A banki kibercsalások elleni védekezésben fontos változásra hívta fel a figyelmet az MNB. A jegybank közlése szerint, ha egy jóvá nem hagyott fizetési művelet kibercsaláshoz kapcsolódik, és a bank elmulasztotta az előírt erős ügyfélhitelesítést, akkor a kárt nem az ügyfélnek, hanem a pénzforgalmi szolgáltatónak kell viselnie.
Ez elsőre megnyugtató hírnek tűnik. A vállalkozásoknak azonban nem szabad ebből azt a következtetést levonniuk, hogy minden csalási kár automatikusan a bank problémája lesz. A szabály kulcsa az erős ügyfélhitelesítés hiánya, a jóvá nem hagyott fizetési művelet, valamint az adott ügy konkrét körülménye.
A cégeknek tehát továbbra is nagyon komolyan kell venniük a banki hozzáférések, jóváhagyási folyamatok, utalási limitek és belső pénzügyi szabályok védelmét. A banki védelem nem ment fel a vállalkozói óvatosság alól. Inkább olyan, mint egy biztonsági háló: jó, ha van, de nem arra való, hogy szándékosan ráugráljunk.
Mi az erős ügyfélhitelesítés?
Az erős ügyfélhitelesítés lényege, hogy egy fizetési művelet vagy banki belépés ne csak egyetlen azonosítóval történjen. A rendszernek legalább két, egymástól független elem alapján kell ellenőriznie az ügyfelet. Ilyen lehet például a jelszó mellett egy SMS-kód, mobilbankos push jóváhagyás, biometrikus azonosítás vagy más biztonsági megoldás.
Az MNB közlése szerint a törvényi szabályozás alapján, ha a pénzforgalmi szolgáltató nem alkalmazta az előírt erős ügyfélhitelesítést, akkor a kibercsaláshoz köthető jóvá nem hagyott fizetési műveletből eredő kárt a szolgáltatónak kell viselnie.
Ez a gyakorlatban azért fontos, mert a banki csalások sokszor nem klasszikus betöréssel történnek. Nem valaki felfeszíti a digitális ajtót, hanem ráveszi az ügyfelet vagy a vállalkozás munkatársát, hogy kattintson, belépjen, jóváhagyjon, telepítsen vagy adatot adjon ki.
A modern csalás ritkán csörömpöl. Inkább udvariasan kopog, hivatalosnak tűnik, és azt mondja: „csak egy gyors azonosítás kell”.
Mit jelent ez a vállalkozásoknak?
Egy vállalkozásnál a banki hozzáférés általában nem magánügy. Céges pénzek, beszállítói utalások, bérfizetés, adófizetés, hiteltörlesztés, devizaszámla, bankkártyák, online fizetési rendszerek és pénzügyi szolgáltatások kapcsolódhatnak hozzá.
Ha egy csalás céges számlát érint, a következmény gyorsan működési problémává válhat. Egy nagyobb jogosulatlan utalás után elcsúszhat a bérfizetés, a szállítói fizetés, az adókötelezettség vagy egy fontos beruházás finanszírozása.
A vállalkozásoknak ezért nem elég azt figyelniük, hogy „a bank majd megoldja”. Fontos tudni, hogy ki fér hozzá a céges bankszámlához, milyen jogosultsággal, milyen limittel, milyen eszközről, és milyen jóváhagyási folyamat mellett.
A pénzügyi biztonság ott kezdődik, hogy a cég pontosan tudja: ki, mikor és mit tehet a pénzével.
Jóvá nem hagyott fizetés vagy megtévesztett jóváhagyás?
A banki csalásoknál az egyik legfontosabb kérdés az, hogy a tranzakciót az ügyfél jóváhagyta-e. Más helyzet, ha valaki valóban nem engedélyezte a fizetést, és más, ha megtévesztéssel rávették a jóváhagyásra.
A csalók gyakran éppen erre játszanak. Nem feltétlenül ellopják a hozzáférést, hanem elérik, hogy az ügyfél maga adja meg a kódot, maga hagyja jóvá a belépést vagy maga indítsa el az utalást. Ilyenkor az ügy megítélése bonyolultabb lehet.
A vállalkozásoknál ez különösen veszélyes. Egy pénzügyi asszisztens, irodavezető, könyvelő vagy ügyvezető is kaphat olyan e-mailt, telefonhívást vagy üzenetet, amely elsőre hitelesnek tűnik. A csaló hivatkozhat banki biztonsági ellenőrzésre, sürgős számlára, beszállítói változásra, cégvezetői utasításra vagy technikai hibára.
A csalás ott működik, ahol a sürgetés gyorsabb, mint az ellenőrzés.
A céges bankszámla belső szabályai
A céges bankszámlához kapcsolódó jogosultságokat rendszeresen át kell nézni. Sok vállalkozásnál évek alatt rétegeződnek egymásra a hozzáférések: régi munkatárs, volt könyvelő, korábbi ügyvezető, külső pénzügyi partner, bankkártya-használó, adminisztrátor.
Amíg nincs baj, senki nem nyúl hozzá. Amikor viszont probléma történik, hirtelen kiderül, hogy a hozzáférési térkép inkább padláson talált kábelrengeteg, mint rendezett pénzügyi rendszer.
Érdemes évente legalább egyszer ellenőrizni:
- ki látja a számlát,
- ki indíthat utalást,
- ki hagyhat jóvá nagyobb összeget,
- ki módosíthat kedvezményezettet,
- ki kezel bankkártyát,
- ki kap értesítést tranzakciókról,
- ki fér hozzá a mobilbankhoz.
A cél nem a bizalmatlanság, hanem az üzleti védelem. A jó jogosultsági rend olyan, mint egy rendes kulcstartó: minden kulcsnak gazdája van, és senki nem hord magánál olyan ajtóhoz kulcsot, amelyhez már nincs dolga.
Utalási limitek: egyszerű, de fontos védelem
Az MNB arra is felhívta a figyelmet, hogy a legtöbb banknál ingyenesen beállítható az ügyfél fizetési szokásaihoz illeszkedő tranzakciós limit, és ezek a limitek díjmentesen módosíthatók.
A vállalkozásoknak ezt nagyon komolyan kell venniük. Sok cégnél a napi limit évek óta változatlan, vagy indokolatlanul magas. Ez kényelmes lehet egy nagyobb utalásnál, de csalás esetén növelheti a kárt.
A limit nem akadály, hanem fék. Nem az a célja, hogy bosszantsa a vállalkozást, hanem az, hogy egy hibás vagy csalárd művelet ne tudjon azonnal túl nagy kárt okozni.
Érdemes külön kezelni:
- napi működési utalásokat,
- nagyobb beszállítói kifizetéseket,
bérfizetést, - adóutalást,
- devizás tranzakciókat,
- bankkártyás vásárlásokat,
- vezetői jóváhagyást igénylő tételeket.
Egy jól beállított limit nem old meg mindent, de sokszor időt ad arra, hogy a vállalkozás észrevegye a bajt.
Két emberes jóváhagyás nagyobb utalásoknál
A kisebb cégeknél gyakori, hogy egyetlen ember indít és hagy jóvá minden pénzügyi műveletet. Ez gyors, de sérülékeny.
Nagyobb utalásoknál érdemes bevezetni a két emberes jóváhagyást. Ez lehet ügyvezető és pénzügyi munkatárs, ügyvezető és tulajdonos, vagy más belső szabály szerinti kontroll. Nem kell minden apró számlát bürokratikus labirintusba küldeni, de a nagyobb tételeknél legyen második szem.
A csalók pont akkor járnak jól, ha a cégben minden egy kézben van. Egyetlen fáradt péntek délutáni kattintásból komoly veszteség lehet.
A két emberes szabály nem lassúság. Inkább üzleti biztonsági öv.
Beszállítói bankszámlaszám-változás: külön ellenőrzést érdemel
A vállalkozásoknál az egyik legveszélyesebb csalási módszer, amikor valaki egy ismert beszállító nevében új bankszámlaszámot küld. A levél formailag stimmelhet, a hangnem ismerős lehet, a számla valódinak tűnhet, csak éppen a pénz már nem oda megy, ahová kellene.
Egy cégnél ezért alapszabály kellene legyen: bankszámlaszám-változást soha nem fogadunk el kizárólag e-mail alapján. Telefonon vagy más, korábban ismert csatornán vissza kell ellenőrizni.
Fontos, hogy nem az új e-mailben szereplő telefonszámot kell hívni, hanem azt, amelyet a cég korábban már ismert. A csalók ugyanis gyakran komplett csomagot küldenek: új e-mail, új kapcsolattartó, új telefonszám, új számlaszám. Szép kis díszdoboz, csak belül pénzügyi darázsfészek lakik.
Fintech cégek és online pénzügyi szolgáltatások
A Fintech cégek sok hasznos pénzügyi megoldást hoztak a vállalkozásoknak. Gyorsabb számlanyitás, digitális felület, egyszerűbb devizakezelés, automatizált értesítések, integrációk, bankkártyák és online pénzügyi szolgáltatások segíthetik a céges működést.
De a pénzügyi innováció mellé ugyanúgy kell biztonsági gondolkodás. Ha egy vállalkozás több pénzügyi felületet használ, akkor több belépési pontot, több értesítést, több kártyát, több jogosultságot és több kockázatot is kezelnie kell.
A modern pénzügyi rendszer nem egyetlen bankfiók pultja, hanem sok összekapcsolt digitális ajtó. Mindegyikhez tudni kell, ki fér hozzá, milyen joggal és milyen védelemmel.
Kiberbiztonsági tudatosság munkatársaknál
A technikai védelem önmagában kevés, ha a munkatársak nem tudják, mire figyeljenek. A kiberbiztonsági oktatás nem luxus, hanem üzleti alapfeladat azoknál a cégeknél, ahol pénzügyi hozzáféréseket, számlákat vagy ügyféladatokat kezelnek.
Nem elég azt mondani, hogy „ne kattints gyanús linkre”. A munkatársaknak konkrét példák kellenek:
- milyen a hamis banki e-mail,
- hogyan hangzik egy csaló telefonhívás,
- mit jelent a sürgetés,
- mikor kell vezetőt bevonni,
- kihez kell fordulni gyanús ügyben,
- mit nem szabad soha megadni.
A jó oktatás nem megijeszt, hanem kapaszkodót ad. A cél nem az, hogy mindenki pánikoljon, hanem az, hogy a gyanús helyzeteknél ne automatikus kattintás legyen a válasz.
AI és felhőalapú megoldások a védekezésben
Az AI és felhőalapú megoldások egyre nagyobb szerepet kaphatnak a pénzügyi visszaélések kiszűrésében és a céges pénzügyi folyamatok védelmében. Az MNB közlése szerint a GIRO Zrt. közreműködésével működő Központi Visszaélésszűrő Rendszer mesterséges intelligencia megoldást is használ a csalások visszaszorításának támogatására.
A vállalkozások oldalán ez nem azt jelenti, hogy minden cégnek saját csalásfelderítő rendszert kell építenie. De érdemes olyan banki, számlázási, könyvelési és ügyviteli rendszereket használni, amelyek támogatják az értesítéseket, jogosultságkezelést, naplózást, limiteket és gyanús műveletek gyors felismerését.
A technológia itt olyan, mint egy éjjeliőr, aki nem alszik el. De attól még a kaput rendesen be kell zárni.
Mit ne adjon ki soha a vállalkozás?
A céges belső szabályzatban érdemes egyértelműen rögzíteni, hogy bizonyos adatokat senki nem adhat ki telefonon, e-mailben, SMS-ben vagy chatben.
Ilyen például:
- netbanki jelszó,
- mobilbankos jóváhagyó kód,
bankkártya-adat, - ügyfélkapus belépési adat,
- céges e-mail fiók jelszava,
- távoli hozzáférést biztosító program engedélyezése,
- könyvelői rendszer hozzáférése,
- egyszer használatos azonosító.
A csalók sokszor nem egyszerre kérnek mindent. Először csak ellenőriznek, aztán segítenek, majd biztonsági okból kérnek még valamit. Ez a fokozatosság teszi őket veszélyessé.
Mit tegyen a cég gyanús hívás vagy üzenet esetén?
Ha valaki bank nevében telefonál, és jelszót, kódot, belépési adatot vagy távoli hozzáférést kér, a legjobb válasz a hívás megszakítása. Nem kell vitatkozni, nem kell bizonyítani, nem kell udvariasan végighallgatni a történetet.
Utána a bank hivatalos, korábban ismert elérhetőségén kell ellenőrizni, valóban volt-e probléma. Nem a hívó által diktált számot kell visszahívni, és nem az e-mailben szereplő linkre kell kattintani.
Ha adat már kikerült, azonnal lépni kell: bank értesítése, hozzáférések zárolása, jelszócsere, tranzakciók ellenőrzése, belső vizsgálat, szükség esetén rendőrségi feljelentés.
Ilyenkor minden perc számít. A csalásoknál a gyors reakció néha több pénzt ment meg, mint a hosszú utólagos levelezés.
Céges pénzügyi audit évente egyszer
A vállalkozásoknak érdemes évente legalább egyszer pénzügyi hozzáférési auditot tartaniuk. Ez nem feltétlenül nagy tanácsadói projekt, lehet egy belső ellenőrzőlista is.
Érdemes átnézni:
- banki jogosultságok,
- bankkártyák,
- utalási limitek,
- mobilbankos eszközök,
- könyvelői hozzáférések,
- számlázóprogram,
- fintech szolgáltatások,
- belső jóváhagyási szabályok,
- értesítési beállítások,
- vészhelyzeti eljárás.
A céges adminisztráció és a pénzügyi biztonság sok ponton összeér. Ha a vállalkozás rendben tartja a hozzáféréseket, könnyebben kezeli a hibát, a csalási kísérletet és a vitás banki ügyet is.
