בקצרה

ביצוע העברת כספים בטוחה לחברת טייטל דורש פרוטוקול אימות רב-שלבי שאינו תלוי בתקשורת דואר אלקטרוני. העיקרון המרכזי הוא להתייחס לכל אימייל המכיל הוראות העברה כאל מידע שעלול להיות מזויף, ולאמת באופן עצמאי וישיר כל פרט ופרט מול נציג מוסמך בחברת הטייטל. האימות חייב להתבצע באמצעות ערוץ תקשורת נפרד ומאובטח, בעיקר שיחת טלפון למספר שאומת ממקור מהימן בתחילת התהליך, ולא המספר המופיע באימייל עצמו.

הסיבה למחמירות זו היא השכיחות הגבוהה של הונאות מתוחכמות בתחום הנדל"ן, המכונות הונאות פשרה עסקית בדוא"ל (Business Email Compromise). במסגרתן, גורמים עוינים פורצים לתיבות מייל, עוקבים אחר התכתובות, וברגע האמת שולחים הוראות תשלום מזויפות. מכיוון שכמעט בלתי אפשרי לבטל העברה בנקאית לאחר שבוצעה, מניעה מוחלטת באמצעות אימות קפדני היא קו ההגנה היחיד שעומד לרשות המשקיע.

פרוטוקול אימות רב-שלבי: מעבר להוראות שבאימייל

הכלל הבסיסי והבלתי מתפשר באבטחת העברות כספים הוא לעולם לא לסמוך על הוראות שהתקבלו בדואר אלקטרוני בלבד, גם אם הן נראות אותנטיות ומגיעות מכתובת מוכרת. יש ליישם עיקרון של אימות מחוץ לערוץ התקשורת המקורי (Out-of-Band Verification). משמעות הדבר היא שימוש בערוץ נפרד ומאומת כדי לוודא את נכונות הפרטים. הערוץ המרכזי והיעיל ביותר לכך הוא שיחת טלפון יזומה. החלק הקריטי ביותר בתהליך הוא אופן השגת מספר הטלפון: יש להשתמש אך ורק במספר טלפון שהושג ממקור רשמי ומהימן בתחילת ההתקשרות, כגון אתר האינטרנט הרשמי של חברת הטייטל, חוזה הרכישה, או מרשימת אנשי הקשר המאומתת של סוכן הנדל"ן או עורך הדין שלכם. לעולם אין להתקשר למספר המופיע בחתימת האימייל המכיל את הוראות ההעברה.

השלב הראשון בפרוטוקול מתחיל הרבה לפני שמגיעות הוראות התשלום. כבר בתחילת העבודה מול חברת הטייטל, על המשקיע ליצור קשר, להשיג ולשמור מספר טלפון ישיר ומאומת של איש הקשר הספציפי המטפל בעסקה (Escrow Officer או Closing Agent). יש לוודא את המספר מול גורם צד שלישי שאתם סומכים עליו, כמו הסוכן שלכם. מספר זה הופך להיות "עוגן האמת" היחיד שלכם לכל אימות עתידי. הרבה משקיעים מתחילים את התקשורת עם חברת הטייטל במייל, וממשיכים כך מתוך הרגל. הטעות היא להניח שהדובר בצד השני נשאר אותו אדם לאורך כל הדרך. הונאות מתקדמות משתלטות על תיבות מייל קיימות וממשיכות שיחה באופן שנראה אותנטי לחלוטין. לכן, קביעת מספר טלפון מאומת בתחילת הדרך, לפני שבכלל מדברים על כסף, היא חומת המגן החשובה ביותר, ולא נוחות תפעולית.

כאשר הוראות ההעברה מתקבלות, בדרך כלל בקובץ PDF המצורף לאימייל, מתחיל שלב האימות הפעיל. על המשקיע ליזום שיחת טלפון לאותו מספר מאומת שנשמר מראש. במהלך השיחה, יש לאשר בעל פה, ספרה אחר ספרה, כל אחד מפרטי ההעברה: מספר ניתוב (Routing/ABA), מספר חשבון, שם המוטב המדויק, שם הבנק וכתובתו, והסכום הסופי לתשלום. לא מספיק לשאול באופן כללי "האם הפרטים נכונים?". יש להקריא בקול את הפרטים מהמסמך ולבקש מנציג חברת הטייטל לאשר כל אחד מהם באופן מפורש. תהליך אימות זה הוא החלק האחרון והקריטי ביותר בתהליך של בדיקת נאותות פיננסית, שכן טעות כאן מבטלת את כל הבדיקות שנעשו עד כה ומסכנת את כל הון העסקה.

לאחר ביצוע ההעברה בבנק, הפרוטוקול אינו מסתיים. מומלץ ליזום שיחת טלפון נוספת לאותו מספר מאומת, לעדכן את נציג חברת הטייטל שההעברה בוצעה ולבקש ממנו לאשר את קבלת הכספים מיד עם הגעתם לחשבון. במקביל, חשוב להכיר מספר דגלים אדומים המחייבים עצירה מוחלטת של התהליך ובדיקה מחודשת. דגלים אלו כוללים כל הודעת אימייל על שינוי של הרגע האחרון בפרטי הבנק, הפעלת לחץ לבצע את ההעברה בדחיפות, שגיאות דקדוק או ניסוחים חריגים בהתכתבות, והוראות המגיעות מכתובת דוא"ל שונה במקצת מהכתובת המקורית (למשל, סיומת שונה או החלפת אותיות קטנה).

מה קורה כשהוראות ההעברה מגיעות משני מקורות שונים?

משקיע נמצא יום לפני המועד הרשמי לסגירת עסקה באוהיו. הוא מקבל בשעות הבוקר אימייל מאשת הקשר שלו בחברת הטייטל, עם קובץ PDF המפרט את הוראות ההעברה הבנקאית. כעבור מספר שעות, הוא מקבל אימייל נוסף, הפעם מסוכן הנדל"ן שלו, ובו קובץ PDF עם פרטי העברה אחרים. להודעה מצורף הסבר קצר כי "התגלתה בעיה טכנית בחשבון הנאמנות של חברת הטייטל והפרטים עודכנו". המשקיע ניצב בפני צומת החלטה קריטי: האם לסמוך על העדכון שהגיע מהסוכן המוכר והאמין שלו כדי לא לעכב את הסגירה, או לעצור את כל התהליך ולבצע אימות מחדש.

הקריטריון להכרעה במצב כזה אינו מבוסס על רמת האמון האישי בסוכן, אלא על דבקות בפרוטוקול האבטחה שנקבע מראש. כל שינוי בפרטי העברה, במיוחד סמוך למועד הסגירה, הוא דגל אדום מוחלט שדורש עצירה מיידית. ההחלטה הנכונה היא להתעלם לחלוטין משני האימיילים, לא להגיב להם ולא להשתמש בפרטים המופיעים בהם. במקום זאת, יש ליזום שיחת טלפון למספר של אחראי הסגירה בחברת הטייטל, מספר שאומת ונשמר באופן עצמאי בתחילת התהליך. בשיחה יש לבקש לקבל בעל פה את פרטי ההעברה הנכונים והסופיים, ורק לאחר מכן לבצע את ההעברה. פעולה זו מנטרלת את ניסיון ההונאה, שמקורו ככל הנראה בתיבת מייל שנפרצה אצל אחד הצדדים המעורבים.

שורה תחתונה

אבטחת העברת כספים בעסקת נדל"ן בארה"ב אינה תלויה בטכנולוגיה של הבנק או במערכות ההצפנה של הדואר האלקטרוני, אלא אך ורק במשמעת התפעולית של המשקיע. האחריות לאימות הפרטים מוטלת כולה על שולח הכספים. יש להתייחס לדואר אלקטרוני כאל ערוץ לא מאובטח להעברת מידע פיננסי רגיש, ולבסס את כל תהליך התשלום על אימות טלפוני יזום, ישיר ובלתי תלוי. אימוץ פרוטוקול אימות קפדני אינו המלצה או נוהג רצוי, אלא מרכיב הכרחי ובלתי ניתן למשא ומתן בניהול סיכונים של כל משקיע הפועל מרחוק.

לפרטים והצטרפות לפרויקט איקס