भुगतान प्राधिकार को एक अलग प्रश्न मानें
किसी आपूर्तिकर्ता के ईमेल को सही ढंग से प्रमाणित किया जा सकता है और फिर भी उसमें अनधिकृत भुगतान-परिवर्तन अनुरोध हो सकता है। एक समझौता किया गया मेलबॉक्स या एप्लिकेशन आपूर्तिकर्ता के वैध भेजने वाले बुनियादी ढांचे का उपयोग कर सकता है, जबकि एक प्रतिरूपणकर्ता एक परिचित प्रदर्शन नाम के साथ एक अलग डोमेन का उपयोग कर सकता है। तात्कालिक व्यावसायिक प्रश्न यह है कि क्या अनुरोधित परिवर्तन अधिकृत है, न कि यह कि क्या संदेश में पास शब्द शामिल है। वित्तीय निर्णय को तकनीकी जांच से अलग रखें ताकि कोई भी दूसरे का विकल्प न बने।
RFC 9989 सीमा DMARC डोमेन प्रमाणीकरण संबंधों के लिए और डोमेन के अलावा अन्य संस्थाओं की सामग्री विश्लेषण और प्रमाणीकरण को स्पष्ट रूप से बाहर करता है। यह बैंक-खाता परिवर्तन को मंजूरी नहीं दे सकता है या आपूर्तिकर्ता के कर्मचारी के इरादों को स्थापित नहीं कर सकता है। एक उत्तीर्ण परिणाम डोमेन उपयोग के बारे में उपयोगी साक्ष्य है, लेकिन यह कोई भुगतान निर्देश नहीं है जिसका संगठन को पालन करना चाहिए। यह पांडुलिपि एक रक्षात्मक प्रक्रिया का प्रस्ताव करती है; कोई भुगतान, खाता अद्यतन या बाहरी संपर्क नहीं किया गया।
अनुरोध को निष्पादित किए बिना सुरक्षित रखें
मौजूदा क्रय या वित्त प्रक्रिया के माध्यम से अनुरोधित परिवर्तन को रोक कर रखें। रिकॉर्ड करें कि संदेश क्या बदलने के लिए कहता है, कौन सा आपूर्तिकर्ता रिकॉर्ड इसे प्रभावित करता है, परिवर्तन कब प्रभावी होना चाहिए और इसे किसने प्राप्त किया। व्यापक रूप से सुलभ घटना टिकट में पूर्ण वित्तीय विवरण कॉपी करने से बचें। एक अनुमोदित प्रतिबंधित रिकॉर्ड मूल को संरक्षित कर सकता है जबकि कामकाजी सारांश एक संदर्भ पहचानकर्ता और न्यूनतम आवश्यक संदर्भ का उपयोग करके परिवर्तन का वर्णन करता है।
मूल संदेश और उसकी उत्पत्ति को बनाए रखें. एक अग्रेषित प्रति या स्क्रीनशॉट यह दिखाने में मदद कर सकता है कि अनुरोध कैसे प्रकट हुआ, लेकिन यह मूल संदेश या रिसीवर लॉग के साथ विनिमेय नहीं है। संग्रहण समय और समय क्षेत्र रिकॉर्ड करें. यदि किसी ने पहले ही कार्रवाई कर दी है, तो यह मानने के बजाय कि परिवर्तन को चुपचाप उलटा किया जा सकता है, संगठन की स्थापित वित्तीय घटना प्रक्रिया के माध्यम से आगे बढ़ें। यह आलेख किसी बैंक के साथ स्थानांतरण, रिकॉल या संचार को अधिकृत नहीं करता है।
स्थापित करें कि किस पहचान का उपयोग किया गया था
विश्वसनीय विक्रेता रिकॉर्ड में आपूर्तिकर्ता डोमेन के साथ वास्तविक फ्रॉम डोमेन की तुलना करें। प्रदर्शन नाम, उत्तर-पता, लिफाफा पहचान और रखें DKIM डोमेन पर हस्ताक्षर अलग से। एक भिन्न-डोमेन संदेश पाठक को संबद्धता के बारे में गुमराह करते हुए अपने स्वयं के डोमेन के लिए प्रमाणित कर सकता है। संरेखित प्रमाणीकरण के साथ एक सटीक आपूर्तिकर्ता-डोमेन संदेश अभी भी दुरुपयोग किए गए खाते या सेवा के माध्यम से उत्पन्न हो सकता है। केवल इसलिए समझौता परिकल्पना का चयन न करें क्योंकि अनुरोध असामान्य है।
प्रमाणीकरण की व्याख्या करते समय विश्वसनीय रिसीवर साक्ष्य का उपयोग करें। RFC 8601 क्यों समझाता है Authentication-Results फ़ील्ड के लिए एक विश्वास सीमा की आवश्यकता होती है. प्रेषक द्वारा प्रदत्त पंक्ति, स्क्रीनशॉट या अग्रेषित हेडर अंश संबंधित प्राप्तकर्ता के मूल्यांकन को स्थापित नहीं कर सकता है। रिकॉर्ड करें कि किस रिसीवर ने परिणाम उत्पन्न किया और कौन सा संरेखित पथ देखा गया। जब साक्ष्य अधूरा हो, तो वित्त निर्णय में पास या फेल का निष्कर्ष निकालने के बजाय ऐसा कहें।
एक स्थापित स्वतंत्र मार्ग के माध्यम से सत्यापित करें
The IC3 क्लाउड-ईमेल BEC सलाह6 अप्रैल, 2020 को प्रकाशित, संदिग्ध व्यावसायिक अनुरोधों के स्वतंत्र सत्यापन की सिफारिश करता है। आपूर्तिकर्ता संपर्क मार्ग का उपयोग करें जो संदिग्ध अनुरोध से पहले स्थापित किया गया था, जैसे कि संगठन का मौजूदा सत्यापित विक्रेता रिकॉर्ड। केवल उस संदेश में दिया गया नया टेलीफोन नंबर, वैकल्पिक ईमेल पता या सत्यापन लिंक एक स्वतंत्र स्रोत नहीं है। उद्धृत सलाह इस सामान्य सिद्धांत का समर्थन करती है, वर्तमान घटना के दावे का नहीं।
स्थापित प्रक्रिया के माध्यम से विशिष्ट प्रस्तावित परिवर्तन की पुष्टि करने के लिए अधिकृत व्यवसाय सत्यापनकर्ता से पूछें। यह पुष्टि करना कि कोई व्यक्ति प्रेषक का नाम पहचानता है, यह पुष्टि करने से कमजोर है कि परिवर्तन का अनुरोध किया गया था और अनुमोदित किया गया था। जहां नीति के लिए अलग-अलग अनुमोदनकर्ताओं की आवश्यकता होती है, उस पृथक्करण को सुरक्षित रखें। संदेश में तात्कालिकता को संगठन की अनुमोदन आवश्यकताओं की जगह न लेने दें। तकनीकी विश्लेषक पहचान प्रमाण प्रदान कर सकता है लेकिन उसे चुपचाप वित्तीय अनुमोदनकर्ता नहीं बनना चाहिए।
तकनीकी जांच का सावधानीपूर्वक समन्वय करें
यदि साक्ष्य आपूर्तिकर्ता खाते के दुरुपयोग की ओर इशारा करते हैं, तो एक अनुमोदित सत्यापित संपर्क के माध्यम से संवाद करें और प्राधिकरण के बाद केवल प्रासंगिक संपादित साक्ष्य साझा करें। आपूर्तिकर्ता के अधिकृत प्रत्युत्तरकर्ता के पास उनके सिस्टम की जांच का स्वामित्व है। प्राप्तकर्ता संगठन को यह दावा नहीं करना चाहिए कि उसने आपूर्तिकर्ता के अधिग्रहण को केवल इसलिए साबित कर दिया है क्योंकि एक संदेश प्रमाणित हो गया है और आपूर्तिकर्ता ने भुगतान अनुरोध को अस्वीकार कर दिया है। एकीकरण, प्रत्यायोजित प्रेषक या अन्य तंत्र को जांच की आवश्यकता हो सकती है।
माइक्रोसॉफ्ट का समझौता-खाता मार्गदर्शन संभावित संकेतकों के बीच संदिग्ध इनबॉक्स नियमों, अग्रेषण और गुम संदेशों को सूचीबद्ध करता है, और Microsoft 365 के लिए खाता प्रतिक्रिया का वर्णन करता है। यह उस वातावरण में अधिकृत आपूर्तिकर्ता उत्तरदाता के लिए एक संदर्भ है, किसी अन्य संगठन के खातों का निरीक्षण करने की अनुमति नहीं है। कोई खाता पहुंच, सत्र निरस्तीकरण, नियम हटाना या क्रेडेंशियल संग्रह इस पांडुलिपि के काम का हिस्सा नहीं है।
एक भुगतान-परिवर्तन साक्ष्य कार्यपत्रक
चार जुड़े हुए अनुभागों के साथ एक वर्कशीट बनाएं। अनुरोध अनुभाग आपूर्तिकर्ता संदर्भ, परिवर्तन प्रकार, अनुरोधित तिथि और व्यवसाय स्वामी को रिकॉर्ड करता है। पहचान अनुभाग वास्तविक डोमेन, विश्वसनीय प्रमाणीकरण अवलोकन और साक्ष्य स्रोत को रिकॉर्ड करता है। सत्यापन अनुभाग स्वतंत्र रूप से स्थापित संपर्क मार्ग, अधिकृत सत्यापनकर्ता, सटीक प्रश्न और प्रतिक्रिया को रिकॉर्ड करता है। निर्णय अनुभाग अनुमोदन या अस्वीकृति, आवश्यक अनुमोदनकर्ताओं, अनुमत कार्यान्वयन पथ और किसी भी अनसुलझे जांच को रिकॉर्ड करता है।
वित्तीय खाता पहचानकर्ताओं को सामान्य प्रयोजन प्रतियों से दूर रखें। जहां तुलना मायने रखती है, वहां सुसंगत प्लेसहोल्डर्स का उपयोग करें और संपूर्ण मूल को केवल स्वीकृत प्रतिबंधित स्थान पर ही संग्रहित करें। प्रेक्षित तथ्यों को परिकल्पनाओं से अलग करने वाला एक कॉलम जोड़ें। "आपूर्तिकर्ता-डोमेन संरेखित DKIM हमारे रिसीवर पर देखा गया" केवल एक तथ्य है यदि सबूत इसका समर्थन करते हैं; "आपूर्तिकर्ता कर्मचारी ने परिवर्तन को मंजूरी दे दी" के लिए अलग से व्यावसायिक पुष्टि की आवश्यकता होती है। वर्कशीट को कभी भी पहले वाले को बाद वाले में स्वचालित रूप से बढ़ावा नहीं देना चाहिए।
काल्पनिक निदान: एक परिचित आपूर्तिकर्ता सूत्र
एक काल्पनिक सुविधा टीम को एक स्थापित आपूर्तिकर्ता वार्तालाप में एक अनुरोध प्राप्त होता है जिसमें भविष्य के भुगतान विवरण बदलने के लिए कहा जाता है। संदेश आपूर्तिकर्ता के वास्तविक डोमेन का उपयोग करता है और रिसीवर तक काल्पनिक रूप से DMARC भेजता है। प्राप्तकर्ता मानता है कि मौजूदा थ्रेड और प्रमाणीकरण परिणाम परिवर्तन को सुरक्षित बनाते हैं। इसके बजाय एक दूसरा समीक्षक अद्यतन को रोक देता है और स्थापित सत्यापन मार्ग के लिए अनुमोदित आपूर्तिकर्ता रिकॉर्ड की जाँच करता है।
अभ्यास में, आपूर्तिकर्ता संपर्क परिवर्तन को अधिकृत करने से इनकार करता है। वह प्रतिक्रिया व्यावसायिक प्रक्रिया के तहत अनुरोध को अस्वीकार करने का समर्थन करती है, लेकिन अधिकृत तकनीकी साक्ष्य उपलब्ध होने तक तंत्र अनसुलझा रहता है। जांच में संदेश को संरक्षित किया जाएगा और पूर्ण भुगतान विवरण को व्यापक रूप से अग्रेषित करने के बजाय न्यूनतम अनुमोदित सारांश साझा किया जाएगा। यह एक काल्पनिक परिदृश्य है, वास्तविक इनकार, समझौता खोज, सत्यापन कॉल या रोका गया नुकसान नहीं। यह दर्शाता है कि व्यवसाय सत्यापन और डोमेन प्रमाणीकरण अलग-अलग प्रश्नों का उत्तर क्यों देते हैं।
वित्तीय और तकनीकी ट्रैक अलग-अलग बंद करें
तकनीकी जांच जारी रहने पर भी अनुरोधित परिवर्तन का स्वभाव रिकॉर्ड करें। इसके विपरीत, केवल इसलिए कि खाता सुरक्षित हो गया था, व्यावसायिक समस्या का समाधान घोषित न करें: हो सकता है कि किसी ने पहले ही आपूर्तिकर्ता रिकॉर्ड को संशोधित कर दिया हो या अनुरोध पर कार्रवाई की हो। वास्तविक व्यवसाय रिकॉर्ड को अधिकृत निर्णय और परिणाम को सत्यापित करने वाले दस्तावेज़ के साथ मिलाएँ। ऐसी किसी भी कार्रवाई के लिए संगठन के सामान्य प्राधिकार की आवश्यकता होती है; यहां कोई भी प्रदर्शन नहीं किया गया है.
कैटलॉग को पहचान प्रमाण, नियंत्रण सीमा और स्वतंत्र व्यापार सत्यापन के साथ संशोधित दुरुपयोग परिदृश्य की आवश्यकता होती है। वह मूल साक्ष्य खुला रहता है। प्रस्तावित वर्कशीट और काल्पनिक अभ्यास इसे संतुष्ट नहीं करते हैं। मानव विशेषज्ञ समीक्षा, स्रोत प्रयोज्यता, उत्पादन मार्ग, पहुंच और मालिक की रिहाई भी खुली रहती है। प्रकाशन योग्य संस्करण के लिए एक अधिकृत साक्ष्य पैकेज की आवश्यकता होती है जो वित्तीय पहचानकर्ताओं को उजागर किए बिना या आपूर्तिकर्ता के बारे में असमर्थित आरोप लगाए बिना सत्यापन प्रक्रिया को प्रदर्शित करता है।