Telefon od rzekomego banku, dostawcy systemu IT albo członka zarządu może trwać zaledwie kilka minut. To wystarczy, aby pracownik podał kod autoryzacyjny, zatwierdził przelew lub ujawnił informacje pomocne w kolejnym etapie ataku. Przykłady oszustw telefonicznych pokazują, że przestępcy nie muszą przełamywać zabezpieczeń technicznych, gdy potrafią skutecznie wykorzystać pośpiech, zaufanie i rutynę zespołu.
Dla organizacji taki incydent nie jest wyłącznie problemem osoby, która odebrała telefon. Skutki mogą obejmować stratę środków, dostęp do skrzynki pocztowej, wyciek danych klientów, przestój operacyjny oraz konieczność obsługi zgłoszeń i analiz po incydencie. Szczególne ryzyko występuje tam, gdzie pracownicy obsługują płatności, dane osobowe, zamówienia, konta administracyjne lub kontaktują się z dużą liczbą klientów.
Dlaczego oszustwo telefoniczne bywa skuteczne
Atak telefoniczny, nazywany też vishingiem, ma jedną przewagę nad wiadomością e-mail: rozmowa wymaga natychmiastowej reakcji. Oszust może na bieżąco odpowiadać na wątpliwości, zmieniać argumenty i budować presję. Gdy słyszymy pewny głos, nazwisko przełożonego lub nazwę znanego dostawcy, łatwo założyć, że sprawa jest prawdziwa.
Przestępcy często przygotowują się do rozmowy. Z publicznych źródeł, mediów społecznościowych, stron firmowych i wcześniejszych wycieków mogą poznać strukturę organizacji, imiona pracowników, używane narzędzia czy nazwy realizowanych projektów. Taka wiedza sprawia, że rozmowa brzmi wiarygodnie, choć jej celem jest skłonienie odbiorcy do pominięcia procedury.
Najczęściej wykorzystywane mechanizmy są proste: pilność, autorytet, strach przed blokadą konta albo chęć pomocy komuś z zespołu. Komunikat typu „proszę działać teraz, bo płatność przepadnie” ma ograniczyć czas na spokojne sprawdzenie faktów.
Przykłady oszustw telefonicznych, które dotyczą firm
Fałszywy telefon z banku
Dzwoni osoba przedstawiająca się jako pracownik działu bezpieczeństwa banku. Informuje o podejrzanej transakcji, rzekomym przejęciu rachunku albo konieczności zablokowania karty firmowej. Następnie prosi o podanie loginu, hasła, kodu SMS, kodu z aplikacji mobilnej lub o zatwierdzenie operacji „anulującej”.
W rzeczywistości kod autoryzacyjny może zatwierdzać przelew przygotowany przez przestępcę. Bank nie powinien oczekiwać podania pełnego hasła ani kodu służącego do autoryzacji dyspozycji podczas niespodziewanej rozmowy. Pracownik nie powinien też oddzwaniać na numer wskazany przez rozmówcę. Bezpieczniej samodzielnie wybrać numer banku zapisany w firmowej dokumentacji, na karcie lub oficjalnej stronie instytucji.
Podszywanie się pod dział IT lub dostawcę systemu
W tym scenariuszu rozmówca twierdzi, że wykrył infekcję komputera, nietypowe logowanie do konta Microsoft 365 albo błąd w systemie księgowym. Może poprosić o instalację programu do zdalnego pulpitu, wejście na podaną stronę, podanie kodu jednorazowego lub potwierdzenie logowania wieloskładnikowego.
Celem nie zawsze jest natychmiastowe przejęcie urządzenia. Czasem przestępca chce tylko uzyskać dostęp do poczty, a następnie obserwować korespondencję dotyczącą faktur i płatności. Z perspektywy firmy to szczególnie groźne, ponieważ przejęta skrzynka może posłużyć do podszywania się pod pracownika w kontaktach z kontrahentami.
Prawdziwy dział IT może kontaktować się w sprawie awarii, ale organizacja powinna jasno określić, jak taki kontakt wygląda. Pracownik musi wiedzieć, że ma prawo przerwać rozmowę i potwierdzić ją przez wewnętrzny kanał, bez obawy, że utrudnia pracę technikom.
„Pilny” przelew na polecenie prezesa
Pracownik działu finansowego odbiera telefon od osoby podającej się za członka zarządu lub dyrektora. Głos może być podobny do głosu przełożonego, a numer telefonu sfałszowany. Rozmówca przekonuje, że trwa poufna transakcja, a przelew trzeba wykonać poza standardowym obiegiem akceptacji.
Warianty tego oszustwa bywają coraz bardziej przekonujące. Przestępca może znać nazwę projektu, dane spółki zależnej czy planowaną podróż służbową osoby decyzyjnej. Może też zażądać dyskrecji, tłumacząc ją tajemnicą negocjacji. To właśnie prośba o pominięcie kontroli, presja czasu i zakaz konsultacji powinny uruchomić alarm.
W procedurze płatności warto przyjąć zasadę, że nawet polecenie przekazane przez osobę z najwyższym stanowiskiem podlega niezależnemu potwierdzeniu. Nie chodzi o brak zaufania do zarządu, lecz o ochronę organizacji i samego pracownika przed manipulacją.
Zmiana rachunku bankowego dostawcy
Oszuści podszywają się pod kontrahenta i informują, że zmienił numer konta, ponieważ trwa audyt, reorganizacja banku albo „aktualizacja danych”. Telefon bywa poprzedzony e-mailem z fałszywą fakturą lub może przygotowywać grunt pod późniejszą wiadomość.
Samo potwierdzenie telefoniczne nie wystarcza, jeśli numer wybrał lub podał rozmówca. Zmianę danych płatniczych należy zweryfikować przez znany kanał kontaktu z dostawcą, najlepiej z udziałem osoby, która wcześniej obsługiwała relację handlową. W wielu firmach rozsądne jest również wymaganie drugiej osoby zatwierdzającej modyfikację rachunku w systemie finansowym.
Fałszywa weryfikacja pracownika lub klienta
Przestępca może zadzwonić do recepcji, HR, obsługi klienta albo sekretariatu i podać się za pracownika, kandydata, kuriera czy przedstawiciela urzędu. Pozornie niewinne pytania o numer telefonu, stanowisko, nieobecność konkretnej osoby, strukturę zespołu lub wykorzystywane oprogramowanie pomagają budować kolejne ataki.
Ten typ rozmowy rzadko kończy się natychmiastową stratą pieniędzy. Jest jednak rozpoznaniem, które ułatwia późniejsze podszycie się pod wiarygodną osobę. Dlatego także pracownicy pierwszej linii powinni rozumieć, że dane organizacyjne i osobowe nie są neutralną informacją dla każdego dzwoniącego.
Numer na ekranie nie potwierdza tożsamości
Identyfikator połączenia można sfałszować. Telefon może wyświetlić numer banku, infolinii, kontrahenta, a nawet wewnętrzny numer firmowy. To zjawisko, znane jako spoofing numeru, wykorzystuje nasze przyzwyczajenie do traktowania ekranu telefonu jako dowodu.
Nie oznacza to, że każde połączenie z nieznanego numeru jest oszustwem. Oznacza natomiast, że numer nie może być jedynym elementem weryfikacji. Tożsamość należy potwierdzać w kanale niezależnym od rozmówcy: przez numer z firmowego katalogu, znaną osobę kontaktową, system zgłoszeń lub wcześniej ustalone hasło do komunikacji z dostawcą.
Co pracownik powinien zrobić podczas podejrzanej rozmowy
Najskuteczniejsza reakcja nie wymaga technicznej wiedzy. Wymaga zgody organizacji na to, by pracownik mógł zatrzymać proces. Dobrym standardem jest krótkie zdanie: „Nie wykonuję takich dyspozycji podczas połączenia przychodzącego. Zweryfikuję sprawę i oddzwonię przez znany kanał”.
Po zakończeniu rozmowy należy zachować numer, godzinę połączenia, nazwisko użyte przez rozmówcę i najważniejsze żądania. Następnie warto zgłosić sprawę do wyznaczonego zespołu IT, bezpieczeństwa lub przełożonego. Jeśli pracownik podał dane, kliknął wskazany link, zainstalował aplikację albo zatwierdził logowanie, nie powinien ukrywać błędu. Szybkie zgłoszenie daje szansę na zmianę haseł, wylogowanie sesji, blokadę transakcji i ograniczenie szkód.
Przydatne są cztery proste zasady, które zespół powinien umieć zastosować bez zastanowienia:
- nie podawaj haseł, kodów jednorazowych ani danych logowania w rozmowie przychodzącej;
- nie instaluj oprogramowania i nie udostępniaj ekranu na polecenie niezweryfikowanego rozmówcy;
- nie zmieniaj danych do płatności bez potwierdzenia przez niezależny, znany kanał;
- przerwij rozmowę, gdy pojawia się presja, poufność lub prośba o ominięcie procedury.
Procedury są potrzebne, ale nie zastąpią ćwiczeń
Nawet dobrze opisana procedura nie pomoże, jeśli pracownik zobaczy ją pierwszy raz po incydencie. Oszustwa telefoniczne są skuteczne dlatego, że występują w zwykłym rytmie pracy: między spotkaniami, w trakcie obsługi klienta, podczas końca miesiąca czy w chwili nieobecności przełożonego.
Dlatego szkolenie powinno wykorzystywać scenariusze właściwe dla danej organizacji. Dział finansowy potrzebuje ćwiczyć weryfikację dyspozycji i zmian rachunków. HR powinien rozpoznawać próby pozyskiwania danych pracowników. Rejestracja w placówce medycznej ma inne ryzyka niż sekretariat szkoły, a pracownik produkcji inaczej korzysta z telefonu niż administrator systemów.
Równie istotna jest postawa menedżerów. Jeżeli lider nagradza natychmiastowe działanie bez pytania o kontrolę, zwiększa podatność zespołu na presję. Jeżeli natomiast jasno komunikuje, że weryfikacja jest oczekiwana także przy pilnych sprawach, buduje odporność organizacyjną.
Dobrze przygotowany pracownik nie musi rozpoznać każdego triku stosowanego przez oszustów. Powinien umieć rozpoznać moment, w którym ktoś próbuje odebrać mu czas na sprawdzenie faktów. To właśnie wtedy jedno spokojne „oddzwonię przez oficjalny numer” może ochronić pieniądze, dane i reputację całej organizacji.
