الفاتورة التي تطلب منك تغيير الحساب البنكي

أغلى احتيال في الفواتير لا يكون مستندا مفبركا. يكون فاتورة حقيقية من مورّد حقيقي، وصلت من بريده الحقيقي، تغيّر فيها سطر واحد: رقم الحساب البنكي. البضاعة وصلت، والمبلغ صحيح، والتوقيع هو نفسه منذ سنوات. ولهذا يكون من يدفع هو الهدف، ولهذا لا يكشف التدقيق في المستند شيئا.

كيف يصل الطلب فعلا؟

ثلاثة مسارات تغطي معظم الحالات، ولا يحتاج أي منها إلى تزوير شيء.

• بريد المورّد المسروق. يُخترق حسابه بالتصيّد، وهي طريقة يشرحها دليل التصيّد من المركز الوطني للأمن السيبراني، فيقرأ المهاجم سلسلة الرسائل وينتظر فاتورة مستحقة، ثم يرد عليها ببيانات حساب جديدة. الرسالة تخرج من عنوان المورّد، وتحتفظ بالتوقيع وتاريخ المراسلة، وتضيف طلبا صغيرا إلى دفعة قائمة.
• نطاق شبيه. نطاق مسجل بفارق حرف واحد أو بامتداد مختلف، واسم العرض منسوخ حرفيا. صندوق الوارد يعرض اسم المورّد، والعنوان خلفه ليس له.
• اختطاف سلسلة ردود. تُلتقط سلسلة قديمة وتُعاد مع رسالة مضافة في آخرها، فيقوم تاريخها الطويل بالإقناع.

والقاسم المشترك أن الرسالة لا تطلب مالا، بل تطلب تحديث سجل. طلب أصغر، يصل وسط روتين.

لماذا يكون من يدفع هو الهدف الصحيح؟

لأن الحسابات الدائنة تملك صلاحية التصرف، وتعيش ضغط الإسراع في الوقت نفسه. يصل الطلب مهمة إدارية في يوم فيه دفعة، من مورّد يعرفه الفريق منذ سنوات، عن حساب لا سبب للشك فيه.

والموقع مكشوف من ثلاث جهات: من يدفع يعدّل بطاقة المورّد دون أن يسأل أحدا، ويُقاس أداؤه بالدفع في الموعد فيبدو الطلب إنجازا، وهو غالبا الشخص الوحيد الذي يرى البيانات البنكية أصلا.

والمبالغ كبيرة لأن تغييرا واحدا يحوّل كل دفعة قادمة، لا فاتورة واحدة. والتوقيت مختار للسبب نفسه: آخر الشهر، أو اليوم الذي يسبق عطلة، أو الأسبوع الذي يتعذر فيه الوصول إلى مسؤول المالية عند المورّد.

ماذا يكشف فحص المستند، وماذا يفوته؟

معظم رقابات الفواتير تفحص المستند، وتغيير الحساب هو التغيير الوحيد الذي يترك المستند سليما، فتمر به.

الإشارة	فاتورة مفبركة	تغيير الحساب البنكي
الترويسة والتنسيق	خطأ في موضع ما	الفاتورة الأصلية كما هي
الطلب والكمية والضريبة	مخترعة لتناسب	صحيحة ومعتمدة سابقا
عنوان المرسل	نطاق مجهول	بريد المورّد نفسه
ما تطلبه	الدفع	تحديث سجل

أي رقابة تعمل فعلا؟

واحدة: اتصال هاتفي برقم كان بحوزتك قبل الرسالة، لا برقم وصل معها. الرقم من بطاقة المورّد أو العقد الموقّع أو كشف حساب من الربع الماضي أو مقسم اتصلت به من قبل. ويؤكد الاتصال ثلاثة أشياء: أن المورّد يريد تغيير الحساب، وأن البيانات الجديدة تُقرأ رقما رقما، واسم من أكدها.

والاتصال يعمل حيث لا تعمل الإجابة، لأن صندوقا مخترقا سيجيب «نعم، هذا نحن» في دقائق. ويعمل حيث لا يعمل رقم التوقيع، لأن ذلك الرقم يملكه من كتب الرسالة. وهو ينقل التأكيد إلى قناة لا يسيطر عليها المهاجم.

وليس دليلا قاطعا: مورّد اخُترق خطه الهاتفي أيضا، أو شخص داخلي عنده، يتجاوزه. لكنه يتجاوز الحالة العادية، والحالة العادية هي معظم الخسارة.

ويُضاف فحص رخيص إلى الاتصال: اسم صاحب الحساب في ملف التحويل مقابل الاسم التجاري في السجل التجاري. فحساب بنكي باسم شخص، لا باسم المؤسسة، إشارة تستحق سؤالا، ووصول المال إلى حساب باسم قريب من اسم المورّد ليس تأكيدا.

ما الذي يجب أن يصح لتصمد الرقابة في أسبوع مزدحم؟

أربعة شروط، وتسقط الرقابة عند أول شرط غائب.

1. الرقم الموثق موجود قبل الطلب. إن كان البحث عنه لازما سيؤخذ من الرسالة، ومكانه بطاقة المورّد منذ التسجيل.
2. القاعدة بلا استثناءات. لا لأقدم مورّد، ولا لمن يعرفه صاحب المؤسسة شخصيا، ولا للتغيير الذي وصل آخر يوم في الثلاثي. الاحتيال يقع على الحساب الذي يثق به الجميع، لأنه الحساب الذي يستحق السرقة.
3. من يتصل ليس من استقبل الرسالة، حيث يكفي الفريق لشخصين. شخص واحد يفعل الاثنين نقطة فشل واحدة بخطوات إضافية.
4. الدفعة تُوقف دون إذن أحد. إن كان إيقاف التحويل يحتاج موافقة مدير مسافر، فالمهلة تفوز. وانضباط المصادقة الأساسي نصفها الآخر: حساب مالية مشترك يعني أن من تصرف لا يمكن تحديده بعد شهر.

أي قاعدة داخلية تجعلها تصمد؟

اكتبها تعليمة دفع، لا استثناء فاتورة، لأن الاستثناءات تُفرز والتعليمات لا تُفرز:

لا يتغير حساب بنكي بقوة رسالة. يعدّل مسؤول المالية البيانات بعد اتصال بالرقم المسجل في بطاقة المورّد، وتُقرأ التفاصيل رقما رقما، ويُسجل الاتصال بتاريخه والرقم المطلوب واسم من أكد. وتُأكد الدفعة الأولى إلى الحساب الجديد مع المورّد عبر قناة ثانية قبل الدفعة التالية.

وقاعدتان صغيرتان تحملان هذا. يمكن أن تستمر المحادثة والدفعة مجمدة، فالتجميد هو الأصل لا التصعيد. والتغيير غير المؤكد ينتهي أجله، فتبقى البيانات القديمة وتنتظر الفاتورة، وهذا هو الخيار الرخيص.

أين تنكسر القاعدة؟

• الاتصال بالرقم الوارد في الرسالة. التوقيع أو المتن أو هاتف «مسؤول مالي جديد». الثلاثة ملك المهاجم بحكم البناء.
• التأكيد بالرد أو باسم العرض. سؤال «هل تؤكدون هذه البيانات؟» يجيب عنه صندوق مخترق بنعم، وصندوق الوارد يعرض اسما والعنوان خلفه بعيد بحرف.
• التحقق من التغيير دون التحقق من الدفعة. تُحدّث البطاقة تحديثا صحيحا، ثم يُنشأ ملف الدفع من تصدير أُخذ الأسبوع الماضي.
• نسخة المبلغ الزائد. يُدّعى دفع زائد ويُطلب إرجاع الفرق إلى حساب ثالث. المال يخرج لا يدخل، والمبلغ أصغر فيمر من حد اعتماد أدنى.
• الصمت كموافقة. لا رد من المورّد حتى الخميس، فيُطبّق التغيير حفاظا على موعد الدفعة.

ما الذي لا يغطيه هذا المقال؟

هذا وصف رقابة، لا إرشاد قانوني ولا تأميني، ولا شيء فيه يستعيد تحويلا خرج. لا يعالج تواطؤا داخل فريق المالية، فهو يحتاج فصل مهام لا اتصالا هاتفيا. ولا يميز تغييرا احتياليا من تغيير حقيقي، ولا يجوز أن يحاول: قاعدة تمنع تغييرات المورّدين الحقيقية يلتف عليها الفريق في شهر، وحينها لا رقابة أصلا. الاحتيال بالبطاقة وبالشيك، وحالة استيلاء الغير على حساب المورّد نفسه، مشكلات أخرى لكل واحدة جوابها. الرقابة تخفض الخسارة ولا تجعل الاحتيال مستحيلا.

نبني بطاقة المورّد ومسار الدفع بحيث يكون تغيير الحساب مسار عمل له اسم وسجل، لا رسالة يُصرف بناء عليها الساعة الرابعة عصرا.