Księgowość dostaje wiadomość od dostawcy: „Od tej faktury płatności prosimy kierować na nowy rachunek”. Chwilę później dzwoni osoba brzmiąca jak prezes i prosi o pilny przelew. Adres e-mail wygląda znajomo, faktura ma właściwe logo, a głos zna szczegóły firmy.
To może być BEC (business email compromise): przejęta skrzynka albo dobrze przygotowane podszycie pod osobę uczestniczącą w płatności. AI ułatwia przygotowanie wiarygodnego tekstu i imitacji głosu, ale nie zmienia podstawowego problemu. Jedna wiadomość lub jeden telefon nie powinny wystarczyć do zmiany numeru rachunku bankowego i wysłania pieniędzy.
Trzy drogi do tej samej płatności
Przejęty e-mail. Oszust czyta wcześniejszą korespondencję, zna terminy, kwoty i osoby. Odpowiedź może przyjść w prawdziwym wątku, więc sam poprawny adres nie jest dowodem.
Podmieniona faktura lub domena. Wiadomość pochodzi z adresu różniącego się znakiem, a załącznik zawiera nowy rachunek. Logo i numer zamówienia można skopiować.
Sklonowany głos. Krótka próbka publicznego nagrania może pomóc stworzyć imitację. Głos brzmiący jak właściciel firmy nadal jest tylko elementem wiadomości, nie drugim potwierdzeniem.
Każda droga korzysta z pośpiechu i hierarchii: „zrób to teraz”, „nie angażuj innych”, „wyjątkowo pomiń procedurę”. To sygnał do zatrzymania płatności, nie dowód winy pracownika ani dowód oszustwa.
Drugi kanał musi być naprawdę drugi
Zmianę numeru rachunku bankowego potwierdź telefonem na numer zapisany przed wiadomością: z umowy, kartoteki dostawcy lub wcześniejszych, zweryfikowanych danych. Nie dzwoń na numer z e-maila, faktury ani wiadomości o zmianie — kontrolujący wiadomość może kontrolować również ten numer.
Telefon od „prezesa” też nie zamyka sprawy. Oddzwoń na znany numer albo skontaktuj się z drugą uprawnioną osobą przez firmowy komunikator używany wcześniej. Zasada jest taka sama jak przy kodzie: drugi kanał ma potwierdzić osobę, a nie powtórzyć treść.
Procedura, która nie szuka winnego
- Każda zmiana numeru rachunku bankowego zatrzymuje płatność do weryfikacji.
- Jedna osoba sprawdza dostawcę znanym kanałem, druga zatwierdza zmianę i przelew.
- Notatka zawiera czas, znany numer, osobę, która odebrała, oraz wynik — bez haseł i zbędnych danych.
- Odmowa rozmowy, presja lub sprzeczne dane trafiają do osoby uprawnionej do podjęcia decyzji.
- Pracownik może zatrzymać płatność bez kary za opóźnienie wynikające z procedury.
Ostatni punkt jest ważny. Jeśli firma nagradza szybkość, a karze za pytania, sama tworzy obejście, którego potrzebuje oszust. Celem jest bezpieczna decyzja, nie znalezienie osoby, która „dała się nabrać”.
Krótka karta weryfikacji zmiany numeru rachunku bankowego pozwala przejść te kroki przy biurku. Szerszy przegląd ról, wyjątków i dostępów mieści się w ocenie bezpieczeństwa.
Oficjalny opis BEC i sposobów zgłoszenia publikuje FBI. Kanał i terminy zgłoszenia do banku lub właściwych instytucji zależą od kraju i konkretnej sytuacji; ten artykuł nie jest poradą prawną.