„Zmieniliśmy bank, proszę o przelew na nowe konto”. Skąd wiesz, że pisze to klient?

Pani Aniu, dziękuję za wczorajszą informację o ugodzie. Proszę o przelew na nasz nowy rachunek: [26 cyfr]. Stary zamykamy w tym tygodniu. Jestem dziś w rozjazdach i słabo mnie słychać, więc zostańmy przy mailu. Pozdrawiam, Tomasz

Ten mail wymyśliliśmy, podobnie jak Anię z sekretariatu i Tomasza, klienta kancelarii. Nie ma w nim literówki, linku ani załącznika. Jest wczorajszy wątek, znany podpis i adres nadawcy zgodny co do znaku. Są też dwa sygnały, które warto zauważyć: pośpiech i prośba, żeby nie dzwonić. Ich brak niczego by jednak nie potwierdził.

Adres może się zgadzać, bo to naprawdę skrzynka Tomasza, tylko pisze z niej ktoś inny. CSIRT KNF opisuje taki atak (BEC) jako przejęcie firmowej poczty albo podszycie się pod nadawcę, a CBZC opisuje grupę, która przejmowała pocztę i obserwowała korespondencję między firmami. Kto ma dostęp do skrzynki, zna też wątek o ugodzie.

Dlatego wygląd maila nie wystarcza, żeby zatwierdzić zmianę rachunku. Zadaj inne pytanie: kto potwierdził ten numer poza tą wiadomością? Jeśli nikt, przelew czeka. Kancelaria powinna ustalić to raz, zawczasu, żeby Ania nie musiała decydować pod presją terminu, czy wysłać pieniądze.

Przelew już wyszedł? Zadzwoń natychmiast do banku na numer z jego oficjalnej strony, aplikacji lub karty. Dalsze kroki znajdziesz w części „Gdy przelew już wyszedł”.

Dlaczego odpowiedź na maila niczego nie potwierdza

Pierwszy odruch to napisać: „Panie Tomaszu, czy to na pewno Pan?”. Odpowiedź trafi do tej samej skrzynki, a prawdziwy Tomasz może jej nawet nie zobaczyć. Wśród objawów przejęcia konta Microsoft wymienia reguły, które automatycznie przekazują pocztę na obce adresy albo przenoszą wiadomości, na przykład do spamu. Potwierdzenie zmiany pod numerem ze stopki lub załącznika nadal opiera się na danych z tego samego maila. Dlatego Europol radzi nie korzystać z danych kontaktowych z wiadomości, która prosi o zmianę.

Procedura na jedną kartkę

Ta sama zasada przyda się przy zmianie rachunku klienta, właściciela lokalu, biura rachunkowego czy dostawcy oprogramowania. Stosuj ją przy każdej zmianie numeru, także gdy wiadomość nie budzi podejrzeń. Kolejna płatność na wcześniej potwierdzony rachunek nie wymaga powtarzania całej rozmowy. Zabezpieczenia poczty kancelarii nie potwierdzają dyspozycji wysłanej z cudzej skrzynki.

To nasza propozycja do dostosowania. Uzupełnij nawiasy i daj osobom, które przygotowują i zatwierdzają przelewy.

Zmiana rachunku. Zatwierdza: [osoba], zastępstwo: [osoba], IT: [telefon], bank: [oficjalny numer infolinii].

1. Wstrzymaj płatność na nowy rachunek. Nie zmieniaj jeszcze danych odbiorcy. Nie odpowiadaj na wiadomość, nie klikaj linków i nie otwieraj załączników.
2. Znajdź kontakt zapisany wcześniej. Numer z umowy, pełnomocnictwa albo kontaktów kancelarii sprzed tej wiadomości, nie ze stopki ani z załącznika. Jeśli takiego nie masz, ustal inną niezależną drogę, na przykład spotkanie.
3. Wybierz znany numer i zadzwoń. Jeśli druga strona dzwoni pierwsza, rozłącz się i oddzwoń na znany numer. Znajomy głos nie wystarcza, bo przestępcy mogą używać fałszywych nagrań głosu. Rozmawiaj z klientem albo znaną osobą uprawnioną do potwierdzenia zmiany rachunku. Powiedz: „Dostaliśmy maila o zmianie rachunku. Przy każdej takiej zmianie dzwonimy. Czy potwierdza Pan lub Pani tę zmianę? Proszę przeczytać mi pełny numer z Państwa dokumentów, nie z maila”. Zapisz numer i porównaj wszystkie cyfry.
4. Brak kontaktu albo potwierdzenia? Płatność czeka. Powiadom osobę zatwierdzającą. Zgoda partnera na przelew nie zastępuje niezależnego potwierdzenia numeru. Jeśli rozmówca zaprzecza albo dane się nie zgadzają, nie usuwaj maila i zadzwoń do IT.
5. Przy firmie sprawdź też wykaz podatników VAT. Wyszukaj po numerze rachunku i porównaj przypisany podmiot z właściwym odbiorcą. Brak wyniku nie przesądza o oszustwie, a zgodny wynik nie zastępuje rozmowy.
6. Zapisz potwierdzenie. Pełny potwierdzony numer rachunku, dane odbiorcy, data i godzina rozmowy, wybrany numer telefonu, imię i nazwisko rozmówcy, kto dzwonił i kto zatwierdził zmianę.
7. Sprawdź przygotowany przelew. Dopiero teraz zmień dane odbiorcy. Druga osoba porównuje numer w przelewie z numerem z notatki, nie z mailem. W praktyce jednoosobowej porównaj oba numery przed zatwierdzeniem przelewu.

Formuła „przy każdej takiej zmianie dzwonimy” mówi klientowi, że to zasada kancelarii. Ludzie naprawdę zmieniają banki, a taki telefon zajmuje kilka minut.

Jak zgłosić podejrzaną wiadomość

Zgłoś ją IT tak, jak ustaliliście w kancelarii. Nie rozsyłaj jej po zespole i nie usuwaj ręcznie. Jeśli takich ustaleń nie ma albo podejrzewasz przejęcie własnej skrzynki, zadzwoń do IT. Odczytanie nagłówków, czyli technicznych danych o nadawcy i trasie wiadomości, zostaw IT.

Na przyszłość ustalcie, dokąd trafia zgłoszenie. W Microsoft 365 przycisk „Zgłoś” w Outlooku przekazuje je do wyznaczonej skrzynki, do Microsoftu albo w oba miejsca, zależnie od ustawień, a wiadomość zgłoszona jako phishing jest usuwana. Trzeba więc wiedzieć, jak zachowujecie oryginał z nagłówkami.

PILNE: podejrzana zmiana numeru konta
Skrzynka: [adres, na który przyszło]
Nadawca w mailu: [nazwa i adres], otrzymano: [data, godzina]
Sprawa: [klient lub kontrahent], kwota: [kwota], termin: [data]
Przelew: nie wyszedł / wyszedł [godzina, bank]
Telefon pod znany numer: [kto, kiedy, wynik]
Co zrobiono: tylko przeczytano / otwarto załącznik / kliknięto link / podano hasło lub kod
Prośba: zachowajcie kopię wiadomości z nagłówkami i sprawdźcie, czy nasza skrzynka nie ma obcych reguł i przekierowań. Kontakt: [telefon]

Taką wiadomość, w całości z nagłówkami, można też przekazać CERT Polska przez formularz zgłoszeń, jeśli nie narusza to poufności.

Gdy przelew już wyszedł

1. Bank, od razu. Zadzwoń na oficjalną infolinię banku i powiedz, że podejrzewasz oszustwo. Podaj dane przelewu: kwotę, datę i godzinę oraz numer rachunku odbiorcy. Zapytaj o wstrzymanie lub odwołanie przelewu, próbę odzyskania pieniędzy i pilny kontakt z bankiem odbiorcy. Policja przypomina, że odzyskanie pieniędzy nie jest gwarantowane.
2. Prawdziwy odbiorca i IT. Zaraz po banku zadzwoń do Tomasza na znany numer i zgłoś sprawę IT. Nie odkładaj tego do zakończenia reklamacji ani wizyty na policji.
3. Dowody. Nic nie usuwaj. Zachowaj maila, potwierdzenie przelewu, numer rachunku odbiorcy, datę, godzinę, kwotę i notatki z rozmów.
4. Policja lub prokuratura i reklamacja. Złóż zawiadomienie policji lub prokuraturze oraz reklamację w banku. Nie czekaj z zawiadomieniem na wynik reklamacji. Nie musisz znać sprawcy.
5. CERT Polska. Zgłoś sprawę przez incydent.cert.pl. To nie zastępuje banku ani policji.

Sprawdź też, czy ubezpieczenie kancelarii obejmuje takie zdarzenia i jak zgłasza się szkodę.

Samo wpisanie nazwiska Tomasza w przelewie nie daje pewności, że pieniądze trafią do niego. Przy przelewie z rachunku bankowego o prawidłowym wykonaniu zlecenia decyduje co do zasady numer rachunku, bez względu na inne podane informacje (art. 143 ustawy o usługach płatniczych). Dodatkową kontrolą jest weryfikacja odbiorcy, która przed autoryzacją porównuje nazwę z numerem rachunku. Unijne przepisy przewidują tę kontrolę przy zwykłych i natychmiastowych przelewach w euro. Dostawcy usług płatniczych w Polsce mają ją oferować najpóźniej od 9 lipca 2027 r. KIR informuje o pracach nad zastosowaniem jej także przy przelewach w złotych. Jeśli bank pokazuje niezgodność, wstrzymaj płatność i wyjaśnij rozbieżność. Zgodność danych nie potwierdza jednak, że klient rzeczywiście zlecił zmianę.

Uważaj też na drugie uderzenie. Policja ostrzega przed osobami, które po oszustwie podają się za pracowników banku albo firmy odzyskujące pieniądze. Nie płać im z góry, nie podawaj kodów i nie instaluj na ich prośbę programu do zdalnego dostępu.

Jeśli Tomasz mówi: „Nie wysyłałem”

Powiedz mu, co przyszło, i poproś, żeby zgłosił sprawę swojej obsłudze IT. Zgłoś ją także u siebie: przestępca mógł poznać wątek z każdej ze skrzynek.

Jeśli przejęto skrzynkę kancelarii

Wtedy fałszywa prośba o przelew mogła wyjść od Was. Zadzwoń do IT, poproś o pilne odcięcie obcego dostępu i zachowanie śladów zdarzenia. Microsoft zaleca sprawdzenie logowań do konta i wiadomości wysłanych w okresie podejrzanej aktywności. Wyznacz osobę, która koordynuje kontakt z odbiorcami.

Dzwoń od razu do znanych odbiorców fałszywych dyspozycji. Korzystaj z numerów zapisanych wcześniej. Nie czekaj na koniec sprawdzania skrzynki. Powiedz, której wiadomości dotyczy ostrzeżenie, poproś o wstrzymanie płatności na wskazany w niej rachunek i ustal, czy przelew już wyszedł. Jeśli tak, odbiorca powinien natychmiast zadzwonić do swojego banku. Zapisz, kogo ostrzeżono i z jakim wynikiem.

Równolegle oceń, czy obcy dostęp do korespondencji klientów jest naruszeniem ochrony danych osobowych. Administrator ma na zgłoszenie do UODO 72 godziny od jego stwierdzenia, chyba że ryzyko dla osób jest mało prawdopodobne. Każde stwierdzone naruszenie udokumentuj w wewnętrznym rejestrze. Przy wysokim ryzyku dla praw lub wolności osób oceń też obowiązek zawiadomienia ich o naruszeniu.

Na przyszłość dopisz w umowie lub w pierwszym mailu do klienta: „Nigdy nie zmieniamy numeru konta wyłącznie mailem. Jeśli dostaną Państwo taką wiadomość, prosimy zadzwonić na numer kancelarii zapisany przy rozpoczęciu współpracy”. Inne sposoby ochrony poczty opisujemy w przeglądzie bezpieczeństwa IT kancelarii.

Ania wybiera numer zapisany w umowie i czeka, aż Tomasz przeczyta cyfry. Może usłyszy: „Tak, zmieniliśmy bank”. Może: „Jaki mail?”. Napisać jak Tomasz potrafi każdy, kto dostał się do jego skrzynki. Dopiero ta rozmowa mówi Ani, czy w ogóle zmieniać dane do przelewu.