How can I tell if a vendor invoice or payment request is actually from our legitimate supplier?

Always verify payment requests through a communication channel you initiated yourself—call your vendor's known phone number from a previous invoice or their official website, never use contact information from the suspicious email. Check for red flags like slight variations in the vendor's email domain (suppIier.com instead of supplier.com), requests to change established payment methods or bank accounts, and urgency language that pressures quick payment. Confirm the invoice amount and purchase order number against your internal records and the vendor's previous billing patterns before processing any payment.

What should I do immediately if I suspect I've received a fraudulent vendor payment request?

Do not pay the invoice and do not reply to the suspicious email. Immediately report it to your finance manager, accounts payable department, and your IT security team, then forward the full email headers to your email security provider so they can identify spoofing attempts. Contact your actual vendor through a verified phone number or official website to confirm whether they sent the request, and file a report with the FBI's Internet Crime Complaint Center (IC3) at ic3.gov within 24 hours to help law enforcement track the scammer.

If our company already paid a fraudulent vendor invoice, can we recover the money?

Recovery is difficult once funds are transferred, especially if they went to an offshore account, but you must act within hours. Immediately notify your bank to attempt to reverse the wire transfer or ACH transaction if processing is still pending—banks can sometimes halt transfers within a narrow window. Contact the FBI's IC3, your local law enforcement, and the receiving bank (if identifiable) to report the fraud and request a freeze on the account, though success rates are low once funds reach international accounts.

What systems and processes should we implement to prevent vendor impersonation scams?

Establish a mandatory dual-approval process for all new vendor payments or changes to existing vendor payment details, require verbal confirmation through verified phone numbers for any payment redirection requests, and implement email authentication systems like SPF, DKIM, and DMARC to detect spoofed vendor domains. Maintain an updated vendor master file with confirmed contact information and payment details, train your accounts payable team to recognize urgency language and inconsistencies, and conduct monthly reconciliation of vendor payments against purchase orders and receiving records.

Why are small and medium-sized businesses targeted more often than large corporations for vendor impersonation scams?

Smaller businesses typically lack the sophisticated email security filters, payment verification protocols, and multi-layer approval processes that larger enterprises use, making them easier targets for scammers. SMBs often have leaner finance teams with fewer resources to verify every payment request and less awareness training about these specific threats, combined with less complex vendor relationships that scammers can more easily research through public sources like LinkedIn and company websites. The lower average transaction values ($20,000-$150,000 versus millions) also create less suspicion and faster payment processing in smaller organizations.

उच्च जोखिमऔसत हानि: $20,000सामान्य अवधि: 1-14 days

वेंडर प्रतिरूपण धोखाधड़ी: अपने व्यवसाय की सुरक्षा करें

वेंडर प्रतिरूपण धोखाधड़ी तब होती है जब धोखेबाज किसी कंपनी के वैध आपूर्तिकर्ताओं का अध्ययन करते हैं और फिर ऐसे नकली चालान, ईमेल या संचार बनाते हैं जो उन विक्रेताओं से आने वाले प्रतीत होते हैं। यह धोखेबाज आमतौर पर खातों के भुगतान विभाग या वित्त टीमों को निशाना बनाते हैं, वेंडर भुगतान की नियमित प्रकृति और व्यावसायिक संचालन की तात्कालिकता का फायदा उठाते हुए। एफबीआई की 2023 इंटरनेट क्राइम कंप्लेंट सेंटर (IC3) रिपोर्ट के अनुसार, बिजनेस ईमेल कंप्रोमाइज (BEC) धोखाधड़ी—जिसमें अक्सर वेंडर प्रतिरूपण शामिल होता है—उस वर्ष $2.7 बिलियन से अधिक के नुकसान का कारण बनी, जिसमें बड़े उद्यमों के लिए व्यक्तिगत घटनाओं का औसत $20,000 से $150,000 था। छोटे और मध्यम व्यवसाय विशेष रूप से संवेदनशील हैं क्योंकि उनके पास बड़े निगमों द्वारा लागू किए जाने वाले परिष्कृत ईमेल प्रमाणीकरण सिस्टम और भुगतान सत्यापन प्रोटोकॉल नहीं हो सकते। ये धोखाधड़ी मध्य 2010 के दशक के बाद से काफी विकसित हुई है। प्रारंभिक संस्करणों में केवल सरल ईमेल स्पूफिंग का उपयोग होता था, लेकिन आधुनिक वेंडर प्रतिरूपण हमले अब कंपनी संचालन का विस्तृत ज्ञान, वैध वेंडर नाम, सटीक भुगतान शर्तें, और यहां तक कि कंपनी के लेटरहेड और लोगो की नकल भी शामिल करते हैं। धोखेबाज अक्सर कई सप्ताह तक जासूसी करते हैं, कंपनी के ईमेल संचार और वेंडर संबंधों की निगरानी करते हैं, डेटा उल्लंघनों, सोशल इंजीनियरिंग या लिंक्डइन अनुसंधान के माध्यम से। प्रारंभिक संपर्क से लेकर धोखाधड़ीपूर्ण भुगतान तक का औसत समय केवल 1-14 दिन होता है, जो धन को ऑफशोर खातों में स्थानांतरित करने से पहले पहचान के लिए सीमित समय छोड़ता है, जो लगभग पता लगाने योग्य नहीं होते। यह खतरा केवल तत्काल वित्तीय नुकसान तक सीमित नहीं है। वेंडर प्रतिरूपण धोखाधड़ी वैध आपूर्तिकर्ताओं के साथ व्यावसायिक संबंधों को नुकसान पहुंचा सकती है, लेखांकन विसंगतियां पैदा कर सकती है जो ऑडिट को ट्रिगर करती हैं, कंपनियों को कानूनी जिम्मेदारी के लिए उजागर कर सकती है यदि वे धोखाधड़ी का पता लगाने में विफल रहती हैं, और वित्त विभागों के भीतर विश्वास को कमजोर कर सकती है। बार-बार निशाना बनाना आम है—धोखेबाज अक्सर सफलतापूर्वक समझौता की गई कंपनियों पर नए योजनाओं के साथ लौटते हैं, और जो व्यवसाय एक बार शिकार बनते हैं, उन्हें अगले 12 महीनों में 20-30% अधिक बार हमले का खतरा होता है।

सामान्य रणनीतियाँ कैसे पहचानें खुद को कैसे सुरक्षित रखें वास्तविक उदाहरण अक्सर पूछे जाने वाले प्रश्न रिपोर्ट कहाँ करें

सामान्य रणनीतियाँ

•थोड़े बदले हुए ईमेल पते के साथ चालान भेजना (जैसे, वैध कॉर्पोरेट डोमेन के बजाय vendorname@gmail.com) या ऐसे डोमेन नामों का उपयोग करना जो वास्तविक वेंडर के URL की नकल करते हों, जैसे 'supplier.com' को 'suppIier.com' या 'supplier-inc.com' में बदलना।
•'बैंक खाता परिवर्तन', 'सिस्टम अपडेट', 'कर अनुपालन मुद्दे' या 'मर्जर/अधिग्रहण गतिविधियां' के कारण तात्कालिक भुगतान पुनर्निर्देशन का अनुरोध करना, जो समय दबाव पैदा करते हैं और सामान्य सत्यापन प्रक्रियाओं को बायपास करते हैं।
•वैध वेंडर संचार की नकल करना, जिसमें वास्तविक चालान प्रारूप, भुगतान शर्तें, खरीद आदेश संख्या, और पिछले लेनदेन से मूल्य निर्धारण शामिल हैं, जो ईमेल उल्लंघनों या सोशल इंजीनियरिंग के माध्यम से प्राप्त किए गए हों।
•विशिष्ट कर्मचारियों को लक्षित करना, स्पीयर-फिशिंग ईमेल के माध्यम से जो वास्तविक परियोजनाओं, समय सीमाओं या अधिकारियों के नाम का उल्लेख करते हैं, जिससे संचार प्रामाणिक और समय-संवेदनशील प्रतीत होता है।
•वैध भुगतान विधियों जैसे ACH ट्रांसफर या वायर ट्रांसफर का उपयोग करना, जो वेंडर के नाम पर बैंक खातों में होते हैं लेकिन विभिन्न देशों में स्थित होते हैं, जिससे धन की वसूली बेहद कठिन हो जाती है जब धन साफ हो जाता है।
•नकली वेंडर सपोर्ट लाइनों से कई अनुस्मारक ईमेल या कॉल के साथ फॉलो-अप करना, दबाव और तात्कालिकता बढ़ाना, और नकली चालान के बारे में कंपनी के संचालन के आश्चर्यजनक रूप से सटीक विवरणों के साथ सवालों का जवाब देना।

कैसे पहचानें

सामान्य वेंडर भुगतान की तुलना में काफी बड़े राशि के चालान अनुरोध, या एक साथ कई चालान भुगतान करने के अनुरोध जो वेंडर के सामान्य बिलिंग पैटर्न या आवृत्ति से भिन्न हों।
ईमेल पते या डोमेन नाम जो वैध वेंडरों के लगभग समान हों लेकिन सूक्ष्म वर्तनी त्रुटियां, अलग एक्सटेंशन (.net के बजाय .com), या कॉर्पोरेट डोमेन के बजाय मुफ्त ईमेल सेवाओं का उपयोग करते हों।
भुगतान विधियों को अचानक बदलने, अनुमोदित वेंडर सूची में नए भुगतानकर्ताओं को जोड़ने, या नए बैंक खातों में भुगतान पुनर्निर्देशित करने के अनुरोध, बिना आधिकारिक लेटरहेड, खरीद आदेश, या वेंडर से बहु-पक्षीय अनुमोदन के।
ऐसे संचार जो कृत्रिम तात्कालिकता पैदा करते हैं, जैसे कड़े समय सीमा, सिस्टम रखरखाव विंडो, या एक बार भुगतान के अवसर, खासकर जब ये आपके स्थापित खरीद प्रक्रियाओं को बायपास करते हैं।
चालान राशि जो उस वेंडर के साथ ऐतिहासिक लेनदेन राशि से मेल नहीं खाती, असामान्य लाइन आइटम शामिल करती है, या उस वेंडर के वैध चालानों में सामान्य विस्तृत विवरण और वस्तु विवरण की कमी होती है।
ईमेल हेडर, मेटाडेटा, या डिजिटल हस्ताक्षर जो जब आप अपनी आईटी सुरक्षा टीम को ईमेल फॉरवर्ड करते हैं तो अमान्य प्रतीत होते हैं, या ऐसे अनुरोध जो सामान्य कंपनी ईमेल पतों पर भेजे जाते हैं बजाय कि विशिष्ट खातों के भुगतान संपर्क व्यक्ति को जो सामान्यतः वेंडर संचार प्राप्त करता है।

खुद को कैसे सुरक्षित रखें

ईमेल प्रमाणीकरण प्रोटोकॉल लागू करें जिनमें SPF (सेंडर पॉलिसी फ्रेमवर्क), DKIM (डोमेनकीज आइडेंटिफाइड मेल), और DMARC (डोमेन-आधारित मैसेज ऑथेंटिकेशन, रिपोर्टिंग और कंफॉर्मेंस) शामिल हैं, ताकि वेंडरों या आंतरिक पतों से स्पूफ किए गए ईमेल का पता लगाया और चिन्हित किया जा सके।
एक अनिवार्य सत्यापन प्रोटोकॉल स्थापित करें जिसमें वित्तीय कर्मचारी भुगतान परिवर्तन अनुरोध, नए वेंडर ऑनबोर्डिंग, या खाता पुनर्निर्देशन को संसाधित करने से पहले आधिकारिक कंपनी वेबसाइटों या पिछले चालानों से फोन नंबर का उपयोग करके वेंडरों से सीधे संपर्क करें।
वेंडर प्रबंधन सॉफ़्टवेयर का उपयोग करें जो अनुमोदित वेंडर सूचियों, भुगतान खातों, और संपर्क जानकारी को एक सुरक्षित प्रणाली में केंद्रीकृत करता है, जिसमें किसी भी परिवर्तन को दर्ज करने से पहले बहु-स्तरीय अनुमोदन आवश्यक हो।
खातों के भुगतान और वित्तीय कर्मचारियों को त्रैमासिक रूप से वेंडर प्रतिरूपण रणनीतियों पर प्रशिक्षित करें, जिसमें फ़िशिंग पहचान, ईमेल सत्यापन तकनीकें, और संदिग्ध संचारों को भुगतान प्रक्रिया से पहले चिन्हित करने की प्रक्रियाएं शामिल हों।
किसी भी नए वेंडर, थ्रेशोल्ड राशि से अधिक वायर ट्रांसफर (आमतौर पर कंपनी के आकार के अनुसार ₹3,75,000 से ₹37,50,000 तक), या भुगतान विधि परिवर्तनों के लिए द्वि-स्वीकृति आवश्यकताएं लागू करें, जिसमें दूसरे विभाग या प्रबंधक से द्वितीयक अनुमोदन शामिल हो।
बैंक खातों और लेखांकन सॉफ़्टवेयर की असामान्य गतिविधि के लिए निगरानी करें, जिसमें नए खातों को भुगतान, अंतरराष्ट्रीय बैंकों में ट्रांसफर, या सामान्य सीमा से काफी बाहर चालान राशि शामिल हैं, और संसाधित किए गए लेनदेन की 24 घंटे के भीतर समीक्षा करें।

वास्तविक उदाहरण

एक विनिर्माण कंपनी को उनके मुख्य इलेक्ट्रॉनिक्स आपूर्तिकर्ता (जो लगभग ₹2.25 करोड़ के वार्षिक अनुबंध संभालता है) से आने वाला एक ईमेल प्राप्त हुआ। यह ईमेल खातों के भुगतान प्रबंधक को भेजा गया था, जिसमें एक वैध परियोजना से संबंधित ₹35 लाख के तात्कालिक चालान का उल्लेख था और हाल ही में बैंकिंग समेकन के कारण 'नए खाते' में भुगतान का अनुरोध किया गया था। ईमेल में वास्तविक कंपनी का लोगो और वैध पिछले लेनदेन से कॉपी किया गया चालान प्रारूप शामिल था। 36 घंटे के भीतर, भुगतान सिंगापुर के एक बैंक खाते में वायर ट्रांसफर के माध्यम से संसाधित किया गया। वास्तविक वेंडर ने 14 दिन बाद पुष्टि की कि उन्होंने कभी चालान नहीं भेजा था। उस समय तक, धन निकाल लिया गया था और मूल खाता बंद कर दिया गया था।

एक पेशेवर सेवा कंपनी जिसमें 150 कर्मचारी हैं, को उनके आईटी इन्फ्रास्ट्रक्चर प्रदाता से कुल ₹66 लाख के कई चालान प्राप्त हुए, जिनमें से एक चालान कथित रूप से कंपनी के ज्ञात आउटेज के दौरान आपातकालीन सर्वर रखरखाव के लिए था। ईमेल 'it-support@infrastruct-tech.com' से आया था (वास्तविक कंपनी 'itsupport@infrastructech.com' का उपयोग करती है)। 8 दिनों में तीन अलग-अलग चालान संसाधित किए गए, इससे पहले कि वास्तविक वेंडर ने पूछा कि उन्होंने हाल ही में पूरी की गई वैध सेवाओं के लिए भुगतान क्यों नहीं किया। धोखेबाज ने कंपनी की ईमेल सुरक्षा समस्याओं की तीन सप्ताह तक निगरानी की थी और आउटेज के सटीक समय के बारे में जानता था।

अक्सर पूछे जाने वाले प्रश्न

मैं कैसे पता कर सकता हूँ कि विक्रेता का चालान या भुगतान अनुरोध वास्तव में हमारे वैध आपूर्तिकर्ता से है?

हमेशा भुगतान अनुरोधों की पुष्टि उस संचार चैनल के माध्यम से करें जिसे आपने स्वयं शुरू किया हो—अपने विक्रेता के ज्ञात फोन नंबर पर कॉल करें जो पिछले चालान या उनकी आधिकारिक वेबसाइट से लिया गया हो, संदिग्ध ईमेल से संपर्क जानकारी का उपयोग कभी न करें। विक्रेता के ईमेल डोमेन में मामूली बदलाव (जैसे suppIier.com के बजाय supplier.com), स्थापित भुगतान विधियों या बैंक खातों को बदलने के अनुरोध, और त्वरित भुगतान के लिए दबाव डालने वाली भाषा जैसी चेतावनी संकेतों की जांच करें। भुगतान प्रक्रिया से पहले चालान राशि और खरीद आदेश संख्या की अपनी आंतरिक रिकॉर्ड और विक्रेता के पिछले बिलिंग पैटर्न के साथ पुष्टि करें।

यदि मुझे संदेह है कि मुझे एक धोखाधड़ी वाला विक्रेता भुगतान अनुरोध मिला है, तो मुझे तुरंत क्या करना चाहिए?

चालान का भुगतान न करें और संदिग्ध ईमेल का जवाब न दें। तुरंत इसे अपने वित्त प्रबंधक, खातों के भुगतान विभाग और अपनी आईटी सुरक्षा टीम को रिपोर्ट करें, फिर स्पूफिंग प्रयासों की पहचान के लिए पूर्ण ईमेल हेडर को अपने ईमेल सुरक्षा प्रदाता को अग्रेषित करें। सत्यापित फोन नंबर या आधिकारिक वेबसाइट के माध्यम से अपने वास्तविक विक्रेता से संपर्क करें कि क्या उन्होंने अनुरोध भेजा है, और धोखाधड़ी को ट्रैक करने में कानून प्रवर्तन की मदद के लिए 24 घंटे के भीतर FBI के इंटरनेट क्राइम कंप्लेंट सेंटर (IC3) पर ic3.gov पर रिपोर्ट दर्ज करें।

यदि हमारी कंपनी ने पहले ही एक धोखाधड़ी वाले विक्रेता चालान का भुगतान कर दिया है, तो क्या हम पैसे वापस पा सकते हैं?

एक बार धन हस्तांतरित हो जाने के बाद वसूली कठिन होती है, खासकर यदि वे एक विदेशी खाते में गए हों, लेकिन आपको घंटों के भीतर कार्रवाई करनी चाहिए। यदि प्रक्रिया अभी भी लंबित है तो वायर ट्रांसफर या ACH लेनदेन को उलटने का प्रयास करने के लिए तुरंत अपने बैंक को सूचित करें—बैंक कभी-कभी एक संकीर्ण समय सीमा के भीतर ट्रांसफर रोक सकते हैं। धोखाधड़ी की रिपोर्ट करने और खाते को फ्रीज करने का अनुरोध करने के लिए FBI के IC3, स्थानीय कानून प्रवर्तन और प्राप्तकर्ता बैंक (यदि पहचाना जा सके) से संपर्क करें, हालांकि एक बार धन अंतरराष्ट्रीय खातों तक पहुंच जाने पर सफलता दर कम होती है।

विक्रेता नकल धोखाधड़ी को रोकने के लिए हमें कौन से सिस्टम और प्रक्रियाएँ लागू करनी चाहिए?

सभी नए विक्रेता भुगतान या मौजूदा विक्रेता भुगतान विवरणों में बदलाव के लिए अनिवार्य दोहरी-स्वीकृति प्रक्रिया स्थापित करें, किसी भी भुगतान पुनर्निर्देशन अनुरोध के लिए सत्यापित फोन नंबरों के माध्यम से मौखिक पुष्टि आवश्यक करें, और स्पूफ किए गए विक्रेता डोमेन का पता लगाने के लिए SPF, DKIM, और DMARC जैसे ईमेल प्रमाणीकरण सिस्टम लागू करें। पुष्टि की गई संपर्क जानकारी और भुगतान विवरण के साथ एक अद्यतन विक्रेता मास्टर फ़ाइल बनाए रखें, अपने खातों के भुगतान टीम को त्वरित भाषा और असंगतताओं को पहचानने के लिए प्रशिक्षित करें, और मासिक रूप से विक्रेता भुगतान की खरीद आदेशों और प्राप्ति रिकॉर्ड के साथ मिलान करें।

छोटे और मध्यम आकार के व्यवसायों को बड़े निगमों की तुलना में विक्रेता नकल धोखाधड़ी के लिए अधिक क्यों निशाना बनाया जाता है?

छोटे व्यवसायों के पास आमतौर पर बड़े उद्यमों द्वारा उपयोग किए जाने वाले परिष्कृत ईमेल सुरक्षा फ़िल्टर, भुगतान सत्यापन प्रोटोकॉल, और बहु-स्तरीय स्वीकृति प्रक्रियाएँ नहीं होतीं, जिससे वे धोखेबाजों के लिए आसान लक्ष्य बन जाते हैं। SMBs के पास अक्सर कम संसाधनों वाली वित्त टीम होती है जो हर भुगतान अनुरोध की जांच नहीं कर पाती और इन विशिष्ट खतरों के बारे में कम जागरूकता प्रशिक्षण होता है, साथ ही कम जटिल विक्रेता संबंध होते हैं जिन्हें धोखेबाज सार्वजनिक स्रोतों जैसे LinkedIn और कंपनी वेबसाइटों के माध्यम से आसानी से शोध सकते हैं। कम औसत लेनदेन मूल्य ($20,000-$150,000 बनाम लाखों) भी छोटे संगठनों में कम संदेह और तेज भुगतान प्रक्रिया उत्पन्न करते हैं।

रिपोर्ट कहाँ करें — भारत

आपके क्षेत्र में इस घोटाले की रिपोर्ट के लिए आधिकारिक चैनल।

राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल

साइबर अपराध

गृह मंत्रालय का साइबर अपराध हेल्पलाइन (1930) और रिपोर्टिंग पोर्टल।

1930 जाएँ →

CERT-In

रिपोर्टिंग

इलेक्ट्रॉनिक्स एवं सूचना प्रौद्योगिकी मंत्रालय के तहत साइबर सुरक्षा एजेंसी।

जाएँ →

राष्ट्रीय उपभोक्ता हेल्पलाइन

उपभोक्ता संरक्षण

उपभोक्ता मामलों के विभाग द्वारा संचालित शिकायत हेल्पलाइन।

1915 जाएँ →

RBI Sachet (वित्तीय धोखाधड़ी)

वित्तीय नियामक

भारतीय रिजर्व बैंक का अनधिकृत संस्थाओं की रिपोर्ट के लिए पोर्टल।

जाएँ →

Authoritative Resources

Recognized government and official anti-fraud bodies with guidance on this scam type.

FTC — Consumer Advice on ScamsUS FBI IC3 — Internet Crime Complaint CenterUS ACCC ScamwatchAU

क्या आपको लगता है कि आप इस घोटाले के संपर्क में आए?

How to cite this guide

Use this when referencing ScamLens content in articles, research, AI responses, or social media.

According to ScamLens (scamlens.org), वेंडर प्रतिरूपण धोखाधड़ी: अपने व्यवसाय की सुरक्षा करें is described at https://scamlens.org/hi/encyclopedia/vendor-impersonation.

https://scamlens.org/hi/encyclopedia/vendor-impersonation

यहाँ से शुरू करें

सुरक्षा जाँच

इंटेलिजेंस

उपकरण और रिपोर्ट

प्रीमियम सेवाएँ

एक्सटेंशन और API