Käsittele maksuviranomaista erillisenä kysymyksenä
Toimittajan sähköposti voidaan todentaa oikein ja sisältää silti luvattoman maksunmuutospyynnön. Vaarantunut postilaatikko tai sovellus voi käyttää toimittajan laillista lähetysinfrastruktuuria, kun taas jäljittelijä voi käyttää toista verkkotunnusta tutulla näyttönimellä. Välitön liiketoimintakysymys on, onko pyydetty muutos sallittu, ei se, sisältääkö viesti sanan pass. Pidä taloudellinen päätös erillään teknisestä tutkimuksesta, jotta kumpikaan ei korvaa toista.
RFC 9989 rajoja DMARC verkkotunnuksen todennussuhteisiin ja sulkee pois sisältöanalyysin ja muiden entiteettien kuin verkkotunnusten todennuksen. Se ei voi hyväksyä pankkitilin muutosta tai määrittää toimittajan työntekijän aikomuksia. Läpäisevä tulos on hyödyllinen todiste verkkotunnuksen käytöstä, mutta se ei ole maksuohje, jota organisaation tulee noudattaa. Tämä käsikirjoitus ehdottaa puolustusprosessia; maksua, tilipäivitystä tai ulkoista yhteyttä ei tehty.
Säilytä pyyntö suorittamatta sitä
Aseta pyydetty muutos pitoon nykyisen osto- tai rahoitusprosessin kautta. Kirjaa ylös, mitä viestissä pyydetään muuttamaan, mihin toimittajatietueeseen se vaikuttaa, milloin muutoksen on tarkoitus tulla voimaan ja kuka sen on vastaanottanut. Vältä kopioimasta täydellisiä taloudellisia tietoja laajasti saatavilla olevaan tapahtumalippuun. Hyväksytty rajoitettu tietue voi säilyttää alkuperäisen, kun taas työtiivistelmä kuvaa muutosta viitetunnisteen ja tarvittavan vähimmäiskontekstin avulla.
Säilytä alkuperäinen viesti ja sen alkuperä. Edelleen lähetetty kopio tai kuvakaappaus voi auttaa näyttämään, miltä pyyntö ilmestyi, mutta se ei ole vaihdettavissa alkuperäisen viestin tai vastaanottajan lokien kanssa. Tallenna keräysaika ja aikavyöhyke. Jos joku on jo toiminut, eskaloi läpi organisaation vakiintuneen taloushäiriömenettelyn sen sijaan, että olettaisi, että muutos voidaan hiljaa peruuttaa. Tämä artikkeli ei salli siirtoja, takaisinkutsuja tai viestintää pankin kanssa.
Selvitä, mitä identiteettiä käytettiin
Vertaa todellista Lähettäjä-toimialuetta luotettavan toimittajan tietueen toimittajatoimialueeseen. Säilytä näyttönimi, vastausosoite, kirjekuoren tunnus ja DKIM allekirjoitustoimialue erikseen. Eri verkkotunnuksen viesti voi todentaa oman verkkotunnuksensa ja johtaa lukijaa harhaan kuulumisesta. Tarkka toimittaja-verkkotunnuksen viesti, jossa on kohdistettu todennus, voi silti olla peräisin väärinkäytetystä tilistä tai palvelusta. Älä valitse kompromissihypoteesia vain siksi, että pyyntö on epätavallinen.
Käytä luotettavaa vastaanottajan näyttöä todennusta tulkittaessa. RFC 8601 selittää miksi Authentication-Results kentät vaativat luottamusrajan. Lähettäjän toimittama linja, kuvakaappaus tai edelleenlähetetty otsikkoote ei välttämättä muodosta vastaanottajan arviota. Kirjaa ylös, mikä vastaanotin tuotti tuloksen ja mikä kohdistettu reitti havaittiin. Kun todisteet ovat epätäydellisiä, sano niin sen sijaan, että pakottaisit hyväksymään tai hylkäämään johtopäätöksen rahoituspäätökseen.
Vahvista vakiintuneen riippumattoman reitin kautta
The IC3 pilvi-sähköpostin BEC:n neuvonta, julkaistu 6. huhtikuuta 2020, suosittelee epäilyttävien yrityspyyntöjen riippumatonta vahvistamista. Käytä toimittajan yhteydenottoreittiä, joka luotiin ennen kyseenalaista pyyntöä, kuten organisaation olemassa olevaa vahvistettua toimittajatietuetta. Vain kyseisessä viestissä annettu uusi puhelinnumero, vaihtoehtoinen sähköpostiosoite tai vahvistuslinkki ei ole itsenäinen lähde. Mainittu neuvonta tukee tätä yleisperiaatetta, ei nykyistä tapausväittämää.
Pyydä valtuutettua yritystodentajaa vahvistamaan ehdotettu muutos vakiintuneen prosessin kautta. Sen vahvistaminen, että henkilö tunnistaa lähettäjän nimen, on heikompaa kuin sen vahvistaminen, että itse muutos on pyydetty ja hyväksytty. Jos käytäntö edellyttää erillisiä hyväksyjiä, säilytä tämä erottelu. Älä anna viestin kiireellisyyden korvata organisaation hyväksymisvaatimuksia. Tekninen analyytikko voi toimittaa henkilöllisyystodisteita, mutta hänen ei pitäisi hiljaa tulla taloudelliseksi hyväksyjäksi.
Koordinoi tekninen tutkinta huolellisesti
Jos todisteet viittaavat toimittajatilin väärinkäyttöön, ota yhteyttä hyväksytyn, vahvistetun yhteyshenkilön kautta ja jaa vain asiaankuuluvat muokatut todisteet valtuutuksen jälkeen. Toimittajan valtuutettu vastaaja omistaa järjestelmiensä tutkimuksen. Vastaanottavan organisaation ei tule väittää, että se on osoittanut toimittajan haltuunoton vain siksi, että viesti todettiin ja toimittaja hylkäsi maksupyynnön. Integrointi, delegoitu lähettäjä tai muu mekanismi saattaa vaatia tutkintaa.
Microsoftin vaarantuneen tilin ohjeet luetteloi epäilyttävät postilaatikon säännöt, edelleenlähetykset ja puuttuvat viestit mahdollisten ilmaisimien joukossa ja kuvailee Microsoft 365 n tilivastauksen. Se on viittaus valtuutettuun toimittajavastaajaan kyseisessä ympäristössä, ei lupaa tarkastaa toisen organisaation tilejä. Mikään tilin käyttöoikeus, istunnon peruuttaminen, sääntöjen poistaminen tai valtuustietojen kerääminen ei ole osa tämän käsikirjoituksen työtä.
Maksumuutostodistuslaskentataulukko
Rakenna laskentataulukko, jossa on neljä linkitettyä osaa. Pyyntöosaan kirjataan toimittajaviite, muutostyyppi, pyydetty päivämäärä ja yrityksen omistaja. Identiteettiosio tallentaa todelliset verkkotunnukset, luotettavat todennushavainnot ja todisteiden lähteet. Varmennusosio tallentaa itsenäisesti muodostetun yhteysreitin, valtuutetun todentajan, tarkan kysymyksen ja vastauksen. Päätösosio tallentaa hyväksynnän tai hylkäämisen, vaaditut hyväksyjät, sallitun toteutuspolun ja mahdolliset ratkaisemattomat tutkimukset.
Pidä rahoitustilin tunnisteet poissa yleiskäyttöisistä kopioista. Käytä johdonmukaisia paikkamerkkejä, kun vertailulla on merkitystä, ja säilytä koko alkuperäiskappaletta vain hyväksytyssä rajoitetussa paikassa. Lisää sarake, joka erottaa havaitut tosiasiat hypoteeseista. "Toimittajan verkkotunnuksen mukainen DKIM havaittu vastaanottimessamme" on tosiasia vain, jos todisteet tukevat sitä; "toimittajan työntekijä hyväksyi muutoksen" vaatii erillisen yritysvahvistuksen. Työarkin ei pitäisi koskaan nostaa ensin mainittua automaattisesti jälkimmäiseksi.
Kuvitteellinen diagnoosi: tuttu toimittajaketju
Kuvitteellinen laitostiimi saa vakiintuneessa toimittajakeskustelussa pyynnön muuttaa tulevia maksutietoja. Viesti käyttää toimittajan todellista verkkotunnusta ja hypoteettisesti välittää DMARC vastaanottajalle. Vastaanottaja olettaa olemassa olevan säikeen ja todennustuloksen tekevän muutoksen turvalliseksi. Toinen tarkistaja sen sijaan keskeyttää päivityksen ja tarkistaa vahvistetun vahvistusreitin hyväksytyn toimittajatietueen.
Harjoituksessa toimittajan yhteyshenkilö kieltää valtuutuksen muutokseen. Tämä vastaus tukee pyynnön hylkäämistä liiketoimintaprosessin aikana, mutta mekanismi pysyy ratkaisemattomana, kunnes valtuutettu tekninen näyttö on saatavilla. Tutkinta säilyttäisi viestin ja jakaisi vähimmäishyväksytyn yhteenvedon sen sijaan, että toimittaisi kaikki maksutiedot laajalle. Tämä on kuvitteellinen skenaario, ei todellinen kieltäminen, kompromissin löytäminen, vahvistuspuhelu tai estetty menetys. Se havainnollistaa, miksi yrityksen vahvistus ja verkkotunnuksen todennus vastaavat eri kysymyksiin.
Sulje taloudelliset ja tekniset kappaleet erikseen
Kirjaa muistiin pyydetyn muutoksen määräys, vaikka tekninen selvitys jatkuisi. Toisaalta, älä julista liiketoimintaongelmaa ratkaistuksi vain siksi, että tili on suojattu: joku on saattanut jo muokata toimittajatietuetta tai toimia pyynnön mukaisesti. Yhdistä varsinainen liiketoimintatieto valtuutetun päätöksen ja tuloksen vahvistaneen asiakirjan kanssa. Kaikki tällaiset toimet edellyttävät organisaation normaalia toimivaltaa; täällä ei ole esitetty yhtään.
Luettelo vaatii muokatun väärinkäyttöskenaarion, jossa on henkilöllisyystodistus, valvontaraja ja riippumaton liiketoiminnan vahvistus. Tuo alkuperäinen todiste jää avoimeksi. Ehdotettu laskentataulukko ja fiktiivinen harjoitus eivät tyydytä sitä. Ihmisten asiantuntija-arvio, lähteiden soveltuvuus, tuotantoreitit, saavutettavuus ja omistajan vapauttaminen ovat myös avoinna. Julkaistava versio tarvitsee valtuutetun todistepaketin, joka osoittaa varmennusprosessin paljastamatta taloudellisia tunnisteita tai esittämättä toimittajaa koskevia väitteitä, joita ei ole tuettu.