Phishing i oszustwo „na prezesa” — jak je rozpoznać
Opublikowano: 25.09.2026 · 4 min czytania · Autor: itpoludzku.pl
Największe straty w małych firmach nie biorą się z włamań, tylko z jednego przelewu wykonanego w dobrej wierze.
W skrócie
- Największe straty w małych firmach nie biorą się z włamań, tylko z jednego przelewu wykonanego w dobrej wierze.
- Sygnały: presja czasu, obejście procedury, prośba o dyskrecję, zmiana numeru konta, prawie dobry adres nadawcy.
- Zasada: każdą prośbę o pieniądze, hasła lub zmianę konta potwierdź innym kanałem — telefonem na znany numer.
- Po kliknięciu: hasło do poczty, reguły przekierowań, logowanie dwuskładnikowe, przy przelewie — bank natychmiast.
- Nie karz osoby, która zgłosiła pomyłkę.
Atak nie wygląda jak atak. Wygląda jak zwykła wiadomość od szefa, kuriera albo kontrahenta — i właśnie dlatego działa. Nie trzeba łamać zabezpieczeń, wystarczy przekonać jedną osobę, żeby sama kliknęła, podała hasło albo zrobiła przelew.
Oszustwo „na prezesa” (w angielskiej nomenklaturze BEC — Business Email Compromise) to szczególnie bolesna odmiana: wiadomość podszywa się pod właściciela firmy albo stałego kontrahenta i prosi o pilny przelew. W małej firmie, gdzie wszyscy się znają i ufają sobie, to działa zaskakująco dobrze.
Sygnały, które powinny zapalić lampkę
| Sygnał | Jak to wygląda | Dlaczego to podejrzane |
|---|---|---|
| Presja czasu | „Pilne”, „dziś do końca dnia”, „zanim wyjdę ze spotkania” | Pośpiech wyłącza ostrożność |
| Obejście procedury | Przelew bez faktury, poza systemem, bez księgowości | Procedury istnieją właśnie po to |
| Prośba o dyskrecję | „Nie mów nikomu, to poufne” | Prawdziwy szef tego nie pisze |
| Zmiana numeru konta | Nowy rachunek tuż przed płatnością faktury | Klasyczny scenariusz na kontrahenta |
| Prawie dobry adres | Jedna litera inna, zamieniona końcówka domeny | Podszywanie się pod znaną firmę |
| Link gdzie indziej | Tekst mówi „bank”, adres prowadzi gdzie indziej | Strona wyłudzająca dane logowania |
Najedź, zanim klikniesz
Na komputerze najedź kursorem na link i spójrz na adres w lewym dolnym rogu przeglądarki. Na telefonie przytrzymaj link palcem. Liczy się to, co jest tuż przed pierwszym pojedynczym ukośnikiem — bank.pl.weryfikacja-konta.com to nie jest bank.
Trzy najczęstsze scenariusze
Na prezesa
Wiadomość od właściciela do księgowej lub osoby z dostępem do bankowości: „Jestem na spotkaniu, nie mogę rozmawiać. Zrób proszę pilnie przelew na ten rachunek, faktura dojdzie później”. Adres wygląda znajomo, podpis się zgadza, ton też.
Na kontrahenta
Informacja o zmianie numeru konta tuż przed płatnością dużej faktury. Często wysłana z prawdziwej, przejętej skrzynki kontrahenta — w tym samym wątku, w którym wcześniej rozmawialiście. To najtrudniejszy do wykrycia wariant.
Na kuriera lub urząd
Dopłata kilku złotych do przesyłki albo zaległość w urzędzie, na stronie do złudzenia podobnej do prawdziwej. Celem nie są te złotówki, tylko dane karty lub logowania do bankowości. Więcej o wersji SMS-owej w poradniku fałszywe SMS-y od kuriera i banku.
Jedna zasada, która zatrzymuje prawie wszystko
Każda prośba o pieniądze, dane logowania albo zmianę numeru konta wymaga potwierdzenia innym kanałem. Nie odpowiedzią na maila — telefonem na numer, który już znasz, a nie ten podany w wiadomości. To kosztuje minutę.
Ustalcie to zawczasu
Zasada działa tylko wtedy, gdy pracownik wie, że wolno mu zadzwonić do szefa i zapytać „czy na pewno?”. W firmach, gdzie kwestionowanie polecenia jest źle widziane, ataki udają się znacznie częściej. Najlepiej, żeby właściciel powiedział to wprost: „Nigdy nie poproszę o przelew mailem bez telefonu. Jeśli dostaniesz taką prośbę — dzwoń”.
Głos też można podrobić
Oszuści potrafią już podrabiać głos na podstawie nagrań z internetu. Jeśli telefon przychodzi do Ciebie z prośbą o pieniądze, rozłącz się i oddzwoń na znany numer. Szczegóły w poradniku oszustwo głosem AI.
Co zrobić, gdy ktoś już kliknął
Zmień hasło do poczty
Natychmiast — to ona resetuje hasła do reszty usług.
Sprawdź reguły w skrzynce
Atakujący często zostawiają przekierowanie albo kopiowanie korespondencji na zewnętrzny adres.
Włącz logowanie dwuskładnikowe
Jeśli jeszcze go nie ma — od razu, dla wszystkich kont.
Przy przelewie dzwoń do banku
Od razu, liczą się minuty. Potem zgłoszenie na policję.
Zgłoś incydent
Do CERT Polska przez incydent.cert.pl i do zespołu, żeby nikt nie dał się nabrać na ten sam scenariusz.
I najważniejsze: nie karz osoby, która zgłosiła pomyłkę. Firma, w której ludzie boją się przyznać do kliknięcia, dowiaduje się o incydencie o tydzień za późno — kiedy przekierowanie poczty działa od dawna, a pieniędzy nie da się już zatrzymać.
Wniosek
Phishing i oszustwo „na prezesa” wykorzystują zaufanie i pośpiech, a nie technikę. Jedna zasada — potwierdzenie każdej prośby o pieniądze lub dane telefonem na znany numer — zatrzymuje prawie wszystko. Reszta to dwuskładnikowe logowanie i atmosfera, w której wolno zapytać.
Najczęstsze pytania
Czy filtr antyspamowy nie powinien tego zatrzymać?
Zatrzymuje dużą część, ale nie wszystko. Wiadomość z przejętej skrzynki kontrahenta przechodzi przez filtry, bo pochodzi z prawdziwego adresu.
Czy bank może cofnąć przelew?
Czasem da się go zatrzymać, jeśli zgłoszenie jest bardzo szybkie. Po zaksięgowaniu u odbiorcy szanse spadają, dlatego liczą się minuty.
Jak chronić domenę przed podszywaniem się?
Rekordy SPF, DKIM i DMARC utrudniają wysyłanie maili, które udają Twój adres. Nie chronią przed domenami podobnymi z jedną zmienioną literą.
Czy szkolenie zespołu coś daje?
Tak, jeśli opiera się na realnych przykładach z branży i kończy się konkretną zasadą postępowania, a nie listą zakazów.
Gdzie zgłosić podejrzany mail?
Do CERT Polska przez formularz na incydent.cert.pl. Podejrzane SMS-y można przesłać bezpłatnie na numer 8080.
Chcesz przeszkolić zespół?
Przeglądam zabezpieczenia poczty i omawiam z zespołem realne scenariusze — na przykładach z Waszej branży. Zobacz audyt bezpieczeństwa IT i konfigurację poczty firmowej.
Patryk · itpoludzku.pl
Zajmuję się serwisem komputerowym, stronami i sklepami internetowymi oraz wdrożeniami dla małych firm. Piszę o tym, co robię na co dzień — razem z sytuacjami, w których coś się nie opłaca. Dojeżdżam do klientów w promieniu 50 km od Grodziska Mazowieckiego.
Oceń ten wpis
Kliknij gwiazdkę, aby ocenić (1-5).
0/5 · głosów: 0
Komentarze (0)
Brak komentarzy — bądź pierwszy!
Dodaj komentarz
Komentujesz jako gość — możesz też zalogować się lub założyć konto. Każdy może skomentować wpis tylko raz.
