Dzwoni "prezes" z pilną prośbą o przelew. Głos brzmi znajomo, sprawa jest poufna, czas nagli. To CEO fraud - jeden z najdroższych oszustw biznesowych. Wyjaśniamy, jak działa i dlaczego chroni cię procedura, a nie czujny słuch.
Do księgowej średniej firmy dzwoni telefon. W słuchawce głos prezesa - ton skupiony, trochę spięty. Mówi, że trwa poufna transakcja przejęcia, prawnicy czekają, potrzebny jest natychmiastowy przelew. Warunek jest jeden: żadnego maila, żadnego dyrektora finansowego, nikogo więcej. Tylko ona i on. I zegar tyka.
Księgowa przelewa 300 000 złotych. Kiedy prawdziwy prezes wraca z urlopu, nie wie o niczym. Bo po drugiej stronie nigdy nie było prezesa.
To CEO fraud, nazywany też Business Email Compromise, a w wersji głosowej - Voice BEC. Naszym zdaniem najważniejsze, co trzeba o nim wiedzieć, jest to, że nie jest to atak na technologię. To atak na hierarchię i na ludzki odruch, żeby nie kwestionować polecenia szefa. Dlatego firma, która broni się kupując kolejny filtr antyspamowy, walczy nie na tym froncie. Jedyne, co realnie zatrzymuje ten przekręt, to procedura, której nie da się obejść jednym telefonem - i o niej jest ten tekst.
W Polsce ataki tego typu przestały być egzotyką kilka lat temu, a ich skala rośnie równolegle z dostępnością narzędzi do klonowania głosu opartych na AI.
Jak działa CEO fraud telefoniczny
Klasyczny email BEC (podszywanie się pod szefa mailem) jest coraz lepiej wychwytywany przez filtry i uważnych pracowników. Wariant telefoniczny jest groźniejszy z prostego powodu: żywy głos wywiera presję, której mail nie ma, i o wiele trudniej go zakwestionować. Nikt nie chce przerwać "prezesowi" w połowie zdania i zażądać weryfikacji.
Przygotowanie do ataku trwa tygodniami, a nie minutami. Przestępcy zwykle:
- analizują stronę firmy, LinkedIn i media społecznościowe - szukają struktury, imion, stanowisk i relacji między ludźmi
- ustalają, kto konkretnie ma uprawnienia do wykonywania przelewów
- czekają na moment, gdy prawdziwy prezes jest nieosiągalny - urlop, konferencja, wyjazd za granicę
- zbierają szczegóły, które uwiarygodnią rozmowę: numer umowy, nazwisko kontrahenta, żargon branżowy
- niekiedy klonują głos prezesa z ogólnodostępnych nagrań - wywiadu, podcastu, wideo z konferencji
Potem dzwonią - bezpośrednio do osoby z dostępem do konta albo przez sekretariat ("proszę mnie natychmiast przełączyć do pani z księgowości, dzwonię z gabinetu prezesa, to pilne").
Deepfake głosu - dlaczego "poznałam głos szefa" już nie wystarcza
Do niedawna CEO fraud przez telefon opierał się na aktorze z dobrym akcentem i talentem do manipulacji. Dziś do wygenerowania przekonującego klonu głosu wystarczy krótka próbka nagrania. Intonacja, tempo, charakterystyczne zwroty - wszystko się zgadza. CERT Polska w swoich raportach odnotowuje rosnącą liczbę incydentów z użyciem syntetycznego głosu w atakach na firmy.
Prawda jest taka, że "poznałem głos prezesa" przestało być jakimkolwiek dowodem. To najtrudniejszy do przyjęcia wniosek dla starszych stażem pracowników, którzy latami rozpoznawali szefa po pierwszym "dzień dobry". Skoro słuchu nie da się już ufać, zostają tylko procedury - i to na nich, a nie na czujności ucha, trzeba oprzeć obronę.
Czerwone flagi w rozmowie
Scenariusze różnią się w szczegółach, ale kilka sygnałów powtarza się niemal zawsze. Ważne: nie musisz mieć pewności, że to oszustwo. Wystarczy jeden z tych sygnałów, żeby zatrzymać płatność do czasu weryfikacji.
| Sygnał w rozmowie | Dlaczego to czerwona flaga |
|---|---|
| "To poufne, nie mów nikomu" | Odcięcie od osób, które mogłyby ostrzec - klasyczna izolacja ofiary |
| "Musi być dzisiaj, natychmiast" | Sztuczna presja czasu blokuje refleksję i weryfikację |
| Prośba o pominięcie zwykłej procedury | Uczciwy przełożony nie każe łamać zasad autoryzacji przelewu |
| Nietypowy odbiorca lub zagraniczne konto | Środki mają trafić tam, skąd trudno je odzyskać |
| Kontakt tylko na nowy numer | "Dzwoń na ten numer, stary nie działa" utrudnia weryfikację |
Kto jest na celowniku - to nie tylko wielkie korporacje
Pokutuje przekonanie, że CEO fraud dotyczy wyłącznie wielkich spółek z zagranicznym kapitałem. W praktyce jest odwrotnie. Duże firmy mają działy compliance, dwuosobową autoryzację i szkolenia; to właśnie mniejsze i średnie przedsiębiorstwa, w których "prezes zna wszystkich po imieniu", są łatwiejszym celem, bo tam pominięcie procedury brzmi naturalnie, a nie podejrzanie.
Na celowniku są konkretne role, nie przypadkowi pracownicy. Księgowość, dział finansowy, asystent zarządu, osoba obsługująca bankowość elektroniczną - każdy, kto może uruchomić przelew albo do niego przekonać. Przestępca zwykle wie z LinkedIna, kto pełni którą funkcję, zanim po raz pierwszy wybierze numer. Dlatego szkolenie z tego zagrożenia w pierwszej kolejności powinno objąć właśnie te stanowiska, a nie całą firmę po równo.
Jak chronić firmę - konkretne procedury
Zasada dwóch par oczu. Żadna płatność powyżej ustalonego progu nie wychodzi bez drugiej uprawnionej osoby. Nawet jeśli "prezes prosił, żeby nikogo nie angażować" - to nie jest powód do pominięcia procedury, to jest właśnie sygnał alarmowy.
Oddzwaniaj na znany numer. Prośbę o przelew złożoną przez telefon weryfikujesz, oddzwaniając na oficjalny numer prezesa z firmowej książki adresowej - nigdy na numer, z którego dzwoniono. Uczciwy prezes to zrozumie. Fałszywy nagle "nie odbiera".
Hasło wewnętrzne (safeword). Ustalcie słowo, które potwierdza tożsamość dzwoniącego w pilnych sytuacjach. Nie trzymajcie go w mailach ani dokumentach, do których ktoś może się włamać.
Odwrócona zasada pilności. Im mocniej ktoś naciska na szybkość i poufność, tym więcej czasu bierzesz na sprawdzenie. To zasada wbrew intuicji - i właśnie dlatego oszuści na nią liczą.
Jeśli mnie pytasz, która z tych czterech rzeczy jest najważniejsza, odpowiedź jest jednoznaczna: zasada dwóch par oczu. Safeword da się zapomnieć, oddzwanianie da się pominąć w pośpiechu, ale twardy wymóg drugiej autoryzacji zatrzymuje przelew nawet wtedy, gdy pierwsza osoba dała się całkowicie omamić. Reszta to wsparcie, nie fundament.
Co robić po ataku
Jeśli doszło do przelewu, liczą się minuty:
- Natychmiast zadzwoń do banku. Cofnięcie przelewu (recall) ma realny sens, dopóki środki nie zostały wypłacone z konta docelowego - liczą się pierwsze minuty.
- Zgłoś na policję. Oszustwo to art. 286 Kodeksu karnego. Atak na firmę z użyciem socjotechniki cyfrowej zgłosisz do Centralnego Biura Zwalczania Cyberprzestępczości. Numer konta docelowego i numery telefonów to ślady - zachowaj je.
- Zgłoś incydent do CERT Polska - zwłaszcza jeśli użyto sklonowanego głosu. To pomaga mapować nowe techniki ataków.
- Nie ukrywaj zdarzenia wewnątrz firmy. Zatuszowanie utrudnia odzyskanie pieniędzy i naraża na powtórkę. Pracownik, który padł ofiarą, działał w dobrej wierze - karanie go za to jest błędem zarządzania, nie sprawiedliwością.
Skala strat i odpowiedzialność
CEO fraud to globalnie jeden z najdroższych typów oszustw finansowych - FBI od lat szacuje straty w USA w miliardach dolarów rocznie. W Polsce brakuje centralnej statystyki, ale sprawy trafiające do sądów pokazują kwoty od kilkudziesięciu tysięcy do kilku milionów złotych w jednej transakcji.
Pytanie o odpowiedzialność pracownika jest trudne. Co do zasady, jeśli działał zgodnie z tym, co uważał za polecenie szefa, ciężar odpowiedzialności spoczywa na przestępcy i na lukach w procedurach firmy. Ale jeśli firma miała jasne zasady autoryzacji, które pracownik świadomie pominął, sprawa się komplikuje. Dlatego procedury warto spisać i wdrożyć, zanim dojdzie do incydentu, a nie po nim. Mechanika samego ataku jest bliska tej opisanej w tekście o vishingu i klonowaniu głosu AI - w obu przypadkach kluczem jest weryfikacja, nie zaufanie do samego głosu.
FAQ
Czy klon głosu naprawdę brzmi jak prawdziwy prezes?
Na tyle dobrze, że w krótkiej, stresującej rozmowie telefonicznej większość ludzi nie wychwyci różnicy. Dlatego rozpoznanie głosu przestało być wiarygodną metodą weryfikacji - polegaj na procedurze i oddzwonieniu na znany numer.
Prezes naprawdę czasem prosi o pilny przelew. Jak odróżnić prawdziwą prośbę od oszustwa?
Nie odróżniasz jej w rozmowie - weryfikujesz ją poza rozmową. Rozłącz się i oddzwoń na znany numer albo potwierdź drugim kanałem. Prawdziwa pilna sprawa zniesie dwie minuty weryfikacji; oszustwo się na niej wykłada.
Jesteśmy małą firmą, czy naprawdę nas to dotyczy?
Tak. Mniejsze firmy są atrakcyjnym celem właśnie dlatego, że rzadziej mają sformalizowane procedury autoryzacji przelewów. Zasada dwóch par oczu nie wymaga budżetu - wymaga decyzji.
Podsumowanie
CEO fraud nie łamie systemów, tylko wykorzystuje hierarchię i pośpiech - a od kiedy głos da się sklonować, "poznałem szefa po głosie" nie jest już żadnym dowodem. Nie obronisz się czujniejszym słuchem ani kolejnym filtrem, tylko procedurą, której nie da się obejść jednym telefonem. Najważniejsza jest zasada dwóch par oczu; oddzwanianie na znany numer i wewnętrzny safeword to jej wsparcie. Jeśli firma karze za "nadmierną ostrożność", naprawia nie tę rzecz, co trzeba.