Схемы crime: внутреннее мошенничество и мошенничество со счетами

Коротко. Опубликованные страховщиками примеры убытков показывают, что наибольший риск crime представляет собой не техническая атака, а доверие, сосредоточение ролей в руках одного человека и давление спешки. Страхование crime, как правило, возмещает непосредственно присвоенные или уплаченные мошеннику суммы и часть расходов на расследование; репутационный ущерб, затраты времени руководства и нарушения деятельности, как правило, остаются на страхователе.¹ Примеры обобщены, а страхователи анонимны; это авторские резюме опубликованных страховщиками и поставщиками услуг примеров убытков, и их нужно читать как иллюстративные сценарии того, как может сработать договор crime, а не как проверенные сообщения о конкретных выплатах.

A. Опубликованные страховщиками примеры внутреннего мошенничества

1. Фантомный поставщик, созданный руководителем ИТ

У руководителя ИТ международного производственного предприятия были широкие права как в системе закупок, так и в бухгалтерском программном обеспечении. Он создал правдоподобный профиль поставщика, который якобы предоставлял программное обеспечение и обслуживание, выставлял от его имени счета и сам их подтверждал. Ущерб превысил 2 миллиона долларов. Для обнаружения потребовался внешний судебно-бухгалтерский анализ. Согласно примеру убытка, опубликованному страховщиком, страховая защита от присвоения со стороны работника возместила суммы, уплаченные по ложным счетам, и существенную часть расходов на форензику.²

Урок. «Суперправа» администратора в системе закупок и в платежах являются классической предпосылкой внутреннего мошенничества. Разделение ролей и периодический пересмотр расширенных прав являются ожиданием как внутреннего контроля, так и страховщика.

2. Длительное присвоение бухгалтером

Бухгалтер предприятия одновременно контролировал платежи поставщикам и работникам, а также записи в главной книге. Он создавал фиктивных поставщиков и направлял деньги на находившиеся под его контролем счета, скрывая платежи переклассификациями между счетами. Мошенничество выявилось, когда бухгалтер был в отпуске, а заместитель заметил несоответствия. При таком ущербе страховая защита от нечестности работника, как правило, возмещает присвоенные суммы и в предусмотренном договором объеме расходы на расследование, но не репутационный ущерб и не нарушения в организации работы.

Урок. Обязательный отпуск и ротация обязанностей являются простыми и эффективными проверками. На малых и средних предприятиях сосредоточение ролей особенно распространено.

3. Схема по типу Понци в управляющей компании

Финансовый директор управляющей недвижимостью компании начал деньгами одного квартирного товарищества временно покрывать расходы другого товарищества. Практика стала системной: новыми поступлениями латали старые дыры. В сценарии убытка, опубликованном страховщиком, товарищества в совокупности лишились более 1 миллиона долларов.³ При таком ущербе страховая защита от нечестности работника, как правило, возмещает присвоенные суммы и в предусмотренном договором объеме расходы на восстановление бухгалтерского учета и расследование, но не проценты, договорные штрафы и репутационный ущерб.

Урок. Управляющая компания, хранящая деньги клиентов, должна застраховать и имущество клиента и держать деньги клиентов отдельно.

4. Согласованное присвоение двумя работниками банка

В европейском банке действовал контроль двух лиц: один инициирует платеж, другой подтверждает. Двое работников действовали согласованно и переводили небольшие суммы со счетов клиентов на счета третьих лиц, оставаясь ниже порогов автоматических предупреждений. Согласно примеру убытка, опубликованному страховщиком, страхование crime возместило прямой ущерб и существенную часть расходов на форензик-аудит; репутационный ущерб и возможный регуляторный штраф остались непокрытыми.⁴

Урок. Принцип четырех глаз не защищает от согласованного мошенничества. Договор должен покрывать мошенничество, совершенное несколькими работниками совместно.

5. Звонок от имени банка и выманивание кода аутентификации

В примере убытка, опубликованном страховщиком, финансовому директору предприятия позвонил мошенник, представившийся работником банка, сообщил о возможном мошенничестве и проинструктировал сбросить пароль по присланной им ссылке. Финансовый директор неосознанно передал данные пользователя счета и код многофакторной аутентификации, после чего мошенник опустошил счет; ущерб превысил миллион долларов. Ущерб был возмещен из страховой защиты от мошенничества с денежными переводами (funds transfer fraud), которая охватывает невозмещенные мошеннические электронные переводы; вернуть деньги от банка не удалось.⁵

В отличие от ситуации, описанной в пункте 7, здесь платежное поручение давал не работник предприятия: переводы совершил мошенник с помощью выманенных данных. От этого часто зависит, подпадает ли ущерб под страховую защиту от мошенничества с денежными переводами или нужно отдельное расширение на мошенническое платежное указание.⁶

6. Кража средств клиентов и пределы страхования профессиональной ответственности

Финансовый директор оказывающего профессиональные услуги предприятия в Соединенном Королевстве годами присваивал деньги клиентов. Клиенты предъявили требования. Страхование профессиональной ответственности возместило часть ущерба, однако выявился критический пробел: у предприятия не было страхования crime, которое покрыло бы прямой ущерб, вытекающий из нечестного поведения работника.⁷

Урок. Страхование профессиональной ответственности не заменяет страхование crime. Аудиторам, адвокатским бюро, бухгалтерским бюро и управляющим активами нужны оба вида страхования. См. страхование профессиональной ответственности.

B. Опубликованные страховщиками примеры мошеннического платежного указания

7. Захват электронной почты поставщика

Мошенники захватывают электронную почту поставщика или регистрируют почти идентичный домен и направляют обычный счет с новыми банковскими реквизитами. Переписка выглядит подлинной: прежние счета, привычный стиль, правильные люди. В судебной практике и специальной литературе разъяснялось, что традиционная страховая защита от компьютерного мошенничества или мошенничества с денежными переводами может не охватывать такой ущерб: банк исполнил распоряжение, данное собственным работником застрахованного лица, работник сам подтвердил платеж, а компьютерная система не была взломана. Например, суд канадской провинции Альберта в 2017 году отказал в удовлетворении иска застрахованного лица, основанного на страховой защите от мошенничества с денежными переводами, поскольку платежное поручение банку дал собственный работник застрахованного лица и перевод, таким образом, был совершен с согласия застрахованного лица.⁶ Поэтому предлагается отдельное расширение на мошенническое платежное указание (social engineering fraud).⁸

8. Срочное указание от имени руководителя

Бухгалтер получил телефонный звонок и электронные письма от лица, выдававшего себя за руководителя, которое требовало конфиденциального перевода в связи со сделкой по приобретению. Банк отказался возмещать ущерб, поскольку сделка была совершена на основании корректного указания. Такой ущерб возмещается страховой защитой от мошеннического платежного указания; страховщики обычно связывают эту защиту с более строгими процедурами: контрольным звонком и двойным подтверждением срочных платежей.

Урок. Страховая защита от мошеннического платежного указания создана именно для тех случаев, когда работник под влиянием обмана совершает формально «санкционированный» платеж. Защита обычно ограничена сублимитом и связана с требованием о контрольном звонке.

C. Распространенные в Эстонии схемы мошенничества

Приведенные ниже схемы являются обобщениями публичных предупреждений Департамента государственных информационных систем и публичных уголовных дел; они не описывают случай какого-либо конкретного предприятия.⁹

С точки зрения уголовного права такие деяния могут быть присвоением, мошенничеством или компьютерным мошенничеством (KarS § 201, § 209, § 213).¹⁰ Страховой случай, однако, определяет договор страхования.

D. Что показывают эти примеры в совокупности

1. Страхование crime является последней линией защиты, когда внутренний контроль не сработал. Оно не заменяет проверки, а предполагает их.
2. Сосредоточение ролей является основной предпосылкой внутреннего мошенничества. Малое предприятие должно компенсировать недостаток ролей надзором со стороны руководства и техническими ограничениями.
3. Косвенный ущерб часто остается непокрытым. Репутационный ущерб, затраты времени руководства, договорные штрафы и проценты нужно учитывать как собственную ответственность.
4. Имущество клиента требует отдельной страховой защиты. Если предприятие хранит деньги клиентов, это нужно ясно согласовать в договоре.
5. Страховая защита от мошеннического платежного указания и ее сублимит при мошенничестве со счетами и мошенничестве от имени руководителя часто являются единственной срабатывающей защитой.

E. Превентивные проверки по схемам

Страховщики спрашивают об этих проверках в заявлении и часто ставят их условием страховой защиты. Таким образом, фактическое функционирование проверок является вопросом как предотвращения ущерба, так и страховой защиты.

Связанные страницы

• Страхование crime
• Судебные дела по страхованию crime
• Симуляции: цепочка мошенничества со счетами
• Первые 72 часа

Примечания