Seis Semanas de Ingresos Redirigidos Antes de que Notara Algo

Seis semanas de ingresos salieron de su cuenta antes de que notara que algo estaba mal.

Su procesador de pagos había sido modificado a través del portal de soporte para redirigir cada depósito de liquidación a una cuenta que ella no controlaba. El actor usó el número de teléfono comercial que ella tenía listado públicamente y su EIN, ambos disponibles en su registro estatal de negocios y en su perfil de comerciante.

Seis semanas de depósitos de liquidación fueron redirigidos antes de que la dueña notara una discrepancia durante la conciliación. Para entonces la cuenta receptora había sido cerrada y los fondos eran irrecuperables. El procesador confirmó el fraude pero señaló que la modificación había cumplido con sus requisitos de verificación al momento del cambio.

El procesador de pagos está en el punto donde los ingresos se convierten en efectivo accesible. Para un dueño de pequeño negocio suele ser una de las cuentas menos protegidas de toda la operación, tratada como infraestructura de facturación en lugar de un objetivo de alto valor. El procesador aceptó información disponible públicamente como prueba de identidad porque su sistema de soporte no fue diseñado para distinguir entre el titular de la cuenta y alguien que había reunido los mismos datos de registros públicos. La brecha no fue una vulnerabilidad técnica. Fue la diferencia entre lo que el dueño de pequeño negocio asumía que el proceso de verificación requeriría y lo que realmente aceptó. Cerrar esa brecha significa saber qué información específica usa el procesador para verificar una solicitud de soporte, y asegurarse de que esa información no esté ya indexada en un registro público de negocios. Un dueño de pequeño negocio que nunca ha identificado qué campos usa su procesador para la autenticación de soporte no tiene manera de saber si esa información ya está expuesta. La modificación en este caso fue procesada como una solicitud de soporte rutinaria porque nada en ella la distinguía de una legítima.

¿Cuántos dueños de pequeño negocio conocen exactamente qué información usa su procesador de pagos para autenticar una solicitud de cambio de cuenta bancaria?

RuleDraft