CFO harus menanyakan bagaimana organisasi memverifikasi permintaan pemindahan uang, tidak hanya apakah domain emailnya lolos otentikasi. Otentikasi domain membantu penerima mengevaluasi penggunaan domain. Ini tidak mengesahkan faktur pemasok, mengkonfirmasi perubahan rekening bank atau membuktikan bahwa orang di balik rekening yang sah berwenang untuk membuat permintaan.
Bedakan tiga jalur penipuan
Peniruan identitas domain langsung menggunakan domain Anda tanpa autentikasi selaras yang diperlukan. Serangan serupa menggunakan domain berbeda yang menyerupai domain tepercaya. Serangan akun yang disusupi dapat berasal dari layanan yang sah dan terotentikasi. Jalur ini memerlukan bukti yang berbeda dan tidak dapat ditutup semuanya dengan menerbitkan kebijakan yang lebih ketat pada domain Anda.
RFC 9989 menjelaskan otentikasi penyelarasan dengan domain penulis. Hasil penerusan untuk billing-supplier.example yang dikendalikan penyerang tidak menetapkan bahwa itu milik pemasok sebenarnya. Nama tampilan dan tujuan Balas Ke juga dapat menyesatkan pembaca; catat secara terpisah dari domain yang dievaluasi DMARC.
Periksa jalur keputusan
Tanyakan kepada bagian operasional keuangan bagaimana perubahan pembayaran diverifikasi menggunakan informasi kontak yang dibuat sebelum permintaan mencurigakan. Nomor telepon atau tautan yang diberikan dalam email yang sama bukan merupakan jalur verifikasi independen. Gunakan alur kerja dan pemisahan tugas yang disetujui organisasi, terutama untuk perubahan rincian bank atau pengecualian pembayaran mendesak.
Skenario fiksi tertulis di bawah ini menggambarkan pesan yang menampilkan “Akun Pemasok” sedangkan domain Dari yang terlihat mirip dengan yang dikendalikan penyerang. Hasil penerimanya adalah umpan selaras sintetis untuk itu domain yang mirip. Tindakan yang diminta adalah perubahan detail bank, dengan nomor rekening dihilangkan. Tidak ada insiden pelanggan nyata atau instruksi pembayaran aktual yang ditampilkan.
Uji batas kendali
Domain pemasok sah dari contoh ini adalah supplier.example .test; pengirim yang diamati menggunakan supplier-payments.example .test. Finance menjeda perubahan dan memanggil kontak yang telah diverifikasi sebelumnya dari catatan induk pemasok. Kontak fiktif menolak permintaan tersebut. Verifikasi bisnis ini adalah bagian dari skenario, bukan percakapan sebenarnya yang dilakukan untuk pos pemeriksaan ini.
Bandingkan dua rute verifikasi yang ditentukan. Kasus A menggunakan kontak catatan induk pemasok yang sudah ada sebelumnya, diasumsikan telah diverifikasi secara independen sebelum permintaan mencurigakan; penolakan fiktif membuat perubahan tetap tertahan. Kasus B hanya menggunakan nomor yang diberikan oleh email mencurigakan; verifikasi tidak memadai dan perubahan tetap tertunda. Tidak ada kasus yang dihitung, dipanggil, atau diverifikasi terhadap direktori sebenarnya. Ini adalah contoh pengendalian editorial, bukan prosedur keuangan yang diamanatkan.
Mintalah bukti pengoperasian rutin
Meminta bukti sampel bahwa panggilan balik dan persetujuan ganda terjadi, bahwa pengecualian ditingkatkan, dan bahwa anomali domain pengirim menjangkau staf keuangan dalam istilah yang dapat dimengerti. Tanyakan siapa pemilik remediasi untuk domain yang tidak dilindungi dan siapa pemilik kegagalan proses pembayaran. Jaga agar pelaporan tetap proporsional: jumlah pesan DMARC yang gagal bukan merupakan jumlah pembayaran penipuan yang dapat dicegah.
Jika permintaan pembayaran yang benar-benar mencurigakan tiba, simpan pesan dan catatan penerima yang relevan, ikuti proses insiden organisasi, dan verifikasi permintaan secara independen sebelum mengambil tindakan. Otentikasi adalah bukti berharga, namun keputusan pemindahan uang harus bergantung pada proses bisnis yang sah. Jangan biarkan tingkat kelulusan yang mengesankan menggantikan proses tersebut.
Mintalah kartu skor kendali terbatas
Minta penghitungan sampel perubahan pembayaran, berapa banyak yang telah mendokumentasikan verifikasi independen, pengecualian yang belum terselesaikan, dan pemiliknya. Pisahkan ini dari jumlah pesan DMARC . Bukti yang hilang merupakan celah dalam penyelidikan, bukan bukti bahwa penipuan telah terjadi atau kerugian finansial telah dicegah.