Bagaimana penipuan ini biasanya berfungsi
Ini dikenali sebagai penipuan e-mel perniagaan (business email compromise, BEC). Penipu memperoleh akses kepada — atau memalsukan secara meyakinkan — akaun e-mel pembekal, kemudian menghantar invois kepada perniagaan anda atau mesej yang menyatakan butiran akaun bank pembekal telah "bertukar" dan bayaran akan datang perlu dihantar ke akaun baharu. Kerana ia kelihatan datang daripada rakan niaga sebenar yang dikenali, dan selalunya merujuk nombor invois sebenar atau projek yang sedang berjalan, ia tidak kelihatan seperti orang asing yang meminta wang — ia kelihatan seperti surat-menyurat perniagaan biasa.
Dalam versi yang lebih sabar, penipu berada dalam rantaian e-mel sebenar yang telah digodam selama beberapa hari atau minggu, memerhati secara senyap bagaimana perniagaan anda dan pembekal biasanya berkomunikasi, sebelum menyisipkan arahan bayaran palsu pada saat yang paling merosakkan — sejurus sebelum invois sebenar tertunggak, atau semasa bayaran sekali sahaja yang besar seperti deposit atau penyelesaian akhir. Menjelang penipuan itu disedari, wang selalunya sudah dipindahkan keluar daripada akaun penerima.
Pertahanannya bersifat prosedur, bukan soal membaca dengan lebih teliti: jangan sekali-kali tukar cara anda membayar pembekal, atau ke mana anda menghantar bayaran, berdasarkan arahan e-mel semata-mata — tidak kira betapa meyakinkan e-mel itu kelihatan, betapa sepadan ia dengan surat-menyurat lalu, atau betapa mendesak nada e-mel itu. Sebelum membayar ke akaun baharu atau "bertukar" mana-mana, sahkan perubahan itu secara lisan dengan pembekal melalui telefon, menggunakan nombor yang sudah anda ada dalam rekod — bukan nombor yang diberikan dalam e-mel yang mencurigakan itu sendiri. Rujuk Cara sahkan butiran bank pembekal sebelum membayar invois untuk prosedur telefon semula yang lengkap.
Tanda amaran
- Notis pertukaran akaun bank yang tiba melalui e-mel, tanpa sebarang pengesahan lain
- Tekanan masa luar biasa, terutamanya bertepatan hampir dengan tarikh bayaran sebenar
- Alamat penghantar, format invois, atau nada penulisan yang berbeza sedikit daripada surat-menyurat sebelumnya
- Nombor telefon semula disertakan dalam mesej yang sama, berbanding nombor yang sudah anda ada
- Permintaan untuk merahsiakan pertukaran itu atau memintas proses kelulusan biasa perniagaan anda
Jika anda sedang disasarkan sekarang
Jangan bayar, dan jangan balas e-mel itu untuk mengesahkan apa-apa. Hubungi pembekal menggunakan nombor telefon yang sudah anda ada dalam rekod — daripada kontrak sebelumnya, rekod anda sendiri, atau laman web rasmi mereka — bukan mana-mana nombor dalam mesej yang mencurigakan — dan sahkan secara lisan sama ada pertukaran akaun itu benar sebelum sebarang bayaran dibuat. Jika perniagaan anda menggunakan alat bayaran atau penyaringan penipuan, dakwaan pertukaran butiran bank digabungkan dengan permintaan bayaran adalah tepat corak yang sepatutnya ditandakan sebagai berisiko tinggi — anggap tanda itu serius berbanding mengatasinya di bawah tekanan masa.
Jika anda sudah menghantar bayaran
Rujuk Kena scam di Malaysia? 24 jam pertama untuk langkah tepat yang perlu diambil seterusnya — setiap jam penting untuk menyekat pemindahan, dan panduan itu merangkumi siapa dihubungi, dalam susunan apa, dan apa perlu disimpan sebagai bukti.
Soalan Lazim
Kami sudah membayar pembekal ini dengan cara yang sama selama bertahun-tahun — mengapa perlu sahkan sekarang?
Sejarah itulah sebabnya serangan ini berjaya — permintaan itu kelihatan biasa kerana ia direka begitu. Hubungan jangka panjang adalah sebab penipu menyasarkan rantaian e-mel itu, bukan sebab untuk melangkau pengesahan. Kos sekali panggilan telefon jauh lebih rendah daripada kos bayaran yang tidak dapat dipulihkan ke akaun yang salah.
E-mel itu datang daripada alamat e-mel sebenar pembekal — bukankah itu membuktikan ia benar?
Tidak semestinya. Jika akaun pembekal sendiri telah digodam, mesej yang dihantar daripadanya memang benar-benar daripada alamat mereka tetapi bukan benar-benar daripada mereka. Inilah sebabnya langkah pengesahan perlu berlaku melalui saluran berasingan — panggilan telefon ke nombor yang sudah anda ada — berbanding mempercayai rantaian e-mel itu sendiri, tidak kira betapa sah alamat itu kelihatan.
Apakah tabiat paling penting untuk dibina dalam proses bayaran kami?
Anggap sebarang arahan pertukaran akaun bank, daripada mana-mana pembekal, memerlukan panggilan telefon semula secara lisan ke nombor yang diketahui sebelum bayaran pertama dihantar ke akaun baharu — setiap kali, tanpa pengecualian atas tekanan masa atau kedudukan sesiapa yang meminta. Rujuk Cara sahkan butiran bank pembekal sebelum membayar invois untuk prosedur lengkap.