การควบคุมการฉ้อโกงการเปลี่ยนแปลงธนาคารในระบบทะเบียนผู้ขาย: การยืนยันการเปลี่ยนแปลงรายละเอียดธนาคารของซัพพลายเออร์
“การเปลี่ยนแปลงรายละเอียดธนาคารคือคำสั่งชำระเงินที่แฝงมา: โปรดตรวจสอบผ่านช่องทางที่ผู้ร้องขอไม่ได้เป็นผู้เลือก และปล่อยให้บุคคลอื่นเป็นผู้อนุมัติ”
| สถิติ | แหล่งที่มา |
|---|---|
| การสำรวจของ AFP ในเดือนมกราคม 2026 จากผู้ปฏิบัติงานด้านบริหารเงินจำนวน 465 คน: 74% ขององค์กรรายงานว่าประสบปัญหาการโจรกรรมข้อมูลอีเมลทางธุรกิจในปี 2025 | รายงานสำรวจของ AFP, 2026 |
| การสำรวจ 2026 ของ AFP: 94% ตรวจสอบคำขอโอนเงินด้วยการโทรไปยังผู้ติดต่อผู้รับเงินที่ได้รับอนุญาตตามหมายเลขจากบันทึกอย่างเป็นทางการ; 63% ของผู้ใช้เหล่านั้นประเมินว่ามีประสิทธิภาพสูงมาก | รายงานสำรวจของ AFP, 2026 |
| การสำรวจ 2026 ของ AFP: 96% มีนโยบายสำหรับการตรวจสอบการเปลี่ยนแปลงเงินฝากธนาคาร ใบแจ้งหนี้ และรายละเอียดการติดต่อ | รายงานสำรวจของ AFP, 2026 |
| การสำรวจผู้ปฏิบัติงานด้านบริหารเงินของ AFP ในปี 2024 เกี่ยวกับปี 2023: มีองค์กรไม่ถึง 60% ที่จัดทำเอกสารนโยบายรับมือการฉ้อโกงทางอีเมลของตนไว้ และ 49% ได้ทดสอบนโยบายดังกล่าวแล้ว | รายงานการสำรวจของ AFP, 2024 |
ตัวเลขของ AFP เป็นรายงานและการประเมินของผู้ตอบแบบสอบถามเอง โดยแถว 2026 และ 2024 ตอบคำถามที่แตกต่างกันใน ปีที่ทำการสำรวจที่ต่างกัน และไม่สามารถนำมาเปรียบเทียบกันได้
การฉ้อโกงการเปลี่ยนบัญชีธนาคารในข้อมูลหลักผู้ขายคืออะไร
การฉ้อโกงการเปลี่ยนบัญชีธนาคารในข้อมูลหลักผู้ขายทำให้ผู้ซื้อเปลี่ยนบัญชีธนาคารของซัพพลายเออร์ตัวจริงเป็นบัญชีที่มิจฉาชีพควบคุม ใน ประกาศของเอฟบีไอ (FBI) เมื่อวันที่ 4 พฤษภาคม 2017, โดยอ้างอิงจากข้อร้องเรียนจนถึงปี 2016 ทาง IC3 ได้รายงานกรณีที่คำขอซึ่งดูเหมือนถูกปลอมแปลงได้ย้ายสถานที่รับเงินของซัพพลายเออร์ และเบี่ยงเบนการชำระเงินตามใบแจ้งหนี้ขาเข้าทั้งหมด อ้างอิงตาม ประกาศของ FBI เมื่อวันที่ 14 มิถุนายน 2016, คำขอดังกล่าวจะมาทางโทรศัพท์ โทรสาร หรืออีเมล และมีความคล้ายคลึงกับคำขอจริงเป็นอย่างมาก
คู่มือนี้ครอบคลุมการเปลี่ยนแปลงข้อมูลผู้ขายที่มีอยู่แล้ว การรวบรวมรายละเอียดธนาคารจากผู้ขายรายใหม่มีระบุไว้ใน คู่มือการขึ้นทะเบียนผู้จำหน่ายตามระดับความเสี่ยง, และเส้นทางการชำระเงินที่ป้อนข้อมูลเข้าไปนั้นได้ถูกกำหนดไว้ใน คู่มือสถาปัตยกรรมกระบวนการจัดซื้อถึงชำระเงิน (procure-to-pay).
การฉ้อโกงนี้ใช้ประโยชน์จากช่องโหว่ใดในกระบวนการ
ใน รายงานสำรวจ 2026 ของ AFP, จากข้อมูลของผู้ปฏิบัติงานด้านบริหารเงิน 465 คนที่ให้ข้อมูลเกี่ยวกับปี 2025 มิจฉาชีพส่วนใหญ่ปลอมตัวเป็นผู้ขายหรือผู้บริหารเพื่อให้มีการเปลี่ยนแปลงคำสั่งการชำระเงิน ใน รายงานฉบับเดียวกัน, ผู้ตอบแบบสอบถามที่ไม่ระบุชื่อสองรายแสดงให้เห็นถึงช่องว่างดังกล่าว ได้แก่ บัญชีธนาคารใหม่สำหรับเวนเดอร์รายสำคัญถูกป้อนเข้าระบบก่อนที่ฝ่ายบริหารเงินจะยืนยัน และในอีกกรณีหนึ่ง บุคคลที่แอบอ้างว่าเป็นลูกค้าได้ส่งรายละเอียดและบัญชีใหม่มา ซึ่งแผนกบัญชีเจ้าหนี้ได้โทรไปยังหมายเลขโทรศัพท์ที่ระบุไว้ในอีเมลฉบับนั้น
ใน บทความของ AFP ในเดือนพฤษภาคม 2026 เกี่ยวกับสถานการณ์การฉ้อโกงของผู้ตอบแบบสอบถาม, เหตุการณ์หลายครั้งเกี่ยวข้องกับทีมงานที่ละเลยการโทรกลับเพื่อยืนยัน หรือยอมรับการยืนยันผ่านทางอีเมล บางครั้งทำในเธรดการสนทนาเดียวกันกับที่ส่งคำขอเข้ามา
ใน รายงานสำรวจของ AFP 2024 ของผู้ปฏิบัติงานด้านบริหารเงิน ซึ่งครอบคลุมปี 2023 ผู้เขียนตั้งข้อสังเกตว่าการชำระเงินอาจมาจากพนักงานที่ถูกเจาะระบบ ซึ่งทำการเปลี่ยนแปลงรายละเอียดธนาคารของเวนเดอร์โดยปราศจากการตรวจสอบความถูกต้องที่เหมาะสมในกระบวนการจัดการข้อมูลหลักของเวนเดอร์ และผู้ตอบแบบสอบถามรายหนึ่งรายงานว่ามีการขโมยข้อมูลรับรองการเข้าสู่ระบบไปใช้เพื่อพยายามเปลี่ยนแปลงรายละเอียดธนาคาร
การโทรกลับควรยืนยันการเปลี่ยนแปลงรายละเอียดธนาคารอย่างไร
ตาม ประกาศ 2016 ของ FBI, ธุรกิจต่างๆ ควรกำหนดช่องทางโทรศัพท์ตั้งแต่เนิ่นๆ ในความสัมพันธ์ทางธุรกิจและนอกเหนือจากอีเมล พร้อมทั้งใช้หมายเลขโทรศัพท์ที่รู้จักมาก่อนหน้านี้ ไม่ใช่หมายเลขที่ระบุมาในคำขอ ใน รายงานสำรวจ 2026 ของ AFP, 94% ขององค์กรที่ตอบแบบสำรวจระบุว่าพวกเขาตรวจสอบคำขอโอนเงินด้วยการโทรไปยังผู้ติดต่อของผู้รับเงินที่ได้รับอนุญาตโดยใช้หมายเลขจากบันทึกอย่างเป็นทางการ และ 63% ของผู้ใช้เหล่านั้นประเมินว่ามีประสิทธิภาพมาก ซึ่งเป็นการประเมินตนเอง
ตาม บทความของ AFP เดือนพฤษภาคม 2026 ว่าด้วยสถานการณ์การฉ้อโกง, ความพยายามครั้งหนึ่งที่ใช้ข้อมูลธนาคารของลูกค้าที่ถูกแก้ไขสามารถผ่านการตรวจสอบทางโทรศัพท์ได้ ก่อนที่ความไม่สอดคล้องกันจะเปิดโปงความพยายามนั้น กล่องอีเมลของซัพพลายเออร์ที่ถูกเจาะระบบได้ส่งเอกสารที่ดูเหมือนว่าถูกต้อง และผู้โทรที่แอบอ้างว่าเป็นธนาคารได้ใช้เบอร์จริงของธนาคารนั้น
ในมุมมองของคู่มือนี้ การโทรควรเป็นการโทรออกไปยังหมายเลขจากบันทึกของผู้ซื้อซึ่งตั้งค่าไว้ตั้งแต่ช่วงแรกของความสัมพันธ์หรือได้รับการตรวจสอบครั้งล่าสุดก่อนที่จะมีคำขอและไม่มีการเปลี่ยนแปลงตั้งแต่นั้นมา โดยดำเนินการโดยผู้ที่ไม่ได้รับคำขอ และมีการบันทึกไว้ ในมุมมองเดียวกัน จดหมายและใบแจ้งยอดบัญชีที่แสดงบัญชีใหม่จะสนับสนุนแฟ้มข้อมูลแต่ไม่ได้แสดงว่าใครเป็นผู้ขอ
ใน ประกาศของเอฟบีไอ (FBI) เมื่อเดือนพฤษภาคม 2017, FBI ระบุว่าคำขอที่เกิดขึ้นอย่างกะทันหันจากคู่ธุรกิจให้ติดต่อผ่านที่อยู่อีเมลส่วนตัวอาจเป็นการฉ้อโกง ในมุมมองของคู่มือฉบับนี้ การเปลี่ยนแปลงหมายเลขโทรศัพท์ ที่อยู่อีเมล หรือชื่อผู้ติดต่อของซัพพลายเออร์ จำเป็นต้องมีกระบวนการระงับ การโทรกลับไปยังผู้ติดต่อที่ได้รับการตรวจสอบก่อนหน้านี้ การอนุมัติ และการบันทึกเช่นเดียวกับการเปลี่ยนแปลงข้อมูลธนาคาร เนื่องจากผู้ที่มาแทนที่รายชื่อผู้ติดต่อในระบบจะเป็นผู้รับสายในภายหลัง
ใครควรเป็นผู้รับ ตรวจสอบ อนุมัติ และดำเนินการเปลี่ยนแปลงข้อมูล
ใน แบบจำลองการแบ่งแยกหน้าที่ปี 2014 ซึ่งผ่านการตรวจสอบโดยผู้ทรงคุณวุฒิ, อ่านสำหรับคู่มือนี้ในบทคัดย่อเท่านั้น Kevin Kobelsky นิยามการแบ่งแยกหน้าที่ว่าเป็นการจัดสรรงานเพื่อให้ไม่มีบุคคลใดสามารถทั้งก่อและซ่อนข้อผิดพลาดหรือการฉ้อโกงได้ และโมเดลของเขาถือว่าการให้และการอนุมัติการเข้าถึงระบบเป็นหน้าที่ที่แยกออกจากกัน ตามที่ บทคัดย่อเดียวกัน, โมเดลนี้กำหนดให้มีคนอย่างน้อยสามคนสำหรับการแยกหลักในงานที่สนับสนุนโดย IT และห้าคนสำหรับการแยกรอง; ในมุมมองของคู่มือนี้ ดังนั้นสาขาขนาดเล็กจึงจำเป็นต้องมีการตรวจสอบชดเชย
ใน บทสรุปกรอบการทำงาน COSO ของ Deloitte, การแบ่งแยกหน้าที่มักเป็นส่วนหนึ่งของการเลือกกิจกรรมการควบคุม และฝ่ายบริหารจะเลือกการควบคุมทางเลือกในกรณีที่ไม่สามารถแบ่งแยกหน้าที่ได้จริง ตาม สรุปเดียวกัน, การแยกการป้อนข้อมูลออกจากกระบวนการอนุมัติจะช่วยลดความเสี่ยงได้ก็ต่อเมื่อบุคคลที่เกี่ยวข้องไม่ได้สมรู้ร่วมคิดกันเท่านั้น
ใน คำแนะนำของ FBI 2016 เกี่ยวกับการเปลี่ยนแปลงสถานที่ชำระเงิน, เอฟบีไอ (FBI) ระบุว่าการอนุมัติซ้ำโดยพนักงานของบริษัทสามารถใช้เป็นปัจจัยที่สองได้ ในมุมมองของคู่มือฉบับนี้ ผู้รับข้อมูล ผู้ตรวจสอบ ผู้อนุมัติ และผู้ปล่อยการชำระเงินควรเป็นบุคคลที่แตกต่างกันสี่คน และวิธีการที่บทบาทเหล่านี้เชื่อมโยงข้ามระบบต่างๆ ได้ถูกกำหนดไว้ใน คู่มือการควบคุมกระบวนการจัดซื้อถึงชำระเงิน (procure-to-pay).
ในมุมมองของคู่มือฉบับนี้ ผู้ซื้อที่มีหลายสาขาจำเป็นต้องมีจุดรับเรื่องส่วนกลางเพียงจุดเดียว: ใครก็ตามที่ได้รับคำขอที่สาขาหรือในกล่องอีเมลของแผนกบัญชีเจ้าหนี้จะส่งต่อคำขอนั้นโดยไม่แก้ไข และไม่คีย์ข้อมูลหรือตอบกลับคำขอนั้นเอง จากนั้นการตรวจสอบเพียงครั้งเดียวต่อซัพพลายเออร์หนึ่งรายจะครอบคลุมทุกระเบียนในระบบ ERP และทุกรหัสบริษัท ส่วนการเปลี่ยนแปลงผ่านพอร์ทัล ศูนย์กลางข้อมูลหลัก อินเทอร์เฟซ และการอัปโหลดจำนวนมากก็ใช้การพักรายการและการโทรกลับในลักษณะเดียวกัน
ควรจัดการกับคำขอเปลี่ยนแปลงที่มีความเร่งด่วนอย่างไร
ใน รายงานสำรวจ 2026 ของ AFP, ผู้เขียนแนะนำให้มีนโยบายที่ชัดเจนเกี่ยวกับระยะเวลามาตรฐานในการชำระเงิน เนื่องจากเวลาที่เพิ่มขึ้นก่อนชำระเงินสามารถช่วยป้องกันการฉ้อโกงได้ และแนะนำให้ตรวจสอบการชำระเงินทันทีหรือการชำระเงินฉุกเฉินอย่างใกล้ชิด ใน ประกาศ 2017 ของ FBI, คำขอให้รักษาความลับหรือการดำเนินการอย่างรวดเร็วถือเป็นสัญญาณเตือน และธนาคารบางแห่งรายงานว่ามีการระงับคำขอโอนเงินระหว่างประเทศไว้นานขึ้นเพื่อทำการตรวจสอบ
ในมุมมองของคู่มือนี้ ความเร่งด่วนควรทำให้ขั้นตอนยาวนานขึ้น: จะไม่มีการจ่ายเงินไปยังบัญชีใหม่จนกว่าจะมีการโทรกลับและอนุมัติเสร็จสิ้น และความเร่งด่วนจะกระตุ้นให้เกิดการโทรครั้งที่สองไปยังผู้ติดต่อรายอื่นที่มีอยู่ในระบบ ในมุมมองเดียวกัน ใบแจ้งหนี้ที่ถึงกำหนดในระหว่างนี้จะรอไว้ก่อน หรือจ่ายไปยังบัญชีเดิมที่ได้รับการตรวจสอบแล้วเมื่อผู้ติดต่อที่ได้รับการตรวจสอบของซัพพลายเออร์ยืนยันว่าบัญชีนั้นยังเปิดใช้งานอยู่ ทั้งนี้ไม่มีแหล่งข้อมูลใดที่ได้รับการทบทวนกำหนดระยะเวลาการระงับไว้
การตรวจสอบบัญชีธนาคารอัตโนมัติสามารถแสดงอะไรได้บ้าง
บน หน้าเว็บของ Nacha ว่าด้วยการตรวจสอบความถูกต้องของบัญชี, อ่านเมื่อวันที่ 14 พฤศจิกายน 2026 การตรวจสอบความถูกต้องถือเป็นแนวทางปฏิบัติที่ดีที่สุดสำหรับผู้ที่ส่งการชำระเงิน ตามที่ หน้า Nacha เดียวกัน, กฎระเบียบที่กำหนดเรื่องนี้ ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 19 มีนาคม 2021 ครอบคลุมถึงรายละเอียดบัญชีผู้บริโภคสำหรับการใช้ครั้งแรกในการหักเงินบัญชีผู้บริโภคทางออนไลน์ ในขอบเขตดังกล่าว ตามการตีความของคู่มือฉบับนี้ กฎนี้ไม่ครอบคลุมถึงบัญชีใหม่ของซัพพลายเออร์ ภายใต้ แนวทางปฏิบัติที่เป็นกลางด้านวิธีการของกฎนั้น, ตัวเลือกต่างๆ รวมถึงการแจ้งเตือนล่วงหน้า (prenotifications), การป้อนรายการจำนวนเงินย่อย (micro-entries) และบริการเชิงพาณิชย์ที่ใช้ข้อมูลรวมกลุ่มหรือข้อมูลรับรองการธนาคารออนไลน์
ในมุมมองของคู่มือนี้ ผลการตรวจสอบความถูกต้องไม่ได้แสดงว่าผู้ใดเป็นผู้ขอเปลี่ยนแปลง จึงไม่สามารถแทนที่กระบวนการโทรกลับ (callback) ได้ โดยให้จัดเก็บเป็นบันทึกเพิ่มเติมอีกหนึ่งรายการ
ควรจัดการอย่างไรกับระเบียนซัพพลายเออร์ที่ไม่ได้ใช้งานและที่มีความซ้ำซ้อน
ไม่มีแหล่งข้อมูลอย่างเป็นทางการหรือแหล่งข้อมูลวิจัยใดที่ตรวจสอบครอบคลุมถึงระเบียนที่ไม่ได้ใช้งานหรือระเบียนที่ซ้ำซ้อน ดังนั้นส่วนนี้จึงเป็นการวิเคราะห์ของคู่มือเอง ให้บล็อกระเบียนที่ไม่มีการชำระเงินตามระยะเวลาที่ผู้ซื้อกำหนด เพื่อให้การเปิดใช้งานซ้ำต้องผ่านกระบวนการตรวจสอบเช่นเดียวกับการเปลี่ยนแปลงข้อมูลธนาคาร และให้รวมหรือบล็อกระเบียนที่ซ้ำซ้อนซึ่งมีรายละเอียดธนาคารอื่น เมื่อเจ้าของที่ระบุชื่อยืนยันข้อมูลที่ถูกต้องแล้ว ดำเนินการตรวจสอบเหล่านี้ตามกำหนดการซึ่งเป็นส่วนหนึ่งของ การกำกับดูแลวัฏจักรชีวิตซัพพลายเออร์หลังการออนบอร์ด.
บันทึกการเปลี่ยนแปลงควรพิสูจน์อะไรแก่ผู้ตรวจสอบบัญชี
ตาม สรุป COSO ของ Deloitte, ควรมีการจัดทำนโยบายการควบคุมเป็นลายลักษณ์อักษร ประเมินผลเป็นประจำ และทบทวนเมื่อมีความจำเป็นเกิดขึ้นเฉพาะหน้า รวมถึงกำหนดค่าระบบไอทีเพื่อจำกัดการเข้าถึงและสนับสนุนการแบ่งแยกหน้าที่ ในมุมมองของคู่มือฉบับนี้ บันทึกการเปลี่ยนแปลง (change log) คือหลักฐานที่ผู้ซื้อควรสามารถนำมาแสดงต่อผู้ตรวจสอบบัญชีได้ โดยโปรโตคอลด้านล่างจะระบุถึงสิ่งที่แต่ละขั้นตอนทิ้งร่องรอยไว้
| ขั้นตอน | เจ้าของ | หลักฐานที่เก็บรักษาไว้ | การตรวจสอบความพร้อม |
|---|---|---|---|
| การรับข้อมูลเข้า | ผู้รับ ส่งต่อให้กับจุดรับเรื่องส่วนกลาง | คำขอตามที่ได้รับ พร้อมด้วยช่องทางและวันที่ | บันทึกไว้ที่ส่วนกลาง ไม่มีการคีย์ข้อมูลหรือตอบกลับในระดับท้องถิ่น |
| ระงับ | ทีมงานข้อมูลหลักผู้จัดหา | ธงแสดงการเปลี่ยนแปลงที่รอดำเนินการ บัญชีใหม่ถูกบล็อก | ห้ามชำระเงินไปยังบัญชีที่ยังไม่ได้ตรวจสอบความถูกต้อง |
| การโทรกลับ | ผู้ตรวจสอบรายอื่นที่ไม่ใช่ผู้รับ | หมายเลข, แหล่งที่มาและวันที่เปลี่ยนแปลงล่าสุด, บุคคลที่ติดต่อได้, คำตอบ | ตรวจสอบหมายเลขแล้วก่อนส่งคำขอ และไม่มีการเปลี่ยนแปลงตั้งแต่นั้นมา |
| การอนุมัติ | บุคคลที่สองที่อยู่นอกสายงานของผู้ร้องขอ | การอนุมัติ ERP พร้อมบันทึกการโทรกลับ | ผู้สร้างรายการและผู้อนุมัติจะต้องเป็นคนละคนกัน |
| การเปิดใช้งาน | ผู้ดูแลรักษาข้อมูลที่ไม่มีสิทธิในการชำระเงิน | บันทึกข้อมูลค่าเดิมและค่าใหม่ ผู้ใช้ และเวลา; พร้อมทั้งส่งประกาศการเปลี่ยนแปลงไปยังช่องทางติดต่อที่ได้รับการตรวจสอบแล้ว | บันทึกที่ผู้สร้างไม่สามารถแก้ไขได้ |
| การชำระเงินครั้งแรก | ผู้ตรวจสอบหรือทีมข้อมูลหลักผู้ขาย | ผู้ติดต่อที่ได้รับการตรวจสอบแล้วยืนยันว่าได้รับเงิน | ได้รับการยืนยันก่อนการชำระเงินครั้งถัดไปไปยังบัญชีนั้น |
| การตรวจสอบสิทธิ์การเข้าถึง | เจ้าของระบบและผู้ตรวจสอบอิสระ | ผู้ใช้ที่สามารถสร้าง เปลี่ยนแปลง หรืออนุมัติบันทึกได้ | ไม่มีผู้ใช้รายใดที่ทั้งเปลี่ยนแปลงรายละเอียดธนาคารและทำการชำระเงิน |
| การทบทวนระเบียน | ผู้สอบทานที่อยู่นอกเหนือจากการบำรุงรักษาข้อมูลหลักผู้ขาย ตรวจสอบโดยการควบคุมภายใน | การเปลี่ยนแปลงข้อมูลธนาคารและผู้ติดต่อที่ตรงกันกับคำขอ การโทรกลับ และการอนุมัติ รวมถึงรายการที่ไม่ได้ใช้งานและรายการซ้ำ | ทุกการเปลี่ยนแปลงตรงกัน; บัญชีที่ใช้ร่วมกันโดยซัพพลายเออร์ต่างรายและการเปลี่ยนแปลงที่ถูกยกเลิกภายในไม่กี่วันได้รับการอธิบายหรือยกระดับปัญหา |
เสนอโดยคู่มือนี้ ไม่ใช่มาตรฐานการตรวจสอบบัญชี ข้อกำหนดทางกฎหมาย หรือการรับประกัน โปรดปรับบทบาทให้เข้ากับขนาดขององค์กร
ควรทำอย่างไรหากบัญชีที่มีการเปลี่ยนแปลงกลายเป็นการฉ้อโกง
บน หน้า BEC ของ IC3, อ่านเมื่อวันที่ 14 พฤศจิกายน 2026 เอฟบีไอ (FBI) แนะนำให้ติดต่อธนาคารต้นทางทันทีเพื่อขอเรียกเงินคืนหรือยกเลิกรายการ พร้อมทั้งขอหนังสือปลดเปลื้องความรับผิดหรือหนังสือชดใช้ค่าเสียหาย (hold harmless or indemnity letter) และยื่นเรื่องร้องเรียนโดยละเอียดไปยังศูนย์ IC3 ในมุมมองของคู่มือฉบับนี้ ฝ่ายการเงินและบริหารสภาพคล่องเป็นผู้โทรศัพท์ติดต่อธนาคารนั้น ในขณะที่ฝ่ายจัดซื้อจะระงับการชำระเงินให้กับซัพพลายเออร์รายดังกล่าวในทุกระบบ ERP ถอนรายชื่อออกจากรอบการจ่ายเงินที่รอดำเนินการ โทรศัพท์หาซัพพลายเออร์ตัวจริงผ่านช่องทางติดต่อที่ได้รับการตรวจสอบแล้ว และเก็บรักษาหลักฐานไว้ให้ฝ่ายการเงิน ฝ่ายความปลอดภัย และฝ่ายกฎหมาย ซึ่งรับผิดชอบการติดตามทวงคืนเงินและจุดยืนทางกฎหมายใดๆ
ตัวแทน AI จะเปลี่ยนแปลงการตรวจสอบการเปลี่ยนแปลงรายละเอียดธนาคารอย่างไร
คำถามที่พบบ่อย
Nacha กำหนดให้ต้องมีการตรวจสอบความถูกต้องของบัญชีก่อนที่จะชำระเงินไปยังบัญชีธนาคารใหม่ของซัพพลายเออร์หรือไม่
ไม่อยู่ภายใต้กฎการตรวจสอบความถูกต้อง บน หน้าเว็บของ Nacha ว่าด้วยการตรวจสอบความถูกต้องของบัญชี, อ่านเมื่อวันที่ 14 พฤศจิกายน 2026 ข้อกำหนดที่มีผลบังคับใช้ตั้งแต่วันที่ 19 มีนาคม 2021 ครอบคลุมรายละเอียดบัญชีผู้บริโภคสำหรับการใช้งานครั้งแรกสำหรับการหักเงินบัญชีผู้บริโภคออนไลน์ ตามที่ รายงานสำรวจของ AFP ประจำเดือนเมษายน 2026, กฎการตรวจสอบการฉ้อโกง 2026 ของ Nacha กำหนดให้มีการตรวจจับการฉ้อโกงตามความเสี่ยงสำหรับรายการหักและฝากเงินผ่าน ACH โดยผู้เข้าร่วมทั้งหมดจะต้องปฏิบัติตามภายในเดือนมิถุนายน 2026; ความหมายของเรื่องนี้สำหรับผู้ซื้อรายใดรายหนึ่งเป็นคำถามสำหรับธนาคารและที่ปรึกษาทางกฎหมายของตน
การแบ่งแยกหน้าที่สำหรับการเปลี่ยนแปลงข้อมูลธนาคารต้องใช้บุคลากรจำนวนกี่คน
ไม่มีแหล่งข้อมูลใดที่ได้รับการตรวจสอบกำหนดจำนวนคนเป็นตัวเลขเดียวสำหรับทุกองค์กร ใน แบบจำลองการแบ่งแยกหน้าที่ปี 2014 ซึ่งผ่านการตรวจสอบโดยผู้ทรงคุณวุฒิ, ซึ่งคู่มือฉบับนี้อ่านเฉพาะบทคัดย่อ โมเดลนี้กำหนดให้ต้องมีบุคคลอย่างน้อยสามคนสำหรับการแบ่งแยกหน้าที่หลักในกระบวนการที่สนับสนุนด้วยไอที และห้าคนสำหรับการแบ่งแยกหน้าที่รอง ในมุมมองของคู่มือฉบับนี้ ไซต์ขนาดเล็กจำเป็นต้องมีการตรวจสอบที่เป็นอิสระสำหรับการเปลี่ยนแปลงบัญชีทุกครั้ง
การโทรกลับเพื่อเปลี่ยนบัญชีธนาคารควรใช้หมายเลขโทรศัพท์ใด
ในมุมมองของคู่มือฉบับนี้ ให้ใช้หมายเลขจากบันทึกของผู้ซื้อที่ถูกตั้งค่าไว้ตั้งแต่เนิ่นๆ หรือได้รับการตรวจสอบครั้งล่าสุดก่อนที่จะมีคำขอ และไม่มีการเปลี่ยนแปลงตั้งแต่นั้นมา หากผู้ติดต่อรายนั้นมีการเปลี่ยนแปลงเมื่อเร็วๆ นี้ ให้ตรวจสอบการเปลี่ยนแปลงดังกล่าวก่อนผ่านผู้ติดต่อรายอื่นที่รู้จัก ใน ประกาศของเอฟบีไอ (FBI) เมื่อเดือนพฤษภาคม 2017, ธุรกิจต่างๆ ที่ทำการยืนยันทางโทรศัพท์ได้รับคำแนะนำให้ใช้หมายเลขที่รู้จักมาก่อนหน้านี้ ไม่ใช่หมายเลขที่ให้ไว้ในคำขอทางอีเมล ใน รายงานสำรวจ 2026 ของ AFP, จากข้อมูลของผู้ปฏิบัติงานด้านบริหารเงิน 465 คนที่ให้ข้อมูลเกี่ยวกับปี 2025 โดย 94% กล่าวว่าพวกเขาตรวจสอบคำขอโอนเงินด้วยการโทรไปยังผู้ติดต่อของผู้รับเงินที่ได้รับอนุญาตตามหมายเลขจากบันทึกทางการ
แหล่งที่มา
- การโจรกรรมข้อมูลอีเมลทางธุรกิจ: กลโกงมูลค่า 3.1 พันล้านดอลลาร์ (ประกาศบริการสาธารณะ I-061416-PSA) — สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา, ศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ต (IC3), สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา, ศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ต (IC3), ic3.gov; ประกาศบริการสาธารณะ I-061416-PSA, 14 มิถุนายน 2016; อ่านเมื่อ 14 พฤศจิกายน 2026, 2016 หลักฐานพื้นฐาน (รายงานอย่างเป็นทางการ): คำแนะนำการควบคุมพื้นฐาน: ตรวจสอบการเปลี่ยนแปลงสถานที่ชำระเงินของซัพพลายเออร์ด้วยปัจจัยที่สอง เช่น การลงนามอนุมัติซ้ำ; ยืนยันทางโทรศัพท์โดยใช้หมายเลขที่ทราบมาก่อนหน้านี้ ห้ามใช้หมายเลขที่ระบุมาในคำขอ; จัดตั้งช่องทางนอกย่านความถี่ (out-of-band) ตั้งแต่เนิ่นๆ ในความสัมพันธ์; ข้อสังเกตเกี่ยวกับความลับและความเร่งรีบ; คำขอที่มีการเรียบเรียงอย่างดี เจาะจงเรื่องธุรกิจ และมีขนาดเท่ากับการชำระเงินปกติ; สถานการณ์การเปลี่ยนเส้นทางใบแจ้งหนี้ของซัพพลายเออร์; การลาดตระเวนเพื่อดูว่าใครเป็นผู้จัดการการชำระเงิน; การติดตามผลของซัพพลายเออร์ในฐานะจุดที่พบปัญหา; การติดต่อธนาคารทันทีหลังจากการโอนเงินที่เป็นการฉ้อโกง
- การฉ้อโกงอีเมลทางธุรกิจ (Business E-mail Compromise) การเจาะบัญชีอีเมล (E-mail Account Compromise) การหลอกลวงมูลค่า 5 พันล้านดอลลาร์ (ประกาศบริการสาธารณะ I-050417-PSA) — สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา, ศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ต (IC3), สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา, ศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ต (IC3), ic3.gov; ประกาศบริการสาธารณะ I-050417-PSA, 4 พฤษภาคม 2017 (ข้อมูลการร้องเรียน ณ วันที่ 31 ธันวาคม 2016); อ่านเมื่อ 14 พฤศจิกายน 2026, 2017 หลักฐานทางประวัติศาสตร์ (รายงานอย่างเป็นทางการ): หลักฐานทางประวัติศาสตร์ที่แสดงว่าการเบี่ยงเบนเส้นทางสามารถมุ่งเป้าไปที่บันทึกข้อมูลการรับเงินประจำ (การชำระเงินใบแจ้งหนี้ขาเข้าทั้งหมด) แทนที่จะเป็นใบแจ้งหนี้เดียว ผ่านอีเมลหรือโดเมนที่ถูกปลอมแปลง; สถานการณ์ของผู้ขายผ่านทางโทรศัพท์ โทรสาร และอีเมล; คำแนะนำอย่างเป็นทางการที่ทำซ้ำเกี่ยวกับการลงนามครั้งที่สองสำหรับการเปลี่ยนแปลงสถานที่ชำระเงินของผู้ขาย การโทรกลับไปยังหมายเลขที่ทราบมาก่อนหน้านี้ และช่องทางนอกเครือข่ายที่จัดเตรียมไว้ล่วงหน้า
- การโจรกรรมข้อมูลอีเมลทางธุรกิจ (BEC) — สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI), ศูนย์ร้องเรียนอาชญากรรมทางอินเทอร์เน็ต (IC3), สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI), ศูนย์ร้องเรียนอาชญากรรมทางอินเทอร์เน็ต (IC3), หน้าข้อมูลอาชญากรรม ic3.gov (ไม่ระบุวันที่; URL ถูกบันทึกโดย Internet Archive มาอย่างน้อยตั้งแต่เดือนพฤศจิกายน 2024); อ่าน 14 พฤศจิกายน 2026, 2026. หลักฐานบริบท (รายงานอย่างเป็นทางการ): การยืนยันอย่างเป็นทางการในปัจจุบันว่าคำขอเปลี่ยนแปลงข้อมูลบัญชีควรได้รับการตรวจสอบผ่านช่องทางรองกับผู้รับที่ตั้งใจไว้; การตรวจสอบที่อยู่อีเมลของผู้ส่งเป็นสัญญาณเสริม; ขั้นตอนของเหตุการณ์แรก (ติดต่อสถาบันการเงินต้นทางเพื่อขอเรียกคืนหรือยกเลิกรายการ, ยื่นคำร้องเรียน IC3 อย่างละเอียดพร้อมข้อมูลธนาคาร)
- รายงานสำรวจการฉ้อโกงและการควบคุมการชำระเงินประจำปีของ AFP 2026: ประเด็นสำคัญ — ฝ่ายวิจัยสมาคมผู้บริหารฝ่ายการเงิน (AFP), สมาคมผู้บริหารฝ่ายการเงิน, เมษายน 2026; สนับสนุนโดย Truist; ไฟล์ PDF โฮสต์อยู่บน truist.com (คุณสมบัติ PDF: สร้างขึ้นเมื่อ 6 เมษายน 2026, แก้ไขเมื่อ 19 สิงหาคม 2026); อ่านเมื่อ 14 พฤศจิกายน 2026, 2026. หลักฐานเชิงประจักษ์ปัจจุบัน (การวิจัยการเทียบเคียง): หลักฐานจากองค์กรวิชาชีพปัจจุบันพร้อมด้วยวันที่ ประชากร และวิธีการ: มิจฉาชีพปลอมตัวเป็นผู้ขายหรือผู้บริหารเพื่อขอเปลี่ยนคำสั่งการชำระเงิน; 39% ได้รับอีเมลจริงที่ถูกสกัดกั้นโดยมิจฉาชีพ; การโทรศัพท์ขอเปลี่ยนบัญชีธนาคารและหาประโยชน์จากช่องว่างในขั้นตอนการตรวจสอบ; คำสั่งโอนเงินผ่าน ACH หรือการโอนเงินทางธนาคารที่ถูกบิดเบือน, การฉ้อโกงใบแจ้งหนี้ และแหล่งข้อมูลจากบุคคลที่สามตามกลุ่ม; 96% การใช้นโยบายเพื่อยืนยันการเปลี่ยนแปลงเงินฝากธนาคารและรายละเอียดการติดต่อ และ 94% การโทรหาผู้รับเงินที่ได้รับอนุญาตตามหมายเลขจากบันทึกอย่างเป็นทางการ พร้อมการให้คะแนนประสิทธิภาพจากผู้ตอบแบบสอบถาม; การลงนามระดับอาวุโสและการห้ามการชำระเงินที่เริ่มต้นด้วยอีเมล; กรณีของผู้ตอบแบบสอบถามเกี่ยวกับการเปลี่ยนแปลงธนาคารที่ป้อนเข้ามาก่อนที่ฝ่ายคลังจะยืนยัน และฝ่ายเจ้าหนี้การค้าโทรไปยังหมายเลขในอีเมล; นโยบายรอบระยะเวลาการชำระเงินและการตรวจสอบการชำระเงินฉุกเฉินอย่างละเอียด; การตอบสนองแบบข้ามสายงาน; บทสรุปของ AFP เกี่ยวกับกฎการตรวจสอบการฉ้อโกง 2026 ของ Nacha.
- มุมมองการฉ้อโกงการชำระเงิน 2026: บทเรียนจากสถานการณ์การฉ้อโกงในโลกแห่งความเป็นจริง — สมาคมผู้เชี่ยวชาญด้านการเงิน (AFP), สมาคมผู้เชี่ยวชาญด้านการเงิน, บทความ financialprofessionals.org, เผยแพร่เมื่อวันที่ 1 พฤษภาคม 2026; อ่าน 14 พฤศจิกายน 2026, 2026 หลักฐานเชิงประจักษ์ปัจจุบัน (การวิเคราะห์อุตสาหกรรม): หลักฐานโต้แย้งและโหมดความล้มเหลวสำหรับวิธีนี้: เอกสารที่ดูเหมือนถูกต้องไม่ใช่เครื่องพิสูจน์; การควบคุมการโทรกลับที่มีอยู่ถูกบายพาสหรือแทนที่ด้วยการยืนยันทางอีเมลในเธรดเดียวกัน; การ 'ตรวจสอบความถูกต้อง' ทางโทรศัพท์ที่ยืนยันการเปลี่ยนแปลงที่เป็นการฉ้อโกง; ตัวตนของผู้โทรที่ตรงกับหมายเลขที่ถูกต้องของธนาคาร; การตรวจสอบอิสระและนโยบายหยุดและถามที่หยุดความพยายาม; การตรวจจับที่อาศัยสัญญาณหลายอย่างและการประสานงานข้ามสายงาน
- รายงานสำรวจการฉ้อโกงและการควบคุมการชำระเงิน AFP ประจำปี 2024: ไฮไลต์สำคัญ — ฝ่ายวิจัยสมาคมผู้เชี่ยวชาญด้านการเงิน (AFP), สมาคมผู้เชี่ยวชาญด้านการเงิน, เมษายน 2024; สนับสนุนโดย Truist; สำเนา PDF โฮสต์อยู่ที่ cdn.ymaws.com สำหรับ iocpnow.com (PDF สร้างเมื่อ 15 เมษายน 2024); อ่านเมื่อ 14 พฤศจิกายน 2026, 2024 หลักฐานทางประวัติศาสตร์ (การวิจัยเชิงเปรียบเทียบ): หลักฐานจากองค์กรวิชาชีพในอดีตที่ระบุว่าการชำระเงินของฝ่ายบัญชีเจ้าหนี้ (AP) อาจเกิดขึ้นจากการที่พนักงานเปลี่ยนแปลงรายละเอียดธนาคารของซัพพลายเออร์โดยไม่มีการตรวจสอบความถูกต้องที่เหมาะสมในกระบวนการทะเบียนผู้จำหน่าย (vendor master); ข้อมูลประจำตัวที่ถูกขโมยจากพอร์ทัลปลอมที่ใช้เพื่อพยายามเปลี่ยนแปลงบัญชีธนาคาร; ช่องว่างระหว่างการมีนโยบาย BEC และการทดสอบนโยบายดังกล่าว (เอกสารที่ทำเสร็จสมบูรณ์ไม่ถึง 60%, การทดสอบ 49%) ในปี 2023
- ศูนย์ทรัพยากรการตรวจสอบความถูกต้องของบัญชี — Nacha (องค์กรกำหนดกฎระเบียบสำหรับเครือข่าย ACH), หน้าแหล่งข้อมูล nacha.org, ไม่ระบุวันที่ (แผงข่าวแสดงรายการข่าวของปี 2026); อ่านเมื่อ 14 พฤศจิกายน 2026, 2026 หลักฐานบริบท (รายงานอย่างเป็นทางการ): การตรวจสอบความถูกต้องของบัญชีเป็นขั้นตอนที่แนะนำ (สำหรับเครดิต B2B ไม่ใช่ขั้นตอนบังคับตามกฎระเบียบ); ขอบเขตของกฎ WEB-debit สำหรับผู้บริโภคในฐานะขอบเขตจำกัด; ตัวเลือกวิธีการ (การแจ้งเตือนล่วงหน้า การตรวจสอบด้วยไมโครเอนทรี บริการตรวจสอบเชิงพาณิชย์) และข้อมูลที่บริการดังกล่าวใช้ เพื่อเป็นข้อมูลป้อนเข้าสำหรับข้อจำกัดของคู่มือเกี่ยวกับสิ่งที่การตรวจสอบอัตโนมัติสามารถแสดงได้และไม่สามารถแสดงได้
- COSO – กิจกรรมการควบคุม — ดีลอยต์ ไนจีเรีย (ฝ่ายตรวจสอบบัญชี & บริการให้ความเชื่อมั่น), ดีลอยต์ ไนจีเรีย, deloitte.com มุมมองด้านการตรวจสอบบัญชี & บริการให้ความเชื่อมั่น (ข้อมูลเมตาของหน้า: เผยแพร่เมื่อ 15 เมษายน 2020, แก้ไขเมื่อ 17 สิงหาคม 2023); อ่านเมื่อ 14 พฤศจิกายน 2026, 2020. หลักฐานพื้นฐาน (บทความผู้ปฏิบัติงาน): กรอบพื้นฐานของการแบ่งแยกหน้าที่ซึ่งเป็นส่วนหนึ่งของกิจกรรมการควบคุม, การควบคุมทางเลือกในกรณีที่การแบ่งแยกหน้าที่ทำได้ยาก, การแยกการป้อนข้อมูลออกจากการอนุมัติในกระบวนการอัตโนมัติ, ขีดจำกัดของการสมรู้ร่วมคิด, การระบุฟังก์ชันที่ไม่เข้ากันและการกำหนดค่าการเข้าถึงไอที, และการเก็บบันทึกนโยบายและการทบทวน
- โมเดลเชิงแนวคิดสำหรับการแบ่งแยกหน้าที่: การบูรณาการทฤษฎีและการปฏิบัติสำหรับกระบวนการที่ดำเนินการด้วยมือ และกระบวนการที่สนับสนุนด้วยระบบไอที — Kevin W. Kobelsky, International Journal of Accounting Information Systems 15(4):304-322 (Elsevier), 2014; DOI 10.1016/j.accinf.2014.05.003; อ่านบทคัดย่อจากระเบียน RePEc/IDEAS เมื่อวันที่ 14 พฤศจิกายน 2026, 2014 หลักฐานพื้นฐาน (วารสารที่ผ่านการประเมินโดยผู้ทรงคุณวุฒิ): คำจำกัดความพื้นฐานที่ผ่านการประเมินโดยผู้ทรงคุณวุฒิเกี่ยวกับการแบ่งแยกหน้าที่ (ไม่มีบุคคลใดสามารถทั้งก่อและปกปิดข้อผิดพลาดหรือการทุจริตได้ในเวลาเดียวกัน); การให้สิทธิ์และการอนุมัติการเข้าถึงระบบเป็นหน้าที่ที่ต้องแยกออกจากกันในกระบวนการที่สนับสนุนโดย IT; จำนวนบุคลากรขั้นต่ำของโมเดลซึ่งเป็นเหตุผลว่าทำไมสาขาขนาดเล็กจึงต้องมีมาตรการควบคุมชดเชย; ช่องว่างที่สังเกตเห็นระหว่างทฤษฎี คำแนะนำ และแนวทางปฏิบัติทั่วไป