Fałszywa faktura w firmie ma zwykle jeden z dwóch celów: żebyś przelał pieniądze na konto oszusta albo żebyś wpisał hasło do firmowej poczty na podrobionej stronie logowania. Najczęstsze sygnały to numer konta zmieniony „od dziś”, adres nadawcy różniący się od prawdziwego jedną literą, pośpiech i link do dokumentu, który wymaga zalogowania. Najprostsza ochrona to zasada, której nie łamie się dla nikogo: każdą zmianę numeru konta potwierdzasz telefonem pod numer, który już znasz, a nie pod ten podany w mailu.
Dwa scenariusze, które spotkasz najczęściej
Zmiana numeru konta
Przychodzi mail od stałego dostawcy, z jego logo i podpisem: „Uprzejmie informujemy o zmianie rachunku bankowego, prosimy o wpłatę na nowy numer”. W załączniku faktura, która wygląda jak zawsze. Czasem mail przychodzi z adresu bardzo podobnego do prawdziwego, czasem z prawdziwej skrzynki dostawcy, do której ktoś się włamał i zna historię Waszej korespondencji. Ten drugi wariant jest groźniejszy, bo wiadomość trafia w środek prawdziwej rozmowy.
Link do faktury
„W załączniku faktura do zapłaty”, tyle że zamiast załącznika jest przycisk „Zobacz dokument”. Prowadzi do strony, która wygląda jak logowanie do Microsoft 365, Google albo programu do faktur. Kto wpisze hasło, oddaje dostęp do skrzynki. Oszust nie musi od razu niczego kraść: czyta pocztę, czeka na prawdziwą fakturę i wtedy podmienia numer konta.
Sygnały ostrzegawcze
| Co widzisz | Co sprawdzić |
|---|---|
| Nowy numer konta w mailu | telefon do dostawcy pod znany numer, biała lista VAT |
| Adres nadawcy prawie taki jak zawsze | pełny adres po kliknięciu w nazwę nadawcy, litera po literze |
| Pole „Odpowiedz do” z innym adresem | dokąd naprawdę trafi Twoja odpowiedź |
| Pośpiech: „dziś do 12”, „wstrzymamy dostawy” | czy dostawca kiedykolwiek tak pisał |
| Przycisk zamiast załącznika | adres strony po najechaniu kursorem, jeszcze przed kliknięciem |
| Strona logowania po kliknięciu w link | adres w pasku przeglądarki; bezpieczniej zamknąć kartę i zalogować się samodzielnie |
Jak wygląda podrobiony adres
Oszuści rejestrują domeny, które na pierwszy rzut oka wyglądają jak prawdziwe. Kilka sztuczek, które dobrze mieć z tyłu głowy, gdy patrzysz na adres nadawcy:
- zamiana liter na podobne znaki: cyfra 0 zamiast litery o, rn zamiast m, wielkie I zamiast małego l,
- dopisek w nazwie: dostawca-faktury.pl zamiast dostawca.pl,
- inna końcówka: dostawca.com.pl albo dostawca.eu zamiast dostawca.pl,
- prawdziwa nazwa firmy jako nazwa wyświetlana, a obok zupełnie obcy adres, który telefon chowa i pokazuje dopiero po dotknięciu.
Na telefonie widać zwykle tylko nazwę nadawcy, więc przed zapłatą otwórz maila na komputerze albo dotknij nazwy, żeby zobaczyć pełny adres.
Załączniki, które powinny zapalić lampkę
Prawdziwa faktura to zwykle PDF albo link do znanego programu do faktur, z którego dostawca korzysta od lat. Podejrzane są archiwa ZIP z hasłem podanym w treści maila, pliki HTML udające dokument, pliki z podwójnym rozszerzeniem w rodzaju faktura.pdf.exe i dokumenty Worda, które po otwarciu proszą o włączenie makr. Takiego załącznika nie otwieraj, tylko zadzwoń do dostawcy i zapytaj, czy coś wysyłał.
Biała lista: sprawdź numer konta, zanim zapłacisz
W Polsce masz do dyspozycji narzędzie, którego oszust nie podrobi: wykaz podatników VAT, nazywany białą listą. Wpisujesz NIP dostawcy albo numer konta z faktury i widzisz, czy ten rachunek jest zgłoszony dla tej firmy. Dane odświeżane są w każdy dzień roboczy, więc sprawdzaj w dniu płatności (biznes.gov.pl: biała lista podatników VAT, sprawdzone 28.10.2026).
Przy płatnościach powyżej 15 000 zł biała lista to także sprawa podatkowa. Jeśli zapłacisz na rachunek spoza wykazu, tracisz możliwość zaliczenia tej kwoty do kosztów i możesz odpowiadać solidarnie za niezapłacony VAT dostawcy. Ten sam serwis opisuje, jak w takiej sytuacji zawiadomić urząd skarbowy, a w razie wątpliwości zapytaj swoją księgową.
Jeśli nowego numeru nie ma na białej liście, a mail naciska na pilną wpłatę, masz przed sobą niemal pewną próbę oszustwa. Wyjątek: firma, która nie jest zarejestrowana jako podatnik VAT, może w wykazie w ogóle nie figurować. Wtedy zostaje telefon.
DMARC: tarcza dla Twoich klientów
Zabezpieczenia poczty działają w dwie strony. Wpisy SPF, DKIM i DMARC Twojej domeny nie obronią Cię przed fałszywym mailem od cudzej firmy, za to utrudniają oszustom podszywanie się pod Ciebie wobec Twoich klientów. Polityka DMARC mówi skrzynkom odbiorców, żeby podejrzane wiadomości z Twoją domeną w polu „Od” odkładały do spamu albo odrzucały. Jak to ustawić, opisałem we wpisie o poczcie firmowej na własnej domenie.
DMARC ma jeszcze jedną zaletę: raporty. Skrzynki odbiorców przysyłają zestawienia, kto wysyłał maile z Twoją domeną i czy przeszły kontrolę. Przy roland4foto.com raporty pokazały, że wszystkie wiadomości z domeny przechodzą SPF i DKIM przez serwer poczty, którego używam. To sygnał, że politykę można bezpiecznie zaostrzyć, bo nie odetnie żadnego prawdziwego nadawcy.
Zasady dla zespołu
- Zmianę numeru konta potwierdzamy telefonem pod numer z umowy albo z poprzednich faktur.
- Przelewy powyżej ustalonej kwoty zatwierdzają dwie osoby.
- Na link z maila się nie logujemy. Do poczty i programów wchodzimy z zakładki albo wpisując adres.
- Podejrzany mail przesyłamy jednej wyznaczonej osobie, zanim ktokolwiek coś kliknie.
- Poczta firmowa ma włączoną weryfikację dwuetapową, więc samo hasło włamywaczowi nie wystarczy.
Ostatni punkt ogranicza skutki drugiego scenariusza: nawet jeśli ktoś wpisze hasło na fałszywej stronie, bez drugiego składnika oszust do skrzynki nie wejdzie. Są jednak strony, które przechwytują także kod jednorazowy, więc czujność dalej jest potrzebna.
Zasady działają tylko wtedy, gdy zespół je zna. Raz w roku zrób dwadzieścia minut ćwiczeń przy kawie: pokaż na ekranie kilka prawdziwych maili od dostawców i kilka podrobionych, zebranych z własnej skrzynki spamu, i niech każdy zgadnie, które są które. Po takim ćwiczeniu ludzie sami zaczynają przysyłać podejrzane wiadomości z pytaniem, zanim w coś klikną, a o to właśnie chodzi.
Kliknąłem albo zapłaciłem. Co teraz
- Przelew: od razu dzwoń do swojego banku z prośbą o próbę zatrzymania albo zwrotu pieniędzy. Liczą się godziny.
- Hasło wpisane na fałszywej stronie: zmień je natychmiast, wyloguj wszystkie sesje i sprawdź w skrzynce reguły przekierowania, które mógł ustawić włamywacz.
- Zgłoś incydent do CERT Polska przez incydent.cert.pl. Podejrzanego SMS-a z linkiem możesz przesłać na numer 8080.
- Przy stracie pieniędzy złóż zawiadomienie na policji i uprzedź dostawcę, że ktoś się pod niego podszywa.
Pomagam małym firmom ustawić pocztę, DMARC i weryfikację dwuetapową, a po incydencie przejrzeć skrzynki i zamknąć furtki. Więcej na stronie pomoc IT dla firm. Jeśli dostałeś podejrzany mail i nie wiesz, co z nim zrobić, opisz go przez formularz, bez klikania w linki.