Oszuści atakują firmy, bo przelewy są większe, a procesy mniej przejrzyste niż u osób prywatnych. Najczęściej nie włamują się do systemów banku, tylko oszukują ludzi: podszywają się pod bank, kontrahenta lub urząd. Dobra wiadomość: kilka prostych zasad zamyka większość dróg ataku. Poniżej omawiamy zabezpieczenia, typowe scenariusze i to, co zrobić po wykryciu nieautoryzowanej płatności.
Podstawowe zabezpieczenia
- **Unikalne, długie hasło i menedżer haseł** do bankowości i poczty firmowej. Poczta jest ważna, bo przez nią resetuje się hasła.
- **Uwierzytelnianie dwuskładnikowe** – autoryzacja w aplikacji mobilnej lub tokenie zamiast samego hasła, bez udostępniania kodów komukolwiek.
- **Osobne uprawnienia** dla każdej osoby: księgowa z dostępem tylko do odczytu, pracownik z limitem dziennym, zatwierdzanie przelewów przez drugą osobę.
- **Limity** dzienne i na pojedynczy przelew, zgodne z realnymi potrzebami firmy.
- **Aktualizowane urządzenia** – system, przeglądarka i aplikacja bankowa z oficjalnego sklepu, bez „łatek” z nieznanych źródeł.
- **Powiadomienia** o każdej operacji w aplikacji; pozwalają od razu zauważyć przelew, którego nie zlecałeś (powiadomienia push i SMS w koncie firmowym).
Dobrą praktyką jest też rozdzielenie rachunków: na jednym wpływy i płatności, na drugim środki, z których nie korzysta się na co dzień (dlaczego warto mieć dwa konta firmowe).
Najczęstsze oszustwa wobec firm
| Scenariusz | Jak wygląda | Jak się bronić |
|---|---|---|
| Phishing i smishing | wiadomość „z banku” lub urzędu z linkiem do fałszywego logowania | wchodź do banku tylko przez aplikację lub wpisany adres; bank nie prosi o kody przez telefon |
| Podszycie się pod konsultanta banku | telefon z numeru banku, prośba o „przeniesienie środków na rachunek bezpieczny” | rozłącz się i zadzwoń na numer z karty lub strony banku |
| Zmiana numeru rachunku na fakturze | mail od „kontrahenta” z nowym numerem konta | potwierdź zmianę telefonicznie na znany numer, nie z maila |
| Fałszywe faktury i wezwania | faktura za usługę, której nie zamawiałeś | porównaj z umową i zamówieniem, sprawdź kontrahenta w rejestrach |
| Przejęcie poczty lub komputera | złośliwe oprogramowanie, programy do zdalnego dostępu | nie instaluj programów na prośbę „konsultanta”, używaj aktualnych zabezpieczeń |
| Oszustwo „na prezesa” | pilne polecenie przelewu od rzekomego przełożonego | procedura zatwierdzania przelewów i weryfikacja drugim kanałem |
Pamiętaj, że autoryzacja przelewu w aplikacji, wykonana na prośbę oszusta, bywa uznana przez bank za autoryzowaną transakcję. Dlatego najważniejsza jest zasada: nie zatwierdzaj niczego, czego nie zainicjowałeś.
Co zrobić po wykryciu nieautoryzowanej transakcji
- **Zablokuj dostęp** – zablokuj kartę i zmień hasło, jeśli to możliwe, zadzwoń na infolinię banku.
- **Zgłoś transakcję bankowi niezwłocznie.** Użytkownik niezwłocznie powiadamia dostawcę o stwierdzonych nieautoryzowanych transakcjach, a roszczenia wygasają, jeśli nie zrobi tego w ciągu 13 miesięcy od obciążenia (art. 44 ustawy o usługach płatniczych).
- **Zgłoś sprawę policji** i zachowaj dowody: wiadomości, numery telefonów, zrzuty ekranu, potwierdzenia przelewów.
- **Napisz reklamację** z opisem zdarzenia i żądaniem zwrotu środków.
- **Sprawdź komputery i pocztę** – zmień hasła, wylogowanie z wszystkich urządzeń, skan systemu.
Prawa firmy wobec banku
Gdy transakcja jest nieautoryzowana, dostawca płatnika zwraca jej kwotę niezwłocznie, nie później niż do końca dnia roboczego następującego po dniu stwierdzenia transakcji lub otrzymania zgłoszenia, chyba że ma uzasadnione i udokumentowane podstawy do podejrzenia oszustwa i poinformował o tym organy ścigania na piśmie (art. 46 ust. 1). Na banku spoczywa ciężar udowodnienia, że transakcja została autoryzowana i prawidłowo zapisana, a samo zarejestrowane użycie instrumentu płatniczego nie wystarcza do wykazania autoryzacji ani rażącego niedbalstwa klienta (art. 45).
**Uwaga dla firm:** przedsiębiorca i bank mogą w umowie wyłączyć część tych przepisów, m.in. art. 45 i art. 46 ust. 2–5, oraz ustalić inny termin zgłoszenia (art. 33). Umowa rachunku firmowego może więc zawierać mniej korzystne zasady odpowiedzialności niż umowa konsumencka. Przeczytaj w regulaminie rozdziały o odpowiedzialności za nieautoryzowane transakcje i o terminach zgłoszeń. Więcej o wyborze konta znajdziesz w przewodniku po kontach firmowych.
Lista kontrolna na dziś
- Włącz dwuskładnikowe uwierzytelnianie w bankowości i poczcie.
- Ustaw limity i powiadomienia.
- Przejrzyj uprawnienia – usuń dostęp byłych pracowników i zewnętrznych aplikacji.
- Ustal procedurę: każda zmiana numeru rachunku kontrahenta jest potwierdzana telefonicznie.
- Szkolenie zespołu: przykłady fałszywych wiadomości i zasada, że bank nie prosi o kody ani hasła.
- Zapisz numery alarmowe banku i procedurę blokady.
Najczęstsze pytania
W przypadku nieautoryzowanej transakcji bank co do zasady zwraca kwotę niezwłocznie, najpóźniej do końca następnego dnia roboczego po zgłoszeniu, chyba że zachodzi uzasadnione podejrzenie oszustwa. Jeśli klient sam zatwierdził przelew pod wpływem manipulacji, sprawa bywa sporna i zależy od okoliczności.
Niezwłocznie. Ustawowo roszczenia wygasają po 13 miesiącach od obciążenia rachunku, ale umowa z firmą może wprowadzać inny termin (art. 33 ustawy o usługach płatniczych), więc zgłoś jak najszybciej.
Nie. Konsultant banku nie prosi o hasła, kody autoryzacyjne ani o instalację programu do zdalnego dostępu. Taka prośba to sygnał oszustwa.
Zmień hasło do poczty i bankowości z innego, bezpiecznego urządzenia, zadzwoń do banku, zablokuj dostęp i sprawdź komputer programem antywirusowym.
Tak. Osobne uprawnienia, limity i potwierdzanie przelewów przez drugą osobę ograniczają skutki błędu lub przejęcia konta jednego pracownika.
