Business Email Compromise (BEC) / oszustwo „na prezesa”

Czym jest to zagrożenie?

Business Email Compromise (BEC) to wyrafinowane oszustwo wymierzone w firmy, które regularnie wykonują przelewy. Atakujący przejmują prawdziwe konto e-mail członka kierownictwa lub przekonująco się pod nie podszywają, a następnie polecają pracownikom działu finansów lub kadr przelać pieniądze na fałszywe konta — pod pretekstem pilnej, poufnej potrzeby biznesowej.

Raport FBI IC3 za 2023 rok uznał BEC za cyberprzestępstwo nr 1 pod względem łącznych strat — firmy na całym świecie straciły 2,9 mld USD. W Europie agencja ENISA uznaje je za priorytetowe zagrożenie dla organizacji każdej wielkości.

Jak to działa

Wariant 1 — oszustwo „na prezesa” z przelewem:

Atakujący badają firmę na LinkedIn i jej stronie: kto jest prezesem, kto zajmuje się finansami, jakie projekty są w toku.

Wysyłają do dyrektora finansowego lub kierownika finansów e-mail rzekomo od prezesa (podrobiony adres lub przejęta skrzynka): „Muszę prosić o poufny przelew 85 000 euro, żeby jeszcze dziś sfinalizować transakcję. Nie rozmawiaj o tym z nikim — wyjaśnię później. Potwierdź, gdy będzie zrobione.”

Pośpiech i tajemnica powstrzymują pracownika przed weryfikacją. Zanim oszustwo wyjdzie na jaw, pieniądze są już wypłacone.

Wariant 2 — fałszywa faktura:

Atakujący przejmują skrzynkę e-mail dostawcy, czekają na trwającą korespondencję o fakturze, a następnie wysyłają „zaktualizowane” dane bankowe do prawdziwej, oczekującej faktury. Firma płaci prawidłową kwotę — ale na konto przestępców.

Wariant 3 — przekierowanie wynagrodzenia:

Dział kadr otrzymuje przekonujący e-mail od pracownika z prośbą o zmianę numeru konta do wypłaty. Kolejna pensja trafia do atakującego.

Ewolucja 2024–2026 — deepfake wideo i audio:

Na początku 2024 roku pracownik działu finansów w Hongkongu został nakłoniony do przelania 25 mln USD po wideorozmowie z deepfake'owymi wersjami swojego dyrektora finansowego i współpracowników. Głos i obraz generowane przez AI są dziś wykorzystywane w atakach BEC, aby uśpić czujność.

Prawdziwe przykłady

FACC AG (Austria, 2016): dostawca dla przemysłu lotniczego stracił 50 mln euro w ataku BEC z podszyciem się pod prezesa — jedna z największych znanych strat z tytułu BEC w Europie.

Toyota Boshoku (2019): atak BEC przez podrobiony e-mail partnera doprowadził do oszukańczego przelewu na 37 mln USD.

Międzynarodowa firma w Hongkongu (2024): przelano 25 mln USD po wideorozmowie z deepfake'iem dyrektora finansowego.

Niemiecki Federalny Urząd Kryminalny (BKA) informuje o stratach z oszustw „na prezesa” sięgających dziesiątek milionów euro rocznie w krajach niemieckojęzycznych.

Sygnały ostrzegawcze

E-mail od członka kierownictwa z prośbą o pilny, poufny przelew — zwłaszcza z pominięciem zwykłej procedury akceptacji.

Prośby o zmianę danych bankowych dostawcy lub pracownika wyłącznie drogą e-mailową.

Presja typu „nikomu nie mów” lub „to pilne” połączona z prośbą finansową.

Drobne różnice w domenie nadawcy (np. nazwa-firmy.net zamiast nazwa-firmy.com).

Zaufany kontakt nagle pisze innym stylem lub o nietypowych porach.