Laskuhuijaus yritykselle: miten toimitusjohtajahuijaus etenee ja kaksi sääntöä, jotka pysäyttävät sen

Laskuhuijauksessa ei murtauduta mihinkään, vaan yrityksen oma ihminen saadaan maksamaan vapaaehtoisesti. Tällä sivulla on huijauksen neljä vaihetta tunnistettavassa muodossa, kaksi maksuprosessin sääntöä jotka katkaisevat ketjun, ja toimintaohje siltä varalta että maksu ehdittiin tehdä.

Laskuhuijaus ei ole tietomurto. Siinä ei rikota mitään teknistä suojaa, vaan saadaan yrityksen oma ihminen tekemään maksu vapaaehtoisesti. Siksi siltä ei suojaudu ohjelmistolla vaan maksuprosessilla, ja kaksi kirjattua sääntöä riittää estämään suurimman osan tapauksista.

Nuo kaksi sääntöä ovat: yli sovitun euromäärän menevää maksua ei tehdä yksin, ja maksutietojen muutos vahvistetaan aina puhelimitse numeroon, joka oli tiedossa ennen muutospyyntöä. Loppu tällä sivulla on perustelu sille, miksi juuri nämä kaksi.

Miten toimitusjohtajahuijaus etenee?

Toimitusjohtajahuijaus etenee neljässä vaiheessa: julkisen tiedon keruu, uskottava aloitus tutulla nimellä, kiire ja eristäminen, ja lopuksi maksupyyntö uuteen osoitteeseen. Kuvaus on tarkoitettu tunnistamiseen, ei tekniseen analyysiin. Kulku on karkea, mutta se toistuu tapauksesta toiseen niin samanlaisena, että vaiheet kannattaa opetella ulkoa. Jokaisen vaiheen kohdalla on alla merkitty erikseen se, mikä siinä on havaittavissa ulkopuolelta ja mikä ei. Kaksi ensimmäistä vaihetta tapahtuu suurelta osin yrityksen ulkopuolella, joten niihin ei voi vaikuttaa. Kaksi viimeistä tapahtuu yrityksen sisällä, ja juuri siksi puolustus rakennetaan niihin: kiireeseen, joka pyytää ohittamaan normaalin järjestyksen, ja maksutietoon, joka poikkeaa aiemmasta.

Vaihe 1: julkinen tieto kerätään. Yrityksen verkkosivut, kaupparekisteri ja sosiaalinen media kertovat, kuka on vastuussa, kuka hoitaa laskutusta ja ketkä ovat toimittajia. Mitään ei tarvitse murtaa. Havaittavaa: ei mitään. Tämä vaihe on näkymätön, ja siksi puolustus ei voi alkaa täältä.

Vaihe 2: uskottava aloitus. Viesti tulee nimellä, joka on yrityksessä tuttu, ja aiheena on asia, joka on uskottava juuri nyt: kesken oleva kauppa, tilitoimiston pyyntö, toimittajan yhteydenotto. Havaittavaa: viesti tulee kanavaa, jota kyseinen henkilö ei yleensä käytä, tai osoitteesta, joka on oikeaa lähellä mutta ei sama.

Vaihe 3: kiire ja eristäminen. Tämä on ratkaiseva vaihe, ja se on aina tunnistettavissa. Asialla on määräaika. Asiasta ei saa vielä puhua muille. Normaali käsittelyjärjestys pyydetään ohittamaan kerran. Havaittavaa: näiden kolmen yhdistelmä. Aidossa liiketoiminnassa kiire on tavallista, mutta kiire yhdessä salassapidon ja prosessipoikkeuksen kanssa ei ole.

Vaihe 4: maksupyyntö. Uusi tilinumero, uusi saaja tai ohjeistus maksaa tavallisesta poikkeavalla tavalla. Havaittavaa: maksutieto poikkeaa siitä, mikä on aiemmin ollut käytössä. Tämä on viimeinen kohta, jossa ketju voidaan katkaista, ja se on myös helpoin kohta, koska tarkistus on mekaaninen.

Mitkä kaksi sääntöä katkaisevat huijausketjun?

Huijausketjun katkaisee kaksi sääntöä: yli sovitun eurorajan menevää maksua ei tehdä yksin, ja maksutietojen muutos vahvistetaan aina puhelimitse numeroon, joka oli tiedossa ennen muutospyyntöä. Molemmat säännöt kohdistuvat vaiheisiin 3 ja 4, eli kiireeseen ja maksupyyntöön. Aikaisempiin vaiheisiin ei voi vaikuttaa, koska tiedonkeruu ja viestin kirjoittaminen tapahtuvat yrityksen ulkopuolella. Kumpikaan sääntö ei vaadi ohjelmistoa, lisenssiä eikä ulkopuolista palvelua — ne ovat sopimuksia siitä, miten raha liikkuu. Ensimmäinen sääntö tuo maksuun toisen ihmisen, toinen sääntö tuo siihen toisen kanavan. Alla molemmat on avattu erikseen, ja taulukko näyttää, kumpi sääntö estää minkäkin tyyppisen tapauksen.

Sääntö 1: euroraja, jonka yli ei makseta yksin. Valitse yrityksellesi luku, jonka menettäminen sattuisi. Sen ylittävää maksua ei tehdä yhden ihmisen päätöksellä, vaan toinen ihminen katsoo laskun ja hyväksyy sen. Yhden hengen yrityksessä toinen ihminen voi olla tilitoimisto, kirjanpitäjä tai puoliso — olennaista on, ettei sama ihminen sekä vastaanota pyyntöä että toteuta sitä.

Sääntö 2: maksutietojen muutos vahvistetaan puhelimitse tunnettuun numeroon. Ei sähköpostivastauksella, koska jos viestiketju on hallinnassa, vastaus menee samaan paikkaan. Ei viestissä olevaan numeroon, koska se on osa viestiä. Vaan numeroon, joka on omassa osoitekirjassasi, vanhassa laskussa tai toimittajan sivustolla, jonne menit itse. Tämä sääntö on käsitelty tarkemmin sivulla kalasteluviestien tunnistaminen.

Taulukon viimeinen rivi on se, joka yleensä unohtuu. Palkanmaksun tilinumeron muutospyyntö on maksutietojen muutos siinä missä toimittajankin, ja sen vahvistus tehdään puhelimitse työntekijän tunnettuun numeroon.

Mistä tunnistat huijauslaskun, joka ei ole lasku lainkaan?

Huijauslaskun, joka ei ole lasku lainkaan, tunnistat siitä, että se on juridisesti tarjous eikä maksuvelvoitetta ole. Tämä toinen tavallinen muoto tulee paperina tai sähköpostina, ja se näyttää laskulta: siinä on eräpäivä, viitenumero ja summa. Jossain kohtaa pienellä tekstillä kuitenkin lukee, että kyseessä on tarjous. Jos maksat, olet hyväksynyt tarjouksen ja tehnyt sopimuksen — siksi maksaminen on tässä muodossa se hetki, jolloin vahinko syntyy. Tyypillisiä aiheita ovat verkkotunnusten uusiminen sekä erilaiset hakemisto- ja näkyvyyspalvelut. Tunnistaminen onnistuu kolmella kysymyksellä: tilasinko tämän, onko lähettäjä sama kuin aiemmin, ja mitä pienellä tekstillä lukee. Vastaus löytyy omista papereistasi, ei paperin omista tiedoista.

Tyypillisiä aiheita ovat verkkotunnusten uusiminen, yritys- ja hakemistoluettelot sekä näkyvyys- ja rekisteripalvelut. Verkkotunnuspuoli on erityisen altis, koska verkkotunnuksen omistaja ja voimassaoloaika ovat julkisesti haettavissa: kuka tahansa voi ajoittaa laskun näköisen kirjeen juuri oikeaan hetkeen. Verkkotunnusten uusimisen käytännöt ja päivämäärien seuranta on käyty läpi sivulla verkkotunnuksen uusiminen ja vanheneminen.

Kolmen kysymyksen tarkistus riittää lähes aina:

1. Tilasinko tämän?Etsi tilaus tai sopimus. Jos sitä ei löydy, mitään ei makseta. Aito toimittaja löytyy omista papereistasi.
2. Onko lähettäjä sama kuin aiemmin?Vertaa vanhaan laskuun: y-tunnus, nimi, tilinumero, viitteen muoto. Yksikin poikkeama pysäyttää.
3. Mitä pienellä tekstillä lukee?Etsi sanat "tarjous", "ei ole lasku" tai "sopimus syntyy maksamalla". Ne ovat siellä, koska niiden on pakko olla.

Jos vastaanotat tällaisen, älä maksa äläkä vastaa. Säilytä se ja kerro siitä kaikille, jotka käsittelevät laskuja. Havainnoista voi ilmoittaa poliisille, ja Kyberturvallisuuskeskus tiedottaa laajoista kampanjoista julkisesti.

Mitä kirjatun maksuprosessin pitää sisältää?

Kirjatun maksuprosessin pitää mahtua yhdelle sivulle ja kertoa kuusi asiaa: kuka saa maksaa, mikä on euroraja, miten maksutietojen muutos vahvistetaan, miten uusi toimittaja käsitellään, mitä kiireelle tehdään ja kenelle ilmoitetaan, jos jotain sattuu. Syy kirjaamiseen on yksinkertainen: sääntö, jota ei ole kirjoitettu ylös, ei ole sääntö vaan tapa. Tavat joustavat juuri silloin, kun on kiire — eli täsmälleen siinä tilanteessa, jota vastaan sääntö on tehty. Kirjoita siis nämä kohdat yhdelle sivulle ja käy ne läpi kaikkien kanssa, joilla on maksuoikeus. Sivu ei ole ohjekirja vaan lista päätöksiä, jotka on tehty etukäteen, jotta niitä ei tarvitse tehdä paineen alla.

• Kuka saa maksaa. Nimet, ei roolit. Ja kuka hyväksyy euroraja ylittyessä.
• Euroraja. Yksi luku. Sen yli menevä vaatii toisen ihmisen.
• Maksutietojen muutos. Aina puhelinvahvistus tunnettuun numeroon, poikkeuksetta, myös kiireessä.
• Uusi toimittaja. Ensimmäinen maksu uudelle saajalle tarkistetaan aina, summasta riippumatta.
• Kiireen käsittely. Kiireellinen pyyntö ei ohita mitään edellä olevaa. Jos aito asia kärsii tunnin viiveestä, se on erikseen sovittava asia, ei sähköpostilla päätettävä.
• Kenelle ilmoitetaan. Nimi ja numero: pankin sulkupalvelu, tilitoimisto, yrittäjä itse.

Tämä sivu kuuluu samaan kansioon kuin muutkin tietoturvan perusohjeet, ja se kannattaa käydä läpi perehdytyksessä. Hinnat kaikkeen tekemiseen ovat julkisia hinnastossa.

Mitä tehdään heti, jos maksu ehdittiin tehdä?

Jos maksu ehdittiin tehdä, ensimmäinen toimenpide on soitto omaan pankkiin ja maksun pysäytyspyyntö. Nopeus ratkaisee, koska maksun pysäyttäminen on mahdollista vain hyvin lyhyen ajan, ja se aika lasketaan minuuteissa eikä tunneissa. Kaikki muu — tietojen kerääminen, rikosilmoitus, sähköpostin tarkistus ja toimittajalle kertominen — tehdään vasta soiton jälkeen, vaikka mieli tekisi ensin selvittää, mitä oikein tapahtui. Selvittäminen ei katoa mihinkään, mutta pysäytysikkuna katoaa. Alla oleva järjestys on tarkoituksella tämä: se on sama järjestys, jossa kukin toimenpide menettää arvoaan ajan kuluessa. Käy lista läpi järjestyksessä äläkä jää yhteenkään kohtaan kiinni.

1. Soita pankkiin hetiEnnen kuin selvität mitään muuta. Pyydä maksun pysäytystä ja kerro, että kyse on epäillystä petoksesta.
2. Kerää tiedot yhteenViesti, tilinumero, summa, aika, kuka teki maksun. Nämä tarvitaan sekä pankille että ilmoitukseen.
3. Tee rikosilmoitusPoliisin sähköisessä palvelussa. Tee se myös silloin, kun raha saatiin pysäytettyä.
4. Tarkista, onko postilaatikko vaarantunutKatso sähköpostin sääntöasetukset ja kirjautumishistoria. Vaihda salasanat ja kirjaa kaikki istunnot ulos.
5. Kerro toimittajalleJos huijaus käytti toimittajan nimeä, hän ei todennäköisesti tiedä siitä. Muut hänen asiakkaansa saavat samat viestit.
6. Arvioi ilmoitusvelvollisuusJos henkilötietoja päätyi vääriin käsiin, katso ilmoitusvelvollisuuden ohje.

Milloin laskuhuijausta vastaan EI kannata ostaa mitään?

Laskuhuijausta vastaan ei kannata ostaa mitään silloin, kun ostolaskuja on alle sata kuukaudessa, maksuja käsittelee yksi tai kaksi ihmistä eikä prosessia ole vielä kirjattu ylös. Tämä on aihe, johon myydään palveluita, joita pienyritys ei tarvitse: erillisiä petostentorjuntajärjestelmiä, vakuutuksia ennen kuin perusasiat ovat kunnossa ja koulutuspaketteja kolmen hengen porukalle. Järjestys on tärkeä. Kirjattu euroraja ja puhelinvahvistus maksavat nolla euroa ja katkaisevat ketjun samoista kohdista kuin ostettu palvelu, joten ne tehdään ensin. Vasta jos ne ovat käytössä ja ongelma jää, kannattaa katsoa, mitä rahalla saa lisää. Alla kolme yleisintä tarjousta ja se, mihin kukin oikeasti sopii.

Erillinen petostentorjuntajärjestelmä on tarkoitettu ympäristöön, jossa maksuja on satoja päivässä ja tarkistus ei ehdi ihmiseltä. Alle sadan ostolaskun kuukausivolyymilla ihminen ehtii katsoa jokaisen, ja se on tarkempaa kuin sääntömoottori.

Vakuutus ennen prosessia. Kyberrikosvakuutus voi olla järkevä tuote, mutta sen ehdoissa edellytetään yleensä juuri niitä menettelyjä, jotka tällä sivulla on kuvattu. Kirjaa prosessi ensin, harkitse vakuutusta sitten.

Koulutuspaketti, kun väkeä on kolme. Kolmen hengen yrityksessä sama asia hoituu puolessa tunnissa keittiön pöydän ääressä. Ohje siihen on sivulla tietoturvakoulutus henkilöstölle.

Ostaminen tulee ajankohtaiseksi, kun maksuja käsittelee useampi ihminen eri paikoissa, laskuvolyymi kasvaa tai toimintaa on useassa maassa. Siinä vaiheessa hyöty tulee automaattisesta tarkistuksesta ja jäljitettävyydestä, ei suojasta sinänsä.

Miksi juuri pienyritys on houkutteleva kohde?

Pienyritys on houkutteleva kohde siksi, että siellä sama ihminen usein vastaanottaa laskun, hyväksyy sen ja maksaa sen. Yleinen väärinkäsitys on, että huijaukset kohdistuvat suuriin yrityksiin, koska siellä on enemmän rahaa. Käytännössä pieni yritys on monella tapaa helpompi kohde, ja syyt ovat rakenteellisia eivätkä johdu huolimattomuudesta: rooleja on vähän, poikkeukset ovat arkea, perustiedot yrityksestä ovat julkisia ja sattuneista tapauksista vaietaan. Yksikään näistä ei ole merkki huonosta johtamisesta — ne ovat pienen organisaation tavallisia ominaisuuksia. Siksi puolustusta ei rakenneta yrittämällä olla huolellisempi, vaan lisäämällä maksuun yksi keinotekoinen välivaihe, joka isommalla toimijalla syntyy itsestään.

Sama ihminen tekee kaiken. Pienyrityksessä sama henkilö vastaanottaa laskun, hyväksyy sen ja maksaa sen. Suuremmassa organisaatiossa nämä ovat eri ihmisiä eri järjestelmissä, jolloin väärä maksu törmää johonkin matkalla. Tämä on koko euroraja-säännön syy: se palauttaa keinotekoisesti sen välivaiheen, joka isommalla toimijalla on olemassa itsestään.

Poikkeukset ovat normaaleja. Pienessä yrityksessä asioita hoidetaan joustavasti, ja "tee tämä nyt nopeasti" on arkipäivää. Se tekee prosessipoikkeuksesta huonon hälytysmerkin, ellei sitä ole erikseen sovittu hälytysmerkiksi. Siksi sääntö kannattaa muotoilla niin, että kiire ei ole peruste ohittaa mitään.

Tiedot ovat julkisia. Kaupparekisteri, verkkosivujen yhteystiedot ja sosiaalinen media kertovat riittävästi uskottavan viestin kirjoittamiseen. Tälle ei voi eikä kannata tehdä mitään — yhteystietojen piilottaminen haittaa myyntiä enemmän kuin se auttaa turvallisuutta. Puolustus rakennetaan maksuhetkeen, ei tiedon piilottamiseen.

Tapauksista ei puhuta. Moni pienyrittäjä ei kerro sattuneesta tapauksesta kenellekään, koska se hävettää. Sen seurauksena naapuriyritys ei tiedä varoa samaa viestiä. Jos sinulle tapahtuu jotain, kerro siitä toimialasi muille. Se on tehokkain yksittäinen puolustus, joka ei maksa mitään.

Miten sääntö pidetään voimassa, kun siitä on kulunut vuosi?

Sääntö pidetään voimassa kolmella kevyellä tavalla: yksi harjoituskerta vuodessa, sääntö osaksi perehdytystä ja jokaisen oikean maksutietomuutoksen kirjaaminen. Kirjattu sääntö rapistuu ilman ylläpitoa, koska kukaan ei muista vuoden takaista sivua silloin kun kiire iskee. Ylläpito ei kuitenkaan tarkoita byrokratiaa eikä kuukausittaisia kokouksia. Se tarkoittaa kolmea pientä tekoa, joista jokainen vie minuutteja ja jättää jäljen. Harjoitus näyttää, tiedetäänkö mitä tehdään. Perehdytys varmistaa, että uusi maksuoikeuden saanut ihminen lukee säännön silloin kun hän vielä lukee ohjeita. Muutosten kirjaus tekee säännöstä näkyvän arjessa eikä vain paperilla. Kolme tapaa on avattu alla erikseen.

Yksi harjoituskerta vuodessa. Lähetä itse tai pyydä tuttua lähettämään yksi harjoitusviesti, jossa on kiire ja uusi tilinumero. Katso, mitä tapahtuu. Tärkeintä ei ole se, huomaako joku, vaan se, tiedetäänkö mitä sen jälkeen tehdään ja kenelle kerrotaan.

Sääntö perehdytykseen. Jokainen uusi ihminen, jolla on maksuoikeus, lukee sivun ensimmäisellä viikolla. Tämä on se hetki, jolloin ohje luetaan oikeasti; myöhemmin ei enää.

Muutosten kirjaus. Kun toimittajan tilinumero oikeasti vaihtuu, kirjaa päivämäärä ja kuka vahvisti sen puhelimitse. Merkintä kestää kaksikymmentä sekuntia, ja se tekee säännöstä näkyvän. Samalla syntyy jälki, josta myöhemmin näkee, milloin ja millä perusteella muutos tehtiin.

Usein kysyttyä

Lue seuraavaksi

• Yrityssovelluksen kehittämisen hinta
• WordPress-ylläpidon hinta ja mitä siihen oikeasti kuuluu
• WordPressin hakukoneoptimointi: neljä asetusta, jotka ratkaisevat teknisen puolen
• Webhotellin vaihto ilman katkoa: testaa uusi palvelin ennen kuin kukaan asiakas näkee mitään
• Ilmainen verkkotunnus: milloin se on oikeasti ilmainen ja mitä se sitoo
• Tilitoimiston digitalisointi: asiakasrajapinta ratkaisee, ei kirjanpito-ohjelma

Lue myös: hakukoneoptimoinnin hinta · Verkkokaupan perustaminen: hinta, vaihtoehdot ja todellinen kululista · Tietosuojaseloste-malli pienyritykselle · Liiketoimintasuunnitelman pohja ja laskelmat · IT-konsultointi pienyritykselle · Tekoälykonsultointi pienyritykselle · Digitalisaatio pienyritykselle · Liikkeenjohdon konsultointi pienelle yritykselle