Ranking oszustw wymierzonych w małe firmy — od najdroższego

Oszustwa wymierzone w firmy prawie nigdy nie polegają na włamaniu do systemu. Polegają na pośpiechu, autorytecie i na tym, że ktoś w firmie podejmuje decyzję sam, w pięć minut, bez sprawdzenia. Dlatego najskuteczniejsza obrona nie jest techniczna, a proceduralna: jedna zasada „przy pieniądzach i danych nie decyduję w pośpiechu”.

Ranking jest ułożony według typowej wysokości straty. Opisuję wyłącznie to, co pozwala rozpoznać schemat i się przed nim zabezpieczyć.

1Zmiana numeru konta w korespondencji

najdroższy schemat i najtrudniejszy do odwrócenia

Przychodzi wiadomość od znanego kontrahenta: „zmieniliśmy rachunek, prosimy płacić na nowy”. Wygląda jak wcześniejsza korespondencja, bo często jest do niej dopisana. Przelew idzie, pieniądze znikają, a kontrahent twierdzi, że niczego nie wysyłał.

Co rozpoznaje: każda zmiana numeru konta w wiadomości. Zawsze. Co chroni: potwierdzenie telefoniczne pod numerem, który już masz w bazie — nie pod tym z maila — oraz sprawdzenie rachunku w wykazie podatników, o którym piszę w tekście o białej liście i podzielonej płatności.

2Polecenie przelewu „od prezesa”, pilne i poufne

Wiadomość od właściciela albo osoby decyzyjnej: pilny przelew, sprawa poufna, nie rozmawiaj z nikim, zaraz będę nieosiągalny. Schemat celuje w osoby obsługujące płatności i działa dzięki połączeniu autorytetu z presją czasu i zakazem konsultacji.

Co rozpoznaje: pilność plus poufność plus zakaz pytania kogokolwiek. Co chroni: zasada, że żaden przelew powyżej ustalonej kwoty nie wychodzi bez potwierdzenia głosem — i że ta zasada obowiązuje także właściciela.

3Fałszywe faktury za rejestry, domeny i ogłoszenia

Wygląda jak faktura, ma kwotę, termin i dane firmy — a w rzeczywistości jest ofertą wpisu do prywatnego rejestru albo „przedłużenia” czegoś, czego nie zamawiałeś. Druk bywa stylizowany na urzędowy. Przy większej liczbie dokumentów w firmie przechodzi niezauważony.

Co rozpoznaje: brak powiązania z Twoim zamówieniem i drobny druk z informacją, że to oferta. Co chroni: zasada, że każda faktura musi mieć przypisane zamówienie albo umowę — bez tego nie idzie do zapłaty.

4Podszycie się pod bank, operatora płatności albo urząd

Wiadomość o zablokowanym rachunku, zaległej opłacie, konieczności „weryfikacji” danych — z odnośnikiem do strony wyglądającej jak prawdziwa. Wersja telefoniczna: osoba podająca się za pracownika banku, która prosi o kody albo o instalację programu.

Co rozpoznaje: prośba o dane uwierzytelniające, kody lub instalację czegokolwiek. Bank o to nie prosi. Co chroni: rozłączenie się i oddzwonienie na numer z własnej karty albo z oficjalnej strony, wpisanej z ręki.

5Fałszywe potwierdzenie przelewu przy sprzedaży

Kupujący przysyła zrzut ekranu albo plik z „potwierdzeniem”, towar zostaje wydany, przelew nigdy nie dochodzi. Wariant z pośpiechem: „jadę już po odbiór, przelew poszedł”.

Co rozpoznaje: jakikolwiek dokument zamiast środków na rachunku. Co chroni: wydanie towaru po zaksięgowaniu, bez wyjątków — i to jest jedna z sytuacji, w których przedpłata przez fakturę proforma załatwia sprawę.

6Oszustwa na sprzedaży i zakupach przez serwisy ogłoszeniowe

Fałszywe odnośniki do „odbioru pieniędzy”, prośby o podanie danych karty „do przyjęcia płatności”, kupujący domagający się rozmowy poza serwisem. Schemat celuje w sprzedających, którzy nie znają przebiegu płatności w danym serwisie.

Co rozpoznaje: każda prośba o wyjście poza mechanizm płatności serwisu i każdy odnośnik przysłany przez drugą stronę. Co chroni: wyłącznie oficjalne kanały serwisu i zasada, że pieniędzy nie „odbiera się” przez podanie danych karty.

7Podszycie się pod dostawcę przy pierwszym zamówieniu

Nowy dostawca z atrakcyjną ceną, przedpłata, towar nie przychodzi. Strona wygląda profesjonalnie, bo jest kopią istniejącej. Działa zwłaszcza przy pośpiechu przed sezonem albo przy braku towaru na rynku.

Co rozpoznaje: cena wyraźnie poniżej rynku, presja czasu i tylko przedpłata jako forma płatności. Co chroni: weryfikacja w rejestrach i pierwsze zamówienie na małą kwotę — sposób opisuję w tekście o sprawdzaniu kontrahenta.

8Fałszywe wezwania do zapłaty i „windykacja”

Pismo o zaległości, której nie ma, z groźbą postępowania i krótkim terminem. Liczy na to, że firma zapłaci drobną kwotę, żeby mieć spokój. Czasem dotyczy rzekomych naruszeń praw autorskich do zdjęć na stronie.

Co rozpoznaje: brak możliwości wskazania konkretnej umowy, faktury albo materiału. Co chroni: nie płacić bez ustalenia podstawy, a przy pismach z groźbą postępowania skonsultować je z prawnikiem — nie ignorować, ale i nie płacić odruchowo.

9Przejęcie konta w serwisie sprzedażowym albo w mediach społecznościowych

Wiadomość o naruszeniu regulaminu z odnośnikiem do „odwołania”, a w rzeczywistości do strony zbierającej dane do logowania. Po przejęciu konto służy do oszustw wobec Twoich klientów, co uderza w firmę podwójnie.

Co rozpoznaje: odnośnik w wiadomości zamiast powiadomienia w samym serwisie. Co chroni: uwierzytelnianie dwuskładnikowe wszędzie i sprawdzanie powiadomień wyłącznie po samodzielnym zalogowaniu.

10Oszustwa „inwestycyjne” celowane w właścicieli firm

Propozycje lokowania nadwyżek z gwarantowanym zyskiem, kontakt telefoniczny, presja na szybką decyzję, początkowe małe „wypłaty” budujące zaufanie. Ostatnie miejsce, bo dotyczy mniejszej liczby firm — ale straty są tam największe pojedynczo.

Co rozpoznaje: gwarantowany zysk i presja czasu. Co chroni: sprawdzenie podmiotu na liście ostrzeżeń publicznych nadzoru finansowego oraz zasada, że decyzji finansowych nie podejmuje się w trakcie rozmowy telefonicznej.

Pięć zasad, które zatrzymują większość tych schematów

Te zasady działają tylko wtedy, gdy obowiązują wszystkich — także właściciela. Schemat z pozycji drugiej opiera się dokładnie na tym, że dla szefa robi się wyjątek.

Co zrobić, jeśli już doszło do straty

Trzy rzeczy w tej kolejności, bez zwlekania: skontaktować się z bankiem i zgłosić transakcję (przy szybkiej reakcji bywa szansa na zatrzymanie środków), złożyć zawiadomienie o przestępstwie, powiadomić kontrahenta, pod którego się podszyto. Jeśli wyciekły dane osobowe, dochodzi obowiązek oceny incydentu pod kątem RODO i ewentualnego zgłoszenia — i to jest moment na rozmowę z prawnikiem, nie na samodzielne ocenianie.

Najczęstsze pytania

Czy antywirus chroni przed tymi schematami?

W niewielkim stopniu, bo większość z nich nie wymaga żadnego oprogramowania — wystarczy wiadomość i pośpiech odbiorcy. Skuteczniejsze są zasady proceduralne: potwierdzanie zmian rachunku i limity decyzyjne przy przelewach.

Jak sprawdzić, czy wiadomość naprawdę jest od kontrahenta?

Nie przez odpowiedź na nią, bo odpowiedź trafi do nadawcy. Trzeba zadzwonić pod numer, który masz zapisany wcześniej, z własnej bazy albo z faktury sprzed zmiany.

Czy można odzyskać pieniądze po przelewie na konto oszusta?

Czasem tak, jeśli zgłoszenie do banku nastąpi bardzo szybko i środki jeszcze nie zostały przetransferowane dalej. Dlatego pierwszy telefon powinien iść do banku, a nie do kontrahenta.

Czy zgłaszać takie próby, jeśli nic nie straciliśmy?

Warto — zarówno do serwisu albo banku, pod który się podszyto, jak i wewnętrznie w firmie. Opisana próba jest najlepszym materiałem szkoleniowym dla zespołu, bo dotyczy realnie Waszej sytuacji.