1. Dlaczego konto firmowe to łakomy kąsek
Na koncie firmowym są zwykle większe salda niż na prywatnym, przelewów jest więcej, a dostęp ma do niego często kilka osób. Dla oszusta to po prostu lepszy cel. Kiedy robię audyt bezpieczeństwa danych firmy, bankowość elektroniczna zawsze trafia na listę, bo jeden źle wysłany przelew potrafi kosztować więcej niż wszystkie pozostałe zaniedbania razem. Poniżej zebrałem zasady, które naprawdę robią różnicę, bez ogólników w stylu „nie podawaj nikomu PIN-u”.
Skalę problemu widać w liczbach. CERT Polska w raporcie rocznym za 2025 rok odnotował 260 783 incydenty, o 152% więcej niż rok wcześniej. Aż 97% z nich to oszustwa komputerowe, a sam phishing to 78 391 przypadków. Większość ofiar to osoby prywatne, ale pamiętaj, że po drugiej stronie firmowego konta też siedzi człowiek, z tym samym telefonem i tą samą skrzynką mailową.
2. Logujesz się z zakładki, nigdy z linku
Najprostsza zasada i jednocześnie najczęściej łamana. Do bankowości wchodzisz z zapisanej zakładki w przeglądarce, z ręcznie wpisanego adresu albo z aplikacji mobilnej. Nigdy z linku w SMS-ie, w mailu ani z wyników wyszukiwania.
Wyszukiwarka też jest na tej liście nie bez powodu. CSIRT KNF w raporcie za 2025 rok opisuje fałszywe reklamy dużych banków, w których wyświetlała się prawdziwa domena banku, a kliknięcie prowadziło na łudząco podobny adres zapisany znakami cyrylicy. Ten sam raport opisuje fałszywe strony logowania wypozycjonowane wysoko w wynikach wyszukiwania. Wpisanie nazwy banku w Google i kliknięcie pierwszego wyniku to dziś realne ryzyko.
Oszuści działają też bardzo szybko. Według raportu CERT Polska większość wejść na strony phishingowe następuje w ciągu 15 minut od otrzymania SMS-a. Zanim fałszywa strona trafi na listę ostrzeżeń, część ofiar zdąży już wpisać swoje dane.
3. Czytasz treść autoryzacji, a nie tylko klikasz „Zatwierdź”
Potwierdzenie w aplikacji albo kod SMS chroni cię tylko wtedy, gdy czytasz, co właściwie zatwierdzasz. Powiadomienie mówi, jaka operacja czeka na akceptację. Może to być przelew, dodanie zaufanego odbiorcy, nowe urządzenie albo zmiana limitu. Jeśli właśnie się logujesz, a aplikacja prosi o zatwierdzenie przelewu, to nie jest „błąd systemu”. To znak, że ktoś po drugiej stronie korzysta z twoich danych.
Na co dzień wystarczy jedna reguła. Nie potwierdzasz niczego, czego sam przed chwilą nie zlecałeś. Szczególnie uważaj na dodanie nowego urządzenia i odbiorcy zaufanego, bo to furtka do kolejnych przelewów już bez dodatkowych pytań.
4. Bank nie prosi o instalację programów
Oszustwo „na pracownika banku” wygląda zwykle podobnie. Dzwoni ktoś, na ekranie wyświetla się numer twojego banku, rozmówca mówi o podejrzanej transakcji i prosi o szybką reakcję. Potem pada prośba o instalację aplikacji „zabezpieczającej”, która w praktyce jest programem do zdalnego pulpitu. Od tej chwili oszust widzi twój ekran. Policja we wspólnej kampanii z bankowcami ostrzega wprost, że numer banku na wyświetlaczu niczego nie dowodzi, i radzi nie instalować zdalnego pulpitu na prośbę rozmówcy.
CERT Polska opisuje w raporcie za 2025 rok nowszy wariant tego schematu. Ofiara dostaje wiadomość podszywającą się pod gov.pl, która informuje o nowej sesji na nieznanym urządzeniu i podaje numer do kontaktu. W trakcie rozmowy sprawcy namawiają do instalacji oprogramowania do zdalnego dostępu, a potem wykonują przelewy z konta ofiary.
Co robić? Rozłączasz się i oddzwaniasz na numer z karty albo z oficjalnej strony banku, wpisanej ręcznie. Część banków daje też narzędzie do sprawdzenia rozmówcy. PKO BP pozwala zweryfikować w aplikacji, czy dzwoni naprawdę pracownik banku, bo jego dane przychodzą wtedy w powiadomieniu. Sprawdź, czy twój bank ma podobną funkcję i czy działa ona także dla konta firmowego.
Jeszcze jedna rzecz, ważna właśnie w firmie. Legalny zdalny dostęp do komputera też istnieje, korzysta z niego twój informatyk albo firma, która opiekuje się twoim IT. Różnica polega na tym, że to ty go inicjujesz, wiesz, z kim rozmawiasz, i nikt w trakcie nie każe ci logować się do banku. Jeśli masz stałą opiekę informatyczną w ramach outsourcingu IT, ustal z pracownikami prostą regułę. Zdalny pulpit uruchamiamy tylko na prośbę znanej osoby, nigdy na prośbę „banku”.
5. Podmiana numeru konta na fakturze
Ten schemat celuje typowo w firmy. Przychodzi mail od znanego kontrahenta, czasem z jego prawdziwej, przejętej skrzynki, z informacją o zmianie numeru rachunku albo z fakturą, na której numer jest już inny. Przelew idzie zgodnie z procedurą, tylko trafia do złodzieja. Mazowiecka Policja ostrzega przed fałszywymi fakturami z podmienionym numerem konta wysyłanymi do firm, a policja w Gliwicach opisała przypadek, w którym dopiero czujność księgowości zatrzymała przelew na kilka milionów złotych.
Obrona nie wymaga żadnej technologii, tylko procedury. Każdą zmianę numeru konta kontrahenta potwierdzasz telefonicznie, dzwoniąc na numer, który już masz w swojej bazie, a nie na ten podany w mailu. PKO BP zaleca dokładnie to samo, czyli potwierdzenie zmiany innym kanałem niż e-mail.
Druga warstwa to wykaz podatników VAT, potocznie biała lista. Jak wyjaśnia biznes.gov.pl, przy płatności powyżej 15 000 zł na rachunek spoza wykazu odpowiadasz solidarnie za VAT dostawcy, a do tej pory traciłeś też prawo do zaliczenia wydatku w koszty. Ta druga sankcja zniknie dla faktur wystawionych od 1 stycznia 2027 roku, bo nowelizacja z druku sejmowego nr 2837 uchyla odpowiednie przepisy w PIT i CIT. Odpowiedzialność solidarna w VAT jednak zostaje, więc sprawdzanie numeru nadal ma sens. Przy okazji to prosty test autentyczności. Jeśli numeru z faktury nie ma w wykazie przy NIP-ie kontrahenta, wstrzymaj przelew i zadzwoń. A gdy mimo wszystko zapłacisz na konto spoza listy, masz 7 dni na złożenie zawiadomienia ZAW-NR do urzędu skarbowego, co opisuje podatki.gov.pl.
6. Kto i z jakimi uprawnieniami ma dostęp do konta
W małych firmach zdarza się, że wszyscy korzystają z jednego loginu właściciela, a kod do aplikacji zna pół biura. To wygodne do pierwszego problemu. Bankowość firmowa pozwala zwykle nadać każdej osobie osobny dostęp i ustawić zasady akceptacji, więc warto z tego skorzystać:
- każda osoba ma własny login i własne potwierdzenia, nikt nie używa danych właściciela,
- księgowość może przygotowywać przelewy, ale wysyła je dopiero osoba z prawem akceptacji,
- limity dzienne i limity pojedynczego przelewu są ustawione na realnym poziomie, a nie na maksimum,
- przelewy powyżej ustalonej kwoty wymagają akceptacji dwóch osób,
- odejście pracownika oznacza odebranie dostępu tego samego dnia.
Hasło do bankowości ma być unikalne i nigdzie niezapisane na kartce przy monitorze. Jeśli w firmie hasła wciąż krążą w arkuszu, zacznij od menedżera haseł dla firmy.
Jest też powód prawny, żeby podejść do tego poważnie. Ustawa o usługach płatniczych w art. 46 każe bankowi zwrócić kwotę nieautoryzowanej transakcji najpóźniej do końca następnego dnia roboczego. Ale art. 33 pozwala bankowi i klientowi, który nie jest konsumentem, wyłączyć w umowie część tych zasad, w tym przepis o zwrocie. Firma może więc być chroniona słabiej niż osoba prywatna, a przelew, który sam zatwierdziłeś pod wpływem manipulacji, bank może w ogóle nie uznać za nieautoryzowany. Warto zajrzeć do swojej umowy z bankiem.
Dostępy do banku, skrzynki mailowe księgowości i komputery, z których wychodzą przelewy, to stały punkt, gdy przeprowadzam audyt bezpieczeństwa danych firmy. To właśnie tam najłatwiej przeoczyć coś, o czym nikt w firmie nie pamięta, na przykład wciąż aktywny dostęp osoby, która dawno odeszła.
7. Komputer, z którego robisz przelewy
Bankowość jest tak bezpieczna, jak urządzenie, na którym ją otwierasz. System i przeglądarka mają być aktualne, a jeśli w firmie aktualizacje są odkładane „na później”, przeczytaj, dlaczego nie warto ich odkładać. Do tego działający antywirus i codzienna praca na koncie bez uprawnień administratora, żeby nic nie zainstalowało się po cichu.
Publiczne Wi-Fi jest dziś mniej groźne niż kiedyś, bo bankowość działa w szyfrowanym połączeniu. Mimo to nie ma żadnego powodu, żeby robić przelewy z hotelowej sieci, a już na pewno nie z cudzego komputera.
Nie zapominaj o poczcie. To przez nią przychodzą faktury i to ją oszuści chcą przejąć, żeby potem wysyłać z niej fałszywe zmiany numerów kont. CERT Polska opisuje kampanie z fałszywymi e-Doręczeniami i stronami udającymi biznes.gov.pl, które wyłudzały właśnie hasła do skrzynek. Włącz uwierzytelnianie dwuskładnikowe na poczcie firmowej, szczególnie na skrzynkach księgowości.
8. Co zrobić, gdy coś już się stało
Liczą się minuty, więc lepiej mieć ten plan spisany wcześniej:
- Dzwonisz do banku na numer z karty albo z oficjalnej strony, blokujesz dostęp i prosisz o próbę zatrzymania przelewu. Kartę zastrzeżesz też przez wspólny numer zastrzegam.pl, czyli +48 828 828 828, działający całą dobę.
- Jeśli ktoś miał zdalny dostęp do komputera, odłączasz go od sieci i nie logujesz się z niego do niczego, dopóki nie sprawdzi go informatyk. Hasła zmieniasz z innego, pewnego urządzenia.
- Zgłaszasz sprawę na policję.
- Zgłaszasz incydent do CERT Polska. Jak podaje gov.pl, podejrzany SMS przekazujesz bezpłatnie na numer 8080, a maile i strony zgłaszasz przez incydent.cert.pl.
- Jeśli oszuści mogli poznać twój PESEL albo dane dowodu, zastrzegasz PESEL w mObywatelu, a dokument w systemie Dokumenty Zastrzeżone.
Pamiętaj też o terminie. Według ustawy o usługach płatniczych nieautoryzowaną transakcję trzeba zgłosić w ciągu 13 miesięcy, a w umowach firmowych ten termin bywa krótszy.
9. Podsumowanie
Większość ataków na firmowe konta nie łamie żadnych zabezpieczeń technicznych. Wykorzystuje pośpiech, zaufanie do numeru na wyświetlaczu i to, że nikt nie dzwoni do kontrahenta przed zmianą numeru konta. Dlatego najwięcej dają proste zasady. Logowanie z zakładki, czytanie każdej autoryzacji, telefoniczne potwierdzanie zmian, rozdzielone uprawnienia i zakaz instalowania czegokolwiek na prośbę „banku”.
Jeśli chcesz sprawdzić, jak wygląda to w twojej firmie, skorzystaj z bezpłatnego audytu IT z kodem RALKOM26. A jeśli wolisz od razu porozmawiać o konkretnej sytuacji, napisz do mnie.