Fałszywa faktura nie musi wyglądać podejrzanie. Często ma logo rzeczywistego dostawcy, poprawny język i kwotę, która nie wzbudza alarmu. Wystarczy jednak jeden zmieniony numer rachunku lub zainfekowany załącznik, aby firma straciła pieniądze albo udostępniła przestępcom dostęp do swojej sieci. Dlatego pytanie, jak wykryć fałszywą fakturę e-mail, powinno dotyczyć nie tylko księgowości, lecz także każdego pracownika mającego kontakt z płatnościami i dokumentami od kontrahentów.
Ataki tego typu są skuteczne, ponieważ wykorzystują pośpiech. Wiadomość może informować o kończącym się terminie płatności, naliczonych odsetkach albo rzekomej zmianie danych bankowych. Oszust liczy na to, że odbiorca wykona przelew, zanim porówna dokument z wcześniejszymi ustaleniami.
Fałszywa faktura e-mail nie zawsze jest fałszywą fakturą
W praktyce pod tym pojęciem kryją się co najmniej dwa różne scenariusze. Pierwszy to całkowicie spreparowany dokument wysłany z podszytego adresu. Drugi bywa groźniejszy: przestępca przejmuje skrzynkę prawdziwego kontrahenta lub podszywa się pod nią, a następnie przesyła prawdziwie wyglądającą fakturę ze zmienionym numerem konta.
Może się też zdarzyć, że dokument jest autentyczny, lecz załącznik zawiera złośliwy plik albo przycisk „pobierz fakturę” prowadzi do fałszywej strony logowania. W takim przypadku celem nie jest pojedyncza płatność, ale hasło do poczty, systemu księgowego lub firmowego konta Microsoft 365.
To rozróżnienie ma znaczenie. Samo sprawdzenie, czy faktura zawiera NIP, datę i kwotę, nie wystarcza. Dokument może być formalnie poprawny, a mimo to prowadzić do oszustwa.
Jak wykryć fałszywą fakturę e-mail przed płatnością
Najpierw warto spojrzeć na wiadomość, a nie na sam załącznik. Adres nadawcy powinien odpowiadać domenie znanej firmy. Różnice bywają subtelne: dodatkowa litera, zamiana „l” na „I”, nietypowa końcówka domeny albo adres z bezpłatnej skrzynki zamiast firmowej. Nazwa wyświetlana jako „Dostawca XYZ” nie jest dowodem – liczy się pełny adres e-mail po rozwinięciu pola nadawcy.
Następnie porównaj wiadomość z historią współpracy. Czy dostawca zwykle wysyłał faktury z tego adresu? Czy kwota, numer zamówienia, zakres usługi i termin płatności są zgodne z ustaleniami? Nowa faktura od nieznanego podmiotu, zwłaszcza dotycząca domeny, licencji, energii, przesyłki lub abonamentu IT, wymaga dodatkowej ostrożności.
Największym sygnałem ostrzegawczym jest zmiana rachunku bankowego. Taka zmiana może być legalna, ale nigdy nie powinna być potwierdzana wyłącznie przez e-mail. Zadzwoń do kontrahenta na numer zapisany wcześniej w umowie, systemie CRM lub na znanej stronie firmowej. Nie korzystaj z numeru telefonu podanego w podejrzanej wiadomości – może prowadzić do oszusta.
Przed akceptacją przelewu zwróć uwagę na następujące elementy:
- presję czasu, groźbę blokady usługi lub nietypowo pilny ton;
- prośbę o zapłatę na nowe konto bez wcześniejszej informacji innym kanałem;
- adres nadawcy podobny do prawdziwego, ale nieidentyczny;
- załącznik w nietypowym formacie, zwłaszcza ZIP, HTML, EXE, IMG lub dokument wymagający włączenia makr;
- link do „portalu faktur”, który zamiast znanej domeny prowadzi do obcego adresu;
- błędy w danych firmy, stopce, numeracji dokumentu albo opisie zamówienia.
Pojedynczy sygnał nie przesądza jeszcze o oszustwie. Kontrahent może zmienić system fakturowania, pracownik może wysłać wiadomość z nowego adresu, a pilna płatność może być uzasadniona. Problem zaczyna się wtedy, gdy kilka niezgodności pojawia się równocześnie, a nadawca utrudnia spokojną weryfikację.
Zweryfikuj dane poza wiadomością
Bezpieczna reguła jest prosta: dane dotyczące płatności potwierdzamy niezależnym kanałem. Jeżeli e-mail informuje o zmianie numeru rachunku, kontaktujemy się z osobą, którą już znamy, używając wcześniej zweryfikowanych danych kontaktowych. W większej firmie warto wprowadzić zasadę drugiej pary oczu – przelew na nowy rachunek zatwierdza druga osoba po udokumentowanym potwierdzeniu u dostawcy.
Warto również sprawdzić rachunek na białej liście podatników VAT, gdy przepisy i charakter transakcji tego wymagają. Taka weryfikacja nie zastąpi kontaktu z kontrahentem, ale może ujawnić kolejną niezgodność. Oszustwo często opiera się właśnie na tym, że odbiorca sprawdza tylko jeden element i uznaje sprawę za zamkniętą.
Nie otwieraj załącznika „na próbę”
Plik PDF jest powszechnym formatem faktur, lecz sama końcówka nazwy nie daje pełnej gwarancji bezpieczeństwa. Przestępcy stosują nazwy w rodzaju „Faktura_1024.pdf.exe” albo przesyłają archiwa chronione hasłem, aby utrudnić automatyczną analizę przez program antywirusowy. Podejrzany jest także dokument Office, który po otwarciu prosi o włączenie makr lub edycji, aby „zobaczyć pełną fakturę”.
Jeżeli wiadomość budzi wątpliwości, nie przekazuj jej dalej kolegom z prośbą o otwarcie. Nie klikaj też linku, aby sprawdzić, dokąd prowadzi. Zgłoś ją osobie odpowiedzialnej za IT lub bezpieczeństwo. W firmie korzystającej z zarządzanej poczty administrator może sprawdzić nagłówki, reguły przekierowań oraz to, czy podobne wiadomości trafiły do innych użytkowników.
Szczególnie groźny wariant: podszycie pod stałego kontrahenta
Atakujący coraz częściej nie wysyłają masowych, źle napisanych wiadomości. Obserwują korespondencję albo przejmują konto e-mail dostawcy. Wtedy znają nazwy projektów, numery faktur, osoby kontaktowe i styl komunikacji. Wiadomość może być nawet odpowiedzią w prawdziwym, wcześniejszym wątku.
W takim przypadku najbardziej wiarygodnym zabezpieczeniem pozostaje procedura. Zmiana danych płatniczych musi uruchamiać dodatkową kontrolę bez względu na to, czy wiadomość wygląda znajomo i pochodzi z trwającej rozmowy. To może wydłużyć proces o kilka minut, ale koszt pomyłki jest nieporównywalnie większy niż koszt krótkiego telefonu.
Warto też rozdzielić obowiązki. Osoba zamawiająca usługę może potwierdzić, czy faktura odpowiada zamówieniu, a księgowość – czy dane płatnicze są zgodne z bazą dostawców. Tam, gdzie to możliwe, zmiany kont bankowych powinny być rejestrowane w systemie, wraz z informacją, kto i kiedy je potwierdził.
Co zrobić po otrzymaniu podejrzanej wiadomości
Jeśli jeszcze nie kliknięto linku, nie otwarto pliku i nie wykonano przelewu, sytuacja jest stosunkowo prosta. Zachowaj wiadomość, oznacz ją jako phishing i przekaż do działu IT lub firmy obsługującej infrastrukturę. Nie usuwaj jej od razu, ponieważ nagłówki i treść mogą pomóc ustalić skalę kampanii.
Jeżeli pracownik otworzył załącznik lub podał hasło na stronie przypominającej ekran logowania, należy działać szybko. Trzeba odłączyć urządzenie od sieci, zgłosić zdarzenie, zmienić hasło z bezpiecznego urządzenia oraz sprawdzić, czy w skrzynce nie pojawiły się reguły automatycznego przekazywania poczty. W przypadku kont firmowych trzeba także wylogować aktywne sesje i zweryfikować logowania.
Gdy przelew został już zlecony, liczy się czas. Należy niezwłocznie skontaktować się z bankiem, zgłosić próbę oszustwa i zebrać całą korespondencję. Równolegle warto poinformować prawdziwego kontrahenta – jego skrzynka mogła zostać przejęta, a inni klienci mogą otrzymać podobne instrukcje.
Procedura jest skuteczniejsza niż czujność jednej osoby
Najlepiej wyszkolony pracownik może mieć gorszy dzień, działać pod presją lub otrzymać bardzo przekonującą wiadomość. Dlatego ochrona przed fałszywymi fakturami powinna opierać się na kilku warstwach: filtrowaniu poczty, uwierzytelnianiu wieloskładnikowym, aktualnych kopiach zapasowych, ograniczonych uprawnieniach oraz jasnej procedurze płatności.
Istotne są również krótkie, regularne szkolenia. Nie muszą przypominać wielogodzinnego wykładu o cyberbezpieczeństwie. Wystarczy pokazać zespołowi aktualny przykład podszycia, przypomnieć zasadę niezależnego potwierdzania zmiany rachunku i wyjaśnić, komu zgłaszać wątpliwości. Pracownik, który wie, że może zapytać bez obawy o krytykę, częściej zatrzyma podejrzaną wiadomość we właściwym momencie.
Dobra procedura nie spowalnia firmy dla samej formalności. Chroni płynność finansową, dane i relacje z kontrahentami. Przy fakturze, która wywołuje choć cień wątpliwości, warto przyjąć prostą zasadę: zatrzymaj płatność, potwierdź dane poza e-mailem, dopiero potem działaj.