Ebben a cikkben
Kedd délután van. Hív a megszokott hústeszállítód — azonnal felismered a hangját, ugyanaz az ember, akivel három éve dolgozol együtt. Sietősnek tűnik: az étterem bankja új rendszerre váltott, és a mai fizetést másik számlára kell küldeni. Rögtön elküldi WhatsAppon. Tudsz-e most utalni, éppen két szállítás között van?
A hang nem hamis. Pontosan úgy hangzik, mint ő. És pontosan ez változott meg: egy helyesen hangzó hang már nem bizonyítéka annak, hogy a megfelelő emberrel beszélsz.
Ami valójában megváltozott
A számlacsalás olyan régi, mint maguk a számlák — hamisított levél, egy betűvel eltérő domainről küldött hamis e-mail, egy nem egészen egyező aláírás. Az éttermek nagyrészt már megtanulták felismerni az ilyesmit: egy "könyvelőtől" érkező e-mail egy extra szóközzel a címben gyanút kelt.
Az új dolog a hang. A McAfee biztonsági cég kutatása kimutatta, hogy körülbelül három másodperc hang elegendő ahhoz, hogy egy hangot közel 85%-os pontossággal klónozzanak — elég ahhoz, hogy egy gyakorlott fület, nemhogy egy sietős fület meggyőzzön. Ez a három másodperc mindenhol megtalálható: egy hangposta üzenet, egy Google-értékelésre adott válasz, amelyet maga a beszállító mondott fel, egy podcast-epizód részlete. Senkinek sem kell semmi szokatlant tennie ahhoz, hogy ez a hang nyilvánossá váljon; gyakran már ott is van.
Nehéz pontosan számszerűsíteni ennek a jelenségnek a mértékét a független éttermeknél — a legtöbb esetet soha nem jelentik, szégyenérzetből vagy mert az összeg túl kicsinek tűnt. Ami dokumentált: nagyobb vállalatoknál az ilyen típusú eset átlagos vesztesége (amelyet az USA-ban az FBI "Business Email Compromise" néven követ) tízezrekre vagy százezrekre rúg euróban, és az esetek száma évről évre nő. A mechanizmus, amely ott működik, pontosan ugyanaz, ami egy kis konyhán is működik — csak az összeg más.
Az ok, amiért egy független vállalkozás különösen kitett, nem technikai, hanem szervezeti jellegű. Egy nagyobb vállalatnál egy ember készíti elő a fizetést, egy másik hagyja jóvá. Egy étteremben ez gyakran ugyanaz a személy — a tulajdonos, vagy bárki, aki éppen az asztalnál ül két műszak között. Egy kérés, amely úgy hangzik, mintha valakitől jönne, akiben már megbízol, pontosan azért van kitalálva, hogy megkerülje azt a második ellenőrzést, amit egy nagyobb vállalat alkalmazna.
Egyetlen hívás anatómiája
Öt pillanat, mindegyik egy jellel és egy megállással
Egy üzenet vagy hívás, amely sürgős, kissé a megszokott csatornán kívül (WhatsApp e-mail helyett) vagy furcsa időpontban — általában kifogással ("a bank rendszert váltott", "megváltoztattuk a számlát").
Egy valódi beszállító vagy könyvelő soha nem siet egy banki adattal kapcsolatban. A várakozás nekik nem kerül semmibe; neked mindent kerül, ha most fizetsz.
A hang helyesen hangzik — de nyomás van arra, hogy még ma cselekedj, és ne ellenőrizd előbb senkivel. "Tartsuk egyszerűen", vagy "nem akartalak zavarni a részletekkel".
Egy valódi üzleti partner megérti, hogy ellenőrizni akarsz. Aki ezt elhárítja, az öt közül a legvilágosabb jelet adja.
Arra kérnek, hogy ne említsd a partnerednek, könyvelődnek vagy bárki másnak, aki rendszerint közreműködik a döntésben — "az egyszerűség kedvéért" — vagy azt mondják, hogy a szokásos kapcsolattartó éppen most nem elérhető.
Ez az öt közül a legvilágosabb jel. Egy valódi beszállító soha nem kéri, hogy titkolj el valamit a saját könyvelőd elől.
Megváltoztatott bankszámlaszám egy meglévő vagy közelgő számlán — néha kis eltérés az évek óta használt számhoz képest, néha teljesen más, "csak ez egyszer".
Hívd vissza azt a számot, amelyet már korábban is használtál, még ez a beszélgetés előtt — soha ne azt, amelyik ugyanabban az üzenetben érkezik, amely a változtatást kéri.
Amint a pénz egy szokásos banki átutalással elindul, szinte azonnal elveszik — a kártyás fizetéssel ellentétben itt nincs automatikus visszafizetés.
Ez az utolsó pillanat, és pontosan ezért minden korábbi pillanat a valódi védelmi vonal. Ha idáig eljutsz, minden azon múlik, milyen gyorsan hívod a bankot (lásd lent).
E öt pillanat bármelyikében egyetlen szokás elég ahhoz, hogy megállítsd: hívj vissza egy olyan számot, amelyet már korábban is használtál, soha ne azt, amelyik a változtatást kérő üzenetben van.
E öt pillanat egyikének felismeréséhez sincs szükség technikai tudásra. Csak azt kell tudni, mire figyelj — és hogy ez a szokás már a hívás előtt megvan.
A visszahívási protokoll
Van egy szokás, amely mindegyik fenti pillanatban működik, és szinte semmibe sem kerül: egy megváltoztatott fizetési adatot mindig olyan elérhetőségekkel ellenőrizz, amelyeket már korábban is ismertél — soha ne egy olyan számmal, e-maillel vagy linkkel, amely ugyanabban az üzenetben érkezik, amely a változtatást kéri. Hívd a telefonodban elmentett számot, vagy azt, ami az utolsó számlán szerepelt. Ne azt, aki éppen most hívott.
Három szabály teszi ezt a protokollt alkalmazhatóvá egy olyan konyhában, ahol senkinek sincs ideje egy megfelelőségi osztályra:
- Minden megváltoztatott banki adat megérdemel egy második szempárt — akár egy kétfős vállalkozásban is. Ez a partnered, a könyvelőd, vagy bárki, aki nem ugyanaz a személy, aki fogadta a hívást ÉS elküldi a fizetést. Egyetlen ember, aki mindkettőt teszi, pontosan az a helyzet, amit a csalás keres.
- Egy nagy számlán történő első változtatás megérdemel egy rövid szünetet — egy napot, vagy amíg el nem éred a beszállítót a régi számon. Egy valódi változtatás könnyen túléli ezt a szünetet; egy csalárd szinte soha, mert a nyomás, hogy most cselekedj, volt az egész lényeg.
- Egyezz meg a csapatoddal, hogy senkit sem fognak kinevetni egy ellenőrző hívás miatt. A fő ok, amiért ez a protokoll kudarcot vall, nem a tudatlanság — hanem az, hogy valaki kényelmetlenül érzi magát, hogy visszahívja a beszállítót, "hogy ellenőrizze, tényleg ő volt-e". Tedd ezt normává, ne kivétellé.
Visszahívás nélkül versus visszahívással
Ugyanaz a kérés, két út
Megérkezik az üzenet megváltoztatott bankszámlaszámmal
A fizetés azonnal megtörténik
A pénz elveszett — visszatérítés nem lehetséges
Megérkezik az üzenet megváltoztatott bankszámlaszámmal
Visszahívás a már ismert számon (< 2 perc)
Csalás lelepleződik — semmi sem veszett el
A védekezés kevesebb mint két percbe kerül. A hiba, amit megelőz, annyiba kerül, amennyi a számlán volt.
Mennyire gyanús ez a hívás?
Az alábbi jelek egyike sem bizonyítja önmagában a csalást — de minél több van jelen belőlük, annál erősebb az ok arra, hogy fizetés előtt visszahívj. Jelöld be, mi vonatkozik egy éppen most lezajlott, vagy éppen zajló hívásra.
Kockázatellenőrzés erre a hívásra
Jelöld be, mi vonatkozik — az ítélet automatikusan frissül
Ítélet
Alacsony kockázat
Kevés jel van jelen. Mégsem árt visszahívni az ismert számot a megerősítés előtt — ez két percbe kerül.
0 / 7 bejelölt jel
Ez a lista nem pótolja a józan eszet — egy jel nélküli hívás még mindig lehet csalás, és önmagában egyetlen jel sem bizonyít semmit. Ez egy emlékeztető arra a pillanatra, amikor sietséget érzel, és ellenőrizni akarod, hogy ez normális-e.
Ha már megtörtént
Ha csak az átutalás után jössz rá, hogy valami nem stimmelt, minden perc számít. Ezt tedd, ebben a sorrendben:
- Azonnal hívd a bankod csalásvonalát — ne az általános ügyfélszolgálatot. A bankok néha még vissza tudnak hívni egy átutalást, amíg a pénz nem érkezett meg teljesen a fogadó számlára, de ez az időablak általában perces-néhány órás, nem napos.
- Tegyél feljelentést a rendőrségen. Még ha az összeg kicsinek is tűnik: a feljelentés szükséges egy esetleges biztosítási igényhez, és segít a rendőrségnek felismerni a mintát, ha ugyanaz a csaló más vállalkozásokat is megcéloz.
- Tájékoztasd a valódi beszállítódat vagy könyvelődet. Ők figyelmeztethetik más ügyfeleiket, akik ugyanezt a hívást kaphatják — és számukra is éppolyan kellemetlen, hogy a nevüket és hangjukat így használják.
- Ne szégyelld jelenteni a csapatodnak. Ez minden méretű vállalkozással megtörténik: 2024-ben egy német energiacég brit leányvállalata állítólag 220 000 eurót utalt át, miután az igazgatója egy hívást kapott, amely pontosan úgy hangzott, mint a német anyavállalat vezérigazgatója, klónozott hanggal, egy üzlet lezárásához sürgős fizetést kérve. Ha ott megtörténhet, akkor nem személyes kudarc, ha veled történik meg.
Ezen a héten beállítandó
Négy dolog, amit ezen a héten bevezethetsz, rendszer vagy költségvetés nélkül:
- Írd le szó szerint a visszahívási protokollt — egy sor egy papíron a pénztár vagy az asztal mellett: "Megváltoztatott banki adat: hívd vissza a régi számot, soha az újat."
- Mondd el mindenkinek, aki fizetésekkel foglalkozik — beleértve azt is, aki a szabadnapodon fizet ki egy számlát.
- Egyeztess egy kódszóban vagy ellenőrző kérdésben a szokásos beszállítóiddal és a könyvelőddel telefonos változtatásokra — valamiben, amit egy klónozott hang egyszerűen nem tudna.
- Gondoskodj egy második szempárról minden olyan fizetésnél, amely meghalad egy általad jelentősnek tartott összeget — még akkor is, ha ez azt jelenti, hogy a partnered vagy könyvelőd üzenetet kap, mielőtt megnyomod a küldést.
A lényeg
Egy klónozott hang azért meggyőző, mert pontosan az, aminek állítja magát: egy helyesen hangzó hang. Ami nem hangzik helyesen, az a sietség, a hallgatásra való kérés és a megváltoztatott szám — és ez a három felismerhető bármilyen technikai tudás nélkül. Egyetlen szokás, hogy egy már ismert számot hívj vissza, megállítja e történet szinte minden verzióját, mielőtt bármi pénz elmenne.