Fałszywa zmiana konta: jak firmy traciły miliony

Oszustwo, o którym jest ten tekst, nie wymaga złośliwego oprogramowania ani łamania zabezpieczeń. Działa, bo ktoś w dziale finansów dostaje wiarygodnie wyglądający e-mail i robi przelew. FBI nazywa je Business Email Compromise (BEC) i od lat notuje w nim jedne z najwyższych strat. Poniżej trzy głośne przypadki opisane w dokumentach spółek i prokuratury, a na końcu to, co z nich wynika dla małej firmy.

1. Ubiquiti, 2015: 46,7 mln USD z działu finansów

5 czerwca 2015 amerykański producent sprzętu sieciowego Ubiquiti Networks ustalił, że padł ofiarą oszustwa. W raporcie złożonym w SEC 6 sierpnia 2015 spółka opisała mechanizm jednym zdaniem: podszywanie się pod pracowników i fałszywe prośby wysyłane przez podmiot z zewnątrz do działu finansów.

Skutek to przelewy na łącznie 46,7 mln USD ze środków spółki zależnej w Hongkongu na zagraniczne rachunki osób trzecich. Do dnia raportu Ubiquiti odzyskało 8,1 mln USD, kolejne 6,8 mln USD było zablokowane decyzją sądu, a o pozostałe 31,8 mln USD spółka wciąż walczyła.

2. Toyota Boshoku, 2019: do 4 mld jenów w jednej spółce zależnej

14 sierpnia 2019 europejska spółka zależna japońskiego dostawcy części samochodowych Toyota Boshoku wykonała płatności na podstawie fałszywych poleceń od osoby trzeciej. W komunikacie z 6 września 2019 spółka oszacowała spodziewaną stratę na najwyżej około 4 mld jenów.

Toyota Boshoku podała, że zorientowała się w oszustwie wkrótce po wypływie pieniędzy, powołała zespół z udziałem prawników i zgłosiła sprawę lokalnym organom ścigania. Więcej szczegółów nie ujawniła, powołując się na poufność śledztwa.

3. Fałszywy dostawca Google i Facebooka

Najbardziej znany przypadek pokazuje, że nie chroni nawet skala firmy. Według prokuratury dla Południowego Dystryktu Nowego Jorku Litwin Evaldas Rimašauskas w latach 2013 do 2015 zarejestrował na Łotwie spółkę o tej samej nazwie co azjatycki producent sprzętu komputerowego, który był dostawcą dwóch amerykańskich firm internetowych. Pracownicy ofiar dostawali e-maile z poleceniem przelania należności na rachunki sprawcy na Łotwie i Cyprze.

Do banków trafiały sfałszowane faktury i umowy z podrobionymi pieczęciami ofiar. Łącznie z Google i Facebooka wypłynęło ponad 120 mln USD. 19 grudnia 2019 Rimašauskas został skazany na 5 lat więzienia, orzeczono przepadek 49,7 mln USD i naprawienie szkody w kwocie 26,5 mln USD.

4. Skala według FBI

Raport FBI IC3 za 2025 rok wylicza straty z BEC na 3,047 mld USD przy 24 768 skargach, wobec 2,77 mld USD rok wcześniej. W ogólnym zestawieniu BEC jest drugą po oszustwach inwestycyjnych kategorią strat. FBI odnotowało też ponad 30 mln USD strat z BEC z użyciem sztucznej inteligencji.

Raport pokazuje, że szybka reakcja ma znaczenie. W 2025 roku zespół FBI zajmujący się odzyskiwaniem środków obsłużył 3900 incydentów z próbami kradzieży na 1,16 mld USD i zamroził 679 mln USD, czyli 58%. FBI pisze wprost, że po odkryciu fałszywego przelewu liczy się czas.

5. Polskie przypadki i biała lista

Ten sam schemat działa w Polsce, także przeciw małym firmom. Policja w Płońsku opisała w kwietniu 2026 przejęcie firmowej skrzynki, z której przestępca poprosił zagranicznego kontrahenta o płatność na podmieniony rachunek. Strata wyniosła 5 tys. euro. Firma z powiatu łęczyńskiego straciła według policji w Łęcznej ponad 100 tys. zł w dwóch przelewach na podstawie faktury z podmienionym numerem.

Polskie firmy mają darmowe narzędzie, którego nie mieli pracownicy Ubiquiti. W wykazie podatników VAT sprawdzisz, czy rachunek należy do kontrahenta o danym NIP. Wykaz nie powstał jako ochrona przed oszustwami, ale rachunek, którego nie ma przy NIP dostawcy, to wyraźny sygnał ostrzegawczy. Do tego art. 117ba Ordynacji podatkowej przewiduje solidarną odpowiedzialność za VAT dostawcy, gdy płacisz ponad 15 000 zł na rachunek spoza wykazu. Uwalnia od niej zawiadomienie ZAW-NR złożone w urzędzie skarbowym w ciągu 7 dni od zlecenia przelewu albo zapłata w mechanizmie podzielonej płatności.

6. Co z tego wynika dla małej firmy

Wszystkie opisane przypadki łączy jedno. Nikt nie zweryfikował polecenia zapłaty innym kanałem niż ten, którym przyszło. Ministerstwo Cyfryzacji i Policja zalecają potwierdzać każdą zmianę numeru rachunku i każdą nietypową prośbę o przelew telefonicznie. Numer telefonu weź z umowy albo ze swoich kontaktów, nigdy z wiadomości, która prosi o zmianę.

Jeśli pieniądze już wyszły, najpierw dzwonisz do banku z prośbą o wstrzymanie lub zwrot przelewu, potem zgłaszasz sprawę na Policję i do CERT Polska. O tym, jak rozpoznać fałszywą wiadomość, piszemy w tekście o fałszywych SMS-ach i e-mailach.

7. Podsumowanie

Ubiquiti, Toyota Boshoku, Google i Facebook miały działy finansowe i procedury, a mimo to wysłały pieniądze przestępcom na podstawie e-maili. Mała firma ma tu przewagę prostoty. Wystarczy zasada, że zmianę numeru konta potwierdza się telefonem pod znany numer, i sprawdzenie rachunku w białej liście przed przelewem.