Prevara s poslovno e-pošto (BEC): kako preveriti pošiljatelja, preden plačate

Kratek odgovor

Prevara s poslovno e-pošto (BEC) je prevara, pri kateri kriminalci pošiljajo e-pošto, ki je videti, kot da jo pošilja vaš nadrejeni, dobavitelj ali odvetnik, in vas prosijo za plačilo ali spremembo bančnih podatkov. Za preverjanje pošiljatelja preverite pravi naslov in domeno črko za črko, v podrobnostih sporočila poiščite „pass“ pri SPF, DKIM in DMARC ter nikoli ne ukrepajte na zahtevo za plačilo, dokler osebe ne pokličete na številko, ki ste jo že imeli. Če ste plačali, takoj pokličite banko in prevaro prijavite.

Ključne številke

• 3,05 milijarde dolarjevizgub zaradi prevar s poslovno e-pošto, prijavljenih FBI v letu 2025, v 24.768 prijavahFBI IC3 2025 Internet Crime Report
• 679 milijonov dolarjevje ekipa FBI za vračilo sredstev (Recovery Asset Team) v letu 2025 zamrznila za žrtve, 58-odstotna uspešnost pri prijavljenih 1,16 milijarde dolarjevFBI IC3 2025 Internet Crime Report
• 41,3 milijona funtovizgub zaradi prevar z računi in pooblastili v Združenem kraljestvu v letu 2025, v 2.305 primerihUK Finance Annual Fraud Report 2026
• 55,5 milijarde dolarjevizpostavljenih izgub zaradi BEC po svetu od oktobra 2013 do decembra 2023, v 305.033 incidentihFBI IC3 PSA, september 2024

Prispe e-pošta dobavitelja, ki mu plačujete vsak mesec. Zamenjal je banko in naslednji račun naj nakažete na nov TRR. Ali pa vam direktor piše z letališča: nujno, zaupno plačilo mora oditi še danes. Ime je pravo, ton je pravi, logotip je pravi. Vprašanje je, ali jo je res poslala oseba, za katero mislite, da jo je.

To je prevara s poslovno e-pošto (angl. business email compromise, BEC) in je eno najdražjih kaznivih dejanj, ki jih spremlja FBI. Podjetja in posamezniki so v letu 2025 prijavili 3,05 milijarde dolarjev izgub zaradi BEC, v 24.768 prijavah centru FBI za pritožbe glede spletnega kriminala (Internet Crime Complaint Center). Rešitev je preprosta, a stroga: nekaj preverjanj e-pošte in pravilo povratnega klica, ki ga nihče ne preskoči.

Kaj je prevara s poslovno e-pošto?

Prevara s poslovno e-pošto je prevara, pri kateri se kriminalci po e-pošti izdajajo za nekoga, ki mu zaupate, na primer za dobavitelja, direktorja, zaposlenega ali odvetnika, da bi vas pripravili do nakazila denarja ali posredovanja občutljivih podatkov. FBI jo opisuje kot prevaro, ki cilja na ljudi in podjetja, ki redno izvajajo bančna nakazila, z vdrtimi ali ponarejenimi e-poštnimi računi, vse pogosteje pa tudi s telefonskimi številkami in aplikacijami za video sestanke. Irski nacionalni center za kibernetsko varnost (NCSC) navaja štiri pogoste oblike:

• Prevara z dobavitelji ali računi: e-pošto pravega dobavitelja nekdo vdre ali jo posnema s podobno domeno, da pošilja lažne račune ali „nove bančne podatke“.
• Prevara z lažnim direktorjem (CEO prevara): lažni direktor zahteva nujno, tajno nakazilo ali darilne kartice.
• Preusmeritev plač: lažni zaposleni prosi kadrovsko službo, naj mu plačo nakazuje na nov račun.
• Izdajanje za odvetnika: lažni odvetnik ali notar pošlje navodila za nakazilo pri poslu ali nakupu nepremičnine.

V Združenem kraljestvu so banke v letu 2025 zabeležile 41,3 milijona funtov izgub zaradi prevar z računi in pooblastili v 2.305 primerih ter dodatnih 5,6 milijona funtov zaradi prevar z lažnim direktorjem.

Kako je videti e-pošta pri prevari s poslovno e-pošto?

Videti je običajna, in prav v tem je bistvo. E-pošta pri BEC le redko vsebuje zlonamerno programsko opremo ali povezave. Zanaša se na verjetno zgodbo, rok in majhno spremembo. To so tipični primeri, povzeti:

Pozdravljeni, obveščamo vas, da smo bančno poslovanje prenesli k novi banki. Posodobljeni podatki so v prilogi. Prosimo, uporabite jih za račun št. 4471 in vsa prihodnja plačila. Naš stari račun je zaprt.

Ste za mizo? Danes potrebujem, da uredite zaupno plačilo za prevzem. Zaenkrat o tem ne govorite z nikomer. Sem na sestankih, zato samo po e-pošti.

Pozdravljeni v kadrovski, zamenjal sem banko. Mi lahko pred obračunom plač posodobite račun za nakazilo? Novi podatki so spodaj.

FBI opozarja, da umetna inteligenca to e-pošto dela bolj izpiljeno: orodja za klepet lahko posnemajo direktorjev slog pisanja, kloniranje glasu pa lahko zahtevo podpre po telefonu. Podjetja so v letu 2025 prijavila več kot 30 milijonov dolarjev izgub zaradi BEC, pri katerih je bila vpletena umetna inteligenca.

Kako preverim pošiljatelja e-pošte?

Preverite dejanski naslov, preverite domeno, preverite rezultate overjanja, nato pa potrdite po telefonu s številko, ki ste jo že imeli. Pojdite po vrsti.

1. Prikažite celoten naslov. Prikazno ime („Sara Lah, računovodstvo“) je lahko karkoli. Tapnite ga ali se z miško pomaknite nanj, da vidite pravi naslov. Na telefonu ta korak zlahka spregledate, zato FBI svetuje, da e-pošto nastavite tako, da prikazuje celotne naslove.
2. Domeno preberite črko za črko. Iščite zamenjane ali dodane znake: „acme-corp.com“ namesto „acmecorp.com“, „rn“ namesto „m“, „l“ namesto „i“, „.co“ namesto „.com“ ali brezplačen naslov, kot je Gmail, pri podjetju, ki ima svojo domeno.
3. Preverite naslov za odgovor (Reply-To). Kliknite odgovori in poglejte vrstico „Za“, preden začnete pisati. Če se spremeni v drug naslov, je e-pošta zasnovana tako, da vaš odgovor preusmeri drugam.
4. Preverite rezultate overjanja (SPF, DKIM, DMARC), razložene spodaj.
5. Poglejte zgodovino pogovora. Je to nova nit, ki „nadaljuje“ staro? So se podpis, telefonska številka ali ton spremenili?
6. Pokličite in potrdite s številko iz lastnih evidenc, nikoli s tisto iz e-pošte. To je korak, ki dejansko prepreči izgubo.

Prava e-pošta z vdrtega računa bo prestala vsa tehnična preverjanja. Zato 6. korak pri nobenem plačilu ali spremembi bančnih podatkov ni neobvezen.

Kako preverim SPF, DKIM in DMARC v e-pošti?

Odprite celotne podrobnosti ali glave sporočila in poiščite besedi „pass“ ali „fail“ ob SPF, DKIM in DMARC. V Gmailu odprite e-pošto, kliknite meni s tremi pikami in izberite „Pokaži izvirnik“. V Outlooku odprite lastnosti sporočila ali „Ogled vira sporočila“ in poiščite vrstico „Authentication-Results“.

„Fail“ pri e-pošti o plačilu je znak za ustavitev. „Pass“ dokazuje le, da je e-pošta prišla s te domene. Ne dokazuje, da je domena prava (podobna domena lahko prestane vsa tri preverjanja), niti da račun ni bil vdrt. Ta preverjanja obravnavajte kot filter, ne kot razsodbo.

Kako preverim, kdo je lastnik domene ali e-naslova?

Poiščite datum registracije domene, nato preverite osebo za naslovom. Uporabite brezplačno iskanje registracijskih podatkov organizacije ICANN. Domena dobavitelja, stara deset let, je normalna. Podobna domena, registrirana prejšnji teden, je prevara. Irski NCSC prav zato priporoča blokiranje ali označevanje pošte z novo registriranih domen.

Pri novem stiku, novem dobavitelju ali imenu, ki ga ne poznate, pomaga poslovno iskanje pri Search A-Z. Vpišite ime in priimek pošiljatelja ter državo, izberite „Poslovni stik“ in dodajte e-naslov in podjetje. Poročilo preveri, ali je e-naslov pravi in kakšno je tveganje za prevaro, ter pokaže službeni e-naslov osebe, trenutni položaj in podjetje, delovne izkušnje, javne poslovne profile, registracijo podjetja (funkcije v britanskem Companies House in svetovni register LEI), omembe v novicah in na spletu ter morebitna javna opozorila o prevarah. Če „nove skrbnice računov“ pri dobavitelju ni nikjer, imate odgovor. Oseba nikoli ne izve, da ste jo iskali.

Kaj je pravilo povratnega klica?

Pravilo povratnega klica je pisno pravilo, da se vsako novo plačilo, sprememba bančnih podatkov ali nujna zahteva za nakazilo potrdi z odhodnim klicem na številko, ki je že v vaših evidencah, preden se denar premakne. To je najučinkovitejši posamezni ukrep proti BEC, a le, če ga izvajate pravilno. Smernice banke JPMorgan o tem, kdaj povratni klici spodletijo, naštevajo običajne napake: zaupanje dohodnemu klicu, ki e-pošto „potrdi“, uporabo telefonske številke, natisnjene v e-pošti ali na računu, in pogovor z nekom, ki ni prava oseba.

Preprosto pravilo, ki ga lahko prevzamete:

• Vsaka sprememba bančnih podatkov dobavitelja ali zaposlenega se potrdi z odhodnim klicem na številko iz vaše evidence dobaviteljev, pogodbe ali uradne spletne strani dobavitelja, nikoli iz zahteve.
• Klic gre določeni osebi, s katero ste že poslovali.
• Zahteve, označene kot nujne ali zaupne, dobijo več preverjanj, ne manj.
• Plačila nad določenim zneskom morata odobriti dve osebi.
• Novi bančni podatki pred prvim plačilom počakajo določen čas (na primer od 24 do 48 ur).
• Zaposleni pisno vedo, da nihče, tudi direktor, ne bo imel težav, ker je plačilo zamaknil, da bi ga preveril.

Scenarij za klic:

Pozdravljeni, tukaj Aleš iz računovodstva podjetja Northfield. Prejeli smo e-pošto o novih bančnih podatkih za vaše račune. Preden kar koli spremenimo, mi lahko potrdite, da ste jo poslali vi, in mi preberete zadnje štiri številke novega računa?

Kako naj podjetje obravnava zahtevo za spremembo plačilnih podatkov?

Vsako spremembo plačilnih podatkov obravnavajte kot sumljivo, dokler je ne preverite po drugem kanalu, in vsak korak zabeležite. Ta postopek deluje za majhna in velika podjetja:

1. Zahtevo zabeležite z datumom, naslovom pošiljatelja in zahtevanimi podatki. Nanjo še ne odgovarjajte.
2. Pokličite dobavitelja na številko, ki je že v vašem sistemu, in potrdite pri običajni kontaktni osebi.
3. Preverite ime novega računa. V Združenem kraljestvu storitev Confirmation of Payee pove, ali se ime na računu ujema. V evrskem območju enako za nakazila v evrih od 9. oktobra 2025 opravlja preverjanje prejemnika plačila (Verification of Payee). „Ni ujemanja“ ali „delno ujemanje“ je opozorilni znak.
4. Pridobite drugega odobritelja, ki spremembo potrdi.
5. Pošljite majhno testno plačilo in po telefonu potrdite, da je prispelo, preden nakažete celoten znesek.
6. Bodite pozorni na nadaljnja sporočila. Pritisk, da bi preskočili katerega od teh korakov, je že sam po sebi opozorilni znak.

Enaka pravila ščitijo tudi vas kot dobavitelja: strankam pisno sporočite, da bančnih podatkov nikoli ne boste spremenili samo po e-pošti. Za nove stranke naš vodnik o tem, kako preveriti novo stranko, preden začnete, opisuje širša preverjanja.

Kaj naj storim, če sem plačal lažni račun?

Takoj pokličite banko in jo prosite, naj plačilo odpokliče, nato pa ga isti dan prijavite FBI ali nacionalni policiji. Hitrost je pomembnejša od vsega drugega. Irski NCSC opozarja, da večine sredstev ni mogoče vrniti, če niso označena v prvih nekaj urah.

1. Takoj pokličite oddelek banke za prevare. Zahtevajte odpoklic nakazila in da banka prejemnica sredstva zamrzne. Navedite znesek, datum, račun prejemnika in morebitni sklic.
2. ZDA: prijavite na ic3.gov z vsemi podatki o transakciji, ne glede na znesek. Ekipa FBI za vračilo sredstev (Recovery Asset Team) z bankami sodeluje prek postopka Financial Fraud Kill Chain, da zamrzne denar. V letu 2025 je obravnavala 3.900 incidentov in zamrznila 679 milijonov dolarjev, s 58-odstotno uspešnostjo. Če jih navedete, lahko sledi tudi nadaljnjim nakazilom („second hop“), pri mednarodnih nakazilih pa sodeluje z agencijo FinCEN.
3. Združeno kraljestvo: prijavite na Report Fraud, ki je decembra 2025 nadomestil Action Fraud, na številki 0300 123 2040, ali Police Scotland na 101. Tudi vaša banka bo začela svoj postopek vračila.
4. EU: prijavite nacionalni policiji in banki. Na Irskem želi biti obveščen tudi NCSC. V Sloveniji prevaro prijavite policiji (113 ali najbližja policijska postaja) in o incidentu obvestite še SI-CERT prek obrazca Varni na internetu.
5. Zavarujte e-poštni račun. Spremenite gesla, vklopite večfaktorsko overjanje in preverite pravila za posredovanje ali pravila v nabiralniku, ki skrivajo odgovore. To je pogost znak, da je nekdo prevzel račun.
6. Shranite dokaze. Shranite e-pošto s celotnimi glavami, račune, evidence klicev in transakcij. Ničesar ne brišite.
7. Opozorite pravega dobavitelja ali stranko. Njihov ali vaš račun je morda še vedno vdrt.

Če vas kontaktira „služba za vračilo denarja“ in ponuja, da bo proti plačilu vrnila denar, gre za novo prevaro. Pravo vračilo poteka prek banke in organov pregona.

Kako zaščitim podjetje pred prevarami po e-pošti?

Strog plačilni postopek združite z nekaj tehničnimi osnovami. FBI in irski NCSC priporočata:

• Večfaktorsko overjanje na vsakem e-poštnem računu.
• Nastavljene SPF, DKIM in DMARC na vaših domenah, da se kriminalci vašim strankam ne morejo zlahka izdajati za vas.
• E-pošto, ki prikazuje celotne naslove pošiljateljev in označuje zunanje pošiljatelje.
• Registracijo očitnih podobnih različic vaše domene ali njihovo spremljanje.
• Preverjen seznam dobaviteljev z znanimi telefonskimi kontakti.
• Redno usposabljanje zaposlenih na resničnih primerih, kot so zgornji.

BEC se pogosto začne z raziskovanjem vaše ekipe: kdo odobrava plačila, kdo so dobavitelji, kdo potuje. Naš vodnik o tem, kako prepoznati lažne profile na LinkedInu, pojasnjuje, kako lažni računi zbirajo te podatke.

Na kratko

Vdrte e-pošte od prave ne ločite po videzu, zato tega niti ne poskušajte. Preverite naslov in domeno, SPF in DKIM obravnavajte kot prvi filter in vsako spremembo plačilnih podatkov potrdite s klicem na številko, ki ste jo že imeli. Če je denar odšel, pokličite banko in prevaro prijavite v nekaj urah, ne dneh.

Pogosta vprašanja

Kaj je prevara s poslovno e-pošto?

Prevara s poslovno e-pošto (BEC) je prevara, pri kateri se kriminalci po e-pošti izdajajo za zaupanja vreden stik, na primer za dobavitelja, direktorja ali odvetnika, da bi vas pretentali v nakazilo denarja ali spremembo bančnih podatkov. FBI je v letu 2025 prejel 24.768 prijav BEC s 3,05 milijarde dolarjev izgub.

Kako ugotovim, ali je e-pošta res od tistega, ki ga navaja?

Prikažite celoten naslov pošiljatelja, domeno preverite črko za črko, poglejte, kam gredo odgovori, in v podrobnostih sporočila poiščite „pass“ pri SPF, DKIM in DMARC. Pri vsem, kar vključuje denar, potrdite s klicem osebe na številko, ki ste jo že imeli.

Ali je mogoče pravi e-naslov uporabiti za prevaro?

Da. Če je račun dobavitelja ali sodelavca vdrt, prevarantska e-pošta prihaja z njegovega pravega naslova in prestane vsa tehnična preverjanja. Zato je treba spremembe plačilnih podatkov vedno potrditi po telefonu, s številko iz lastnih evidenc.

Kaj pomeni DMARC fail?

Pomeni, da se domena v vrstici „Od“ ne ujema z domeno, ki je prestala preverjanje SPF ali DKIM. Pri e-pošti o plačilu ali spremembi bančnih podatkov je DMARC fail močan znak, da je pošiljatelj ponarejen.

Ali lahko dobim denar nazaj, potem ko sem plačal lažni račun?

Včasih, če hitro ukrepate. Takoj pokličite banko in zahtevajte odpoklic ter prevaro prijavite na ic3.gov v ZDA ali na Report Fraud v Združenem kraljestvu (v Sloveniji policiji). Ekipa FBI za vračilo sredstev je v letu 2025 za žrtve zamrznila 679 milijonov dolarjev, a možnosti po prvih nekaj urah močno upadejo.

Kaj je FBI Financial Fraud Kill Chain?

To je postopek, s katerim ekipa FBI za vračilo sredstev (Recovery Asset Team) z bankami zamrzne goljufiva nakazila, tudi mednarodna, prek agencije FinCEN. Sprožite ga s hitro prijavo na ic3.gov z vsemi podatki o transakciji in z zahtevo banki za odpoklic.

Kaj je podobna domena?

Spletna ali e-poštna domena, ki je narejena tako, da je videti kot prava, na primer acme-corp.com namesto acmecorp.com, ali s črko, zamenjano s podobno. Datum registracije preverite z iskalnikom ICANN: podobna domena je običajno stara le nekaj dni ali tednov.

Viri

1. FBI Internet Crime Complaint Center, 2025 Internet Crime Report
2. FBI IC3 PSA: Business Email Compromise, prevara, vredna 55 milijard dolarjev (september 2024)
3. UK Finance Annual Fraud Report 2026
4. National Cyber Security Centre (Irska): smernice o prevarah s poslovno e-pošto (julij 2025)
5. J.P. Morgan: kdaj povratni klici spodletijo
6. City of London Police: storitev Report Fraud začne delovati (december 2025)
7. ICANN: iskanje registracijskih podatkov (RDAP)
8. Mason Hayes & Curran: uredba EU o takojšnjih plačilih in preverjanje prejemnika plačila

Številke so najnovejše, ki jih je posamezen vir objavil ob posodobitvi tega vodnika. Prijavljene izgube zaradi prevar so spodnja meja: večina prevar ni nikoli prijavljena.