Business email compromise i podmieniony rachunek na fakturze a weryfikacja konta przed przelewem

Business email compromise to oszustwo, w którym przestępca przejmuje albo podrabia firmową skrzynkę pocztową i podsyła dziale płatności prawdziwą fakturę z jednym zmienionym szczegółem: numerem rachunku. Najskuteczniejsza zapora kosztuje kilka sekund. Przed przelewem porównujesz numer z faktury z rachunkami, które dostawca zgłosił do wykazu podatników VAT. Konto założone przez oszusta nie stoi w wykazie pod NIP-em Twojego dostawcy.

To nie jest scenariusz z zagranicznych raportów. W sierpniu 2026 roku Centralne Biuro Zwalczania Cyberprzestępczości opisało grupę, która czytała korespondencję polskich firm z kontrahentami i w odpowiednim momencie podmieniała numer konta w przychodzącej fakturze. Według ustaleń śledczych firmy straciły w ten sposób ponad 4 mln zł, a próby dotyczyły kolejnych 5,5 mln zł. Poniżej rozpisujemy, jak ten atak wygląda od strony księgowości, które kontrole go zatrzymują i co robić, jeśli przelew już wyszedł.

Jak wygląda podmiana rachunku w ataku BEC

Oszust nie wymyśla faktury. Czeka na prawdziwą. Po przejęciu skrzynki dostawcy albo Twojej własnej przez kilka tygodni czyta wiadomości: wie, kto zatwierdza przelewy, jakie są kwoty i kiedy przychodzi comiesięczna faktura. Gdy dokument w końcu przychodzi, zmienia w nim numer konta albo dosyła wiadomość „od dostawcy” z informacją o nowym rachunku. Oryginał kasuje albo ukrywa regułą w skrzynce.

Dlatego zwykłe rady w rodzaju „uważaj na literówki w adresie nadawcy” nie wystarczają. Przy przejętej skrzynce adres jest prawdziwy, historia korespondencji jest prawdziwa, kwota i numer zamówienia się zgadzają. Różni się jedna linia na dokumencie, a tej linii nikt nie czyta, bo przelew do stałego dostawcy idzie z szablonu albo z pliku do banku.

Dlaczego wykaz podatników VAT zatrzymuje większość takich przelewów

Czynny podatnik VAT musi zgłosić rachunki firmowe urzędowi skarbowemu, a Ministerstwo Finansów publikuje je w wykazie pod jego numerem NIP. Konto, na które oszust chce przyjąć pieniądze, zwykle należy do tak zwanego słupa albo do świeżo założonej firmy. Nie ma go na liście rachunków Twojego dostawcy, bo nikt poza dostawcą nie może jej zmienić.

Wystarczy więc jedna reguła w dziale płatności: numer z faktury musi znaleźć się na liście rachunków dostawcy w dniu zlecenia przelewu. Jeśli go tam nie ma, przelew czeka, a ktoś dzwoni do dostawcy na numer z kartoteki, nie na ten z maila. Tę samą regułę i tak wymusza prawo podatkowe przy płatnościach powyżej 15 000 zł brutto, o czym piszemy niżej.

Zapora ma dwie luki i warto je znać. Pierwsza to dostawca zwolniony z VAT albo niezarejestrowany, który nie ma rachunków w wykazie w ogóle. Tu zostaje weryfikacja telefoniczna i porównanie z numerem z poprzednich, opłaconych faktur. Druga to rachunki wirtualne, których pojedynczych numerów wykaz nie wymienia. Bank, który je nadaje, publikuje w wykazie ich maskę, więc taki numer też da się sprawdzić, ale wymaga to porównania z maską, a nie z pełnym numerem. Oba przypadki rozpisaliśmy na stronie biała lista rachunek bankowy.

Procedura, która zatrzymuje podmianę konta w pięciu krokach

1. Każdy rachunek sprawdzasz w wykazie w dniu przelewu. Nie w dniu dodania dostawcy do kartoteki i nie raz na kwartał. Podmiana zdarza się przy konkretnej fakturze.
2. Zmianę rachunku potwierdzasz innym kanałem. Telefon na numer zapisany w kartotece przed zmianą. Numer podany w mailu o zmianie konta nie jest innym kanałem.
3. Nowy rachunek czeka, aż pojawi się w wykazie. Uczciwy dostawca, który zmienił bank, zgłasza nowe konto w urzędzie skarbowym. Jeśli po kilku dniach nadal go nie ma, to sygnał ostrzegawczy albo dostawca zaniedbał zgłoszenie. W obu przypadkach nie płacisz na ten numer.
4. Przelew na nowego odbiorcę wymaga drugiej pary oczu. Osoba, która wprowadza przelew, nie jest tą samą osobą, która zmienia dane dostawcy w kartotece.
5. Zapisujesz dowód sprawdzenia przy dokumencie. PDF z identyfikatorem zapytania z wykazu, datą i godziną odczytu. Przyda się w banku, na policji i przy kontroli podatkowej.

Krok pierwszy da się zrobić ręcznie w wyszukiwarce Ministerstwa Finansów, wpisując NIP i porównując numery na ekranie. Przy kilku przelewach w miesiącu to wystarczy. Przy kilkudziesięciu robi się z tego godzina pracy, a zrzut ekranu z przeglądarki nie jest dowodem, którego urząd nie zakwestionuje. Co odróżnia zapisany odczyt z identyfikatorem od zrzutu, pokazujemy na stronie raport z weryfikacji kontrahenta VAT.

Część ryzyka znika też po stronie wystawcy. Faktura pobrana bezpośrednio z KSeF ma numer rachunku wpisany przez system sprzedawcy, a nie przez kogoś, kto przerobił załącznik w skrzynce. Jeśli sam wystawiasz faktury swoim klientom, wysyłka z programu do faktur z KSeF zamiast ręcznie doklejanych PDF-ów zostawia odbiorcy jeden sprawdzalny zapis Twojego numeru konta.

Monitoring rachunków dostawców zamiast sprawdzania na pamięć

Przy stałych dostawcach najsłabszym punktem jest rutyna. Ten sam przelew idzie co miesiąc, więc nikt nie otwiera wykazu. Tu lepiej działa odwrócenie logiki: zamiast sprawdzać rachunek przy każdej fakturze, trzymasz dostawców w monitoringu, który zgłasza każdą zmianę listy rachunków w wykazie. Mail z prośbą o zmianę konta bez odpowiadającej mu zmiany w wykazie to w tym układzie czerwona flaga widoczna od razu.

Monitoring zgłasza zmianę statusu VAT, rachunków, adresu i zarządu, więc przy okazji łapie też firmę, która została wykreślona z rejestru VAT albo zmieniła skład zarządu tuż przed większym zamówieniem. Jak ustawić listę dostawców i ile to kosztuje przy kilkuset firmach, opisujemy na stronie monitoring kontrahentów.

Przelew powyżej 15 000 zł na podmienione konto to także problem podatkowy

Pieniądze to jedno. Przy transakcji powyżej 15 000 zł brutto z czynnym podatnikiem VAT zapłata na rachunek spoza wykazu odbiera Ci koszt podatkowy w części ponad limit i uruchamia solidarną odpowiedzialność za VAT sprzedawcy z art. 117ba Ordynacji podatkowej. Obie sankcje zdejmuje zawiadomienie ZAW-NR złożone w ciągu 7 dni od zlecenia przelewu. Przy ataku BEC to zawiadomienie warto złożyć od razu, równolegle ze zgłoszeniem w banku.

Sejm uchwalił ustawę z druku 2837, która od 1 stycznia 2027 roku ogranicza sankcje w podatkach dochodowych do płatności gotówką. Senat przyjął ją bez poprawek, ustawa czeka na podpis prezydenta. Solidarna odpowiedzialność za VAT zostaje bez zmian, a sama zapora przed oszustwem działa niezależnie od przepisów. Szczegóły zawiadomienia opisuje wpis ZAW-NR, zawiadomienie o zapłacie na rachunek spoza wykazu.

Pieniądze wyszły na konto oszusta, co zrobić w pierwszej godzinie

1. Dzwonisz do swojego banku na infolinię dla firm. Prosisz o próbę wstrzymania przelewu albo o kontakt z bankiem odbiorcy. Art. 143 ustawy o usługach płatniczych zobowiązuje Twój bank do podjęcia działań w celu odzyskania kwoty, a bank odbiorcy do współpracy. Liczą się minuty, bo słup zwykle wypłaca środki od razu.
2. Zgłaszasz przestępstwo na policji. Z numerem przelewu, fakturą oryginalną i podmienioną oraz nagłówkami maili. Zgłoszenie incydentu możesz równolegle wysłać do CERT Polska.
3. Zmieniasz hasła i sprawdzasz reguły w skrzynce. Oszust często zostawia regułę, która przenosi odpowiedzi dostawcy do archiwum. Jeśli to skrzynka dostawcy była przejęta, informujesz go natychmiast.
4. Zabezpieczasz dowody i składasz ZAW-NR, jeśli kwota przekracza 15 000 zł. Zrób to w terminie 7 dni, nawet jeśli bank odzyska pieniądze.

Bank zwykle nie oddaje straty z własnej kieszeni. Przelew wykonany zgodnie z numerem rachunku podanym w zleceniu uważa się za wykonany na rzecz właściwego odbiorcy. Dług wobec prawdziwego dostawcy co do zasady też nie wygasa, bo pieniądze do niego nie trafiły. Spór o to, kto ponosi stratę, gdy przejęta była skrzynka dostawcy, rozstrzyga sąd. Dlatego tańsze od każdej polisy jest sprawdzenie rachunku przed kliknięciem „wyślij”.

Business email compromise, najczęstsze pytania

Czym jest oszustwo business email compromise?

To atak, w którym przestępca przejmuje albo podrabia firmową skrzynkę e-mail i podszywa się pod dostawcę, klienta albo członka zarządu, żeby firma zapłaciła na jego rachunek. Najczęstsza forma w Polsce to podmiana numeru konta na prawdziwej fakturze albo mail o „zmianie banku” przed kolejną płatnością.

Firma podaje inne dane do przelewu, co zrobić?

Wstrzymaj płatność i sprawdź nowy numer w wykazie podatników VAT pod NIP-em dostawcy. Jeśli rachunek jest na liście, zmiana jest prawdziwa i możesz zapłacić. Jeśli go nie ma, zadzwoń do dostawcy na numer z umowy albo z jego strony, nigdy na numer z maila z nowymi danymi, i zapłać dopiero po potwierdzeniu oraz zgłoszeniu rachunku do wykazu.

Jak sprawdzić, czy numer konta na fakturze należy do dostawcy?

Wpisz NIP dostawcy w wykazie podatników VAT i porównaj numer z faktury z listą rachunków, które dostawca zgłosił do urzędu skarbowego. Jeśli numeru na liście nie ma, wstrzymaj przelew i zadzwoń do dostawcy na numer zapisany w kartotece przed otrzymaniem faktury, a nie na numer podany w mailu.

Czy bank odda pieniądze wysłane na konto oszusta?

Nie ma takiego obowiązku, jeśli przelew wykonano zgodnie z numerem podanym w zleceniu. Bank musi natomiast podjąć działania w celu odzyskania kwoty, a bank odbiorcy musi współpracować. Szansa rośnie, gdy zgłosisz sprawę w ciągu kilkudziesięciu minut, zanim środki zostaną wypłacone z rachunku słupa.

Czy weryfikację rachunków przed przelewem da się zautomatyzować?

Tak. Rachunki stałych dostawców trzyma się w monitoringu, który zgłasza każdą zmianę listy kont w wykazie, a pojedyncze płatności sprawdza się przez API przed wysłaniem paczki przelewów do banku. W Businesses monitoring zaczyna się od poziomu Biuro za 399 zł netto + 23% VAT miesięcznie, API i webhooki są w poziomie Firma.