Szef pisze, że potrzebuje szybkiego przelewu. Jest na spotkaniu, nie może rozmawiać i prosi o dyskrecję. Taka sytuacja może wyglądać jak zwykły stresujący dzień w pracy. Może też być oszustwem na prezesa, w którym ktoś wykorzystuje autorytet przełożonego, żeby skłonić pracownika do wykonania nieuprawnionej operacji.
Dobra reakcja organizacyjna zaczyna się przed podejrzaną wiadomością: pracownik musi mieć prawo sprawdzić polecenie, także wtedy, gdy dotyczy zarządu. Bez tego nawet dobrze zapamiętane szkolenie może przegrać z obawą przed sprzeciwieniem się szefowi.
Dlaczego ten rodzaj oszustwa bywa przekonujący?
Przeanalizujmy wymyśloną sytuację. Asystentka otrzymuje krótką wiadomość podpisaną imieniem prezesa. Nadawca odwołuje się do trwającego spotkania i prosi o zakup kart podarunkowych dla klientów. Chce otrzymać ich kody, zanim wróci do biura.
Asystentka nie musi wierzyć w niezwykłą historię. Wystarczy, że uzna prośbę za kolejne zadanie od osoby, której zwykle pomaga. Ma też powód, żeby się spieszyć: nie chce opóźniać spotkania.
FBI opisuje podszywanie się pod kierownictwo i prośby o zakup kart podarunkowych jako przykłady oszustw BEC. Takie wyłudzenie może obyć się bez podejrzanego załącznika. Przykłady FBI.
Trzy elementy, które powinny zatrzymać działanie
Pierwszy to presja czasu. Polecenie ma zostać wykonane teraz, zanim pojawi się okazja do rozmowy.
Drugi to poufność rozumiana jako zakaz weryfikacji. Wiadomość sugeruje, że nie należy włączać księgowości, przełożonego lub innej osoby uczestniczącej zwykle w procesie.
Trzeci to odstępstwo od normalnych zasad. Pieniądze mają trafić na nowy rachunek, dane na prywatną skrzynkę albo płatność ma zostać wykonana nietypową metodą.
Każdy z tych elementów może wystąpić w legalnej sprawie. Ich połączenie powinno jednak uruchomić potwierdzenie tożsamości i uprawnienia do operacji.
Wiadomość, komunikator, a nawet głos
Nie przywiązuj procedury wyłącznie do e-maila. Prośba może przyjść przez komunikator, a następnie zostać uwiarygodniona rozmową telefoniczną. Zdjęcie profilowe i znajomo brzmiący głos nie powinny zastępować ustalonego sposobu zatwierdzania płatności.
FTC wskazuje, że sklonowany głos osoby z kierownictwa może zostać wykorzystany do nakłaniania do nieuprawnionych przelewów. Nie oznacza to, że każda nietypowa rozmowa jest deepfake’em. Oznacza, że firma nie powinna opierać autoryzacji tylko na wrażeniu, iż „brzmiał dokładnie jak szef”. Materiał FTC o klonowaniu głosu.
Jak sprawdzić polecenie bez zbędnej konfrontacji?
Oddzwoń przez numer zapisany wcześniej w firmowej książce kontaktów albo podejdź do tej osoby, jeśli jest dostępna. Nie wykorzystuj numeru podanego w podejrzanej wiadomości.
Nie wystarczy odpowiedzieć w tym samym wątku: „Czy na pewno?”. Jeśli rozmowę kontroluje oszust, sam potwierdzi własną prośbę. Chodzi o niezależne nawiązanie kontaktu. Weryfikację zmian i próśb o transfer środków przez znane wcześniej numery zaleca FBI. Zasady potwierdzania dyspozycji.
Możesz powiedzieć zwyczajnie: „Potwierdzam nietypowe zlecenie zgodnie z naszą procedurą”. To opis obowiązku służbowego, a nie zarzut wobec rozmówcy.
Co, jeśli szef jest nieosiągalny?
Firma powinna wcześniej ustalić zastępstwo i zakres decyzji. Jeżeli nie da się potwierdzić dyspozycji w uzgodniony sposób, operacja wymagająca takiego potwierdzenia czeka.
Rozważcie fikcyjny przykład: prezes jest w samolocie, a wiadomość nakazuje pilną płatność. Czy pracownik wie, kto może ją zatwierdzić? Czy jest zapisany numer do tej osoby? Czy ma pewność, że nie spotka go zarzut za zatrzymanie niezweryfikowanej operacji? Odpowiedzi są równie ważne jak umiejętność rozpoznania adresu nadawcy.
Jaką zasadę powinien zakomunikować zarząd?
Prosta deklaracja może brzmieć:
Polecenia od zarządu podlegają tym samym zasadom weryfikacji co pozostałe. Potwierdzenie nietypowej prośby jest częścią pracy. Nie oczekujemy omijania kontroli pod presją czasu.
Taki komunikat ma sens tylko wtedy, gdy zgadza się z codziennym zachowaniem przełożonych. Warto przećwiczyć krótką rozmowę, w której pracownik odmawia realizacji niepotwierdzonej dyspozycji, a szef wspiera tę decyzję.
Czy mała firma też potrzebuje takiej procedury?
Tak, choć może ona być bardzo krótka. Nawet dwie osoby mogą ustalić zasady nowych odbiorców przelewów i kontaktu awaryjnego. Przykład bardziej szczegółowej kontroli znajdziesz w artykule o fałszywych fakturach i zmianie rachunku.
Czy symulacja powinna zawstydzać pracownika?
Nie. Lepiej sprawdzić, czy pracownik zna drogę weryfikacji i umie z niej skorzystać. SafeLure pozwala prowadzić kontrolowane kampanie e-mailowe, które można połączyć z omówieniem firmowych zasad. W poradniku o pierwszej symulacji wyjaśniamy, jak nadać ćwiczeniu cel edukacyjny.
