Podmieniony numer konta na fakturze: jak chronić firmę i klientów

Do księgowości przychodzi mail od stałego dostawcy: ten sam adres, ten sam podpis, często nawet ten sam wątek co zwykle. W treści krótka informacja „Zmieniliśmy bank, prosimy o wpłatę na nowy numer konta”, a w załączniku faktura, która wygląda jak każda poprzednia. Przelew wychodzi. Po dwóch tygodniach dostawca dzwoni z pytaniem, kiedy zostanie zapłacona zaległa faktura.

To nie jest rzadki scenariusz. W sierpniu 2026 r. Centralne Biuro Zwalczania Cyberprzestępczości poinformowało o zatrzymaniu czterech osób podejrzanych o udział w grupie, która przejmowała firmowe skrzynki i podmieniała numery kont na fakturach. Według CBZC straty przekroczyły 4 mln zł. W tej poradzie pokazuję, jak rozpoznać podmieniony numer konta na fakturze, jak sprawdzić go w 2 minuty, jak zabezpieczyć własną pocztę, żeby nikt nie oszukał Twoich klientów w Twoim imieniu, i co zrobić w pierwszej godzinie, jeśli pieniądze już wyszły. To nie jest porada prawna ani podatkowa. Przepisy opisuję według stanu na 24 października 2026 r., a przy skutkach podatkowych i sporze z kontrahentem skonsultuj się z księgową albo prawnikiem.

Jak działa oszustwo na „nowy numer konta”

Są trzy główne scenariusze:

1. Przejęta skrzynka dostawcy albo Twoja. Oszust zdobywa hasło, np. przez fałszywą stronę logowania, i przez kilka tygodni czyta korespondencję. W dobrym momencie wysyła fakturę z podmienionym numerem z prawdziwego adresu, często w istniejącym wątku. Reguły ustawione w skrzynce ukrywają albo usuwają odpowiedzi, więc właściciel niczego nie widzi.
2. Domena łudząco podobna. Mail przychodzi z adresu, który różni się jednym znakiem, np. biuro@przyk1ad.pl zamiast biuro@przyklad.pl. W telefonie widać zwykle tylko nazwę nadawcy, więc różnicy nikt nie zauważa.
3. Podrobiony nadawca. Jeśli domena firmy nie ma poprawnie ustawionego DMARC, oszust może wysłać maila, w którym pole „Od” wygląda dokładnie jak prawdziwy adres.

Wspólny mianownik to pretekst i pośpiech: „zmiana banku”, „audyt”, „konto chwilowo zablokowane”, „jestem na urlopie, proszę nie dzwonić”. Każde z tych zdań jest sygnałem, żeby zwolnić.

Nie licz, że bank wyłapie to za Ciebie. Przy przelewie w złotych liczy się numer rachunku, a nie nazwa odbiorcy (art. 143 ustawy o usługach płatniczych). Weryfikacja odbiorcy (VoP), czyli sprawdzenie, czy nazwa odbiorcy pasuje do numeru rachunku, ma objąć przelewy w złotych od 9 lipca 2027 r. Na 24 października 2026 r. to jednak wciąż projekt ustawy Ministerstwa Finansów z czerwca 2026 r. Nawet po zmianie bank tylko ostrzeże o niezgodności, a decyzja o przelewie zostanie po Twojej stronie.

Biała lista podatników VAT: sprawdzenie w 2 minuty

Wyszukiwarka białej listy, czyli Wykazu podatników VAT, jest bezpłatna i działa bez logowania: wykazpodatnikowvat.mf.gov.pl. Szukasz w niej po NIP-ie, REGON-ie albo numerze rachunku.

Jak sprawdzić „nowy numer”:

1. Wpisz NIP dostawcy z umowy albo wcześniejszej faktury, nie z maila z prośbą o zmianę.
2. Porównaj rachunki z wykazu z numerem na nowej fakturze. Sprawdź wszystkie 26 cyfr, nie tylko początek i koniec.
3. Wpisz też sam nowy numer rachunku. Jeśli należy do firmy z wykazu, wyszukiwarka pokaże, do której.
4. Zapisz potwierdzenie z identyfikatorem wyszukiwania i dołącz je do dokumentów przelewu.

Brak numeru w wykazie nie zawsze oznacza oszustwo: dostawca mógł jeszcze nie zgłosić nowego konta do urzędu. Zawsze oznacza jednak jedno: nie płacisz, dopóki nie wyjaśnisz sprawy telefonicznie. Wykaz dotyczy firm zarejestrowanych do VAT w Polsce, więc przy dostawcy z zagranicy zostaje Ci telefon.

Próg 15 000 zł i skutki podatkowe

Biała lista to także obowiązek podatkowy. Gdy regulujesz fakturę od czynnego podatnika VAT, a jednorazowa wartość transakcji przekracza 15 000 zł (niezależnie od tego, na ile przelewów ją dzielisz), przelew na rachunek spoza wykazu oznacza, że:

• tej płatności nie zaliczysz do kosztów uzyskania przychodów (art. 22p ustawy o PIT, art. 15d ustawy o CIT),
• odpowiadasz solidarnie z dostawcą za jego niezapłacony VAT od tej transakcji (art. 117ba Ordynacji podatkowej).

Tych skutków unikniesz, jeśli w ciągu 7 dni od zlecenia przelewu złożysz zawiadomienie ZAW-NR przez e-Urząd Skarbowy do swojego urzędu skarbowego. Jeśli pieniądze trafiły do oszusta, od razu zapytaj księgową, czy w Twojej sytuacji warto je złożyć. Termin liczy się od dnia zlecenia przelewu, a nie od dnia, w którym oszustwo wyszło na jaw.

Telefon pod numer, który już znasz

Biała lista sprawdza numer, ale nie człowieka. Najskuteczniejsza ochrona jest prosta: każdą zmianę numeru konta potwierdzasz telefonicznie, pod numerem znanym wcześniej: z umowy, z kartoteki w programie do faktur albo ze strony dostawcy wpisanej ręcznie w przeglądarce. Nigdy z maila z prośbą o zmianę ani z jego stopki, bo oszust, który przejął skrzynkę, podmienia też telefon w podpisie.

Zasady rozmowy:

• dzwonisz do osoby, którą znasz, a nie do „nowej osoby z działu finansów”,
• nie czytasz numeru pierwszy, tylko prosisz, żeby rozmówca przeczytał nowy numer, i porównujesz go z fakturą,
• przelew testowy na 1 zł niczego nie dowodzi: oszust też potwierdzi, że pieniądze doszły.

Pomaga też KSeF. W 2026 r. większość faktur między polskimi firmami trafia do Krajowego Systemu e-Faktur, a numer rachunku może być ich częścią. Fakturę w KSeF wystawia program dostawcy, a nie skrzynka pocztowa, więc podmiana PDF-u w mailu jej nie zmienia. Inny numer w KSeF niż w mailu to mocny sygnał ostrzegawczy.

Procedura „zmiana numeru konta” dla księgowości na 1 stronę

Zasada działa tylko wtedy, gdy jest spisana i obowiązuje wszystkich, także właściciela firmy. Poniżej wersja do wydrukowania dla osoby, która robi przelewy.

Procedura: zmiana numeru rachunku kontrahenta

1. Nie zmieniasz numeru na podstawie maila, SMS-a ani PDF-u. Każda prośba o zmianę, także „od szefa”, przechodzi pełną weryfikację.
2. Sprawdzasz NIP kontrahenta na białej liście (NIP z umowy albo kartoteki) i zapisujesz identyfikator wyszukiwania.
3. Dzwonisz pod numer z umowy albo kartoteki. Rozmówca czyta nowy numer, Ty porównujesz. Zapisujesz imię i nazwisko rozmówcy, datę i godzinę.
4. Druga osoba zatwierdza zmianę w kartotece. Ta sama osoba nie wprowadza i nie zatwierdza nowego numeru.
5. Płacisz z listy zapisanych odbiorców w banku, a nie przez wklejanie numeru z PDF-u. Nowego odbiorcę dodajesz dopiero po krokach 2–4.
6. Pośpiech oznacza stop. Prośba „pilnie, dziś, bez telefonu” trafia do właściciela firmy przed przelewem.
7. Powyżej 15 000 zł płacisz tylko na rachunek z białej listy. Wyjątki uzgadniasz z księgową (ZAW-NR w ciągu 7 dni).

Karta zmiany numeru (wypełniasz przy każdej zmianie):

Zabezpiecz pocztę i domenę, żeby chronić klientów

Oszust może też podszyć się pod Twoją firmę i wysłać Twoim klientom „nowy numer konta”. Wtedy oni tracą pieniądze, a Ty zapłatę i zaufanie. Trzy rzeczy, które sprawdzam najpierw:

1. Weryfikacja dwuetapowa (2FA) na każdej skrzynce, także księgowości, biura i kont dawnych pracowników. Najlepiej przez aplikację uwierzytelniającą albo klucz sprzętowy, a SMS tylko wtedy, gdy nie ma innej opcji. Skradzione hasło przestaje wtedy wystarczać.
2. Reguły i przekierowania w skrzynce. Sprawdź, czy nikt nie dodał reguł, które przenoszą maile ze słowami „faktura” albo „przelew” do kosza lub przekazują je na obcy adres. Tak oszuści ukrywają odpowiedzi kontrahentów.
3. SPF, DKIM i DMARC na domenie firmy. DMARC w trybie quarantine albo reject sprawia, że mail podrobiony na Twój adres trafia do spamu albo nie dociera wcale. Jak to ustawić krok po kroku, opisałem w poradzie Maile z firmy trafiają do spamu? SPF, DKIM i DMARC. Stan swojej domeny sprawdzisz za darmo w narzędziu Zbadaj stronę.

Uczciwie o granicach: DMARC nie chroni przed domeną łudząco podobną ani przed przejętą skrzynką, bo wtedy mail przechodzi wszystkie testy. Dlatego potrzebne są wszystkie trzy zabezpieczenia i jasna informacja dla klientów. Gotowy tekst do stopki maila, na fakturę i na stronę kontaktową:

Nie zmieniamy numeru rachunku w wiadomości e-mail. Jeśli otrzymają Państwo prośbę o wpłatę na nowy numer, prosimy nie płacić i zadzwonić pod [telefon] (numer ze strony [adres strony]). Nasz rachunek można sprawdzić na białej liście podatników VAT po NIP [NIP].

Plan na pierwsze 60 minut po przelewie

Liczy się czas, bo oszuści szybko przelewają pieniądze dalej albo wypłacają je z bankomatów.

Minuty 0–10: bank

• Zadzwoń na infolinię swojego banku (numer z karty albo strony banku, nie z maila) i powiedz wprost: „Przelew trafił na rachunek oszusta. Proszę o pilne wstrzymanie i kontakt z bankiem odbiorcy”.
• Zwykły przelew do innego banku wychodzi w sesjach rozliczeniowych w ciągu dnia, więc czasem da się go jeszcze zatrzymać. Przelew natychmiastowy dociera w kilka sekund, wtedy zostaje już tylko prośba do banku odbiorcy o zatrzymanie środków.
• Zapisz numer zgłoszenia, godzinę i nazwisko konsultanta.

Minuty 10–25: dostawca i Twoja skrzynka

• Zadzwoń do prawdziwego dostawcy pod znany numer. Jego skrzynka może być przejęta, a wtedy oszuści piszą też do innych klientów.
• Jeśli wyciek mógł być po Twojej stronie, zmień hasło do poczty z innego urządzenia, wyloguj wszystkie sesje, włącz 2FA i usuń obce reguły.

Minuty 25–40: dowody

• Nie usuwaj maili. Zapisz wiadomość z pełnymi nagłówkami (w Gmailu opcja „Pokaż oryginał”), PDF faktury, potwierdzenie przelewu i wynik z białej listy.

Minuty 40–60: zgłoszenia

• Zgłoś incydent w CERT Polska przez formularz incydent.cert.pl. Dołącz adres nadawcy, nagłówki i numer rachunku oszusta.
• Złóż zawiadomienie o przestępstwie na policji, najlepiej jeszcze tego samego dnia, z wydrukami i numerem zgłoszenia z banku. Numer sprawy przekaż swojemu bankowi. Bank, w którym oszust ma rachunek, może sam zablokować podejrzane środki najwyżej na 72 godziny, a o dłuższej blokadzie decyduje prokurator (art. 106a Prawa bankowego).

Po pierwszej godzinie

• Księgowa: ZAW-NR (7 dni od zlecenia przelewu) i ujęcie straty w księgach.
• Prawnik: przelew do oszusta zwykle nie zwalnia z długu wobec dostawcy (art. 452 Kodeksu cywilnego), ale przy włamaniu na skrzynkę dostawcy sprawa bywa sporna.
• Ubezpieczyciel, jeśli masz polisę od ryzyk cybernetycznych.
• Klienci: jeśli przejęta była Twoja skrzynka, uprzedź ich telefonicznie albo SMS-em, a nie z tej samej skrzynki.

Podsumowanie

Podmieniony numer konta na fakturze to oszustwo na zaufanie: wystarczy jeden mail w dobrym momencie. Chroni Cię prosta zasada: żadnej zmiany numeru bez sprawdzenia białej listy i telefonu pod znany numer, a po stronie firmy 2FA na poczcie i DMARC na domenie. Wydrukuj procedurę z tej porady i przekaż ją osobie, która robi przelewy.

Jeśli chcesz, żebym sprawdził zabezpieczenia poczty i strony, zamów audyt bezpieczeństwa od 990 zł netto. Domenę i pocztę firmową z ustawionymi SPF, DKIM i DMARC przygotowuję od 390 zł netto rocznie. Napisz do mnie, odpowiadam w 24 godziny, a nowi klienci dostają 20% rabatu na pierwsze zlecenie (rabat nie obejmuje domeny i hostingu).