Prawidłowy wątek nie potwierdza płatności
Księgowość otrzymuje wiadomość w istniejącym wątku: „Zmieniliśmy bank, proszę zapłacić na rachunek z załącznika”. Nazwisko, stopka i numer zamówienia wyglądają znajomo. To nie wystarcza do zatwierdzenia zmiany. Atakujący może podszyć się pod kontrahenta albo korzystać z rzeczywiście przejętej skrzynki.
BEC, czyli oszustwo wykorzystujące korespondencję biznesową, nie musi zawierać wirusa ani błędów językowych. Dlatego kontrola powinna dotyczyć samej decyzji o płatności. Wiadomość o zmianie rachunku rozpoczyna weryfikację; nie jest jej zakończeniem, nawet gdy pochodzi od ważnego klienta.
Potwierdź zmianę niezależnym kanałem
Zadzwoń do znanej osoby, używając numeru zapisanego wcześniej w zatwierdzonej kartotece. Numer podany w podejrzanej wiadomości, jej stopce lub nowym załączniku nie jest niezależnym źródłem. Poproś o potwierdzenie zmiany i wskazanie właściwej osoby po stronie kontrahenta.
Jeżeli kontaktu nie można potwierdzić, wstrzymaj zmianę i eskaluj sprawę. W procedurze zapisz, kto może zaakceptować wyjątek i jakie dodatkowe dowody są wymagane. Sama odpowiedź na tego samego maila ani kolejne „potwierdzenie” w tym samym wątku nie rozwiązują problemu.
Rozdziel zmianę danych i zatwierdzenie przelewu
Ustal prosty obieg: jedna osoba rejestruje wniosek, druga sprawdza niezależne potwierdzenie i zatwierdza nowy rachunek. Przy płatności porównuje się dane z zatwierdzoną kartoteką, a nie wyłącznie z ostatnim PDF-em. Zapis zawiera datę, osobę kontaktową i sposób weryfikacji.
W bardzo małej firmie drugi kontrolujący może być właścicielem, ale nie powinien jedynie kliknąć akceptacji pod presją czasu. Musi zobaczyć, co się zmieniło i na czym oparto potwierdzenie. Tę samą regułę stosuj do zmiany danych już zaufanego dostawcy.
Obsłuż pilność i nieobecność decydenta
Przećwicz piątkowe popołudnie: kontrahent żąda natychmiastowej zapłaty, a osoba zatwierdzająca jest poza biurem. Bez przygotowanego zastępstwa pracownik będzie szukał skrótu. Ustal wcześniej alternatywnego zatwierdzającego i możliwość odroczenia płatności do wyjaśnienia.
Nie buduj procedury na rozpoznawaniu głosu lub stylu pisania prezesa. Prośba o poufność, obejście kontroli albo zmianę kanału komunikacji wymaga dodatkowej uwagi. Pracownik powinien móc powiedzieć „potrzebuję niezależnego potwierdzenia” bez ryzyka, że zostanie ukarany za opóźnienie podejrzanego przelewu.
Gdy przelew już wyszedł
Nie czekaj na zakończenie wewnętrznej analizy. Skontaktuj się z bankiem oficjalnym kanałem i zgłoś podejrzenie oszustwa, podając dane transakcji. Bank określi dostępne działania; nie zakładaj, że środki można na pewno odzyskać. Powiadom osobę odpowiedzialną za incydent i zabezpiecz dalsze płatności związane ze sprawą.
Zachowaj oryginalną wiadomość wraz z nagłówkami, załącznik, historię uzgodnień i potwierdzenie przelewu. Nie rozsyłaj podejrzanego załącznika szerokiemu gronu. O dalszych zgłoszeniach i kontakcie z kontrahentem decyduj na podstawie potwierdzonych faktów oraz właściwej procedury.
Sprawdź również skrzynki i proces
Jeśli możliwe jest przejęcie konta, administrator sprawdza sesje, metody logowania, reguły przekazywania i dostęp aplikacji. Zabezpieczenie skrzynki to osobna część pracy: zatrzymanie przelewu nie usuwa dostępu napastnika. Zweryfikuj również, czy podobne instrukcje nie trafiły do innych osób.
Po zdarzeniu odtwórz drogę decyzji. Czy kartoteka miała wiarygodny numer telefonu? Czy druga osoba widziała zmianę rachunku? Czy bankowe zatwierdzenie obejmowało porównanie danych? Wybierz konkretną poprawkę procesu i sprawdź ją na przykładzie, zamiast kończyć ogólnym apelem o większą ostrożność.
Źródła: FBI — Business Email Compromise · DfE Cyber Security Hub — Business email compromise playbook · USAID OIG — Business Email Compromise Scheme