Six conseils pour protéger votre organisation de la fraude aux paiements

Le mois de la sensibilisation à la cybersécurité prend fin. Il est judicieux que les services trésorerie et finance vérifient l’intégrité de leurs infrastructures et s’assurent que leurs protections sont satisfaisantes, surtout en matière de fraude aux paiements.

Le message est clair : avec des processus forts, appliqués de manière systématique, qui protègent vos paiements de A à Z, vous réduisez de manière significative le risque qu’une fraude aux paiements aboutisse.

La menace de l’usurpation d’identité

En matière de fraudes aux paiements, 2021 a été aussi mauvaise, si ce n’est pire, que l’année précédente selon une enquête réalisée par AFP sur les fraudes aux paiements en 2022. Même si les escroqueries BEC (Business Email Compromise) ont diminué l’an dernier, de nombreuses entreprises se font encore prendre dans les mailles du filet et perdent beaucoup d’argent.

L’usurpation d’identité et au cœur des escroqueries BEC et des développements plus récents comme la « fraude au Président ». Les cybercriminels utilisent des stratégies d’ingénierie sociale pour créer des profils basés sur des collaborateurs ou des fournisseurs réguliers d’une entreprise. Ils usurpent ensuite leur identité pour pousser des personnes qui ne se doutent de rien à commettre des fautes graves.

Afin de démasquer un usurpateur d’identité, vous devez reconnaître certains signes qui ne trompent pas. La demande de paiement sera très probablement urgente et se fera dans des circonstances exceptionnelles (lorsque les collaborateurs ne sont pas au bureau par exemple). Si votre organisation effectue de nombreux paiements à des sous-traitants pour un projet, les fraudeurs peuvent s’engouffrer dans cette faille.

Par exemple, Philabundance, une banque alimentaire de Philadelphie a perdu près d’un million de dollars à cause d’une escroquerie BEC. La banque alimentaire était en train de concevoir une cuisine communautaire de 12 millions d’euros. L’équipe en charge de la comptabilité fournisseur a reçu une facture d’une soi-disant entreprise de construction et a effectué le paiement.

L’administration du Comté de Cabarrus, en Caroline du Nord, a aussi été victime d’une escroquerie BEC. Le comté a tenté d’envoyer l’argent à un sous-traitant avec qui il avait travaillé pour la construction d’un nouveau lycée. Par le biais d’une série d’e-mails qui a commencé fin 2018, l’arnaqueur a demandé de mettre à jour les informations bancaires. Le comté n’a fait aucune vérification préalable et a fini par envoyer plus de 2,5 millions de dollars au compte frauduleux. 776 000 $ à finalement pu être récupéré, mais 1,7 million de dollars n’a jamais été retrouvé.

Idées reçues concernant les fraudes

Les services finances et trésorerie se croient plus protégés qu’ils ne le sont des fraudes aux paiements. Les entreprises pensent que leurs procédures sont infaillibles ou que tous les fonds perdus seront remboursés. Elles se font rapidement rattraper par la réalité quand une attaque aboutit. Voici quelques idées reçues courantes.

« Nous avons un processus d’approbation. » Même les entreprises avec les règles les plus strictes peuvent avoir des failles dans leurs processus. L’ID et le mot de passe d’un collaborateur peuvent être volés. Les centres régionaux de trésorerie/de services partagés peuvent avoir besoin de moins d’approbations, car il y a moins de personnel. Les entreprises avec plusieurs systèmes ERP peuvent avoir différents processus d’approbation, une situation propice aux fraudes.

« Ma banque va me couvrir. » Les banques n’ont aucune obligation à couvrir leurs clients s’ils subissent une fraude aux paiements, sauf si la faille vient de la banque elle-même, par exemple causée par une combine venant des employés de banque. La banque peut rembourser ses clients au cas par cas, mais ne comptez pas dessus.

« Nous avons une assurance contre les cyber-risques. » De nombreuses entreprises pensent qu’en souscrivant une assurance contre les cyber-risques, elles sont couvertes en cas de perte. Cependant, si une organisation ne peut pas prouver qu’elle a pris toutes les mesures nécessaires pour se protéger, il est très probable que l’assurance ne couvre pas la perte. Beaucoup de contrats ne prennent pas en charge les escroqueries BEC, car elles impliquent l’erreur d’un employé. Dans plusieurs actions en justice, des compagnies d’assurance avaient refusé de couvrir les dommages et la Cour a statué en leur faveur. De plus, même si l’assurance contre les cyber-risques est d’accord pour rembourser, vous devrez sûrement payer une franchise élevée de toute façon. Dans certains contrats, le coût peut s’élever à des dizaines de milliers de dollars.

Que pouvez-vous faire ?

Heureusement, il existe plusieurs façons de protéger vos paiements et vos données. Voici quelques conseils.

Adoptez le Cloud. Les entreprises ont tout intérêt à adopter les technologies Cloud pour sécuriser leurs paiements et systèmes. Les équipes informatiques savent que les données de paiement et la connectivité sont plus sécurisées si elles sont hébergées en externe. En revanche, toutes les solutions Cloud ne se valent pas. Les solutions comme Kyriba Enterprise Security garantissent que les données de trésorerie, de paiements et de risques respectent la politique de sécurité interne et les exigences de sécurité internationales. Elles fournissent en parallèle un support global 24h/24 et 7j/7.

Alignez tous les services. Votre service informatique et tous les départements qui sont impliqués dans le traitement des paiements comme la trésorerie, les comptes fournisseur, les services partagés, etc. doivent respecter votre politique de sécurité. De plus en plus d’entreprises autorisent le télétravail. Elles doivent donc s’assurer que tous les collaborateurs utilisent des moyens de protection efficaces comme des mots de passe robustes, des contrôles de politique, l’authentification multifacteurs, le filtrage des adresses IP, l’authentification unique (SSO) et le chiffrement des données.

Automatisez les processus de paiement et standardisez les contrôles. L’automatisation permet aux organisations de standardiser le processus de traitement des paiements, de la demande initiale à la réception. Les risques surgissent lorsqu’il existe des exceptions au processus de paiement : les paiements effectués hors du cadre standard représentent des opportunités pour les fraudeurs. Il s’agit souvent de paiements uniques et urgents dont le motif peut être lié à une fusion/acquisition, des transactions juridiques, un salaire urgent, etc.

Mettez en place des contrôles, alertes et notifications en temps réel. Avec l’essor des systèmes de paiement le jour même et en temps réel, il est nécessaire de pouvoir contrer instantanément les tentatives de fraude. Les logiciels modernes de détection des fraudes utilisent l’intelligence artificielle (IA) et le Machine Learning pour comparer les paiements aux anciennes données et repérer des anomalies.

Implémentez des workflows de prévention de la fraude. Les modules de fraude aux paiements modernes prennent en charge des workflows de bout en bout entièrement automatisés pour la résolution des paiements suspects. Les utilisateurs peuvent déterminer la manière dont un paiement détecté doit être géré, imposant de séparer les tâches entre l’initiateur, l’approbateur et le contrôleur.

Apprenez à connaître vos fournisseurs. Les fournisseurs peuvent représenter un risque non-négligeable pour votre entreprise. Parfois, ils ont accès aux informations d’identification réseau de leurs clients. Les fournisseurs qui n’ont pas de protocoles de sécurité suffisant peuvent devenir une faille dans les systèmes de leurs clients. C’est ce qui est arrivé pendant le piratage massif du groupe Target en 2013. Il faut donc impérativement avoir un questionnaire de sécurité de l’information détaillé pour pouvoir faire confiance aux programmes de gouvernance et de risques des fournisseurs. En outre, avec les escroqueries BEC qui se multiplient, les organisations doivent absolument vérifier les demandes de modification d’instructions de paiement directement auprès du fournisseur, avant d’effectuer toute transaction.

Protégez vos paiements

Pour réduire les risques et protéger les paiements, les organisations doivent avoir une solution unifiée qui connecte les ERP aux systèmes internes et externes et permet un paiement sécurisé de bout en bout. S’il y a des exceptions, les protocoles ne doivent pas être négligés, peu importe le degré d’urgence de la demande. Tous les services qui s’occupent des paiements doivent comprendre qu’un petit écart peut entraîner des conséquences catastrophiques : perte d’argent, perte d’emploi et mauvaise réputation pour l’ensemble de l’entreprise.

Kyriba est là pour vous aider à protéger votre entreprise des fraudes aux paiements. Découvrez-en plus ici..