Fałszywe strony firm kradły zaliczki B2B przez 9 lat

29 lipca 2026 roku opisano kampanię oszustw B2B, w której przestępcy przez lata klonowali strony znanych rosyjskich przedsiębiorstw, podawali się za ich działy handlowe i kierowali zagranicznych kontrahentów do przelewów na kontrolowane rachunki. Badacze F6 powiązali z operacją prawie 100 fałszywych domen, a najstarsze ślady infrastruktury prowadzą do 2017 roku.

To nie był prosty phishing z błędem ortograficznym i jedną fałszywą fakturą. Oszuści budowali wiarygodny kontekst transakcji: kopiowali identyfikację firm z sektorów nawozów, petrochemii, metalurgii, logistyki i bankowości, przygotowywali dokumenty, prowadzili rozmowy i zmieniali dane płatnicze. Kampania pokazuje, dlaczego weryfikacja dostawcy nie może opierać się na atrakcyjnej stronie, firmowej stopce ani dokumencie przesłanym przez tę samą osobę, która oczekuje pieniędzy.

Co wiadomo z publikacji z 29 lipca

The Hacker News opisał ustalenia F6, przedstawione redakcji jako wyniki śledztwa dotyczącego wieloletniej infrastruktury. Według publikacji:

zidentyfikowano blisko 100 domen podszywających się pod istniejące przedsiębiorstwa;
działalność sięga co najmniej 2017 roku;
fałszywe podmioty występowały między innymi w języku angielskim, francuskim, arabskim i rosyjskim;
kontakt rozpoczynał się przez wiadomości, zapytania handlowe lub rozmowy telefoniczne;
ofierze przedstawiano sklonowaną stronę, umowy, faktury i dane bankowe;
co najmniej jedna firma z Azerbejdżanu miała stracić 150 tys. dolarów w kwietniu 2025 roku;
powtarzające się elementy infrastruktury obejmowały adresy 212.127.73[.]235 i 167.86.100[.]68.

Kwota 150 tys. dolarów dotyczy opisanego przypadku, nie łącznej wartości całej kampanii. Publiczny materiał nie podaje pełnej liczby ofiar ani potwierdzonej sumy strat. Nie należy więc ekstrapolować jednej transakcji na wszystkie domeny.

Jak wyglądała ścieżka oszustwa

Model był dopasowany do międzynarodowego handlu, gdzie duże zamówienie, długi proces i przedpłata mogą być normalne. Przestępca najpierw tworzył wiarygodną tożsamość handlowca lub pośrednika. Potencjalny nabywca otrzymywał ofertę produktu, którego podaż, cena albo dostępność uzasadniały szybkie działanie.

Następnie oszust wzmacniał wiarygodność kilkoma warstwami:

domeną podobną do marki prawdziwej firmy;
stroną skopiowaną z legalnego serwisu;
nazwiskami pracowników albo członków kierownictwa;
dokumentami wyglądającymi jak umowa, specyfikacja i faktura;
rozmową telefoniczną prowadzoną w odpowiednim języku;
rachunkiem bankowym opisanym jako konto dostawcy lub jego spółki zależnej.

Każda warstwa potwierdzała poprzednią, ale wszystkie mogły pochodzić z jednego źródła — od oszusta. To klasyczny błąd pozornej niezależności dowodów. Jeśli domena, telefon, dokument i numer rachunku zostały dostarczone w tej samej korespondencji, nie są czterema niezależnymi potwierdzeniami.

Dlaczego klon prawdziwej firmy działa

Przestępca nie musi wymyślać marki, historii i portfolio. Legalna firma już zainwestowała w reputację, pozycję w wyszukiwarce, zdjęcia zakładów, certyfikaty i dokumenty. Skopiowanie tych materiałów pozwala zbudować fałszywą obecność szybciej niż stworzenie fikcyjnego przedsiębiorstwa od zera.

W handlu międzynarodowym potencjalna ofiara może nie znać lokalnego rejestru spółek, formatu numerów podatkowych, zwyczajów bankowych ani języka. Różnica jednej litery w domenie, dodatkowy łącznik lub inna końcówka krajowa nie musi wzbudzić podejrzenia. Presję zwiększa atrakcyjna cena, ograniczona dostępność towaru albo groźba utraty kontraktu.

W kampanii pojawił się szczególnie przewrotny element: przestępcy kopiowali również ostrzeżenia legalnych firm o fałszywych stronach, ale podmieniali wskazanie prawdziwej domeny. Ofiara mogła więc zobaczyć komunikat „uważaj na oszustów” na stronie kontrolowanej przez oszusta i uznać go za dowód autentyczności.

To więcej niż Business Email Compromise

Mechanizm ma elementy znane z BEC: podszycie pod partnera, manipulację procesem biznesowym i przekierowanie płatności. Nie musi jednak wymagać przejęcia prawdziwej skrzynki e-mail. W wariancie z klonowaną spółką napastnik buduje równoległą tożsamość i pozyskuje nowego klienta, zanim powstanie legalna relacja.

Rozróżnienie ma wpływ na detekcję:

w klasycznym BEC analizujemy zmianę numeru rachunku w istniejącym wątku;
w oszustwie z fałszywym dostawcą trzeba zweryfikować sam początek relacji;
SPF, DKIM i DMARC legalnej domeny nie ochronią przed wiadomością wysłaną z podobnej, poprawnie skonfigurowanej domeny napastnika;
bezpieczna bramka e-mail może przepuścić dokument bez malware, bo atak opiera się na perswazji;
skaner faktury może poprawnie odczytać rachunek, ale nie potwierdzi jego właściciela.

Obrona wymaga więc kontroli procesu zakupowego, nie tylko filtra technicznego.

Kto jest najbardziej narażony

Na celowniku są osoby, które mogą rozpocząć relację z dostawcą, zatwierdzić zaliczkę lub zmienić dane kontrahenta:

zakupy i procurement;
handel międzynarodowy;
księgowość i treasury;
dyrektorzy operacyjni;
brokerzy i pośrednicy;
logistyka oraz działy importu;
małe firmy, w których jedna osoba pozyskuje dostawcę i wykonuje przelew.

Ryzyko rośnie, gdy organizacja premiuje szybkość, nie rozdziela obowiązków albo akceptuje potwierdzenie rachunku w tym samym kanale, którym przyszła faktura.

Weryfikacja dostawcy krok po kroku

Bezpieczny onboarding powinien tworzyć niezależną ścieżkę zaufania.

1. Znajdź legalny podmiot poza otrzymaną wiadomością

Nie klikaj domeny z oferty jako jedynego źródła. Odszukaj firmę przez oficjalny rejestr, wiarygodną izbę handlową, wcześniejszą dokumentację branżową lub znanego partnera. Porównaj nazwę prawną, numer rejestrowy, adres, zarząd i domenę.

2. Sprawdź historię domeny

Nowa rejestracja nie jest automatycznie oszustwem, ale wieloletnia korporacja prowadząca handel międzynarodowy rzadko przenosi całą sprzedaż na domenę utworzoną kilka dni wcześniej. Warto sprawdzić datę rejestracji, wcześniejsze rekordy DNS, certyfikaty TLS i podobne nazwy.

3. Potwierdź osobę niezależnym kanałem

Zadzwoń na numer znaleziony w niezależnym źródle, nie w podpisie podejrzanej wiadomości. Poproś centralę o połączenie z działem handlowym. Jeżeli rozmówca twierdzi, że reprezentuje spółkę zależną, potwierdź jej istnienie u podmiotu macierzystego.

4. Zweryfikuj rachunek bankowy

Nazwa banku i profesjonalny PDF nie wystarczą. Sprawdź zgodność beneficjenta, kraju rachunku, waluty i uzasadnienia biznesowego. Rachunek osoby prywatnej, pośrednika albo podmiotu w niepowiązanej jurysdykcji wymaga eskalacji. Zmianę numeru konta potwierdź ponownie niezależną ścieżką.

5. Rozdziel wprowadzenie i zatwierdzenie

Osoba tworząca dostawcę w systemie nie powinna samodzielnie zatwierdzać pierwszej zaliczki. Zasada czterech oczu powinna obejmować zarówno dane kontrahenta, jak i płatność.

6. Zacznij od kontrolowanej transakcji

Jeżeli model biznesowy na to pozwala, ogranicz wartość pierwszego zamówienia, użyj akredytywy, escrow, ubezpieczenia należności albo innego mechanizmu zmniejszającego ekspozycję. Sama „mała płatność testowa” nie potwierdza uczciwości — przestępca może celowo obsłużyć ją poprawnie.

Sygnały ostrzegawcze dla finansów i zakupów

Pojedynczy sygnał może mieć legalne wyjaśnienie. Ich kombinacja wymaga zatrzymania procesu:

domena różni się od tej znalezionej w niezależnym rejestrze;
firma o długiej historii używa świeżo zarejestrowanej domeny;
cena znacznie odbiega od rynku i obowiązuje tylko przez krótki czas;
sprzedawca odmawia wideorozmowy, wizyty lub kontaktu z centralą;
rachunek znajduje się w kraju niezwiązanym z dostawcą lub dostawą;
beneficjent nie odpowiada nazwie prawnej na umowie;
pośrednik naciska na pełną przedpłatę;
dokumenty zawierają różne formaty nazw, adresów albo numerów rejestrowych;
rozmówca wyjaśnia każdą rozbieżność „sankcjami”, „restrukturyzacją” lub „nową spółką” bez niezależnych dowodów;
ostrzeżenie o oszustwach na stronie wskazuje inną domenę niż oficjalne rejestry.

Reakcja po wysłaniu przelewu

Czas ma krytyczne znaczenie. Jeżeli płatność mogła trafić do oszusta:

natychmiast skontaktuj się z bankiem i poproś o zatrzymanie, recall lub zamrożenie transferu;
przekaż bankowi dane beneficjenta, korespondencję, fakturę i chronologię;
powiadom organy ścigania oraz właściwy zespół reagowania zgodnie z jurysdykcją;
zachowaj wiadomości w oryginalnym formacie z nagłówkami, pliki i historię połączeń;
skontaktuj się z prawdziwą firmą niezależnym kanałem;
zablokuj domeny i rachunki w systemach organizacji;
sprawdź, czy oszust nie pozyskał dokumentów, które może wykorzystać wobec kolejnych partnerów;
uprzedź inne osoby uczestniczące w transakcji bez publicznego ujawniania danych śledztwa.

Nie czekaj na stuprocentową pewność przed telefonem do banku. Odzyskanie środków jest bardziej prawdopodobne, zanim pieniądze przejdą przez kolejne rachunki.

Źródła a wnioski Breachroad

Publikacja oparta na badaniu F6 potwierdza długotrwałość kampanii, prawie 100 domen, branże, języki, powtarzalną infrastrukturę i opisany przypadek straty. Nie udostępnia pełnej listy wszystkich ofiar ani globalnej kwoty.

Rekomendacje dotyczące onboardingu, rozdziału obowiązków, niezależnego callbacku i ograniczenia pierwszej transakcji są wnioskami obronnymi Breachroad. Nie są opisem tego, jak każda ofiara postąpiła.

Co organizacja powinna zmienić dziś

wymagaj niezależnej weryfikacji nowego dostawcy;
wprowadź callback na numer spoza otrzymanej korespondencji;
blokuj płatność przy rozbieżności beneficjenta;
stosuj zasadę czterech oczu przy onboardingu i pierwszej zaliczce;
monitoruj domeny podobne do nazw kluczowych partnerów;
ćwicz scenariusz BEC oraz fałszywego dostawcy;
utrzymuj całodobową ścieżkę eskalacji do banku dla podejrzanego przelewu.

Najlepsza procedura nie zadziała, jeśli pracownik zostanie ukarany za zatrzymanie „pilnej” transakcji. Szkolenia z cyberbezpieczeństwa i phishingu dla firm uczą zespoły finansów, sprzedaży i zakupów rozpoznawania manipulacji w realnym procesie biznesowym. Warto uzupełnić je przewodnikami o BEC i oszustwie na prezesa oraz vishingu.

Audyt bezpieczeństwa IT może sprawdzić przepływ zatwierdzania dostawców, uprawnienia w systemie finansowym, ochronę domen i gotowość reakcji. W tym typie oszustwa kontrola płatności jest równie ważna jak zabezpieczenie poczty.

Ćwiczenie, które ujawnia luki w procesie

Dobry tabletop nie zaczyna się od oczywistego phishingu. Zespół zakupów otrzymuje profesjonalną ofertę od nowego dostawcy, znajduje sklonowaną stronę, przechodzi rozmowę telefoniczną i dostaje dokumenty. Dopiero przed płatnością pojawiają się subtelne rozbieżności: świeża domena, beneficjent w innym kraju i presja na zaliczkę.

Obserwator mierzy, czy pracownik potrafi znaleźć niezależny numer, kto może zatrzymać onboarding, czy system wymusza drugą akceptację i jak szybko firma dotrze do banku po symulowanym przelewie. Ćwiczenie nie powinno oceniać wyłącznie osoby. Ma ujawnić, czy procedura wspiera bezpieczną decyzję pod presją.

Wnioski warto połączyć z cyklem Cyber Threat Intelligence i monitoringiem domen podobnych do własnej marki oraz kluczowych partnerów. Akademia Breachroad pomaga zbudować wspólne podstawy weryfikacji informacji dla pracowników nietechnicznych.

Ostatecznym miernikiem jest odsetek nowych i zmienianych rachunków potwierdzonych kanałem niezależnym od korespondencji handlowej. Jeżeli organizacja nie potrafi go policzyć, nie wie, jak duża część płatności opiera się wyłącznie na zaufaniu do skrzynki i strony internetowej.