Callback-верификация: почему проверка через заранее зафиксированный номер защищает лучше любого «узнавания»
Самый простой контроль в платёжной безопасности часто оказывается самым надёжным. Callback-верификация не требует дорогих систем — только дисциплины: проверять запрос звонком на номер, который компания знала задолго до появления этого запроса.
Что такое callback-верификация
Callback-верификация — это процедура, при которой запрос на платёж, изменение банковских реквизитов или других критичных данных подтверждается обратным звонком, который инициирует сама компания. Звонят не на номер, указанный в письме или сообщении, а на контакт, заранее зафиксированный во внутренней системе — например, в мастер-данных поставщика или в справочнике сотрудников.
Смысл прост: злоумышленник может контролировать канал, по которому отправлен запрос, но ему значительно сложнее контролировать независимый канал, выбранный и проверенный компанией заранее.
Почему «узнавание» не работает
Многие сотрудники уверены, что отличат настоящего руководителя или партнёра «на слух». Но узнавание — это ощущение, а не проверка. Его легко обмануть несколькими способами:
- голос можно синтезировать по записям публичных выступлений;
- номер телефона на экране можно подменить (caller ID spoofing);
- почту или мессенджер настоящего человека можно взломать, и тогда «знакомый» стиль переписки тоже ничего не доказывает;
- в стрессе и спешке люди склонны «достраивать» знакомый образ.
Правило, которое стоит закрепить в политике: узнаваемость голоса, лица, номера или стиля письма не является основанием для подтверждения платежа. Основание — только успешно выполненная процедура.
Правила правильного callback
- Номер — только из внутреннего источника. Мастер-данные, договор, первичная анкета контрагента — но никогда не подпись письма и не номер, продиктованный во время звонка.
- Звонок инициирует компания. Входящий звонок «для подтверждения» не является callback-верификацией, даже если номер совпадает.
- Независимый исполнитель. Проверку желательно проводит не тот сотрудник, который получил запрос.
- Конкретные вопросы. Подтверждаются суть запроса, сумма, счёт получателя — а не общее «да, это мы».
- Фиксация результата. Кто, когда, на какой номер звонил и что было подтверждено — всё записывается в журнал или карточку платежа.
- Смена контактов — отдельная процедура. Обновление номера телефона в мастер-данных само по себе требует проверки через старый, уже известный контакт.
Типичные ошибки
Чаще всего callback-верификация ломается не из-за техники, а из-за исключений. «Руководитель в самолёте и не может ответить», «поставщик сменил все телефоны», «это срочно, проверим потом» — именно такие формулировки используются в мошеннических сценариях.
Ещё одна распространённая ошибка — звонить на номер, указанный в том же письме со сменой реквизитов. Если письмо поддельное, номер в нём тоже принадлежит злоумышленнику, и «проверка» лишь подтвердит мошенничество.
Короткий чек-лист
- Callback обязателен для любой смены реквизитов и для платежей выше установленного порога.
- Контакты берутся только из мастер-данных, которые обновляются по отдельной процедуре.
- Звонок инициирует компания, а результат фиксируется.
- Отказ от проверки невозможен даже по требованию руководства.
- Сотрудник, остановивший сомнительный платёж, получает поддержку, а не выговор.
Callback-верификация работает именно потому, что не полагается на человеческое ощущение. Она спрашивает не «похоже ли это на правду», а «подтвердил ли это независимый канал». — Редакция Sentinel Ledger
