Callback-верифікація: чому перевірка через заздалегідь зафіксований номер захищає краще за будь-яке «впізнавання»
Найпростіший контроль у платіжній безпеці часто виявляється найнадійнішим. Callback-верифікація не потребує дорогих систем — лише дисципліни: перевіряти запит дзвінком на номер, який компанія знала задовго до появи цього запиту.
Що таке callback-верифікація
Callback-верифікація — це процедура, за якої запит на платіж, зміну банківських реквізитів чи інших критичних даних підтверджується зворотним дзвінком, який ініціює сама компанія. Дзвонять не на номер, указаний у листі чи повідомленні, а на контакт, що був заздалегідь зафіксований у внутрішній системі — наприклад, у майстер-даних постачальника чи в довіднику працівників.
Сенс простий: зловмисник може контролювати канал, яким надіслано запит, але йому значно складніше контролювати незалежний канал, обраний і перевірений компанією заздалегідь.
Чому «впізнавання» не працює
Багато співробітників переконані, що відрізнять справжнього керівника чи партнера «на слух». Але впізнавання — це відчуття, а не перевірка. Його легко обдурити кількома способами:
- голос можна синтезувати за записами з публічних виступів;
- номер телефону на екрані можна підмінити (caller ID spoofing);
- пошту чи месенджер справжньої людини можна зламати, і тоді «знайомий» стиль листування теж нічого не доводить;
- у стресі та поспіху люди схильні «добудовувати» знайомий образ.
Правило, яке варто закріпити в політиці: впізнаваність голосу, обличчя, номера чи стилю листа не є підставою для підтвердження платежу. Підставою є лише успішно виконана процедура.
Правила правильного callback
- Номер — лише з внутрішнього джерела. Майстер-дані, договір, первинна анкета контрагента — але ніколи не підпис листа чи номер, продиктований у дзвінку.
- Дзвінок ініціює компанія. Вхідний дзвінок «для підтвердження» не є callback-верифікацією, навіть якщо номер збігається.
- Незалежний виконавець. Перевірку бажано проводить не той співробітник, який отримав запит.
- Конкретні запитання. Підтверджуються суть запиту, сума, рахунок одержувача — а не загальне «так, це ми».
- Фіксація результату. Хто, коли, на який номер дзвонив і що було підтверджено — усе записується в журнал або картку платежу.
- Зміна контактів — окрема процедура. Оновлення номера телефону в майстер-даних саме по собі вимагає перевірки через старий, уже відомий контакт.
Типові помилки
Найчастіше callback-верифікація ламається не через техніку, а через винятки. «Керівник у літаку й не може відповісти», «постачальник змінив усі телефони», «це терміново, перевіримо потім» — саме такі формулювання використовують у шахрайських сценаріях.
Ще одна поширена помилка — дзвонити на номер, який указано в тому самому листі зі зміною реквізитів. Якщо лист підроблено, номер у ньому також належить зловмиснику, і «перевірка» лише підтвердить шахрайство.
Короткий чек-лист
- Callback обов’язковий для будь-якої зміни реквізитів і для платежів понад визначений поріг.
- Контакти беруться лише з майстер-даних, які оновлюються за окремою процедурою.
- Дзвінок ініціює компанія, а результат фіксується.
- Відмова від перевірки неможлива навіть на вимогу керівництва.
- Співробітник, який зупинив сумнівний платіж, отримує підтримку, а не догану.
Callback-верифікація працює саме тому, що не покладається на людське відчуття. Вона питає не «чи схоже це на правду», а «чи підтвердив це незалежний канал». — Редакція Sentinel Ledger
