Faktura zgadza się z zamówieniem. Kwota jest prawidłowa, nazwa dostawcy znajoma, a mail przyszedł w istniejącym wątku. Zmienił się tylko numer rachunku. Właśnie ta zmiana powinna uruchomić dodatkową weryfikację, nawet jeśli reszta dokumentu wygląda bez zarzutu.
Oszustwo na fakturę nie musi polegać na wymyśleniu całej transakcji. Przestępca może wykorzystać prawdziwy zakup i spróbować przekierować płatność. Celem tego poradnika jest jeden konkretny nawyk: oddzielenie akceptacji faktury od potwierdzenia, dokąd mają trafić pieniądze.
Historia, w której wszystko prawie się zgadza
Przyjrzyjmy się fikcyjnemu przykładowi. Mała firma zamawia wyposażenie biura. Kilka dni przed płatnością księgowość dostaje informację, że dostawca „zmienił bank obsługujący rozliczenia”. W załączniku jest poprawiona faktura. Nadawca zapewnia, że termin pozostaje bez zmian.
Pracownica sprawdza kwotę, dane spółki i numer zamówienia. Wszystko pasuje. Może więc uznać nowy rachunek za kolejny szczegół administracyjny. Tymczasem porównanie obu faktur odpowiada na pytanie, czy dokumenty są podobne. Nie potwierdza, kto poprosił o zmianę.
Jak oszust może wejść w prawdziwą korespondencję?
Może użyć adresu podobnego do firmowego, podszyć się pod pracownika lub skorzystać z przejętej skrzynki. W ostatnim przypadku wiadomość rzeczywiście wychodzi ze znanego konta, a sprawdzenie liter w adresie nie wystarczy.
Takie działania należą do oszustw określanych jako BEC, czyli wykorzystujących firmową korespondencję do wyłudzeń. FBI opisuje m.in. fałszywe instrukcje płatności i zaleca niezależne potwierdzanie zmian rachunku. Opis mechanizmu BEC.
W praktyce oznacza to, że sam wygląd faktury, stopka i wcześniejsza historia rozmowy nie powinny rozstrzygać o zmianie odbiorcy pieniędzy.
Jak potwierdzić zmianę numeru rachunku?
Wstrzymaj aktualizację danych płatniczych i skontaktuj się z dostawcą przez numer zapisany wcześniej w firmowej bazie kontaktów. Nie korzystaj z numeru dopisanego do wiadomości o zmianie.
Zapytaj, czy firma rzeczywiście wysłała taką dyspozycję. Następnie potwierdź dane rachunku zgodnie z ustaloną procedurą. Odnotuj, kiedy, z kim i jak przeprowadzono sprawdzenie. W firmie, która ma rozdzielone obowiązki, zmianę danych dostawcy powinna zatwierdzać druga uprawniona osoba.
FBI wskazuje wykorzystanie wcześniej znanych numerów i dodatkową akceptację jako środki ograniczające ryzyko fałszywych instrukcji przelewów. Zalecenia dotyczące weryfikacji płatności.
Jak ułożyć procedurę, którą da się stosować?
Poniższa propozycja jest prostym punktem wyjścia do ustaleń z księgowością:
- Informacja o zmianie rachunku trafia do wskazanej osoby, a nie od razu do formularza przelewu.
- Ta osoba potwierdza zmianę wcześniej ustalonym kanałem.
- Wynik sprawdzenia zostaje zapisany przy danych dostawcy.
- Uprawniony pracownik zatwierdza aktualizację.
- Płatność odbywa się dopiero po zakończeniu weryfikacji.
Najważniejsze, aby była to rzeczywista zasada pracy. Jeśli przełożony regularnie pozwala pomijać ją dla pilnych faktur, pracownik dostaje sprzeczne instrukcje.
W małej firmie właściciel może sam wykonywać kilka z tych zadań. Nadal może jednak oddzielić otrzymanie dyspozycji od jej sprawdzenia i wrócić do płatności dopiero po potwierdzeniu.
A jeśli kontrahent naciska na natychmiastową płatność?
Termin nie potwierdza tożsamości nadawcy. Przygotuj odpowiedź, którą pracownik może stosować bez negocjowania zasad za każdym razem:
Zmiany danych płatniczych potwierdzamy przez ustalony kontakt. Wrócimy do realizacji płatności po zakończeniu tej weryfikacji.
Ten komunikat nie oskarża kontrahenta. Wyjaśnia sposób działania firmy. Ostateczna decyzja o płatności powinna wynikać z potwierdzonych danych, a nie z liczby otrzymanych ponagleń.
Podobna presja pojawia się w oszustwie na prezesa, choć tam atakujący wykorzystuje przede wszystkim pozycję przełożonego.
Co zrobić, jeśli przelew już wyszedł?
Natychmiast skontaktuj się z bankiem i osobą odpowiedzialną za finanse. Przekaż informacje o transakcji, zachowaj wiadomości i ustal z IT, czy mogło dojść do przejęcia skrzynki. FBI zaleca pilny kontakt z instytucją finansową po wykryciu BEC. Szybkość działania nie daje jednak gwarancji zwrotu środków. Wskazówki FBI.
Czy faktura od znanego kontrahenta jest bezpieczna?
Znany kontrahent to ważny kontekst, ale nie samodzielne potwierdzenie nowej dyspozycji. Sprawdzaj nietypowe zmiany nawet w relacjach trwających od lat.
Jak ćwiczyć ten scenariusz z zespołem?
Omówcie przykładową prośbę o zmianę konta bez wykonywania przelewu. Zapytaj, kto powinien ją sprawdzić, gdzie znajdzie numer kontaktowy i jak zapisze wynik. Jeśli odpowiedzi są różne, macie konkretny obszar do uporządkowania.
Kontrolowane kampanie e-mailowe w SafeLure mogą uzupełnić takie rozmowy o praktyczne ćwiczenia rozpoznawania podejrzanych próśb. Zacznij od określenia celu, korzystając z poradnika o pierwszej symulacji phishingu.
