在新冠疫情期间被迫居家办公，应付账款部门加速了摆脱纸质支票的计划，并通过 ACH（自动清算所）向更多供应商付款。这反过来又加速了另一个趋势：欺诈。通过社会工程手段，针对 ACH 贷记的欺诈攻击通常被称为商业电子邮件入侵（BEC）。
根据 2020 年 AFP 支付与欺诈控制调查报告，2019 年首次出现 BEC 方案成为最常见的欺诈攻击类型，75% 的组织遭受了此类攻击，其中 54% 报告了财务损失。在 37% 的 BEC 方案中，目标指向了 ACH 贷记——即从买方到供应商的 outgoing 付款。
这一问题在 2020 年进一步恶化。ACFE 在其新冠疫情后的欺诈基准报告 9 月刊中指出，90% 的受访者表示，从 7 月到 8 月期间网络欺诈频率有所增加，其中包括 BEC。
四分之三的受访者表示，在当前环境下，预防和发现欺诈变得更加困难，超过 90% 的受访者预计攻击将会增加。组织正面临围攻，近三分之一的组织未从银行合作伙伴处获得关于缓解 ACH 贷记风险的任何指导。
组织能做什么？
击败 BEC 需要多管齐下的方法。持续的防欺诈培训非常重要，因为这些邮件每天都在变得更具说服力。欺诈者已成为用户数据和 A/B 测试方面的专家，从而减少了让受害者察觉账户发生非法变化的警示元素。强大的内部控制同样重要，包括网络安全，以防止各方访问内部系统。
以下是四种降低 ACH 贷记欺诈风险的方法。
1. 小心处理
thwarting ACH credit fraud 的关键在于安全地处理供应商的银行数据，应付账款部门必须拥有这些数据才能将付款文件传输给银行。这些数据通常存储在 ERP 系统中，有时也存储在 Excel 电子表格中，这些记录是在供应商入职期间由 AP 工作人员录入的。有时，当供应商更新其信息时也会存储这些数据。欺诈性的变更请求是最常见的攻击途径之一。
假设你有一位尚未完全接受培训的新的应付账款人员。此人收到一封来自供应商的电子邮件，要求更新其银行账户信息。
你的新员工急于取悦对方，便执行了该请求，输入了一个新的路由号码和银行账户，却不知第二天将有一笔价值百万美元的付款汇往该供应商。直到两周后，真正的供应商打电话催款时，大家才意识到发生了什么。
那时已经太晚，无法追回 ACH 付款。你可以联系 FBI 和银行。他们可能会尝试帮助你，但如果窃贼足够狡猾，他们早已将资金转移到离岸账户，钱款已彻底消失。
2. 保护信息
你绝不应使用不安全的电子邮件来更新银行信息，尽管令人惊讶的是，仍有大量公司这样做。黑客拦截这类电子邮件并利用其中的信息进行牟利非常容易。如果他们获取了联系方式或银行账户信息，他们可以冒充合法供应商并绕过内部控制。一些企业甚至将信息保存在电子表格或 ERP 系统中，但像这样的系统并非设计用于安全存储数据。
有些公司允许供应商在供应商门户中自行更新信息。只要公司管理好门户的安全访问权限并验证所有更新，这可能可行。然而，如果供应商可以登录并更新信息，那么黑客很可能以极少的阻力访问相同的信息。
迄今为止，我所见过的最复杂的方法包括一个经过培训的采购团队，负责验证和确认所有传入的变更。
这种方法有几个缺点。它是一项重大的 IT 投资，并且需要大量人力投入。即便如此，它仍然容易受到内部欺诈的影响。归根结底，即使是最完善的系统也存在风险。目标是尽量减少这些风险。
3. 关注费用
公司经常试图将风险和时间的负担转嫁给他人，并取得了一定成功。例如，他们可能选择通过信用卡向供应商付款，这将风险转移给了信用卡网络。在发生卡欺诈的情况下，付款更有可能被取消或退款。
虚拟卡提供了更高的安全性，因为它们提供唯一的号码，只能由指定的供应商用于指定金额。主要的缺点是并非所有供应商都接受刷卡——需要考虑费用问题。
我熟悉的一个组织通过 PayPal 向许多供应商付款。他们的供应商——大多数是小企业——遍布全球。应付账款部门没有时间和人员来验证付款信息、核实银行账户以及处理持续更新。作为中介，PayPal 处理所有这些事务，并保证资金到达正确的位置。但是，同样地，供应商需支付高昂的费用——大约在 3% 左右。
4. 转移风险
目前确实没有完美的系统，这也是为什么随着 ACH 支付的增加，ACH 贷记欺诈也在上升的原因。但有一种完美的方式可以将风险转移到那些专门构建以承受验证和确认负担的公司身上。今天的支付自动化提供商管理供应商信息，因此各公司不再需要花费宝贵时间在此之上。这类似于将 reins 交给 IT 和采购部门，以锁定数据库并实施控制。不同之处在于，与提供商合作可以消除时间投资和法律责任。
将支付自动化提供商视为一种外包风险的手段。他们的唯一重点是确保向供应商安全、准时付款，而不会造成昂贵的开销。他们已经为美国成千上万的应付账款部门完善了系统和流程，这是企业难以复制的。
企业过去最担心的是支票欺诈。虽然他们仍需关注这方面，但它已成为一种易于理解和规划的低技术形式欺诈。随着公司向电子支付方式转变，他们越来越多地遭遇针对更大金额且更难防御的复杂网络攻击。随着此类攻击的增长，企业可能会发现，外包专业人士是最好的防御手段。
_________________________________________________________________________