Átutalási megbízások: Biztonságossá tétele elektronikus aláírással

Miért kerülnek az átutalási megbízások a csalók célkeresztjébe?

Az átutalási megbízások a kibernetikai bűnözök által leginkább kihasznált sebezhetőségi pontok közé tartoznak. A Banque de France 2025-ös éves jelentése szerint a bankáris átutalási csalások az 1,2 milliárd eurós kár Francia vállalkozások számára. Az úgynevezett „hamis átutalási utasítás" (FOVI) vagy elnöki csalás technikája közvetlenül a dokumentum-engedélyezési láncon támad: egy rosszul védett megbízás, egyszerű aláírás-szkennelés vagy hitelesítés nélküli e-mail küldés ideális bejáratot nyit a támadónak.

E valóság fényében az elektronikus aláírás a vállalkozások számára robusztus technikai és jogi megoldásként kínálkozik. Nem csupán egy aláírás képét helyezi egy PDF-fájlra: egyedi kriptográfiai lenyomatot hoz létre, időbélyeggel ellátott, az aláíró igazolt személyazonosságához kötött. Ebben az útmutatóban az átutalási megbízások sajátos kérdéseit, a szükséges aláírási szinteket, a bankáris hitelesítés szerepét és a pénzügyi és számviteli szolgáltatások operatív megvalósítását elemezzük.

---

Az átutalási megbízások különféle típusai és azok rendre fellépő kockázatai

Egyszeri és állandó megbízások

Az egyszeri átutalási megbízás egyetlen, előre definiált kedvezményes felé, meghatározott összegre és dátumra engedélyezi az átutalást. Az állandó megbízás (ismétlődő utasítás) az előre meghatározott gyakorisággal megismétlődő átutalásokat tesz lehetővé. A kockázat aszimmetrikus: egy vissza nem hívott állandó megbízás, vagy amelynek kedvezményese csalárdian módosult, hónapok alatt jelentős veszteséget okozhat, mielőtt ezt észlelnék.

A SEPA közvetlen terhelési megbízások (SDD — SEPA Direct Debit) különleges eset: lehetővé teszik a hitelezőnek, hogy közvetlenül terhelje a tartozó számláját a SEPA Scheme szabályainak megfelelő megbízás aláírása után. A SEPA rendelet előírja, hogy ezt a megbízást az üzleti kapcsolat teljes időtartama alatt, valamint az utolsó terhelés után 14 hónapon keresztül meg kell őrizni — erős dokumentációs követelmény, amely a biztonságos digitalizálást indokolja.

A dokumentumcsalás vektorai

Három vektor összpontosítja a jelentett incidensek zömét:

• Hamisítás az aláírás után: egy kézzel aláírt és e-mailben továbbított dokumentum RIB-jének vagy összegének módosítása, kriptográfiai pecsét nélkül.

• Az aláíró személyazonosságának meghamisítása: egy megbízás, amelyet kompromittált e-mail-címről küldtek, valós idejű személyazonosság-ellenőrzés nélkül.

• Naplózási nyom hiánya: lehetetlen bizonyítani, ki mit és mikor írt alá, banki vagy harmadik fél közötti vita esetén.

Az elektronikus aláírás jogi értéke pontosan abban rejlik, hogy képes ezeket a vektorokat egyidejűleg semlegesíteni.

---

Milyen szintű elektronikus aláírás szükséges egy átutalási megbízáshoz?

Az eIDAS rendelet (910/2014 sz.) három szintű elektronikus aláírást definiál: egyszerű (SES), fejlett (AdES) és minősített (QES). Az átutalási megbízások esetében az aláírási szint megválasztása az összeg, az ismétlődés és a művelet kockázati profiljához kell igazodnia.

Fejlett elektronikus aláírás (AdES): az operatív standard

A vállalat-vállalat átutalási megbízások többségénél a fejlett elektronikus aláírás az optimális egyensúly a biztonság és az alkalmazhatóság között. Az eIDAS által meghatározott követelményeknek felel meg:

• Az aláíróhoz egyértelműen kötött

• Az aláíró azonosítására alkalmas

• Az aláíró kizárólagos kontrollja alatt lévő adatokból létrehozva

• A szignált adatokhoz oly módon kötve, hogy bármely utólagos módosítás észlelhető legyen

Gyakorlatban ez többtényezős hitelesítést jelent (OTP SMS, mobil TOTP alkalmazás vagy érdemi szintű tanúsítvány), PAdES-nek (ETSI EN 319 132) megfelelő PDF-pecsételést és egy minősített elektronikus időbélyeget, amely meghamisíthatatlanul rögzíti az aláírás időpontját.

Minősített aláírás (QES): nagy tétje operációkhoz

Az értékhatárt meghaladó (szokásosan 50 000 € vagy 100 000 € a nagy vállalatcsoportok belső kontrollszabályzata szerint) vagy érzékeny partnereket érintő átutalások (külföldi szállítók kockázatos zónákban, újonnan regisztrált kedvezményesek) minősített aláírásra jogosultak. Ez az ANSSI által elismert minősített megbízható szolgáltatótól (QTSP) személyesen vagy videó-azonosítás útján megkövetelt identitásellenőrzést igényel.

A QES az egyetlen aláírás, amely az egész Európai Unióban egyenértékű a kézzel írott aláírással, és nem támadható meg e tulajdonságot alapul véve. Egy pénztáros vagy pénzügyi vezető számára megingathatatlan garancia az igazgatóság vagy külső auditor felé.

Az erős bankáris hitelesítés mint kiegészítő réteg

A DSP2 irányelv (2026-ban DSP3-ra felülvizsgálva) kötelezi az erős ügyfél-hitelesítést (SCA — Strong Customer Authentication) az átutalások banki jóváhagyásához. Ez a hitelesítés legalább két tényezőt igényel ezek közül: amit az felhasználó ismer (jelszó), birtokol (telefon) vagy „az" (biometria).

Fontos megkülönböztetni az intervenciós szinteket:

• A megbízás aláírása (jogi cselekmény dokumentáció): az eIDAS és a szerződési jog alá tartozik.

• Az átutalási utasítás megerősítése (bankáris utasítás): a DSP2/DSP3 és a bankszerzódéshez tartozik.

Ezek a rétegek kiegészítő jellegűek, nem helyettesítik egymást. A Certyneo-hoz hasonló platform az elsőt biztonságossá teszi; a bank a másodikat. Együttesen teljes bizonyítási láncot alkotnak az átutalási döntéstől annak végrehajtásáig.

---

Operatív megvalósítás: elektronikus aláírás integrálása a megbízások jóváhagyási körfolyamatába

A meglévő dokumentum-folyamatok térképezése

Bármely telepítés előtt térképezni szükséges a folyamatokat: ki kezdeményezi a megbízást? Ki hagyjóvá? Ki archiválja? Sok KKV-ben és KÖV-ben ez az eljárás még e-mailek, belső hálózatokon megosztott fájlok és szóbeli jóváhagyások összeötvözésén megy keresztül. Ez az átlátlanság maga is operatív kockázat, amit a COSO (Committee of Sponsoring Organizations of the Treadway Commission) belső kontrollról szóló ajánlásai említenek.

Az elektronikus aláírási megoldások összehasonlítása segít az Ön volumenéhez és integrációs korlátaihoz (ERP, TMS, szállítói portál) megfelelő platform azonosítását.

Többalanyos jóváhagyási munkafolyamatok konfigurálása

A négy szem elve (kettős jóváhagyás) a belső kontroll jó gyakorlata, amelyet az AMF és a könyvszakértők az átutalási megbízások tekintetében ajánlanak. A modern aláírási platformok lehetővé teszik:

• Aláírási sorrend konfigurálása (A aláíró előbb jóvá kell hagyja, mint B)

• Delegálási küszöbök (pénzügyi igazgató egyedül ír alá X €-ig, igazgató általános társaláírása felette)

• Automatikus értesítéseket és emlékeztetőket az időbélyegzett naplózással minden lépéshez

• Elektronikus meghatalmazásokat távolléti periódusokra, amelyek részletes kezelése útmutatónkban található a meghatalmazás és megbízás témájához

Archiválás és naplózási nyom: dokumentációs követelmények

Minden elektronikus aláírással ellátott átutalási megbízást az aláírási bizonyítékokkal (certificate chain, auditjelentés, SHA-256 hash a dokumentumhoz) meg kell őrizni. Ez az archiválás bizonyítékhalmaz-forma: olvasható, sértetlen és a jogi megőrzési időszak alatt hozzáférhető (könyvviteli dokumentumok tekintetében 10 év a Kereskedelmi Törvénykönv L. 123-22. cikke szerint).

A megfelelő megoldások automatikusan bizonyítási fájlt (LTV — Long Term Validation) generálnak, amely a PDF-ben integrálva lehetővé teszi az aláírás érvényességének ellenőrzését még az eredeti tanúsítvány lejárta után. Ez az ETSI EN 319 132 (PAdES-LTV) szabványok követelménye.

---

Mérhető előnyök a pénzügyi igazgatások számára

A csalás kockázatának csökkentése és az ezzel járó költségek

A digitális dokumentumellenőrzések csökkentik a belső és külső visszaélések kockázatát a papíralapú folyamatokhoz képest. A fokozott biztonságú elektronikus aláírás különösen kizárja a dokumentum aláírás utáni módosításának lehetőségét, ezzel gyakorlatilag megszünteti a küldés utáni hamisítást.

A jóváhagyási ciklusok felgyorsítása

Egy átutalási megbízás papíralapú jóváhagyási folyamata egy középvállalatnál több munkanapot vesz igénybe. A digitalizációra való áttérés ezt az időtartamot néhány órára csökkenti, az előre beállított munkafolyamattal végzett rutinműveletek esetében akár percekre is. Egy valós idejű likviditási igényeket kezelő pénzügyi vezető számára ez a nyereség stratégiai jelentőségű.

Könnyebb megfelelőség és egyszerűbb audit

Adóellenőrzéskor vagy kötelezõ auditban a belső jóváhagyások átutalási megbízások szerinti rekonstruálása időigényes feladat. Az elektronikus aláírási rendszer esetén minden megbízást megváltoztatható auditnapló kísér: dátum, idő, IP-cím, aláíró azonosítója, hitelesítési eredmény. Ez a nyomkövetési szint közvetlenül megfelel a könyvszakértők és az adóhatóság (DGFiP) megbízható auditnyom (PAF) iránti igényeinek.

Az elektronikus aláírással ellátott átutalási megbízásokra alkalmazandó jogszabályi keretrendszer

Szerződési jog és bizonyítási erő

A francia jogban a Polgári Törvénykönv 1366. cikke az általános elvet szabályozza: „Az elektronikus dokumentum ugyanolyan bizonyítási erővel bír, mint a papíron alapuló dokumentum, feltéve, hogy az aláíró személye megfelelően azonosítható és az dokumentum előállítása és megőrzése olyan körülmények között történt, amelyek garantálják az integritásának. " Az 1367. cikk meghatározza, hogy az elektronikus aláírás egy megbízható aláírásmegállapító eljárás alkalmazása, amely garantálja az összekapcsolást az aktussal.

Ezeket a rendelkezéseket a 2017. szeptember 28-i 2017-1416 sz. rendelet egészíti ki az elektronikus aláírásról, amely pontosítja, hogy egy elektronikus aláírási eljárás megbízhatósága addig nem vitatható, amíg az nem valósít meg minősített elektronikus aláírást az eIDAS rendelet értelmében.

eIDAS 910/2014 rendelet és eIDAS 2.0 felülvizsgálata

Az eIDAS 910/2014 sz. rendelet az európai jogszabályi alap. Egységes keretrendszert hoz létre az elektronikus aláírások kölcsönös elismeréséhez 27 tagállamban. A 25(1) cikk előírja, hogy az elektronikus aláírásnak nem tagadható meg a jogi hatása csupán azért, mert elektronikus formában történt. A 25(2) cikk a minősített aláírást egyenértékűvé teszi a kézzel írott aláírással. 2024-ben az eIDAS 2.0 rendelet (UE 2024/1183 sz. rendelet) megerősítette a keretrendszert az európai digitális identitástartalék (EUDIW) bevezetésével és a minősített megbízható szolgáltatók listájának bővítésével.

A SEPA prélèvement megbízások tekintetében az EPC Scheme Rules (Európai Fizetések Tanácsa) előírják a tartozó aláírta, hitelezőre tárolható megbízást, az azonosítási szabványokkal összhangban. Az EPC útmutató az elektronikus fejlett aláírást kifejezetten érvényes aláírási módként ismeri el.

DSP2 / DSP3 irányelv és erős hitelesítés

A DSP2 irányelv (2015/2366/UE), amely a pénzügyi és pénzügyi kódex 133–44. cikkébe ültettetett át, kötelezi az erős ügyfél-hitelesítést (SCA) az online átutalások 30 € feletti jóváhagyásához. Az DSP3-ra való felülvizsgálat (2024-ben elfogadott törvényi csomag, fokozatos bevezetés 2025–2026) szigorítja a biztonsági követelményeket és kiterjeszti a fizetési szolgáltatók felelősségét a nem észlelt csalások esetén.

GDPR és hitelesítési adatok feldolgozása

Az aláírás során összegyűjtött biometrikus adatok és hitelesítési adatok feldolgozása az GDPR 2016/679 sz. 9. cikkébe esik (érzékeny adatok) és kifejezett jogi alapot igényel. A minősített szolgáltatók (QTSP) dokumentált hatásbecslésekre vonatkozó követelménnyel rendelkeznek (AIPD/DPIA). Az aláírási adatokat minimalizálni, titkosítani kell tároláskor és átvitelkor, és törléskor meg kell felelniük a meghatározott megőrzési időszakomnak.

ETSI technikai szabványok

Az Európában elismert aláírási formátumok az ETSI EN 319 132 (PAdES PDF-hez), az ETSI EN 319 122 (CAdES) és az ETSI EN 319 162 (XAdES) szabványokkal vannak meghatározva. Hosszú ideig megőrzött átutalási megbízások esetén a PAdES-LTV (Long Term Validation) ajánlott, mivel az eredeti tanúsítvány élettartamától függetlenül tartalmazza az aláírás-ellenőrzéshez szükséges információkat.

Illusztratív felhasználási forgatókönyvek: elektronikus aláírással biztosított átutalási megbízások

1. forgatókönyv — Egy ipari KÖV, amely negyedévenként 400 szállítói megbízást kezel

Ezek a forgatókönyvek illusztratívak: tipikus helyzeteket mutatnak be, és nem valós ügyféltapasztalatokon mért eredményekről számolnak be. Egy közepes méretű gyártóipari vállalat, mintegy 350 munkavállalóval és 120 aktív beszállítóból álló partnerkörrel, hibrid folyamattal kezelte átutalási megbízásait: az ERP-ben történő indítás, PDF-nyomtatás, a pénzügyi igazgató vagy helyettesének kézírásos aláírása, majd beszkennelés és archiválás egy megosztott szerveren.

Egy időben felismert csalási kísérletet követően (egy nem lezárt, e-mailben küldött PDF-fájlon módosított bankszámlaszám) a vezetőség egy, az ERP-vel API-n keresztül integrált fokozott biztonságú elektronikus aláírási megoldást vezet be. A nyomon követendő mutatók, amelyeket a tényleges körben, egy pilot előtt és után kell mérni:

• Átlagos jóváhagyási idő: a pilot előtt és után mérendő

• Megbízásonkénti feldolgozási költség: a tényleges körben kiszámítandó (a nyomtatások, szkennelések, belső levelezés megszüntetésével)

• Teljes naplózási nyom: valós időben elérhető a könyvszakértő számára, kézi rekonstrukció nélkül

• Zéró dokumentumcsalási incidens a nyomonkövetési időszakban

2. forgatókönyv — Önkormányzatok csoportja és támogatási megbízások

Egy tíz önkormányzatot összefoglaló közöségi csoportosulás helyi egyesületeknek nyújtott támogatási átutalási megbízásokat kezelt, évente körülbelül 2 000 műveletet kezelve. Az azért felelős képviselő aláírása közösségi tanácsi üléseken történt meg, az ülések naptári felépítésének és a dokumentumvesztés kockázatának alárendeltségében.

A megbízások digitalizálása fokozott biztonságú elektronikus aláírással, a közszféra számviteli kezelőszoftverébe integrálva, lehetővé teszi:

• A képviselők távolsági aláírását a személyes jelenlét kötelezettségét eltávolítva

• A Helios keretrendszerrel való megfelelőséget (az állam fizetési protokolljával való kompatibilitás az önkormányzatoknak)

• A támogatások kifizetési határidejének lerövidítését: a nyereség mértékét az önkormányzat tényleges körén kell mérni

• Az automatikus archiválás a regionális számvevőszéki követelményeknek való megfeleléshez

3. forgatókönyv — Vagyon-kezelési iroda és ügyfeleinek átutalási megbízásai

Egy független vagyonkezelő iroda (mintegy 25 munkatárssal, 800 aktív ügyféllel) ügyfeleitől aláírt átutalási megbízásokat kell beszereznie értékpapírszámlákon és életbiztosítási szerződéseken végzett arbitrázsügyletek végrehajtásához. A postai folyamat hosszadalmas, és fennáll a hiányosan visszaküldött dokumentumok kockázata (hiányzó aláírás, dátum hiánya stb.).

Egy megerősített azonosítási folyamatot (személyazonosító okmány ellenőrzése + OTP) tartalmazó elektronikus aláírási megoldás bevezetése után a következő mutatókat kell nyomon követni:

• Az aláírt megbízás beszerzési ideje: egy pilot előtt és után mérendő

• Hiányos megbízások aránya: nyomon követendő, az aláírás előtti automatikus teljességi ellenőrzések célja ennek csökkentése

• Ügyfél-elégedettség NPS-sel mérve: nyomon követendő az adminisztratív ügyintézés egyszerűségének szempontjából

• Az MiFID II szerinti megfelelőség megerősödött az ügyfél-utasítások nyomkövetésérről (16. cikk)

Gyakran ismételt kérdések

Az előírt elektronikus aláírás elegendő-e egy SEPA-beszedési megbízás biztonságához?

A SEPA-beszedési megbízások túlnyomó többsége esetén az előírt elektronikus aláírás (AdES) megfelelő biztonsági szintet nyújt: garantálja az aláíró személyazonosságát, lezárja a dokumentumot az esetleges módosítások ellen, és időbélyegzett auditnaplót hoz létre. A SEPA-rendelet nem ír elő konkrét aláírási szintet, azonban megköveteli a megbízás megőrzését a kereskedelmi kapcsolat teljes időtartamára, az utolsó beszedést követően pedig további 14 hónapig. Az elektronikus aláírással ellátott dokumentum megkönnyíti ezt a bizonyító értékű archiválási kötelezettséget.

Milyen jogi különbség van egy átutalási megbízás aláírása és a banki utasítás jóváhagyása között?

Ezek eltérő jellegű jogi cselekmények, amelyeket különféle jogszabályi keretek szabályoznak. A megbízás aláírása dokumentáris jogcselekmény, amelyet az eIDAS-rendelet és a szerződések joga szabályoz: az aláíró beleegyezését és a dokumentum integritását alapítja meg. A fizetési utasítás jóváhagyása banki utasítás, amelyet a DSP2-irányelv keretez be, és amely az pénzügyi intézmény oldaláról erős hitelesítést ír elő. Az egyik nem helyettesíti a másikat: egymást követő és kiegészítő két fázisban működnek.

Elektronikus aláírással ellátott átutalási megbízás elfogadható-e viták esetén egy francia bíróság előtt?

Igen, feltéve, hogy az aláírás megfelel az eIDAS-rendelet követelményeinek. A francia Polgári Törvénykönyv 1366. cikke az elektronikus írás jogi értékét ismeri el, amennyiben a szerzője személyazonossága garantált és a dokumentum integritása biztosított. Az előírt vagy minősített elektronikus aláírás ezeket a feltételeket teljesíti, és elfogadható bizonyítéknak számít. A hozzárendelt auditnaplók — az ellenőrzött személyazonosság, az időbélyegzés, az IP-cím, az egyértelmű beleegyezés — erősítik a dokumentum bizonyító értékét a bíró előtt.

Hogyan lehet észlelni, hogy egy átutalási megbízás hamisítva lett az aláírása után?

A PAdES-szabványnak megfelelő elektronikus aláírással az aláírás utáni bármely dokumentummódosítás megsemmisíti a titkosítási lezárást. Egy kompatibilis PDF-olvasó (például Adobe Acrobat Reader) azonnal jelzi a tanúsítvány érvénytelenségét, ha a tartalom megváltozott, függetlenül attól, hogy az összegről, az RIB-ről vagy bármely más adatról van szó. Ez az automatikus felismerés pontosan az, amit az kézzel aláírt és beszkennelt megbízások hiányoznak, ahol egy számjegy vagy IBAN-szám hamisítása szabad szemmel észrevehetetlen marad.

Kötelező-e a videós azonosítás a minősített aláírás megkereséséhez egy átutalási megbízásban?

A minősített aláírás (QES) megköveteli az előzetes személyazonosság-ellenőrzést egy minősített megbízható szolgáltató (QTSP) nál, amelyet az európai szinten elismernek. Ez az ellenőrzés történhet személyes távolléti azonosítás vagy videós távolságiazonosítás útján, a megfelelő felügyeleti szerv, Franciaország esetében az ANSSI által jóváhagyott eljárások szerint. Az ezek közötti választás a kiválasztott szolgáltatótól függ. A minősített tanúsítvány megléte után többszöri megbízás aláírására is felhasználható az érvényességi időtartamon belül, további személyazonosság-ellenőrzés nélkül.

Összefoglalás

Az elektronikus aláírással ellátott átutalási megbízások már nem a nagyobb vállalatok kiváltsága: manapság a pénzügyi érzékeny folyamatokat kezelő bármely szereplő minimális biztonsági és megfelelőségi standardja. Az fejlett vagy minősített elektronikus aláírás, az erős hitelesítés és a megfelelő időbélyegzés kombinálásával semlegesítik a csalás fő vektorait, miközben felgyorsítják a jóváhagyási ciklusokat és egyszerűsítik az auditokat.

Az európai jogszabályi keretrendszer — eIDAS, DSP2/DSP3, Polgári Törvénykönv — már érett és a bankok, könyvszakértők és bíróságok által elismert. Marad az implementáció.

A Certyneo az eIDAS-megfelelő platformmal, a meglévő eszközökhöz integrálható módon és technikai képzés nélkül használható módon segíti Ön átutalási megbízásainak biztonságossá tételét. Fedezze fel a Certyneo árakat vagy számítsa ki befektetési megtérülési várakozásait projekt elindításához még ma.