Podstawiona faktura (atak klasyfikowany jako Business Email Compromise) jest uderzeniem krytycznym, ponieważ w ogóle nie przypomina cyberataku. Omija filtry bezpieczeństwa IT i płynnie wtapia się w rutynowy obieg dokumentów. Jeżeli zmiana konta w systemie księgowym dokonuje się wyłącznie na podstawie wiadomości e-mail, autoryzowany przelew wyjdzie z banku i trafi bezpośrednio w ręce przestępców.

Amerykańskie FBI w raporcie IC3 za 2024 rok podsumowało straty z tytułu ataków BEC na blisko 2,8 miliarda dolarów. Dla porównania, masowy phishing wyrządził w tym samym okresie szkody na poziomie 70 milionów. Różnica w kalibrze jest drastyczna. Spam to rzucanie sieci na oślep. Podstawiona faktura to precyzyjny atak wycelowany w jedną, bardzo konkretną transakcję.

Przelew jest poprawny. Zmanipulowano tylko cel

Przy tym oszustwie nikt nie włamuje się na konto bankowe. Firma sama autoryzuje transakcję. Dokument przechodzi przez standardową dekretację, a przelew ostatecznie zatwierdza uprawniona osoba. Wewnętrzne procedury działają bez zarzutu – po prostu od początku do końca przetwarzają zmanipulowany numer IBAN.

Firmy często szukają zagrożenia w literówkach albo w adresach mailowych z minimalnie przekręconą domeną (typosquatting). Tymczasem najdroższe ataki przychodzą z w pełni zaufanych skrzynek.

Gdy oszust przejmuje konto wieloletniego dostawcy, nie strzela na oślep. Ma wgląd w całą historię negocjacji. Wie, jaki towar wjechał na magazyn i którego dnia przypada termin płatności. Zna nazwiska pracowników i ich styl komunikacji. Nie tworzy nowej, podejrzanej wiadomości. Po prostu odpowiada w istniejącym wątku dokładnie w momencie, gdy firma i tak szykuje się do uregulowania należności – podsuwa ten sam, znany plik PDF, ale z podmienionym kontem do wpłat.

Najdroższe zdanie w firmowej poczcie: „zmieniliśmy numer rachunku”

W długim, toczącym się od miesięcy wątku pocztowym takie zdanie wygląda na czystą formalność. Kontrahent, z którym wymieniliśmy już kilkadziesiąt wiadomości, prosi o aktualizację danych w systemie i podaje nowy numer konta, dołączając proformę.

Tymczasem moment zmiany rachunku bankowego w systemie powinien być jednym z najlepiej chronionych punktów w każdym przedsiębiorstwie. To nie jest zwykła aktualizacja adresu do korespondencji. To fizyczna decyzja o tym, w czyje ręce trafi kapitał.

Dlatego sama wiadomość e-mail nigdy nie powinna stanowić podstawy do wykonania przelewu. Nowy numer konta wymaga bezwzględnego potwierdzenia innym, niezależnym kanałem: telefonem do zaufanej osoby po stronie dostawcy (pod numer znany z wcześniejszych umów, a nie ten ze stopki w bieżącym mailu) lub weryfikacją przez oficjalny system B2B. Jeśli do księgowości dzwoni z nieznanego numeru rzekomy „nowy dyrektor finansowy” czy handlowiec próbujący zautoryzować zmianę konta, taki kontakt warto błyskawicznie sprawdzić w internetowych bazach np. Infonumer, gdzie inni użytkownicy na bieżąco raportują numery wykorzystywane do oszustw.

Księgowość działa pod presją, a przestępca to wykorzystuje

Oszustwa fakturowe są projektowane tak, by żerować na rutynie i pośpiechu. Wiadomość od oszusta często wymusza sztuczną presję: „prosimy o pilne uregulowanie, by uniknąć opóźnień w dostawie”, „poprzedni rachunek został zablokowany z powodu audytu”, „proszę o potraktowanie sprawy priorytetowo”. To język, który w dziale finansowym brzmi jak kolejny nerwowy poniedziałek.

Źródłem problemu nie jest zatem „nieuważna księgowa”. Winny jest proces, który pozwala, by jedna, niezweryfikowana wiadomość e-mail trwale nadpisała kluczowe dane finansowe.

Co powinno natychmiast zatrzymać przelew?

Zmanipulowana faktura rzadko od razu wygląda na fałszerstwo. Najczęściej zdradzają ją drobne anomalie. Szczególną ostrożność, a wręcz wstrzymanie płatności, powinny wymusić:

• Nowy rachunek bankowy kontrahenta (zwłaszcza z zagranicznym prefiksem, jeśli dotychczas rozliczenia toczyły się w polskim banku).

• Żądanie pilnego przelewu omijającego stały harmonogram płatności w firmie.

• Drobne błędy w adresie e-mail nadawcy (np. kontakt@dostawca-pl.com zamiast kontakt@dostawca.pl).

• Inna forma dokumentu (np. link do chmury zamiast standardowego pliku PDF).

• Odchylenia w formacie (inne logo, inna czcionka, przesunięte tabele na dokumencie).

• Wyraźna zmiana tonu komunikacji lub brak charakterystycznej stopki pracownika po stronie dostawcy.

• Prośba o dyskrecję lub zatajenie przelewu przed innymi działami w firmie.

Druga akceptacja to nie biurokracja. To bezpiecznik

W mniejszych firmach często jedna osoba wprowadza faktury, przygotowuje paczkę przelewów i prosi szefostwo o zgodę tylko w przypadku skrajnie wysokich kwot. Przy ataku opartym na podmienionym rachunku to niezwykle ryzykowny model.

Rozwiązaniem jest wdrożenie twardej reguły: każdy nowy dostawca i każda zmiana rachunku bankowego wymaga weryfikacji przez dwie różne osoby (tzw. zasada czworga oczu). Nie z braku zaufania do kompetencji działu finansowego, ale dlatego, że oszustwo typu BEC celowo imituje najzwyklejszą administrację.

Druga osoba nie musi od nowa weryfikować poprawności podatkowej dokumentu. Ma sprawdzić wyłącznie najwrażliwsze wektory ataku: czy rachunek zgadza się z umową, czy domena nadawcy jest prawdziwa i w jaki sposób udokumentowano dyspozycję zmiany konta.

System finansowy nie może ufać wyłącznie poczcie elektronicznej

Przedsiębiorstwa inwestują w nowoczesne systemy ERP i obieg dokumentów (workflow), ale nierzadko wciąż traktują skrzynkę mailową jako jedyne źródło prawdy. Jeśli faktura trafia do systemu, program OCR sczytuje kwotę i automatycznie nadpisuje nowy numer rachunku bez alertu bezpieczeństwa, to automatyzacja jedynie przyspiesza proces utraty środków.

System informatyczny powinien traktować każdą zmianę numeru konta jako anomalię, która blokuje płatność do czasu ręcznego, zewnętrznego potwierdzenia.

Aby w pełni uodpornić firmę na takie zagrożenia, warto precyzyjnie przeanalizować techniki stosowane przez atakujących. Więcej o metodach weryfikacji oszustów przeczytasz w obszernym poradniku „Podstawiona faktura od kontrahenta. Procedury weryfikacji i zabezpieczenie przelewów w B2B” na blogu Infonumer. Autorzy rozkładają tam na czynniki pierwsze konkretne scenariusze ataków na pocztę firmową, tłumaczą zasady bezpiecznej autoryzacji oraz podają gotowy schemat reagowania na incydenty finansowe.

Gdy pieniądze wyjdą z konta, czas to jedyna waluta

Jeżeli przelew trafił już na podstawiony rachunek, pierwsze minuty decydują o wszystkim. To nie jest moment na wewnętrzne śledztwa i szukanie winnych.

Firma musi natychmiast zadzwonić do swojego banku (najlepiej na dedykowaną linię ds. fraudów bankowych), zgłosić oszustwo i zażądać zablokowania środków na koncie odbiorcy, zanim te zostaną wytransferowane dalej lub zamienione na kryptowaluty.

Równolegle należy odpowiednio zabezpieczyć dowody – oryginalne maile (wraz z nagłówkami technicznymi), pliki faktur oraz logi systemowe. Zawiadomienie o popełnieniu przestępstwa powinno od razu trafić na policję. Konieczny jest również audyt środowiska IT w firmie: wymuszenie wylogowania ze wszystkich urządzeń, reset haseł oraz sprawdzenie reguł przekazywania poczty. Przestępcy po włamaniu na skrzynkę niemal zawsze ustawiają ukrytą regułę usuwającą wiadomości od prawdziwych kontrahentów.

Na koniec trzeba ostrzec samego dostawcę. Jeśli jego poczta została skompromitowana, z dużym prawdopodobieństwem te same sfałszowane faktury właśnie paraliżują działy księgowości kilkudziesięciu innych firm.

 Jeden e-mail nie ma prawa decydować o pieniądzach

Podstawiona faktura i ataki BEC są tak skuteczne, ponieważ na pierwszy rzut oka w ogóle nie przypominają incydentu cyberbezpieczeństwa. Wyglądają jak zwykłe, codzienne koszty operacyjne do zaksięgowania.

Dlatego ochrona kapitału firmy nie może opierać się na tym, czy pracownik danego dnia będzie wystarczająco czujny. Prawdziwą tarczą są twarde procedury: akceptowanie zmian rachunku wyłącznie po weryfikacji dwoma niezależnymi kanałami, zasada czworga oczu i absolutny zakaz omijania tych wymogów pod presją czasu.

Źródła danych:

• Federal Bureau of Investigation (FBI), Internet Crime Complaint Center (IC3), Internet Crime Report 2024 – raport podsumowujący roczne straty finansowe wywołane przez cyberprzestępstwa, w tym Business Email Compromise (BEC).

• FBI IC3, Recovery Asset Team (RAT) – procedury blokowania środków po wykonaniu nieautoryzowanych przelewów.