# Dostawca prosi o zmianę rachunku bankowego

> Wiadomość wygląda normalnie, nadawca się zgadza, faktura pasuje. To najczęstsza postać oszustwa fakturowego i sposób, by rozpoznać ją w dziesięć minut.

Canonical: https://vetthisvendor.com/pl/guide/supplier-changed-bank-details
Published: 2026-08-04. Updated: 2026-09-09.
Author: Jose Pollman, VetThisVendor.

Jeśli mają Państwo przed sobą wiadomość od dostawcy o zmianie danych rachunku bankowego,
proszę się zatrzymać, zanim cokolwiek zostanie zmienione. Taka prośba to najczęstsza postać
oszustwa fakturowego w Europie, a jej skuteczna wersja wcale nie wygląda podejrzanie.
Jeśli prośba przyszła e-mailem, [sprawdzanie e-maila od dostawcy](/pl/tools/supplier-email-check) odczyta tę wiadomość w Twojej przeglądarce i powie, czy naprawdę pochodzi z domeny Twojego dostawcy.

**Jedyna rzecz do zrobienia: zadzwonić pod numer, który mieli Państwo już wcześniej.** Nie
pod numer z tej wiadomości, nie z podpisu, nie z nowej faktury. Pod numer ze starej
faktury, z systemu księgowego albo ze strony internetowej, na którą weszli Państwo
samodzielnie. Wszystko poniżej wyjaśnia, dlaczego liczy się właśnie ten krok.

## Dlaczego wiadomość wygląda całkowicie normalnie

Wersja tego oszustwa, która się udaje, to nie obcy z podobną domeną. To **prawdziwa
wiadomość z prawdziwej skrzynki prawdziwego dostawcy**, ponieważ ktoś się do tej skrzynki
dostał — zwykle przy użyciu hasła z niepowiązanego wycieku albo strony phishingowej, która
przechwyciła je tygodnie wcześniej.

Będąc w środku, napastnik czyta wątek korespondencji. Widzi numery zamówień, terminy
płatności, imię osoby, która zwykle pisze, i sposób, w jaki się podpisuje. Często czeka na
wysłanie prawdziwej faktury, a potem odzywa się w tym samym wątku z nowymi danymi rachunku.
Czasem ustawia regułę skrzynki, która ukrywa Państwa odpowiedzi przed prawdziwym dostawcą —
dlatego „napisałem z pytaniem i potwierdzili” nie jest potwierdzeniem.

Oznacza to, że zwykłe kontrole wypadają pomyślnie:

- **Domena nadawcy jest prawdziwa** — to ich domena, więc SPF i DKIM przechodzą.
- **Adres e-mail się zgadza**, znak po znaku.
- **Numer VAT na fakturze jest prawdziwy i zarejestrowany**, bo to ich numer VAT.
- **Historia wątku jest prawdziwa**, bo to prawdziwy wątek.
- **Nowy IBAN przechodzi sumę kontrolną**, bo do odbioru pieniędzy otwarto działający
  rachunek.

Nic na fakturze nie jest podrobione. Zmienił się wyłącznie odbiorca.

## Dlaczego telefon nie jest formalnością

Każda automatyczna kontrola odpowiada na pytanie o *tożsamość*: czy to prawdziwa firma, czy
to prawdziwa rejestracja VAT, czy to poprawnie zbudowany numer rachunku. Żadna nie
odpowiada na jedyne pytanie, które ma tu znaczenie, a które dotyczy *upoważnienia*: czy ta
firma rzeczywiście poprosiła o wysłanie pieniędzy w nowe miejsce.

Żadne publiczne źródło danych na to nie odpowie. Własność rachunku bankowego nie jest w UE
ani w Wielkiej Brytanii jawna, więc nic, co można sprawdzić, nie powie, na kogo rachunek
jest prowadzony. Człowiek u dostawcy powie to w minutę.

Proszę użyć numeru, który mieli Państwo już wcześniej — w tym rzecz cała. Napastnik, który
kontroluje skrzynkę, kontroluje też numer telefonu w podpisie wysłanej przez siebie
wiadomości.

## Co sprawdzić, czekając na oddzwonienie

Żadna z tych czynności nie zastępuje rozmowy. Są przydatne, bo czasem zamieniają
„prawdopodobnie w porządku” w oczywistą odpowiedź, a kosztują minutę.

- **Czy kraj IBAN zgadza się z krajem rejestracji dostawcy?** Niemiecki dostawca, którego
  rachunek nagle jest w innym kraju, to fakt wart wymienienia podczas rozmowy. Często jest
  to niewinne — finansowanie grupowe, faktoring albo dostawca płatności w rodzaju Wise czy
  Revolut — ale warto powiedzieć to na głos. Zobacz
  [kraj IBAN różni się od kraju VAT](/pl/guide/iban-country-mismatch).
- **Czy nazwa z rejestru zgadza się z nazwą na fakturze?** Zobacz
  [numer VAT jest poprawny, ale nazwa się różni](/pl/guide/vat-name-mismatch).
- **Czy domena jest dokładnie taka jak zawsze?** Proszę przeczytać ją znak po znaku, od
  prawej do lewej. `rn` wygląda jak `m`, `l` wygląda jak `I`, a dodany lub usunięty
  łącznik jest niewidoczny, gdy już wiadomo, co słowo ma znaczyć.
- **Czy domena egzekwuje DMARC?** Jeśli nie, każdy może podrobić wysyłkę z niej, co
  poszerza wachlarz sposobów, którymi ta wiadomość mogła do Państwa trafić. Zobacz
  [brak polityki DMARC](/pl/guide/no-dmarc-policy).

Numer VAT, nowy IBAN i domenę można sprawdzić razem, w jednym zgłoszeniu, na
[stronie głównej](/pl).

## Sygnały warte potraktowania poważnie

Żaden z nich nie jest dowodem, a ich brak nie jest uspokojeniem. Przesuwają one
prawdopodobieństwo:

- **Pośpiech powiązany ze zmianą.** „Przed końcem miesiąca”, „stary rachunek jest zamknięty
  od dziś”, „płatność się nie powiodła, proszę wysłać ponownie”. Pośpiech istnieje po to,
  by powstrzymać Państwa przed telefonem.
- **Zmiana, która przychodzi razem z fakturą**, a nie jako osobne zawiadomienie z konta,
  które już Państwo znają.
- **Prośba o zachowanie zmiany w tajemnicy** albo o potwierdzenie jej w tym samym wątku
  e-mail zamiast jakimkolwiek innym kanałem.
- **Reply-to różni się od From.** Warto zajrzeć w nagłówki wiadomości, choć brak takiej
  różnicy nic nie znaczy, gdy przejęta została sama skrzynka.
- **Kwota jest nietypowo okrągła albo nietypowo wysoka** w stosunku do tego, co ten dostawca
  zwykle fakturuje.
- **Pierwszy kontakt to zmiana rachunku.** Dostawca, któremu nigdy wcześniej nie płacono, a
  którego pierwsza treściwa wiadomość zawiera nowe dane rachunku.

## Jeśli płatność już wyszła

O wyniku decyduje szybkość, więc proszę zrobić to przed czymkolwiek innym.

1. **Natychmiast zadzwonić do swojego banku** i poprosić o próbę odzyskania środków.
   Czasem da się je zatrzymać w ciągu godzin; po dobie lub dwóch zwykle są nie do
   odzyskania. Warto użyć określenia „oszustwo z autoryzowaną płatnością push” — to
   sformułowanie kieruje do właściwego zespołu.
2. **Zadzwonić do dostawcy** pod znany numer, żeby dowiedział się, że jego skrzynka została
   przejęta. On także jest tu ofiarą, a inni jego klienci dostają dziś tę samą wiadomość.
3. **Zgłosić sprawę.** W Polsce — na policję, a incydent także do CERT Polska. W Wielkiej
   Brytanii — Action Fraud. Numer sprawy jest zwykle wymagany, zanim bank rozważy
   jakikolwiek zwrot.
4. **Zachować wszystko** — wiadomość z pełnymi nagłówkami, fakturę, potwierdzenie płatności
   oraz notatkę, z kim i kiedy Państwo rozmawiali.

W Wielkiej Brytanii zasady zwrotu przy oszustwach z autoryzowaną płatnością push zmieniły
się w październiku 2024 roku i obejmują wiele przypadków, które wcześniej pozostawały bez
rekompensaty. Warto zapytać bank wprost, zamiast zakładać cokolwiek w którąkolwiek stronę.

## Co obejmuje, a czego nie obejmuje Verification of Payee

Od **9 października 2025 r.** każdy bank w strefie euro musi sprawdzić nazwę odbiorcy wobec
numeru IBAN, zanim potwierdzą Państwo przelew. Wpisują Państwo rachunek, a bank informuje,
czy widniejąca na nim nazwa zgadza się z wpisaną. Obowiązek wynika z unijnego rozporządzenia
o płatnościach natychmiastowych i dotyczy zarówno zwykłych przelewów, jak i natychmiastowych.

To najlepsza kontrola, jaka kiedykolwiek istniała przeciwko właśnie temu oszustwu, i zmienia
ona cel rozmowy telefonicznej, a nie zastępuje jej.

**Co wyłapuje.** Rachunek należy do kogoś innego. To zwykła postać tego oszustwa, a bank
powie o tym teraz, zanim pieniądze wyjdą.

**Czego nie wyłapuje — i to jest część warta zapamiętania:**

- **„Zbliżonej zgodności".** Banki zgłaszają także niepełne trafienia, a niepełne trafienie
  wygląda dokładnie tak jak uprawniona różnica nazwy handlowej — i tak samo jak celowo
  podobna nazwa rachunku. Ekran ich nie rozróżnia.
- **Rachunku słupa otwartego na nazwę dostawcy.** Jeśli rachunek naprawdę jest na tę nazwę,
  sprawdzenie wypada pomyślnie. Sprawdza rachunek, a nie to, kto poprosił o zapłatę.
- **Wszystkiego poza strefą euro.** Wielka Brytania ma Confirmation of Payee od 2020 r.;
  spora część reszty świata nie ma nic.
- **Płatności wykonanej inną drogą.** Zmiany polecenia zapłaty, płatności kartą, zlecenia
  stałego zmienionego w portalu.

Zasada się więc nie zmienia: **zmianę danych bankowych potwierdza się głosem, pod numerem,
który mieli Państwo wcześniej.** Verification of Payee mówi, czyj jest rachunek. Nie powie,
czy dostawca prosił o zapłatę właśnie na niego, a to pozostaje pytaniem.

[Co obejmuje bankowe sprawdzenie nazwy odbiorcy](/pl/guide/verification-of-payee) omawia to
w całości.

## Jak sprawić, żeby się nie powtórzyło

Kontrola, która działa, jest zasadą, a nie nawykiem: **zmiany danych bankowych są
potwierdzane głosowo pod zapisanym numerem, za każdym razem, przez osobę inną niż ta, która
otrzymała prośbę.** Spisana, stosowana wobec wszystkich, bez wyjątków dla osób, które się
lubi.

Numery telefonów dostawców proszę trzymać w systemie księgowym, a nie w skrzynce pocztowej,
żeby numeru, pod który się dzwoni, nie mógł zmienić ten, kto wysłał wiadomość. A zmianę
potwierdzoną wyłącznie mailem należy traktować jako niepotwierdzoną w ogóle — łącznie z
odpowiedzią, która przyszła z właściwego adresu.

Jest do tego [jednostronicowa lista kontrolna](/pl/guide/bank-change-checklist) — kto do kogo dzwonił, pod jaki numer, kto zatwierdził — do wydruku i przechowania razem z płatnością.