L'autenticazione del dominio è una prova utile sul percorso di un messaggio. L'approvazione del pagamento è una decisione relativa a un obbligo aziendale, al destinatario e all'importo. Trattare i primi come secondi crea un divario che permane anche quando SPF, DKIM E DMARC sono configurati correttamente.
Definire cosa stabilisce il pass
Un passaggio DMARC significa che un dominio autenticato si allinea al dominio dell'autore del messaggio tramite un percorso SPF o DKIM idoneo. Non certifica l'accuratezza della fattura, la proprietà del conto bancario o l'autorità di una persona a modificare le istruzioni di pagamento. RFC 9989. Un valido Firma DKIM allo stesso modo associa il contenuto firmato a un dominio di firma, non all'approvazione automatica di ogni richiesta in esso contenuta. RFC 6376.
Un utente malintenzionato può utilizzare un sosia autenticato, un account fornitore compromesso o un servizio legittimo. Indagare su questi meccanismi è importante, ma il team addetto ai pagamenti può trattenere una modifica non verificata mentre l'indagine sulla posta continua. Nessun punteggio di autenticazione dovrebbe sostituire silenziosamente i controlli di pagamento dell'organizzazione.
Utilizza un percorso di verifica separato
Definire chi può richiedere una modifica, chi la verifica in modo indipendente e chi approva il rilascio. Contattare il fornitore attraverso un canale già stabilito, non un nuovo numero o indirizzo di risposta fornito solo nel messaggio contestato. Confermare le istruzioni commerciali utilizzando la procedura approvata dall'organizzazione. L'FBI raccomanda espressamente di verificare in modo indipendente le modifiche ai pagamenti e al conto. Guida dell'FBI.
Registra l'ora, il verificatore autorizzato, la fonte del contatto fidato e la decisione senza copiare identificatori finanziari non necessari in un ampio registro degli incidenti. Conserva i dettagli di pagamento nel sistema finanziario approvato con accesso appropriato. Per le modifiche ad alto rischio, la policy di esempio utilizza un secondo approvatore autorizzato; si tratta di un controllo locale proposto, non di un requisito di protocollo universale.
Elabora tre decisioni
Utilizzare una regola proposta che richieda sia la conferma indipendente che una seconda approvazione autorizzata per la modifica ad alto rischio. Supponiamo che tutti gli altri controlli specifici dell'organizzazione siano ancora validi.
- Caso A: ipotetico conto fornitore compromesso; passaggio del dominio vero; conferma indipendente falsa; seconda approvazione falsa. Tieni il resto.
- Caso B: ipotetico sosia autenticato; passaggio del dominio vero; conferma indipendente falsa; seconda approvazione falsa. Tieni il resto.
- Caso C: ipotetico legittimo cambio fornitore; passaggio del dominio vero; conferma indipendente vera; seconda approvazione vera. Idoneo per un'ulteriore elaborazione di rilascio in questo esempio, non un'istruzione di trasferire denaro o una prova che tutti i controlli finanziari siano stati superati.
Queste etichette e valori booleani sono presupposti didattici stabiliti. Non è stato eseguito alcun programma, richiamata, verifica dell'account o trasferimento. In un caso reale, il proprietario finanziario necessita di prove autorizzate per ogni controllo completato, mentre l'attribuzione tecnica rimane documentata separatamente.
Mantieni visibili le eccezioni
L'urgenza, l'anzianità e un blocco di firma familiare non dovrebbero diventare bypass nascosti. Se un contatto stabilito non è disponibile, inoltrare il caso al titolare dell'eccezione designato e documentare la decisione. Non trattare tranquillamente l'autenticazione e-mail come la richiamata mancante. Fornisci al team tecnico il messaggio originale mantenendo la sospensione finanziaria sotto il controllo del proprietario del pagamento.
Se si è già verificato un trasferimento sospetto, coinvolgere tempestivamente l'istituto finanziario e i contatti di risposta agli incidenti dell'organizzazione utilizzando i canali noti. Un contatto tempestivo può consentire all’istituto finanziario di valutare le opzioni di recupero disponibili. Non promettere che i fondi possano essere richiamati. Preservare la richiesta, le approvazioni e la tempistica e distinguere le decisioni di contenimento dall'attribuzione non dimostrata.