W skrócie
Atak zaczyna się od informacji z internetu: nazwisk z KRS, strony firmy i profili w mediach społecznościowych. Oszust pisze z adresu podobnego do prezesa albo dzwoni, mówi o poufnej transakcji, prosi o dyskrecję i naciska na czas. Przelew trafia na rachunek, z którego pieniądze znikają w ciągu godzin.
| Etap | Co robi oszust | Sygnał ostrzegawczy |
|---|---|---|
| Rozpoznanie | Zbiera nazwiska zarządu, księgowej i kontrahentów | Brak, to dzieje się poza firmą |
| Kontakt | Pisze lub dzwoni jako prezes albo doradca | Adres lub numer inny niż zwykle |
| Presja | „Dziś do końca dnia, nikomu nie mów” | Prośba o poufność i pośpiech |
| Płatność | Podaje rachunek, często zagraniczny lub nowy | Rachunek spoza listy kontrahentów |
| Zacieranie śladów | Prosi o potwierdzenie i kolejne przelewy | Kolejna prośba po pierwszej płatności |
Czym różni się od podmiany rachunku kontrahenta?
W oszustwie na prezesa oszust podszywa się pod przełożonego. W podmianie rachunku podszywa się pod dostawcę. Mechanizm jest podobny, a obronę opisujemy we wpisie o podmianie numeru rachunku kontrahenta.
Dlaczego pracownik wykonuje taki przelew?
Z trzech powodów. Po pierwsze, polecenie przychodzi od osoby wyżej w hierarchii, a podważenie go wydaje się niegrzeczne. Po drugie, wiadomość zawiera szczegóły, które brzmią wiarygodnie, bo pochodzą z publicznych źródeł. Po trzecie, pracownik nie widzi, że ktoś inny dostał tę samą prośbę, więc nie ma jak zweryfikować jej szybko.
Kto jest najczęstszym celem?
Osoby z uprawnieniem do przelewów: księgowa, główny księgowy, asystentka zarządu, czasem nowy pracownik, który jeszcze nie zna nikogo z zarządu. Nowi pracownicy są ulubionym celem, bo łatwo ich przekonać, że „tak tu się robi”.
- osoby z dostępem do bankowości firmowej
- asystentki i sekretariat zarządu
- nowo zatrudnieni w finansach
- pracownicy zastępujący kogoś na urlopie
Jakie procedury zatrzymują oszustwo na prezesa?
Skuteczne są proste zasady, które nie wymagają zakupu narzędzi. Przelew powyżej ustalonej kwoty zatwierdza druga osoba. Zmianę rachunku lub nietypową płatność potwierdza się telefonem na numer, który już znasz, a nie z wiadomości. Prośba o poufność przy przelewie jest sama w sobie sygnałem alarmowym. Takie zasady warto zapisać i wdrożyć w narzędziu do akceptacji, na przykład w elektronicznej ścieżce akceptacji dokumentów i faktur, żeby nikt nie musiał pamiętać o nich pod presją.
Czy sama procedura wystarczy?
Nie, jeśli nikt jej nie ćwiczy. Zasada leży w regulaminie, a w chwili ataku pracownik kieruje się presją i emocjami. Dlatego ćwiczenia na symulacjach są drugą połową obrony: ktoś, kto raz zobaczył fałszywą prośbę „prezesa” i lekcję po kliknięciu, następnym razem zatrzyma się i zadzwoni.
Co powinna zawierać symulacja oszustwa na prezesa?
Wiadomość z domeny podobnej do firmowej, prośbę o dyskrecję, pośpiech i nietypowy rachunek. Po kliknięciu pracownik widzi dwuminutową lekcję z zaznaczonymi sygnałami. Wynik trafia do raportu dla zarządu według działów, bez wskazywania osób publicznie.
Co zrobić, gdy przelew już poszedł?
Natychmiast zadzwoń do banku i poproś o odwołanie przelewu oraz zablokowanie środków u banku odbiorcy. Każda godzina zmniejsza szansę. Potem zgłoś sprawę policji, zabezpiecz wiadomości i powiadom osoby odpowiedzialne w firmie. Jeśli doszło do wycieku danych osobowych, sprawdź obowiązek zgłoszenia do UODO.
Ile to kosztuje firmę?
Kwota zależy od pojedynczego przelewu, który ktoś w firmie może zlecić. Policzysz ją w kalkulatorze kwoty narażonej: liczba osób z dostępem do przelewów razy największa płatność. Dla wielu firm jeden taki przelew kosztuje więcej niż roczny abonament na ćwiczenia, a wątek kosztu opisujemy w cenniku.
Jak wygląda typowa wiadomość?
Księgowa dostaje e-mail z adresu różniącego się od firmowego jedną literą. Treść brzmi mniej więcej tak: „Pracujemy nad przejęciem, proszę o dyskrecję. Doradca prześle dane rachunku, przelew na 85 tysięcy złotych musi wyjść dziś”. Za godzinę przychodzi druga wiadomość od „doradcy” z numerem rachunku. Żadna nie zawiera złośliwego załącznika, więc filtry poczty ich nie zatrzymują.
Co zrobiłby dobrze przygotowany pracownik?
Zatrzymałby się na prośbie o dyskrecję. Sprawdziłby domenę nadawcy, zadzwonił do prezesa na numer z książki telefonicznej firmy i poprosił o drugą osobę do zatwierdzenia przelewu. Cała weryfikacja trwa kilka minut, a przy kwocie z tego przykładu chroni równowartość wielu miesięcy pracy zespołu.
Jakie zasady zapisać w firmie?
- limit kwoty, powyżej którego wymagana jest druga osoba
- zakaz zmiany rachunku na podstawie samego maila lub wiadomości
- jeden kanał potwierdzenia, na przykład telefon na numer zapisany wcześniej
- zgłaszanie każdej prośby o poufny przelew do osoby wskazanej w procedurze
- cykliczne ćwiczenia dla wszystkich osób z dostępem do bankowości
Co to jest oszustwo na prezesa?
To atak, w którym przestępca podaje się za prezesa lub członka zarządu i prosi pracownika o pilny przelew. Najczęściej pisze z podobnego adresu e-mail albo dzwoni. Cel jest jeden: żeby pracownik wykonał płatność na rachunek oszusta, zanim ktokolwiek zweryfikuje polecenie.
Jak rozpoznać oszustwo na prezesa?
Po trzech sygnałach: prośba o poufność, nacisk na pośpiech i rachunek, którego nie ma na liście kontrahentów. Dodatkowo sprawdź dokładną domenę nadawcy i oddzwoń na numer prezesa zapisany w firmie. Jeśli oddzwonienie jest niemożliwe, przelewu nie wykonuj.
Czy firma odzyska pieniądze po takim przelewie?
Czasem tak, jeśli zareaguje w ciągu godzin. Bank może wstrzymać środki u odbiorcy, zanim zostaną wypłacone. Po kilku dniach szanse spadają mocno. Dlatego ważniejsze jest zapobieganie niż odzyskiwanie.
Jak szkolić pracowników przeciwko oszustwu na prezesa?
Regularnymi symulacjami, najlepiej co miesiąc, kierowanymi do osób z dostępem do przelewów. Jednorazowe szkolenie szybko się zapomina. Program w Naiwne ćwiczy scenariusze fałszywych przelewów i raportuje wyniki zarządowi. Dla działu finansów opisujemy go na stronie szkolenie z cyberbezpieczeństwa dla księgowych.