איך מאמתים בקשת תשלום בקול מזויף בלי להסתמך על זיהוי הקול

התמקדו בהחלטה העסקית ולא בניחוש אם הקול אמיתי

FTC מתאר שימוש בשכפול קול לצורכי התחזות וממליץ ליצור קשר מחדש במספר ידוע. המקור עוסק בהונאות חירום משפחתיות; העיקרון של אימות עצמאי יכול לתמוך גם בנוהל עסקי. הוא אינו כלי לזיהוי הקלטה ואינו מבטיח שכל ניסיון התחזות ייחשף.

הגדירו מסלול אימות שאינו מגיע מהשיחה החשודה

מספר חדש שהדובר מכתיב, קישור לאישור או הודעה עוקבת באותו ערוץ אינם אימות עצמאי. חזרו דרך ספר קשרים עסקי מתוחזק או מערכת מאושרת. שאלו על הבקשה המסוימת ועל הסמכות לאשרה. גם אם זוהתה זהות האדם, שינוי יעד תשלום עדיין צריך לעבור את הנוהל המתאים.

הטבלה היא תהליך מקורי להתאמה לעסק. קובעים מי רשאי לאשר, מי מחליף אותו ומה עושים כאשר לא מצליחים להשיגו. מסלול חלופי מוגדר מראש עדיף על החלטה מאולתרת תחת לחץ של דובר שמבקש דחיפות או סודיות.

סימני לחץ הם עילה לבירור, לא מבחן מוחלט

בקשה לשמור סוד מהצוות, להשתמש ביעד חדש או לדלג על אישור היא סיבה לעצור לבירור. גם תקלה כביכול בווידאו או סירוב לחזרה יכולים להיות רלוונטיים. אף סימן בודד אינו מוכיח זיוף, והיעדר סימנים אינו מאשר עסקה. תהליך הבדיקה צריך לפעול גם כשהשיחה נשמעת רגועה ומקצועית.

אל תבקשו מהדובר קוד אימות או סיסמה כדי להוכיח שהוא המנהל. מילת קוד או שאלת ידע עשויות להיות לכל היותר שכבה נוספת לפי תכנון העסק, ולא מנגנון יחיד. פרטים אישיים ועסקיים יכולים להיות מוכרים לאחרים, והחלטה כספית אינה צריכה להישען על טריוויה.

דוגמה: בקשה חריגה כשהמאשר הראשי אינו זמין

התרחיש להמחשה בלבד. עובד מקבל שיחה שנשמעת כמו המנהל בזמן נסיעה, עם בקשה לשנות יעד של תשלום מיידי. הוא מפעיל את מסלול החזרה המוכר ואת בדיקת השינוי, ובאין מענה פונה למחליף שהוגדר מראש. הוא אינו מאשר תשלום על סמך ההסבר שהמנהל לא יכול להשתמש בערוץ הרגיל.

תוצאת הבירור נרשמת לפי העובדות: לא הושג אימות, או שהבקשה אומתה על ידי בעל סמכות. אין צורך לקבוע מתוך ההקלטה מי התוקף או באיזו טכנולוגיה השתמש. כך אותו נוהל עוזר גם נגד התחזות פשוטה שאינה כוללת בינה מלאכותית.

אם כבר נמסר מידע או בוצעה פעולה

בדקו מה נעשה: מסירת פרטי חשבון, קוד אימות, אישור גישה, שינוי רשומה או העברה. יש לטפל בהשפעה של כל פעולה, ולא רק לחסום את המספר שממנו הגיעה השיחה. אם הועבר כסף בחשד להונאה, פונים מיד לבנק בערוץ הרשמי ומבררים אפשרויות טיפול ללא הבטחת השבה.

שמרו תיעוד זמין באופן מורשה, כולל זמן ובקשה, בלי לפרסם הקלטות או מידע אישי בקבוצות פתוחות. מערבים את האחראי הטכני כאשר ניתנה גישה או נמסר אמצעי אימות. דיווח טכני למערך הסייבר בישראל עשוי לסייע, לצד פנייה לגורמים הרלוונטיים לאירוע.

תרגלו את הנוהל בלי להפיק הקלטת התחזות

אפשר לקיים תרגיל שולחני: מציגים בקשה מלאכותית ושואלים מאין מביאים את המספר המוכר, מי רשאי לאשר ומה עושים כשאין מענה. אין צורך לשכפל קול של עובד או ליצור שיחת הפחדה כדי לבדוק את חלוקת הסמכויות. תרגיל מועיל חושף פער בתהליך ומגדיר לו אחראי.

בדקו שהנוהל חל גם על העברת קובץ, איפוס חשבון או מסירת הרשאה, לפי רגישותם. הגנות טכניות על חשבונות והפרדת תפקידים יכולות לתמוך בבקרה. בדיקת סייבר אינה אישור פיננסי לפעולה מסוימת, ואינה מבטיחה זיהוי טכני של כל קול סינתטי.