Ataki BEC na polskie firmy: scenariusze, ostrzegawcze sygnały i obrona w praktyce

Dlaczego BEC tak dobrze „siada” na polski grunt biznesowy

Business Email Compromise (BEC) to oszustwa polegające na przejęciu lub wiarygodnym podszyciu się pod skrzynkę e‑mail w komunikacji biznesowej, w celu wyłudzenia pieniędzy lub poufnych danych. W odróżnieniu od „zwykłego” phishingu, który często jest masowy i chaotyczny, ataki BEC są celowane, dobrze przygotowane i zakładają znajomość procesów finansowych w konkretnej firmie.

Klasyczny phishing przypomina spam: ten sam e‑mail trafia do tysięcy odbiorców z nadzieją, że ktoś kliknie w złośliwy link. BEC jest bliżej klasycznej socjotechniki – przestępcy analizują konkretnego kontrahenta, konkretnego dyrektora finansowego czy księgową, wchodzą w istniejący wątek korespondencji i modyfikują pojedynczy element, zwykle numer rachunku bankowego lub treść dyspozycji przelewu.

Polskie firmy są atrakcyjnym celem z kilku powodów. Po pierwsze, bardzo wiele rozliczeń B2B odbywa się „na fakturę” z odroczonym terminem płatności. To oznacza, że przelew na kilkaset tysięcy złotych, wysłany do nowego numeru konta, wcale nie jest niczym nadzwyczajnym. Po drugie, wiele przedsiębiorstw wciąż opiera się na e‑mailu jako głównym kanale akceptacji faktur, a systemy ERP, KSeF czy bankowość elektroniczna są zszywane prowizorycznymi procedurami i Excelami.

Do tego dochodzi polska specyfika regulacyjna: mechanizm split payment, obowiązek korzystania z KSeF, biała lista podatników VAT. Te rozwiązania mają zwiększać bezpieczeństwo, ale paradoksalnie tworzą dodatkowy szum informacyjny. E‑maile o „aktualizacji rachunku bankowego w związku z KSeF” czy „dostosowaniem do split payment” brzmią dziś całkowicie normalnie. Przestępcy doskonale o tym wiedzą i wykorzystują język oraz narrację znaną z komunikacji urzędowej i bankowej.

Dobry obraz skali ryzyka dają dwa popularne profile ofiar. Średnia firma produkcyjna, która ma kilkudziesięciu dostawców, pracuje z kilkoma biurami projektowymi i regularnie robi przelewy wysokokwotowe za surowce, jest idealnym kandydatem na scenariusz z „aktualizacją numeru rachunku kontrahenta”. Z kolei software house z międzynarodowymi klientami, rozliczający się w euro lub dolarach, posiada wiele projektów równolegle, a decyzje o płatnościach zapadają „na szybko” w mailu – to wymarzone środowisko dla wariantu „pilny przelew od CEO z zagranicy”.

Popularna rada „uważaj na podejrzane maile z Nigerii” jest już kompletnie nieaktualna. Atakujący mówią po polsku, znają realia fakturowania, odwołują się do nazw konkretnych projektów i potrafią naśladować styl pisania zarządu lepiej niż wielu zastępców dyrektora.

Kluczowe scenariusze BEC w polskich firmach

Fałszywa zmiana numeru rachunku kontrahenta

Najczęstszy wariant business email compromise w Polsce polega na podszyciu się pod wieloletniego dostawcę i podsunięciu „aktualizacji danych do przelewów”. Księgowość otrzymuje e‑mail, który wygląda jak naturalna kontynuacja istniejącej relacji, z poprawnym logotypem, podpisem, a często także z załączoną „aktualną kartą kontrahenta”.

Takie wiadomości często wykorzystują realne fragmenty wcześniejszej korespondencji. Nagłówek „Re: Faktura FV/2024/05/123 – płatność” nie jest przypadkowy – to przepisany lub przekazany dalej temat faktycznego wątku. Treść odwołuje się do realnego zamówienia, dostarczonego towaru lub numeru umowy. Wersje lepiej przygotowane są napisane poprawną polszczyzną, bez rażących błędów, z użyciem branżowego słownictwa, które księgowa widzi w swojej skrzynce każdego dnia.

Technicznie najgroźniejsza jest wersja, w której przestępcy faktycznie przejęli skrzynkę e‑mail kontrahenta (poprzez wyłudzenie hasła lub złośliwe oprogramowanie). Wtedy atakujący widzą całą historię korespondencji i mogą ją w pełni wykorzystać. Wysyłają „aktualizację rachunku” z prawdziwego adresu dostawcy, często z dołączonym PDF wyglądającym jak standardowy załącznik z systemu księgowego. W logach po stronie ofiary nadawca będzie wyglądał bez zarzutu, a mechanizmy SPF/DKIM/DMARC niczego nie wykryją.

Druga wersja – prostsza, ale nadal skuteczna – to rejestracja myląco podobnej domeny. Zamiast @dostawca-firma.pl pojawia się @dostawca-fima.pl albo @dostawca‑firma.com. Przy dużej liczbie maili dziennie, różnica jednego znaku w nazwie domeny jest praktycznie niewidoczna, jeśli ktoś nie ma nawyku sprawdzania adresu znak po znaku. W tej odmianie często pojawiają się lekkie różnice w stopce czy szablonie faktury, ale jeśli firma kontrahenta często modyfikuje branding, księgowość rzadko to kwestionuje.

Najgorszy scenariusz to połączenie obu technik: przejęta skrzynka prawdziwego kontrahenta, a następnie przekierowanie części korespondencji na podobną domenę oraz systematyczne „oswajanie” zmiany rachunku. Na przykład: najpierw informacja, że „w związku z reorganizacją księgowości prosimy kierować płatności na konto A”, a po kilku tygodniach – kolejna drobna modyfikacja. Wszystko w rytmie normalnych faktur i rozliczeń.

„Pilny przelew od prezesa” z presją czasu i poufnością

Drugi bardzo popularny schemat to e‑mail rzekomo od prezesa, właściciela lub dyrektora finansowego z dyspozycją pilnego przelewu. Treść bywa dość schematyczna: nadawca jest „na delegacji”, ma „limitowany dostęp do Internetu” lub „zaraz wchodzi na spotkanie z inwestorem”. Polecenie brzmi: wykonaj przelew na wskazany rachunek, nie konsultuj, bo sprawa jest poufna.

W mniejszych firmach, gdzie „wszyscy się znają”, atakujący grają na relacji zaufania i lojalności. Wiadomość potrafi nawiązywać do osobistych rozmów: „wiem, że mogę na Ciebie liczyć”, „nie chcę angażować całego zespołu”. Osoba z działu finansowego nierzadko czuje się wyróżniona, że zarząd powierza jej tak ważne, „tajne” zadanie. Typowa procedura dwuosobowej akceptacji przelewów zostaje zawieszona, bo „prezes tak kazał” i „nie chcemy blokować dealu życia”.

W korporacjach scenariusz jest trochę inny, bo formalnie dyrektor finansowy nie może jednym mailem „rozbroić” całej ścieżki akceptacji. Przestępcy starają się obejść ten problem, dobrzy wybierając osobę „na styku” – menedżera, który ma wpływ na proces, ale nie jest aż tak obłożony obowiązkami, by każdą nietypową prośbę traktować podejrzliwie. W wiadomościach pojawia się presja czasu: „do 12:00 musi być na koncie, bo inaczej stracimy kontrakt”. Często pojawia się też prośba o ominięcie systemu wniosków: „wrzucimy papierologię po fakcie, teraz ważne, żeby pieniądze wyszły”.

Największym problemem w takich sytuacjach bywa kultura organizacyjna. Jeśli firma nie daje działowi finansowemu realnego mandatu do mówienia „stop” i weryfikowania nawet pilnych próśb zarządu, to nawet doświadczona księgowa może ulec presji. Szczególnie gdy widzi, że w przeszłości podobne „gaszenia pożarów” faktycznie się zdarzały i były chwalone jako „elastyczność biznesowa”.

Wiele poradników radzi: „zawsze dzwoń do prezesa, aby potwierdzić dyspozycję”. Problem w tym, że w praktyce często jest to nierealne – prezes jest na zarządzie, w samolocie, na konferencji. Rozsądniejszym podejściem jest ustalenie zawczasu, jak wygląda procedura w sytuacjach naprawdę awaryjnych: kto może potwierdzić przelew w zastępstwie, jakimi kanałami, z jakimi hasłami ustalonymi wcześniej, a czego nie da się obejść „bo tak”.

Przechwycenie korespondencji projektowej lub sprzedażowej

Ataki BEC na łańcuch dostaw nie wyglądają spektakularnie, ale potrafią być bardzo skuteczne. W sektorach takich jak budowlanka, IT, produkcja czy logistyka projekty trwają miesiącami, a nawet latami, a w korespondencji przewija się kilkadziesiąt, czasem kilkaset faktur. W takim gąszczu jedna zmodyfikowana faktura ma niewielką szansę zostać wychwycona bez specjalnych procedur.

Scenariusz bywa prosty: przestępcy włamują się do skrzynki e‑mail jednego z uczestników projektu – często mniejszego podwykonawcy z słabiej zabezpieczoną pocztą. Następnie filtrują korespondencję po słowach „faktura”, „rozliczenie”, „pro forma”. Gdy znaleziony zostanie kolejny standardowy mail: „w załączeniu faktura za etap 3 projektu X”, atakujący przygotowują własną wersję tego samego maila, z takim samym numerem faktury, ale z podmienionym numerem rachunku.

W bardziej wyrafinowanych przypadkach nie modyfikują od razu całej faktury. Dołączają identyczny dokument, ale wprowadzą różnicę w samym mailu – np. w treści informacji o płatności: „Prosimy o przelanie środków na rachunek: … (nowy numer, rzekomo „projektowy” lub „zagraniczny”). Księgowość widzi tę samą kwotę, tę samą nazwę projektu, a system ERP i tak wymaga ręcznego wpisania numeru konta, więc nikt nie porównuje go z poprzednimi fakturami.

Trudność wykrycia takich incydentów rośnie wraz z liczbą zaangażowanych podmiotów. Przy projektach konsorcjalnych, z generalnym wykonawcą, kilkoma podwykonawcami i inwestorem, naturalnym stanem rzeczy jest chaos mailowy: różne domeny, różne style faktur, różne numery rachunków (np. konta powiernicze czy dedykowane subkonta projektowe). W takim otoczeniu przestępca może długo „jechać na gapę”, wyłudzając 1–2 faktury na projekcie, a potem przenosić się do kolejnego kontrahenta.

Typowa ofiara: średniej wielkości polska firma budowlana podwykonująca prace na dużym obiekcie. Biuro budowy ma swoją skrzynkę, centralna księgowość ma inną, generalny wykonawca wysyła faktury z trzeciego adresu. Zmiana rachunku w jednym mailu często zlewa się z wieloma innymi drobnymi różnicami w dokumentach.

Podszywanie się pod biuro rachunkowe lub zewnętrzną księgowość

Duża część polskich firm – zwłaszcza małe i średnie – korzysta z usług zewnętrznych biur rachunkowych. To naturalna decyzja biznesowa, ale z perspektywy BEC tworzy dodatkowy poziom zaufania, który przestępcy chętnie wykorzystują. Księgowa „na zewnątrz” bywa traktowana jak członek zespołu, a jej maile nie budzą takiej czujności jak korespondencja od nowych dostawców.

Problem polega na tym, że wiele biur rachunkowych działa na skrzynkach typu gmail.com czy wp.pl, korzysta ze wspólnych haseł „dla działu” (np. biuro@firma-ksiegowa.pl) i nie wymusza logowania z dwuskładnikowym uwierzytelnianiem. Jeśli przestępca przejmie taką skrzynkę – na przykład przez stare hasło używane w wielu miejscach – zyskuje wgląd w korespondencję z wieloma klientami równocześnie.

Kolejny krok bywa prosty: podszywanie się pod księgową i przesyłanie faktur „od klientów” z podmienionymi numerami kont. Biuro rachunkowe to w praktyce węzeł komunikacyjny: z jednej strony otrzymuje faktury zakupowe, z drugiej – przygotowuje i wysyła faktury sprzedażowe. Atakujący może ingerować w oba kierunki, generując straty po kilku stronach jednocześnie.

Ataki na biura rachunkowe są szczególnie niebezpieczne, bo uderzają w zaufanie systemowe. Przedsiębiorca, który od lat pracuje z tym samym biurem, ma skłonność do przyjmowania bez dyskusji wszystkiego, co przychodzi z adresu „swojej” księgowej. Dodatkowo, jeśli biuro rachunkowe nie ma jasno zdefiniowanej polityki bezpieczeństwa i nie informuje klientów o incydentach, oszustwo może być bardzo długo niewidoczne – każdy klient z osobna zakłada, że błąd leży po jego stronie lub po stronie „drugiego” kontrahenta.

Powszechna rada „sprawdzaj numery kont na białej liście” ma tu ograniczoną skuteczność. Oszuści często korzystają z kont założonych na realne podmioty, które widnieją na liście podatników VAT, lub wykorzystują konta prywatne w sytuacjach, które „fabularnie” to uzasadniają (np. „rozliczenie z pracownikiem”, „zamykanie starej spółki”). U samego biura rachunkowego często brakuje też automatycznego porównywania numerów kont w kolejnych fakturach tego samego kontrahenta.

Jak przestępcy przygotowują ataki BEC – rozpoznanie i socjotechnika

W BEC najcenniejsza jest informacja: kto za co odpowiada, jakie procedury obowiązują, gdzie są „skróty” i potoczki. Im lepiej atakujący to rozumie, tym bardziej jego e‑maile przypominają wewnętrzną korespondencję firmy.

Źródła informacji o strukturze firmy i przepływach finansowych

Publicznie dostępne dane potrafią wystarczyć do przygotowania ataku. LinkedIn, KRS, CEIDG, BIP, strony firmowe, profile na GoldenLine czy nawet ogłoszenia o pracę odsłaniają więcej, niż większość osób zakłada. Z połączenia tych źródeł można odtworzyć strukturę decyzyjną przy płatnościach.

Podsłuch w skrzynce zamiast „strzału i ucieczki”

W klasycznych wyobrażeniach o cyberataku włamanie kojarzy się z szybkim wejściem, wykradzeniem danych i wyjściem. W BEC bywa odwrotnie – atakujący starają się pozostać w skrzynce jak najdłużej. Celem jest podsłuch, a nie jednorazowy „skok”. Im dłużej obserwują korespondencję, tym lepiej rozumieją język firmy, terminy płatności, relacje osobiste i punkty tarcia między działami.

Do takich działań używane są m.in. reguły skrzynki pocztowej. Po przejęciu konta przestępcy dodają regułę przekierowującą całą pocztę (lub tylko wybrane wiadomości) na zewnętrzny adres. W usługach chmurowych, jak Microsoft 365 czy Google Workspace, taki „cichy podsłuch” może trwać miesiącami – zwłaszcza gdy nie ma centralnego monitoringu zmian konfiguracji. Dopiero przy analizie po incydencie wychodzi na jaw, że od dawna kopie maili trafiały do nieznanego odbiorcy.

Popularne rady bezpieczeństwa koncentrują się na haśle i dwuskładnikowym uwierzytelnianiu. To potrzebne, ale po fakcie nie wystarczy. Jeśli po wdrożeniu MFA nikt nie sprawdzi reguł przekazywania, zewnętrznych delegacji do skrzynek ani historii logowań, „nowe zabezpieczenia” będą jedynie psychologiczną tarczą, a nie realną przeszkodą.

Jak przestępcy uczą się „wewnętrznego języka” firmy

Skuteczne BEC nie wygląda jak typowy spam. Atakujący kopiują styl komunikacji ofiary: układ podpisu, typowe zwroty grzecznościowe, skróty używane w zespole, nawet błędy ortograficzne czy ulubione formułki („podpinam”, „zgodnie z ustaleniami”, „wracam z tym”). To wszystko sprawia, że e‑mail nie rzuca się w oczy.

Źródłem tego języka są nie tylko przejęte skrzynki. W wielu firmach ogromna część życia zawodowego toczy się w mediach społecznościowych i komunikatorach. Publiczne komentarze na LinkedIn między pracownikiem a dostawcą, zdjęcia z integracji z oznaczeniami stanowisk, a nawet relacje z konferencji ujawniają, kto jest „decyzyjny”, a kto „operacyjny”. Gdy atakujący później pisze: „Hej, podbijam temat tej faktury, bo X mówił, że akceptacja u Ciebie”, to nie jest przypadkowe zdanie – wynika z obserwacji, kto kogo publicznie taguje i jak ze sobą rozmawia.

Praktycznie nie da się „zamknąć” pracownikom ust w sieci. Można jednak ograniczyć materiał wywiadowczy: ustalić, jakie informacje o strukturze i procesach nie powinny pojawiać się publicznie (np. kto akceptuje przelewy powyżej określonej kwoty, jakie są nazwy wewnętrznych systemów). Zamiast kolejnego szkolenia z „nieklikaj w linki”, lepiej przeprowadzić warsztat z analizy własnego śladu cyfrowego: co da się wyczytać o naszej firmie w godzinę z Google i LinkedIn.

Przygotowywanie „fabularnego tła” do ataku

Ataki BEC, które udają realny proces biznesowy, rzadko opierają się na jednym mailu. Często poprzedza je sekwencja wiadomości budujących wrażenie ciągłości. Przykładowo, zanim pojawi się prośba o zmianę rachunku, ktoś (atakujący) pyta o status projektu, dopytuje o drobne szczegóły umowy, przesyła „aktualizację harmonogramu”. Ofiara widzi historię wątku i ma poczucie, że nie jest to pierwszy kontakt, lecz kolejny etap rozmowy.

Takie przygotowanie wymaga cierpliwości, ale też dobrej znajomości kalendarza finansowego firmy. Przestępcy chętnie atakują w okresach spiętrzenia prac: koniec kwartału, zamknięcie roku, migracja do nowego systemu księgowego, zmiana właściciela lub restrukturyzacja. Skąd wiedzą, że właśnie trwa migracja systemu? Czasem z ofert pracy („wdrożenie SAP w toku”), czasem ze slajdów z konferencji, a czasem… z samego maila od kontrahenta, w którym wprost pada informacja „przechodzimy na nowy system, mogą być opóźnienia z fakturami”.

Popularna rada „weryfikuj każdą zmianę numeru rachunku telefonicznie” w takiej sytuacji często się łamie. Gdy hasłem sezonu jest „mamy wdrożenie, wszyscy są zarobieni”, pojawia się silna presja, aby nie dokładać biurokracji. Praktyczniejszym podejściem bywa wprowadzenie krótkiej, ale żelaznej zasady: zmiana rachunku = dodatkowe potwierdzenie, ale wykonane przez osobę inną niż ta, która robi przelew. Telefon wciąż trzeba wykonać, ale ciężar „bycia tym podejrzliwym” rozkłada się na dwie osoby, a nie jedną księgową.

Sygnały ostrzegawcze w e‑mailach i procesach – co naprawdę działa w praktyce

Listy „10 sygnałów phishingu” są przydatne na poziomie ogólnej świadomości, ale w atakach BEC najgroźniejsze maile często nie wyglądają na dziwne. Nie ma w nich literówek w domenie, podejrzanych linków ani egzotycznych załączników. Sygnały są subtelne i bardziej procesowe niż techniczne.

Nieoczekiwane skracanie lub obchodzenie standardowych ścieżek

Największym czerwonym światłem nie jest wcale zagraniczna domena, lecz próba obchodzenia zwykłych kroków procesu. E‑mail, w którym nagle znika standardowa ścieżka akceptacji („tym razem zróbmy wyjątek, wrzucimy w system później”), powinien wywołać czujność niezależnie od tego, czy przychodzi z domeny wewnętrznej czy zewnętrznej.

W praktyce pomocne bywa zdefiniowanie kilku sygnałów procesowych, które automatycznie oznaczają „pauzę” i wymóg dodatkowej weryfikacji. Typowe przykłady:

• prośba o dokonanie przelewu z pominięciem standardowego systemu (np. polecenie przelewu ma iść „z ręki” poza systemem ERP),
• nacisk, aby złamać zasadę 4 oczu „tylko tym razem”,
• polecenie wykonania czynności „na już”, bez typowych załączników lub formularzy (np. brak zamówienia w systemie, a tylko „prośba mailem”).

Szkolenia często koncentrują się na analizie wyglądu maila. Tymczasem bardziej skuteczne jest uczenie ludzi, aby zadawali jedno proste pytanie: czy ten e‑mail próbuje zmienić sposób, w jaki zwykle pracujemy? Jeśli tak – uruchamia się procedura weryfikacji, niezależnie od tego, jak „prawdziwie” wiadomość wygląda technicznie.

Subtelne rozjazdy w szczegółach – tam, gdzie człowiek czuje „coś tu nie gra”

W BEC różnice bywają niewielkie: trochę inny ton wypowiedzi, zmieniony sposób witania się, inna godzina wysyłki niż zazwyczaj. Człowiek to wyczuwa, ale kultura organizacyjna często zniechęca do „czepiania się szczegółów”. Gdy ktoś mówi: „dziwnie wyglądał ten mail od prezesa”, odpowiedź bywa prosta: „pewnie pisał z telefonu”.

Lepszą strategią niż powtarzanie „bądź czujny” jest instytucjonalizacja wątpliwości. Chodzi o prosty kanał, gdzie można szybko wrzucić podejrzaną wiadomość (np. dedykowany Teams/Slack/kanal mailowy typu bezpieczenstwo@firma.pl) i dostać krótką odpowiedź: „sprawdzone, OK” albo „stop, nie rób przelewu”. Taki „bezpieczny wentyl” sprawia, że pracownik nie musi brać na siebie całego ciężaru decyzji.

Technicznie warto też narzędziowo wspierać te mikro‑sygnały. Przykład: prosta integracja, która przy wiadomościach z zewnętrznych domen wyświetla wyraźny banner w treści maila („Nadawca spoza organizacji”), a przy wiadomościach z nowej domeny kontrahenta wymusza dodatkową akcję użytkownika („Potwierdź, że znasz tego dostawcę”). Nie chodzi o kolejne okienko „czy na pewno”, tylko o czytelny kontekst do podjęcia decyzji.

„Bezpieczne” wskaźniki, które często zawodzą

Część zaleceń bezpieczeństwa jest powtarzana niemal automatycznie – i bywa złudnie uspokajająca.

• „Sprawdzaj kłódkę i HTTPS” – w BEC ma to marginalne znaczenie, bo większość komunikacji odbywa się w zwykłym mailu, bez logowania na fejkowe portale. Nawet jeśli pojawia się link, coraz częściej prowadzi on do prawdziwego systemu (np. SharePoint), tylko dokument w środku jest spreparowany.
• „Zwracaj uwagę na domenę nadawcy” – skuteczne, ale tylko do pewnego poziomu. Coraz częściej ataki są prowadzone z prawdziwych skrzynek przejętych kontrahentów, a nie z domen „podobnych” (typu f1rma.pl zamiast firma.pl).
• „Nie otwieraj załączników z nieznanych źródeł” – sensowne w kontekście malware, ale w BEC bywa, że właśnie brak załącznika jest sygnałem (np. prośba o przelew „na szybko”, bez tradycyjnego PDF z fakturą).

Skuteczniejszym podejściem jest inwestowanie w konsekwencję procesową, a nie w kolejne listy kontrolne. Jeśli każda nowa faktura od istniejącego dostawcy automatycznie jest porównywana z poprzednimi (kwota, rachunek, dane adresowe), to nie trzeba liczyć na to, że księgowa zauważy inną czcionkę w numerze konta.

Sygnały w logach i konfiguracji, których nikt nie ogląda

Drugą warstwą ostrzegawczą są dane techniczne. Paradoks polega na tym, że wiele firm ma już dostęp do sensownych metryk (logi logowań, alerty o przekazywaniu poczty, raporty z systemów EDR), ale nikt nie ma w KPI „zaglądać tam regularnie”.

W praktyce przy BEC często widać kilka powtarzających się śladów:

• logowania do skrzynki z nietypowych krajów lub stref czasowych (np. regularnie z Polski, a nagle seria logowań z Azji w nocy),
• nagłe dodanie nowego forwardu poczty do zewnętrznej domeny,
• zmiany w regułach skrzynki ukrywające korespondencję (np. automatyczne przenoszenie odpowiedzi kontrahenta do innego folderu).

Sam fakt istnienia tych logów nie daje bezpieczeństwa. Potrzebny jest prosty rytm: ktoś raz na tydzień lub raz na miesiąc ma w kalendarzu konkretny czas na przejrzenie anomalii z poprzedniego okresu. Lepsze jest regularne, choć pobieżne spojrzenie, niż raz na rok duży audyt, który i tak nie złapie ataku trwającego od trzech tygodni.

Najczęstsze błędy polskich firm – od konfiguracji poczty po kulturę organizacyjną

Ataki BEC rzadko wykorzystują pojedynczy błąd. Częściej korzystają z kombinacji drobnych zaniedbań, które osobno nie wyglądają groźnie: słabsza konfiguracja poczty, brak jasnych zasad dla działu finansowego, rozproszeni dostawcy IT, a do tego przekonanie „my jesteśmy za mali, żeby ktoś się nami interesował”.

Mylenie „antywirusa” z ochroną przed BEC

Wciąż częste jest założenie, że jeśli firma ma „dobry antywirus” i filtr spamu, to jest zabezpieczona przed e‑mailowymi oszustwami. BEC pokazuje brutalnie, że nie trzeba żadnego złośliwego pliku, aby wyprowadzić z firmy setki tysięcy złotych. Często jedynym „narzędziem” atakującego jest funkcja „odpowiedz” w kliencie pocztowym.

Duża część polskich firm kupuje drogie rozwiązania ochronne zgodnie z wymaganiami korporacyjnego IT lub audytu, ale nie zmienia podstawowych procesów: kto może zaakceptować przelew, jak wygląda weryfikacja kontrahenta przy zmianie danych, jakie uprawnienia mają księgowi i asystenci. To trochę jak montaż najnowocześniejszego alarmu w domu z otwartymi drzwiami garażowymi, bo „przecież mieszkamy w spokojnej okolicy”.

Rozsądne podejście to rozdzielenie dwóch warstw:

• warstwa techniczna – konfiguracja poczty (MFA, reguły, DMARC, logi), sensowny filtr antyphishingowy, monitoring anomalii,
• warstwa procesowa – jasne reguły akceptacji płatności, procedury potwierdzania zmian danych, zasady komunikacji z zarządem przy „pilnych” przelewach.

Bez tej drugiej warstwy technologie dadzą jedynie złudzenie bezpieczeństwa. Bez pierwszej – procesy będą ignorowane przy dobrze przygotowanym przejęciu skrzynki.

Konfiguracja poczty „z pudełka” bez twardych zasad

Popularne usługi pocztowe, jak Microsoft 365 czy Google Workspace, w standardowej konfiguracji są raczej kompromisem wygody niż bezpieczeństwa. Dla mniejszej firmy to kuszące: „działa od razu, po co grzebać”. Problem zaczyna się, gdy nikt nie przechodzi przez ustawienia związane z BEC.

Typowe zaniedbania:

• brak globalnego wymogu MFA dla wszystkich kont (jest włączone „dla wybranych” albo „docelowo dla wszystkich”, ale praktyka się rozjeżdża),
• możliwość zakładania forwardów na zewnętrzne adresy bez żadnej kontroli lub logowania takich zmian,
• brak polityk haseł w przypadku skrzynek w tańszych hostingach (krótkie, współdzielone hasła typu biuro2020 działające latami),

Rozproszeni dostawcy IT i „nikt nie odpowiada całościowo”

W wielu firmach infrastruktura jest zlepkiem usług od kilku podmiotów: jeden partner „od serwera”, inny od Microsoft 365, ktoś znajomy ustawia DNS, a jeszcze ktoś „patrzy na bezpieczeństwo”. Przy ataku BEC wychodzi na jaw, że każdy z nich odpowiada za swój kawałek, ale nikt za całość.

Typowy scenariusz: księgowość zgłasza, że „zginęły maile od kontrahenta”. Administrator poczty mówi, że serwer działa. Dostawca od bezpieczeństwa twierdzi, że nie było malware. Ktoś zewnętrzny dopiero po kilku dniach zauważa regułę w skrzynce, która przekierowywała korespondencję na obcy adres. Każdy zrobił swoje, a pieniądze i tak wyszły.

Minimalny poziom higieny to wyznaczenie jednego właściciela poczty po stronie biznesu (niekoniecznie technicznego eksperta), który:

• zna listę wszystkich dostawców mających dostęp do systemu pocztowego i ich zakres uprawnień,
• ma opisane, do kogo i w jakiej kolejności dzwonić przy podejrzeniu BEC,
• pilnuje, aby po zmianach (migracja, nowy filtr, nowy dostawca) ktoś faktycznie sprawdził kluczowe ustawienia: MFA, forwarding, logowanie zmian.

Druga sprawa to uporządkowanie dostępów. Częsta praktyka: do panelu poczty ma pełen dostęp właściciel, księgowa, były informatyk, obecny informatyk oraz firma zewnętrzna „na wszelki wypadek”. Każde takie konto to dodatkowy wektor ataku, często spoza głównego mechanizmu SSO czy MFA. W praktyce opłaca się raz na kwartał zrobić prosty przegląd: kto realnie potrzebuje dostępu administracyjnego, a kto może mieć go tylko tymczasowo i per zgłoszenie.

Kultura „nie dyskutuj z przełożonym” kontra 4 oczy

Reguła 4 oczu jest na prezentacjach bezpieczeństwa niemal obowiązkowa. Problem pojawia się, gdy zderza się z realną hierarchią. W wielu polskich firmach nadal funkcjonuje niepisana zasada: jeśli prezes coś każe, to się robi, a nie „prosi o formalności”. To idealne środowisko dla BEC udającego dyrektora czy właściciela.

Same procedury nie wystarczą, jeśli pracownik w głowie ma scenariusz: „zapytam o potwierdzenie, a usłyszę, że utrudniam i nie rozumiem biznesu”. Dlatego oprócz instrukcji przydaje się jasny sygnał z góry: konkretny członek zarządu wprost mówi na spotkaniu, że oczekuje weryfikacji przy nietypowych dyspozycjach, nawet jeśli wydają się pochodzić od niego.

Praktyczny trik, który bywa skuteczniejszy niż kolejne szkolenie: krótkie „oświadczenie anty-BEC” zarządu wysłane do działów finansowych i asystentów. Kilka zdań w stylu: „Jeśli kiedykolwiek otrzymasz ode mnie prośbę o przelew poza standardem, masz obowiązek zadzwonić i potwierdzić. Brak takiego telefonu będzie traktowany jako błąd procesowy, nawet jeśli przelew okaże się poprawny”. To odwraca ciężar: pracownik nie „czepia się prezesa”, tylko realizuje jego jasne polecenie.

„Szkolenia BHP z cyberbezpieczeństwa” bez przełożenia na decyzje

Wiele szkoleń dla pracowników przypomina BHP: raz w roku, slajdy z ogólnymi hasłami, krótki test i spokój na kolejne 12 miesięcy. Dla BEC to niemal idealna sytuacja, bo pracownicy zaczynają traktować cyberzagrożenia jako temat „na szkolenie”, a nie część codziennej pracy.

Dużo lepsze efekty daje kilka krótszych, ale konkretnych interwencji w ciągu roku. Przykład z praktyki: zamiast 3‑godzinnego wykładu dla całej firmy, trzy 30‑minutowe sesje tylko dla działu finansowego i asystentów, każda z omawianiem jednego konkretnego scenariusza BEC i decyzji, które oni podejmują:

• zmiana numeru konta dostawcy,
• prośba o pilny przelew „poza systemem”,
• polecenie przelewu z prywatnego maila przełożonego.

Do tego można dorzucić kontrolowane testy, ale z głową. Popularne „symulacje phishingu” bywają kontrproduktywne, jeśli służą głównie do wytykania błędów i statystyk. Dużo sensowniejsze jest wysyłanie raz na jakiś czas symulowanego maila „od prezesa” z nietypową prośbą, po czym zespół wspólnie omawia, co poszło dobrze, a co słabo. Bez listy wstydu, za to z konkretną refleksją: kto zareagował, kto zauważył zmianę tonu, kto sprawdził kanał komunikacji.

Brak „mapy pieniędzy” – IT zabezpiecza skrzynki, ale nie przepływy

Częsty błąd: dział IT koncentruje się na ochronie skrzynek „ważnych osób” – zarządu, dyrektorów – a mniej na tych, które faktycznie „dotykają pieniędzy”. Tymczasem w BEC o wiele atrakcyjniejsza jest skrzynka starszej księgowej niż prezesa, bo z tej pierwszej realnie wychodzą dyspozycje przelewów i korespondencja z kontrahentami.

Warto zrobić prostą ćwiczeniową mapę: przez jakie role (niekoniecznie nazwiska) przechodzą najważniejsze decyzje finansowe? Zwykle wychodzi, że kluczowe są:

• osoby wprowadzające i akceptujące płatności w bankowości elektronicznej,
• osoby kontaktujące się z kontrahentami w sprawach faktur i płatności,
• asystenci i office managerowie, którzy „załatwiają przelewy” na prośbę zarządu.

Dla tych ról poziom ochrony powinien być podniesiony niezależnie od stanowiska w hierarchii. Mocniejsze hasła i obowiązkowe MFA to dopiero początek. Trzeba też zastanowić się, czy ich skrzynki nie powinny mieć dodatkowych ograniczeń (np. brak możliwości tworzenia forwardingów na zewnątrz, wyższy poziom logowania i alertów, krótsze sesje logowania z nowych urządzeń).

Brak procedury „awaryjnego hamulca” przy podejrzeniu BEC

W wielu firmach po wykryciu podejrzanego przelewu lub maila panuje chaos: jedni dzwonią do banku, inni do prawnika, jeszcze inni do IT. Zanim ktoś przejmie ster, mijają cenne godziny. Tymczasem w BEC liczy się szybkość – część środków da się odzyskać tylko wtedy, gdy reakcja nastąpi w ciągu pierwszych godzin od przelewu.

Niezależnie od wielkości organizacji przydaje się prosty, spisany scenariusz zatrzymania. Nie musi to być formalny plan reagowania na incydenty w wersji korporacyjnej, ale kilka jasnych kroków typu:

• kto ma prawo i obowiązek natychmiast zadzwonić do banku z dyspozycją blokady przelewów lub konta,
• kto zajmuje się technicznym zabezpieczeniem skrzynki (zmiana hasła, wylogowanie aktywnych sesji, przegląd reguł),
• kto prowadzi kontakt z kontrahentem, jeśli może on też być ofiarą (np. ktoś przejął jego skrzynkę i podszył się pod niego).

Warto też z góry ustalić, jak komunikować się wewnętrznie przy takim incydencie. Paradoksalnie, mail nie jest najlepszym kanałem, jeśli właśnie podejrzewa się przejęcie poczty. Prosty, z góry ustalony kanał zapasowy – np. określony kanał w Teams, Signal lub telefon do wybranej osoby – oszczędza nerwów i czasu.

Brak „cyfrowego minimalizmu” w skrzynkach finansowych

Im bardziej zaśmiecona skrzynka, tym łatwiej ukryć w niej coś podejrzanego. Atakujący często wykorzystują to, że księgowy czy asystent dostaje dziesiątki podobnych maili dziennie i rzadko czyści foldery. Dodanie kolejnej wiadomości z „nowym numerem konta” w gąszczu korespondencji nie rzuca się w oczy.

Przy skrzynkach, które mają kluczowy wpływ na finanse, przydaje się elementarny porządek:

• jasne foldery na faktury, potwierdzenia przelewów, zmiany danych – tak, aby dało się szybko sprawdzić historię,
• ograniczenie newsletterów i masowej korespondencji na te skrzynki – najlepiej przekierowanie ich na osobny adres,
• prosta zasada: kluczowe decyzje finansowe są dokumentowane w systemie (ERP, CRM, system bankowy), a nie tylko w treści maila.

Tu znów pojawia się mniej popularna rada: zamiast dokładać kolejny filtr antyphishingowy tylko dla działu finansowego, czasem większy efekt daje „odchudzenie” samej skrzynki i procesu. Mniej szumu to łatwiejsze wychwycenie nietypowego sygnału.

Brak weryfikacji dostawców pod kątem BEC

Wąskie patrzenie na bezpieczeństwo jako „naszą wewnętrzną sprawę” jest wygodne, ale przy BEC mylące. Część najboleśniejszych incydentów zaczyna się nie od przejęcia skrzynki w samej firmie, ale u kontrahenta. Potem z jego prawdziwej skrzynki przychodzą w pełni „wiarygodne” prośby o zmianę numeru konta czy doprecyzowanie płatności.

Standardowe ankiety bezpieczeństwa wysyłane do dostawców rzadko schodzą na poziom konkretu. W praktyce przy dłuższych relacjach handlowych dużo ważniejsze są trzy pytania zadane wprost:

• czy wasza poczta ma wymuszone MFA dla wszystkich pracowników,
• kto u was może zgłaszać zmiany numerów kont i jak to jest weryfikowane,
• jakim innym kanałem możemy zawsze potwierdzić nietypowe dyspozycje finansowe (np. konkretny numer telefonu, osoba kontaktowa).

Nawet jeśli kontrahent ma słabszą ochronę, sama świadomość po obu stronach, że „przy zmianie rachunku zawsze dzwonimy” potrafi rozbroić wiele scenariuszy BEC. To prostsze i często skuteczniejsze niż próby narzucania partnerom skomplikowanych standardów bezpieczeństwa.

Polityka „oszczędzania na licencjach” i współdzielone konta

W mniejszych firmach wciąż bywają popularne skrzynki typu faktury@, ksiegowosc@, biuro@, do których loguje się kilka osób tym samym loginem i hasłem. Ekonomicznie „się spina” – mniej licencji – ale z perspektywy BEC to proszenie się o kłopoty.

Problemy są trzy:

1. Brak indywidualnej odpowiedzialności – trudno ustalić, kto faktycznie kliknął podejrzany link czy zaakceptował zmianę numeru konta.
2. Brak sensownego MFA – współdzielenie jednego konta z MFA wymusza obejścia (np. przekazywanie kodów na komunikatorze) lub wyłączanie MFA, gdy z konta korzysta kilka osób i urządzeń.
3. Brak pełnej historii – przy incydencie nie da się precyzyjnie zrekonstruować, kto kiedy zalogował się z danego adresu IP, bo wszystkie akcje są „podpięte” pod jedno konto.

Lepsza praktyka to indywidualne konta dla pracowników i dopiero do nich przypisane wspólne skrzynki jako aliasy lub skrzynki współdzielone z wyraźnym logowaniem operacji. Dodatkowy koszt licencji często jest niższy niż koszt pojedynczego nieautoryzowanego przelewu.

Brak realistycznego testu „BEC end‑to‑end”

Audyt bezpieczeństwa często kończy się raportem o konfiguracji: DMARC, SPF, segmentacja sieci, backupy. To przydatne, ale przy BEC potrzebny jest jeszcze inny rodzaj próby: czy cały łańcuch – od e‑maila po przelew – zachowa się sensownie przy sprytnym, ale realistycznym scenariuszu ataku.

Taki test nie musi być skomplikowany ani drogi. Wystarczy zaprojek