Mediabedrijf klaagt medewerkster aan die in ceo-fraude trapte
Een Schots mediabedrijf heeft een medewerkster aangeklaagd die in ceo-fraude trapte, waardoor er omgerekend 220.000 euro naar criminelen werd overgemaakt. De medewerkster had verschillende e-mails ontvangen die van haar directeur afkomstig leken, zo meldt de BBC.
Het ging in totaal om drie e-mails waarin werd gevraagd om omgerekend 220.000 euro over te maken, wat de medewerkster ook deed. Volgens het mediabedrijf is er sprake van nalatigheid en was de medewerkster niet bevoegd om in naam van het bedrijf betalingen te verrichten. Ook zou de directeur de medewerkster en haar manager hebben verteld dat er geen betalingen moesten worden uitgevoerd.
Tijdens het uitvoeren van de drie transacties zou de medewerkster een waarschuwing over mogelijke scams hebben gezien. Vervolgens zou de vrouw hebben aangegeven dat ze de waarschuwing had gelezen, aldus de advocaten van het mediabedrijf. De advocaten van de medewerkster ontkennen dit. Tevens claimt de medewerkster dat ze geen training over online fraude heeft ontvangen. Het mediabedrijf heeft zo'n 123.000 euro van de vrouw geëist. Het resterende bedrag nadat de bank 97.000 euro had terugbetaald.
Niet haar probleem.
Daarnaast nog een goede bewustwoordingstraining (en die regelmatig herhalen) en de kans wordt nog een stuk kleiner.
Als laatste strakke procedures voor grotere betalingen inregelen aangevuld met approval workflows die deze werkwijze afdwingen en dan moet het wel heel raar lopen als dit soort dingen nog mis gaan...
Procesmatig moet zo'n medewerker dan ook niet in staat zijn om zo'n overboeking te verrichten. Waarom beschikt een medewerker over dergelijke toegang, zonder bevoegdheid om betalingen te verrichten ? En welke medewerker die daar niet toe bevoegd is gaat dat adhoc doen ? Dan stuur je het verzoek, fake of niet, door naar degene die daar wel toe bevoegd is.
Ik geloof eerlijk gezegd weinig van de stelling dat de medewerkster niet bevoegd was om betalingen te verrichten.
Toch wel raar, om besprekingen te hebben over het (niet) verrichten van betalingen, met mensen die niet belast zijn met het verwerken van betalingen..... ?
Wie zegt dat de medewerkster te goeder trouw is ?
Gewoon een één-tweetje met een vriendje , en dan dom doen en zeggen "eg waar ik dag dat de mail van me baas was"
Hier is het probleem duidelijk dat deze medewerkster zelf 'de verantwoordelijkheid genomen heeft' om bakken met geld over te boeken.
Niemand zegt dat ze te kwader trouw is. Overigens nog nooit een bedrijf meegemaakt waar ongeautoriseerde personen tonnen konden overmaken. Je moet alleen al beschikken over toegangscodes en dergelijke om het geld te kunnen overmaken.
Je bedoelt dat je de uitleg van de advocaat overneemt, als zijnde objectief en de waarheid. Terwijl je niet weet of dat ook werkelijk zo is.
Toch wel raar, om besprekingen te hebben over het (niet) verrichten van betalingen, met mensen die niet belast zijn met het verwerken van betalingen..... ?
Het ligt er aan van welke kant je het bekijkt. Uit het bron artikel blijkt dat zowel de directeur als haar directe baar op vakantie waren. Die melding dat er niets te betalen was, was meer bedoeld om haar te bevestigen dat er op dat vlak geen actie nodig was. Blijkbaar deed ze ook nooit betalingen.
Zij was alleen belast met het verwerken van betalingen, maar kende waarschijnlijk ook de codes om zelf een betaling te verrichten.
Bij ons bedrijf eigenlijk hetzelfde. Diegene die de betalingen verwerkt, moet af en toe inloggen bij de bank om te zien wat er betaald is. Zij doet zelf nooit betalingen, maar zou het ook kunnen doen.
Even zeikerig pedant doen - par for the course- De Nederlandse rechter mag helemaal geen oordeel geven over een Schotse dame die in Schotland iets gedaan heeft .
Het oordeel van de bevoegde rechter is wel het enige waar echte consequenties uit kunnen volgen.
Als buitenstaander kun je speculeren over hoe dingen eventueel te voorkomen zijn, of dat sommige mensen heel erg dom zijn, en dat diefstal ook nog wel eens met hulp van insiders gebeurt die tippen over de aanwezigheid van grote waarde en 'vergeten' een alarm aan te zetten . Of mogelijk de onwetende uithangen en dan op basis van een mail een frauduleuze transactie doen.
Nooit van functiescheiding gehoord? Dat is volgens mij 1 van de eerste dingen die een accountant zal adviseren!
Nooit van functiescheiding gehoord? Dat is volgens mij 1 van de eerste dingen die een accountant zal adviseren!
Ja goed plan, functiescheiding. Vooral als er meer dan 50 werknemers zijn. Als er maar twee man op de boekhouding zitten en er is er eentje op vakantie dan wordt het een ander verhaal.
En je hebt altijd linkmiechels die de codes wel kennen, of die uit de kluis halen omdat ze denken dat dit nou echt wel zo'n noodgeval is waar de noodprocedure voor bedoeld is.
Medewerkers moeten enerzijds de ruimte krijgen om zelf na te denken, lees ik hierboven, maar anderzijds moet alles zo ingericht zijn dat ze technisch gezien geen stap verkeerd kunnen zetten. Beetje tegenstrijdig.
Overigens vind ik het artikel wel erg veel ruimte voor speculatie overlaten. Het is niet duidelijk of de dame in kwestie onder haar eigen autorisaties betaald heeft of dat anders heeft "opgelost". Hoe dan ook, als je tegen iemand zegt: jij mag geen betalingen uitvoeren, en die iemand denkt: he, maar ik kan het wel, dus ik mach das effe, dan zit die werknemer toch fout lijkt me.
Naast elke rokende puinhooop vind je iemand die beteuterd zegt "ja, maar ik dacht...".
Nooit van functiescheiding gehoord? Dat is volgens mij 1 van de eerste dingen die een accountant zal adviseren!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
