Tedarikçi IBAN Değişikliği Nasıl Doğrulanır? Şirket Prosedürü

Bir tedarikçiden "banka hesabımız değişti, bu ayki faturayı yeni IBAN'a ödeyin" e-postası geldiğinde doğru tepki, e-postayı ne kadar gerçek göründüğüne göre değerlendirmek değil, önceden yazılmış bir prosedürü çalıştırmaktır. Bu tür taleplerin arkasında çoğu zaman iş e-postası dolandırıcılığı (BEC, business email compromise) vardır: saldırgan ya tedarikçinin posta kutusunu ele geçirmiştir ya da ona çok benzeyen bir alan adından yazar. Mesajın dili, imzası, hatta önceki yazışmaların alıntısı birebir tutabilir. O yüzden karar, sezgiye değil kurala bağlanmalı.

Dolandırıcılık türlerini genel hatlarıyla IBAN dolandırıcılığı rehberinde anlattık. Buradaki konu daha dar ve daha operasyonel: bir şirketin muhasebe ve satın alma ekibi, IBAN değişikliği talebini adım adım nasıl ele almalı, kim neyi onaylamalı ve hangi kaydı tutmalı.

Neden e-postaya cevap yazmak işe yaramaz

Posta kutusu ele geçirilmişse, "Bu değişikliği gerçekten siz mi yaptınız?" diye yazdığınız cevap doğrudan saldırgana gider ve saldırgan elbette "evet" der. Mesajdaki telefon numarası da aynı sorunu taşır; imzaya yeni bir numara eklemek saniyeler sürer. İngiltere Ulusal Siber Güvenlik Merkezi (NCSC) ve ABD'de FBI'ın iş e-postası dolandırıcılığı uyarıları aynı noktada birleşir: ödeme talimatındaki değişikliği, talebin geldiği kanaldan değil, sizin önceden bildiğiniz ve kendiniz bulduğunuz bir iletişim bilgisinden teyit edin.

Pratikte bu, "geri arama" (call-back) kuralı demektir. Kural basittir ama yazılı değilse yoğun bir ay sonunda ilk esneyen şey odur.

Önerdiğimiz yedi adımlı prosedür

1. Talebi dondur, ödemeyi eski düzende de yapma

Değişiklik talebi geldiği anda o tedarikçiye yapılacak bekleyen ödemeler işaretlenir. Yeni IBAN'a ödeme yapılmaz; ama "nasılsa eski hesap biliniyor" diye eski IBAN'a da otomatik ödeme gönderilmez. Tedarikçi gerçekten banka değiştirmiş olabilir ve eski hesap kapanmışsa para geri döner. Doğru hareket, teyit bitene kadar beklemektir.

2. Kayıttaki telefondan geri ara

Arama, tedarikçi kartında daha önceden kayıtlı numaraya ya da sözleşmedeki iletişim bilgisine yapılır. Mesajdaki numara, mesajdaki bağlantı ve ekteki antetli yazı kullanılmaz. Karşı tarafta tanıdığınız bir kişiyle (örneğin tedarikçinin muhasebe sorumlusu) konuşmak daha iyidir. Görüşmede IBAN'ı siz okumayın; karşı taraftan yeni IBAN'ı baştan sona okumasını isteyin ve yazdığınızla karşılaştırın. Siz okursanız, karşıdaki kişi dikkatsizce "evet, doğru" diyebilir.

3. Numarayı biçimsel olarak kontrol et

Telefonda alınan IBAN IBAN doğrulama aracında uzunluk ve kontrol hanesi açısından kontrol edilir; IBAN'dan banka bulma ile banka kodunun tedarikçinin söylediği bankayla uyuşup uyuşmadığına bakılır. Tedarikçi "X Bankası'na geçtik" diyorsa ama IBAN başka bir bankayı gösteriyorsa, süreç orada durur. Bu kontrol hesabın kime ait olduğunu göstermez; yalnızca yazım hatasını ve bariz tutarsızlığı yakalar. Teyidin asıl yükünü geri arama taşır.

4. Belge iste, ama belgeye tek başına güvenme

Birçok şirket, bankadan alınmış hesap bilgisi yazısı ya da imzalı ve kaşeli bir talep yazısı ister. Bu makul bir ek katmandır; hesap unvanının faturadaki ticaret unvanıyla aynı olup olmadığını görmeye yarar. Ancak PDF belge kolay taklit edilir. Belge, geri aramanın yerine geçmez; yanına eklenir.

5. İkinci kişi onaylasın

Tedarikçi ana verisindeki IBAN alanını değiştiren kişi ile bu değişikliği onaylayan kişi farklı olmalı. İkinci kişi yalnızca "onayla" düğmesine basmaz; geri arama notunu, kimle konuşulduğunu ve belgeyi görür. Küçük bir işletmede ikinci kişi şirket sahibi olabilir. Önemli olan, tek bir çalışanın tek bir e-postayla ödeme yönünü değiştirememesidir.

6. Değişiklik kaydını tut

Her IBAN değişikliği için şu alanları içeren bir kayıt yeterlidir:

• Talebin geldiği tarih, kanal ve gönderen adresi
• Eski ve yeni IBAN (kayıtta maskeli gösterim tercih edilebilir)
• Geri aramanın yapıldığı numara, tarih-saat ve konuşulan kişi
• Değişikliği giren ve onaylayan kişiler
• Yeni IBAN'a yapılan ilk ödemenin tarihi ve tedarikçinin tahsilatı teyit ettiği not

Bu kayıt, bir şey ters gittiğinde bankaya ve kolluğa hızlı bilgi vermeyi sağlar. İç denetimde de "bu değişikliği kim, neye dayanarak yaptı?" sorusunu tek satırda cevaplar.

7. İlk ödemeden sonra teyit al

Yeni IBAN'a yapılan ilk ödemenin ardından tedarikçiyi yine kayıtlı numaradan arayıp tahsilatı gördüğünü doğrulatın. Yüksek tutarlı ödemelerde önce küçük bir kısmı göndermek de bir seçenek; fakat bu tek başına koruma değildir, çünkü dolandırıcı küçük tutarı "aldık" diye onaylayabilir. Teyit, yine bağımsız kanaldan gelmelidir.

Geri arama görüşmesinde sorulacaklar

Görüşmeyi yapan kişinin ne soracağını önceden bilmesi, "evet, biz gönderdik" cevabıyla geçiştirilen bir teyidi önler. Kısa bir senaryo yeterli: Hesap değişikliğini kim talep etti ve hangi tarihte? Yeni hesap hangi bankada ve kimin unvanına açıldı? Eski hesap kapanacak mı, kapanacaksa ne zaman? Değişiklik yalnızca bizim şirketimize mi bildirildi, yoksa tüm müşterilere mi?

Son soru beklenmedik bir ipucu verebilir. Tedarikçi "biz öyle bir e-posta göndermedik" derse, sorun sizin ödemenizden büyüktür: tedarikçinin posta kutusu ele geçirilmiş olabilir ve diğer müşterileri de aynı mesajı almış olabilir. Bu durumda tedarikçiyi hemen bilgilendirmek, ticari ilişkiyi de koruyan bir hamledir. Görüşmenin sonunda konuşulan kişinin adını, unvanını ve saati kayda geçirin.

Sistemde nereye kilit konur

Prosedürü kâğıtta bırakmamak için ERP ya da muhasebe yazılımında tedarikçi banka bilgisi alanına yetki kısıtı koymak işe yarar. Faturayı işleyen kişinin IBAN'ı değiştirememesi, değişikliğin onaylanana kadar ödeme listesine yansımaması ve her değişikliğin log'a düşmesi en temel üç kilittir. Yazılımınız bunu desteklemiyorsa, en azından ödeme listesini bir önceki ayın listesiyle karşılaştırın. Toplu ödeme listesi aracında listeyi kontrol edip, IBAN karşılaştırma ile eski ve yeni numaraları format farkından bağımsız yan yana koyabilirsiniz. Bir ayda IBAN'ı değişen tedarikçi sayısı genellikle azdır; bu kısa liste her ay gözle incelenebilir.

Otomatik doğrulamanın nereye yerleştirileceğini IBAN doğrulama otomasyonu yazısında, şirket hesaplarının genel kullanımını ise kurumsal IBAN rehberinde ele aldık.

Kendi müşterileriniz için de aynı kapıyı kapatın

Saldırgan sizin adınıza müşterilerinize de yazabilir. Faturalarınıza ve sözleşmelerinize tek cümlelik bir not eklemek faydalıdır: "Banka bilgilerimizdeki değişiklikleri e-postayla bildirmeyiz; böyle bir mesaj alırsanız bizi kayıtlı numaramızdan arayın." Gerçekten banka değiştirdiğinizde de bu sözünüze uyun: değişikliği önceden haber verin, müşterinin sizi kendi bildiği numaradan aramasını isteyin ve eski hesabı bir süre açık tutun.

Para yanlış hesaba gittiyse

Hız her şeydir. Ödemeyi yapan bankayı hemen arayın ve işlemin dolandırıcılık şüphesiyle bildirildiğini kayda geçirin; banka karşı bankayla iletişime geçebilir. Ardından değişiklik kaydını, e-postanın başlık bilgileriyle birlikte saklayın ve savcılığa ya da kolluğa suç duyurusunda bulunun. E-posta sisteminizde de oturum ve yönlendirme kurallarını kontrol ettirin; saldırgan bazen şirketin kendi posta kutusuna gizli bir yönlendirme kuralı ekler. Genel iade süreci için yanlış IBAN'a para gönderme rehberine bakabilirsiniz; ancak dolandırıcılık vakalarında sonuç bankaların ve soruşturmanın hızına bağlıdır ve paranın geri geleceğinin bir güvencesi yoktur.

Prosedürün maliyeti, her IBAN değişikliğinde beş dakikalık bir telefon görüşmesi ve ikinci bir imzadır. Tek bir yanlış yönlendirilmiş tedarikçi ödemesinin maliyetiyle kıyaslandığında bu pazarlık konusu bile olmamalı.