Phishing, oszustwo na prezesa i oszustwo na fałszywą fakturę
Moduł 1: Dlaczego Państwa firma jest celem · Czas czytania: 10 minut
Cel lekcji: Po tej lekcji będą Państwo potrafili rozpoznać sposób działania phishingu, oszustwa na prezesa i oszustwa na fałszywą fakturę (BEC) oraz wprowadzić procedurę płatności z weryfikacją przez oddzwonienie.
Kluczowe pojęcia: phishing, spear phishing, oszustwo na prezesa, oszustwo na fałszywą fakturę, Business Email Compromise, zasada czterech oczu, oddzwonienie na znany numer
Trzy odmiany tego samego oszustwa
Wszystkie trzy ataki opisane w tej lekcji opierają się na wprowadzeniu w błąd. Nikt nie włamuje się do komputera; nakłania się kogoś, by sam coś zrobił: kliknął link, wpisał hasło, przelał pieniądze. Nazywa się to inżynierią społeczną. Działa, ponieważ wykorzystuje zwyczajne ludzkie reakcje: chęć pomocy przełożonemu, terminowe opłacenie dostawcy, szybkie rozwiązanie problemu.
| Rodzaj | Czego chce atakujący | Typowa wiadomość |
|---|---|---|
| Phishing | Danych logowania, danych do płatności lub kliknięcia w złośliwe oprogramowanie | "Skrzynka pocztowa jest pełna, proszę się zalogować, aby zachować wiadomości" |
| Oszustwo na prezesa | Pilny przelew | "Jestem na spotkaniu, czy można to dziś jeszcze przelać? Proszę tego z nikim nie omawiać" |
| Oszustwo na fałszywą fakturę | Zapłata prawdziwej faktury na błędny numer konta | "Uwaga: nasz numer konta uległ zmianie" |
Oszustwo na prezesa i oszustwo na fałszywą fakturę mieszczą się razem pod angielskim pojęciem zbiorczym Business Email Compromise (BEC): oszustwo, w którym wykorzystywana jest firmowa poczta elektroniczna, a przestępca podszywa się pod kogoś innego.
Phishing i spear phishing
Phishing to wiadomość podająca się za zaufanego nadawcę, aby skłonić odbiorcę do działania, którego normalnie by nie podjął. Zazwyczaj chodzi o link do podrobionej strony logowania, na przykład rnijnbank.example (z "rn" zamiast "m"), lub o załącznik ze złośliwym oprogramowaniem. Zwykły phishing trafia jednocześnie do wielu osób, z ogólną treścią.
W przypadku spear phishingu wiadomość jest dopasowana do konkretnej osoby. Atakujący wykorzystuje imię i nazwisko, stanowisko, nazwisko prawdziwego współpracownika lub dostawcy, nazwę projektu, nad którym dana osoba pracuje. Te informacje znajduje na stronie internetowej firmy, w serwisie LinkedIn, w rejestrze KRS/CEIDG lub w wcześniej wykradzionej skrzynce pocztowej. Ponieważ wiadomość odpowiada temu, czego odbiorca się spodziewa, znacznie trudniej ją rozpoznać.
Błędy ortograficzne nie są już wiarygodną wskazówką. Dzięki programom tłumaczącym i generatorom tekstu AI oszust pisze bezbłędnie w dowolnym języku. W module 3 Państwo nauczą się rozpoznawać phishing po elementach, których oszust nie jest w stanie podrobić: po prawdziwej domenie linku i technicznym nadawcy wiadomości.
Oszustwo na prezesa
W przypadku oszustwa na prezesa osoba zajmująca się płatnościami otrzymuje wiadomość, która wygląda, jakby pochodziła od dyrektora lub właściciela firmy. Stałe cechy takich wiadomości to:
- Autorytet: to polecenie, a nie prośba.
- Poufność: "proszę nie omawiać tego jeszcze z nikim, chodzi o przejęcie firmy."
- Presja czasu: musi się to stać jeszcze dziś, zanim bank zamknie się na dzień.
- Adres nadawcy, który niemal się zgadza: na przykład
directie@example-com.example, który na pierwszy rzut oka przypomina własną domenę, albo adres prywatny "ponieważ jestem w podróży".
Czasem angażowany jest rzekomy "adwokat" lub "księgowy", który potwierdza polecenie; on również należy do oszustów. W ten sposób atakowane są też stowarzyszenia i małe firmy: skarbnik otrzymuje wiadomość od "prezesa".
Dlaczego to działa? Ponieważ w małej firmie wszyscy się znają i sobie ufają. Pracownik chce pomóc, a zachowanie poufności sprawia, że nie sprawdza sprawy u współpracownika. Poufność jest właśnie celem oszusta.
Oszustwo na fałszywą fakturę: zmienia się tylko numer IBAN
Oszustwo na fałszywą fakturę jest trudniejsze do rozpoznania, ponieważ faktura jest zazwyczaj prawdziwa. Kwota, numer zamówienia, logo, układ graficzny: wszystko się zgadza. Zmienia się tylko numer konta. Taka sytuacja może powstać na różne sposoby: faktura zostaje przechwycona i zmodyfikowana, pojawia się osobne pismo z informacją "nasz numer konta uległ zmianie", albo sama firma padła ofiarą włamania i oszust wysyła wiadomość z prawdziwej skrzynki pocztowej.
Ten ostatni przypadek jest szczególnie ważny do zrozumienia. Jeśli skrzynka pocztowa dostawcy leverancier.example została przejęta, wiadomość rzeczywiście pochodzi z właściwego adresu. Wszystkie kontrole techniczne (SPF, DKIM, DMARC, omówione w module 4) kończą się wynikiem pozytywnym. Oszust niekiedy śledzi zawartość skrzynki przez wiele tygodni, wie, które faktury są jeszcze nieopłacone, i wysyła swoją wiadomość dokładnie we właściwym momencie, w tym samym wątku korespondencji. Sprawdzenie adresu nadawcy nic w takiej sytuacji nie pomoże.
Bolesny szczegół: jeśli oszust otrzyma zapłatę, prawdziwemu dostawcy nadal co do zasady trzeba będzie zapłacić tę samą kwotę.
Przykład
Piekarnia Example zamawia nowy piec u dostawcy leverancier.example. Oferta, potwierdzenie zamówienia i faktura docierają bez zastrzeżeń. Dwa dni później, w tym samym wątku korespondencji, pojawia się taka wiadomość:
Szanowni Państwo, w związku ze zmianą banku nasz numer konta uległ natychmiastowej zmianie. Czy mogliby Państwo przelać fakturę za piec na nowy numer? Stary numer zostanie zamknięty w przyszłym tygodniu. Z poważaniem, Joost
Adres się zgadza, imię Joost się zgadza, numer zamówienia się zgadza. Jedynym elementem zdradzającym oszustwo jest sama prośba: zmiana numeru konta. To zawsze moment, w którym należy przeprowadzić weryfikację, a nigdy moment, w którym wystarczy zaufać samej wiadomości e-mail.
Procedura płatności, która temu zapobiega
Nie da się rozpoznać każdej fałszywej wiadomości. Można natomiast zadbać o to, by sama fałszywa wiadomość nie wystarczyła do zlecenia przelewu. Służy do tego kilka stałych zasad.
- Oddzwonienie na znany numer. Przy każdej zmianie numeru konta oraz przy każdej nietypowej prośbie o płatność należy zadzwonić do nadawcy. Nie na numer podany w wiadomości ani na fakturze, ponieważ ten również może być fałszywy, lecz na numer już wcześniej znany: z własnej dokumentacji księgowej, z umowy lub z oficjalnej strony internetowej wpisanej samodzielnie w przeglądarce.
- Brak odpowiedzi na tę samą wiadomość. Jeśli weryfikacja ma się odbyć drogą mailową, adres należy wpisać samodzielnie. Użycie funkcji "odpowiedz" może skierować wiadomość do oszusta, na przykład przez pole Reply-To wskazujące na inny adres (lekcja 3.3).
- Zasada czterech oczu. Płatności powyżej ustalonej kwoty, nowi odbiorcy i zmienione numery kont są kontrolowane przez dwie osoby. W jednoosobowej działalności oznacza to: stały czas oczekiwania i oddzwonienie przed dokonaniem płatności.
- Brak wyjątków przez e-mail lub czat. Dyrektor nigdy nie prosi mailem ani przez WhatsApp o pominięcie procedury. Należy to ustalić, również z samym dyrektorem. Wówczas każdy wie: wiadomość z prośbą o "ominięcie zwykłej drogi" jest z definicji podejrzana.
- Zapisywanie danych. Numer konta dostawcy znajduje się w księgowości firmy. Numer na każdej fakturze należy porównać z tym, który już wcześniej był zapisany. Od października 2025 banki w strefie euro sprawdzają przy przelewie, czy wpisana nazwa odbiorcy odpowiada numerowi konta (w języku angielskim Verification of Payee). Ostrzeżenie z tej usługi należy traktować poważnie. Wynik pozytywny oznacza jednak jedynie, że nazwa i numer konta są ze sobą powiązane, a nie że odbiorca jest uczciwy.
| Sytuacja | Działanie |
|---|---|
| Nowy numer konta istniejącego dostawcy | Oddzwonienie na znany numer, zgoda drugiej osoby |
| Pilna płatność na prośbę kierownictwa | Telefoniczne lub osobiste potwierdzenie, zwykłe zastosowanie procedury |
| Nowy dostawca, pierwsza faktura | Sprawdzenie danych w oficjalnym źródle, zgoda drugiej osoby |
| Faktura wyglądająca inaczej niż zazwyczaj | Weryfikacja przed dokonaniem płatności |
Gdy mimo wszystko dojdzie do oszustwa
Jeśli płatność została już dokonana i pojawiły się wątpliwości, liczy się każda godzina.
- Proszę natychmiast skontaktować się z bankiem i zapytać, czy płatność można wstrzymać lub odzyskać.
- Proszę zgłosić sprawę do CERT Polska przez https://incydent.cert.pl/ oraz złożyć zawiadomienie na Policji.
- Proszę ostrzec dostawcę: jeśli jego skrzynka pocztowa została przejęta, kolejni klienci również mogą otrzymywać fałszywe wiadomości.
- Jeśli wiadomość pochodziła z własnej skrzynki pocztowej lub skrzynki współpracownika, mogła ona zostać przejęta. Należy zmienić hasło, zakończyć aktywne sesje i sprawdzić reguły przekierowania wiadomości (lekcja 2.5 i 3.5).
Podsumowanie
- Phishing, oszustwo na prezesa i oszustwo na fałszywą fakturę to formy inżynierii społecznej: nakłaniają do samodzielnego działania.
- Spear phishing jest dopasowany do konkretnej osoby i dlatego znacznie bardziej przekonujący; błędy ortograficzne nie są już dobrą wskazówką.
- Oszustwo na prezesa opiera się na autorytecie, poufności i presji czasu.
- W oszustwie na fałszywą fakturę często zmienia się tylko numer IBAN, czasem z prawdziwej, zhakowanej skrzynki pocztowej dostawcy.
- Procedura płatności z oddzwonieniem na znany numer oraz zasadą czterech oczu powstrzymuje większość oszustw, nawet jeśli fałszywa wiadomość nie zostanie rozpoznana.
Quiz
Zadanie
Zadanie A1.2: Rozpoznaj oszustwo. Przedstawionych zostaje sześć krótkich wiadomości. Dla każdej z nich należy wskazać, czy prawdopodobnie jest to phishing, oszustwo na prezesa, oszustwo na fałszywą fakturę czy zwykła wiadomość, oraz jakie działanie należy podjąć. Program sprawdza odpowiedzi i podaje dla każdej wiadomości cechy, które można było zauważyć.
Zadanie D1.2: Własna procedura płatności. Proszę spisać procedurę płatności obowiązującą w firmie na jednej stronie A4: kiedy oddzwonić, na jaki numer, kto przeprowadza drugą kontrolę i od jakiej kwoty. Procedurę należy omówić z każdą osobą zajmującą się płatnościami.
Zadanie D1.2: Własna procedura płatności
Jak się do tego zabrać: (1) Proszę zapisać na jednej kartce A4, kiedy płatność wymaga dodatkowej kontroli: zmieniony numer konta, nowy odbiorca, kwota powyżej wybranego przez Państwa progu, pilne żądanie poza zwykłą procedurą. (2) Proszę zapisać, jak przebiega oddzwanianie: wyłącznie na numer z własnej dokumentacji, umowy lub oficjalnej strony internetowej wpisanej samodzielnie. (3) Proszę wyznaczyć drugą osobę, która będzie kontrolować płatności (w jednoosobowej działalności: stały czas oczekiwania, na przykład jedna noc). (4) Proszę ustalić z kierownictwem, że procedura nigdy nie jest pomijana przez e-mail lub czat. (5) Proszę omówić kartkę A4 z każdym, kto dokonuje płatności, i powiesić ją w widocznym miejscu.
Zaznaczenia i notatki pozostają tylko w tej przeglądarce; nie są nigdzie wysyłane. Po zalogowaniu w Moje kursy zapisywana jest jedynie informacja, że zadanie zostało wykonane.
Więcej informacji
Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców postępowanie wygląda podobnie.
- Czy ta wiadomość rzeczywiście pochodzi od WebOké? Jak rozpoznać phishing i skorzystać z kodu promocyjnego
- Wiadomości od ICANN lub rejestru dotyczące Państwa domeny: prawdziwe czy fałszywe i co należy zrobić?
- NIS2-richtlijn (EU) 2022/2555: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Komisja Europejska o dyrektywie NIS2: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
- ENISA: https://www.enisa.europa.eu/