Oszustwo na fakturę i zmianę numeru rachunku - kto ponosi odpowiedzialność za przelew do cyberprzestępcy?
- Judyta Kasperkiewicz
- 5 minut temu
- 8 minut(y) czytania
Kontrahent przesyła fakturę, a chwilę później wiadomość o zmianie numeru rachunku bankowego. Adres nadawcy wygląda znajomo, treść nawiązuje do rzeczywistego zamówienia, kwota i termin płatności się zgadzają. Firma wykonuje przelew. Dopiero po kilku dniach okazuje się, że pieniądze trafiły na rachunek kontrolowany przez cyberprzestępcę.
Ten mechanizm jest określany jako oszustwo na fakturę, podmiana numeru rachunku lub BEC — Business Email Compromise. Sprawca może przejąć skrzynkę pocztową jednej ze stron, podszyć się pod niemal identyczny adres, zmodyfikować załącznik albo włączyć się do autentycznego wątku korespondencji. Dzięki temu fałszywa dyspozycja nie przypomina przypadkowego phishingu. Wygląda jak zwykły element współpracy handlowej.
Po ujawnieniu oszustwa powstaje zasadnicze pytanie: kto ponosi stratę — firma, która wykonała przelew, wierzyciel, którego korespondencję wykorzystano, czy bank realizujący płatność? Odpowiedź zależy od ustalenia, kto zlecił przelew, komu spełniono świadczenie, jak doszło do podmiany danych oraz czy którakolwiek ze stron naruszyła obowiązek należytej staranności.
Jak przebiega oszustwo na zmianę rachunku?
Najczęściej występują trzy warianty:
Przejęcie skrzynki wierzyciela - sprawca uzyskuje dostęp do poczty dostawcy, obserwuje korespondencję, a następnie wysyła z prawdziwego konta zmienioną fakturę lub informację o nowym rachunku.
Przejęcie skrzynki płatnika - oszust śledzi wiadomości po stronie nabywcy i podmienia dokument przed przekazaniem go do księgowości.
Podszycie się pod adres e-mail - sprawca rejestruje domenę różniącą się jedną literą, znakiem lub końcówką i kontynuuje rzeczywisty wątek korespondencji.
W bardziej zaawansowanych atakach przestępca zna nazwiska pracowników, numery faktur, terminy dostaw i sposób komunikacji między firmami. Może także odpowiedzieć na pytanie kontrolne wysłane na przejętą skrzynkę. Dlatego samo potwierdzenie zmiany rachunku przez e-mail — zwłaszcza w tym samym kanale - nie zawsze stanowi skuteczną weryfikację.
Czy przelew do oszusta zwalnia z obowiązku zapłaty faktury?
Co do zasady nie. Świadczenie pieniężne powinno zostać spełnione wierzycielowi albo osobie uprawnionej do jego przyjęcia. Jeżeli pieniądze wpłynęły na rachunek cyberprzestępcy, wierzyciel ich nie otrzymał. Samo obciążenie rachunku dłużnika nie oznacza zatem automatycznie wykonania zobowiązania z umowy.
Wierzyciel może nadal żądać zapłaty należności, a płatnik może dochodzić odzyskania kwoty od sprawcy lub innych podmiotów, których zawinione zachowanie doprowadziło do szkody. W praktyce oznacza to ryzyko „podwójnej płatności”: pierwszej na rachunek oszusta i drugiej na prawidłowy rachunek kontrahenta.
Ocena może być inna, jeżeli:
wierzyciel rzeczywiście wskazał dany rachunek lub upoważnił określoną osobę do jego wskazania;
środki ostatecznie weszły do majątku wierzyciela albo zostały wykorzystane na jego rzecz;
wierzyciel potwierdził czynność osoby nieuprawnionej;
strony wcześniej uzgodniły szczególny sposób zmiany danych płatniczych, a przekazana dyspozycja odpowiadała temu uzgodnieniu;
zachowanie wierzyciela uzasadnia ocenę jego odpowiedzialności odszkodowawczej lub przyczynienia się do szkody.
Nie ma więc ogólnej zasady, zgodnie z którą każda wiadomość wysłana z firmowej skrzynki bezwarunkowo obciąża jej właściciela. Nie można też przyjąć, że dłużnik zawsze zwalnia się z zobowiązania tylko dlatego, że fałszywa wiadomość była wyjątkowo przekonująca.
Czy za atak odpowiada firma, której skrzynkę przejęto?
Samo ustalenie, że cyberprzestępca uzyskał dostęp do skrzynki jednej ze stron, nie przesądza jeszcze o odpowiedzialności cywilnej tej firmy. Potrzebne jest zbadanie przesłanek odpowiedzialności, w szczególności:
obowiązku, który został naruszony;
winy lub niedochowania należytej staranności;
powstania szkody;
normalnego związku przyczynowego między zaniedbaniem a utratą pieniędzy.
Znaczenie może mieć m.in. brak uwierzytelniania wieloskładnikowego, ignorowanie wcześniejszych alertów o logowaniu, nieaktualne oprogramowanie, nieskuteczne zabezpieczenie domeny, brak reakcji na wykryte przejęcie konta albo kontynuowanie korespondencji bez ostrzeżenia kontrahentów.
W relacjach między przedsiębiorcami miernikiem jest zawodowy charakter działalności. Od profesjonalisty można wymagać procedur adekwatnych do skali, rodzaju transakcji i przewidywalnego ryzyka. Nie oznacza to odpowiedzialności na zasadzie absolutnej za każde skuteczne włamanie. Nawet dobrze zabezpieczona organizacja może paść ofiarą zaawansowanego ataku.
Jeżeli jednak wierzyciel przez swoje zawinione zaniedbania stworzył lub istotnie zwiększył ryzyko oszustwa, płatnik może rozważyć roszczenie odszkodowawcze, zarzut potrącenia albo powołanie się na przyczynienie poszkodowanego do powstania szkody na podstawie art. 362 Kodeksu cywilnego. Każda z tych konstrukcji wymaga odrębnego ustalenia przesłanek i odpowiedniego materiału dowodowego.
Czy płatnik powinien był zweryfikować zmianę rachunku?
Przedsiębiorca wykonujący przelew również ma obowiązek zachowania należytej staranności. Nietypowa zmiana rachunku, presja czasu, zagraniczny bank, literówka w domenie, prośba o pominięcie zwykłej procedury lub niezgodność z wcześniejszymi dokumentami powinny uruchomić dodatkową weryfikację.
Sąd może badać m.in.:
czy firma porównała rachunek z wcześniejszymi fakturami i umową;
czy rachunek został sprawdzony w wykazie podatników VAT;
czy zmianę potwierdzono telefonicznie, korzystając z wcześniej znanego numeru;
czy pracownik miał uprawnienie do samodzielnej zmiany danych kontrahenta;
czy płatność wymagała akceptacji drugiej osoby;
czy wiadomość zawierała sygnały ostrzegawcze;
czy po otrzymaniu nietypowej dyspozycji zastosowano wewnętrzną procedurę.
Brak weryfikacji nie sprawia automatycznie, że przelew do oszusta staje się zapłatą wierzycielowi. Może jednak przesądzać o odpowiedzialności płatnika za własną stratę albo prowadzić do podziału odpowiedzialności między uczestników zdarzenia.
W orzecznictwie dotyczącym podmiany rachunku oceny są silnie zależne od faktów. Sądy analizują całe zachowanie stron: sposób prowadzenia korespondencji, wcześniejszą praktykę, dostrzegalność zmiany, próby potwierdzenia danych i źródło ingerencji. Przykładem takiej kazuistycznej analizy są sprawy publikowane w Portalu Orzeczeń, m.in. X GC 739/21 i V GC 460/18. Nie należy przenosić wyniku pojedynczego wyroku na każdą sprawę bez porównania stanu faktycznego.
Czy bank odpowiada za wykonanie przelewu na rachunek oszusta?
Odpowiedź wymaga rozróżnienia dwóch sytuacji.
1. Pracownik firmy sam zlecił przelew na rachunek wskazany w fałszywej wiadomości
Jest to zwykle oszustwo typu APP — authorised push payment fraud. Płatnik został zmanipulowany, ale sam zalogował się do bankowości, wpisał lub zatwierdził numer rachunku i wyraził zgodę na przelew.
Taka transakcja jest najczęściej autoryzowana w rozumieniu ustawy o usługach płatniczych. Okoliczność, że zgoda została wywołana podstępem, nie zmienia automatycznie kwalifikacji przelewu w relacji z bankiem. Bank wykonał bowiem dyspozycję na numer rachunku wskazany przez klienta.
Przy przelewach numer rachunku jest co do zasady unikatowym identyfikatorem. Jeżeli zlecenie zostało wykonane zgodnie z tym identyfikatorem, bank nie odpowiada automatycznie za to, że nazwa odbiorcy wpisana przez klienta nie odpowiada posiadaczowi rachunku. Wynika to z art. 143 ustawy o usługach płatniczych. Bank ma natomiast obowiązki związane z podjęciem działań w celu odzyskania środków przekazanych z użyciem nieprawidłowego identyfikatora. Procedurę opisuje Rzecznik Finansowy.
Odpowiedzialność banku może być rozważana wyjątkowo, jeżeli nie wykonał obowiązków ustawowych lub umownych, zignorował szczególnie istotne sygnały oszustwa, wadliwie przeprowadził proces autoryzacji albo nie podjął wymaganych działań po zgłoszeniu. Sam fakt, że rachunek należał do oszusta, zwykle nie wystarczy.
Starsze orzeczenia, w tym wyrok Sądu Najwyższego z 19 marca 2004 r., sygn. IV CK 158/03, dotyczący obowiązku porównania nazwy wierzyciela z numerem rachunku, zapadły w odmiennym otoczeniu prawnym. Obecnie ich zastosowanie należy oceniać z uwzględnieniem art. 143 ustawy o usługach płatniczych i zasad wykonywania zlecenia według unikatowego identyfikatora. Wyrok SN IV CK 158/03.
2. Przelew wykonał sprawca po przejęciu bankowości elektronicznej
Jeżeli właściciel rachunku nie zlecił przelewu i nie wyraził zgody na jego wykonanie, może chodzić o transakcję nieautoryzowaną. W takim przypadku zastosowanie znajdują art. 40, 45 i 46 ustawy o usługach płatniczych, a bank co do zasady powinien zwrócić kwotę transakcji w terminie D+1.
Samo prawidłowe użycie hasła, kodu lub aplikacji nie dowodzi jeszcze, że klient wyraził zgodę. Rzecznik Finansowy podkreśla, że uwierzytelnienie jest czynnością techniczną, natomiast autoryzacja wymaga zgody płatnika. Zobacz stanowisko Rzecznika Finansowego dotyczące transakcji nieautoryzowanych.
Jeżeli klient sam świadomie zatwierdził przelew, nie powinien zgłaszać go jako nieautoryzowanego tylko dlatego, że później odkrył oszustwo. W reklamacji trzeba precyzyjnie opisać mechanizm zdarzenia.
Czy znaczenie ma „biała lista” podatników VAT?
Tak, ale nie rozstrzyga ona całego sporu cywilnego. Przy płatnościach objętych przepisami podatkowymi przedsiębiorca powinien zweryfikować rachunek w wykazie podatników VAT. Przelew na rachunek spoza wykazu może prowadzić do konsekwencji podatkowych, chyba że zostaną spełnione przesłanki pozwalające ich uniknąć, np. terminowe złożenie zawiadomienia ZAW-NR albo zastosowanie mechanizmu podzielonej płatności w sytuacjach przewidzianych prawem.
Brak rachunku na białej liście powinien być także sygnałem ostrzegawczym. Nie oznacza jednak automatycznie, że każdy rachunek znajdujący się w wykazie jest bezpieczny albo że jego sprawdzenie zwalnia z obowiązku potwierdzenia nagłej zmiany danych płatniczych.
Czy można żądać zwrotu od właściciela rachunku oszusta?
Osoba, która otrzymała środki bez podstawy prawnej, może odpowiadać na podstawie przepisów o bezpodstawnym wzbogaceniu, w szczególności art. 405 i nast. Kodeksu cywilnego. W zależności od udziału w procederze może również ponosić odpowiedzialność karną.
Problem ma zwykle charakter praktyczny: rachunek może należeć do tzw. słupa, środki są szybko wypłacane, wymieniane na aktywa cyfrowe albo przekazywane za granicę. Dlatego zabezpieczenie pieniędzy zależy przede wszystkim od szybkości reakcji.
Co zrobić natychmiast po wykryciu oszustwa?
Pierwsze godziny mogą zdecydować o możliwości odzyskania środków. Należy:
natychmiast skontaktować się z bankiem i zażądać wstrzymania, odwołania albo próby odzyskania przelewu;
przekazać bankowi odbiorcy informację o podejrzeniu oszustwa — zwykle za pośrednictwem własnego banku;
zawiadomić Policję lub prokuraturę i przekazać pełne dane transakcji;
zabezpieczyć korespondencję w formacie źródłowym wraz z nagłówkami wiadomości, a nie tylko wydrukiem lub zrzutem ekranu;
zachować faktury, umowy, potwierdzenia przelewu, historię logowań i komunikaty bankowe;
zabezpieczyć urządzenia i logi pocztowe przed automatycznym usunięciem;
zmienić dane dostępowe, wylogować aktywne sesje i wdrożyć uwierzytelnianie wieloskładnikowe;
ustalić, czy doszło do naruszenia ochrony danych osobowych wymagającego analizy na gruncie RODO;
powiadomić ubezpieczyciela, jeżeli firma posiada polisę cyber lub crime;
skoordynować komunikację z kontrahentem, nie niszcząc przy tym materiału dowodowego.
Nie należy prowadzić dalszych ustaleń wyłącznie przez przejęty kanał komunikacji. Kontakt trzeba zainicjować przy użyciu wcześniej znanego numeru telefonu lub innej niezależnej metody.
Jakie dowody przesądzają o odpowiedzialności?
W sporze cywilnym kluczowe mogą być:
pełne nagłówki wiadomości e-mail;
logi serwera pocztowego i systemów bezpieczeństwa;
historia logowań, reguł przekierowań i zmian ustawień skrzynki;
analiza domeny wykorzystanej przez sprawcę;
oryginalne pliki faktur i ich metadane;
umowa oraz ustalone procedury zmiany rachunku;
nagrania rozmów i notatki służbowe;
wyniki kontroli rachunku na białej liście;
procedury akceptacji płatności obowiązujące u obu kontrahentów;
opinia biegłego z zakresu informatyki śledczej;
dokumentacja reakcji banków i organów ścigania.
Samo przedstawienie wydruku wiadomości może być niewystarczające do ustalenia, z jakiego systemu ją wysłano i czy została zmodyfikowana.
Jak zapobiegać podmianie rachunku na fakturze?
Najskuteczniejsza procedura powinna zakładać, że każda zmiana danych płatniczych wymaga potwierdzenia poza kanałem, którym ją zgłoszono. W szczególności warto:
potwierdzać zmianę rachunku telefonicznie pod wcześniej znanym numerem;
stosować zasadę dwóch par oczu dla nowych rachunków i płatności wysokiej wartości;
ograniczyć liczbę osób uprawnionych do modyfikacji kartoteki kontrahenta;
wprowadzić alerty dla nowych odbiorców i nietypowych przelewów;
sprawdzać rachunki w wykazie podatników VAT;
wdrożyć MFA dla poczty i bankowości;
zabezpieczyć domenę mechanizmami SPF, DKIM i DMARC;
monitorować nietypowe logowania oraz reguły automatycznego przekazywania poczty;
szkolić pracowników księgowości, sprzedaży i zarządu;
określić w umowach dopuszczalny sposób zgłaszania zmiany rachunku.
Warto zastrzec, że zmiana rachunku jest skuteczna dopiero po potwierdzeniu w określonej procedurze. Taka klauzula nie zatrzyma hakera, ale istotnie ograniczy przestrzeń do sporu o to, czy wiadomość e-mail mogła zostać uznana za wiążącą dyspozycję.
Kto ostatecznie ponosi odpowiedzialność?
Nie istnieje jedna odpowiedź właściwa dla wszystkich przypadków. Najczęściej trzeba rozważyć równolegle cztery kierunki:
płatnik - ponieważ przelew do osoby nieuprawnionej zasadniczo nie wykonuje zobowiązania wobec wierzyciela;
wierzyciel lub druga strona umowy — jeżeli jej zawinione zaniedbania w zakresie bezpieczeństwa albo komunikacji pozostawały w związku ze szkodą;
bank - przede wszystkim gdy transakcja była nieautoryzowana lub bank nienależycie wykonał własne obowiązki, a nie tylko dlatego, że klient wskazał rachunek oszusta;
odbiorca środków i pozostali uczestnicy przestępstwa - na podstawie przepisów cywilnych i karnych.
W konkretnej sprawie odpowiedzialność może zostać podzielona. Decydujące są nie tylko techniczne źródło ataku, lecz także treść umowy, utrwalona praktyka między kontrahentami, profesjonalny standard staranności oraz reakcja po wykryciu incydentu.
Podsumowanie
Oszustwo na zmianę numeru rachunku łączy prawo zobowiązań, usługi płatnicze, cyberbezpieczeństwo, dowody elektroniczne i często odpowiedzialność karną. Najbardziej kosztownym błędem jest założenie, że skoro firma padła ofiarą przestępstwa, jej zobowiązanie wobec kontrahenta automatycznie wygasło albo bank bezwarunkowo zwróci pieniądze.
Prawidłowa analiza zaczyna się od ustalenia, kto faktycznie zlecił przelew i skąd pochodziła fałszywa dyspozycja. Następnie trzeba ocenić zachowanie obu kontrahentów, status transakcji w relacji z bankiem oraz możliwość szybkiego zabezpieczenia środków i dowodów.
Cyberprzestępca potrzebuje czasem tylko kilku minut. Na ustalenie odpowiedzialności sąd może potrzebować kilku tomów akt. Dlatego najlepszą ochroną pozostaje procedura, która traktuje każdą zmianę rachunku jak zdarzenie wymagające niezależnego potwierdzenia.
Stan prawny na dzień: 7 września 2026 roku
Zdjęcie: magnific.com
Komentarze