Dostawca prosi o zmianę rachunku bankowego

Jeśli mają Państwo przed sobą wiadomość od dostawcy o zmianie danych rachunku bankowego, proszę się zatrzymać, zanim cokolwiek zostanie zmienione. Taka prośba to najczęstsza postać oszustwa fakturowego w Europie, a jej skuteczna wersja wcale nie wygląda podejrzanie.

Jedyna rzecz do zrobienia: zadzwonić pod numer, który mieli Państwo już wcześniej. Nie pod numer z tej wiadomości, nie z podpisu, nie z nowej faktury. Pod numer ze starej faktury, z systemu księgowego albo ze strony internetowej, na którą weszli Państwo samodzielnie. Wszystko poniżej wyjaśnia, dlaczego liczy się właśnie ten krok.

Dlaczego wiadomość wygląda całkowicie normalnie

Wersja tego oszustwa, która się udaje, to nie obcy z podobną domeną. To prawdziwa wiadomość z prawdziwej skrzynki prawdziwego dostawcy, ponieważ ktoś się do tej skrzynki dostał — zwykle przy użyciu hasła z niepowiązanego wycieku albo strony phishingowej, która przechwyciła je tygodnie wcześniej.

Będąc w środku, napastnik czyta wątek korespondencji. Widzi numery zamówień, terminy płatności, imię osoby, która zwykle pisze, i sposób, w jaki się podpisuje. Często czeka na wysłanie prawdziwej faktury, a potem odzywa się w tym samym wątku z nowymi danymi rachunku. Czasem ustawia regułę skrzynki, która ukrywa Państwa odpowiedzi przed prawdziwym dostawcą — dlatego „napisałem z pytaniem i potwierdzili” nie jest potwierdzeniem.

Oznacza to, że zwykłe kontrole wypadają pomyślnie:

• Domena nadawcy jest prawdziwa — to ich domena, więc SPF i DKIM przechodzą.
• Adres e-mail się zgadza, znak po znaku.
• Numer VAT na fakturze jest prawdziwy i zarejestrowany, bo to ich numer VAT.
• Historia wątku jest prawdziwa, bo to prawdziwy wątek.
• Nowy IBAN przechodzi sumę kontrolną, bo do odbioru pieniędzy otwarto działający rachunek.

Nic na fakturze nie jest podrobione. Zmienił się wyłącznie odbiorca.

Dlaczego telefon nie jest formalnością

Każda automatyczna kontrola odpowiada na pytanie o tożsamość: czy to prawdziwa firma, czy to prawdziwa rejestracja VAT, czy to poprawnie zbudowany numer rachunku. Żadna nie odpowiada na jedyne pytanie, które ma tu znaczenie, a które dotyczy upoważnienia: czy ta firma rzeczywiście poprosiła o wysłanie pieniędzy w nowe miejsce.

Żadne publiczne źródło danych na to nie odpowie. Własność rachunku bankowego nie jest w UE ani w Wielkiej Brytanii jawna, więc nic, co można sprawdzić, nie powie, na kogo rachunek jest prowadzony. Człowiek u dostawcy powie to w minutę.

Proszę użyć numeru, który mieli Państwo już wcześniej — w tym rzecz cała. Napastnik, który kontroluje skrzynkę, kontroluje też numer telefonu w podpisie wysłanej przez siebie wiadomości.

Co sprawdzić, czekając na oddzwonienie

Żadna z tych czynności nie zastępuje rozmowy. Są przydatne, bo czasem zamieniają „prawdopodobnie w porządku” w oczywistą odpowiedź, a kosztują minutę.

• Czy kraj IBAN zgadza się z krajem rejestracji dostawcy? Niemiecki dostawca, którego rachunek nagle jest w innym kraju, to fakt wart wymienienia podczas rozmowy. Często jest to niewinne — finansowanie grupowe, faktoring albo dostawca płatności w rodzaju Wise czy Revolut — ale warto powiedzieć to na głos. Zobacz kraj IBAN różni się od kraju VAT.
• Czy nazwa z rejestru zgadza się z nazwą na fakturze? Zobacz numer VAT jest poprawny, ale nazwa się różni.
• Czy domena jest dokładnie taka jak zawsze? Proszę przeczytać ją znak po znaku, od prawej do lewej. rn wygląda jak m, l wygląda jak I, a dodany lub usunięty łącznik jest niewidoczny, gdy już wiadomo, co słowo ma znaczyć.
• Czy domena egzekwuje DMARC? Jeśli nie, każdy może podrobić wysyłkę z niej, co poszerza wachlarz sposobów, którymi ta wiadomość mogła do Państwa trafić. Zobacz brak polityki DMARC.

Numer VAT, nowy IBAN i domenę można sprawdzić razem, w jednym zgłoszeniu, na stronie głównej.

Sygnały warte potraktowania poważnie

Żaden z nich nie jest dowodem, a ich brak nie jest uspokojeniem. Przesuwają one prawdopodobieństwo:

• Pośpiech powiązany ze zmianą. „Przed końcem miesiąca”, „stary rachunek jest zamknięty od dziś”, „płatność się nie powiodła, proszę wysłać ponownie”. Pośpiech istnieje po to, by powstrzymać Państwa przed telefonem.
• Zmiana, która przychodzi razem z fakturą, a nie jako osobne zawiadomienie z konta, które już Państwo znają.
• Prośba o zachowanie zmiany w tajemnicy albo o potwierdzenie jej w tym samym wątku e-mail zamiast jakimkolwiek innym kanałem.
• Reply-to różni się od From. Warto zajrzeć w nagłówki wiadomości, choć brak takiej różnicy nic nie znaczy, gdy przejęta została sama skrzynka.
• Kwota jest nietypowo okrągła albo nietypowo wysoka w stosunku do tego, co ten dostawca zwykle fakturuje.
• Pierwszy kontakt to zmiana rachunku. Dostawca, któremu nigdy wcześniej nie płacono, a którego pierwsza treściwa wiadomość zawiera nowe dane rachunku.

Jeśli płatność już wyszła

O wyniku decyduje szybkość, więc proszę zrobić to przed czymkolwiek innym.

1. Natychmiast zadzwonić do swojego banku i poprosić o próbę odzyskania środków. Czasem da się je zatrzymać w ciągu godzin; po dobie lub dwóch zwykle są nie do odzyskania. Warto użyć określenia „oszustwo z autoryzowaną płatnością push” — to sformułowanie kieruje do właściwego zespołu.
2. Zadzwonić do dostawcy pod znany numer, żeby dowiedział się, że jego skrzynka została przejęta. On także jest tu ofiarą, a inni jego klienci dostają dziś tę samą wiadomość.
3. Zgłosić sprawę. W Polsce — na policję, a incydent także do CERT Polska. W Wielkiej Brytanii — Action Fraud. Numer sprawy jest zwykle wymagany, zanim bank rozważy jakikolwiek zwrot.
4. Zachować wszystko — wiadomość z pełnymi nagłówkami, fakturę, potwierdzenie płatności oraz notatkę, z kim i kiedy Państwo rozmawiali.

W Wielkiej Brytanii zasady zwrotu przy oszustwach z autoryzowaną płatnością push zmieniły się w październiku 2024 roku i obejmują wiele przypadków, które wcześniej pozostawały bez rekompensaty. Warto zapytać bank wprost, zamiast zakładać cokolwiek w którąkolwiek stronę.

Jak sprawić, żeby się nie powtórzyło

Kontrola, która działa, jest zasadą, a nie nawykiem: zmiany danych bankowych są potwierdzane głosowo pod zapisanym numerem, za każdym razem, przez osobę inną niż ta, która otrzymała prośbę. Spisana, stosowana wobec wszystkich, bez wyjątków dla osób, które się lubi.

Numery telefonów dostawców proszę trzymać w systemie księgowym, a nie w skrzynce pocztowej, żeby numeru, pod który się dzwoni, nie mógł zmienić ten, kto wysłał wiadomość. A zmianę potwierdzoną wyłącznie mailem należy traktować jako niepotwierdzoną w ogóle — łącznie z odpowiedzią, która przyszła z właściwego adresu.