سوءاستفاده از درگاه پرداخت می‌تواند شامل واگذاری غیرمجاز درگاه، انجام تراکنش‌های صوری، استفاده خارج از فعالیت ثبت‌شده و موارد دیگر باشد. پیشگیری از این موارد به رعایت الزامات شبکه پرداخت، مدیریت دسترسی‌ها، حفاظت از اطلاعات محرمانه و بررسی مستمر تراکنش‌ها نیاز دارد. در این مطلب، مهم‌ترین مصادیق و نشانه‌های سوءاستفاده از درگاه پرداخت را بررسی می‌کنیم.
درگاه پرداخت اینترنتی برای دریافت وجه در چارچوب فعالیت مشخص یک کسب‌وکار ارائه می‌شود؛ بااین‌حال واگذاری درگاه به اشخاص دیگر، استفاده از آن برای فعالیت‌های غیرمجاز یا دسترسی غیرمجاز به اطلاعات پذیرندگی می‌تواند زمینه سوءاستفاده، کلاهبرداری و دیگر تخلفات مالی را فراهم کند.
پذیرندگان برای پیشگیری از این مشکلات باید علاوه بر رعایت الزامات شبکه پرداخت، دسترسی به درگاه را مدیریت کنند، تراکنش‌های خود را بررسی کنند و با روش‌های شناسایی فعالیت‌های مشکوک آشنا باشند.
در این مطلب مهم‌ترین مصادیق سوءاستفاده از درگاه پرداخت، راهکارهای پیشگیری و اقدامات لازم هنگام مواجهه با موارد مشکوک را بررسی می‌کنیم.
سوءاستفاده از درگاه پرداخت چیست؟
سوءاستفاده از درگاه پرداخت به استفاده از این ابزار خارج از چارچوب مجاز پذیرندگی یا بهره‌برداری غیرمجاز از امکانات و اطلاعات مرتبط با آن گفته می‌شود. چنین اتفاقی ممکن است بر اثر اقدام آگاهانه پذیرنده، رعایت‌نکردن الزامات فعالیت یا دسترسی اشخاص غیرمجاز رخ دهد.
برای مثال، اگر یک فروشگاه اینترنتی درگاه پرداخت خود را برای دریافت وجه در اختیار کسب‌وکار دیگری قرار دهد، ممکن است استفاده از ابزار پذیرش با اطلاعات و فعالیت ثبت‌شده آن مطابقت نداشته باشد؛ در موقعیتی دیگر، ممکن است شخصی با سرقت اطلاعات ورود به پنل پذیرنده یا کلیدهای دسترسی، از امکانات درگاه سوءاستفاده کند.
البته میان استفاده غیرمجاز از درگاه، وقوع جرم و مشاهده تراکنش مشکوک تفاوت وجود دارد. هر مغایرت یا رفتار غیرمعمولی الزاماً نشانه فعالیت مجرمانه نیست و تشخیص تخلف به بررسی شرایط و مستندات مربوط نیاز دارد.
مطابق آیین‌نامه اجرایی ماده ۱۴ الحاقی قانون مبارزه با پول‌شویی، استفاده از ابزار پذیرش خارج از چارچوب تعیین‌شده با محدودیت‌هایی همراه است. این مقررات موضوعاتی مانند واگذاری ابزار پذیرش به دیگران، تغییر اطلاعات پذیرنده و استفاده خارج از صنف یا نقطه دسترسی ثبت‌شده را نیز پوشش می‌دهند.
مهم‌ترین مصادیق سوءاستفاده از درگاه پرداخت
سوءاستفاده از درگاه پرداخت همیشه به‌شکل هک‌شدن یک سامانه یا سرقت اطلاعات بانکی اتفاق نمی‌افتد؛ گاهی استفاده از درگاه برای دریافت وجه اشخاص دیگر یا انجام‌دادن فعالیتی خارج از اطلاعات ثبت‌شده نیز می‌تواند مصداق تخلف باشد.
واگذاری یا اجاره غیرمجاز درگاه و دریافت وجه برای دیگران
درگاه پرداخت براساس اطلاعات هویتی، بانکی و کسب‌وکاری پذیرنده ثبت می‌شود؛ به‌همین دلیل، پذیرنده مجاز نیست خارج از چارچوب‌های تعیین‌شده، درگاه خود را برای استفاده مستقل اشخاص دیگر واگذار کند؛ برای مثال، ممکن است شخصی در ازای پرداخت مبلغی ثابت یا درصدی از تراکنش‌ها، از صاحب یک فروشگاه بخواهد دریافت وجه فعالیت خود را ازطریق درگاه آن فروشگاه انجام دهد. پذیرش چنین پیشنهادی، حتی اگر فعالیت طرف مقابل در ظاهر قانونی باشد، می‌تواند با الزامات پذیرندگی مغایرت داشته باشد.
دریافت وجه به نمایندگی از اشخاص یا کسب‌وکارهای دیگر نیز، درصورتی‌که خارج از چارچوب مجاز پذیرندگی انجام شود، می‌تواند مصداق استفاده غیرمجاز از درگاه پرداخت باشد.
واگذاری اطلاعات ورود، کلیدهای دسترسی یا دیگر امکانات درگاه نیز ممکن است زمینه استفاده غیرمجاز را فراهم کند.
باید میان اجاره غیرمجاز درگاه و مدل‌های پرداخت پلتفرمی تفاوت قائل شد. کسب‌وکارهایی مانند بازارگاه‌های اینترنتی ممکن است براساس مدل تجاری و قراردادهای تأییدشده، وجوه مرتبط با چند فروشنده را مدیریت کنند. مجازبودن چنین ساختاری به ضوابط، قراردادها و راهکار پرداخت مورد استفاده وابسته است و نمی‌توان آن را با واگذاری آزادانه درگاه یکسان دانست.
استفاده از درگاه خارج از فعالیت ثبت‌شده
اطلاعات پذیرندگی باید با فعالیت واقعی کسب‌وکار مطابقت داشته باشد. تغییر نوع فعالیت، دامنه اینترنتی یا دیگر اطلاعات مؤثر بر پذیرندگی ممکن است نیازمند به‌روزرسانی و دریافت تأییدیه‌های مربوط باشد.
فرض کنید یک کسب‌وکار برای فروش محصولات دیجیتال درگاه دریافت کرده است، اما پس از مدتی فعالیت خود را تغییر می‌دهد و از همان درگاه برای دریافت وجه خدمات دیگری استفاده می‌کند. در چنین شرایطی باید اطلاعات پذیرندگی و مجازبودن استفاده از درگاه برای فعالیت جدید بررسی شود.
براساس مواد ۱۰۵ و ۱۰۶ آیین‌نامه اجرایی ماده ۱۴ الحاقی قانون مبارزه با پول‌شویی، پذیرندگان موظف‌اند تغییرات اطلاعات خود، ازجمله تغییر محل فعالیت یا ماهیت کسب‌وکار را در اسرع وقت به ارائه‌دهنده خدمات پرداخت اطلاع دهند؛ همچنین استفاده از ابزار پذیرش در صنفی غیر از صنف ثبت‌شده یا نشانی متفاوت از نقطه دسترسی تعیین‌شده، بدون دریافت تأییدیه از سامانه جامع پذیرندگان ممنوع است.
استفاده از درگاه برای فعالیت‌های غیرقانونی
درگاه پرداخت نباید برای دریافت وجوه مربوط به فعالیت‌های غیرقانونی استفاده شود. دریافت وجه برای قمار و شرط‌بندی یا فروش کالاها و خدماتی که عرضه آن‌ها ممنوع است، از نمونه‌های قابل‌توجه در این زمینه محسوب می‌شود.
ممکن است اشخاصی برای پنهان‌کردن ماهیت فعالیت خود، تلاش کنند از درگاه ثبت‌شده به نام کسب‌وکار دیگری استفاده کنند. چنین موقعیتی می‌تواند علاوه بر نقض الزامات پذیرندگی، زمینه بررسی تخلفات و جرائم احتمالی را فراهم کند.
پذیرندگان باید از ماهیت فعالیتی که وجوه آن ازطریق درگاه دریافت می‌شود آگاه باشند و از دراختیارگذاشتن ابزار پذیرش برای فعالیت‌های اشخاص دیگر، خارج از چارچوب مجاز، خودداری کنند.
تراکنش‌های صوری و ارتباط احتمالی با پول‌شویی
تراکنش صوری به عملیاتی گفته می‌شود که در ظاهر یک پرداخت واقعی است، اما ممکن است پشت آن معامله یا فعالیت اقتصادی واقعی وجود نداشته باشد؛ برای مثال، ثبت مجموعه‌ای از پرداخت‌ها بدون سفارش، قرارداد یا خدمت مشخص، به‌ویژه زمانی که دریافت و جابه‌جایی وجوه به درخواست شخص دیگری انجام می‌شود، می‌تواند نیازمند بررسی باشد.
تراکنش‌های صوری و استفاده از درگاه برای دریافت یا انتقال وجوه متعلق به دیگران ممکن است در برخی شرایط با فعالیت‌هایی مانند پول‌شویی ارتباط پیدا کنند.
البته صرف مشاهده تعداد زیادی تراکنش یا گردش مالی بالا به‌معنای وقوع تخلف نیست. معیار مهم تناسب تراکنش‌ها با فعالیت واقعی کسب‌وکار و وجود مستندات معتبر برای دریافت وجه است.
سوءاستفاده از هویت پذیرنده و دسترسی غیرمجاز
گاهی سوءاستفاده از درگاه بدون اطلاع یا دخالت پذیرنده اتفاق می‌افتد. مهاجمان ممکن است با سرقت اطلاعات ورود، دسترسی به زیرساخت کسب‌وکار یا فریب کارکنان، اطلاعات و امکانات مرتبط با پرداخت را هدف قرار دهند.
سوءاستفاده از هویت پذیرنده نیز یکی دیگر از این موارد است؛ برای مثال، ممکن است اشخاص غیرمجاز با استفاده از نام، مشخصات یا اطلاعات پذیرندگی یک کسب‌وکار، خود را به‌جای آن معرفی کنند یا از هویت آن برای فعالیت‌های غیرمجاز بهره ببرند.
یکی از روش‌های شناخته‌شده فیشینگ است. در این روش، مهاجم با جعل هویت بانک، پرداخت‌یار یا کسب‌وکار تلاش می‌کند اطلاعات حساس کاربران را به دست آورد؛ برای مثال، ممکن است فردی با معرفی خود به‌عنوان کارشناس پشتیبانی، از مسئول فنی کسب‌وکار بخواهد اطلاعات ورود یا کلید دسترسی درگاه را برای بررسی یک مشکل ارسال کند.
شناخت این روش‌ها و تأیید هویت درخواست‌کنندگان از مسیرهای رسمی، احتمال افشای اطلاعات و دسترسی غیرمجاز را کاهش می‌دهد.
برای آشنایی بیشتر با این تهدیدها، مقاله فیشینگ چیست و چطور می‌توان از آن جلوگیری کرد؟ را مطالعه کنید.
چگونه از سوءاستفاده از درگاه پرداخت جلوگیری کنیم؟
پیشگیری از سوءاستفاده فقط به تنظیمات فنی درگاه محدود نیست. پذیرنده باید اطلاعات کسب‌وکار، دسترسی کارکنان، فرایند دریافت وجه و نحوه بررسی تراکنش‌ها را نیز مدیریت کند.
این اقدامات به کاهش خطرهای امنیتی، مالی و مقرراتی مرتبط با درگاه پرداخت کمک می‌کنند:
۱. اطلاعات پذیرندگی را به‌روز نگه دارید
اطلاعات ثبت‌شده برای دریافت درگاه باید با هویت و فعالیت واقعی کسب‌وکار مطابقت داشته باشد. تغییر در نام یا مالکیت کسب‌وکار، زمینه فعالیت، دامنه اینترنتی یا سایر اطلاعات مؤثر بر پذیرندگی ممکن است نیازمند اعلام به پرداخت‌یار و بررسی مجدد باشد.
برای جلوگیری از مغایرت، بهتر است:
- اطلاعات هویتی و ثبتی کسب‌وکار را بررسی کنید و تغییرات مؤثر را اطلاع دهید.
- از تطابق دامنه محل استفاده از درگاه با اطلاعات ثبت‌شده اطمینان داشته باشید.
- تغییر نوع فعالیت یا مدل کسب‌وکار را پیش از استفاده از درگاه در ساختار جدید پیگیری کنید.
- اعتبار مجوزها و اطلاعات موردنیاز پذیرندگی را متناسب با الزامات مربوط بررسی کنید.
به‌روزبودن اطلاعات، علاوه بر رعایت الزامات شبکه پرداخت، امکان شناسایی و پیگیری دقیق‌تر فعالیت‌های مرتبط با درگاه را فراهم می‌کند.
۲. درگاه پرداخت را در اختیار اشخاص غیرمجاز قرار ندهید
اطلاعات و امکانات پذیرندگی باید فقط در چارچوب فعالیت ثبت‌شده و قراردادهای مربوط استفاده شوند. اگر شخص یا کسب‌وکار دیگری برای دریافت وجه به درگاه پرداخت نیاز دارد، راهکار مناسب دریافت خدمات پرداخت باید متناسب با هویت، فعالیت و مدل کسب‌وکار او بررسی شود.
به‌ویژه از پذیرش پیشنهادهایی مانند اجاره درگاه در ازای دریافت کارمزد، دریافت وجه به نمایندگی از اشخاص ناشناس یا واگذاری اطلاعات دسترسی به اشخاص خارج از مجموعه خودداری کنید.
در صورت نیاز به دریافت وجه برای چند فروشنده یا ذی‌نفع نیز باید ساختار مناسب پرداخت و تسویه، پیش از اجرا، با ارائه‌دهنده خدمات پرداخت بررسی شود.
۳. دسترسی به پنل و اطلاعات فنی درگاه را محدود کنید
کارکنان کسب‌وکار ممکن است برای بررسی تراکنش‌ها، مدیریت امور مالی یا انجام تنظیمات فنی به اطلاعات درگاه نیاز داشته باشند. بااین‌حال، همه اعضای تیم نباید دسترسی یکسانی داشته باشند.
بهتر است دسترسی هر فرد فقط متناسب با وظایف او تعریف شود؛ برای مثال، کارشناس مالی ممکن است به گزارش تراکنش‌ها و تسویه‌ها نیاز داشته باشد، اما ضرورتی ندارد که به تمام تنظیمات فنی درگاه دسترسی داشته باشد.
برای مدیریت امن دسترسی‌ها، از رمزهای عبور قوی و منحصربه‌فرد استفاده کنید، اطلاعات ورود را میان کارکنان به اشتراک نگذارید و دسترسی افرادی را که همکاری آن‌ها پایان یافته است لغو کنید. همچنین در سرویس‌هایی که از احراز هویت چندمرحله‌ای پشتیبانی می‌کنند، بهتر است این قابلیت فعال باشد.
پنل مدیریتی درگاه پرداخت جیبیت امکان تعریف نقش‌ها و سطوح دسترسی برای اعضای تیم‌های مالی، فنی و پشتیبانی را فراهم می‌کند. این قابلیت به کسب‌وکار کمک می‌کند دسترسی به اطلاعات و امکانات درگاه را متناسب با مسئولیت افراد مدیریت کند.
۴. از اطلاعات محرمانه و کلیدهای دسترسی محافظت کنید
کلیدهای API و سایر اطلاعات محرمانه مرتبط با اتصال درگاه نباید در اختیار اشخاص غیرمجاز قرار گیرند. این اطلاعات باید در محیطی امن نگهداری شوند و از ثبت آن‌ها در فایل‌های عمومی، مخازن کد دردسترس دیگران یا پیام‌رسان‌های غیرمطمئن خودداری شود.
همچنین پذیرنده نباید اطلاعات محرمانه کارت بانکی مشتریان، مانند رمز دوم و CVV2 را خارج از مسیر مجاز پرداخت درخواست یا ذخیره کند.
در صورت احتمال افشای اطلاعات دسترسی، لازم است موضوع بررسی شود و برای تغییر یا لغو اعتبار اطلاعات افشاشده اقدام شود.
برای آشنایی با اقدامات تکمیلی مرتبط با حفاظت از داده‌ها، مقاله مروری بر امنیت اطلاعات مالی کسب‌وکارها را مطالعه کنید.
۵. تنظیمات فنی و امنیتی درگاه را بررسی کنید
درگاه پرداخت باید از مسیرها و نشانی‌های اینترنتی مجاز مورد استفاده قرار گیرد. همچنین اتصال امن میان سامانه کسب‌وکار و سرویس پرداخت اهمیت دارد.
برای کاهش احتمال دسترسی غیرمجاز یا سوءاستفاده از ارتباطات فنی، موارد زیر باید بررسی شوند:
- تطابق دامنه و نشانی اینترنتی با اطلاعات ثبت‌شده پذیرندگی؛
- صحت تنظیمات Callback و سایر نشانی‌های بازگشت از درگاه؛
- محدودبودن دسترسی به کلیدهای API و اطلاعات محرمانه اتصال؛
- استفاده از ارتباطات امن و به‌روزبودن نرم‌افزارها و افزونه‌های مرتبط؛
- کنترل مبدأ درخواست‌های پرداخت، در صورت پشتیبانی سرویس از تنظیمات IPهای مجاز.
این کنترل‌ها به کاهش خطر دسترسی و استفاده غیرمجاز کمک می‌کنند، اما به‌تنهایی تضمین‌کننده پیشگیری از تمام انواع تقلب و سوءاستفاده نیستند.
۶. وضعیت نهایی تراکنش‌ها را تأیید کنید
نمایش پیام موفقیت پرداخت در مرورگر مشتری یا دریافت پیام بازگشت از درگاه، به‌تنهایی نباید مبنای قطعی ثبت پرداخت موفق قرار گیرد.
کسب‌وکار باید مطابق با مستندات فنی سرویس، وضعیت نهایی تراکنش را از مسیر معتبر بررسی کند و اطلاعات آن را با سفارش مربوط تطبیق دهد؛ برای مثال، پس از بازگشت مشتری از درگاه، سامانه فروش باید مبلغ پرداخت‌شده، شناسه تراکنش و ارتباط آن با سفارش را بررسی کند. سپس، براساس نتیجه تأیید نهایی، وضعیت سفارش را به‌روزرسانی کند.
این فرایند به جلوگیری از ثبت نادرست پرداخت‌ها، تأیید سفارش براساس رسیدهای جعلی و برخی سوءاستفاده‌های مرتبط با فرایند پرداخت کمک می‌کند.
همچنین لازم است سازوکاری برای جلوگیری از ثبت تکراری یک پرداخت برای چند سفارش یا پردازش چندباره یک درخواست وجود داشته باشد.
۷. تراکنش‌ها، تسویه‌ها و درخواست‌های استرداد را بررسی کنید
بررسی دوره‌ای اطلاعات تراکنش‌ها و تطبیق آن‌ها با سفارش‌ها و مبالغ تسویه‌شده، یکی از اقدامات مهم برای شناسایی مغایرت‌ها و رفتارهای غیرمعمول است؛ برای مثال، اگر تعداد زیادی تراکنش موفق ثبت شده باشد اما سفارش یا خدمت مشخصی برای آن‌ها وجود نداشته باشد، لازم است منشأ این پرداخت‌ها بررسی شود.
درخواست‌های استرداد وجه نیز باید از مسیرهای معتبر و مطابق با فرایند تعریف‌شده کسب‌وکار مدیریت شوند؛ به‌ویژه اگر شخصی درخواست کند وجه پرداخت اولیه بدون بررسی و خارج از سازوکار مجاز، به حساب فرد دیگری منتقل شود، لازم است پیش از اقدام، هویت درخواست‌کننده و جزئیات پرداخت بررسی شوند.
امکانات گزارش‌گیری و مشاهده تراکنش‌ها در پنل جیبیت به کسب‌وکارها کمک می‌کند اطلاعات پرداخت، وضعیت تراکنش‌ها و تسویه‌ها را بررسی و مغایرت‌های احتمالی را پیگیری کنند.
۸. کارکنان مرتبط با پرداخت را آموزش دهید
پیشگیری از سوءاستفاده به آگاهی افرادی وابسته است که با فرایند پرداخت سروکار دارند. ممکن است مسئول پشتیبانی با درخواست غیرمعمول استرداد وجه مواجه شود، کارشناس مالی مغایرتی در تراکنش‌ها مشاهده کند یا توسعه‌دهنده پیامی مشکوک برای دریافت کلید API دریافت کند.
به‌همین دلیل، کارکنان مرتبط باید بدانند چه اطلاعاتی محرمانه است، چه درخواست‌هایی نیاز به تأیید بیشتر دارند و در صورت مشاهده فعالیت مشکوک باید موضوع را به چه کسی گزارش دهند.
بهتر است کسب‌وکار برای مدیریت این موارد، مسئول مشخص و فرایند داخلی روشنی تعریف کند. آموزش کارکنان نیز باید متناسب با تغییرات سرویس، تهدیدهای جدید و تجربه رخدادهای قبلی به‌روزرسانی شود.
چه رفتارهایی ممکن است نشانه سوءاستفاده از درگاه پرداخت باشند؟
بعضی رفتارها یا تغییرات غیرمعمول در تراکنش‌ها ممکن است نیازمند بررسی بیشتر باشند. این نشانه‌ها الزاماً به معنای وقوع تخلف یا جرم نیستند، اما نادیده‌گرفتن آن‌ها می‌تواند شناسایی مشکلات احتمالی را دشوار کند.
در جدول زیر، چند وضعیت قابل‌توجه و اقدام پیشنهادی پذیرنده را مشاهده می‌کنید.
| وضعیت مشاهده‌شده | خطر احتمالی | اقدام پیشنهادی |
| افزایش ناگهانی تعداد یا مبلغ تراکنش‌ها بدون ارتباط مشخص با فعالیت کسب‌وکار | فعالیت خارج از الگوی معمول یا تراکنش‌های غیرواقعی | بررسی سفارش‌ها، سوابق پرداخت و دلایل تغییر حجم تراکنش |
| ثبت تراکنش‌های موفق بدون سفارش یا خدمت مشخص | تراکنش صوری یا خطای پردازش سفارش | تطبیق تراکنش‌ها با اطلاعات سفارش و بررسی منشأ پرداخت |
| درخواست دریافت وجه برای شخص یا کسب‌وکار دیگر ازطریق درگاه | واگذاری یا استفاده غیرمجاز از ابزار پذیرش | خودداری از ارائه دسترسی و بررسی راهکار مجاز با پرداخت‌یار |
| درخواست بازگشت وجه به حساب شخصی متفاوت از پرداخت‌کننده اولیه | سوءاستفاده از فرایند استرداد یا درخواست نامعتبر | بررسی هویت، مستندات درخواست و رعایت فرایند مجاز استرداد |
| مشاهده تغییرات غیرمنتظره در تنظیمات یا دسترسی‌های پنل | دسترسی غیرمجاز به حساب پذیرنده | بررسی سوابق دسترسی، محدودسازی دسترسی مشکوک و اطلاع به پشتیبانی |
| دریافت پیام یا تماس برای درخواست رمز، کد تأیید یا کلید API | فیشینگ یا تلاش برای دسترسی غیرمجاز | خودداری از ارائه اطلاعات و بررسی درخواست از مسیر رسمی |
| دریافت گزارش درباره صفحه پرداخت جعلی با نام کسب‌وکار | فیشینگ و سوءاستفاده از هویت تجاری | بررسی نشانی گزارش‌شده، ثبت مستندات و اطلاع‌رسانی به مراجع مرتبط |
نکته مهم این است که بررسی تراکنش مشکوک باید با توجه به نوع فعالیت کسب‌وکار انجام شود. برای مثال، افزایش تعداد تراکنش‌ها ممکن است نتیجه یک کمپین فروش موفق باشد و به‌خودی‌خود نشانه تخلف محسوب نمی‌شود؛ درمقابل، دریافت وجوه نامرتبط با فعالیت ثبت‌شده یا وجود تراکنش‌هایی که مستندات اقتصادی مشخصی ندارند، می‌تواند نیازمند بررسی جدی‌تری باشد.
هنگام مشاهده سوءاستفاده یا فعالیت مشکوک چه کنیم؟
اگر احتمال می‌دهید درگاه پرداخت کسب‌وکارتان مورد سوءاستفاده قرار گرفته است، باید متناسب با نوع رخداد برای جلوگیری از گسترش آسیب، بررسی اطلاعات و گزارش موضوع اقدام کنید.
۱. دسترسی‌های مشکوک را محدود کنید
اگر احتمال می‌دهید اطلاعات ورود به پنل یا کلیدهای API افشا شده‌اند، ابتدا دسترسی‌های مربوط را بررسی کنید.
در صورت نیاز، رمزهای عبور را تغییر دهید، اعتبار کلیدهای افشاشده را لغو کنید و دسترسی کاربران غیرمجاز را از بین ببرید.
اگر امکان سوءاستفاده همچنان وجود دارد، محدودسازی موقت بخش آسیب‌دیده از جریان پرداخت را با هماهنگی تیم فنی و پشتیبانی پرداخت‌یار بررسی کنید.
۲. اطلاعات رخداد را ثبت و نگهداری کنید
برای بررسی و پیگیری فعالیت مشکوک، لازم است اطلاعات مرتبط با آن حفظ شوند.
بسته به نوع رخداد، این اطلاعات می‌توانند شامل زمان وقوع، شناسه تراکنش، مبلغ، شناسه سفارش، نشانی اینترنتی مشکوک و سوابق مرتبط با دسترسی یا تغییر تنظیمات باشند.
از حذف شتاب‌زده اطلاعات یا انتشار عمومی داده‌های محرمانه مشتریان خودداری کنید. همچنین مستندات باید از مسیر امن در اختیار افراد یا مراجع مسئول بررسی قرار گیرند.
۳. موضوع را به پرداخت‌یار اطلاع دهید
در صورت مشاهده سوءاستفاده احتمالی از درگاه، دسترسی غیرمجاز یا تراکنش‌های مشکوک، موضوع را ازطریق کانال‌های رسمی به پرداخت‌یار گزارش کنید.
در گزارش اولیه بهتر است نوع مشکل، زمان تقریبی وقوع، شناسه تراکنش‌های مرتبط و اقداماتی را که تاکنون انجام شده‌اند مشخص کنید.
پذیرندگان جیبیت می‌توانند ازطریق سامانه تیکتینگ پنل کاربری، چت آنلاین وب‌سایت یا تماس با شماره ۰۲۱۴۲۲۹۶ موضوع را با تیم پشتیبانی در میان بگذارند.
۴. در صورت احتمال وقوع جرم، موضوع را از مسیر قانونی پیگیری کنید
در مواردی مانند فیشینگ، سرقت اطلاعات بانکی، کلاهبرداری اینترنتی یا دسترسی غیرمجاز، علاوه بر اطلاع‌رسانی به پرداخت‌یار، ممکن است پیگیری موضوع ازطریق پلیس فتا و مراجع قضایی ضروری باشد.
ثبت دقیق اطلاعات رخداد و نگهداری مستندات مرتبط می‌تواند به بررسی و پیگیری قانونی کمک کند.
از سوی دیگر، پذیرنده نباید صرف مشاهده رفتار غیرمعمول، بدون بررسی و مستندات کافی، اشخاص را به ارتکاب جرم متهم کند.
۵. علت رخداد را شناسایی و برطرف کنید
پس از کنترل خطر فوری، لازم است علت اصلی مشکل بررسی شود تا احتمال تکرار آن کاهش یابد.
اگر رخداد ناشی از افشای اطلاعات دسترسی بوده است، باید روش نگهداری و اشتراک‌گذاری این اطلاعات اصلاح شود. اگر مشکل به فرایند استرداد وجه یا تأیید تراکنش مربوط بوده است، لازم است کنترل‌های مربوط بازبینی شوند.
همچنین بهتر است نتیجه بررسی رخداد برای اصلاح فرایندها و آموزش کارکنان مرتبط استفاده شود.
مسئولیت پذیرنده در جلوگیری از سوءاستفاده از درگاه پرداخت چیست؟
پذیرنده موظف است درگاه پرداخت را در چارچوب اطلاعات، قراردادها و الزامات مربوط به فعالیت خود استفاده کند. این مسئولیت شامل خودداری از واگذاری غیرمجاز ابزار پذیرش، اعلام تغییرات مؤثر در اطلاعات کسب‌وکار و رعایت ضوابط مرتبط با استفاده از درگاه است.
همچنین حفاظت از دسترسی‌ها و اطلاعاتی که تحت کنترل پذیرنده قرار دارند، بخشی از مدیریت امنیت پرداخت در کسب‌وکار محسوب می‌شود.
پرداخت‌یارها و شرکت‌های ارائه‌دهنده خدمات پرداخت نیز متناسب با نقش و الزامات حاکم بر فعالیت خود، وظایفی در زمینه شناسایی پذیرندگان، نظارت و پیگیری موارد مرتبط با استفاده غیرمجاز از ابزار پذیرش دارند.
سوءاستفاده از درگاه پرداخت چه پیامدهایی دارد؟
پیامدهای استفاده غیرمجاز به نوع تخلف، شرایط وقوع و مقررات مربوط بستگی دارد. بسته به شرایط، ممکن است محدودیت‌هایی برای ادامه استفاده از خدمات پرداخت اعمال شود یا ارائه خدمات متوقف شود؛ همچنین در مواردی که احتمال وقوع جرم وجود دارد، موضوع ممکن است از مسیرهای قانونی و توسط مراجع ذی‌صلاح بررسی شود.
علاوه بر پیامدهای مقرراتی و حقوقی، سوءاستفاده از درگاه می‌تواند مشکلات عملیاتی و مالی، افزایش شکایت مشتریان و آسیب به اعتبار کسب‌وکار را به همراه داشته باشد؛ به‌همین دلیل، رعایت الزامات پذیرندگی و مدیریت امن پرداخت باید بخشی از فرایندهای جاری کسب‌وکار باشد، نه اقدامی که صرفاً هنگام بروز مشکل به آن توجه می‌شود.
چک‌لیست پیشگیری از سوءاستفاده از درگاه پرداخت
برای کاهش خطر سوءاستفاده، بهتر است اقدامات امنیتی و مدیریتی مرتبط با درگاه به‌صورت دوره‌ای بررسی شوند.
| موضوع | اقدام موردنیاز پذیرنده |
| اطلاعات پذیرندگی | اطمینان از تطابق اطلاعات هویتی، بانکی و کسب‌وکاری با فعالیت واقعی |
| استفاده از درگاه | خودداری از اجاره یا واگذاری غیرمجاز ابزار پذیرش |
| تغییر فعالیت | اعلام تغییرات مؤثر و پیگیری تأییدیه‌های موردنیاز |
| مدیریت دسترسی | محدودکردن دسترسی کارکنان متناسب با وظایف |
| اطلاعات محرمانه | حفاظت از کلیدهای API، رمزهای عبور و داده‌های حساس |
| تنظیمات فنی | بررسی دامنه، نشانی‌های بازگشت و کنترل‌های امنیتی اتصال |
| تأیید پرداخت | بررسی وضعیت نهایی تراکنش و تطبیق آن با سفارش |
| بررسی مالی | کنترل تراکنش‌ها، تسویه‌ها و درخواست‌های استرداد |
| آموزش کارکنان | آشنایی تیم‌های مرتبط با نشانه‌های سوءاستفاده و روش گزارش‌دهی |
| مدیریت رخداد | تعیین مسئول رسیدگی و نگهداری مستندات موارد مشکوک |
این چک‌لیست می‌تواند مبنایی برای بازبینی‌های دوره‌ای کسب‌وکار باشد. البته اقدامات دقیق باید متناسب با نوع فعالیت، ساختار فنی و الزامات مرتبط با پذیرندگی انتخاب شوند.
پیشگیری از سوءاستفاده؛ بخشی از مدیریت امن درگاه پرداخت
جلوگیری از سوءاستفاده از درگاه پرداخت به رعایت هم‌زمان الزامات پذیرندگی و اقدامات امنیتی نیاز دارد. استفاده از درگاه در چارچوب فعالیت ثبت‌شده، محافظت از اطلاعات دسترسی، بررسی وضعیت تراکنش‌ها و شناسایی رفتارهای غیرمعمول، مهم‌ترین بخش‌های این فرایند هستند.
پذیرندگان همچنین باید برای مواجهه با رخدادهای مشکوک، مسیر مشخصی برای بررسی و گزارش داشته باشند. آشنایی کارکنان با این فرایند و بازبینی دوره‌ای کنترل‌های پرداخت می‌تواند احتمال تکرار مشکلات را کاهش دهد.
اگر از درگاه پرداخت جیبیت استفاده می‌کنید و با تراکنش مشکوک، دسترسی غیرمجاز یا احتمال سوءاستفاده از درگاه کسب‌وکارتان مواجه شده‌اید، موضوع را ازطریق سامانه تیکتینگ پنل کاربری یا دیگر کانال‌های رسمی پشتیبانی جیبیت گزارش کنید. ارائه اطلاعات مرتبط با رخداد به بررسی دقیق‌تر و پیگیری آن کمک می‌کند.
پرسش‌های متداول
واگذاری درگاه پرداخت به اشخاص دیگر، خارج از چارچوب مجاز پذیرندگی، از مصادیق استفاده غیرمجاز از ابزار پذیرش محسوب می‌شود. پذیرنده نباید درگاه ثبت‌شده به نام خود را برای دریافت وجوه فعالیت مستقل دیگران اجاره دهد یا واگذار کند.
استفاده از درگاه باید با اطلاعات ثبت‌شده پذیرندگی و مدل مجاز خدمات پرداخت مطابقت داشته باشد. کسب‌وکارهایی که چند فروشنده یا ذی‌نفع دارند، باید از راهکارهای پرداخت و تسویه متناسب با ساختار فعالیت خود استفاده کنند. صرف مالکیت یک درگاه، مجوز استفاده مستقل سایر کسب‌وکارها از آن نیست.
خیر. افزایش تعداد یا مبلغ تراکنش‌ها ممکن است به دلایلی مانند رشد فروش یا اجرای کمپین‌های بازاریابی اتفاق بیفتد. بااین‌حال، تغییرات غیرمعمول باید با توجه به سفارش‌ها، سوابق مالی و نوع فعالیت کسب‌وکار بررسی شوند.
لازم است دسترسی مشکوک محدود شود، اطلاعات ورود و کلیدهای احتمالی افشاشده تغییر کنند و موضوع به پشتیبانی پرداخت‌یار اطلاع داده شود. بررسی سوابق دسترسی، تنظیمات پنل و تراکنش‌های مرتبط نیز برای شناسایی سوءاستفاده احتمالی اهمیت دارد.
در صورت مشاهده احتمال سوءاستفاده، دسترسی غیرمجاز یا فعالیت مغایر با اطلاعات پذیرندگی، لازم است موضوع ازطریق کانال‌های رسمی پرداخت‌یار پیگیری شود. نحوه رسیدگی و گزارش‌دهی بعدی نیز به نوع رخداد و الزامات مقرراتی و قراردادی مربوط بستگی دارد.