एक सीएफओ को यह पूछना चाहिए कि कोई संगठन पैसे स्थानांतरित करने के अनुरोध को कैसे सत्यापित करता है, न कि केवल इसका ईमेल डोमेन प्रमाणीकरण पास करता है या नहीं। डोमेन प्रमाणीकरण प्राप्तकर्ताओं को डोमेन के उपयोग का मूल्यांकन करने में मदद करता है। यह आपूर्तिकर्ता चालान को प्रमाणित नहीं करता है, बैंक-खाते में बदलाव की पुष्टि नहीं करता है या यह साबित नहीं करता है कि वैध खाते के पीछे का व्यक्ति अनुरोध करने के लिए अधिकृत है।
धोखाधड़ी के तीन रास्ते अलग करें
प्रत्यक्ष डोमेन प्रतिरूपण आवश्यक संरेखित प्रमाणीकरण के बिना आपके डोमेन का उपयोग करता है। एक समान दिखने वाला हमला एक अलग डोमेन का उपयोग करता है जो एक विश्वसनीय जैसा दिखता है। एक समझौता-खाता हमला एक वैध, प्रमाणित सेवा के माध्यम से उत्पन्न हो सकता है। इन रास्तों के लिए अलग-अलग साक्ष्य की आवश्यकता होती है और आपके डोमेन पर एक सख्त नीति प्रकाशित करके सभी को बंद नहीं किया जा सकता है।
RFC 9989 प्रमाणीकरण की व्याख्या करता है संरेखण लेखक डोमेन के साथ. हमलावर-नियंत्रित billing-supplier.example के लिए एक उत्तीर्ण परिणाम यह स्थापित नहीं करता है कि यह वास्तविक आपूर्तिकर्ता से संबंधित है। प्रदर्शन नाम और रिप्लाई-टू गंतव्य भी पाठकों को गुमराह कर सकते हैं; द्वारा मूल्यांकन किए गए डोमेन से उन्हें अलग से रिकॉर्ड करें DMARC.
निर्णय पथ का निरीक्षण करें
वित्त संचालन से पूछें कि संदिग्ध अनुरोध से पहले स्थापित संपर्क जानकारी का उपयोग करके भुगतान परिवर्तन कैसे सत्यापित किए जाते हैं। उसी ईमेल में दिया गया फ़ोन नंबर या लिंक एक स्वतंत्र सत्यापन मार्ग नहीं है। संगठन के अनुमोदित वर्कफ़्लो और कर्तव्यों के पृथक्करण का उपयोग करें, विशेष रूप से बैंक विवरण में परिवर्तन या तत्काल भुगतान अपवादों के लिए।
नीचे लिखित काल्पनिक परिदृश्य "आपूर्तिकर्ता खाते" प्रदर्शित करने वाले एक संदेश का वर्णन करता है, जबकि दृश्यमान डोमेन एक हमलावर-नियंत्रित जैसा दिखता है। इसका रिसीवर परिणाम उसके लिए एक सिंथेटिक संरेखित पास है समान दिखने वाला डोमेन. अनुरोधित कार्रवाई एक बैंक-विवरण परिवर्तन है, जिसमें खाता संख्याएँ छोड़ दी गई हैं। कोई वास्तविक ग्राहक घटना या वास्तविक भुगतान निर्देश प्रस्तुत नहीं किया गया है।
नियंत्रण सीमा का परीक्षण करें
उदाहरण का वैध आपूर्तिकर्ता डोमेन supplier.example .परीक्षण है; देखा गया प्रेषक supplier-payments.example .परीक्षण का उपयोग करता है। वित्त परिवर्तन को रोकता है और आपूर्तिकर्ता मास्टर रिकॉर्ड से पहले से सत्यापित संपर्क को कॉल करता है। काल्पनिक संपर्क अनुरोध को अस्वीकार करता है। यह व्यवसाय सत्यापन परिदृश्य का हिस्सा है, न कि इस चेकपॉइंट के लिए की गई वास्तविक बातचीत।
दो निर्धारित सत्यापन मार्गों की तुलना करें। केस ए पहले से मौजूद आपूर्तिकर्ता मास्टर-रिकॉर्ड संपर्क का उपयोग करता है, जिसे संदिग्ध अनुरोध से पहले स्वतंत्र रूप से सत्यापित माना जाता है; काल्पनिक इनकार परिवर्तन को रोक कर रखता है। केस बी केवल संदिग्ध ईमेल द्वारा प्रदत्त नंबर का उपयोग करता है; सत्यापन अपर्याप्त है और परिवर्तन रुका हुआ है। वास्तविक निर्देशिका के विरुद्ध किसी भी मामले की गणना, कॉल या सत्यापन नहीं किया गया था। यह एक संपादकीय नियंत्रण उदाहरण है, कोई अनिवार्य वित्तीय प्रक्रिया नहीं।
नियमित संचालन का प्रमाण मांगें
नमूना साक्ष्य का अनुरोध करें कि कॉलबैक और दोहरी स्वीकृतियां होती हैं, कि अपवाद बढ़ गए हैं और प्रेषक-डोमेन विसंगतियां समझने योग्य शब्दों में वित्त कर्मचारियों तक पहुंचती हैं। पूछें कि असुरक्षित डोमेन के निवारण का स्वामी कौन है और भुगतान-प्रक्रिया विफलताओं का स्वामी कौन है। आनुपातिक रिपोर्ट करते रहें: विफल DMARC संदेशों की गिनती, रोके गए धोखाधड़ी वाले भुगतानों की गिनती नहीं है।
यदि कोई वास्तविक संदिग्ध भुगतान अनुरोध आता है, तो संदेश और प्रासंगिक प्राप्तकर्ता रिकॉर्ड को सुरक्षित रखें, संगठन की घटना प्रक्रिया का पालन करें और कार्रवाई करने से पहले अनुरोध को स्वतंत्र रूप से सत्यापित करें। प्रमाणीकरण मूल्यवान साक्ष्य है, लेकिन धन हस्तांतरण का निर्णय अधिकृत व्यावसायिक प्रक्रिया पर निर्भर होना चाहिए। किसी प्रभावशाली पास दर को उस प्रक्रिया का स्थान न लेने दें।
एक सीमित नियंत्रण स्कोरकार्ड के लिए पूछें
नमूना भुगतान परिवर्तनों की गिनती का अनुरोध करें, कितनों ने स्वतंत्र सत्यापन का दस्तावेजीकरण किया था, अनसुलझे अपवाद और उनके मालिक। इसे DMARC संदेश गणना से अलग रखें। गुम साक्ष्य जांच के लिए एक कमी है, यह सबूत नहीं है कि धोखाधड़ी हुई थी या कथित वित्तीय हानि को रोका गया था।