Każdą zmianę numeru rachunku na fakturze potwierdź niezależnym kanałem, zanim zlecisz przelew. Zadzwoń na znany wcześniej numer kontrahenta, porównaj dane z zamówieniem i dopiero potem zatwierdź płatność. Prawidłowe logo, podpis oraz znajomy adres e-mail nie wystarczają, ponieważ oszust może korzystać z przejętej skrzynki prawdziwej firmy.

To zagrożenie dotyczy zarówno małych działalności, jak i większych przedsiębiorstw. Nie wymaga skomplikowanego włamania do banku. Wystarczy przekonać uprawnioną osobę, aby sama wysłała pieniądze na niewłaściwy rachunek. Dobrze zaprojektowana procedura płatności powinna zatrzymywać taki błąd także wtedy, gdy pracownik ma dużo dokumentów i niewiele czasu.

Na czym polega oszustwo na fakturę?

Podmiana rachunku to jeden ze scenariuszy Business Email Compromise, czyli BEC. Przestępca podszywa się pod dostawcę, przełożonego albo pracownika odpowiedzialnego za rozliczenia. Może wysłać nową fakturę, poprawiony załącznik lub krótką wiadomość informującą o zmianie banku. Celem jest przekierowanie rzeczywistej płatności do innego odbiorcy.

KNF opisuje również warianty obejmujące pilne polecenie prezesa, fałszywe zobowiązanie czy zmianę konta do wypłaty wynagrodzenia. Wspólny element to wykorzystanie zaufania do osoby, a nie tylko do dokumentu. Dlatego zabezpieczenie nie powinno ograniczać się do oglądania pliku PDF.

Aktualność problemu potwierdza komunikat Prokuratury Krajowej z 12 sierpnia 2026 r. dotyczący śledztwa w sprawie przejmowania firmowej poczty i ingerowania w faktury, zwłaszcza w numery rachunków. To opis zarzutów i mechanizmu badanego postępowania, a nie prawomocne rozstrzygnięcie winy wskazanych osób.

Dlaczego znajomy adres nadawcy może zmylić?

W prostszym wariancie oszust używa podobnej domeny lub dowolnie ustawionej nazwy nadawcy. W bardziej niebezpiecznym przejmuje istniejące konto i włącza się do prawdziwej rozmowy. Zna zamówienie, kwoty i osoby uczestniczące w transakcji. Nowa wiadomość pasuje wtedy do wcześniejszej korespondencji.

Sprawdzaj pełny adres e-mail, ale traktuj to jako pierwszy filtr. Odpowiedź „proszę potwierdzić rachunek” wysłana w tym samym wątku może wrócić od tego samego przestępcy. Podobnie numer telefonu dopisany do podejrzanej wiadomości nie jest niezależnym potwierdzeniem. Potrzebujesz kontaktu zapisanego wcześniej lub pozyskanego z wiarygodnego źródła.

Presja czasu dodatkowo osłabia kontrolę. Zwroty o blokadzie dostawy, poufnej transakcji albo nieobecnym dyrektorze mają uzasadnić pominięcie zwykłych zasad. Firma powinna przyjąć odwrotną logikę: im bardziej nietypowe polecenie, tym ważniejsza dodatkowa weryfikacja.

Jak sprawdzić numer konta przed przelewem?

Zacznij od dokumentów, które już posiadasz: zamówienia, umowy i kartoteki dostawcy. Porównaj nie tylko kwotę, lecz także nazwę podmiotu, identyfikator podatkowy, zakres usługi i rachunek. Zmiana jednej pozycji wymaga wyjaśnienia, nawet jeśli pozostałe dane są poprawne.

Następnie skontaktuj się z osobą uprawnioną po stronie kontrahenta. Powiedz, że otrzymałeś nowy rachunek i potrzebujesz potwierdzenia zmiany przed płatnością. Nie sugeruj, że samo potwierdzenie odebrania wiadomości zamyka sprawę. Zapisz, kto zweryfikował dane, kiedy i jakim kanałem.

Przy nowym partnerze warto dodatkowo ustalić jego tożsamość i sposób reprezentacji. Informacje z CEIDG pomagają rozpoznać przedsiębiorcę, ale sam wpis nie dowodzi, że konkretna prośba o przelew pochodzi właśnie od niego.

Weryfikacja rachunku z NIP w Wykazie podatników VAT jest kolejną warstwą kontroli. Nie zastępuje jednak sprawdzenia zamówienia ani potwierdzenia zmiany. Nie każda sytuacja gospodarcza mieści się w zakresie tego wykazu, a brak wyniku trzeba wyjaśnić, zamiast automatycznie uznawać go za dowód przestępstwa.

Jedna procedura dla kilku sygnałów ostrzegawczych

Poniższa tabela jest propozycją organizacji pracy, a nie katalogiem obowiązków ustawowych. Można dostosować ją do wielkości firmy, zachowując niezależność potwierdzenia.

Oddziel zmianę danych od zatwierdzenia przelewu

Praktycznym rozwiązaniem jest rozdzielenie dwóch czynności. Jedna osoba aktualizuje kartotekę kontrahenta po potwierdzeniu zmiany, a druga zatwierdza płatność. Kontrola powinna obejmować to, co się zmieniło, a nie tylko sprawdzenie, czy na fakturze widnieje podpis lub pieczątka.

W jednoosobowej firmie nie zawsze da się zapewnić dwie osoby. Można jednak oddzielić te etapy w czasie i użyć krótkiej listy kontrolnej: dokument, potwierdzenie rachunku, zgodność kwoty, autoryzacja. Właściciel nie powinien robić wyjątku tylko dlatego, że sam otrzymał wiadomość od znajomego dostawcy.

Przy współpracy z biurem rachunkowym ustal, kto faktycznie odpowiada za płatności. Organizacja księgowości w JDG i spółce może wyglądać inaczej, ale w obu przypadkach niejasny podział zadań tworzy lukę. Księgowanie faktury i zatwierdzanie nowego numeru konta to odrębne decyzje.

KSeF nie zastępuje kontroli zasadności faktury

Dokument otrzymany w systemie nadal trzeba powiązać z rzeczywistą transakcją. Samo pojawienie się faktury w KSeF nie powinno uruchamiać automatycznej zapłaty bez sprawdzenia dostawy, usługi i danych odbiorcy pieniędzy. Zmiana kanału dostarczenia dokumentu nie usuwa potrzeby biznesowej akceptacji kosztu.

Ministerstwo Finansów udostępniło w kwietniu 2026 r. funkcję zgłaszania faktur podejrzewanych o oszustwo lub nadużycie. W Aplikacji Podatnika wybiera się dokument, jego szczegóły i opcję zgłoszenia nadużycia, a następnie uzasadnia podejrzenie. Zgłoszenie do administracji nie zastępuje pilnego kontaktu z bankiem, gdy przelew został już wysłany.

Dlatego przy przygotowaniu firmy do KSeF warto od razu zaprojektować również akceptację zakupów. Program może sprawnie dostarczać dokumenty, lecz nie zna wszystkich ustaleń handlowych ani tego, czy wykonano zamówione prace.

Zabezpiecz pocztę, ale nie polegaj tylko na technologii

CERT Polska zaleca ostrożność wobec załączników, kontrolę pełnego adresu nadawcy i potwierdzanie nietypowego rachunku przed płatnością. Dokument wymagający włączenia aktywnej zawartości albo ignorowania ostrzeżeń powinien zatrzymać pracę, a nie skłaniać do szukania sposobu obejścia komunikatu.

Włącz uwierzytelnianie wieloskładnikowe i stosuj unikalne hasła. Ograniczaj dostęp do skrzynek finansowych, aktualizuj oprogramowanie i odbieraj uprawnienia po zakończeniu współpracy. Jeżeli pojawia się podejrzenie przejęcia konta, administrator powinien sprawdzić również sesje, reguły pocztowe i przekazywanie wiadomości.

Nawet dobre zabezpieczenia techniczne nie zastąpią zgody na zadawanie pytań. Pracownik musi mieć prawo wstrzymać nietypową płatność bez obawy, że zostanie ukarany za opóźnienie. W przeciwnym razie presja przełożonego może zadziałać skuteczniej niż szkolenie z cyberbezpieczeństwa.

Pieniądze już wysłano: co zrobić?

Niezwłocznie skontaktuj się z bankiem przez oficjalny kanał i zgłoś podejrzenie oszustwa. Przekaż kwotę, numer rachunku, czas zlecenia oraz potwierdzenie transakcji. Zapytaj o możliwość wstrzymania przelewu lub podjęcia próby odzyskania środków. Nie zakładaj, że zrealizowany przelew można zawsze cofnąć.

Zachowaj wiadomości, załączniki, nagłówki i historię rozmów. Powiadom prawdziwego kontrahenta niezależnym kanałem, aby ograniczyć kolejne płatności na podmieniony rachunek. Zawiadom Policję lub prokuraturę, a incydent techniczny zgłoś CERT Polska. Zgłoszenie cyberzagrożenia nie zastępuje zawiadomienia o przestępstwie.

Nie czekaj z reakcją na wyjaśnienie wszystkich szczegółów wewnątrz firmy. Pierwszy kontakt z bankiem może nastąpić równolegle ze zbieraniem materiałów. Ustal jedną osobę koordynującą działania, aby informacje nie rozchodziły się w sprzecznych wersjach i nie ginęły w wielu wątkach.

Jak wdrożyć zasadę, która zadziała także w pośpiechu?

Zacznij od prostej reguły: nowy lub zmieniony rachunek wymaga niezależnego potwierdzenia. Wskaż miejsce przechowywania zweryfikowanych kontaktów, odpowiedzialną osobę i jej zastępcę. Przećwicz przykład fałszywej wiadomości na testowym materiale, bez realizowania prawdziwej płatności.

Po ćwiczeniu sprawdź, czy procedura była wykonalna: czy numer kontaktowy był dostępny, czy pracownik wiedział, komu zgłosić wątpliwość i czy akceptujący przelew zobaczył zmianę rachunku. Jeśli odpowiedź brzmi nie, popraw organizację procesu zamiast dopisywać kolejną ogólną instrukcję o zachowaniu ostrożności.

Warto ustalić również zasady wyjątków. Jeżeli osoba uprawniona u dostawcy jest nieosiągalna, płatność powinna poczekać na weryfikację lub przejść wyraźnie określoną ścieżkę eskalacji. Brak odpowiedzi nie jest potwierdzeniem. Nie zastępuj rozmowy wysłaniem małej kwoty próbnej na nowy rachunek: taki przelew pokazuje jedynie, że konto przyjmuje pieniądze, a nie że należy do właściwego kontrahenta.

Osobno kontroluj dane podczas kopiowania numeru do bankowości. Nawet prawidłowo zweryfikowana kartoteka nie pomoże, jeśli przelew zostanie przygotowany z innego załącznika. Osoba autoryzująca powinna widzieć rachunek, kwotę i uzasadnienie płatności. Przy płatnościach zbiorczych zwracaj szczególną uwagę na nowych odbiorców oraz zmiany względem poprzedniego zestawienia, zamiast zatwierdzać całą paczkę wyłącznie na podstawie sumy.

Źródła

Ministerstwo Cyfryzacji: „Oszustwa typu BEC”.

Komisja Nadzoru Finansowego: „Business e-mail compromise”.

CERT Polska: „Uważaj na fałszywe załączniki!”.

Ministerstwo Finansów: „Zgłaszanie faktur scamowych”, 28 kwietnia 2026 r.

Prokuratura Krajowa: komunikat o oszustwach z wykorzystaniem przejętej poczty firmowej, 12 sierpnia 2026 r.

Policja Mazowiecka: „Przelałeś pieniądze oszustowi? Liczy się każda minuta!”, październik 2026 r.

Biznes.gov.pl: „Jak sprawdzić kontrahenta”. Materiały sprawdzono 31 października 2026 r. Tabela i wskazówki organizacyjne są opracowaniem własnym.