Oszustwo BEC: jak zweryfikować nadawcę e-maila przed przelewem

Krótka odpowiedź

Business email compromise (BEC) to oszustwo, w którym przestępcy wysyłają e-maile wyglądające jak wiadomości od szefa, dostawcy albo prawnika i proszą o przelew lub zmianę numeru konta. Żeby zweryfikować nadawcę, sprawdź prawdziwy adres i domenę litera po literze, poszukaj wyniku „pass” przy SPF, DKIM i DMARC w szczegółach wiadomości i nigdy nie realizuj prośby o płatność, dopóki nie zadzwonisz do tej osoby na numer, który już miałeś. Jeśli zapłaciłeś, od razu zadzwoń do banku i zgłoś sprawę.

Kluczowe liczby

3,05 mld dolarówstrat z oszustw BEC zgłoszonych do FBI w 2025 roku, w 24 768 zgłoszeniachFBI IC3 2025 Internet Crime Report
679 mln dolarówzamrożonych dla ofiar przez zespół FBI Recovery Asset Team w 2025 roku, czyli 58% skuteczności przy zgłoszonych 1,16 mld dolarówFBI IC3 2025 Internet Crime Report
41,3 mln £strat z oszustw na fakturę i zmianę polecenia płatności w Wielkiej Brytanii w 2025 roku, w 2305 przypadkachUK Finance Annual Fraud Report 2026
55,5 mld dolarówujawnionych strat z oszustw BEC na świecie od października 2013 do grudnia 2023 roku, w 305 033 incydentachFBI IC3 PSA, wrzesień 2024

Przychodzi e-mail od dostawcy, któremu płacisz co miesiąc. Zmienili bank i następną fakturę trzeba opłacić na nowe konto. Albo prezes pisze z lotniska: pilny, poufny przelew musi wyjść jeszcze dziś. Imię się zgadza, ton się zgadza, logo też. Pytanie brzmi, czy wysłała to osoba, o której myślisz.

To właśnie oszustwo BEC (business email compromise), jedno z najkosztowniejszych przestępstw, jakie śledzi FBI. Firmy i osoby prywatne zgłosiły 3,05 mld dolarów strat z oszustw BEC w 2025 roku, w 24 768 zgłoszeniach do Internet Crime Complaint Center FBI. Rozwiązanie jest proste, ale wymaga dyscypliny: kilka kontroli samego e-maila i zasada oddzwaniania, której nikt nie pomija.

Czym jest oszustwo BEC (business email compromise)?

Business email compromise to oszustwo, w którym przestępcy podszywają się w e-mailu pod kogoś zaufanego, na przykład dostawcę, członka zarządu, pracownika albo prawnika, żeby skłonić cię do wysłania pieniędzy lub poufnych danych. FBI opisuje je jako ataki na osoby i firmy, które regularnie robią przelewy, z użyciem przejętych lub podrobionych kont e-mail, a coraz częściej także numerów telefonów i aplikacji do wideokonferencji. Irlandzkie National Cyber Security Centre wymienia cztery częste odmiany:

Oszustwo na dostawcę lub fakturę: e-mail prawdziwego dostawcy zostaje przejęty albo podrobiony z łudząco podobną domeną, żeby wysyłać fałszywe faktury albo „nowe dane do przelewu”.
Oszustwo „na prezesa”: fałszywy członek zarządu prosi o pilny, tajny przelew albo karty podarunkowe.
Przekierowanie wynagrodzenia: fałszywy pracownik prosi dział kadr o wysłanie pensji na nowe konto.
Podszywanie się pod prawnika: fałszywy adwokat albo kancelaria notarialna wysyła instrukcje przelewu przy transakcji lub zakupie domu.

W Wielkiej Brytanii banki odnotowały w 2025 roku 41,3 mln £ strat z oszustw na fakturę i zmianę polecenia płatności w 2305 przypadkach oraz kolejne 5,6 mln £ z oszustw „na prezesa”.

Jak wygląda e-mail w oszustwie BEC?

Wygląda zwyczajnie i właśnie o to chodzi. E-maile BEC rzadko zawierają złośliwe oprogramowanie czy linki. Opierają się na wiarygodnej historii, terminie i drobnej zmianie. Oto typowe przykłady, w swobodnej wersji:

Dzień dobry, informujemy, że przenieśliśmy obsługę bankową do nowego banku. Aktualne dane w załączniku. Prosimy o ich użycie przy fakturze nr 4471 i wszystkich kolejnych płatnościach. Stare konto zostało zamknięte.

Jesteś przy biurku? Musisz dziś zająć się poufną płatnością związaną z przejęciem. Na razie nikomu o tym nie mów. Jestem na spotkaniach, więc kontakt tylko mailowo.

Cześć, zmieniłem bank. Możecie zaktualizować numer konta do wypłaty przed najbliższą listą płac? Nowe dane poniżej.

FBI zauważa, że dzięki AI te e-maile są coraz bardziej dopracowane: narzędzia czatowe potrafią naśladować styl pisania członka zarządu, a klonowanie głosu może wesprzeć prośbę telefonem. Firmy zgłosiły w 2025 roku ponad 30 mln dolarów strat z oszustw BEC z udziałem AI.

Jak zweryfikować nadawcę e-maila?

Sprawdź prawdziwy adres, sprawdź domenę, sprawdź wyniki uwierzytelnienia, a potem potwierdź telefonicznie na numer, który już miałeś. Przejdź przez te kroki po kolei.

Pokaż pełny adres. Nazwa wyświetlana („Anna Nowak, Księgowość”) może być dowolna. Kliknij ją albo najedź kursorem, żeby zobaczyć prawdziwy adres. Na telefonie łatwo ten krok pominąć, dlatego FBI zaleca ustawienie poczty tak, by pokazywała pełne adresy.
Przeczytaj domenę litera po literze. Szukaj zamienionych albo dodanych znaków: „acme-corp.com” zamiast „acmecorp.com”, „rn” zamiast „m”, „l” zamiast „i”, „.co” zamiast „.com” albo darmowego adresu, np. z Gmaila, u firmy, która ma własną domenę.
Sprawdź pole „Odpowiedz do” (Reply-To). Kliknij „Odpowiedz” i zanim zaczniesz pisać, spójrz na pole „Do”. Jeśli zmienia się na inny adres, e-mail ma przekierować twoją odpowiedź gdzie indziej.
Sprawdź wyniki uwierzytelnienia (SPF, DKIM, DMARC), opisane niżej.
Przejrzyj historię korespondencji. Czy to nowy wątek, który „kontynuuje” stary? Czy zmienił się podpis, numer telefonu albo ton?
Zadzwoń, żeby potwierdzić, na numer z własnych dokumentów, nigdy na ten z e-maila. To ten krok naprawdę chroni przed stratą.

Prawdziwy e-mail z przejętego konta przejdzie każdą kontrolę techniczną. Dlatego przy każdej płatności czy zmianie numeru konta krok 6 jest obowiązkowy.

Jak sprawdzić SPF, DKIM i DMARC w e-mailu?

Otwórz pełne szczegóły albo nagłówki wiadomości i poszukaj słów „pass” albo „fail” przy SPF, DKIM i DMARC. W Gmailu otwórz e-mail, kliknij menu z trzema kropkami i wybierz „Pokaż oryginał”. W Outlooku otwórz właściwości wiadomości albo „Wyświetl źródło wiadomości” i poszukaj wiersza „Authentication-Results”.

Kontrola	Co to znaczy po ludzku	Co sugeruje „fail”
SPF	Serwer, który wysłał wiadomość, ma prawo wysyłać pocztę w imieniu tej domeny	Czyjś inny serwer wysłał pocztę, podając się za tę domenę
DKIM	E-mail ma ważny podpis cyfrowy domeny i nie został zmieniony po drodze	Wiadomość nie została podpisana przez tę domenę albo ją zmieniono
DMARC	Domena widoczna w polu „Od” zgadza się z tą, która przeszła SPF lub DKIM	Widoczny nadawca jest prawdopodobnie podrobiony

„Fail” w e-mailu dotyczącym płatności to sygnał stop. „Pass” dowodzi tylko, że e-mail przyszedł z tej domeny. Nie dowodzi, że to właściwa domena (łudząco podobna domena może przejść wszystkie trzy kontrole) ani że konto nie zostało przejęte. Traktuj te kontrole jak filtr, a nie werdykt.

Jak sprawdzić, kto jest właścicielem domeny albo adresu e-mail?

Sprawdź datę rejestracji domeny, a potem osobę stojącą za adresem. Skorzystaj z bezpłatnego wyszukiwania danych rejestracyjnych ICANN. Domena dostawcy, która ma dziesięć lat, to norma. Łudząco podobna domena zarejestrowana w zeszłym tygodniu to oszustwo. Irlandzkie NCSC właśnie z tego powodu zaleca blokowanie albo oznaczanie poczty z nowo zarejestrowanych domen.

Przy nowym kontakcie, nowym dostawcy albo nazwisku, którego nie znasz, pomoże wyszukiwanie biznesowe Search A-Z. Wpisz imię i nazwisko nadawcy oraz kraj, wybierz „Kontakt biznesowy” i dodaj adres e-mail oraz firmę. Raport sprawdza, czy e-mail jest prawdziwy i jakie jest ryzyko oszustwa, oraz pokazuje służbowy e-mail tej osoby, obecne stanowisko i firmę, historię zatrudnienia, publiczne profile zawodowe, dane rejestrowe firmy (funkcje w brytyjskim Companies House i światowy rejestr LEI), wzmianki w mediach i w sieci oraz wszelkie publiczne ostrzeżenia o oszustwach. Jeśli „nowy opiekun klienta” nie zostawił żadnego śladu u dostawcy, masz odpowiedź. Ta osoba nigdy się nie dowie, że ją sprawdzałeś.

Czym jest procedura weryfikacji przez oddzwonienie?

Procedura oddzwaniania to spisana zasada, zgodnie z którą każda nowa płatność, zmiana numeru konta albo pilna prośba o przelew jest potwierdzana telefonem wychodzącym na numer, który już jest w dokumentacji, zanim pieniądze zostaną wysłane. To najskuteczniejsze zabezpieczenie przed BEC, ale tylko wtedy, gdy jest stosowane porządnie. Wskazówki JPMorgan o tym, kiedy oddzwanianie zawodzi, wymieniają typowe błędy: zaufanie połączeniu przychodzącemu, które „potwierdza” e-mail, użycie numeru telefonu z e-maila albo faktury i rozmowę z niewłaściwą osobą.

Prosta procedura, którą możesz skopiować:

Każdą zmianę numeru konta dostawcy lub pracownika potwierdza się telefonem wychodzącym na numer z kartoteki dostawców, umowy albo oficjalnej strony dostawcy, nigdy z samej prośby.
Dzwoni się do konkretnej osoby, z którą już wcześniej współpracowałeś.
Prośby oznaczone jako pilne albo poufne przechodzą więcej kontroli, a nie mniej.
Płatności powyżej ustalonej kwoty wymagają akceptacji dwóch osób.
Nowe dane do przelewu czekają okres karencji (na przykład 24 do 48 godzin) przed pierwszą płatnością.
Pracownicy dostają na piśmie informację, że nikt, łącznie z prezesem, nie będzie miał pretensji o wstrzymanie płatności w celu jej weryfikacji.

Scenariusz rozmowy:

Dzień dobry, tu Alex z działu księgowości Northfield. Dostaliśmy e-mail o nowym numerze konta do waszych faktur. Zanim cokolwiek zmienimy, czy może Pan/Pani potwierdzić, że to od was, i podać ostatnie cztery cyfry nowego numeru konta?

Jak firma powinna obsłużyć prośbę o zmianę danych do płatności?

Traktuj każdą zmianę danych do płatności jako podejrzaną, dopóki nie zostanie zweryfikowana innym kanałem, i dokumentuj każdy krok. Ta procedura działa w małych i dużych firmach:

Zarejestruj prośbę z datą, adresem nadawcy i żądanymi danymi. Na razie na nią nie odpowiadaj.
Zadzwoń do dostawcy na numer, który już masz w systemie, i potwierdź u swojej stałej osoby kontaktowej.
Sprawdź nazwę odbiorcy nowego konta. W Wielkiej Brytanii usługa Confirmation of Payee mówi, czy nazwa na koncie się zgadza. W strefie euro od 9 października 2025 roku to samo robi Verification of Payee dla przelewów w euro. Wynik „brak zgodności” albo „częściowa zgodność” to sygnał ostrzegawczy.
Poproś drugą osobę o akceptację zmiany.
Wyślij mały przelew testowy i potwierdź telefonicznie, że dotarł, zanim wyślesz całą kwotę.
Uważaj na ponaglenia. Nacisk, żeby pominąć któryś z tych kroków, sam w sobie jest sygnałem ostrzegawczym.

Te same zasady chronią cię jako dostawcę: poinformuj klientów na piśmie, że nigdy nie zmienisz numeru konta wyłącznie e-mailem. Przy nowych klientach nasz poradnik o sprawdzaniu nowego klienta przed rozpoczęciem pracy omawia szersze kontrole.

Co zrobić, jeśli zapłaciłem fałszywą fakturę?

Od razu zadzwoń do banku i poproś o odwołanie przelewu, a potem jeszcze tego samego dnia zgłoś sprawę do FBI albo policji w swoim kraju. Szybkość liczy się bardziej niż cokolwiek innego. Irlandzkie NCSC ostrzega, że większości środków nie da się odzyskać, jeśli nie zgłosi się sprawy w ciągu pierwszych kilku godzin.

Zadzwoń teraz do działu bezpieczeństwa swojego banku. Poproś o odwołanie przelewu i o zamrożenie środków przez bank odbiorcy. Podaj kwotę, datę, konto odbiorcy i tytuł przelewu.
USA: złóż zgłoszenie na ic3.gov z pełnymi danymi transakcji, niezależnie od kwoty. Zespół FBI Recovery Asset Team korzysta z procedury Financial Fraud Kill Chain, żeby razem z bankami zamrażać pieniądze. W 2025 roku zajął się 3900 incydentami i zamroził 679 mln dolarów, czyli 58% skuteczności. Może śledzić przelewy „drugiego skoku”, jeśli je podasz, i współpracuje z FinCEN przy przelewach międzynarodowych.
Wielka Brytania: zgłoś to w Report Fraud, który w grudniu 2025 roku zastąpił Action Fraud, pod numerem 0300 123 2040, albo w Police Scotland pod numerem 101. Twój bank uruchomi też własną procedurę odzyskiwania środków.
UE: zgłoś to policji w swoim kraju i swojemu bankowi. W Irlandii NCSC także prosi o informację. W Polsce zawiadomienie złożysz w każdej jednostce Policji, a incydent możesz zgłosić do CERT Polska na incydent.cert.pl.
Zabezpiecz konto e-mail. Zmień hasła, włącz uwierzytelnianie wieloskładnikowe i sprawdź reguły przekierowania oraz reguły skrzynki, które ukrywają odpowiedzi. To częsty znak, że konto zostało przejęte.
Zachowaj dowody. Zapisz e-maile z pełnymi nagłówkami, faktury, historię połączeń i potwierdzenia transakcji. Niczego nie usuwaj.
Ostrzeż prawdziwego dostawcę albo klienta. Jego konto, albo twoje, może wciąż być przejęte.

Jeśli odezwie się do ciebie „firma odzyskująca pieniądze” i zaproponuje odzyskanie środków za opłatą, to kolejne oszustwo. Prawdziwe odzyskiwanie pieniędzy idzie przez bank i organy ścigania.

Jak chronić firmę przed oszustwami e-mailowymi?

Połącz ścisłą procedurę płatności z kilkoma podstawami technicznymi. FBI i irlandzkie NCSC zalecają:

Uwierzytelnianie wieloskładnikowe na każdym koncie e-mail.
Skonfigurowane SPF, DKIM i DMARC na własnych domenach, żeby przestępcy nie mogli łatwo podszywać się pod ciebie wobec twoich klientów.
Pocztę, która pokazuje pełne adresy nadawców i oznacza nadawców zewnętrznych.
Rejestrację oczywistych podróbek własnej domeny albo ich monitorowanie.
Zweryfikowaną listę dostawców ze znanymi numerami telefonów.
Regularne szkolenia pracowników na prawdziwych przykładach, takich jak te powyżej.

BEC często zaczyna się od rozpoznania twojego zespołu: kto zatwierdza płatności, kim są dostawcy, kto jest w podróży. Nasz poradnik o rozpoznawaniu fałszywych profili na LinkedInie wyjaśnia, jak fałszywe konta zbierają te informacje.

Podsumowanie

Nie odróżnisz przejętego e-maila od prawdziwego po samym wyglądzie, więc nawet nie próbuj. Sprawdź adres i domenę, traktuj SPF i DKIM jako pierwszy filtr i potwierdzaj każdą zmianę danych do płatności telefonem na numer, który już miałeś. Jeśli pieniądze wyszły, zadzwoń do banku i zgłoś sprawę w ciągu godzin, a nie dni.

Najczęstsze pytania

Czym jest oszustwo BEC?

Business email compromise (BEC) to oszustwo, w którym przestępcy podszywają się w e-mailu pod zaufany kontakt, na przykład dostawcę, członka zarządu albo prawnika, żeby nakłonić cię do przelewu lub zmiany numeru konta. W 2025 roku FBI otrzymało 24 768 zgłoszeń BEC ze stratami 3,05 mld dolarów.

Jak sprawdzić, czy e-mail naprawdę jest od osoby, za którą się podaje?

Pokaż pełny adres nadawcy, sprawdź domenę litera po literze, zobacz, dokąd trafią odpowiedzi, i poszukaj wyniku „pass” przy SPF, DKIM i DMARC w szczegółach wiadomości. Przy wszystkim, co dotyczy pieniędzy, potwierdź telefonicznie na numer, który już miałeś.

Czy prawdziwy adres e-mail może być użyty w oszustwie?

Tak. Jeśli konto dostawcy albo współpracownika zostanie przejęte, fałszywe e-maile przychodzą z jego prawdziwego adresu i przechodzą każdą kontrolę techniczną. Dlatego zmiany danych do płatności trzeba zawsze potwierdzać telefonicznie, na numer z własnych dokumentów.

Co oznacza „DMARC fail”?

Oznacza, że domena widoczna w polu „Od” nie zgadza się z domeną, która przeszła kontrolę SPF lub DKIM. W e-mailu o płatności albo zmianie numeru konta traktuj „DMARC fail” jako mocny sygnał, że nadawca jest podrobiony.

Czy mogę odzyskać pieniądze po opłaceniu fałszywej faktury?

Czasem tak, jeśli działasz szybko. Od razu zadzwoń do banku i poproś o odwołanie przelewu, a potem zgłoś sprawę na ic3.gov w USA, w Report Fraud w Wielkiej Brytanii albo na Policji w Polsce. Zespół FBI Recovery Asset Team zamroził dla ofiar 679 mln dolarów w 2025 roku, ale szanse gwałtownie spadają po pierwszych kilku godzinach.

Czym jest FBI Financial Fraud Kill Chain?

To procedura, w ramach której zespół FBI Recovery Asset Team współpracuje z bankami, żeby zamrażać oszukańcze przelewy, także międzynarodowe przez FinCEN. Uruchamiasz ją, szybko zgłaszając sprawę na ic3.gov z pełnymi danymi transakcji i prosząc bank o odwołanie przelewu.

Czym jest łudząco podobna domena?

To domena strony lub poczty stworzona tak, by wyglądała jak prawdziwa, na przykład acme-corp.com zamiast acmecorp.com, albo z jedną literą zamienioną na podobną. Sprawdź datę rejestracji w wyszukiwarce ICANN: taka podróbka ma zwykle zaledwie kilka dni lub tygodni.

Źródła

Liczby to najnowsze dane opublikowane przez każde źródło w chwili aktualizacji poradnika. Zgłoszone straty z oszustw to minimum: większość oszustw nigdy nie jest zgłaszana.

Oszustwo BEC: jak zweryfikować nadawcę e-maila, zanim zapłacisz