L'authentification de domaine est une preuve utile sur le chemin d'un message. L'approbation du paiement est une décision concernant une obligation commerciale, le destinataire et le montant. Traiter le premier comme le second crée un écart qui persiste même lorsque SPF, DKIM et DMARC sont configurés correctement.
Définir ce que le pass établit
Un pass DMARC signifie qu'un domaine authentifié s'aligne sur le domaine de l'auteur du message via un chemin SPF ou DKIM éligible. Il ne certifie pas l'exactitude des factures, la propriété du compte bancaire ou le pouvoir d'une personne de modifier les instructions de paiement. RFC 9989. Un valide Signature DKIM associe également le contenu signé à un domaine de signature, et non à une approbation automatique de chaque demande qu'il contient. RFC 6376.
Un attaquant peut utiliser un sosie authentifié, un compte fournisseur compromis ou un service légitime. L'enquête sur ces mécanismes est importante, mais l'équipe de paiement peut conserver une modification non vérifiée pendant que l'enquête sur le courrier se poursuit. Aucun score d'authentification ne doit remplacer silencieusement les contrôles de paiement de l'organisation.
Utiliser un itinéraire de vérification distinct
Définissez qui peut demander une modification, qui la vérifie de manière indépendante et qui approuve la publication. Contactez le fournisseur via un canal déjà établi, et non via un nouveau numéro ou une nouvelle adresse de réponse fourni uniquement dans le message litigieux. Confirmez l'instruction commerciale en utilisant la procédure approuvée par l'organisation. Le FBI recommande spécifiquement de vérifier indépendamment les modifications de paiement et de compte. Conseils du FBI.
Enregistrez l'heure, le vérificateur autorisé, la source du contact de confiance et la décision sans copier les identifiants financiers inutiles dans un vaste journal des incidents. Conservez les détails du paiement dans le système financier approuvé avec un accès approprié. Pour les modifications à haut risque, l’exemple de stratégie utilise un deuxième approbateur autorisé ; il s'agit d'un contrôle local proposé, et non d'une exigence de protocole universel.
Prendre trois décisions
Utilisez une règle proposée exigeant à la fois une confirmation indépendante et une deuxième approbation autorisée pour le changement à haut risque. Supposons que toutes les autres vérifications spécifiques à l’organisation s’appliquent toujours.
- Cas A : hypothétique compte fournisseur compromis ; passe de domaine vrai ; confirmation indépendante fausse ; deuxième approbation fausse. Gardez la monnaie.
- Cas B : sosie hypothétique authentifié ; passe de domaine vrai ; confirmation indépendante fausse ; deuxième approbation fausse. Gardez la monnaie.
- Cas C : changement hypothétique de fournisseur légitime ; passe de domaine vrai ; confirmation indépendante vraie ; deuxième approbation vraie. Éligible à un traitement de libération ultérieur dans cet exemple, et non à une instruction de transfert d'argent ou à une preuve que tous les contrôles financiers ont été réussis.
Ces étiquettes et booléens sont des hypothèses pédagogiques stipulées. Aucun programme, rappel, vérification de compte ou transfert n'a été exécuté. Dans un cas réel, le propriétaire financier a besoin d'une preuve autorisée pour chaque contrôle effectué, tandis que l'attribution technique reste documentée séparément.
Gardez les exceptions visibles
L'urgence, l'ancienneté et un bloc de signature familier ne doivent pas devenir des contournements cachés. Si un contact établi n’est pas disponible, acheminez le dossier vers le propriétaire de l’exception désigné et documentez la décision. Ne considérez pas discrètement l’authentification par courrier électronique comme un rappel manquant. Fournissez à l'équipe technique le message original tout en gardant le blocage financier sous le contrôle du propriétaire du paiement.
Si un transfert suspect a déjà eu lieu, impliquez rapidement l'institution financière et les contacts de réponse aux incidents de l'organisation en utilisant les canaux connus. Un contact rapide peut permettre à l’institution financière d’évaluer les options de recouvrement disponibles. Ne promettez pas que les fonds pourront être rappelés. Préservez la demande, les approbations et le calendrier, et distinguez les décisions de confinement des attributions non prouvées.