Hvordan vi verificerer B2B-købere: mistænkt E.Leclerc-efterligning

Jeg er Leo, en salgsspecialist hos ClipClop eBike. De fleste morgener ser ens ud: et par engros-e-mails, en anmodning om katalog, nogen der spørger om MOQ og FOB-priser. Det er normalt arbejde for en OEM-fabrik, der sælger til udlandet.

Så kom der en forespørgsel, der så næsten for ren ud.

Afsenderen brugte navnet Jeandis SAS og præsenterede sig selv som vice indkøbschef for JEANDIS SA, et leveringscenter knyttet til E.Leclerc-butikkerne i Marmande, Frankrig. De bad om et katalog og en prisliste. Det indeholdt et fransk telefonnummer, en adresse i Marmande, et link til E.Leclerc-sitet og en poleret signatur.

En kendt europæisk forhandler. En virksomhed, der eksisterer. En rigtig gadeadresse. En indkøbslignende forespørgsel. Intet karikeret falsk.

Derfor er denne slags e-mail svær. Virksomheden i signaturen kan være ægte. Personen, der skriver til dig, kan stadig være uverificeret.

Jeg lukkede ikke leadet. Jeg behandlede det heller ikke som kvalificeret. Jeg tog det fra hinanden.

Først tjekkede jeg virksomheden, ikke e-mailen.

Frankrigs officielle erhvervsregister lister JEANDIS SA som et aktivt selskab under SIREN 383 339 595, etableret den 23. oktober 1991. Det registrerede hovedkvarter er på RN113 Avenue François Mitterrand, 47200 Marmande. Hovedaktiviteten er hypermarkeder. De samme registre viser et E.Leclerc Express-sted i Marmande under det selskab.

Så den juridiske enhed er reel. Den del holder.

Det, det ikke beviser, er autoritet. En registerinførsel fortæller mig, at en virksomhed eksisterer. Den fortæller mig ikke, at personen i min indbakke arbejder der, kan skaffe e-bikes eller har tilladelse til at bruge den e-mailadresse. Den opdeling – virksomhed versus kontaktperson – er hele pointen med køberverificering.

Så kiggede jeg på domænet: jp@achat-jeandis.com. Jeg kunne ikke uafhængigt knytte det domæne til JEANDIS SA fra officielle virksomhedsoplysninger. Headerne viste, at beskeden blev sendt fra achat-jeandis.com. SPF bestod for det afsendende domæne. Der var også en DKIM-signatur fra en e-mail-sikkerhedsudbyder.

På en travl salgsdag føles de grønne flueben beroligende. De burde ikke.

SPF og DKIM svarer på et snævert spørgsmål: blev denne besked autoriseret af det domæne, der sendte den? De besvarer ikke det spørgsmål, en fabrik faktisk har brug for: tilhører det domæne virksomheden, der er trykt i signaturen? Et domæne kan sende autentificeret mail og stadig have ingen bevist forbindelse til den forhandler, det låner. Autentificering validerer infrastruktur. Det udsteder ikke et indkøbsbadge.

Vi fandt også offentlig diskussion om E.Leclerc / JEANDIS-efterligningsaktivitet, der involverede samme domæne. Det er ikke en retssals konstatering. Det hævede stadig risikoniveauet. Når et domæne har været diskuteret i en efterligningskontekst, så stop med at antage og begynd at verificere.

Formuleringen tilføjede endnu et lag. Afsenderen ønskede nye produkter og et katalog. Ingen modeller, mængder, årligt volumen, leveringsvindue, compliance-noter eller indkøbsproces. En bred første e-mail er ikke bevis på svindel. Rigtige købere starter ofte bredt. En stor forhandler bør stadig blive specifik, før ledet behandles som seriøst.

Jeg sendte ikke vores fulde prispakke, delte bankoplysninger, udarbejdede en kontrakt, sendte en gratis prøve eller betalte et tredjepartsgebyr.
Jeg accepterede ikke en indkøbsordre alene på e-mailen.
Jeg markerede henvendelsen som uverificeret og høj risiko.

Det er forskellen mellem at indsamle leads og at kvalificere dem.

Processen jeg bruger er enkel.

Verificér den juridiske enhed i et officielt register. Stol ikke på filer, som køber vedhæfter.

Adskil virksomheden fra personen. Stil begge spørgsmål: Findes denne virksomhed? Arbejder denne person der og har myndighed til at købe?

Kontroller domænet efter @. Et navn, der indeholder brandet, er ikke automatisk officielt.

Brug en kanal, du selv har fundet. Ring ikke kun til nummeret i den mistænkelige e-mail. Find officielle kontakter selvstændigt og spørg, om den person og e-mail er autoriseret.

Test derefter den kommercielle forespørgsel. Et reelt projekt udvikler normalt specifikationer, mængde, destination, compliancebehov, betalingsbetingelser og en navngiven ejer.

Ingen enkelt advarselstegn er en dom. Risikoen stiger, når flere optræder sammen: et reelt firma med et ukendt domæne; en kataloganmodning uden mængde; hast med ingen proces; gratis prøver før kvalificering; en anmodning om at betale en ukendt tredjepart; en pludselig ændring af bankkonto; en medarbejder, som ikke kan bekræftes uafhængigt.

Afvis ikke hver usædvanlig e-mail. Øg verifikationen, når risikoen stiger.

I vores team holder jeg fast i én regel: verificer køberen, før du optimerer aftalen. Salgsteams bevæger sig hurtigt — virksomhed, produkt, pris, MOQ, betaling. Et andet lag sidder foran: identitet, autoritet, kommerciel intention. Først da bør en fabrik tale om samples, POs og penge.

Denne sag beviser ikke, at en navngiven person har begået en forbrydelse.

Det det viser, er snævrere. JEANDIS SA er et reelt fransk selskab med en dokumenteret E.Leclerc-tilstedeværelse i Marmande. Henvendelsen brugte achat-jeandis.com og bestod SPF for det domæne. Offentlig rapportering har diskuteret risiko for efterligning omkring samme domæne. Identiteten bag e-mailen kunne ikke behandles som verificeret.

Det er den standard, jeg vil have andre leverandører til at bruge: uafhængig verifikation, ikke panik og ikke blind tillid.

Før du deler følsomme kommercielle oplysninger, så stil de kedelige spørgsmål: Hvem er virksomheden? Hvem er personen? Arbejder de der? Er domænet faktisk knyttet til virksomheden? Er anmodningen specifik? Kan du bekræfte noget af dette gennem en kanal, du selv har fundet?

De mest overbevisende forretningsemails er ikke altid de sikreste. Et reelt firmanavn, en reel adresse, en pæn signatur og autentificeret mail kan stå ved siden af en identitet, der stadig er uverificeret. Et par minutters tjek kan spare en fabrik for et meget større tab.

Ansvarsfraskrivelse
Denne artikel er baseret på en engrosforespørgsel modtaget af ClipClop eBike og på offentligt tilgængelige virksomheds- og sikkerhedsoplysninger. Personlige oplysninger er udeladt eller generaliseret. Dette er ikke en juridisk konstatering eller en kriminel påstand mod nogen person eller virksomhed.