Scenariusz
CNIL opisuje fałszywe polecenie przelewu, zwane „oszustwem na prezesa”, jako proces kilkuetapowy. Oszust zbiera informacje o firmie: strukturę organizacyjną, klientów, dostawców. Przygotowuje fałszywą nazwę domeny podobną do domeny firmy lub dostawcy albo podszywa się pod pracownika. Następnie pisze lub dzwoni, udając członka zarządu lub dostawcę, z prośbą przedstawianą jako pilna i zatwierdzona na najwyższym szczeblu.
Warianty są do siebie podobne:
- nieprzewidziany, pilny i poufny przelew, o który prosi fałszywy prezes lub fałszywy przedstawiciel grupy;
- dostawca, który zapowiada zmianę numeru rachunku bankowego dla kolejnych faktur;
- fałszywa faktura, na właściwą kwotę i we właściwym formacie;
- fałszywa kontrola urzędu, która służy następnie do napisania do klientów firmy z nowym numerem rachunku bankowego – scenariusz opisany przez francuskie Ministerstwo Gospodarki.
Mechanizm jest zawsze ludzki: pośpiech, tajemnica, autorytet. Ministerstwo Gospodarki radzi nie działać w pośpiechu, nawet wobec natarczywego rozmówcy, i zachować szczególną czujność w okresie urlopów, gdy działy księgowe pracują w ograniczonym składzie.
Przykład, dla ilustracji. W piątek późnym popołudniem księgowa małej firmy otrzymuje wiadomość od „prezesa zarządu”: poufne przejęcie, prawnik, który zaraz zadzwoni, przelew do wykonania przed poniedziałkiem. Wiadomość nie zawiera załącznika ani linku. Nazwa wyświetlana jest prawidłowa, adres – nie. Technicznie nic nie jest „zainfekowane”.
Cztery formy podszywania się, a nie jedna
| Forma | Jak wygląda | SPF, DKIM, DMARC | Co może ją wykryć |
|---|
| Podszywanie się pod nazwę wyświetlaną | „Anna Kowalska, prezes zarządu” pisze z bezpłatnej skrzynki pocztowej | Prawidłowe dla rzeczywistej domeny nadawcy; DMARC nie obejmuje nazwy wyświetlanej | Porównanie nazwy wyświetlanej, adresu i nazwisk kadry kierowniczej danej domeny |
| Domena łudząco podobna | Podwojona litera, myślnik, inne rozszerzenie | Mogą być bez zarzutu dla domeny łudząco podobnej | Podobieństwo do Państwa domeny lub domeny dostawcy, wiek domeny, reputacja |
| Dokładnie Państwa domena, wysłana z innego miejsca | Wyświetlany adres jest prawdziwy | DMARC zwraca wynik negatywny; zatrzymuje wiadomość, jeśli wymaga tego polityka domeny | Weryfikacja DMARC przy odbiorze |
| Rzeczywiście przejęte konto | Wiadomość pochodzi z prawdziwej skrzynki członka zarządu lub dostawcy | Wszystko jest prawidłowe | Zmiana zachowania, treść (nowy numer rachunku), a przede wszystkim procedura weryfikacji |
Sama specyfikacja DMARC to przyznaje: nie obejmuje ani domen wizualnie podobnych, ani nadużyć nazwy wyświetlanej. Trzy przypadki na cztery wymykają się więc uwierzytelnianiu domeny. Szczegóły znajdują się w przewodniku SPF, DKIM i DMARC, a przypadek wykradzionego konta w przewodniku spam, phishing, malware i przejęte konto.
Co zatrzymuje technika
- Podszywanie się pod dokładną domenę, gdy domena publikuje politykę DMARC kwarantanny lub odrzucenia.
- Domenę łudząco podobną, przez porównanie z Państwa domeną, domenami dostawców i znanymi markami oraz na podstawie wieku domeny: domena utworzona w zeszłym tygodniu, która naśladuje Państwa domenę, to silny sygnał.
- Mylącą nazwę wyświetlaną, gdy filtr wie, kto należy do kadry kierowniczej firmy, i porównuje wyświetlaną nazwę z rzeczywistym adresem.
- Znane scenariusze: prośba o pilny przelew, zmiana danych bankowych, fałszywa faktura, zachęta do oddzwonienia na podany numer. Filtr może rozpoznać te schematy w treści, nawet bez załącznika czy linku.
- Anomalię: stały dostawca, który nagle pisze z innego kraju, o innej porze, z prośbą, z jaką nigdy się nie zwracał.
Często pomijana kwestia: filtr domyślnie nie wie, kto jest Państwa prezesem ani kto jest Państwa dostawcą. Przekazanie mu tego kontekstu, czyli nazwisk kadry kierowniczej i stałych dostawców, pozwala mu rozpoznać fałszywego prezesa.
O czym technika nie decyduje
Filtr zmniejsza liczbę docierających fałszywych wiadomości. Nie zatwierdza płatności. Rzeczywiście przejęte konto, wiarygodna prośba, domena łudząco podobna nieznana listom: wiadomość może się przedostać. Ostatnią barierą jest procedura.
Odruchy, które warto zapisać w procedurze
- Każdą zmianę danych bankowych potwierdza się kanałem już znanym: telefonem pod numer dostawcy, który figuruje w Państwa dokumentacji, nigdy pod numer podany w wiadomości. CNIL zaleca kontakt telefoniczny lub osobisty ze znanymi osobami kontaktowymi.
- Podwójne zatwierdzanie powyżej określonego progu, przez dwie osoby, z których jedna nie uczestniczy w danej korespondencji.
- Pośpiech i tajemnica to sygnały ostrzegawcze, a nie powody, by działać szybciej. Prawdziwy prezes zaakceptuje oddzwonienie.
- Aktualna lista kontaktów u dostawców i klientów, zgodnie z zaleceniem CNIL, aby wiedzieć, do kogo zadzwonić.
- Wzmożona czujność w okresie urlopów, zamknięcia roku lub zmian organizacyjnych.
- Rejestracja nazw domen podobnych do Państwa domeny oraz uwierzytelnianie dwuskładnikowe w poczcie – dwa środki wymieniane przez CNIL.
Kto powinien znać te zasady
Nie tylko dział księgowości. Asystenci zarządu, zaopatrzeniowcy, osoby prowadzące kartoteki dostawców i osoby zastępujące nieobecnych są naturalnym celem tego scenariusza, ponieważ mają dostęp do płatności lub danych bankowych. CNIL zaleca uwrażliwienie pracowników na sprawdzanie nazw domen i ostrożność wobec nietypowych próśb. Krótka, spisana zasada, znana wszystkim i regularnie przypominana, jest lepsza niż ustne polecenie: pozwala pracownikowi powiedzieć „nie” fałszywemu prezesowi bez obawy, że nie otrzyma wsparcia przełożonych.
Jeśli oszukańczy przelew został już wykonany: natychmiast zadzwonić do banku, aby spróbować go anulować, zachować wiadomości, złożyć zawiadomienie o przestępstwie. Powiadomić również klientów lub dostawców, pod których nazwę się podszyto.
Najczęściej zadawane pytania
Czy DMARC wystarczy przeciwko oszustwu „na prezesa”?
Nie. Zatrzymuje podszywanie się pod dokładnie Państwa domenę, ale nie domenę łudząco podobną ani nazwę wyświetlaną. Zob. SPF, DKIM i DMARC.
Czy wiadomość bez załącznika i bez linku może być niebezpieczna?
Tak. Oszustwo na przelew wymaga jedynie wiarygodnego tekstu i osoby, która wykona polecenie.
Wiadomość pochodzi z prawdziwego adresu dostawcy: czy jest bezpieczna?
Niekoniecznie: jego konto mogło zostać wykradzione. Zob. przejęte konto. Rozstrzyga weryfikacja telefoniczna.
Wiadomość z oszustwem trafiła do kwarantanny: czy należy ją zwolnić, aby to sprawdzić?
Nie. Proszę sprawdzić informację u znanej osoby kontaktowej, bez zwalniania wiadomości. Zob. Kwarantanna, fałszywe alarmy i zgłoszenia.
Gdzie plasuje się Klytic
Klytic MTA rozdziela tę ochronę między swoje dwa pakiety. Działa przed każdym systemem pocztowym, bez Klytic Mail.
| Ochrona | Essential | Advanced |
|---|
| Weryfikacja SPF, DKIM, DMARC, również dla przekazywanych wiadomości | Tak | Tak |
| Podszywanie się pod marki, domeny łudząco podobne, podszywanie się pod nazwę wyświetlaną | Tak | Tak |
| Nietypowe zachowania nadawcy | Tak | Tak |
| Oszustwa „na prezesa” | Nie | Tak |
| Fałszywe faktury, fałszywe przelewy, kryptowaluty, zwroty, finansowanie, połączenia telefoniczne | Nie | Tak |
| Alert SMS, gdy pisze ważny nadawca | Opcja | Opcja |
Kontekst oszustw dla domeny (nazwiska kadry kierowniczej, stali dostawcy) konfiguruje administrator domeny: zob. Kto konfiguruje filtr w Klytic MTA.
Czego Klytic MTA nie robi: nie zatwierdza żadnych płatności i nie zastępuje Państwa procedury przelewów. Nie widzi bezpośredniego połączenia telefonicznego, a jedynie wiadomości, które zachęcają do zadzwonienia.
Ta strona opisuje ogólne środki. Nie zastępuje porad Państwa banku ani organów ścigania w przypadku potwierdzonego oszustwa.
Źródła
Stan na październik 2026.
- CNIL, „Le faux ordre de virement international ou fraude au président” (Fałszywe międzynarodowe polecenie przelewu, czyli oszustwo „na prezesa”): przebieg ataku (rozpoznanie, podobna domena, pilna prośba), środki zapobiegawcze (oddzwonienie do znanych kontaktów, procedury zatwierdzania, rejestracja podobnych domen, uwierzytelnianie dwuskładnikowe). cnil.fr
- Francuskie Ministerstwo Gospodarki, „Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président” (Jak chronić się przed oszustwem z użyciem fałszywych poleceń przelewu, czyli oszustwem „na prezesa”): przelew przedstawiany jako pilny i poufny, podszywanie się pod urząd w celu zapowiedzi zmiany numeru rachunku, niedziałanie w pośpiechu, czujność w okresie urlopów. economie.gouv.fr
- RFC 7489, DMARC: poza zakresem mechanizmu pozostają nazwy domen wizualnie podobne i nadużycie nazwy wyświetlanej. rfc-editor.org
- Klytic, strona Klytic MTA: podział ochrony przed oszustwami finansowymi między pakiety Essential i Advanced, opcje, tryby wdrożenia, uruchomienie przez zmianę rekordu MX. klytic.com
