Nowy numer konta na fakturze? Procedura dla firmy przed Black Week i końcem roku

Jedna zmieniona linijka na prawdziwej fakturze

12 sierpnia Centralne Biuro Zwalczania Cyberprzestępczości poinformowało o zatrzymaniu czterech osób, które według śledczych zarabiały na podmienianiu faktur. Schemat wymagał cierpliwości. Grupa włamywała się do firmowej poczty i śledziła, kto z kim robi interesy. Gdy przychodził mail z fakturą, oryginał znikał albo był ukrywany, a odbiorca dostawał ten sam dokument z innym numerem rachunku.

Straty przekroczyły 4 mln zł, a kolejne próby opiewały na 5,5 mln zł. Pieniądze trafiały na konta założone na skradzione tożsamości obywateli Belgii i Francji. Stamtąd szybko znikały w bankomatach.

Najgorsze w tym oszustwie jest to, że nic nie wygląda podejrzanie. W kwietniu policja z Płońska opisała firmę, z której skrzynki ktoś wysłał zagranicznemu kontrahentowi prośbę o pilną zapłatę. Kontrahent przelał 5 tys. euro, bo wiadomość przyszła z prawdziwego adresu. Po jakimś czasie włamywacz wrócił i dosłał fakturę na 33 tys. euro z innym rachunkiem. Dopiero wtedy kontrahent się zatrzymał.

Skąd przestępcy mają hasła do poczty? Jedną z dróg są maile udające urzędy. 16 października Krajowa Administracja Skarbowa ostrzegła przed wiadomościami o rzekomej korekcie pliku JPK_VAT. Ich celem są dane osobowe, numery kont, a także adresy i hasła do skrzynek. KAS przypomina, że jej prawdziwe powiadomienia w sprawie JPK_VAT nie mają żadnych linków i nie proszą o logowanie.

To nie jest kłopot wyłącznie korporacji. Według Raportu Antyfraudowego BIK 2025 z próbami oszustw lub wyłudzeń zetknęło się 31,8 proc. małych i średnich firm. Fałszywe faktury, w tym z cudzym numerem konta, wskazało 32,8 proc. przedsiębiorców. W prawie połowie przypadków straty nie przekroczyły 10 tys. zł, ale 11,3 proc. firm straciło do 100 tys. zł, a 5,7 proc. nawet do 1 mln zł.

Szef, który pilnie potrzebuje przelewu

Druga odmiana tego samego oszustwa gra na hierarchii. W marcu Związek Banków Polskich, Policja i banki opisały w kampanii „Bankowcy dla CyberEdukacji” role, w które wchodzi oszust. To dostawca zmieniający konto, partner z nagłą płatnością, członek zarządu z pilnym przelewem albo przełożony, który prosi, żeby nikogo nie pytać. Ten ostatni motyw jest najgroźniejszy, bo odcina pracownika od osoby, która mogłaby go zatrzymać.

Sam mail od szefa przestaje oszustom wystarczać, więc dokładają głos i obraz. Najlepiej opisany przypadek dotyczy brytyjskiej firmy inżynieryjnej Arup. W 2024 r. pracownik działu finansów w Hongkongu dostał wiadomość o tajnej transakcji i najpierw uznał ją za phishing. Potem dołączył do wideokonferencji, na której dyrektor finansowy i koledzy wyglądali i mówili jak zwykle. Wszyscy byli podróbką wygenerowaną komputerowo. Pracownik wykonał 15 przelewów na łącznie 200 mln dolarów hongkońskich, czyli ok. 25,6 mln dol. amerykańskich.

W tej historii najważniejsze jest pierwsze przeczucie pracownika. Było trafne. Zabrakło procedury, dzięki której mógłby je sprawdzić, nie narażając się przełożonemu.

Skalę widać w danych FBI. W raporcie za 2025 r. amerykańskie biuro policzyło straty z oszustw na przejętą korespondencję firmową (BEC, od Business Email Compromise) na ponad 3 mld dol. przy 24 768 zgłoszeniach. FBI ostrzega, że generatory tekstu piszą przekonujące maile w stylu prezesa, a sklonowany głos służy do żądania przelewu przez telefon. Same straty z oszustw BEC z udziałem AI przekroczyły tam 30 mln dol.

Procedura na jedną kartkę: kto co sprawdza

Black Friday wypada 27 listopada. Dla sklepów to szczyt zamówień i faktur od dostawców, dla pozostałych firm grudzień oznacza rozliczenia roku, zaliczki i urlopy. Przelewy robi wtedy często ktoś na zastępstwie, kto nie zna kontrahentów z głosu. Czujność się męczy, procedura nie.

Osoba, która płaci. Księgowa, asystentka albo sam właściciel porównuje numer konta z poprzednimi fakturami tego kontrahenta. Jeśli jest inny, sprawdza go w wykazie podatników VAT, czyli na białej liście. Wyszukiwarka działa po NIP, REGON, nazwie albo numerze rachunku. Dane odświeżane są raz dziennie w dni robocze, więc sprawdzasz w dniu przelewu i zapisujesz wynik. Przy transakcjach powyżej 15 tys. zł zapłata i tak powinna trafić na rachunek z wykazu. Inaczej firma traci koszt podatkowy i odpowiada solidarnie za VAT sprzedawcy.

Wykaz obejmuje jednak tylko czynnych podatników VAT i rachunki firmowe zgłoszone do urzędu. Przy dostawcy zwolnionym z VAT nic w nim nie sprawdzisz. Nie licz też, że bank zauważy, że nazwa odbiorcy nie pasuje. Według ustawy o usługach płatniczych przelew uznaje się za wykonany na rzecz właściwego odbiorcy, jeśli zgadza się numer rachunku, bez względu na resztę danych w poleceniu.

Telefon zwrotny. Każda zmiana konta, nawet wysłana z prawdziwego adresu kontrahenta, wymaga rozmowy. Dzwonisz na numer, który już masz: z umowy, z kartoteki albo z oficjalnej strony firmy. Nigdy na numer z maila, w którym ktoś prosi o zmianę. CERT Polska radzi to samo także wtedy, gdy na fakturę czekasz.

Dwie osoby. Jedna wpisuje nowe dane kontrahenta w banku lub programie księgowym, druga zatwierdza je po telefonie zwrotnym. Tak samo przy przelewach powyżej ustalonej kwoty. W biurze z trzema osobami to po prostu podział: księgowa wpisuje, właściciel zatwierdza. Jeśli Twój bank pozwala ustawić drugą akceptację przelewu, włącz ją.

Szef. Najtańsza zasada należy do właściciela. Powiedz głośno, że nigdy nie zlecisz przelewu mailem, komunikatorem ani telefonem z pominięciem procedury. Dodaj, że kto wstrzyma płatność, żeby ją sprawdzić, nie poniesie konsekwencji, nawet jeśli prośba okaże się prawdziwa. Gdy głos w słuchawce brzmi jak Twój, a ktoś ma wątpliwości, powinien się rozłączyć i oddzwonić na Twój znany numer.

Zespół. Na najbliższym spotkaniu pokaż trzy sygnały z kampanii ZBP: pośpiech, prośbę o dyskrecję i adres różniący się jedną literą. mBank podaje przykłady takich sztuczek: „rn” udające „m”, przestawione litery w domenie, zero zamiast wielkiej litery O.

Pieniądze wyszły. Liczą się godziny, nie dni

Najpierw bank. Dzwonisz od razu na infolinię dla firm i prosisz o wstrzymanie lub zwrot przelewu oraz kontakt z bankiem odbiorcy. Prawo bankowe pozwala bankowi zablokować środki na rachunku, gdy podejrzewa, że pochodzą z przestępstwa. Taka blokada trwa najwyżej 72 godziny. W tym czasie prokurator decyduje o postępowaniu i może zablokować pieniądze do 6 miesięcy, z możliwością przedłużenia o kolejne 6. Jeśli oszuści zdążą wypłacić gotówkę, jak w sprawie CBZC, blokować nie ma czego.

Jak wiele zależy od tempa, pokazują dane FBI z USA. W 2025 r. w procedurze szybkiego zamrażania przelewów zatrzymano 679 mln dol. z 1,16 mld dol., które próbowano ukraść, czyli 58 proc. FBI powtarza, że przy oszukańczym przelewie najważniejszy jest czas.

Potem policja i CERT. Do zawiadomienia zabierz fakturę, maila, potwierdzenie przelewu i numer rachunku odbiorcy. Zgłoś też incydent do CERT Polska przez formularz incydent.cert.pl. CERT prosi, żeby podejrzaną wiadomość zapisać w całości, razem z załącznikiem i nagłówkami, więc niczego nie kasuj.

Skrzynka i kontrahent. Zmień hasła z innego urządzenia, włącz drugi składnik logowania i przejrzyj reguły poczty. Przekierowania i automatyczne usuwanie wiadomości to sposób, w jaki włamywacz chowa ślady. Uprzedź kontrahenta, bo włamanie mogło nastąpić po jego stronie, a nie po Twojej.

Księgowa. Jeśli przelew za fakturę od czynnego podatnika VAT poszedł na rachunek spoza białej listy, porozmawiaj z nią o zawiadomieniu ZAW-NR do swojego urzędu skarbowego. Termin to 7 dni od zlecenia przelewu.

Co z tego dla Ciebie

1. Spisz procedurę zmiany rachunku na jednej kartce: biała lista, telefon na znany numer, druga osoba zatwierdza. Daj ją każdemu, kto płaci faktury, także osobom na grudniowych zastępstwach.
2. Powiedz zespołowi wprost, że nigdy nie zlecasz przelewu z pominięciem procedury, a wstrzymanie płatności do sprawdzenia nie jest błędem.
3. Załóż listę zaufanych telefonów do kontrahentów, którym płacisz najwięcej, zanim przyjdzie pierwszy mail o „nowym koncie”.
4. Zapytaj w banku o drugą akceptację przelewów i zmian odbiorców, a numer infolinii dla firm zapisz na tej samej kartce.
5. Przygotuj plan na złą godzinę: bank, policja, incydent.cert.pl, zmiana haseł, księgowa i 7 dni na ZAW-NR.

Stan na: 27.10.2026. Tekst nie jest poradą prawną.