Jak łatwo podszyć się pod prezesa Twojej firmy. I dlaczego to nie kwestia „czy", tylko „kiedy".

Dostajesz maila od prezesa. Od dyrektora. Od kierownika. I w pierwszym odruchu w ogóle nie zastanawiasz się, czy ta wiadomość jest naprawdę od niego. Podświadomość każe Ci ufać. Skoro pisze przełożony albo właściciel firmy, to przecież nie podważa się takiej wiadomości. Po prostu się ją wykonuje.
I na tym odruchu stoi cały ten atak.

To stary sposób. Dostajemy zgłoszenia o nim od lat i wcale nie odchodzi do lamusa. Problem w tym, że sztuczna inteligencja obniżyła próg wejścia tak bardzo, że dziś nie trzeba być hakerem, żeby się pod kogoś podszyć. Wystarczy chcieć.

Zacznijmy od rzeczy, o której mało kto mówi wprost: poczta e-mail od początku była zbudowana tak, że wierzy w to, co nadawca wpisze w polu „od". Nikt tego domyślnie nie sprawdza. To trochę jak koperta, na której każdy może napisać dowolnego nadawcę, a poczta i tak ją dostarczy.

Dlaczego akurat prezes to najłatwiejsza maska?

Bo jego personalia są jawne. Wystarczy zajrzeć do KRS-u i już wiadomo, kto jest prezesem danej spółki. Do tego dochodzą dane zespołu ze strony firmowej, z LinkedIna, z Facebooka. To nie jest nic złego, że ludzie piszą, gdzie pracują. Ale trzeba mieć świadomość, że te informacje da się poskładać.
Dorzućmy do tego, że schemat maili w większości firm jest banalnie prosty. Imię kropka nazwisko. Pierwsza litera imienia kropka nazwisko. To się zgaduje w kilka sekund albo sprawdza prostymi narzędziami. Więc jeśli ktoś zna nazwisko prezesa i widzi jeden adres z Twojej firmy, to zna już adresy prawie wszystkich.

Pięć sposobów, w jakie ktoś podszywa się pod prezesa.

Deepfake głosu i wideo. Najwyższy szczebel i najnowszy. Jeśli głos danej osoby jest gdzieś publicznie dostępny, bo nagrała podcast, prowadzi kanał na YouTube albo pokazuje się w mediach społecznościowych, to narzędziami AI da się wygenerować głos praktycznie nie do odróżnienia. Wideo jest coraz lepsze i gołym okiem odróżniamy je z coraz większym trudem. Sztuczna inteligencja obniżyła próg, który i tak nie był wysoki. Dlatego nie zastanawiaj się, „czy" to się u Ciebie w firmie wydarzy, tylko „kiedy".

Mała rzecz z naszej praktyki: takich maili dostajemy tyle, że część osób już skanuje je wzrokiem, wie, że to spam, i kasuje. Ktoś mógłby powiedzieć, że to stary, ograny temat i nikt się już nie łapie. Ale po drugiej stronie jest masa ludzi, którym o tym trzeba przypominać. Bo jednorazowa świadomość nie wystarcza. To, że komuś raz powiesz, że można się pod kogoś podszyć, nie znaczy, że ta osoba już do końca życia będzie czujna.

Dlaczego to w ogóle działa?

Po pierwsze, brak wiedzy. Mamy zaawansowane narzędzia i sztuczną inteligencję, a i tak podstawą obrony wciąż jest edukacja. Duża część ludzi nie wie, że można się pod kogoś podszyć, i ślepo ufa temu, co wyświetla się w programie pocztowym.

Po drugie, zwykłe zalatanie. Terminy gonią, klienci ponaglają, przełożeni ponaglają, do tego dochodzą prywatne sprawy. W wirze pracy łatwo wyłączyć myślenie. Widzimy „Piotr Kowalski", więc zadanie od Piotra Kowalskiego po prostu robimy, nie zastanawiając się nad tym specjalnie.

Po trzecie, socjotechnika. Atakujący celowo nadaje tempa, podpiera się autorytetem i dobiera ton. Czasem taki, który nie budzi sprzeciwu. A jeśli ton jest zbliżony do tego, jak prezes odzywa się na co dzień, tym trudniej się zorientować.

Na co zwracać uwagę. Sygnały, przy których ma się zapalić czerwona lampka?

Presja czasu. To najważniejszy sygnał. „Zrób to teraz", „to pilne", „potrzebuję tego w ciągu godziny". Pośpiech ma dwa cele: żebyś szybko wykonał zadanie i żebyś nie zdążył sprawdzić, czy osoba jest prawdziwa. Jeśli masz coś zrobić „już", jest duża szansa, że nie zadzwonisz do prezesa dopytać, choćby po to, żeby nie zebrać opieprzu, że sprawa stoi.

Prośba o dyskrecję. Jeśli nigdy wcześniej nikt Cię o to nie prosił, powinno to zapalić lampkę. Ale uwaga, bo to działa też odwrotnie. Dla części osób „to zostaje między nami" łechce ego. Któż nie chciałby, żeby przełożony wtajemniczył go w coś poufnego? To skraca dystans i potrafi uśpić czujność zamiast ją wzbudzić.

Zmiana numeru konta. Fakturę często płacimy „jak leci", rzadko sprawdzając numer rachunku. A wystarczy wziąć fakturę wyglądającą dokładnie jak od operatora sieci komórkowej albo dostawcy prądu, przepisać wszystkie dane, nawet format numeru faktury, i zmienić tylko numer konta. Pieniądze idą nie tam, gdzie powinny. I jeszcze jedno: jeśli numer konta pojawia się w treści samego maila, a nie na fakturze, też zapal lampkę.

Ominięcie procedury. Procedury w firmie są właśnie po to, żeby przed tym chronić. Jeśli ktoś prosi Cię o pominięcie normalnej ścieżki, bo „to wyjątkowa sytuacja" albo „bo pilne", to jest dokładnie ten moment, w którym procedura jest najważniejsza.

Adres nadawcy, który nie zgadza się co do litery. Lekka literówka w domenie. Gmail zamiast firmowego adresu. Albo prywatna skrzynka prezesa, która sama mogła zostać przejęta. Sprawdzaj pełny adres, nie samą nazwę „Piotr Kowalski".

Inny ton niż zwykle. Prezes, z którym jesteś na „ty", nagle pisze per „pan". Albo miły na co dzień szef nagle jest opryskliwy i rozkazujący. Ludzie mają swój styl, więc nagła zmiana to sygnał. Dorzućmy brak firmowej stopki, choć tu ostrożnie: stopkę trywialnie łatwo skopiować, więc jej obecność niczego nie gwarantuje.
Prośba o informacje, nie tylko o pieniądze. To bywa groźniejsze, niż się wydaje. W zeszłym tygodniu mieliśmy sytuację, w której „prezes", oczywiście podszyty, wyłudził od pracownika prywatny numer telefonu. Wszyscy się w końcu zorientowali, że to wyłudzenie, więc niby po sprawie. Tyle że po jakimś czasie na ten prywatny numer przyszły na WhatsAppie wiadomości z linkami i próbą kolejnego ataku. Przekazany numer pokazuje, że jesteśmy podatni, i daje wejście do telefonu, na którym mamy bankowość. To, co na pierwszy rzut oka wygląda błaho, w rękach kogoś z planem bywa bardzo cenne.

Intuicja. Czasem po prostu czujesz, że coś nie gra, choć nie umiesz wskazać co. Nie jesteś specjalistą, nie chcesz się wychylać. Odezwij się mimo to i powiedz: „to wygląda podejrzanie, zerknijcie na to". Lepiej kilka razy zwrócić uwagę na fałszywy alarm, niż raz paść ofiarą.

Jedna zasada, która załatwia większość z tego.

Przy każdej prośbie o pieniądze, o zmianę numeru konta albo o wrażliwe dane, potwierdź ją drugim kanałem. Zadzwoń na znany numer, nie na ten z maila. Podejdź do biurka. Napisz na osobnym komunikatorze. Jeden telefon kosztuje minutę. Jeden przelew potrafi kosztować firmę znacznie więcej.
A kiedy podejrzenie już jest, nie prowadź prywatnego śledztwa. Nie klikaj, nie pobieraj załączników, nie odpisuj na maila. Zgłoś to od razu do osoby odpowiedzialnej za IT. Tu naprawdę gra idzie o minuty.
To nie dzieje się „gdzieś daleko"

Przykładów ze świata można podać naprawdę wiele. Z raportu FBI za 2025 rok wynika, że straty firm z tego typu oszustw (kategoria BEC) sięgnęły około 3 miliardów dolarów w jednym roku.
Nawet najwięksi się nabierają. W latach 2013–2015 jeden człowiek wyłudził od Facebooka i Google'a łącznie około 121 milionów dolarów. Zarejestrował domeny podszywające się pod prawdziwego dostawcę sprzętu i słał sfałszowane faktury z podrobionych adresów. Dostał pięć lat więzienia, a obie firmy odzyskały większość pieniędzy. Ale pointa jest inna: jeśli działy finansów Google'a i Facebooka to przepuściły, to pytanie nie brzmi „czy mądrzy ludzie się nabierają", tylko „czy masz procedurę, która to wyłapie".

Drugi przypadek pokazuje, dokąd to zmierza. W styczniu 2024 roku pracownik działu finansów w hongkońskim biurze brytyjskiej firmy inżynieryjnej Arup wykonał w jeden dzień 15 przelewów na łącznie 25,6 miliona dolarów. Zaczęło się od maila „od dyrektora finansowego" z prośbą o poufną transakcję. Pracownik początkowo nabrał podejrzeń. Rozwiała je dopiero wideokonferencja, na której widział i słyszał znajomych współpracowników. Każdy uczestnik tego spotkania był wygenerowanym przez AI deepfakiem. Żaden system firmy nie został włamany, żadne hasło nie zostało wykradzione. Materiał do deepfake'ów pochodził z publicznie dostępnych nagrań. Dyrektor IT tej firmy przyznał później, że z ciekawości sam zrobił działający deepfake swojej osoby, w czasie rzeczywistym, darmowymi narzędziami. Zajęło mu to około 45 minut.

A teraz bliżej. Śledczym z Gdańska udało się w tym temacie realnie zadziałać: rozbili zorganizowaną grupę zajmującą się dokładnie takimi oszustwami, a straty pokrzywdzonych firm przekroczyły 13 milionów złotych. To nie jest egzotyka z Hongkongu. To dzieje się na naszym podwórku.

Na koniec, dla właściciela!

Wróćmy do początku. Pytanie nie brzmi „czy" ktoś spróbuje podszyć się pod Ciebie albo pod Twojego kontrahenta, tylko „kiedy". I dobra wiadomość jest taka, że obrona nie zaczyna się od drogiego sprzętu. Zaczyna się od świadomości ludzi, od spisanych procedur i od szkoleń, które zmieniają nawyk, a nie tylko odhaczają temat.

Więc jeśli jesteś właścicielem, zadaj sobie jedno pytanie: czy masz w firmie procedurę, która wyłapie taki mail, zanim księgowa kliknie? I do kogo właściwie zadzwoni Twój pracownik o 16:45 w piątek, gdy to się będzie działo? Jeśli tym „IT" jest u Ciebie przypadkowa osoba albo nikt konkretny, to nie jest zabezpieczenie. To luka.

Jeśli chcesz to na spokojnie sprawdzić, odezwij się. Wolę, żebyśmy porozmawiali, zanim coś się wydarzy, niż po.

Zwykły mail z dowolnej skrzynki, podpisany „prezes". Najprostszy wariant. Atakujący zakłada konto na Gmailu albo na jakiejś zagranicznej skrzynce, podpisuje się imieniem i nazwiskiem prezesa i wysyła Ci wiadomość, w której czegoś od Ciebie oczekuje. To akurat jest łatwe do wykrycia: wystarczy sprawdzić, z jakiego adresu naprawdę przyszła wiadomość. Jeśli to nie jest adres z Twojej organizacji, zgłoś to do IT, nie klikaj w linki, nie pobieraj załączników i nie odpisuj. Sama odpowiedź już bywa dla atakującego sygnałem, że jest kogo dalej podchodzić.

Podszycie pod konkretny, firmowy adres. Tu w polu nadawcy widnieje prawdziwy adres, na przykład p.kowalski@twojafirma.pl, choć wiadomość wyszła z zupełnie innej skrzynki. Czasem wyłapie to serwer i zabezpieczenia. Czasem nie. Dlatego na pierwszy rzut oka taki mail wygląda dokładnie jak od prezesa.

Domena-sobowtór. Ktoś rejestruje adres łudząco podobny do firmowego. Podmieniona literka, inna końcówka, domena podobna, ale nie identyczna. Wygląda jak Twoja firma, a nie jest.

Przejęcie prawdziwego konta. To już poważniejsza sprawa, bo wtedy mail naprawdę wychodzi z prawdziwej skrzynki. I uwaga na dwie rzeczy. Po pierwsze, nie chodzi tylko o firmowe skrzynki w Microsoft 365 czy Google Workspace. Prezes czasem pisze z prywatnego adresu, bo pomylił skrzynki. Taka prywatna skrzynka też może zostać przejęta. Po drugie, atakujący często nie wykorzystuje przejętego konta od razu. Potrafi poczekać.

A gdy już działa, jest sprytny. Rozsyła wiadomości do współpracowników i kontrahentów, a potem kasuje je ze skrzynki wysłanych, żeby nie było śladu. Kasuje też odpowiedzi w stylu „słuchaj, dziwna ta wiadomość, to na pewno Ty?", żeby prawdziwy właściciel konta się nie zorientował. Dlatego weryfikacja, czy mail jest prawdziwy, nie może iść tym samym kanałem. I dlatego liczy się czas. Im szybciej zgłosisz podejrzenie do IT, tym większa szansa, że zagrożenie zostanie zablokowane, zanim ktoś pobierze załącznik przejmujący telefon (a na telefonie mamy przecież bankowość i uwierzytelnianie) albo zanim spam poleci dalej do klientów i zrobi się z tego problem wizerunkowy.