Sem segurança nos pagamentos online, pode estar a contribuir para um programa de armas nucleares. Acha isso absurdo? Pense novamente. Se alguma vez foi vítima de um cibercrime, há uma boa probabilidade de os fundos roubados terem acabado na Coreia do Norte.
Mas os riscos do dia a dia para empresas em crescimento são mais prosaicos: os cibercriminosos querem dinheiro. Por vezes, roubam segredos que podem transformar em dinheiro: propriedade intelectual, classificações de crédito ou dados de cartões de crédito. Ou mantêm as empresas como reféns.
Vou descrever as formas mais rápidas, fáceis e eficazes de abordar o maior risco cibernético nas empresas: efetuar pagamentos online. Começo pelas estratégias tecnológicas e avanço depois para os pagamentos.
Tecnologia de segurança — vale a pena?
Se pesquisar no Google por “segurança dos pagamentos online”, normalmente encontrará listas dos 10 principais pontos que reproduzem de perto os conselhos gerais de segurança dos últimos 20 anos: palavras-passe difíceis, autenticação multifator (MFA), encriptação, antivírus (AV), firewalls e afins.
Estas listas resultam de uma filosofia de defesa e de evitar responsabilidades. Quem consegue lembrar-se de palavras-passe longas, complexas e completamente únicas para todos os sistemas que utiliza? Embora, tecnicamente, isso o protegesse, na sua maioria permite ao consultor de segurança dizer “Eu bem avisei!” com a certeza de que os seus conselhos não foram seguidos.
Além disso, as firewalls, a autenticação multifator e o AV também já não são o que eram há 15 anos. Atualmente, os jovens mais atualizados dizem que uma defesa tecnológica sólida é uma nuvem orientada por XDR e federada por WebAuthN, com um SIEM de IA. Ou algo do género; isso vai mudar até 2026, prometo.
O que há de errado com uma lista de verificação tecnológica?
Ficam rapidamente desatualizadas. Atualmente, tudo inclui encriptação, o AV gratuito e predefinido é tão bom como, ou melhor do que, as soluções comerciais, a MFA tradicional é facilmente contornada e a identidade de confiança zero substituiu, em grande parte, a necessidade de firewalls.
Três princípios de segurança que continuarão a funcionar
Existem três princípios que resistiram e continuarão a resistir ao teste do tempo na proteção da tecnologia: Delegação, Processos e Medição.
1. Delegação
As empresas de todo o mundo têm percebido que a estratégia de TI mais segura, resiliente e económica consiste em fazer menos internamente na área de TI. A migração para plataformas de Software como Serviço (SaaS) é a forma mais popular de o fazer — elimina quase toda a tecnologia. Utilize um fornecedor externo de serviços de TI para gerir as medidas de segurança de tudo aquilo de que não se pode livrar.
2. Processos
A sua maior força e fraqueza são as pessoas. Identificar, simplificar e proteger atividades de risco é normalmente a forma mais fácil e eficaz de melhorar a segurança geral. Também ajuda a manter as prioridades claras para qualquer especialista de tecnologia: proteger o seu ERP é muito mais importante do que a aplicação de design gráfico.
3. Medição
Como garantir que os seus delegados o estão a proteger adequadamente? Delegue também esta tarefa! Existem formas gratuitas e fáceis de medir a segurança dos pagamentos online de uma plataforma, e todas permanecerão atualizadas. Normalmente, isto demora 20 minutos de pesquisa no Google: vale definitivamente a pena para produtos importantes.
- Pesquise o histórico de violações de segurança e de dados na empresa do fornecedor.
- Pesquise a empresa numa plataforma de classificação de segurança. A SecurityScorecard e a RiskRecon têm um nível gratuito.
- Verifique se existe um programa de recompensa por deteção de erros; é um bom sinal. Bugcrowd, Synack e Hackerone são plataformas comuns.
Se precisar de maior precisão, muitos consultores de segurança tecnológica podem realizar uma avaliação mais aprofundada por um preço razoável. Tenha em atenção: a medição não é uma atividade que se realiza uma única vez. À medida que as empresas mudam, a sua segurança também pode mudar.
Have an account? Log In
Pagamentos
Pagar a fornecedores é uma negociação: alguns métodos beneficiam-no a si ou a eles. A maioria destas considerações não está relacionada com a segurança: pagar por cheque e insistir em condições NET30 proporciona-lhe um melhor controlo sobre o fluxo de caixa. A conveniência dos cartões de crédito impõe um custo significativo ao seu fornecedor. Estes são fatores importantes e amplamente discutidos.
Hoje, explico de que forma essas opções de segurança dos pagamentos online afetam o seu risco de fraude. Ordeno os principais métodos de pagamento online pelo risco que representam para si, explico porquê e proponho as melhores formas de reduzir esse risco.
Cartões de crédito
Risco: Mais baixo
Os pagamentos com cartão de crédito são consistentemente a forma mais segura de pagar por bens e serviços. Quase todos os emissores cobrem totalmente a fraude – por vezes até um ano mais tarde, sem fazer perguntas. Melhor ainda, como essas empresas têm esse incentivo, investem substancialmente na deteção de fraude em nome dos seus clientes. A qualidade pode variar consoante a instituição, mas é frequentemente superior à de qualquer solução que possa adquirir.
Os dados dos cartões são frequentemente roubados, quer através da alteração de um sistema de ponto de venda (os chamados dispositivos de clonagem), quer através do roubo de tudo a partir de um sistema central de processamento de pagamentos. Este tipo de roubo está a diminuir todos os anos, à medida que o Conselho de Normas de Segurança da Indústria de Cartões de Pagamento aperta o cerco a qualquer entidade que processe cartões de crédito.
A desvantagem é o custo para os seus fornecedores: a maioria dos processadores de cartões cobra uma comissão de 2.7% em cada transação, com o processamento em grande volume a proporcionar descontos que podem chegar aos 1.5%. Esta comissão financia sobretudo a cobertura contra fraude e as recompensas dos cartões.
Proteção
Utilize cartões empresariais
Certifique-se de que os pagamentos da empresa são efetuados através de cartões de crédito legalmente associados à empresa, e não aos proprietários e funcionários. Separar as finanças pessoais das empresariais não só facilita a contabilidade, como também protege a saúde financeira dos proprietários e funcionários caso algo corra mal com a empresa.
Bónus: a utilização de cartões também cria um histórico de crédito para as empresas, melhorando substancialmente as condições e as taxas disponíveis para empréstimos. Enquanto o crédito pessoal está associado aos SSN, o crédito empresarial é indexado ao EIN. As principais agências de crédito nos EUA são a Dun & Bradstreet, a Creditsafe, a Experian Business e a Equifax Business.
Cartões virtuais
E se pudesse criar tantos cartões de crédito quantos quisesse com um simples clique? Isso permitir-lhe-ia um controlo extremamente detalhado da fraude: cada fornecedor poderia receber um cartão, e poderia limitar o plafond de cada um a um montante previsto. Quando deixasse de utilizar determinados serviços, poderia deixar de lhes pagar sem depender de que parassem de efetuar cobranças.
Um número crescente de empresas de tecnologia financeira e bancos permite exatamente isso. A partir de um portal na Internet, pode criar, gerir e remover um número (virtualmente) ilimitado de cartões. Todos são debitados numa conta comum, permitindo-lhe obter uma visão centralizada das despesas. O líder neste setor é a Ramp, que investiu num motor de regras personalizado que permite um controlo abrangente.
A maior fonte de fraude com cartões de crédito são as informações de cartões roubadas. Existe uma vasta cadeia de abastecimento de fraudadores que roubam dados de cartões, outros que os compram e fabricam cartões duplicados, e intermediários financeiros que utilizam essas duplicatas para efetuar cobranças fraudulentas. A maioria de nós já passou por isto, e é uma dor de cabeça: o cartão tem de ser cancelado, é necessário enviar um novo e cada serviço que utiliza esse cartão tem de ser atualizado.
Com cartões virtuais, isto torna-se trivial. Os pagamentos inesperados tornam-se mais evidentes e só é necessário alterar os dados de pagamento junto de um único fornecedor. Sabe exatamente qual foi o fornecedor que permitiu a fraude: as cobranças não autorizadas são feitas no cartão dedicado desse fornecedor.
Redes de pagamentos
Risco: Baixo
Uma rede de pagamentos é um registo de empresas com informações de pagamento verificadas. Em vez de trocar manualmente os dados de pagamento, seleciona o seu fornecedor a partir da lista, define o montante e o pagamento é transferido automaticamente. Frequentemente, estas redes são mantidas por grandes bancos e integradas como parte de um serviço gerido de contas a pagar. Existem algumas redes disponíveis ao público, como a Bottomline Paymode-X nos EUA e a EFTsure na Austrália. Se utilizar um serviço de contas a pagar fornecido por um banco, certifique-se de que este disponibiliza a verificação de fornecedores. Alguns bancos enviam cheques às cegas para qualquer morada que indique, pelo que, escusado será dizer, não oferecem proteção contra fraude.
As empresas de tecnologia financeira destinadas a pequenas empresas também estão a desenvolver rapidamente estas redes, e os especialistas da minha rede esperam um crescimento substancial nesta área nos próximos anos.
A utilização consistente de uma rede de pagamentos reduz substancialmente a fraude (este é também um benefício fundamental das aplicações de pagamento móveis). Uma das maiores fontes de fraude B2B são os pagamentos intercetados entre empresas legítimas, normalmente através de as convencer a utilizar informações de pagamento incorretas. As redes de pagamentos eliminam esta fonte de erro: garantem que os dados de pagamento estão corretos e trabalham para impedir que impostores entrem na plataforma.
Raramente todos os seus fornecedores estarão numa rede, pelo que esta técnica não pode ser utilizada isoladamente.
ACH
Risco: Baixo-Médio
As transações através da Câmara de Compensação Automatizada (normalmente ACH, também designadas por depósito direto) apresentam a taxa de fraude mais baixa em comparação com outros métodos comerciais de pagamento online. No entanto, a maioria destas transações consiste em transferências automatizadas entre grandes empresas com controlos de fraude independentes e sofisticados. O risco para estas empresas não é igual ao risco para uma empresa mais pequena. Pagar através de ACH continua a ser razoavelmente seguro, sobretudo se o seu fornecedor utilizar uma plataforma de pagamentos dedicada com um portal de pagamentos de autosserviço.
A ACH funciona através do sistema de contas à ordem, sendo compensada em 3-5 dias com base em indicadores de fraude, como o montante do pagamento e a atividade anterior. Tal como o sistema de cartões de crédito, não dispõe de um mecanismo de autorização: saber o número de uma conta permite efetuar uma cobrança nessa conta. Embora o setor dos cartões de crédito esteja a tentar manter os respetivos números em segredo, não há qualquer esperança de fazer o mesmo com os números das contas bancárias: estes estão disponíveis para qualquer pessoa que veja um dos seus cheques ou consulte os dados dos seus pagamentos ACH.
Além disso, existe pouca cobertura contra fraude para as empresas. Os bancos só são obrigados a recuperar o dinheiro no prazo de 24 horas após a transação.
A maior proteção contra a fraude ACH é o facto de esta ter de ser iniciada por uma instituição financeira com boa reputação. Nos EUA, as regulamentações Conheça o Seu Cliente (KYC), Combate ao Branqueamento de Capitais (AML) e outras regulamentações bancárias da FFIEC impõem requisitos rigorosos aos bancos para verificarem se existem atividades suspeitas por parte dos clientes e nas transações. Embora a regulamentação esteja sempre um passo atrás do crime, os bancos têm um forte incentivo para impedir que os criminosos utilizem os seus serviços.
Proteção
Estes métodos funcionam tanto para ACH como para cheques.
Segmente as contas e configure alertas
A criação de várias contas para diferentes utilizações pode proporcionar uma excelente proteção a um custo reduzido. Criar uma conta dedicada a contas a receber, à tesouraria e a contas a pagar pode limitar a sua exposição à fraude. As contas de recebimentos devem ser transferidas frequentemente para a conta de tesouraria, e os fundos destinados a encargos previstos devem ser transferidos da conta de tesouraria para as contas de pagamentos. Configure alertas para todas as contas para situações inesperadas, como saldos baixos.
Desta forma, os terceiros apenas conhecerão contas com fundos limitados, pelo que as tentativas de fraude não serão tão prejudiciais se forem bem-sucedidas. Os diferentes bancos oferecem graus variados de automatização para esta estratégia e muitos disponibilizam-na como um serviço integrado para clientes de maior dimensão, normalmente designado por Gestão de Tesouraria.
Fornecedores válidos (apenas ACH)
Alguns bancos permitem que as contas empresariais à ordem restrinjam as cobranças ACH a uma lista autorizada de contas. Isto pode eliminar a possibilidade de transações ACH fraudulentas, mas exige alguma manutenção e pode ser incómodo durante a resolução de problemas.
Evite ACH e cheques para fornecedores que processam pagamentos manualmente
Como o seu risco de fraude através de ACH e cheques está diretamente relacionado com o número de pessoas que veem os seus cheques, pode reduzi-lo utilizando-os apenas em processadores de pagamentos automatizados e de autosserviço.
No caso da ACH, procure um portal Web onde inicia sessão e introduz o seu método de pagamento. Muitas vezes, é possível perceber se uma plataforma desse tipo é fornecida por um fornecedor: Quickbooks, Stripe e Paypal são opções populares. As soluções desenvolvidas internamente têm menos probabilidade de ser processadas automaticamente e, por isso, representam um risco mais elevado.
No caso dos cheques, trata-se de uma instalação de caixa postal que processa automaticamente os recebimentos de muitas empresas. Pode descobrir se um endereço corresponde a uma instalação de caixa postal pesquisando-o num mapa. Se pertencer ao seu banco ou a um processador de caixas postais conhecido, é isso que pretende.
Não emita os seus próprios cheques
Uma parte considerável da fraude com cheques e ACH resulta simplesmente do furto de cheques do seu correio enviado.
Pode evitar esta situação utilizando um serviço de pagamentos para imprimir e enviar cheques em seu nome. Muitas vezes, este serviço é integrado numa rede de pagamentos. Muitos bancos disponibilizam-no com diferentes graus de automatização. Estes cheques são impressos numa instalação central, o que dificulta o furto.
Mude de banco
Se suspeitar de que o seu banco não investiu na proteção contra fraude com cheques ou ACH, mude simplesmente de banco. Embora não existam classificações independentes e objetivas dos bancos neste domínio e seja provável que não tenha capacidade de negociação para os auditar, existem alguns princípios:
- Maior é frequentemente melhor. As instituições de maior dimensão podem muitas vezes suportar mais despesas na prevenção de fraude online.
- A competência é frequentemente melhor. Um histórico de fraude, má gestão ou simples desorganização é um mau sinal.
- Mais recente é frequentemente melhor. A gestão bancária é muitas vezes conservadora em relação à mudança, incluindo formas emergentes de combater a fraude dos seus clientes.
Cheques
Risco: Médio
A fraude com cheques é a fonte mais comum de fraude nos pagamentos B2B, de acordo com o relatório anual da AFP. Tal como os ACH, os cheques proporcionam uma janela de 24 horas para contestar uma transação. Além disso, é fácil imprimir cheques se o número da conta for conhecido. Cada pessoa que vê os seus cheques representa mais uma oportunidade para tentar cometer fraude com cheques ou ACH (além de existirem poucos benefícios de segurança dos pagamentos online quando não está, bem, a pagar online).
A maioria das fraudes com cheques pode ser detetada pelos bancos, mas nem todos fazem investimentos iguais, pelo que a qualidade do seu banco faz uma enorme diferença neste risco.
Proteção
(consulte as técnicas acima, na secção sobre ACH)
Sistemas de Pagamento Proprietários
Risco: Elevado
Zelle, Cash App, Venmo, PayPal e transferências bancárias são mecanismos preferidos para a prática de crimes, com pouca segurança nos pagamentos online. As transações são instantâneas e irreversíveis. Estas plataformas não têm controlo regulamentar nem proteção do consumidor, pelo que têm poucos incentivos para detetar e prevenir fraudes.
Estas plataformas são mais adequadas para consumidores e para montantes pequenos – pagar a alguém o jantar ou ao adolescente que cortou a relva.
Proteção
Tenha cuidado
Se for necessário pagar a um fornecedor através de uma destas plataformas, tenha cuidado. Verifique novamente os dados de pagamento e utilize-as apenas para transações cuja perda possa suportar. Bloqueie a plataforma tanto quanto possível: se alguém conseguir entrar e enviar dinheiro para si próprio, isso pode ser grave.
Combine com a segmentação de contas
Financiar estas plataformas de pagamento através de contas dedicadas e limitadas é uma forma simples e eficaz de limitar a sua exposição.
Cartões de débito
Risco: Má ideia
Os cartões de débito têm todas as desvantagens dos cartões de crédito, as desvantagens dos cheques e as vantagens de nenhum deles. Como um cartão de débito é utilizado no ecossistema dos cartões de crédito, os números dos cartões são frequentemente roubados e utilizados para cometer fraudes. No entanto, as transações com cartões de débito não têm cobertura contra fraude: tal como acontece com os cheques, tem de contestar uma transação fraudulenta no prazo de 24 horas.
Pior ainda, as ferramentas e a maturidade desenvolvidas pelos bancos para combater a fraude com cheques não funcionam nas transações com cartões, e os bancos que fornecem cartões de débito raramente investem nos mecanismos de deteção de fraude comuns às empresas de cartões de crédito.
Proteção
More Articles
Cancele-os
Os cartões de débito são perigosos e não há nenhuma utilização para eles que um cartão de crédito não possa desempenhar melhor. As recompensas adicionais não compensam.
Criptomoeda
Risco: Louco
Isto é o oposto da segurança dos pagamentos online.
Na minha opinião, os únicos negócios que precisam de ser pagos em criptomoeda são as redes criminosas. A criptomoeda tem todas as desvantagens das plataformas de pagamento proprietárias (instantaneidade, ausência de prevenção de fraude e falta de incentivos regulamentares) e é mais vulnerável a ataques técnicos, manipulação do mercado e a uma cultura de fraude no seio das suas instituições. Presta-se ao branqueamento de capitais e ao roubo.
Proteção
Não o faças
A menos que faças parte de uma rede criminosa.
Mantém-te atento, mantém-te protegido
Embora a fraude de pagamentos online seja a maior ameaça cibernética para a maioria das empresas, lidar com ela pode ser rápido, fácil e eficaz. Externalizar a tecnologia de forma ponderada e optar por métodos de pagamento online mais seguros eliminará grande parte desse risco.
A maior parte do risco restante relacionado com as contas a pagar também pode ser facilmente evitada. Subscreve para receberes uma notificação quando publicar o próximo artigo, no qual explico como a estratégia e os processos das contas a pagar também podem impedir hackers e criminosos.
Ideias, opiniões ou perguntas? Entra em contacto comigo, participa na conversa abaixo ou junta-te à discussão nas redes sociais.