Wiadomość z poleceniem pilnego przelewu może wyglądać tak, jakby wysłał ją prezes, dyrektor finansowy albo stały dostawca. Jest napisana poprawnie, trafia do właściwej osoby i odwołuje się do prawdziwego projektu. Właśnie dlatego rodzaje oszustw BEC w firmach wymagają uwagi nie tylko działu IT. To ataki wymierzone w procesy biznesowe, zaufanie między pracownikami i presję czasu. Jeden zaakceptowany przelew lub nieostrożnie przekazana informacja może oznaczać stratę finansową, ujawnienie danych albo początek kolejnego incydentu.
Czym jest BEC i dlaczego jest groźny dla organizacji?
BEC, czyli Business Email Compromise, to oszustwo wykorzystujące firmową pocztę elektroniczną lub podszywanie się pod jej użytkownika. Celem atakującego nie musi być przejęcie systemu czy instalacja złośliwego oprogramowania. Często wystarczy skłonić człowieka do wykonania konkretnej czynności: zmiany numeru rachunku kontrahenta, opłacenia fałszywej faktury, udostępnienia dokumentów lub podania danych logowania.
W klasycznym phishingu odbiorca zwykle rozpoznaje masową wiadomość: przypadkowy temat, literówki, niepasujący nadawca. BEC jest bardziej precyzyjny. Przestępca analizuje strukturę firmy, nazwy stanowisk, relacje z dostawcami i obieg dokumentów. Może wykorzystywać informacje z publicznych źródeł, wcześniejszej korespondencji lub skrzynki przejętej po wyłudzeniu hasła.
Dla zarządu, finansów, HR i compliance to ryzyko operacyjne, a nie wyłącznie techniczne. Skutki obejmują utracone środki, przestoje związane z wyjaśnianiem sprawy, ryzyko naruszenia ochrony danych osobowych oraz obciążenie reputacyjne. W organizacjach objętych wymaganiami NIS2 istotne jest również wykazanie, że pracownicy rozumieją zagrożenia i potrafią reagować zgodnie z ustaloną procedurą.
Najczęstsze rodzaje oszustw BEC w firmach
Fałszywe polecenie od prezesa lub dyrektora
To jeden z najbardziej rozpoznawalnych scenariuszy. Przestępca podszywa się pod członka zarządu, dyrektora lub właściciela firmy i zleca pilny przelew. Czasem korzysta z adresu podobnego do firmowego, różniącego się pojedynczym znakiem. Innym razem przejmuje prawdziwe konto i prowadzi korespondencję z właściwej skrzynki.
Wiadomość ma wywołać presję: „jestem na spotkaniu”, „nie dzwoń, potrzebuję dyskrecji”, „przelew musi wyjść przed końcem dnia”. Taki komunikat omija naturalny odruch weryfikacji. Atakujący liczy na to, że pracownik uzna autorytet nadawcy za wystarczający powód do odstąpienia od procedury.
Oszustwo fakturowe i zmiana rachunku kontrahenta
W tym wariancie atakujący informuje o zmianie numeru konta dostawcy. Wiadomość może zawierać prawdziwe dane firmy, numer faktury, nazwę projektu i podpis osoby, z którą księgowość rzeczywiście koresponduje. Zmienia się tylko jeden element: rachunek bankowy, na który ma trafić płatność.
Szczególnie narażone są przedsiębiorstwa przetwarzające wiele faktur, współpracujące z licznymi podwykonawcami albo realizujące projekty z napiętymi terminami. Sama kontrola poprawności faktury nie wystarcza. Zmiana danych płatniczych powinna zawsze uruchamiać niezależne potwierdzenie, na przykład telefon do znanego wcześniej przedstawiciela kontrahenta. Numeru nie należy brać z podejrzanej wiadomości ani z załączonej do niej stopki.
Przejęcie korespondencji z dostawcą
To bardziej zaawansowana odmiana oszustwa fakturowego. Przestępca uzyskuje dostęp do skrzynki jednej ze stron i przez pewien czas obserwuje wymianę wiadomości. Włącza się do rozmowy w momencie, gdy zbliża się płatność, i podaje nowe dane rozliczeniowe.
Taki atak bywa trudny do wykrycia, ponieważ korespondencja jest prowadzona w prawdziwym wątku e-mail. Odbiorca widzi historię ustaleń, właściwe nazwy plików oraz język używany przez kontrahenta. Dlatego reguła oddzwonienia przy zmianie rachunku ma znaczenie nawet wtedy, gdy wiadomość wygląda bez zarzutu.
Wyłudzenie danych kadrowych i płacowych
Ataki BEC nie zawsze dotyczą przelewów firmowych. Przestępca może podszyć się pod pracownika i wysłać do HR prośbę o zmianę rachunku do wypłaty, przekazanie formularzy kadrowych lub przesłanie zestawienia wynagrodzeń. Może też udawać osobę z zarządu, która potrzebuje pilnie listy pracowników, danych kontaktowych czy dokumentów dotyczących rekrutacji.
W tym przypadku stawką są dane osobowe i poufne informacje. Ich ujawnienie może prowadzić do kolejnych prób oszustwa, kradzieży tożsamości oraz konieczności analizy, czy doszło do naruszenia ochrony danych. Pracownik HR powinien mieć jasność, że pilność prośby nie zastępuje potwierdzenia tożsamości wnioskodawcy.
Podszycie się pod dział IT lub administratora
Przestępca może wystąpić jako informatyk, dostawca poczty albo administrator systemu i zażądać podania kodu wieloskładnikowego uwierzytelniania, hasła lub kliknięcia w stronę rzekomej aktualizacji. Celem jest przejęcie skrzynki firmowej. Gdy to się uda, atakujący zyskuje narzędzie do prowadzenia wiarygodnych oszustw BEC wobec kolejnych osób i kontrahentów.
Ten scenariusz pokazuje, dlaczego bezpieczeństwo poczty, silne uwierzytelnianie i świadomość użytkowników muszą działać razem. Nawet dobra konfiguracja techniczna nie pomoże, jeżeli pracownik przekaże kod potwierdzający osobie podszywającej się pod wsparcie IT.
Co łączy skuteczne oszustwa BEC?
Najlepsze oszustwa BEC nie przypominają filmowego włamania. Są spokojne, wiarygodne i dopasowane do kontekstu firmy. Wykorzystują trzy mechanizmy: autorytet, pośpiech oraz zmianę zwykłego procesu. Nadawca ma być osobą, której nie wypada kwestionować. Termin ma ograniczać czas na zastanowienie. A nietypowa dyspozycja ma zostać potraktowana jako jednorazowy wyjątek.
Sygnałem ostrzegawczym nie musi być błąd językowy. Częściej będzie nim prośba o zachowanie tajemnicy, zmiana danych do przelewu, nietypowy kanał kontaktu, nowy odbiorca płatności albo żądanie pominięcia drugiej osoby w procesie akceptacji. Warto uczyć zespół, że rozpoznawanie tych sygnałów nie jest brakiem zaufania do przełożonego. Jest realizacją odpowiedzialności za firmowe środki i dane.
Jak ograniczyć ryzyko błędnego przelewu lub wycieku danych?
Najważniejsza jest procedura, która nie zależy od indywidualnej oceny sytuacji przez jednego pracownika. Każda zmiana rachunku kontrahenta, dyspozycja płatności poza standardowym obiegiem oraz prośba o przekazanie danych wrażliwych powinny wymagać weryfikacji innym kanałem. Może to być telefon, komunikator firmowy lub rozmowa osobista, ale tylko z wykorzystaniem wcześniej potwierdzonych danych kontaktowych.
W obszarze finansów dobrze sprawdza się zasada dwóch par oczu. Osoba przygotowująca przelew nie powinna być jedyną osobą, która zatwierdza nowego odbiorcę czy zmianę rachunku. W małej firmie, gdzie rozdzielenie ról jest trudniejsze, można ustanowić obowiązkową akceptację właściciela dla transakcji przekraczających określony próg lub dla każdej zmiany danych płatniczych.
Należy też zadbać o praktyczne zgłaszanie podejrzanych wiadomości. Pracownik powinien wiedzieć, komu przekazać e-mail, czego nie usuwać oraz jakie informacje zachować. Szybkie zgłoszenie daje szansę na sprawdzenie, czy wiadomość trafiła do większej liczby osób, czy konto nadawcy mogło zostać przejęte i czy konieczne jest ostrzeżenie kontrahenta.
Szkolenie powinno odnosić się do realnych stanowisk. Księgowość potrzebuje scenariuszy dotyczących faktur i rachunków bankowych, HR – danych kadrowych, a kadra zarządzająca – prób podszywania się pod partnerów biznesowych. Uniwersalna prezentacja o phishingu nie zawsze przygotuje pracownika do decyzji podejmowanej pod presją konkretnej sytuacji.
Co zrobić po otrzymaniu podejrzanej wiadomości?
Nie należy odpowiadać na wiadomość, klikać w załączniki ani korzystać z podanego w niej numeru telefonu. Trzeba zweryfikować prośbę przez znany, niezależny kanał i zgłosić ją osobie odpowiedzialnej za bezpieczeństwo, IT lub przełożonemu zgodnie z firmową procedurą.
Jeżeli przelew został już wykonany, czas ma kluczowe znaczenie. Należy natychmiast powiadomić bank, przełożonych i osoby odpowiedzialne za obsługę incydentu. Próba odzyskania środków oraz zabezpieczenie dowodów są skuteczniejsze, gdy organizacja działa szybko i nie ukrywa błędu z obawy przed oceną.
Odporność na BEC buduje się wtedy, gdy pracownik może przerwać nietypową dyspozycję bez obawy, że zostanie uznany za mało elastycznego. Właśnie taka kultura weryfikacji chroni firmę w chwili, gdy fałszywy e-mail wygląda niemal identycznie jak prawdziwy.
