Fałszywa faktura i zmiana numeru konta w mailu: jak sprawdzić

Na czym polega oszustwo na zmianę numeru konta?

Oszustwo na zmianę numeru konta (BEC, business email compromise) to podszycie się pod kontrahenta, prezesa albo dostawcę w poczcie firmowej, żeby przelew trafił na rachunek przestępcy. Mail wygląda jak zwykła korespondencja: „zmieniliśmy bank, proszę o płatność na nowy rachunek”, czasem z poprawioną fakturą w załączniku.

Oszuści działają na dwa sposoby. Albo przejmują prawdziwą skrzynkę kontrahenta i piszą z niej, w istniejącym wątku. Albo rejestrują domenę różniącą się jedną literą i wchodzą do rozmowy z „prawie tego samego” adresu.

Skala jest duża. Według raportu FBI IC3 za 2025 rok do tego centrum skarg (głównie z USA) zgłoszono 24 768 przypadków BEC, a zgłoszone straty wyniosły ponad 3,04 mld dolarów. Porównywalnej liczby dla Polski nie ma w publicznych źródłach, więc nie wiadomo, ile polskie firmy tracą w ten sposób.

Jak rozpoznać fałszywą fakturę?

Sygnały, które powinny Cię zatrzymać:

1. Nowy numer rachunku, zwłaszcza w banku zagranicznym albo na konto osobiste zamiast firmowego.

2. Pośpiech i tajność: „pilne, dziś do 15:00”, „proszę nie dzwonić, jestem na spotkaniu”.

3. Adres nadawcy minimalnie różny od zwykłego albo inny adres do odpowiedzi. Jak to sprawdzić krok po kroku, opisujemy w tekście jak sprawdzić, czy mail jest prawdziwy.

4. Faktura od firmy, z którą nigdy nie współpracowałeś, albo za usługę, której nie zamawiałeś.

5. Link do „pobrania faktury” zamiast załącznika albo prośba o zalogowanie się, żeby ją zobaczyć.

Domenę nadawcy (wiek, podobieństwo do znanej domeny, listę ostrzeżeń CERT Polska, ustawienia SPF i DMARC) możesz sprawdzić za darmo w trybie domena albo e-mail.

Jak zweryfikować zmianę numeru konta? Procedura dla firmy

Zapisz tę procedurę i stosuj ją zawsze, także przy „zaufanych” kontrahentach:

1. Zadzwoń do kontrahenta pod numer z poprzedniej faktury, umowy albo systemu księgowego. Nigdy pod numer z maila, w którym przyszła zmiana, i nigdy przez „odpowiedz”.

2. Zapytaj osobę, którą znasz, czy zmiana jest prawdziwa, i poproś o podanie nowego numeru rachunku na głos. Porównaj cyfra po cyfrze.

3. Sprawdź nowy rachunek w wykazie podatników VAT, czyli na Białej liście (wyszukiwarka Ministerstwa Finansów). Wyszukasz w niej po NIP albo po numerze rachunku i zobaczysz, czy rachunek jest przypisany do NIP Twojego kontrahenta.

4. Zmianę w kartotece kontrahenta niech zatwierdzi druga osoba. Jedna osoba wprowadza, druga potwierdza po telefonie.

5. Zapisz, kto, kiedy i z kim rozmawiał. Przy sporze z bankiem albo kontrahentem ta notatka będzie dowodem.

Ustal zasadę z kontrahentami z góry, najlepiej w umowie: zmiana rachunku nigdy nie przychodzi samym mailem i zawsze wymaga potwierdzenia telefonicznego. Gdy oszust napisze „pilnie, bez telefonu”, Twoja księgowość ma gotową odpowiedź i nie musi niczego oceniać pod presją.

Biała lista ma też znaczenie podatkowe. Od 2020 roku płatność za transakcję powyżej 15 000 zł z czynnym podatnikiem VAT powinna trafić na rachunek z wykazu. Przelew na inny rachunek oznacza brak kosztu podatkowego i solidarną odpowiedzialność za VAT dostawcy. Można tego uniknąć, składając zawiadomienie ZAW-NR do urzędu skarbowego w ciągu 7 dni od zlecenia przelewu.

Fałszywa faktura w KSeF: czy KSeF chroni przed oszustwem?

Krajowy System e-Faktur jest obowiązkowy od 1 lutego 2026 roku dla firm, których sprzedaż w 2024 roku (wraz z VAT) przekroczyła 200 mln zł, a od 1 kwietnia 2026 roku dla pozostałych. Najmniejsi podatnicy (sprzedaż na fakturach do 10 000 zł miesięcznie) mogą wystawiać faktury poza KSeF do końca 2026 roku, od 1 stycznia 2027 roku obowiązek obejmie wszystkich. Odbierać faktury z KSeF muszą wszyscy od lutego 2026 roku.

KSeF nie chroni przed fałszywą fakturą. Faktura trafia do nabywcy automatycznie po jego NIP i jest uznana za otrzymaną z chwilą nadania jej numeru w KSeF, bez akceptacji nabywcy. Na pytanie, skąd księgowa ma wiedzieć, że faktura nie jest fałszywką, Ministerstwo Finansów odpowiada, że KSeF nie zmienia dotychczasowych zasad weryfikacji, a podatnik powinien na bieżąco śledzić otrzymywane faktury.

Od 24 kwietnia 2026 roku w Aplikacji Podatnika KSeF 2.0 jest funkcja „Zgłoszenie nadużycia” dla tzw. faktur scamowych. Wybierasz fakturę na liście, podajesz powód i uzasadnienie, potwierdzasz i wysyłasz zgłoszenie. Ministerstwo nie podaje, czy zgłoszona faktura znika z systemu. Pytania przyjmuje infolinia KAS pod numerem 22 330 03 30.

KSeF pomaga za to w jednym: jeśli Twój dostawca wystawia faktury w KSeF, porównaj numer rachunku na fakturze w systemie z tym z maila. PDF w załączniku mógł zostać podmieniony, faktura w KSeF nie przeszła przez skrzynkę mailową. Uwaga też na maile „masz nową fakturę w KSeF” z linkiem: do systemu wchodź sam, nie z wiadomości.

Przelew już wyszedł. Co zrobić?

Liczy się czas. Zrób to w tej kolejności:

1. Zadzwoń do swojego banku od razu, na infolinię z karty lub strony wpisanej ręcznie. Powiedz, że to przelew wyłudzony oszustwem, i poproś o próbę wstrzymania lub zwrotu oraz kontakt z bankiem odbiorcy. Centralne Biuro Zwalczania Cyberprzestępczości zaleca pilny kontakt z bankiem jako pierwszy krok. Nie ma gwarancji, że pieniądze wrócą.

2. Złóż zawiadomienie o przestępstwie w dowolnej jednostce policji. Zabierz maile z pełnymi nagłówkami, fakturę, potwierdzenie przelewu i numer rachunku odbiorcy.

3. Zgłoś incydent do CERT Polska przez incydent.cert.pl.

4. Powiadom kontrahenta innym kanałem niż mail. Jego skrzynka mogła zostać przejęta i oszuści mogą pisać do kolejnych klientów.

5. Sprawdź własną pocztę: zmień hasła, włącz logowanie dwuetapowe i przejrzyj reguły przekierowania wiadomości. Jeśli zapłaciłeś ponad 15 000 zł na rachunek spoza Białej listy, w ciągu 7 dni złóż ZAW-NR.

Fałszywa faktura: gdzie zgłosić?

Fakturę scamową w KSeF zgłaszasz w Aplikacji Podatnika KSeF 2.0 przez „Zgłoszenie nadużycia”. Mail z fałszywą fakturą zgłaszasz do CERT Polska (incydent.cert.pl), a gdy straciłeś pieniądze, także na policji.

Jeśli pracownicy w firmie wklejają faktury i dane kontrahentów do narzędzi AI, żeby je „sprawdzić”, ustal najpierw zasady. Pomoże w tym artykuł o tym, czy można wklejać dane do ChatGPT, i wzór polityki korzystania z AI w firmie.