Как мы проверяем B2B-покупателей: случай предполагаемой имитации E.Leclerc

Я — Leo, специалист по продажам в ClipClop eBike. Большинство утренних дней выглядят одинаково: несколько оптовых писем, запрос каталога, кто-то спрашивает про MOQ и FOB-цены. Это нормальная работа для OEM-фабрики, продающей за рубеж.

Затем пришло одно обращение, которое выглядело почти слишком чистым.

Отправитель использовал имя Jeandis SAS и представился заместителем закупочного менеджера для JEANDIS SA, снабженческого центра, связанного с магазинами E.Leclerc в Марманде, Франция. Они попросили каталог и прайс-лист. В письме был указан французский номер телефона, адрес в Марманде, ссылка на сайт E.Leclerc и аккуратная подпись.

Известный европейский ритейлер.
Компания, которая существует.
Реальный уличный адрес.
Запрос, звучащий как закупочный.
Ничего карикатурно фальшивого.

Вот почему такие письма сложны. Компания в подписи может быть настоящей. Человек, который пишет вам, может по-прежнему оставаться непроверенным.

Я не закрыл лид. Я также не рассматривал его как квалифицированный. Я разобрал его.

Сначала я проверил компанию, а не письмо.

Официальный бизнес-справочник Франции указывает JEANDIS SA как действующую компанию под SIREN 383 339 595, созданную 23 октября 1991 года. Зарегистрированный головной офис находится по адресу RN113 Avenue François Mitterrand, 47200 Marmande. Основной вид деятельности — гипермаркеты. В тех же записях указан сайт E.Leclerc Express в Марманде под этой компанией.

Итак, юридическое лицо реально. Эта часть подтверждается.

Это не доказывает полномочий.

Запись в реестре говорит мне, что компания существует. Она не говорит мне, работает ли человек из моего входящего ящика в этой компании, может ли он закупать электровелосипеды, или имеет ли он право использовать этот адрес электронной почты. Это разделение — компания против контакта — и есть суть проверки покупателя.

Затем я посмотрел на домен: jp@achat-jeandis.com. Я не смог независимо связать этот домен с JEANDIS SA на основании официальной информации о компании. В заголовках было указано, что сообщение отправлено с achat-jeandis.com. SPF для этого домена-отправителя прошел проверку. Также присутствовала DKIM-подпись от поставщика услуг электронной безопасности.

В день активных продаж эти зеленые галочки кажутся успокаивающими. Так быть не должно.

SPF и DKIM отвечают на узкий вопрос: было ли это сообщение авторизовано доменом, который его отправил? Они не отвечают на вопрос, который фактически нужен фабрике: принадлежит ли этот домен компании, указанной в подписи? Домен может отправлять аутентифицированную почту и при этом не иметь доказанной связи с ритейлером, чью идентичность он заимствует. Аутентификация проверяет инфраструктуру. Она не выдает значок покупателя.

Мы также обнаружили публичное обсуждение деятельности по имитации E.Leclerc / JEANDIS с использованием того же домена. Это не судебное установление. Тем не менее это повысило уровень риска. Как только домен обсуждался в контексте имитации, прекращайте предполагать и начинайте проверять.

Формулировка добавила ещё один слой. Отправитель хотел новые продукты и каталог. Нет моделей, количеств, годового объёма, окна поставки, замечаний по соответствию или процесса закупок. Широкое первое письмо не является доказательством мошенничества. Реальные покупатели часто начинают широко. Крупному ритейлеру всё равно следует стать конкретнее, прежде чем лид будет считаться серьёзным.

Я не отправлял наш полный прайс-пакет, не делился банковскими реквизитами, не составлял договор, не отправлял бесплатный образец и не оплачивал комиссию третьим лицам. Я не принимал заказ только по email. Я пометил запрос как непроверенный и высокорисковый.

Это разница между сбором лидов и их квалификацией.

Процесс, который я использую, прост.

Проверьте юридическое лицо в официальном реестре. Не полагайтесь на файлы, которые прикрепляет покупатель.

Я отделяю компанию от человека. Я задаю оба вопроса: Существует ли эта компания? Работает ли этот человек там и имеет ли он полномочия для покупки?

Проверяйте домен после @. Название, содержащее бренд, не является автоматически официальным.

Используйте канал, который нашли сами. Не звоните только по номеру из подозрительного письма. Найдите официальные контакты самостоятельно и спросите, уполномочен ли этот человек и является ли этот email авторизованным.

Затем проверьте коммерческий запрос. Реальный проект обычно уточняет спецификации, количество, пункт назначения, требования к соответствию, условия оплаты и названного владельца.

Ни один предупреждающий знак сам по себе не является вердиктом. Риск возрастает, когда несколько признаков появляются вместе: реальная компания с незнакомым доменом; запрос каталога без указания количества; срочность без процесса; бесплатные образцы до квалификации; просьба оплатить неизвестную третью сторону; внезапная смена банковского счета; сотрудник, которого нельзя подтвердить независимо.

Я не отклоняю каждое необычное письмо. Повышаю уровень проверки по мере роста риска.

Внутри нашей команды я придерживаюсь одного правила: проверять покупателя, прежде чем оптимизировать сделку.

Команды продаж работают быстро — компания, продукт, цена, MOQ, оплата.

Перед этим есть еще один слой: идентичность, полномочия, коммерческий интерес.

Только после этого фабрика должна обсуждать образцы, POs и деньги.

Это дело не доказывает, что названное лицо совершило преступление.

Что это действительно показывает, более узко. JEANDIS SA — реальная французская компания с задокументированным присутствием в E.Leclerc в Марманде. Запрос использовал achat-jeandis.com и прошел проверку SPF для этого домена. В публичных материалах обсуждался риск имитации, связанный с тем же доменом. Личность, стоящая за письмом, не могла считаться подтвержденной.

Это тот стандарт, который я хочу, чтобы использовали и другие поставщики: независимая проверка, а не паника и не слепое доверие.

Прежде чем делиться конфиденциальной коммерческой информацией, задайте скучные вопросы: Кто компания? Кто человек? Работает ли он там? Действительно ли домен связан с компанией? Запрос конкретный? Можете ли вы подтвердить что-либо из этого через канал, который вы нашли сами?

Самые убедительные бизнес-письма не всегда самые безопасные. Настоящее название компании, реальный адрес, аккуратная подпись и аутентифицированная почта могут соседствовать с идентичностью, которая все еще не проверена. Несколько минут проверки могут спасти фабрику от куда более крупных потерь.

Отказ от ответственности
Эта статья основана на оптовом запросе, полученном от ClipClop eBike, и на общедоступной информации о компаниях и безопасности. Личные данные опущены или обобщены. Это не юридический вывод и не уголовное обвинение против какого-либо физического или юридического лица.