Grafika AI
Oszustwo na podmianę numeru konta, znane jako BEC lub invoice redirection, polega na tym, że przestępca przejmuje albo podszywa się pod firmowy mail i podsuwa fałszywą zmianę rachunku bankowego. Przelew trafia do oszusta. Chroni Cię weryfikacja zwrotna telefonem na znany numer oraz zasada dwóch par oczu.
Jak działa podmiana numeru konta?
Schemat jest prosty i dlatego skuteczny. Przestępca uzyskuje dostęp do skrzynki jednej ze stron transakcji, najczęściej przez wyłudzony login i hasło (phishing). Przez kilka dni albo tygodni tylko czyta korespondencję: uczy się, kto komu płaci, jakie są kwoty, jak brzmi styl maili. Gdy w wątku pojawia się realna faktura, wysyła wiadomość z prawdziwego lub łudząco podobnego adresu z informacją, że firma zmieniła bank, i prosi o przelew na nowy numer. Wszystko wygląda znajomo, bo pisze do Ciebie ktoś, kto zna kontekst.
Po czym poznać próbę wyłudzenia
Sygnałów jest kilka i rzadko występują pojedynczo:
- nagła zmiana numeru konta tuż przed terminem płatności,
- presja czasu i prośba o pilny przelew poza normalnym trybem,
- nowy rachunek w innym kraju niż siedziba kontrahenta, często IBAN spoza jego zwykłej bankowości,
- drobna różnica w adresie mailowym, na przykład zamiana litery albo inna domena,
- prośba, żeby potwierdzać zmianę tylko mailem, bez telefonu.
Sama poprawna faktura w PDF niczego nie gwarantuje. Załącznik równie łatwo podrobić jak treść wiadomości.
Zasady, które zatrzymują przelew, zanim wyjdzie
Najskuteczniejsza obrona nie jest technologiczna, tylko proceduralna. Każdą zmianę danych do przelewu potwierdzaj kanałem zwrotnym: dzwoń na numer, który masz w swojej bazie z wcześniejszej współpracy, nigdy na numer podany w podejrzanym mailu. To jest weryfikacja poza kanałem wiadomości. Do tego zasada dwóch par oczu: druga osoba akceptuje każdą zmianę rachunku i każdy większy przelew. Sprawdzaj też sam IBAN: kraj banku powinien pasować do kraju kontrahenta, a nagła zmiana na rachunek w innym państwie to twardy sygnał, żeby wstrzymać płatność. O pułapkach rozliczeń piszemy szerzej przy okazji terminów płatności w transporcie.
Skala zjawiska
Ile na tym tracą firmy: według amerykańskiego FBI oszustwa typu BEC przyniosły w samym 2024 roku około 2,77 miliarda dolarów strat przy 21 442 zgłoszeniach, a w latach 2022 do 2024 łączne straty sięgnęły blisko 8,5 miliarda dolarów (źródło: FBI IC3). Europol podaje, że w jednej sprawie przeciwko pojedynczej firmie sprawcy wyprowadzili 38 milionów euro w ciągu kilku dni (źródło: Europol).
Co robić w pierwszych godzinach po wykryciu?
Liczy się tempo. Natychmiast zadzwoń do swojego banku i poproś o wstrzymanie oraz próbę odwołania przelewu. Skontaktuj się z bankiem odbiorcy, żeby zablokował środki na rachunku oszusta. Powiadom prawdziwego kontrahenta innym kanałem niż zainfekowany mail, bo jego skrzynka może być przejęta. Zabezpiecz dowody: oryginalne wiadomości z pełnymi nagłówkami, numer rachunku, godziny. Zgłoś sprawę policji, a w Polsce także zespołowi reagowania (CSIRT NASK). Zmień hasła i włącz uwierzytelnianie dwuskładnikowe na skrzynkach, które mogły zostać przejęte.
Dlaczego pieniądze rzadko wracają?
To najtrudniejsza część. Oszuści przerzucają środki przez łańcuch rachunków w kilku krajach i wypłacają je w ciągu godzin. Jeśli zgłoszenie do banku trafia z opóźnieniem, pieniędzy zwykle nie da się już odzyskać. Dlatego cała wartość leży w prewencji: jeden telefon na znany numer kosztuje minutę, a utracony przelew to często kwota całej faktury. W spedycji, gdzie płatności idą między nadawcą, przewoźnikiem i odbiorcą w różnych krajach, ryzyko jest wpisane w model pracy. Pokrewny mechanizm podszywania się opisujemy przy fałszywym przewoźniku i giełdach transportowych.
Jak ograniczamy to ryzyko i jak nas o to zapytać?
W OTSL zmiany danych do przelewu traktujemy jak zdarzenie wymagające potwierdzenia, nie jak zwykłą korespondencję. Jeśli chcesz ustalić bezpieczny tryb rozliczeń albo skonsultować konkretną transakcję, w tym stronę celną i dokumentową, sprawdź nasze doradztwo celne lub napisz przez formularz kontaktowy. Dane do przelewu potwierdzaj zawsze kanałem, który znasz z wcześniejszej współpracy.
Krok po kroku
- Otrzymanie informacji. Odbierasz wiadomość e-mail z informacją o nowym numerze konta do wpłat.
- Wstrzymanie przelewu. Nie realizujesz płatności automatycznie do momentu potwierdzenia danych.
- Kontakt telefoniczny. Wybierasz wcześniej znany i zweryfikowany numer telefonu do kontrahenta.
- Potwierdzenie numeru. Sprawdzasz poprawność rachunku bezpośrednio u osoby odpowiedzialnej za finanse.
- Zatwierdzenie transakcji. Realizujesz przelew po weryfikacji oraz uzyskasz akceptację drugiej osoby w firmie.
Definicje
- BEC (Business Email Compromise): Przestępcze przejęcie lub podszycie się pod firmową skrzynkę e-mail w celu wyłudzenia pieniędzy.
- Invoice redirection: Oszustwo polegające na podrzuceniu fałszywego numeru rachunku bankowego do opłacenia faktury.
- Phishing: Metoda wyłudzania danych logowania poprzez podszywanie się pod godną zaufania osobę lub instytucję.
- Weryfikacja zwrotna: Procedura potwierdzania danych do płatności poprzez bezpośredni kontakt telefoniczny pod znany wcześniej numer.
Kiedy ta zasada nie obowiązuje?
Procedura weryfikacji telefonicznej nie dotyczy stałych rozliczeń realizowanych na podstawie wcześniej podpisanych umów z niezmiennym rachunkiem, chyba że kontrahent przekazał oficjalne zgłoszenie zmiany danych w formie pisemnej z potwierdzeniem tożsamości.
Rola OTSL
W OTSL dbamy o bezpieczeństwo każdego etapu współpracy oraz przejrzystość dokumentacji transportowej. Organizujemy sprawny transport drogowy i podpowiadamy w poradniku jak czytać wycenę od spedycji, aby zapobiegać ryzykom finansowym w logistyce.
