Подмена номера банковского счёта в счёте-фактуре: как защитить компанию и клиентов

В бухгалтерию приходит письмо от постоянного поставщика: тот же адрес, та же подпись, нередко даже та же ветка переписки, что и обычно. В тексте короткое сообщение «Мы сменили банк, просим перечислять оплату на новый номер счёта», а во вложении счёт-фактура, которая выглядит как все предыдущие. Перевод уходит. Через две недели поставщик звонит и спрашивает, когда же будет оплачен просроченный счёт.

Это не редкий сценарий. В августе 2026 г. Центральное бюро по борьбе с киберпреступностью (Centralne Biuro Zwalczania Cyberprzestępczości, CBZC) сообщило о задержании четырёх человек, подозреваемых в участии в группе, которая захватывала корпоративные почтовые ящики и подменяла номера счетов в счетах-фактурах. По данным CBZC, ущерб превысил 4 млн зл. В этой статье я показываю, как распознать подмену номера счёта в счёте-фактуре, как проверить его за 2 минуты, как защитить собственную почту, чтобы никто не обманул Ваших клиентов от Вашего имени, и что делать в первый час, если деньги уже ушли. Это не юридическая и не налоговая консультация. Нормы я описываю по состоянию на 24 октября 2026 г., а в вопросах налоговых последствий и спора с контрагентом проконсультируйтесь с бухгалтером или юристом.

Как работает мошенничество с «новым номером счёта»

Есть три основных сценария:

1. Захваченный ящик поставщика или Ваш собственный. Мошенник добывает пароль, например через поддельную страницу входа, и несколько недель читает переписку. В удачный момент он отправляет счёт-фактуру с подменённым номером с настоящего адреса, часто в уже существующей ветке. Правила, настроенные в ящике, скрывают или удаляют ответы, поэтому владелец ничего не замечает.
2. Внешне почти неотличимый домен. Письмо приходит с адреса, который отличается одним символом, например biuro@przyk1ad.pl вместо biuro@przyklad.pl. В телефоне обычно виден только имя отправителя, поэтому разницы никто не замечает.
3. Подделанный отправитель. Если у домена компании неправильно настроен DMARC, мошенник может отправить письмо, в котором поле «От» выглядит точно так же, как настоящий адрес.

Общий знаменатель — предлог и спешка: «смена банка», «аудит», «счёт временно заблокирован», «я в отпуске, прошу не звонить». Каждая из этих фраз — сигнал притормозить.

Не рассчитывайте, что банк заметит это за Вас. При переводе в злотых значение имеет номер счёта, а не название получателя (ст. 143 закона о платёжных услугах, ustawa o usługach płatniczych). Проверка получателя (VoP), то есть проверка того, соответствует ли название получателя номеру счёта, должна охватить переводы в злотых с 9 июля 2027 г. Однако на 24 октября 2026 г. это всё ещё проект закона Министерства финансов Польши от июня 2026 г. Даже после изменения банк лишь предупредит о несоответствии, а решение о переводе останется за Вами.

Белый список плательщиков НДС: проверка за 2 минуты

Поисковик по белому списку, то есть по Реестру плательщиков НДС (Wykaz podatników VAT), бесплатен и работает без входа в систему: wykazpodatnikowvat.mf.gov.pl. Искать в нём можно по NIP (налоговому номеру в Польше), REGON (статистическому номеру предприятия) или номеру счёта.

Как проверить «новый номер»:

1. Введите NIP поставщика из договора или прежнего счёта-фактуры, а не из письма с просьбой об изменении.
2. Сравните счета из реестра с номером в новом счёте-фактуре. Проверьте все 26 цифр, а не только начало и конец.
3. Введите также сам новый номер счёта. Если он принадлежит компании из реестра, поисковик покажет, какой именно.
4. Сохраните подтверждение с идентификатором поиска и приложите его к документам по переводу.

Отсутствие номера в реестре не всегда означает мошенничество: поставщик мог ещё не сообщить о новом счёте в налоговую. Но оно всегда означает одно: Вы не платите, пока не выясните вопрос по телефону. Реестр касается компаний, зарегистрированных в Польше как плательщики НДС, поэтому в случае иностранного поставщика у Вас остаётся только телефон.

Порог 15 000 зл и налоговые последствия

Белый список — это ещё и налоговая обязанность. Когда Вы оплачиваете счёт-фактуру от действующего плательщика НДС, а разовая стоимость сделки превышает 15 000 зл (независимо от того, на сколько переводов Вы её делите), перевод на счёт, которого нет в реестре, означает, что:

• этот платёж Вы не сможете включить в расходы, уменьшающие налогооблагаемый доход (ст. 22p закона о подоходном налоге с физических лиц, ustawa o PIT, ст. 15d закона о налоге с юридических лиц, ustawa o CIT),
• Вы отвечаете солидарно с поставщиком за его неуплаченный НДС по этой сделке (ст. 117ba Налогового кодекса, Ordynacja podatkowa).

Этих последствий можно избежать, если в течение 7 дней с момента поручения перевода подать уведомление ZAW-NR через e-Urząd Skarbowy (электронную налоговую службу) в свою налоговую инспекцию (urząd skarbowy). Если деньги попали к мошеннику, сразу спросите бухгалтера, стоит ли в Вашей ситуации его подавать. Срок отсчитывается от дня поручения перевода, а не от дня, когда мошенничество вскрылось.

Звонок по номеру, который Вы уже знаете

Белый список проверяет номер счёта, но не человека. Самая эффективная защита проста: любую смену номера счёта Вы подтверждаете по телефону, по ранее известному номеру: из договора, из картотеки в программе для выставления счетов или с сайта поставщика, введённого вручную в браузере. Никогда не из письма с просьбой об изменении и не из его подписи, потому что мошенник, захвативший ящик, подменяет и телефон в подписи.

Правила разговора:

• Вы звоните человеку, которого знаете, а не «новому сотруднику финансового отдела»,
• Вы не зачитываете номер первым, а просите собеседника зачитать новый номер и сравниваете его со счётом-фактурой,
• тестовый перевод на 1 зл ничего не доказывает: мошенник тоже подтвердит, что деньги дошли.

Помогает и KSeF. В 2026 г. большинство счетов-фактур между польскими компаниями попадает в Krajowy System e-Faktur (национальную систему электронных счетов-фактур Польши, KSeF), а номер счёта может быть частью такого документа. Счёт-фактуру в KSeF выставляет программа поставщика, а не почтовый ящик, поэтому подмена PDF в письме её не меняет. Другой номер в KSeF, чем в письме, — сильный предупреждающий сигнал.

Процедура «смена номера счёта» для бухгалтерии на 1 страницу

Правило работает только тогда, когда оно записано и обязательно для всех, в том числе для владельца компании. Ниже версия для печати для сотрудника, который делает переводы.

Процедура: смена номера счёта контрагента

1. Вы не меняете номер на основании письма, SMS или PDF. Любая просьба об изменении, в том числе «от директора», проходит полную проверку.
2. Вы проверяете NIP контрагента по белому списку (NIP из договора или картотеки) и записываете идентификатор поиска.
3. Вы звоните по номеру из договора или картотеки. Собеседник зачитывает новый номер, Вы сравниваете. Вы записываете имя и фамилию собеседника, дату и время.
4. Второй сотрудник утверждает изменение в картотеке. Один и тот же человек не вводит и не утверждает новый номер.
5. Вы платите из списка сохранённых получателей в банке, а не вставляя номер из PDF. Нового получателя добавляете только после шагов 2–4.
6. Спешка означает стоп. Просьба «срочно, сегодня, без звонка» передаётся владельцу компании до перевода.
7. Свыше 15 000 зл Вы платите только на счёт из белого списка. Исключения согласовываете с бухгалтером (ZAW-NR в течение 7 дней).

Карта смены номера (заполняется при каждой смене):

Защитите почту и домен, чтобы защитить клиентов

Мошенник может также выдать себя за Вашу компанию и отправить Вашим клиентам «новый номер счёта». Тогда деньги теряют они, а Вы теряете оплату и доверие. Три вещи, которые я проверяю в первую очередь:

1. Двухэтапная проверка (2FA) на каждом ящике, в том числе бухгалтерии, офиса и аккаунтов бывших сотрудников. Лучше всего через приложение-аутентификатор или аппаратный ключ, а SMS только тогда, когда другого варианта нет. Украденного пароля тогда уже недостаточно.
2. Правила и переадресации в ящике. Проверьте, не добавил ли кто-то правила, которые переносят письма со словами «счёт-фактура» или «перевод» в корзину или пересылают их на чужой адрес. Так мошенники скрывают ответы контрагентов.
3. SPF, DKIM и DMARC на домене компании. DMARC в режиме quarantine или reject приводит к тому, что письмо, подделанное под Ваш адрес, попадает в спам или не доходит вовсе. Как настроить это шаг за шагом, я описал в статье Письма компании попадают в спам? SPF, DKIM и DMARC. Состояние своего домена Вы можете бесплатно проверить в инструменте Проверить сайт.

Честно о границах: DMARC не защищает от внешне почти неотличимого домена и от захваченного ящика, потому что тогда письмо проходит все проверки. Поэтому нужны все три защиты и чёткая информация для клиентов. Готовый текст для подписи письма, для счёта-фактуры и для страницы контактов:

Мы не меняем номер банковского счёта по электронной почте. Если Вы получите просьбу оплатить на новый номер, пожалуйста, не платите и позвоните по телефону [телефон] (номер с сайта [адрес сайта]). Наш счёт можно проверить в белом списке плательщиков НДС по NIP [NIP].

План на первые 60 минут после перевода

Важно время, потому что мошенники быстро переводят деньги дальше или обналичивают их в банкоматах.

Минуты 0–10: банк

• Позвоните на горячую линию своего банка (номер с карты или с сайта банка, не из письма) и скажите прямо: «Перевод попал на счёт мошенника. Прошу срочно приостановить его и связаться с банком получателя».
• Обычный перевод в другой банк уходит в расчётных сессиях в течение дня, поэтому его иногда ещё можно остановить. Мгновенный перевод доходит за несколько секунд, и тогда остаётся только просьба к банку получателя о блокировке средств.
• Запишите номер обращения, время и фамилию консультанта.

Минуты 10–25: поставщик и Ваш ящик

• Позвоните настоящему поставщику по известному номеру. Его ящик может быть захвачен, и тогда мошенники пишут и другим клиентам.
• Если утечка могла произойти с Вашей стороны, смените пароль от почты с другого устройства, завершите все сеансы, включите 2FA и удалите чужие правила.

Минуты 25–40: доказательства

• Не удаляйте письма. Сохраните сообщение с полными заголовками (в Gmail — опция «Показать оригинал»), PDF счёта-фактуры, подтверждение перевода и результат проверки по белому списку.

Минуты 40–60: заявления

• Сообщите об инциденте в CERT Polska через форму incydent.cert.pl. Приложите адрес отправителя, заголовки и номер счёта мошенника.
• Подайте заявление о преступлении в полицию, лучше в тот же день, с распечатками и номером обращения из банка. Номер дела передайте своему банку. Банк, в котором у мошенника открыт счёт, может сам заблокировать подозрительные средства не более чем на 72 часа, а о более длительной блокировке решает прокурор (ст. 106a Банковского права, Prawo bankowe).

После первого часа

• Бухгалтер: ZAW-NR (7 дней с момента поручения перевода) и отражение убытка в учёте.
• Юрист: перевод мошеннику обычно не освобождает от долга перед поставщиком (ст. 452 Гражданского кодекса), но при взломе ящика поставщика вопрос бывает спорным.
• Страховщик, если у Вас есть полис от киберрисков.
• Клиенты: если был захвачен Ваш ящик, предупредите их по телефону или SMS, а не из того же ящика.

Итог

Подмена номера счёта в счёте-фактуре — это мошенничество на доверии: достаточно одного письма в удачный момент. Защищает Вас простое правило: никакой смены номера без проверки белого списка и звонка по известному номеру, а со стороны компании — 2FA на почте и DMARC на домене. Распечатайте процедуру из этой статьи и передайте её сотруднику, который делает переводы.

Если хотите, чтобы я проверил защиту почты и сайта, закажите аудит безопасности от 990 зл без НДС. Домен и корпоративную почту с настроенными SPF, DKIM и DMARC я готовлю от 390 зл без НДС в год. Напишите мне, отвечаю в течение 24 часов, а новые клиенты получают скидку 20% на первый заказ (скидка не распространяется на домен и хостинг).