„Szef” prosi o karty podarunkowe. Przysługa, która powinna poczekać

„Masz chwilę? Jestem na spotkaniu i nie mogę rozmawiać”. Po kilku wiadomościach pojawia się prośba: kup sześć kart podarunkowych dla klientów, zdrap pole z kodem i wyślij zdjęcia. Oczywiście pilnie i dyskretnie, bo to niespodzianka.

To brzmi jak drobna przysługa dla przełożonego. W rzeczywistości może być prostym oszustwem, w którym autorytet, pośpiech i chęć pomocy zastępują firmową ścieżkę zakupową. Nie potrzeba złośliwego pliku ani technicznej sztuczki — wystarczy, że rozmówca trafi na osobę, która nie chce zawieść szefa.

Dlaczego właśnie karty podarunkowe

Kod z karty działa prawie jak gotówka. Po jego przesłaniu oszust może szybko wykorzystać środki albo odsprzedać kod, nawet jeśli fizyczna karta nadal leży na biurku. Dlatego samo zdjęcie zdrapanego numeru i PIN-u wystarcza, by stracić pieniądze.

Firmy naprawdę kupują nagrody i upominki. Różnica tkwi w procesie. Prawdziwy zakup ma cel, akceptację, dokument księgowy i zwykle znanego dostawcę. Oszust próbuje przenieść rozmowę na prywatny komunikator, ominąć współpracowników i zamknąć ją, zanim ktokolwiek zada drugie pytanie.

Sygnały, przy których warto zrobić pauzę

Żaden pojedynczy element nie jest dowodem, ale ich połączenie tworzy znajomy schemat:

• wiadomość przychodzi z nowego numeru albo adresu podobnego do służbowego;
• rozmówca nie może odebrać telefonu, choć sprawa jest „bardzo pilna”;
• prosi o zachowanie tajemnicy lub pominięcie normalnej akceptacji;
• chce, aby pracownik wyłożył własne pieniądze i obiecuje późniejszy zwrot;
• najważniejsze są zdjęcia kodów, a nie same karty czy faktura;
• pojawia się irytacja, gdy prosisz o potwierdzenie innym kanałem.

Taki moment pauzy nie jest brakiem lojalności. To ochrona firmy i osoby, pod którą ktoś się podszywa.

Jedno zdanie, które przerywa scenariusz

Nie pytaj podejrzanego konta: „czy to naprawdę ty?”. Oszust odpowie, że tak. Zamiast tego skontaktuj się z przełożonym przez numer zapisany wcześniej, firmowy komunikator otwarty samodzielnie albo osobę z jego zespołu.

Możesz powiedzieć:

Jasne, pomogę po potwierdzeniu zgodnie z naszą procedurą zakupową. Zadzwonię na znany mi numer.

Nie musisz udowadniać oszustwa, prowadzić rozmówcy dalej ani go przechytrzać. Wystarczy zatrzymać zakup i zweryfikować prośbę poza kanałem, z którego przyszła.

Karty są kupione — co teraz

Jeżeli masz karty, ale nie wysłałeś kodów, nie zdrapuj ich i nie przesyłaj zdjęć. Zachowaj karty i paragony, powiadom przełożonego lub dział finansowy i sprawdź zasady zwrotu u sprzedawcy.

Jeśli kody zostały już przekazane:

1. natychmiast skontaktuj się z wystawcą każdej karty, zgłoś oszustwo i poproś o zablokowanie środków lub zwrot;
2. przygotuj numery kart, paragony i zapis rozmowy;
3. jeżeli płatność była kartą lub z konta, powiadom bank;
4. zgłoś zdarzenie w firmie, a następnie Policji lub właściwemu zespołowi reagowania zgodnie z procedurą organizacji;
5. jeśli podałeś hasło albo logowałeś się przez przesłany link, zmień hasło z zaufanego urządzenia i zakończ obce sesje.

Szybkość ma znaczenie, ale poczucie winy nie pomaga. Organizacja potrzebuje informacji, nie szukania winnego w pierwszych minutach.

Firma może ułatwić pracownikowi powiedzenie „chwila”

Procedura powinna chronić także przed presją ze strony autorytetu. Ustalcie, że zakupy kart podarunkowych wymagają drugiej akceptacji, a przełożony nie będzie miał pretensji o telefon weryfikacyjny. Warto też określić, czy prywatne wydatki pracowników mogą w ogóle służyć do pilnych zakupów firmowych.

Ćwiczenia z rozpoznawania oszustw powinny obejmować SMS-y i komunikatory, nie tylko pocztę. Najlepszym wynikiem nie jest zapamiętanie listy czerwonych flag, lecz odruch: pilna prośba finansowa plus nietypowy kanał oznacza niezależne potwierdzenie.

Źródło i nasz wniosek

Amerykańska Federalna Komisja Handlu w ostrzeżeniu z 2026 roku opisuje dokładnie ten scenariusz: rzekomy przełożony prosi o zakup kart i przesłanie numerów lub PIN-ów, a pracownik powinien sprawdzić prośbę znanym kanałem. FTC zaleca też zachowanie karty i paragonu oraz szybki kontakt z jej wystawcą po przekazaniu kodu.

To źródło potwierdza mechanizm oszustwa i działania po stracie. Rekomendacja o podwójnej akceptacji oraz kulturze bez obwiniania jest wnioskiem Breachroad wynikającym z pracy z procesami bezpieczeństwa w organizacjach.

Szerszy mechanizm podszywania się pod osoby decyzyjne opisujemy w artykule o oszustwie „na prezesa”. Zespołom, które chcą przećwiczyć spokojną weryfikację pod presją, pomagają szkolenia z cyberbezpieczeństwa i symulacje phishingu Breachroad.