Business Email Compromise – jak przestępcy podszywają się pod szefa lub kontrahenta?
Business Email Compromise (BEC) to zaawansowany atak socjotechniczny, który nie wykorzystuje złośliwego oprogramowania, lecz polega na precyzyjnej manipulacji tożsamością biznesową nadawcy. Zamiast infekować firmowe komputery wirusami, hakerzy modyfikują świadomość pracowników, zmuszając ich do dobrowolnego przesłania milionów złotych na konta słupów.
W mojej codziennej audytorskiej praktyce wielokrotnie byłam świadkiem dramatu księgowych, którzy jednym kliknięciem pozbawiali organizację wielomiesięcznych zysków. Zauważyłam, że najczęstszym błędem decydentów IT jest wiara, że standardowy program antywirusowy uchroni firmę przed cyberatakiem, w którym główną bronią napastnika jest po prostu doskonała znajomość psychologii i fałszywy autorytet. Zero kodu, same słowa. Właśnie dlatego ataki typu BEC są dziś zmorą światowej i polskiej gospodarki.
Na czym polega Business Email Compromise w praktyce?
Podstawowym fundamentem ataku BEC jest kradzież tożsamości zaufanej strony transakcji finansowej. Przestępca preparuje komunikację w taki sposób, aby ofiara nie zorientowała się, że koresponduje z oszustem, dopóki pieniądze bezpowrotnie nie znikną z konta. Cały proces opiera się o ekstremalną presję psychologiczną i wymóg zachowania poufności.
Z perspektywy operacyjnej, cyberprzestępcy stosują dwa najpopularniejsze wektory ataku, które różnią się profilem wykorzystywanej tożsamości oraz kierunkiem przepływu informacji.
| Cecha charakterystyczna | Vendor Fraud (Na Kontrahenta) | CEO Fraud (Na Prezesa) |
|---|---|---|
| Tożsamość nadawcy | Stały, zaufany dostawca B2B | Dyrektor generalny, zarząd firmy |
| Główny pretekst | Nagła zmiana numeru konta bankowego na rzekomo wystawionej fakturze. | „Ściśle poufna i pilna operacja przejęcia (M&A)”, o której nikt w firmie nie może wiedzieć. |
| Emocja manipulacyjna | Zaufanie i rutyna biznesowa | Strach, lojalność i presja autorytetu |
Jakie straty generują wyłudzenia mailowe na świecie i w Polsce?
Koszty ataków BEC rosną w lawinowym tempie, czyniąc z nich najbardziej dochodową gałąź współczesnej cyberprzestępczości. Skala zjawiska wykracza daleko poza popularne infekcje typu ransomware, o których znacznie częściej piszą media.
Zgodnie z oficjalnym raportem opublikowanym przez [Źródło 1], straty wygenerowane przez Business Email Compromise w samym 2025 roku opiewały na kwotę 3,04 miliarda dolarów rocznie. Wartość ta oznacza wyraźny trend wzrostowy w stosunku do poprzedniego roku. Co więcej, skumulowane globalne straty wynikające z ataków ujawnionych między 2013 a 2023 rokiem przekroczyły próg 55 miliardów dolarów, a uśredniona strata pojedynczej firmy wynosi aż 122 000 dolarów, o czym przypominają cykliczne alerty organów ścigania [Źródło 2].
Sytuacja w Polsce prezentuje równie alarmujący obraz. Z danych udostępnionych przez [Źródło 3] wynika, że na 260 783 unikalnych incydentów bezpieczeństwa zarejestrowanych w raporcie rocznym za 2025 rok, absolutną większość, bo aż 97%, stanowiły oszustwa komputerowe. Ponad 78 tysięcy zdarzeń miało ścisły związek z phishingiem, który jest furtką otwierającą drogę do kompromitacji firmowych skrzynek pocztowych.
Polska policja regularnie rozbija międzynarodowe siatki cyberprzestępcze piorące brudne pieniądze. Jak wskazują komunikaty [Źródło 4], w czerwcu 2025 roku Centralne Biuro Zwalczania Cyberprzestępczości udaremniło działalność 17 osób podejrzanych o oszustwa, których zyski przekroczyły 21 milionów złotych. Z kolei w sierpniu 2026 roku rozbito kolejną czteroosobową grupę (3 obywateli Nigerii oraz Polka). W tym przypadku realne straty rodzimych firm opiewały na 4 miliony złotych, przy czym szybka interwencja śledczych powstrzymała transfer kolejnych 5,5 miliona złotych [Źródło 5].
Czego nie dowiesz się ze standardowych poradników: Zaawansowane mechanizmy ataków BEC
Większość artykułów w sieci upraszcza problem, sprowadzając BEC wyłącznie do prostej podmiany literówek w domenach internetowych (np. „rn” zamiast „m” w adresie firmy). Praktyka audytorska dowodzi jednak, że dzisiejsi napastnicy dysponują arsenałem narzędzi, z którymi nie radzą sobie tradycyjne procedury obronne.
Zjawisko EAC (Email Account Compromise)
Email Account Compromise to najgroźniejszy podtyp ataku BEC, oznaczający fizyczne przejęcie autentycznego konta pracownika na skutek wyłudzenia danych logowania. Gdy haker znajdzie się wewnątrz firmowej sieci korespondencyjnej, tygodniami pasywnie analizuje rachunki, faktury oraz relacje biznesowe. Nie używa spoofingu – on uderza precyzyjnie z legalnej, zaufanej skrzynki w momencie, gdy zbliża się wielomilionowa płatność, podmieniając jedynie arkusz PDF z numerem rachunku.
Atak poprzez Signing Oracle (Ominięcie podpisów cyfrowych)
Niezwykle wyrafinowaną metodą zyskania zaufania serwerów odbiorcy jest zastosowanie tzw. Signing Oracle. Przestępcy wykorzystują systemy automatycznych powiadomień potężnych korporacji, wprowadzając złośliwy link np. w pole formularza systemu Google Workspace, Apple czy PayPal. W rezultacie ofiara otrzymuje wiadomość, która zostaje w pełni legalnie popisywana kluczem kryptograficznym DKIM danej marki, co bez problemu przepuszcza ją przez najszczelniejsze bramki antyspamowe ofiary. To absolutny koszmar dla analityków bezpieczeństwa IT.
Sieć Money Mules i błyskawiczne pranie kapitału
Pieniądze przelane na fałszywe konto nie czekają tam tygodniami. Cyberprzestępcy zatrudniają armię tak zwanych Money Mules (mułów finansowych) – często nieświadomych ludzi rekrutowanych na rzekomą „pracę zdalną” jako pośredników. Skradzione środki ulegają błyskawicznemu rozproszeniu przez setki kont prywatnych w wielu krajach, co drastycznie redukuje szansę cofnięcia przelewu przez bank docelowy, jak ostrzegają systemy policyjne [Źródło 6].
Klonowanie głosu, czyli Deepfake Audio
Granica pomiędzy tekstem a dźwiękiem właśnie pękła. Ewolucja technologii sztucznej inteligencji wykreowała zjawisko użycia Deepfake Audio. Atakujący, w ramach wsparcia swojego szantażu mailowego, mogą wykonać krótkie połączenie telefoniczne do dyrektora finansowego. Głos w słuchawce do złudzenia przypomina barwę, intonację i akcent prezesa firmy, co uwiarygadnia fałszywą pilność żądania finansowego i definitywnie ucina wątpliwości pracownika.
Jak uodpornić organizację na Business Email Compromise?
Skuteczna obrona przed zagrożeniami klasy BEC wymaga wdrożenia potrójnej warstwy ochrony: weryfikacji tożsamości mailowej na poziomie technicznym, bezwzględnych procedur finansowych oraz nieustannej edukacji.
Technicznym fundamentem ochrony domeny powinna być implementacja protokołu DMARC (Domain-based Message Authentication, Reporting and Conformance) w restrykcyjnym wariancie. Aby DMARC funkcjonował prawidłowo, niezbędne jest idealne skonfigurowanie rekordów SPF (Sender Policy Framework) definiujących autoryzowane serwery wysyłkowe oraz DKIM odpowiadających za cyfrowy podpis nagłówków maila. Rekomenduję wdrożenie polityki DMARC na poziomie p=reject. Powoduje to, że każdy list pochodzący od oszusta próbującego podszyć się pod dokładny adres naszej firmy zostanie natychmiast odrzucony przez serwery odbiorcze kontrahenta, jeszcze przed dotarciem do jakiejkolwiek skrzynki odbiorczej.
Niezależnie od twardych zabezpieczeń IT, najpotężniejszą barierą przed oszustwami typu Vendor oraz CEO Fraud jest zmiana kultury organizacyjnej. Wdrożenie procedury dwuskładnikowego uwierzytelnienia operacji finansowych (tzw. zasada „czworga oczu”) stanowi klucz do minimalizacji strat. Każda informacja o zmianie numeru rachunku nadesłana pocztą elektroniczną powinna być obligatoryjnie weryfikowana za pomocą kanału zewnętrznego – na przykład poprzez bezpośredni telefon do księgowego dostawcy pod numer znany z dotychczasowej, fizycznej umowy.
„Nie ufaj e-mailom wymuszającym pośpiech. Jeśli rzekomy prezes każe Ci złamać wewnętrzne procedury księgowe dla ratowania tajnego kontraktu, to znaczy, że z 99% pewnością rozmawiasz z przestępcą, który zmanipulował Twoją skrzynkę pocztową.”
Podsumowując, świadomość zjawiska Business Email Compromise rośnie, ale cyberprzestępcy ciągle ewoluują. Zastępowanie ludzkiej pracy sztuczną inteligencją przy generowaniu głosu czy tworzeniu nienagannych gramatycznie wiadomości phishingowych to wyzwania, które przedefiniują bezpieczeństwo B2B w najbliższych miesiącach. Ochrona w 2026 roku nie opiera się już na programach antywirusowych, ale na braku ślepego zaufania do tożsamości nadawcy.
Bibliografia i źródła
- [Źródło 1] Oficjalne statystyki strat finansowych w sieci, roczne podsumowanie Internet Crime Complaint Center (ic3.gov)
- [Źródło 2] Raporty zjawisk i analiz oszustw BEC (fbi.gov)
- [Źródło 3] Raport Roczny z działalności polskiego zespołu reagowania na incydenty komputerowe (cert.pl)
- [Źródło 4] Komunikat prasowy o rozbiciu międzynarodowej siatki przez CBZC w czerwcu 2025 (policja.gov.pl)
- [Źródło 5] Aktualności operacyjne – udaremnienie transferów na 5,5 mln zł przez CBZC w sierpniu 2026 (policja.gov.pl)
- [Źródło 6] Informacje na temat procederu prania pieniędzy przez sieci mułów finansowych (policja.pl)
FAQ – najczęściej zadawane pytania
Czym jest Business Email Compromise (BEC)?
To zaawansowany atak socjotechniczny polegający na podszywaniu się pod tożsamość biznesową, taką jak szef lub kontrahent, w celu zmanipulowania pracownika i wyłudzenia środków finansowych bez użycia złośliwego oprogramowania.
Jakie są najpopularniejsze odmiany ataków BEC?
Do głównych wektorów należą Vendor Fraud, czyli podszywanie się pod dostawcę w celu zmiany numeru konta na fakturze, oraz CEO Fraud, polegający na wymuszaniu przez rzekomego szefa pilnych i poufnych przelewów.
Na czym polega różnica między BEC a Email Account Compromise (EAC)?
W klasycznym BEC przestępca podszywa się pod kogoś (np. poprzez podobną domenę), natomiast w EAC dochodzi do fizycznego przejęcia autentycznego konta e-mail pracownika, co pozwala hakerowi wysyłać wiarygodne wiadomości bezpośrednio z wnętrza organizacji.
W jaki sposób przestępcy wykorzystują sztuczną inteligencję w tych atakach?
Hakerzy stosują technologię Deepfake Audio do klonowania głosu kadry zarządzającej, co pozwala im uwiarygodnić żądania finansowe podczas rozmów telefonicznych prowadzonych równolegle z korespondencją mailową.
Jakie kroki techniczne i proceduralne warto podjąć dla ochrony firmy?
Zaleca się wdrożenie protokołów uwierzytelniających (DMARC, SPF, DKIM), stosowanie zasady 'czworga oczu’ przy transakcjach oraz obowiązkową telefoniczną weryfikację każdej prośby o zmianę numeru konta bankowego.
Jaka jest skala strat generowanych przez oszustwa typu BEC?
Zjawisko to generuje ogromne koszty – tylko w 2025 roku globalne straty wyniosły ponad 3 miliardy dolarów, a uśredniona strata pojedynczej firmy z powodu takiego incydentu to około 122 000 dolarów.
