Ataki BEC: jak zorganizowane grupy wyłudzają miliony od firm

Mafia XXI wieku przychodzi mailem: czym są ataki BEC

Na czym polega atak BEC w praktyce

Ataki BEC (Business Email Compromise) to forma oszustwa, w której przestępcy wykorzystują całkowicie legalnie wyglądającą korespondencję biznesową, aby skłonić firmę do wykonania przelewu na konto kontrolowane przez grupę przestępczą. W odróżnieniu od klasycznego phishingu, celem nie jest zainfekowanie komputera czy kradzież danych kart płatniczych, ale bezpośrednie przejęcie konkretnych płatności – zwykle na kwoty liczonych w setkach tysięcy lub milionach.

Oszustwo BEC opiera się na zaufaniu: do prezesa, dyrektora finansowego, stałego kontrahenta, kancelarii prawnej, dewelopera. E‑mail wygląda prawidłowo, pojawia się w istniejącym wątku korespondencji, zawiera poprawne szczegóły transakcji. Jedyna różnica to zmieniony numer rachunku bankowego lub zlecenie nietypowego przelewu, najczęściej „pilnego” i „poufnego”.

Dla pracownika działu finansowego czy księgowości taki e‑mail nie musi wyglądać podejrzanie: nadawca jest znany, szczegóły transakcji się zgadzają, wszystko dzieje się w rytmie codziennej pracy. Dopiero po kilku godzinach lub dniach okazuje się, że środki trafiły do zorganizowanej grupy przestępczej, a nie do realnego partnera biznesowego.

Różnica między phishingiem masowym a precyzyjnym BEC

Klasyczny phishing jest masowy: ten sam szablon wysyłany do tysięcy osób, identyczny link do fałszywej strony, niska skuteczność, ale duża skala. BEC to operacja chirurgiczna – przestępcy wybierają konkretną firmę, konkretny dział i konkretne osoby decyzyjne. Często pracują nad jednym celem tygodniami lub miesiącami.

Kluczowe różnice:

• Skala: phishing – tysiące ofiar; BEC – pojedyncze, starannie dobrane cele.
• Cel: phishing – login, hasło, dane karty; BEC – konkretny przelew lub seria przelewów.
• Technika: phishing – masowe wiadomości, często z błędami; BEC – dopracowana, personalizowana korespondencja.
• Kwoty: phishing – małe jednostkowe straty; BEC – pojedyncza operacja może zniszczyć płynność firmy.

Atak BEC może, ale nie musi wykorzystywać technicznych wektorów ataku. W wielu przypadkach nie ma żadnych załączników, linków, malware. Jedynym „narzędziem” jest wiarygodnie napisana wiadomość e‑mail i bardzo dobre rozpoznanie tego, jak firma funkcjonuje finansowo.

BEC w krajobrazie nowoczesnej przestępczości zorganizowanej

Ataki BEC doskonale wpisują się w model działania mafii XXI wieku. Zamiast przemytu i napadów na banki, mamy cyberprzestępczość połączoną z zaawansowanym praniem pieniędzy. Za ekranem komputera działa struktura przypominająca firmę: są specjaliści od pozyskiwania dostępu, analitycy, osoby prowadzące komunikację z ofiarą, a także „działy finansowe” odpowiedzialne za wyprowadzenie i legalizację środków.

Dochody z BEC coraz częściej finansują inne działania przestępcze: od klasycznych narkotyków i przemytu ludzi, przez nielegalny hazard, po cyberataki na infrastrukturę krytyczną. Dla wielu grup BEC stał się stabilnym, powtarzalnym źródłem wysokich przychodów, z mniejszym ryzykiem fizycznej konfrontacji z organami ścigania.

Co wiemy? Skala ataków BEC rośnie, a raporty firm bezpieczeństwa wskazują na stały wzrost liczby zgłaszanych incydentów. Czego nie wiemy? Faktycznej wartości strat – część firm nie zgłasza takich zdarzeń z obawy o reputację, część przypadków jest kwalifikowana jako „błąd ludzki” lub spór handlowy, a nie atak.

Dlaczego BEC działa tak dobrze w dużych i średnich firmach

Średnie i duże przedsiębiorstwa mają z reguły rozbudowane procesy płatnicze, kilkuetapowe akceptacje, procedury compliance. Z pozoru powinno to chronić je przed prostym oszustwem mailowym. W praktyce to właśnie złożoność organizacji tworzy luki, które wykorzystują grupy BEC.

Najczęstsze czynniki sprzyjające skutecznemu atakowi:

• presja czasu przy końcu miesiąca, kwartału, roku – „musimy zamknąć płatności”,
• duża rotacja pracowników w księgowości i dziale finansów,
• niejasny podział odpowiedzialności za weryfikację danych kontrahenta,
• silna kultura hierarchiczna – „skoro mail przyszedł od prezesa, nie dyskutuję”,
• brak spójnych, egzekwowanych procedur weryfikacji zmian rachunków bankowych.

Coraz częściej celem stają się także MŚP. Tam procedury są luźniejsze, a jedna osoba łączy kilka ról: księgowość, finanse, HR. Wystarczy dobrze przygotowane „pismo od prezesa” lub wiarygodna wiadomość od stałego dostawcy, aby pojedynczy błąd człowieka przełożył się na poważny kryzys finansowy.

Od Nigerii do globalnych hubów: kto stoi za BEC

Od „nigeryjskich listów” do profesjonalnych grup

Początki BEC sięgają prymitywnych nigeryjskich listów – wiadomości o spadku, loterii czy unikalnej okazji inwestycyjnej. Tamte kampanie działały masowo, były łatwe do rozpoznania, a poziom językowy często zdradzał oszustwo. Dzisiejsze ataki BEC to kolejne pokolenie tego samego mechanizmu: manipulacja zaufaniem, obietnica wysokich kwot, gra na emocjach.

Z czasem prości oszuści zaczęli współpracować z bardziej technicznymi partnerami. Pojawili się specjaliści od włamań na skrzynki e‑mail, od tworzenia fałszywych domen, od pisania przekonujących wiadomości w różnych językach. Z luźnych sieci oszustów wyrósł quasi‑przemysł BEC, działający w różnych krajach, oparty na podziale ról i usług świadczonych „na zlecenie”.

Struktura typowej grupy BEC

Analiza akt spraw i raporty organów ścigania pokazują powtarzający się schemat organizacyjny grup zajmujących się BEC. Struktura zależy od skali, ale często pojawiają się zbliżone role:

• Researcher (osoba od rozpoznania): gromadzi publicznie dostępne dane o firmach, zarządzie, strukturze organizacyjnej, terminach płatności, typowych kwotach. Przegląda LinkedIn, strony korporacyjne, rejestry, branżowe portale.
• Hacker / technik: odpowiada za wejście – przejęcie skrzynek mailowych, pozyskanie haseł, obejście zabezpieczeń poczty, stworzenie fałszywych domen i konfiguracji SPF/DKIM/DMARC.
• Closer (operator ataku właściwego): prowadzi korespondencję z ofiarą, pisze wiadomości podszywając się pod prezesa, CFO lub kontrahenta, decyduje o momencie uderzenia.
• Money mule handler: organizuje sieć „słupów” finansowych, wynajduje konta, które posłużą do przyjęcia środków, instruuje pośredników, jak wypłacać i przekazywać pieniądze dalej.
• „Księgowy” od prania pieniędzy: planuje łańcuch przelewów, wybiera państwa i instytucje finansowe, przez które środki mają „przepłynąć”, miesza je z legalnym obrotem.

W większych grupach funkcjonują także osoby odpowiedzialne za logistykę (telefony, karty SIM, wynajmowane adresy), rekrutację „słupów” oraz negocjacje z innymi grupami przestępczymi. Działanie przypomina strukturę małej firmy konsultingowej, z jasnym podziałem obowiązków i rozliczaniem „projektów” (udanych ataków).

Globalna współpraca z lokalnymi gangami i siecią słupów

Rzadko kiedy wszystkie elementy ataku BEC są realizowane w jednym kraju. Bardziej typowy scenariusz to międzynarodowy łańcuch:

• infrastruktura IT (serwery, domeny) – w jednym kraju, często o słabszym nadzorze regulacyjnym,
• operatorzy ataku – rozsiani po różnych państwach, pracują zdalnie,
• rachunki bankowe „słupów” – w Polsce, innych krajach UE lub poza Unią,
• docelowe konta i inwestycje – tam, gdzie łatwiej „umyć” pieniądze (nieruchomości, pseudo‑firmy, hazard online).

W poszczególnych krajach wykorzystywane są lokalne grupy: zajmują się rekrutacją osób, które udostępnią konta bankowe, pomagają w szybkim wypłacaniu gotówki, organizują fikcyjne firmy do fakturowania „usług”. W ten sposób cyberprzestępczość łączy się z klasyczną przestępczością uliczną i gospodarczą.

Co wiemy o skali BEC, a czego wciąż brakuje

Organy ścigania publikują informacje o rozbitych grupach i przejętych środkach, firmy bezpieczeństwa tworzą raporty o trendach. Wiemy, że:

• straty firm z tytułu BEC są liczone globalnie w miliardach dolarów,
• część grup wyspecjalizowała się wyłącznie w BEC, inne traktują go jako jeden z kanałów dochodu,
• istnieje rozwinięty rynek usług technicznych i finansowych „pod BEC”.

Czego nie wiemy? Dokładnych struktur decyzyjnych największych organizacji, powiązań między konkretnymi gangami a innymi formami przestępczości zorganizowanej, rzeczywistego udziału BEC w finansowaniu innych działań. Spora część operacji pozostaje w szarej strefie – niezgłoszona, zamieciona pod dywan jako „spór biznesowy” albo „błąd księgowości”.

Jak działa BEC krok po kroku: od rozpoznania do przelewu

Faza rozpoznania: budowanie obrazu ofiary

Pierwszy etap ataku BEC to zbieranie informacji. Przestępcy nie ruszają z żadnym działaniem, dopóki nie zrozumieją tego, jak firma funkcjonuje i kto podejmuje kluczowe decyzje płatnicze. Źródła są zaskakująco proste:

• profile na LinkedIn i innych portalach zawodowych – struktura działu finansowego, nazwiska, stanowiska, informacje o awansach,
• strona firmowa – dane zarządu, komunikaty o nowych kontraktach, partnerach, inwestycjach,
• rejestry publiczne i przetargowe – wartości umów, nazwy kontrahentów, terminy realizacji,
• branżowe media, komunikaty PR – kto z kim współpracuje, jakie projekty są w toku.

Kolejny zbiór danych to wycieki haseł i baz danych. Grupy BEC często kupują lub wykorzystują loginy i hasła z dawnych naruszeń bezpieczeństwa. Jeśli pracownik użył służbowego e‑maila do rejestracji w zewnętrznej usłudze i to konto zostało przejęte, istnieje szansa, że używa podobnego hasła w firmie. Do tego dochodzą informacje techniczne: kto jest dostawcą poczty, jakie domeny wykorzystuje firma, czy stosuje MFA.

Faza wejścia: zdobycie dostępu do korespondencji

Gdy obraz organizacji jest już w miarę pełny, pojawia się pytanie: jak wejść do środka? Tu wchodzą w grę różne techniki:

• Phishing ukierunkowany na loginy: spreparowana strona logowania do poczty (Microsoft 365, Google Workspace, lokalny webmail), a do tego e‑mail z informacją o „koniecznej aktualizacji hasła” albo „blokadzie konta”.
• Atak na dostawcę poczty lub partnera: przejęcie kont w firmie, która obsługuje wielu klientów – biuro rachunkowe, kancelaria, operator IT. Dostęp do skrzynki pośrednika daje bezcenną wiedzę o przepływach finansowych.
• Kradzież sesji: zainfekowanie przeglądarki lub urządzenia celem przechwycenia tokenów sesyjnych, które pozwolą zalogować się bez znajomości hasła.
• Zakup dostępu na czarnym rynku: grupy specjalizujące się w „initial access” sprzedają dane logowania do konkretnych firm w darknecie.

W wielu incydentach BEC nie ma spektakularnego włamania. Często wystarcza brak dwuskładnikowego uwierzytelniania do poczty i powtarzanie haseł między serwisami. Gdy przestępcy zdobędą login i hasło, po prostu logują się do skrzynki, konfigurują przekierowania wiadomości lub dodatkowy adres w polu BCC, a następnie „znikają” w tle.

Faza „podsłuchu”: ciche obserwowanie obiegu pieniędzy

Kiedy dostęp jest już w rękach grupy BEC, zaczyna się najbardziej niedoceniany etap: cierpliwe podsłuchiwanie. Przestępcy przez tygodnie śledzą korespondencję, aby zrozumieć:

• jakie są terminy płatności największych kontraktów,
• które faktury krążą między działami,
• kto akceptuje przelewy i na jakich zasadach,
• jak wyglądają progi akceptacyjne (kto zatwierdza przelewy powyżej określonej kwoty),
• które adresy e‑mail są faktycznie używane do obsługi kluczowych kontraktów (często są to osobiste skrzynki dyrektorów, a nie ogólne „info@”),
• jakim językiem posługują się pracownicy, jakie mają nawyki komunikacyjne, w jakich godzinach odpisują na maile.

Na tym etapie rzadko dochodzi do ingerencji w korespondencję. Celem jest stworzenie bardzo dokładnej mapy relacji biznesowych i punktów decyzyjnych w organizacji. W praktyce oznacza to przeglądanie wyszukiwarki w skrzynce po słowach kluczowych: „faktura”, „payment”, „pro forma”, nazwach kontrahentów czy numerach projektów. Daje to odpowiedź na dwa kluczowe pytania: kiedy pojawi się duży przelew i kto będzie pod taką płatnością podpisany.

Typowy przykład z dochodzeń: przestępcy przez kilka tygodni obserwują wymianę maili między polską spółką a zagranicznym dostawcą maszyn. Widzą harmonogram płatności, znają kwoty rat i terminy wysyłki. Gdy w korespondencji pojawia się wzmianka o „ostatniej fakturze po uruchomieniu linii produkcyjnej”, dla operatora BEC jest to sygnał, że zbliża się moment, w którym kontrahent i dział finansowy będą szczególnie wyczuleni na e‑maile związane z płatnością – i jednocześnie bardziej skłonni działać szybko.

Faza przejęcia wątku: wejście w środek rozmowy

Kolejny krok to przejęcie konkretnego wątku mailowego. Przestępcy rzadko wysyłają wiadomości „od zera”. Zamiast tego odpowiadają w istniejącej korespondencji lub tworzą wiadomość, która wygląda jak naturalna kontynuacja rozmowy. Korzystają przy tym z historii maili: cytują wcześniejsze ustalenia, używają tych samych załączników, formuł grzecznościowych i podpisów.

W zależności od zdobytego dostępu stosowane są dwa podstawowe warianty:

• Wiadomość z przejętej skrzynki: jeśli grupa BEC kontroluje skrzynkę kontrahenta, po prostu wysyła „zaktualizowaną” fakturę lub informację o zmianie numeru konta. Dla odbiorcy wszystko wygląda na w pełni autentyczne – adres nadawcy się zgadza, wątek jest ten sam, a dołączone dokumenty odpowiadają wcześniejszym ustaleniom.
• Podszycie się pod adres zbliżony do oryginalnego: gdy nie ma dostępu do skrzynki, wykorzystywana jest domena łudząco podobna do prawdziwej (np. zamiana liter, inna końcówka kraju). Czasami przestępcy proszą o „potwierdzenie aktualnych danych do płatności”, a dopiero w kolejnym kroku podsuwają fałszywe konto.

Moment ataku często jest skalkulowany co do dnia, a czasem do godziny. E‑mail z informacją o pilnej zmianie rachunku przychodzi tuż przed weekendem lub przed świętami, kiedy decydenci są w rozjazdach, a dział finansowy pracuje pod presją czasu. W kilku udokumentowanych sprawach w Polsce „prośba o ostatni, zamykający projekt przelew” przychodziła w piątek po południu – dokładnie wtedy, gdy szansa na spokojną weryfikację telefoniczną jest najmniejsza.

Faza egzekucji: doprowadzenie do przelewu

Kiedy ofiara przyjmie, że ma do czynienia z prawdziwym partnerem lub przełożonym, grupa BEC przechodzi do egzekucji. W praktyce sprowadza się to do dopilnowania, by pieniądze faktycznie trafiły na rachunek kontrolowany przez przestępców. W tej fazie liczy się tempo, spójność narracji i umiejętność gaszenia wątpliwości po stronie księgowości lub zarządu.

Najczęściej wykorzystywane są powtarzalne chwyty:

• prośba o „pilne przyspieszenie płatności, bo od tego zależy wysyłka towaru lub utrzymanie terminu wdrożenia”,
• powoływanie się na „osobiste uzgodnienia z zarządem”, których księgowość nie miała jeszcze szansy zobaczyć w systemie,
• twierdzenie, że „dotychczasowy rachunek jest zablokowany ze względów audytowych” i konieczne jest użycie „tymczasowego konta technicznego”,
• rozbijanie dużej kwoty na kilka mniejszych przelewów, aby zmieścić się pod progami, które wymagają dodatkowej akceptacji lub rozmowy telefonicznej.

Gdy pojawiają się pytania, nadawca – wciąż postrzegany jako zaufana osoba – rozwiewa wątpliwości rzeczowymi, krótkimi odpowiedziami. Sięga do szczegółów znanych tylko stronom: numeru zamówienia, nazwy projektu, daty spotkania. Dla pracownika po drugiej stronie to mocny sygnał, że rozmawia z „właściwą” osobą, więc presja czasu zaczyna przeważać nad ostrożnością. Jeśli procedury w firmie są luźne, jedna lub dwie takie wymiany wystarczą, by przelew został wysłany bez dodatkowej weryfikacji.

Pieniądze niemal nigdy nie trafiają od razu na konto, z którego skorzysta bezpośrednio organizator oszustwa. Pierwszym przystankiem jest rachunek tzw. muła finansowego – najczęściej osoby zwerbowanej pod pretekstem „pracy zdalnej przy obsłudze płatności”. Wypłaty są rozproszone, często natychmiast wymieniane na gotówkę lub kryptowaluty, żeby utrudnić cofnięcie transakcji i zamrożenie środków. Z punktu widzenia banku wygląda to jak szereg zwykłych, choć podejrzanie szybkich operacji.

Kiedy przelew zostanie zrealizowany, zegar zaczyna bić w odwrotną stronę. Im szybciej ofiara zorientuje się, że padła ofiarą BEC i zgłosi sprawę bankowi oraz policji, tym większa szansa na zatrzymanie środków w systemie bankowym. Po kilkunastu, kilkudziesięciu godzinach pieniądze zwykle są już rozproszone między kolejnymi rachunkami i trudno uchwytne. Co wiemy na pewno? W większości analizowanych przypadków o skali straty decydowało nie samo włamanie, lecz to, jak długo firma żyła w przekonaniu, że „wszystko jest w porządku”.

Najpopularniejsze scenariusze BEC: jak przejmowane są milionowe płatności

Choć wątków BEC jest wiele, w realnych sprawach przewijają się w kółko te same konfiguracje. Zmienia się tylko sceneria: raz jest to stocznia, raz software house, innym razem szpital lub instytucja kultury. Konstrukcja ataku pozostaje podobna.

Fałszywa zmiana rachunku kontrahenta

To klasyk: scenariusz, który od lat przewija się w ostrzeżeniach banków i policji. W skrzynce firmy pojawia się e‑mail od wieloletniego kontrahenta, z którym właśnie trwa rozliczanie większego projektu. Nadawca informuje o „aktualizacji danych bankowych z powodu audytu” lub „restrukturyzacji grupy kapitałowej” i załącza nowy numer konta.

Na pierwszy rzut oka wszystko się zgadza: podpis, dotychczasowa stopka, cytowana historia wiadomości. W rzeczywistości pieniądze wędrują na rachunek kontrolowany przez muła finansowego, często w innym kraju UE. Co wiemy z analizy zgłoszeń? Najczęściej ofiarą nie jest pojedyncza firma, ale dwie strony tej samej relacji – zarówno kontrahent, jak i klient, którzy ufają, że „przecież znamy się od lat”.

W praktyce wygląda to tak: spółka A ma przelew do spółki B. Przestępcy siedzą w skrzynce spółki B i widzą, że zbliża się termin płatności. Wysyłają więc z przejętej poczty B informację o nowym rachunku. Spółka A, przyzwyczajona do stałej współpracy, wykonuje przelew bez dodatkowego telefonu. Gdy księgowość spółki B zaczyna dopytywać, gdzie są pieniądze, jest już za późno – transakcja została rozparcelowana na kolejne konta.

Podszycie się pod zarząd: „pilne polecenie przelewu”

Drugi najczęstszy wariant to tzw. CEO fraud – wiadomość, która wygląda na wysłaną przez prezesa, członka zarządu lub dyrektora oddziału. Jej styl jest dopasowany do realnego sposobu pisania tej osoby: skróty, ulubione formy grzecznościowe, typowe błędy językowe. Dla księgowości to silny sygnał autentyczności.

Schemat bywa prosty:

• wiadomość przychodzi poza standardowymi godzinami pracy lub gdy przełożony jest za granicą,
• polecenie dotyczy przelewu „strategicznego”, związanego np. z przejęciem, zakupem licencji lub pilną kaucją,
• nadawca z góry zniechęca do weryfikacji: „proszę nikogo nie angażować, sprawa poufna do czasu komunikatu”,
• pojawia się element presji na czas: „przelew musi wyjść dziś, bo inaczej stracimy warunki transakcji”.

Czego często brakuje? Najprostszej weryfikacji – telefonu do rzekomego nadawcy. W wielu ujawnionych sprawach pracownicy mówili później śledczym, że „nie chcieli przeszkadzać prezesowi w delegacji” albo „skoro pisał z prywatnego adresu, to musiało być ważne”.

Przechwycenie rozmowy z kancelarią lub biurem rachunkowym

Coraz częściej przestępcy uderzają w miejsca, w których krzyżują się finanse wielu podmiotów. Przejęcie skrzynki kancelarii prawnej, biura rachunkowego czy firmy doradczej daje dostęp do dziesiątek, a czasem setek firm, które regularnie wymieniają wrażliwe dokumenty i przelewy.

Typowy scenariusz:

• grupa BEC zdobywa dostęp do poczty kancelarii,
• szuka wątków z hasłami „wezwanie do zapłaty”, „uzgodnienia płatności”, „harmonogram spłat”,
• wchodzi w istniejącą rozmowę, podszywając się pod prawnika lub księgowego,
• prosi o wykonanie przelewu na „rachunek wskazany w załączniku” lub wysyła „uaktualnioną wersję rozliczenia”.

Z perspektywy klienta wszystko pasuje – adres prawnika się zgadza, sprawa jest znana, korespondencja trwa od tygodni. Jedyny „szczegół” to nowy numer rachunku, zwykle ukryty w załączniku PDF. W niektórych sprawach wykrywano nawet, że przestępcy podmieniali tylko ostatnią stronę wielostronicowej umowy, gdzie znajdowały się dane konta.

Sabotowanie płatności w łańcuchu dostaw

BEC nie zawsze polega na wyłudzeniu całej kwoty. Czasami celem jest systematyczne przesuwanie płatności o kilka dni, rozbijanie ich, a nawet sterowanie, która faktura zostanie zapłacona w pierwszej kolejności. Ma to znaczenie zwłaszcza tam, gdzie firmy działają na granicy płynności finansowej.

Jeśli gang kontroluje pocztę jednego z pośredników w łańcuchu dostaw, może:

• opóźniać przekazywanie faktur dalej, żeby wymusić „odsetki” lub dodatkowe opłaty,
• podkładać własne faktury wyglądające jak część pakietu rozliczeniowego,
• tworzyć chaos – sprzeczne informacje o kwotach i terminach – by zmniejszyć czujność działu finansowego.

W jednej z opisywanych w branży spraw grupa BEC przejęła pocztę firmy logistycznej obsługującej kilka fabryk w Europie. Zamiast jednorazowego ataku, przestępcy przez kilka miesięcy wplatali w rozliczenia własne dokumenty na relatywnie niewielkie kwoty, korzystając z faktu, że strona płacąca była przyzwyczajona do stałych korekt i dopłat za składowanie.

Narzędzia i techniki: jak profesjonalizują się gangi BEC

Wizerunek „samotnego oszusta wysyłającego maile z kafejki internetowej” jest coraz mniej adekwatny. Grupy BEC korzystają z zestawu narzędzi, który jeszcze kilka lat temu był domeną zaawansowanych grup APT. Różnica polega na celu: zamiast szpiegostwa – pieniądze.

Panele zarządzania kampanią i „CRM” do ofiar

Śledztwa cyberprzestępcze ujawniają, że większe grupy BEC mają własne panele webowe, do złudzenia przypominające systemy CRM czy helpdeski. Operator może tam:

• śledzić status każdej „sprawy” (firma X – w fazie rozpoznania, firma Y – w fazie egzekucji),
• dodawać notatki o strukturze danej organizacji, nazwiskach decydentów, standardowych kwotach przelewów,
• przypisywać „zadania” innym członkom grupy – np. do przygotowania odpowiedzi po angielsku lub niemiecku,
• monitorować, czy wiadomości zostały otwarte, a linki kliknięte.

Z analizy zabezpieczonych paneli wynika, że niektóre gangi prowadzą nawet statystyki skuteczności poszczególnych szablonów e‑maili: który temat wiadomości częściej skłania do odpowiedzi, która narracja lepiej działa na firmy produkcyjne, a która na instytucje publiczne.

Rejestracja i obsługa domen „bliźniaków”

Podszywanie się pod legalne domeny to jeden z filarów BEC. Technicznie jest to proste, ale w profesjonalnych grupach przybiera zorganizowaną formę. Rejestrowane są dziesiątki podobnych domen z różnymi kombinacjami:

• zamiana liter (np. „rn” zamiast „m”, „l” zamiast „i”),
• inne rozszerzenie krajowe (.pl, .com, .eu),
• dodatkowe słowo („-office”, „-group”, „-payments”).

Takie domeny są:

• utrzymywane u różnych rejestratorów, często z fałszywymi danymi,
• wykorzystywane rotacyjnie – jedna do fazy phishingu, inna do właściwego ataku BEC,
• szybko porzucane po pierwszym zgłoszeniu nadużyć.

Co istotne, część grup inwestuje w certyfikaty TLS, żeby w pasku przeglądarki pojawiał się „zielony zamek”. Dla wielu użytkowników końcowych to wciąż wyznacznik zaufania, mimo że certyfikat potwierdza wyłącznie techniczną warstwę połączenia.

Automatyzacja „podsłuchu” w skrzynkach

Ręczne przekopywanie się przez tysiące wiadomości jest czasochłonne. Dlatego w przejętych skrzynkach coraz częściej pojawiają się reguły i skrypty, które automatycznie:

• przekierowują kopie wybranych korespondencji na serwery gangu,
• oznaczają jako „przeczytane” wiadomości zawierające określone słowa kluczowe, żeby nie zwracać uwagi użytkownika,
• tworzą ukryte foldery (np. z prefiksem „.”), w których lądują istotne e‑maile finansowe.

W niektórych incydentach analitycy znajdowali także proste makra lub skrypty działające po stronie przeglądarki, które wyszukiwały w treści maili numery rachunków bankowych i klientów o największych budżetach. Z punktu widzenia napastnika to oszczędność czasu – koncentracja na tych ofiarach, u których potencjalny zysk jest najwyższy.

Usługi „na wynajem”: od phishingu po pranie pieniędzy

Rynek BEC jest rozdrobniony. Jedni specjalizują się w pozyskiwaniu dostępów, inni w przygotowywaniu przekonujących wiadomości, jeszcze inni w przerzucaniu pieniędzy przez międzynarodową sieć rachunków. Technologia scala te elementy w całość.

Pojawiły się m.in.:

• phishing-as-a-service – gotowe zestawy stron logowania, paneli do zbierania haseł i instrukcji,
• bulletproof hosting – serwery zlokalizowane w krajach o słabszej współpracy międzynarodowej, odporne na szybkie wyłączenia,
• platformy wymiany dostępu – fora i markety, na których sprzedaje się loginy do konkretnych firm, często z podstawową dokumentacją („MS365, dział finansowy, 2FA wyłączone”).

W praktyce oznacza to, że osoba odpowiedzialna za „obsługę” ofiary BEC nie musi znać się na technicznych aspektach włamania. Kupuje gotowy dostęp i skupia się na psychologii oraz prowadzeniu korespondencji.

Od Nigerii do globalnych hubów: kto stoi za BEC

Pierwsze duże sprawy BEC wiązano głównie z grupami z Nigerii i kilku innych krajów Afryki Zachodniej. Dziś geografia jest znacznie bardziej złożona. Organy ścigania w Europie i Azji wskazują na rozproszone sieci, w których poszczególne elementy łańcucha mogą znajdować się na różnych kontynentach.

Tradycyjne „419” w nowej odsłonie

Oszuści znani z dawnych „nigeryjskich listów” szybko dostrzegli, że o wiele łatwiej jest przekierować realny przelew między firmami niż liczyć na przelew od losowej osoby skuszonej wizją spadku po księciu. Część tych środowisk przestawiła się na model BEC, wykorzystując swoje doświadczenie w socjotechnice i budowaniu zaufania.

Z materiałów śledczych wynika, że w takich grupach wciąż funkcjonuje podział ról znany z dawnych oszustw:

• „writerzy” – osoby piszące maile, dopasowujące styl do języka i kultury odbiorcy,
• „hunterzy” – odpowiedzialni za wyszukiwanie potencjalnych celów,
• „closerzy” – wchodzący w grę na końcu, gdy trzeba dopiąć przelew, wyjaśnić wątpliwości i poprowadzić korespondencję jeden na jeden.

Różnica polega na skali i zapleczu technicznym. Zamiast darmowych skrzynek mailowych i kafejek internetowych pojawiają się płatne VPN-y, szyfrowane komunikatory, fałszywe firmy-słupy i sieć mułów finansowych zwerbowanych w wielu krajach.

Lokalne komórki i „franczyza” BEC

Coraz częściej w sprawach BEC przewijają się osoby z krajów, w których działają ofiary. Nie są to zwykle główni organizatorzy, ale lokalne komórki lub pośrednicy. Ich zadania są konkretne:

• rekrutacja mułów finansowych w swoim kraju lub regionie,
• dostarczanie informacji o specyfice lokalnego systemu bankowego,
• pomoc przy wizerunkowym „uwiarygodnianiu” – np. rejestracja firm-słupów, wynajem biur na adres korespondencyjny.

Co wiemy z akt spraw? W wielu przypadkach osoby zatrzymane na miejscu to właśnie rekruterzy mułów albo właściciele rachunków, którzy twierdzą, że „nie wiedzieli, że biorą udział w przestępstwie”. Główne centrum decyzyjne i tak pozostaje poza zasięgiem lokalnych służb.

Specjaliści „od języków” i segmentacja rynku

Język i kultura mają w BEC znaczenie większe, niż mogłoby się wydawać. Inaczej pisze się do niemieckiej spółki przemysłowej, inaczej do polskiego samorządu, a jeszcze inaczej do skandynawskiego startupu. Dlatego większe grupy inwestują w ludzi, którzy znają lokalne realia.

Takie osoby:

• analizują autentyczne maile (np. z poprzednich włamań) i tworzą szablony wiadomości,
• pilnują, by nie popełniać „zdradzających” błędów – np. używania anglicyzmów tam, gdzie w danym sektorze się ich nie stosuje,
• dostarczają „gotowe” zwroty i konstrukcje językowe typowe dla danej branży,
• korygują błędy stylistyczne i interpunkcyjne, które mogłyby wzbudzić czujność odbiorcy.

Na zamkniętych kanałach komunikacji krążą całe pakiety takich materiałów: od wzorów korespondencji z polskim urzędem, przez szablony maili do księgowości w firmach niemieckich, po instrukcje, jak prowadzić small talk z dyrektorem finansowym w Skandynawii. Dla części grup to realna przewaga konkurencyjna – ich wiadomości są trudniejsze do odróżnienia od autentycznej korespondencji wewnętrznej.

Zdarza się, że do współpracy zapraszane są osoby z doświadczeniem w obsłudze klienta, sprzedaży B2B czy nawet byli pracownicy sektora finansowego. Nie muszą znać się na atakach ani infrastrukturze technicznej. Mają jedno zadanie: „trzymać styl” i prowadzić rozmowę tak, by po drugiej stronie nie zapaliła się czerwona lampka. Czasem pracują na kilkukrotnie zanonimizowanych zrzutach ekranu lub szablonach, nie znając nawet nazw prawdziwych firm.

W tle działa klasyczna segmentacja „rynku”: inne zespoły obsługują małe i średnie firmy, inne – duże korporacje czy instytucje publiczne. Wymagany poziom przygotowania różni się diametralnie. Do prostych ataków na lokalnych dostawców wystarczą szablony i ogólna znajomość języka. Przy celach o dużej wartości każdy szczegół – od formuły powitania po typowy sposób zapisywania kwot na fakturach – jest wcześniej analizowany na podstawie zdobytych maili.

Zestawiając te elementy – podział ról, wyspecjalizowane narzędzia, „franczyzowe” modele współpracy i sieci pośredników – widać, że BEC nie jest przypadkowym oszustwem opartym na jednym sprytnym mailu. To zorganizowany ekosystem, w którym technologia, socjotechnika i logistyka finansowa składają się na jeden proces. Im lepiej firmy rozumieją, jak wygląda ten łańcuch po drugiej stronie ekranu, tym większa szansa, że w krytycznym momencie ktoś zada proste pytanie: „czy na pewno rozmawiamy z tym, za kogo podaje się nadawca?”.

Jak działa BEC krok po kroku: od rozpoznania do przelewu

Na poziomie ogólnym większość ataków BEC przypomina ten sam scenariusz: identyfikacja celu, wejście do korespondencji, przejęcie kontekstu i podmiana kluczowych danych płatniczych. Szczegóły różnią się między branżami, ale układ etapów pozostaje podobny.

Mapowanie relacji i przepływów pieniędzy

Zanim pojawi się pierwszy spreparowany mail z prośbą o „pilną płatność”, ktoś po drugiej stronie musi zrozumieć, kto komu płaci i jakie kwoty wchodzą w grę. To faza czystego rozpoznania.

Źródła informacji są prozaiczne:

• publiczne rejestry przetargów i zamówień publicznych,
• raporty roczne spółek, prezentacje dla inwestorów,
• media społecznościowe pracowników (awans w dziale finansowym, zmiana stanowiska),
• otwarte ogłoszenia o pracę, w których opisano systemy księgowe i procesy akceptacji faktur.

W połączeniu z danymi uzyskanymi z wcześniejszych włamań – na przykład skrzynek podwykonawców albo małych dostawców – pozwala to narysować całkiem dokładną mapę: kto wystawia faktury, jak nazywają się projekty, jakie są standardowe terminy płatności, a także jakie adresy e‑mail uczestniczą w procesie obiegu dokumentów.

Wejście do korespondencji: phishing i przejęte konta

Kolejny krok to fizyczny dostęp do skrzynek e‑mail. Atakujący nie muszą od razu przejmować kont dyrektorów finansowych. Czasem wystarczy skrzynka asystentki, specjalisty od rozliczeń albo projektowego adresu typu „projekt‑X@…”, który uczestniczy w obiegu faktur.

Najczęściej stosowane ścieżki wejścia to:

• phishing logowania do chmury (MS365, Google Workspace) z podrobioną stroną SSO,
• wykorzystanie haseł wyciekłych z innych serwisów i brak wymuszonej zmiany po logowaniu z nietypowej lokalizacji,
• przejęcie sesji z użyciem tokenów uwierzytelniających skradzionych z przeglądarki lub stacji roboczej.

W momencie, gdy napastnik ma już dostęp do skrzynki, rzadko robi coś gwałtownego. Przez pierwsze dni jedynie obserwuje ruch, zakłada wspomniane wcześniej reguły poczty i szuka wzorców: jak wygląda prawdziwa faktura, kto ją akceptuje, jakimi słowami w praktyce prosi się o przyspieszenie przelewu.

Przejęcie wątku i moment „wejścia w rolę”

Kluczowym momentem jest podpięcie się pod konkretny wątek korespondencji. Z punktu widzenia ofiary nic się nie „zaczyna” – rozmowa trwa, tylko jedna z odpowiedzi została napisana przez kogoś innego.

Najczęściej wykorzystywane są sytuacje, w których:

• została wysłana prawdziwa faktura, która jeszcze nie została opłacona,
• trwa dłuższa wymiana maili w sprawie umowy lub aneksu,
• rozpoczyna się nowy projekt, a jego budżet jest dopiero ustalany.

W takich momentach pojawia się mail informujący na przykład o „zmianie rachunku bankowego dostawcy” albo „konieczności rozbicia płatności na dwie transze ze względów księgowych”. Taki komunikat jest wkomponowany w istniejący wątek: zachowuje oryginalny temat, historię wiadomości poniżej, ten sam układ stopki.

Podmiana rachunku i presja czasu

Sama informacja o nowym numerze konta rzadko wystarcza. Potrzebny jest impuls, który skłoni księgowość do szybkiego działania i ograniczy liczbę pytań. To zazwyczaj presja czasu lub odwołanie do autorytetu.

Widać to w typowych zwrotach używanych w mailach atakujących:

• „To bardzo pilne, mamy dziś wewnętrzny deadline raportowania płatności.”
• „Partnerzy z centrali proszą, aby tę jedną płatność skierować na nowy rachunek, reszta pozostaje bez zmian.”
• „Proszę nie angażować w to dodatkowych osób – chcemy uniknąć zamieszania przy zamknięciu miesiąca.”

Na poziomie faktów wiele z tych sformułowań brzmi wiarygodnie, bo odwołuje się do codziennych realiów działów finansowych. Różnica polega na tym, że ma zablokować naturalny odruch: zadzwonić i potwierdzić zmianę innym kanałem.

Ostatnia prosta: potwierdzenia, rzekome „anulacje” i korekty

Sam przelew to nie zawsze koniec operacji. Zdarza się, że po wysłaniu pieniędzy atakujący kontynuuje korespondencję, udając dostawcę, aby utrzymać iluzję normalnego procesu.

W praktyce oznacza to na przykład:

• prośbę o przesłanie potwierdzenia przelewu „dla działu księgowości po naszej stronie”,
• zainicjowanie maila z rzekomą korektą faktury, żeby wymusić kolejny przelew (np. „poprzedni rachunek był techniczny, właściwy jest poniżej”),
• próbę szybkiego „dopięcia” jeszcze jednej płatności, zanim ofiara zorientuje się, że coś jest nie tak.

Z perspektywy śledztwa każde takie potwierdzenie to cenna informacja: dokładny czas transakcji, używane formaty dokumentów, a czasem nawet zrzuty ekranu z bankowości elektronicznej. Dla przestępców to narzędzie do oceny, czy przelew na pewno przeszedł i ile czasu zostało do pierwszych reakcji zwrotnych.

Najpopularniejsze scenariusze BEC: jak przejmowane są milionowe płatności

Pod wspólnym hasłem BEC kryje się kilka powtarzalnych modeli działania. Różnią się one punktem „wejścia” i rodzajem podszywanej roli, ale cel jest ten sam: przekierowanie przepływu pieniędzy na kontrolowane konta.

Podszycie się pod dostawcę (vendor email compromise)

To scenariusz, który w praktyce pojawia się najczęściej. Atakujący przejmuje konto u faktycznego dostawcy lub tworzy bardzo podobną domenę, a następnie wchodzi w rolę firmy, która co miesiąc wystawia faktury.

Typowy przebieg wydarzeń wygląda tak:

1. Napastnik zdobywa dostęp do skrzynki pracownika działu sprzedaży lub księgowości po stronie dostawcy.
2. Przegląda wysyłane faktury, identyfikuje największych klientów i wartości kontraktów.
3. Przy kolejnej fakturze wprowadza zmiany: ten sam numer dokumentu, ten sam opis, ale inny rachunek bankowy.
4. Wysyła fakturę z prawdziwego konta lub, w przypadku fałszywej domeny, nawiązuje do wcześniejszej korespondencji, kopiując styl i stopkę.

Po stronie klienta wszystko wygląda standardowo. System księgowy „widzi” fakturę zgodną z umową, dział merytoryczny potwierdza realizację usług, formalne check‑boxy są odhaczone. Różnica kryje się w kilku cyfrach numeru konta, które często nikt nie porównuje z bazą dostawców.

Fałszywe polecenie od zarządu („CEO fraud”)

Drugi, dobrze znany scenariusz to podszycie się pod członka zarządu lub innego menedżera z prawem wydawania dyspozycji finansowych. W tym wariancie przestępcy nie zawsze ingerują w trwającą relację biznesową. Czasem tworzą ją „od zera” na jednym, silnie sformalizowanym poleceniu.

Cechy charakterystyczne takich ataków:

• wykorzystanie chwili, gdy prawdziwy przełożony jest niedostępny – delegacja, urlop, konferencja,
• prośba o zachowanie poufności („nie angażuj innych, chodzi o transakcję M&A / przejęcie”),
• wyraźna presja czasu („mamy okno na przelew tylko dziś”, „partnerzy oczekują potwierdzenia w ciągu godziny”).

Czasem do wiadomości mailowej dołącza się kontakt telefoniczny, wykonany przez współpracownika gangu. Rozmówca przedstawia się jako prawnik, doradca lub przedstawiciel partnera biznesowego i potwierdza autentyczność transakcji. W praktyce ofiara ma wówczas poczucie, że „nie działa sama” – zdejmuje to z niej część psychologicznej odpowiedzialności.

Zmiana numeru konta „po stronie klienta”

Mniej nagłośniony, ale coraz częstszy scenariusz polega na podszywaniu się nie pod dostawcę, ale pod klienta. Cel jest inny: skłonić firmę do zwrotu nadpłaty albo zaliczki na rachunek kontrolowany przez przestępców.

Przykład z praktyki: firma popełnia błąd i płaci dwa razy tę samą fakturę. Błąd jest szybko wychwycony, księgowa kontaktuje się z „klientem” w sprawie zwrotu różnicy. Problem w tym, że adres mailowy klienta został wcześniej przejęty i ktoś po drugiej stronie odpowiada:

„Oczywiście, zwrócimy nadpłatę, ale z przyczyn technicznych prosimy o zwrot na ten rachunek. Nasz standardowy numer konta jest obecnie zablokowany z powodu audytu.”

W efekcie to uczciwa firma staje się stroną, która inicjuje przelew na konto gangu. Dla banku transakcja wygląda jak dobrowolny zwrot środków, związany z korektą rozliczeń.

Ataki na łańcuch dostaw i podwykonawców

Wiele głośnych spraw BEC zaczyna się od drobnych podmiotów: rodzinnych firm budowlanych, lokalnych biur projektowych, jednoosobowych działalności. To one są „najcieńszym ogniwem” łączącym duże koncerny z realnym wykonaniem usług.

Po przejęciu skrzynki małego podwykonawcy przestępcy zyskują wgląd w harmonogram robót, kwoty rozliczeń i adresy mailowe osób odpowiedzialnych po stronie generalnego wykonawcy. Na tej podstawie mogą:

• wygenerować wiarygodne faktury za faktycznie wykonaną pracę,
• skorygować numer konta na ostatniej prostej, „podmieniając” dokument wysyłany do dużej spółki,
• kontrolować odpowiedzi obu stron, aby wychwycić moment, w którym pojawią się wątpliwości.

Z punktu widzenia dużej firmy przelew idzie do znanego, wielokrotnie weryfikowanego dostawcy. Faktyczny błąd polega na tym, że proces weryfikacji numeru konta dawno temu uznano za formalność jednorazową, a nie powtarzalną procedurę.

Narzędzia i techniki: jak profesjonalizują się gangi BEC

Za kulisami BEC działa coraz bardziej rozbudowane zaplecze narzędziowe. Nie są to wyrafinowane exploity na poziomie służb specjalnych, raczej zestaw pragmatycznych rozwiązań usprawniających codzienną pracę nad dziesiątkami równoległych wątków.

Panele do zarządzania ofiarami i korespondencją

Analitycy incydentów opisują panele przypominające CRM‑y. Zamiast leadów sprzedażowych są w nich ofiary BEC, a zamiast etapów lejka sprzedażowego – fazy ataku.

W typowym panelu pojawiają się kolumny:

• „dostęp uzyskany” – skrzynki, do których już można się logować,
• „kwalifikacja” – ocena potencjału finansowego (budżet, branża, liczba partnerów),
• „w trakcie rozmowy” – trwające wątki mailowe z działami finansowymi,
• „płatność w toku” – ofiary, które zadeklarowały wykonanie przelewu.

Systemy te często integrują się z webmailem dostawców chmurowych przez API albo przechwytują ruch IMAP/POP. Operują na uproszczonych nagłówkach wiadomości, skrótach treści, statusach („odpowiedź oczekiwana”, „brak reakcji 3 dni”) i przypomnieniach dla „operatorów” prowadzących korespondencję.

Szablony wiadomości i półautomatyczne generowanie treści

Kolejną warstwą profesjonalizacji są biblioteki szablonów. Nie chodzi wyłącznie o stały tekst maila, ale całe scenariusze konwersacji: pierwsze przypomnienie, drugą prośbę, eskalację, a nawet reakcję na odmowę.

Część grup korzysta z narzędzi, które półautomatycznie wstawiają do szablonu:

• nazwy projektów i kontraktów wyłuskane z poprzednich maili,
• realne numery faktur i daty,
• aktualne dane rozmówcy (forma grzecznościowa, stanowisko, podpis).

Na tej bazie „operator” jedynie dopasowuje ton i drobne szczegóły. Skraca to czas przygotowania wiadomości i zmniejsza ryzyko popełnienia oczywistych błędów, jak błędny numer dokumentu lub mylenie nazw kontrahentów.

Infrastruktura sieciowa: VPN‑y, proxy, mieszanie lokalizacji

Dla napastnika kluczowe jest, by nie wzbudzać alarmów związanych z logowaniem z egzotycznych adresów IP. Dlatego szeroko wykorzystuje się:

• komercyjne VPN‑y z serwerami w krajach ofiar (lub sąsiednich),
• sieci proxy oparte na zainfekowanych urządzeniach (tzw. residential proxy),
• „wypożyczone” łącza – na przykład od współpracowników znajdujących się w danym kraju.

Z ich perspektywy chodzi o to, by w logach banku czy dostawcy poczty ruch wyglądał jak zwykła aktywność użytkownika pracującego zdalnie. Jeżeli pracownik regularnie loguje się z różnych miast w kraju, gang będzie rotował wyjściowe adresy IP w podobny sposób. Gdy firma ma oddziały w kilku państwach, „operatorzy” starają się dopasować geolokalizację do harmonogramu spotkań i podróży służbowych ofiar.

Kolejnym elementem jest separacja infrastruktury. Jedno środowisko służy do pozyskiwania danych dostępowych (np. pod phishing), inne do pracy na przejętych kontach, a jeszcze inne – do obsługi komunikacji z bankami i „słupami”. W razie wykrycia części operacji przestępcy liczą, że reszta ekosystemu pozostanie nienaruszona i pozwoli kontynuować inne wątki.

Automatyzacja i sztuczna inteligencja w służbie BEC

W tle pojawia się prosta automatyzacja: skrypty filtrujące skrzynki pod kątem słów kluczowych („invoice”, „faktura”, „payment”, „przelew”), oznaczające wątki priorytetowe i wyciągające z nich kluczowe dane (termin, kwota, kontrahent). Dla „operatora” oznacza to, że nie musi czytać tysięcy wiadomości – dostaje wyselekcjonowane rozmowy finansowe, na których może się skupić.

Zdarza się też korzystanie z modeli językowych do szybkiego dopasowania stylu pisania przejętej ofiary. W praktyce wygląda to tak: napastnik wrzuca kilka przykładowych maili zarządu lub księgowej do narzędzia, a następnie generuje brzmieniowo podobne odpowiedzi. Trudno tu mówić o wyrafinowanej personalizacji, raczej o prostym wyrównaniu tonu tak, by tekst nie „odstawał” od poprzedniej korespondencji.

Część grup testuje automatyczne tłumaczenie wiadomości. Jeden zespół prowadzi ataki w swoim języku, a system przekłada treść na język ofiary, bez konieczności zatrudniania lokalnych „operatorów”. Poziom takich tłumaczeń bywa różny, ale w korespondencji biznesowej, gdzie od dawna miesza się angielski, lokalny język i korporacyjny żargon, nie zawsze wzbudza to podejrzenia.

Łańcuch prania pieniędzy: co dzieje się z wyłudzonymi milionami

Po udanym przelewie zaczyna się wyścig z czasem. Zanim ofiara zauważy błąd, zanim bank uruchomi procedury blokady, pieniądze powinny „zniknąć” z pierwszego rachunku. Ten etap rzadko trafia do medialnych opisów, a to tutaj widać skalę logistyczną gangów BEC.

Konta „słupów” i lokalni pośrednicy

Pierwszą linią są konta podstawionych osób – tzw. „słupów”. Zewnętrznie to zwykli klienci banku: studenci, migranci, osoby zadłużone. Reklamy zachęcające do „łatwego zarobku za udostępnienie konta” pojawiają się w mediach społecznościowych i komunikatorach. Formalnie przelew trafia więc na rachunek osoby fizycznej, co utrudnia natychmiastowe rozpoznanie wzorca oszustwa.

Na takich kontach pieniądze zatrzymują się krótko – czasem kilkadziesiąt minut. Dalej są rozdrabniane: kilka przelewów na inne rachunki w tym samym kraju, wypłaty gotówki z bankomatów, przekazy do kantorów kryptowalut. Lokalne ogniwa często nie wiedzą, jak duża kwota stoi za całym schematem i jaki był pierwotny cel płatności. W ich relacjach z organami ścigania powtarza się scenariusz „myślałem, że pomagam znajomemu w biznesie”.

Międzynarodowe przelewy i mieszanie środków

Po pierwszym „rozbiciu” środków część kwot trafia za granicę – na rachunki w państwach o słabszym nadzorze finansowym lub z przeciążonymi organami ścigania. Przelewy są podzielone na mniejsze transze, często opisane jako płatności za usługi doradcze, IT albo marketing. Chodzi o to, by zginęły w masie podobnych transakcji transgranicznych.

Na drugim końcu łańcucha pojawiają się rachunki firm‑wydmuszek, często zakładanych seryjnie przez wyspecjalizowanych pośredników. Takie spółki formalnie świadczą usługi B2B, składają poprawne deklaracje podatkowe, a w razie kontroli pokazują umowy, faktury i korespondencję mailową – niekiedy również przygotowaną przez tych samych „specjalistów” od BEC. Z perspektywy banku czy analityka transakcji trudno od razu odróżnić je od drobnych, realnie działających podmiotów.

Środki z wielu różnych ataków są w nich mieszane i przelewane dalej – na kolejne firmy w innych jurysdykcjach, do serwisów inwestycyjnych, na giełdy kryptowalut. Tam trafiają do wspólnych pul, gdzie łączą się z legalnym kapitałem tysięcy klientów. Po kilku takich etapach zrekonstruowanie ścieżki pojedynczego przelewu z konkretnego ataku BEC wymaga współpracy kilku państw i dostępu do danych, których organy ścigania nie dostają z dnia na dzień.

Na końcu tego łańcucha pojawiają się już „klasyczne” zakupy: nieruchomości, samochody, luksusowe towary, ale też inwestycje w legalny biznes – od restauracji po małe firmy transportowe. Część pieniędzy wraca w gotówce do krajów, gdzie działają centralne ogniwa grup, część zostaje tam, gdzie udaje się ją w miarę bezpiecznie ulokować. Gangi BEC mieszają się w ten sposób z lokalnymi środowiskami przestępczymi i z szarą strefą, a pieniądz pochodzący z oszustwa funkcjonuje dalej jako „kapitał na rozwój”.

Dla firm oznacza to, że po kilku dniach od wykonania przelewu realne szanse na odzyskanie całości środków gwałtownie maleją. Gdy pierwsze konto „słupa” zostanie opróżnione, zaczyna się etap poszukiwania śladów zamiast blokowania przepływów. Dlatego kluczowe jest, by procedury reagowania na incydenty BEC nie kończyły się na zgłoszeniu do banku, lecz obejmowały natychmiastowy przegląd innych przelewów, zawieszenie podobnych transakcji i techniczną analizę skrzynek, z których wyszły fałszywe dyspozycje.

Cały obraz pokazuje, że BEC nie jest problemem „sprytnego maila”, ale efektem współpracy wielu ogniw – od techników włamujących się na skrzynki, przez „operatorów” prowadzących rozmowy, po lokalnych werbowników „słupów” i księgowych legalizujących środki. Z tak zorganizowanym przeciwnikiem trudno wygrać pojedynczym narzędziem bezpieczeństwa; sensowne efekty przynosi dopiero połączenie kontroli technicznych, twardszych procedur finansowych i zwykłej czujności ludzi, którzy na co dzień klikają w przychodzące maile i zatwierdzają przelewy.

Najczęściej zadawane pytania (FAQ)

Co to jest atak BEC i czym różni się od zwykłego phishingu?

Atak BEC (Business Email Compromise) to oszustwo, w którym przestępcy wykorzystują wiarygodnie wyglądającą korespondencję biznesową, aby skłonić firmę do wykonania przelewu na konto kontrolowane przez grupę przestępczą. Nie chodzi tu o wyłudzenie loginu czy danych karty, ale o przejęcie konkretnej płatności, często na wysoką kwotę.

Kluczowa różnica wobec klasycznego phishingu polega na skali i precyzji. Phishing jest masowy, opiera się na jednym szablonie wysyłanym do tysięcy osób. BEC jest szyty na miarę: dotyczy jednej firmy, konkretnego działu (zwykle finansów) i wybranych osób decyzyjnych. E‑maile są dopracowane, osadzone w realnych wątkach korespondencji i często pozbawione linków czy załączników, więc trudniejsze do wychwycenia.

Jak wygląda atak BEC krok po kroku w praktyce?

Najpierw przestępcy zbierają informacje o firmie: nazwiska zarządu, strukturę, typowe kwoty płatności, terminy rozliczeń. Wykorzystują do tego otwarte źródła, takie jak LinkedIn, strona korporacyjna czy rejestry firm. W kolejnym kroku wchodzą w istniejący kanał komunikacji – przejmują skrzynkę mailową lub tworzą bardzo podobną domenę (np. z jedną przestawioną literą).

Gdy znają już rytm pracy i realne szczegóły transakcji, wysyłają do działu finansowego „normalnie” wyglądającego maila: prośbę o pilną zmianę numeru rachunku dostawcy albo o poufny, jednorazowy przelew na wysoką kwotę. Wszystko się zgadza poza numerem konta. Pracownik, działając pod presją czasu i ufając nadawcy, zleca przelew, który trafia nie do partnera biznesowego, ale do sieci kont kontrolowanych przez grupę przestępczą.

Dlaczego ataki BEC są tak skuteczne w średnich i dużych firmach?

Średnie i duże organizacje mają rozbudowane procedury, wiele poziomów akceptacji płatności i rotację pracowników. To paradoksalnie tworzy przestrzeń na luki. W praktyce o skuteczności BEC decyduje przede wszystkim połączenie presji czasu, niejasnego podziału odpowiedzialności i silnej hierarchii służbowej.

Najczęstsze czynniki sprzyjające atakom to m.in.:

• zamknięcia miesiąca/kwartału/roku, gdy „wszystko musi być zapłacone już dziś”,
• nowi pracownicy w finansach, którzy nie znają jeszcze dobrze kontrahentów i procedur,
• brak jasnych zasad weryfikacji przy zmianie numeru rachunku,
• przyzwyczajenie, że mail „od prezesa” czy „od CFO” wykonuje się bez dyskusji.

W MŚP problem wygląda nieco inaczej: procedury są luźniejsze, a jedna osoba łączy kilka funkcji. Jeden przekonujący mail może tam wystarczyć, by doprowadzić do poważnej straty.

Kto stoi za atakami BEC? Czy to tylko „samotni hakerzy”?

Dane z postępowań karnych i raportów firm bezpieczeństwa pokazują, że za skutecznymi atakami BEC stoją najczęściej zorganizowane grupy, a nie pojedyncze osoby. Struktura przypomina małą firmę: są osoby od rozpoznania (researcherzy), specjaliści techniczni od włamań i domen, operatorzy prowadzący korespondencję z ofiarą oraz „działy finansowe”, które zajmują się wyprowadzaniem i praniem środków.

Co wiemy? BEC działa w modelu międzynarodowym: serwery i domeny mogą być w jednym kraju, operatorzy rozsiani po kilku kontynentach, a rachunki „słupów” w różnych państwach, w tym w Unii Europejskiej. Czego nie wiemy? Pełnej skali tej współpracy i tego, jak dokładnie przepływy z BEC zasilają inne obszary przestępczości, od handlu ludźmi po cyberataki na infrastrukturę krytyczną.

W jaki sposób grupy BEC piorą wyłudzone pieniądze?

Środki z oszustw BEC rzadko trafiają bezpośrednio na konto głównych organizatorów. Zamiast tego przechodzą przez sieć pośredników – tzw. „słupów” lub money mules. To osoby lub firmy, które za prowizję udostępniają swoje konta, przyjmują przelew i szybko wypłacają lub przekazują środki dalej.

Kolejne etapy mogą obejmować łańcuch przelewów przez różne banki i kraje, mieszanie środków z legalnym obrotem (np. w pseudo‑firmach czy hazardzie online) oraz inwestycje w aktywa trudniejsze do śledzenia, jak nieruchomości czy biznesy gotówkowe. Dla organów ścigania oznacza to długą drogę od pierwszego „błędnego” przelewu do faktycznych beneficjentów przestępstwa.

Jakie są sygnały ostrzegawcze, że mail może być elementem ataku BEC?

Nie ma jednego, niezawodnego wskaźnika, ale w praktyce często powtarzają się podobne czerwone flagi. Do najczęstszych należą:

• prośba o pilną zmianę numeru rachunku bankowego stałego kontrahenta, bez standardowych formalności,
• nacisk na poufność („tylko między nami”, „nie angażuj nikogo z góry”),
• nietypowa pora wysłania maila lub styl wypowiedzi niepasujący do znanej osoby,
• zlecenie wysokiego, jednorazowego przelewu, który wykracza poza codzienną rutynę,
• adres nadawcy bardzo podobny do prawdziwego (literówka, dodatkowa litera, inna domena).

Jeśli pojawia się kombinacja kilku takich elementów, bezpieczniej jest zatrzymać płatność i zweryfikować sprawę innym kanałem – np. telefonicznie, korzystając z numeru znanego z wcześniejszej współpracy, a nie z tego podanego w podejrzanej wiadomości.

Jak firmy mogą się skutecznie bronić przed atakami BEC?

Ochrona przed BEC opiera się mniej na technologii, a bardziej na procesach i kulturze organizacyjnej. Kluczowe są jasne, egzekwowane zasady dotyczące płatności – zwłaszcza zmiany numerów rachunków oraz realizacji nietypowych, wysokich przelewów. Sprawdza się prosta reguła: każda zmiana konta wymaga potwierdzenia innym kanałem niż e‑mail.

Sprawdzonymi praktykami są m.in.:

• dwustopniowa autoryzacja przelewów powyżej określonej kwoty,
• szkolenia dla działów finansów, księgowości i zarządu, oparte na realnych scenariuszach BEC,
• jasne procedury weryfikacji danych kontrahenta i zgłaszania podejrzanych wiadomości,
• techniczne zabezpieczenia poczty (SPF, DKIM, DMARC), które utrudniają podszywanie się pod domenę firmy.

Najważniejsze punkty

• Ataki BEC polegają na podmianie kluczowych informacji w pozornie zwykłej korespondencji biznesowej (np. numeru rachunku bankowego) i nakłonieniu firmy do wykonania przelewu bezpośrednio na konto kontrolowane przez przestępców.
• W przeciwieństwie do masowego phishingu, BEC jest precyzyjnie zaplanowaną operacją: atakujący wybierają konkretną firmę i osoby decyzyjne, przygotowują się tygodniami, a jednostkowe straty mogą sięgać kwot zagrażających płynności przedsiębiorstwa.
• Kluczową rolę odgrywa nadużycie zaufania – do prezesa, dyrektora finansowego czy stałego kontrahenta – dlatego e‑maile często pojawiają się w istniejących wątkach, zawierają poprawne dane transakcji i nie wzbudzają podejrzeń działu finansowego.
• Nowoczesne grupy BEC działają jak zorganizowana „firma”: mają podział ról (rozpoznanie celu, włamania na skrzynki, przygotowanie korespondencji, wyprowadzanie środków), a zyski z oszustw zasilają inne obszary przestępczości, od narkotyków po cyberataki na infrastrukturę krytyczną.
• Skala ataków rośnie, ale rzeczywisty poziom strat pozostaje nieznany – część firm nie zgłasza incydentów z obawy o reputację, a część przypadków klasyfikowana jest jako błąd ludzki lub spór handlowy, co zaciemnia obraz zagrożenia.

Bibliografia i źródła

• Business Email Compromise: The $26 Billion Scam. Federal Bureau of Investigation (FBI) (2019) – Statystyki i charakterystyka globalnych ataków BEC
• Internet Crime Report. Internet Crime Complaint Center (IC3) (2023) – Roczne dane o skali BEC i innych oszustwach internetowych
• Cyber-Enabled Fraud: Business Email Compromise. Europol (2021) – Analiza BEC w kontekście przestępczości zorganizowanej w UE
• Business Email Compromise in the EU: A Survey of Law Enforcement. European Union Agency for Law Enforcement Training (CEPOL) (2020) – Przegląd praktyk śledczych i trendów BEC w Europie
• The Human Factor in Business Email Compromise. ENISA (2021) – Rola czynnika ludzkiego i socjotechniki w atakach BEC
• Business Email Compromise: How to Identify and Combat this Growing Fraud. Association of Certified Fraud Examiners (ACFE) (2018) – Opis schematów BEC, ról w grupach i metod przeciwdziałania
• Cybercrime and the Law: Business Email Compromise. United Nations Office on Drugs and Crime (UNODC) (2020) – Ujęcie prawne BEC i powiązania z praniem pieniędzy
• 2023 Data Breach Investigations Report. Verizon (2023) – Statystyki socjotechniki, BEC i różnice wobec phishingu masowego
• Email Fraud and Business Email Compromise Trends. Trend Micro Research (2019) – Typologia kampanii BEC, techniki podszywania się i fałszywe domeny