Kontrahent zmienił rachunek na fakturze? Jeden telefon może uratować przelew

Faktura wygląda znajomo. Logo się zgadza, nazwa opiekuna też, a w treści jest nawet fragment wcześniejszej korespondencji. Różni się tylko numer rachunku i krótka uwaga: „Od tego miesiąca prosimy kierować płatności na nowe konto”. Termin mija dziś, więc księgowość ma naturalny odruch, by po prostu wykonać przelew.

Właśnie ten moment wykorzystują oszuści. Nie muszą włamywać się do banku ani tworzyć technicznie skomplikowanego ataku. Wystarczy, że przekonają jedną osobę, iż zmiana jest zwykłym elementem współpracy. Czasem podszywają się pod dostawcę, czasem przejmują prawdziwą skrzynkę, a czasem dołączają do istniejącego wątku. Dlatego sama poprawna polszczyzna, zgodne logo i historia rozmowy nie są dowodem autentyczności.

Co zrobić przed zleceniem przelewu

Zatrzymaj płatność na kilka minut. Nie odpowiadaj od razu na wiadomość i nie korzystaj z numeru telefonu podanego w niej ani na nowej fakturze. Otwórz kartę kontrahenta w systemie księgowym, poprzednią umowę albo wcześniejszą, zweryfikowaną fakturę. Zadzwoń do znanej osoby pod numer, który firma miała już wcześniej.

Pytanie powinno być konkretne: czy zmieniliście rachunek, od kiedy obowiązuje i czy ta faktura została przez was wystawiona? Jeśli opiekun handlowy nie odpowiada, skontaktuj się z centralą lub działem finansowym dostawcy przez dane z jego oficjalnej strony. Brak możliwości potwierdzenia nie oznacza, że faktura jest fałszywa. Oznacza, że płatność powinna poczekać.

Potwierdzenie e-mailem w tym samym wątku nie wystarcza. Jeżeli skrzynka kontrahenta została przejęta, odpowiedź może napisać ta sama osoba, która podmieniła rachunek. Bezpieczna weryfikacja wykorzystuje drugi, niezależny kanał.

Rozmowa kontrolna bez ujawniania odpowiedzi

Nie pytaj: „Czy nowy rachunek kończy się na 4821?”. Oszust może po prostu potwierdzić. Poproś rozmówcę, aby sam podał końcowe cyfry, nazwę banku lub numer faktury. W przypadku większej płatności warto, aby zmianę potwierdziły dwie znane osoby po stronie dostawcy, zwłaszcza gdy kontakt jest nowy albo wyjaśnienie brzmi nietypowo.

Zapisz w systemie, kto potwierdził zmianę, kiedy odbyła się rozmowa i z jakiego numeru skorzystano. Nie chodzi o tworzenie biurokracji. Chodzi o to, aby kolejna osoba nie musiała zaczynać od zera i aby firma potrafiła wykazać, jak podjęła decyzję.

Sygnały, które powinny zatrzymać płatność

Najbardziej podejrzany jest nie pojedynczy błąd językowy, lecz połączenie zmiany finansowej z presją. Zwróć uwagę, gdy:

rachunek zmienia się tuż przed terminem zapłaty;
nadawca prosi o pominięcie zwykłej procedury albo zachowanie poufności;
konto jest w innym kraju, walucie lub banku bez biznesowego uzasadnienia;
nazwa domeny różni się jedną literą od prawdziwej;
rozmówca odmawia telefonu i nalega wyłącznie na e-mail;
na fakturze zmieniły się również dane kontaktowe;
wiadomość przyszła w prawdziwym wątku, ale jej ton lub prośba są nietypowe;
ktoś przekonuje, że brak przelewu natychmiast zatrzyma dostawę albo spowoduje karę.

Żaden z tych sygnałów osobno nie przesądza o oszustwie. Razem uzasadniają wstrzymanie płatności i ponowną weryfikację.

Biała lista VAT pomaga, ale nie zamyka sprawy

Przy polskich rozliczeniach sprawdzenie rachunku na białej liście podatników VAT jest ważnym elementem procesu podatkowego. Nie zastępuje jednak potwierdzenia z kontrahentem. Obecność rachunku w rejestrze nie odpowiada na pytanie, czy wiadomość faktycznie wysłała uprawniona osoba i czy wskazane konto dotyczy tej konkretnej relacji oraz płatności.

Tak samo pieczęć, podpis w stopce czy skan pisma nie wystarczają. Te elementy można skopiować z wcześniejszych dokumentów. Najważniejsza jest zgodność zmiany z niezależnie potwierdzoną decyzją dostawcy.

Jak firma powinna obsługiwać zmianę rachunku

Dobra procedura może zmieścić się na jednej stronie. Każda zmiana danych płatniczych powinna mieć:

zgłoszenie zapisane w systemie, a nie tylko w skrzynce jednej osoby;
potwierdzenie przez znany wcześniej kanał;
zasadę dwóch par oczu przed pierwszym przelewem na nowy rachunek;
odnotowanie osoby i czasu weryfikacji;
dodatkową kontrolę przy płatnościach powyżej ustalonego progu;
komunikat do dostawcy, że firma stosuje taką procedurę wobec wszystkich zmian.

Ostatni punkt jest ważny dla relacji. Pracownik nie powinien przepraszać za weryfikację ani sugerować kontrahentowi nieuczciwości. Można powiedzieć: „Mamy stałą zasadę, że każdą zmianę rachunku potwierdzamy telefonicznie. Chroni to obie strony”. Rzetelny dostawca zwykle przyjmie to ze zrozumieniem.

Mała firma też potrzebuje rozdzielenia ról

W kilkuosobowej organizacji nie zawsze da się zbudować wieloetapowy obieg akceptacji. Nadal można rozdzielić decyzję od wykonania. Osoba, która otrzymała fakturę, weryfikuje zmianę, a właściciel lub druga osoba porównuje rachunek przed przelewem. Jeśli jedna osoba pełni wszystkie role, niech przynajmniej zrobi przerwę, wróci do dokumentu i przeprowadzi telefon kontrolny poza e-mailem.

Warto też ustalić zasadę, że bankowy szablon odbiorcy nie jest nadpisywany na podstawie pojedynczej wiadomości. Nowy rachunek można dodać jako osobny wpis z datą i notatką o weryfikacji. Dzięki temu historia pozostaje czytelna.

Co zrobić, jeśli przelew już wyszedł

Nie czekaj na odpowiedź kontrahenta i nie próbuj najpierw samodzielnie „wyjaśnić sprawy” z nadawcą. Natychmiast skontaktuj się z bankiem przez oficjalny numer, poinformuj o podejrzeniu oszustwa i poproś o próbę zatrzymania lub odzyskania środków. Czas ma znaczenie, nawet jeśli przelew widnieje już jako wykonany.

Zachowaj fakturę, oryginalną wiadomość, pełny wątek, dane rachunku, potwierdzenie przelewu i oś czasu. Nie usuwaj e-maila ani nie przesyłaj go tylko jako zrzutu ekranu, jeżeli zespół IT może potrzebować oryginalnych nagłówków. Powiadom osobę odpowiedzialną za finanse, bezpieczeństwo lub zarząd oraz prawdziwego kontrahenta niezależnym kanałem. Firma powinna też zgłosić sprawę organom ścigania i właściwemu zespołowi reagowania zgodnie z wewnętrzną procedurą.

Jeśli wiadomość wyszła z prawdziwej skrzynki dostawcy lub pracownika, trzeba potraktować to również jako możliwe przejęcie konta: zabezpieczyć dostęp, zakończyć podejrzane sesje, sprawdzić reguły pocztowe i przejrzeć inne rozmowy dotyczące płatności.

Nie szukaj winnego w księgowości

Oszustwa na zmianę rachunku są projektowane tak, aby wyglądały jak zwykła praca. Publiczne obwinianie osoby, która wykonała przelew, zmniejsza szansę, że kolejny pracownik szybko zgłosi wątpliwość. Firma potrzebuje kultury, w której wolno zatrzymać płatność, zadzwonić do dostawcy i powiedzieć „to może być oszustwo”, bez obawy o karę za fałszywy alarm.

Szkolenie powinno obejmować nie tylko rozpoznawanie fałszywego adresu. Pracownicy finansów, zakupów, sprzedaży i zarząd powinni przećwiczyć dokładnie moment zmiany rachunku: gdzie znaleźć stary kontakt, kto zatwierdza wyjątek i co zrobić po przelewie.

Fakty źródłowe i rekomendacje Breachroad

FBI opisuje Business Email Compromise jako oszustwo wykorzystujące wiadomości wyglądające jak pochodzące z zaufanego źródła. Jednym z podanych scenariuszy jest faktura od znanego dostawcy z uaktualnionymi danymi do płatności. FBI zaleca niezależne potwierdzanie zmian rachunku i instrukcji płatniczych przez znany numer kontaktowy oraz natychmiastowy kontakt z instytucją finansową po wysłaniu pieniędzy.

Zasada dwóch par oczu, zapis weryfikacji w systemie, progi dodatkowej kontroli i sposób prowadzenia rozmowy są rekomendacjami Breachroad. Powinny być dopasowane do wielkości firmy i wartości płatności. Więcej wariantów opisujemy w poradniku o oszustwie BEC i podszywaniu się pod prezesa. Taki proces można przećwiczyć na realistycznych przykładach podczas szkolenia z cyberbezpieczeństwa dla pracowników.