Falešná faktura: jak ji poznat dřív, než odejdou peníze

Faktura přišla v úterý ráno. Od dodavatele, kterého firma zná roky. Částka seděla, razítko sedělo, splatnost seděla. Jen v poznámce stálo, že dodavatel změnil banku a nové číslo účtu je uvedené níže.

Účetní to zaplatila. Peníze odešly do hodiny. Zpátky se nevrátily.

Nebyl to útok na techniku. Nikdo nic nehackoval. Byl to útok na člověka, který dělal svoji práci přesně tak, jak ji dělá každý den.

Jak to funguje

Podvodná faktura má tři obvyklé podoby a všechny stojí na tom samém: útočník ví, komu firma platí a jak vypadá její běžná komunikace.

Změna čísla účtu u známého dodavatele. Nejčastější a nejdražší varianta. Útočník se dostane do e-mailu dodavatele nebo si založí doménu, která se od té pravé liší jedním písmenem. Pošle fakturu, která je jinak k nerozeznání od pravé, jen s poznámkou o nové bance. Kdo platí podle faktury a ne podle uloženého účtu, pošle peníze útočníkovi.

Faktura z domény, která vypadá stejně. Místo dodavatel.cz přijde e-mail z dodavateI.cz s velkým i místo malého l. Nebo rn místo m. Na obrazovce to nepoznáte, pokud se nedíváte schválně. Účetní se schválně nedívá, protože zná jméno odesílatele a částku.

Urgentní příkaz od jednatele. „Pošli to dneska, jsem na jednání, nemůžu volat." Jméno jednatele, jeho styl, jeho podpis. Účetní to pošle, protože nechce být ta, kvůli které se zdržela platba. Jednatel o tom nevěděl. Až do chvíle, kdy se ptal, kam zmizely peníze.

Pět signálů, podle kterých ji poznáte

Žádný z nich sám o sobě nic neznamená. Dva najednou už ano.

1. Změna čísla účtu. Jakákoli. Dodavatelé banku mění zřídka a když ano, řeknou to předem, ne v poznámce na faktuře.

2. Doména odesílatele. Ne jméno, ale adresa za zavináčem. Pravý dodavatel píše vždycky ze stejné domény. Jakákoli odchylka, i o jedno písmeno, je důvod zastavit.

3. Tlak na čas. „Dnes", „urgentně", „jinak přijde penále". Podvodník potřebuje, abyste nestihli přemýšlet. Pravý dodavatel počká do zítřka.

4. Odchylka od zvyku. Jiná částka než obvykle, jiný formát faktury, jiný člověk, který ji posílá, jiná splatnost. Cokoli, co nesedí na to, jak to s tímhle dodavatelem chodí vždycky.

5. Odkaz nebo příloha místo faktury. „Fakturu si stáhněte zde." Pravá faktura je v příloze jako PDF, které se otevře bez přihlašování. Cokoli, co chce heslo nebo přesměruje na jinou stránku, není faktura.

Co s tím udělat, aby to nezávisel na štěstí

Tohle není o tom, aby účetní byla ostražitější. Ostražitost vydrží dva týdny. Potřebujete pravidlo, které funguje, i když je pátek odpoledne a všichni spěchají.

Pravidlo jednoho telefonátu. Každá změna čísla účtu se ověřuje telefonátem na číslo, které máte uložené, ne na číslo z faktury. Trvá to minutu. Podvodník sedí u e-mailu, ne u telefonu dodavatele.

Platba jde podle uloženého účtu, ne podle faktury. Účetní systém má u každého dodavatele číslo účtu. Platí se na něj. Když faktura říká něco jiného, faktura se nezaplatí, dokud to někdo neověří.

Urgentní příkaz od vedení se potvrzuje jinak než odpovědí na e-mail. Zavolat, napsat na Teams, zajít vedle. Odpověď na e-mail jde tomu, kdo ten e-mail poslal. A to nemusí být jednatel.

Tři pravidla, žádná technologie. Zastaví většinu podvodných faktur, které dnes na firmy míří, protože všechny stojí na tom, že nikdo nezvedne telefon.

Když už peníze odešly

Volejte banku. Hned, ne až po poradě. Šance na zastavení platby je v prvních hodinách, potom rychle klesá. Pak policii, protože bez trestního oznámení banka na druhé straně nic neudělá. A pak dodavateli, protože pokud útočník použil jeho e-mail, má problém i on a ještě o tom neví.

Proč to učím zaměstnance, ne jen účetní

Faktura sice přistane u účetní, ale ten první e-mail, přes který se útočník dostal k informacím o dodavatelích a platbách, otevřel někdo úplně jiný. Obchodník, asistentka, skladník. Kdokoli, kdo má e-mail.

Proto je kurz o podvodných fakturách a phishingu v úrovni L1, tedy pro každého ve firmě, ne jen pro ty, kdo platí. Krátké video, test, certifikát na jméno. Kdo ho projde, ví, kdy zvednout telefon.

První kurz je zdarma, bez karty. Stačí si ho pustit a za deset minut víte, jestli to vašim lidem dává smysl.

Vyzkoušet první kurz zdarma

---

Tomáš Hýbl, MSc., zakladatel Školení kyberbezpečnosti. Školení jsem postavil sám a ručím za něj svým jménem.