W skrócie
Wdrożenie KSeF zmieniło sposób obiegu faktur, a oszuści korzystają z zamieszania. Wysyłają maile i SMS-y „o nowej fakturze w KSeF”, „o zaległej płatności” albo „o korekcie wymagającej potwierdzenia”. Celem jest przejęcie danych logowania, zainstalowanie złośliwego pliku albo skłonienie księgowej do zapłaty na obcy rachunek.
| Wariant | Co widzi księgowa | Sygnał ostrzegawczy |
|---|---|---|
| Fałszywe powiadomienie o fakturze | Link „zobacz fakturę w KSeF” | Adres spoza domen rządowych, prośba o logowanie |
| Faktura w załączniku z innym rachunkiem | Plik PDF lub ZIP od znanego dostawcy | Rachunek inny niż w umowie, nadawca z podobnej domeny |
| Korekta z prośbą o pilną zapłatę | „Błąd w fakturze, zapłać dziś” | Nacisk na czas i brak numeru w systemie |
| Prośba o token lub dane dostępowe | „Autoryzacja wymagana” | System nigdy nie prosi o hasło w wiadomości |
Czym różni się fałszywa faktura od podmiany rachunku?
W fałszywej fakturze oszust tworzy cały dokument albo imituje powiadomienie. W podmianie rachunku prawdziwy dostawca rzekomo zmienia numer konta. Drugi przypadek opisujemy we wpisie o podmianie numeru rachunku kontrahenta.
Dlaczego księgowa klika?
Z trzech powodów. Po pierwsze, system jest nowy, więc nikt nie jest pewny, jak powinno wyglądać prawdziwe powiadomienie. Po drugie, faktur jest dużo i większość procesuje się rutynowo. Po trzecie, wiadomość odwołuje się do terminów i konsekwencji, co wywołuje pośpiech. Pośpiech wyłącza ostrożność.
Kto jest celem?
Osoby, które księgują i zlecają przelewy: księgowe, asystentki, osoby w zakupach i właściciele małych firm, którzy robią to sami. Szczególnie narażeni są nowi pracownicy i osoby zastępujące kogoś na urlopie.
- księgowa i główna księgowa
- zakupy i osoby akceptujące faktury kosztowe
- właściciel firmy bez działu finansów
- biuro rachunkowe obsługujące wielu klientów
Jakie zasady zatrzymują fałszywą fakturę?
Skuteczne są zasady, które da się zapisać na jednej kartce. Faktury odbierasz tylko w systemie, do którego logujesz się przez zapisany adres, a nie przez link z wiadomości. Zmianę rachunku potwierdzasz telefonem na numer z umowy. Przelew powyżej ustalonej kwoty zatwierdza druga osoba. Rachunek odbiorcy porównujesz z listą kontrahentów, a nowy dodajesz dopiero po weryfikacji.
Czy sama procedura wystarczy?
Nie, jeśli nikt jej nie ćwiczy. W chwili ataku liczy się nawyk, a nie regulamin. Dlatego ćwiczenia na symulacjach są drugą połową obrony: księgowa, która raz kliknęła w symulację i zobaczyła lekcję z zaznaczonymi sygnałami, rozpoznaje podobną wiadomość następnym razem.
Co powinna zawierać symulacja fałszywej faktury?
Powiadomienie o fakturze z domeny podobnej do prawdziwej, nacisk na termin i link do logowania. Po kliknięciu pracownik widzi dwuminutową lekcję, a wynik trafia do raportu dla zarządu według zespołów. Scenariusze płatnicze są w planie Firma, opisanym w cenniku.
Co zrobić, gdy ktoś kliknął w link?
Zmień hasło do systemów, w których ktoś się zalogował, wyloguj aktywne sesje i poinformuj osobę odpowiedzialną za IT. Jeśli otwarto załącznik, odłącz komputer od sieci. Zgłoszenie bez wstydu jest ważniejsze niż pytanie, kto zawinił.
Co zrobić, gdy przelew już poszedł?
Natychmiast zadzwoń do banku i poproś o odwołanie przelewu oraz zablokowanie środków u banku odbiorcy. Potem zgłoś sprawę policji i zabezpiecz wiadomości. Każda godzina zmniejsza szansę na odzyskanie pieniędzy.
Ile możesz stracić?
Kwota zależy od największego przelewu, który ktoś w firmie może zlecić. Policzysz ją w kalkulatorze kwoty narażonej: liczba osób z dostępem do przelewów razy największa płatność.
Jak wdrożyć ćwiczenia w małym dziale księgowości?
Zacznij od osób z dostępem do bankowości. Pierwsze symulacje wysyłasz w ciągu tygodnia, a wyniki po miesiącu pokazują, kto potrzebuje dodatkowych lekcji. Dla działu finansów mamy osobny program opisany na stronie szkolenie z cyberbezpieczeństwa dla księgowych, a dla biur rachunkowych na stronie szkolenie dla biur rachunkowych.
Jak zadbać o sam obieg faktur?
Jeśli szukasz programu do wystawiania i odbierania faktur z KSeF, który ogranicza ręczne przepisywanie, sprawdź program do fakturowania z KSeF dla firm. Mniej ręcznej pracy to mniej okazji, w których fałszywy dokument przechodzi niezauważony.
Jak wygląda typowa wiadomość?
Księgowa dostaje e-mail z tematem „Nowa faktura w KSeF do zatwierdzenia, termin płatności dziś”. Nadawca ma nazwę brzmiącą urzędowo, ale adres kończy się inną domeną niż rządowa. Treść zawiera przycisk „Zaloguj się i zobacz fakturę”. Po kliknięciu otwiera się strona łudząco podobna do prawdziwej, która prosi o dane logowania albo token.
Co zrobiłby dobrze przygotowany pracownik?
Nie kliknąłby przycisku. Zajrzałby do systemu przez zapisany adres, zobaczył brak takiej faktury i zgłosił wiadomość osobie odpowiedzialnej. Cała weryfikacja trwa minutę, a oszustwo kończy się na pierwszym kroku. To właśnie ten nawyk budują symulacje.
Na co patrzeć w każdej wiadomości o fakturze?
- adres nadawcy i domena, na którą prowadzi link, a nie sama nazwa wyświetlana
- prośba o logowanie, token lub hasło w odpowiedzi na wiadomość
- nacisk na termin i konsekwencje („dziś”, „blokada”, „odsetki”)
- rachunek, który nie występuje na liście kontrahentów
- załącznik w formacie ZIP, HTML lub plik wykonywalny zamiast faktury
- nieznany numer faktury, którego nie ma w systemie
Jakie zasady zapisać w firmie?
- faktury odbierane wyłącznie w systemie, nigdy z linku w wiadomości
- zakaz zmiany rachunku na podstawie samego maila lub wiadomości
- limit kwoty, powyżej którego przelew zatwierdza druga osoba
- jeden kanał potwierdzenia, na przykład telefon na numer zapisany w umowie
- zgłaszanie każdej podejrzanej wiadomości jednym kliknięciem do wskazanej osoby
Zasady są proste, ale zadziałają dopiero wtedy, gdy zespół ćwiczy je na wiadomościach podobnych do prawdziwych. Mechanizm płatniczych oszustw i pełen program ćwiczeń opisujemy na stronie fałszywa faktura i oszustwa płatnicze.