Dostawca, z którym pracujesz od pięciu lat, wysyła fakturę jak co miesiąc. Ten sam adres e-mail, ta sama stopka, ten sam ton. Tylko numer rachunku w treści wiadomości jest inny — „prosimy o wpłatę na nowy numer, poprzednie konto jest w trakcie zamykania". Przelew idzie w piątek po południu. W poniedziałek dzwoni prawdziwy dostawca z pytaniem, kiedy zapłacicie. Wtedy dopiero orientujecie się, że pieniądze pojechały do kogoś zupełnie innego.
To nie jest hipotetyczny scenariusz. To najdroższy dziś typ ataku na MŚP, tzw. „business email compromise" — i w przeciwieństwie do phishingu z krzywym logo banku, tu nic nie wygląda podejrzanie. U jednego z naszych klientów, 30-osobowego podwykonawcy budowlanego ze Śląska, taka pojedyncza operacja kosztowała 187 000 zł. Odzyskali 62 000 zł, po miesiącach korespondencji z bankami i policją. Reszta przepadła.
Ten wpis nie jest o tym, żeby „przeszkolić ludzi z czujności". Czujność nie skaluje się. Ten wpis jest o tym, jak zbudować prostą procedurę, po której nawet zmęczony w piątek księgowy nie wyśle pieniędzy na zły numer.
Anatomia ataku
Współczesna wersja tego oszustwa wygląda zwykle tak. Napastnik włamuje się na skrzynkę pocztową Twojego dostawcy — najczęściej przez wykradzione hasło albo phishing, bez MFA. Przez kilka tygodni tylko czyta. Uczy się, jak dostawca pisze, jak podpisuje maile, kiedy wysyła faktury, kto po Waszej stronie je akceptuje. Wie już, że faktura idzie 25. dnia miesiąca do Anny z księgowości, i że Ania nie oddzwania — po prostu księguje.
Kiedy nadchodzi moment, napastnik wysyła prawdziwą fakturę z prawdziwej skrzynki, z jedną modyfikacją: numer rachunku. Czasem podmienia go w treści maila, czasem w PDF-ie. Czasem najpierw wysyła „grzeczny anons" tydzień wcześniej — „informujemy o zmianie rachunku bankowego" — na blankiecie firmowym, ze skanem podpisu prezesa. Potem faktura już z nowym kontem wygląda naturalnie.
Nie ma tu podejrzanej domeny. Nie ma dziwnego załącznika. SPF, DKIM, DMARC — wszystko się zgadza, bo mail naprawdę wychodzi z serwera dostawcy. Filtry antyphishingowe nie zareagują. To dlatego ten atak jest tak skuteczny: technicznie wszystko jest w porządku, tylko rzeczywistość została podmieniona.
Dlaczego procesy w MŚP tu zawodzą
W dużej korporacji zmiana danych rozliczeniowych dostawcy przechodzi przez zaopatrzenie, weryfikację w rejestrze kontrahentów, akceptację przełożonego. W MŚP z 20–40 osobami tego łańcucha zwykle nie ma. Faktura idzie mailem do księgowej, księgowa księguje, właściciel podpisuje przelew w bankowości elektronicznej — często bez patrzenia na numer, bo „to od Nowaka, płacimy mu od pięciu lat".
Trzy założenia, które zawodzą w praktyce:
- „Poznam po adresie e-mail, że to on" — atakujący pisze z jego adresu, bo ma dostęp do jego skrzynki.
- „Jak coś nie gra, dostawca zadzwoni" — nie zadzwoni, bo dla niego wszystko jest w porządku, faktura została wysłana normalnie.
- „Bank zablokuje podejrzany przelew" — nie zablokuje. Przelew na polskie konto, na kwotę zgodną z Waszą historią, nie wygląda dla banku podejrzanie.
Nie brakuje Wam „narzędzia do wykrywania". Brakuje jednego kroku w procesie: niezależnej weryfikacji zmiany numeru rachunku innym kanałem niż mail, w którym ta zmiana przyszła.
Procedura „callback": jedna zasada, którą trzeba wpisać w regulamin
Jedyna reguła, która działa i której napastnik nie ominie, brzmi tak: każda zmiana rachunku bankowego dostawcy musi być potwierdzona telefonicznie, na numer z bazy kontrahentów w Waszym ERP, a nie z podpisu w mailu.
W praktyce dla firmy 20–50 osobowej wygląda to następująco:
- Osoba wprowadzająca fakturę porównuje numer rachunku z tym, co jest w kartotece dostawcy w ERP (Comarch Optima, Subiekt, enova365 — obojętne).
- Jeśli numer się różni: przelew zostaje wstrzymany do czasu weryfikacji.
- Weryfikacja to telefon na numer dostawcy z Waszego CRM/ERP — nigdy z e-maila ani z pisma o zmianie konta. Rozmowa z konkretną osobą kontaktową, nie z ogólną sekretariatką.
- Po potwierdzeniu: zmiana rachunku w kartotece dostawcy w ERP, z krótkim komentarzem („zmiana potwierdzona telefonicznie 12.09.2026 z p. Kowalskim, +48 xxx xxx xxx").
- Dopiero teraz przelew wychodzi.
Do tego dwie mechaniki wspierające:
- Biała lista VAT w ERP — automatyczne sprawdzenie, czy nowy rachunek jest zgłoszony na białej liście. Jeśli nie jest, przelew idzie mimo wszystko na stary rachunek albo czeka do potwierdzenia. Comarch Optima, enova365 i Subiekt mają to od dawna, wystarczy włączyć.
- Progi kwotowe z dwoma parami oczu — dla przelewów powyżej np. 20 000 zł: podpis dwóch osób w bankowości elektronicznej. To nie kosztuje nic, a odcina większość ataków, bo drugi człowiek zwraca uwagę na inne rzeczy niż pierwszy.
To wszystko. Nie potrzebujecie SOC, EDR ani drogiego narzędzia „anti-BEC". Potrzebujecie jednego zdania w regulaminie i pola „numer rachunku potwierdzony przez" w karcie dostawcy.
Pierwsze 30 minut po wykryciu
Załóżmy, że mimo wszystko przelew poszedł. Liczy się każda minuta — dosłownie. Pieniądze najczęściej lądują na koncie „mułowym" i są z niego wypłacane albo przelewane dalej w ciągu godzin. Kolejność działań:
- Zadzwoń do swojego banku, na infolinię firmową, i poproś o „recall" przelewu (procedura odzyskania środków). Zapisz numer sprawy. Dla przelewów SEPA i krajowych szansa spada z każdą godziną — po 24 godzinach jest kilkuprocentowa.
- Zgłoś do banku odbiorcy (jeśli znasz z potwierdzenia przelewu) — bezpośrednio, prosząc o zablokowanie środków na koncie.
- Zgłoś na policję — dyżurny prokurator może wystawić postanowienie o zabezpieczeniu środków szybciej niż wynikałoby to z rutyny. Weź numer sprawy.
- Zgłoś do CSIRT NASK (incydent.cert.pl) — nawet jeśli to „tylko" pieniądze, incydent zostanie skorelowany z innymi zgłoszeniami i może pomóc namierzyć całą kampanię.
- Poinformuj prawdziwego dostawcę — jego skrzynka jest skompromitowana, każdy inny klient też jest zagrożony. To nie jest miłe zadanie, ale konieczne.
- Zmieńcie hasła do własnych skrzynek księgowości i zarządu i włączcie MFA wszędzie tam, gdzie go jeszcze nie ma. Jeśli atak dotarł do dostawcy, to samo może dotrzeć do Was.
W tej samej firmie ze Śląska szybki recall przez bank i zgłoszenie policyjne w ciągu 3 godzin zablokowały część środków na koncie mułowym, zanim zostały wypłacone. Reszta pojechała już poza granicę i przepadła. Bez tej pierwszej godziny odzyskane 62 000 zł też by nie wróciło.
Krótka checklista na ten tydzień
Nie musicie robić projektu na kwartał, żeby zamknąć to ryzyko. W tydzień da się zrobić minimum:
- Wpisać w regulamin wewnętrzny procedurę callback — jeden akapit, podpisany przez zarząd.
- Uzupełnić w ERP telefony kontaktowe do 10 największych dostawców (jeśli ich nie ma).
- Włączyć weryfikację białej listy VAT dla przelewów krajowych — jeśli używacie Comarch Optima albo enova365, to jest checkbox.
- Wprowadzić drugą osobę do akceptacji przelewów powyżej progu — kwota do ustalenia z zarządem, typowo 10–20 tys. zł dla firm 20–50 osobowych.
- Uruchomić MFA na skrzynkach księgowych i zarządu (jeśli jeszcze nie ma) — to zamyka drogę atakującym do zrobienia Wam tego samego.
- Krótkie, 15-minutowe spotkanie z księgowością, na którym pokazujecie realny przykład maila i mówicie: „od dziś każda zmiana rachunku — telefon z ERP, nie z maila".
To wszystko kosztuje kilka godzin pracy. Jeden nie-wysłany przelew do oszusta zwraca ten koszt w skali roku wielokrotnie.
Co dalej
Ataki na płatności do dostawców to nie jest problem, który zniknie z rynku — wprost przeciwnie, w ostatnich dwóch latach wyraźnie przyspieszyły. Napastnicy trafili, że MŚP mają wystarczające przepływy, żeby stracić kilkaset tysięcy w jednym przelewie, i wystarczająco proste procesy, żeby atak przeszedł.
Jeśli chcecie sprawdzić, jak wygląda Wasza procedura płatnicza i gdzie w niej są dziury — zamiast czekać, aż odezwie się fałszywy „Nowak", spójrzcie na to z boku. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
Czujność nie skaluje się. Skaluje się jedno pole w karcie dostawcy: „numer rachunku potwierdzony telefonicznie przez".