Dolandırıcılık riski, bir şirketin iç veya dış kaynaklı hileli davranışlar nedeniyle maddi, hukuki ve itibari kayıp yaşama ihtimalidir. Bu riskin kurumsal biçimlerinde tekrar eden bir örüntü vardır: saldırı önce kimlik üzerinden kurulur. Sahte bir tedarikçi, taklit edilmiş bir yazışma ya da değiştirilmiş bir hesap bilgisi — hepsi karşı tarafın kim olduğuna dair bir belirsizlikten yararlanır. Bu yazı, o belirsizliğin nasıl erken fark edilebileceğine ve kimlik doğrulamasının bu tabloda neyi çözüp neyi çözmediğine odaklanır.
Kurumsal dolandırıcılığın tekrar eden örüntüsü
Kurumsal vakalarda en sık görülen biçimler birbirine benzer bir mantık taşır:
- Sahte tedarikçi: Gerçek bir firmaya benzeyen ad ve unvanla kayıt açılır, sipariş alınır, ödemenin ardından iletişim kesilir.
- Ödeme bilgisi değişikliği: Mevcut ve gerçek bir tedarikçinin adına yazılan bir mesajla banka hesabının değiştiği bildirilir.
- Fatura sahteciliği: Süreçte gerçekten var olan bir hizmete ait gibi görünen, ancak farklı bir tarafa ödeme isteyen belge düzenlenir.
- Yetki taklidi: Şirket içinden üst düzey bir yetkilinin adına acil ödeme talebi iletilir.
Dördünün ortak noktası, tek bir soruya güvenilir cevap verilememesidir: karşı taraf gerçekten kim? Teknik güvenlik önlemleri bu soruyu doğrudan cevaplamaz; iletişimin taşındığı kanalı korur.
Beyan ile kayıt arasındaki fark neden önemlidir?
Bir firmanın size verdiği bilgiler ile resmî kayıtlarda görünen bilgiler her zaman birebir aynı olmayabilir. Bu farkın kendisi kötü niyet göstergesi değildir — firmalar günlük iletişimde kısaltılmış ticari adlarını kullanır, adres bilgileri güncellenmemiş olabilir, unvan değişikliği kayıtlara geç yansıyabilir.
Ancak fark, açıklığa kavuşturulmadan geçilmemesi gereken bir sinyaldir. Dolandırıcılık senaryolarının işlemesi tam olarak bu farkın sorgulanmamasına bağlıdır: sahte kayıt, gerçek bir firmanın adına yeterince benzediği sürece fark edilmez. Sorgulamanın maliyeti düşüktür, atlanmasının maliyeti ise ilişki ilerledikçe artar.
Bu karşılaştırma, iş ortağı değerlendirmesinin kimlik doğrulama adımının bir parçasıdır; kayıtların kendi sisteminizde tek bir firma altında toplanması ise ana veri yönetiminin konusudur.
Kimlik doğrulaması neyi çözer, neyi çözmez
Yukarıdaki senaryolardaki "karşı taraf kim?" sorusunun iki ayrı anlamı vardır. Birincisi, kaydın hangi firmaya ait olduğudur; sahte tedarikçi senaryosu bu sorunun cevapsız kalmasından yararlanır. Tekil bir tanımlayıcı — örneğin D-U-N-S® numarası — bir firmayı ad ve adres yazımından bağımsız olarak tek bir kayda bağlar ve bu soruyu netleştirir. İkincisi, gelen talebin gerçekten o firmadan ya da o kişiden gelip gelmediğidir; ödeme bilgisi değişikliği ve yetki taklidi buna dayanır. Bu soruya numara cevap vermez.
Numaranın sınırı da buradan çıkar. Numara bir kimlik anahtarıdır: karşınızdaki kaydın hangi firmaya ait olduğunu gösterir, o firmanın niyeti hakkında bilgi taşımaz. Bu yüzden tek başına bir güvenlik önlemi değildir; aşağıdaki kontrollerle birlikte anlam kazanır.
Kontrolü sürece yerleştirmenin yolları
Kimlik doğrulaması tek seferlik bir kontrol olarak kaldığında etkisi sınırlıdır. Süreçte kalıcı olması için üç noktaya yerleştirilir:
- Kayıt açılışında. Yeni bir tedarikçi ya da müşteri sisteme girerken kimlik bilgileri kayıtla karşılaştırılır; uyuşmazlık varsa kayıt açılmadan çözülür.
- Ödeme bilgisi değiştiğinde. Banka hesabı değişikliği, talebin geldiği kanaldan değil, daha önce doğrulanmış bir iletişim kanalından teyit edilir.
- Yetki eşiği aşıldığında. Belirli bir tutarın üzerindeki ödemelerde ikinci bir onay ve kimlik teyidi zorunlu tutulur.
Bunların yanında teknik önlemler kendi işlevlerini görür: iki faktörlü kimlik doğrulama, e-posta alan adı doğrulaması, erişim yetkilerinin görev bazlı sınırlanması ve düzenli kayıt tutma. Teknik katman kanalı korur, kimlik katmanı karşı tarafı belirler; ikisi birbirinin yerine geçmez.
Kendi firmanız doğrulanan taraf olduğunda
Aynı kontrolleri karşı taraf da size uygular. Yurt dışındaki bir alıcının tedarikçi kaydı, bir uygulama mağazasının kuruluş hesabı ya da bir ihale dosyası — hepsinde beyan ettiğiniz bilgilerin resmî kayıtlarla örtüşmesi beklenir. Örtüşmediğinde süreç reddedilmese bile uzar.