne wymogi dotyczące weryfikacji klientów i transakcji pod kątem podejrzanej aktywności. Chociaż regulacje zawsze pozostają o krok za przestępczością, banki mają silną motywację, aby uniemożliwiać przestępcom korzystanie ze swoich usług.
Ochrona
Te metody sprawdzają się zarówno w przypadku ACH, jak i czeków.
Podział rachunków i alerty
Utworzenie wielu rachunków do różnych celów może zapewnić doskonałą ochronę przy niskim koszcie. Utworzenie dedykowanych rachunków należności, rachunku skarbowego i rachunków zobowiązań może ograniczyć narażenie na oszustwa. Rachunki należności należy często opróżniać, przelewając środki na rachunek skarbowy, a środki na spodziewane obciążenia przenosić z rachunku skarbowego na rachunki zobowiązań. Skonfiguruj alerty dla wszystkich rachunków na wypadek nieoczekiwanych sytuacji, takich jak niskie saldo.
Dzięki temu osoby z zewnątrz znają tylko rachunki z ograniczonymi środkami, więc próby oszustwa nie będą tak szkodliwe, nawet jeśli się powiedzie. Poszczególne banki oferują różny poziom automatyzacji tej strategii, a wiele z nich udostępnia ją jako pakietową usługę dla większych klientów, zwykle nazywaną zarządzaniem skarbcem.
Zatwierdzeni dostawcy (tylko ACH)
Niektóre banki pozwalają ograniczyć obciążenia ACH na firmowych rachunkach bieżących do autoryzowanej listy rachunków. Może to wyeliminować możliwość oszukańczych transakcji ACH, ale wymaga pewnej obsługi i może utrudniać rozwiązywanie problemów.
Unikaj ACH i czeków w przypadku dostawców, którzy ręcznie przetwarzają płatności
Ponieważ ryzyko oszustw związanych z ACH i czekami jest bezpośrednio powiązane z liczbą osób, które widzą Twoje czeki, możesz je ograniczyć, używając tych metod wyłącznie w przypadku zautomatyzowanych, samoobsługowych operatorów płatności.
W przypadku ACH szukaj portalu internetowego, do którego się logujesz i w którym wprowadzasz metodę płatności. Często można rozpoznać, czy taka platforma jest udostępniana przez dostawcę: popularnymi rozwiązaniami są Quickbooks, Stripe i Paypal. Rozwiązania tworzone we własnym zakresie rzadziej są przetwarzane automatycznie, a zatem wiążą się z większym ryzykiem.
W przypadku czeków jest to skrytka pocztowa, która automatycznie przetwarza należności dla wielu firm. Możesz sprawdzić, czy dany adres jest skrytką pocztową, wyszukując go na mapie. Jeśli należy do Twojego banku lub znanego operatora skrytek pocztowych, właśnie tego potrzebujesz.
Nie wypisuj własnych czeków
Znaczna część oszustw związanych z czekami i ACH wynika z prostych kradzieży czeków z wysyłanej przez Ciebie korespondencji.
Możesz tego uniknąć, korzystając z usługi płatniczej, która w Twoim imieniu drukuje i wysyła czeki. Często jest ona oferowana w pakiecie z siecią płatności. Wiele banków zapewnia tę usługę z różnym poziomem automatyzacji. Takie czeki są drukowane w centralnym zakładzie, a ich kradzież jest trudna.
Zmień bank
Jeśli podejrzewasz, że Twój bank nie zainwestował w ochronę przed oszustwami związanymi z czekami lub ACH, po prostu go zmień. Chociaż w tej dziedzinie nie istnieją niezależne i obiektywne rankingi banków, a prawdopodobnie nie masz wystarczającej przewagi, aby je kontrolować, istnieje kilka zasad:
- Większe często znaczy lepsze. Większe instytucje często mogą sobie pozwolić na większe wydatki na zapobieganie oszustwom internetowym.
- Kompetencje często są ważniejsze. Historia oszustw, złe zarządzanie lub zwykła dezorganizacja to zły znak.
- Nowsze często znaczy lepsze. Zarządzający bankami często podchodzą konserwatywnie do zmian, w tym do nowych sposobów zwalczania oszustw dotyczących ich klientów.
Czeki
Ryzyko: Średnie
Według corocznego raportu AFP oszustwa związane z czekami są najczęstszym źródłem oszustw w płatnościach B2B. Podobnie jak ACH, czeki zapewniają 24-godzinne okno na zakwestionowanie transakcji. Co więcej, czeki można łatwo wydrukować, jeśli znany jest numer rachunku. Każda osoba, która widzi Twoje czeki, stwarza kolejną okazję do próby oszustwa z użyciem czeku lub ACH (a ponadto korzyści związane z bezpieczeństwem płatności internetowych są niewielkie, gdy nie dokonujesz płatności online).
Banki są w stanie wykryć większość oszustw związanych z czekami, ale nie wszystkie inwestują w to w równym stopniu, więc jakość Twojego banku ma ogromne znaczenie dla tego ryzyka.
Ochrona
(zobacz techniki opisane powyżej w sekcji dotyczącej ACH)
Autorskie systemy płatności
Ryzyko: Wysokie
Zelle, Cash App, Venmo, PayPal i przelewy bankowe są preferowanymi mechanizmami wykorzystywanymi do przestępstw i oferują niewielkie bezpieczeństwo płatności internetowych. Transakcje są natychmiastowe i nieodwracalne. Platformy te nie podlegają kontroli regulacyjnej ani ochronie konsumentów, więc mają niewielką motywację do wykrywania i zapobiegania oszustwom.
Platformy te najlepiej sprawdzają się w przypadku konsumentów i niewielkich kwot – na przykład przy oddawaniu komuś pieniędzy za kolację lub płaceniu nastolatkowi, który skosił trawnik.
Ochrona
Zachowaj ostrożność
Jeśli dostawcy trzeba zapłacić za pośrednictwem jednej z tych platform, zachowaj ostrożność. Dwukrotnie sprawdź dane płatności i używaj ich wyłącznie do transakcji, których kwoty możesz sobie pozwolić odpisać jako stratę. Zabezpiecz platformę w możliwie największym stopniu: jeśli ktoś się do niej włamie i prześle sobie pieniądze, sytuacja może być poważna.
Połącz z segmentacją rachunków
Zasilanie tych platform płatniczych za pomocą oddzielnych, zasilanych ograniczonymi kwotami rachunków to łatwy i skuteczny sposób na ograniczenie narażenia.
Karty debetowe
Ryzyko: Zły pomysł
Karty debetowe mają wszystkie wady kart kredytowych i czeków, a nie oferują zalet żadnego z nich. Ponieważ karta debetowa jest używana w systemie kart kredytowych, numery kart są często kradzione i wykorzystywane do oszustw. Transakcje kartami debetowymi nie są jednak objęte ochroną przed oszustwami: podobnie jak w przypadku czeków, musisz zakwestionować oszukańczą transakcję w ciągu 24 godzin.
Co gorsza, narzędzia i procedury opracowane przez banki do walki z oszustwami związanymi z czekami nie działają w przypadku transakcji kartami, a banki wydające karty debetowe rzadko inwestują w rozwiązania do wykrywania oszustw powszechnie stosowane przez firmy obsługujące karty kredytowe.
Ochrona
More Articles
Zrezygnuj z nich
Karty debetowe są niebezpieczne i nie ma zastosowania, w którym karta kredytowa nie sprawdziłaby się lepiej. Dodatkowe nagrody nie są tego warte.
Kryptowaluty
Ryzyko: Szalone
To przeciwieństwo bezpieczeństwa płatności internetowych.
Moim zdaniem jedynymi firmami, które muszą otrzymywać płatności w kryptowalutach, są grupy przestępcze. Kryptowaluty mają wszystkie wady autorskich platform płatniczych (natychmiastowość, brak zapobiegania oszustwom, brak zachęt regulacyjnych), a ponadto są bardziej podatne na ataki techniczne, manipulacje rynkowe i kulturę oszustw w swoich instytucjach. Sprzyjają praniu pieniędzy i kradzieżom.
Ochrona
Nie rób tego
Chyba że jesteś szajką przestępczą.
Zachowaj rozsądek i ochronę
Chociaż internetowe oszustwa związane z płatnościami są największym zagrożeniem cybernetycznym dla większości firm, przeciwdziałanie im może być szybkie, łatwe i skuteczne. Rozsądne zlecanie obsługi technologii na zewnątrz oraz korzystanie z bezpieczniejszych metod płatności online wyeliminuje znaczną część tego ryzyka.
Większości pozostałych zagrożeń związanych z AP można również łatwo uniknąć. Zasubskrybuj, aby otrzymać powiadomienie o mojej kolejnej publikacji, w której omówię, jak strategia i procesy AP mogą również powstrzymać hakerów i przestępców.
Masz przemyślenia, opinie lub pytania? Napisz do mnie, dołącz do rozmowy poniżej lub zabierz głos w mediach społecznościowych.