Oszustwa internetowe zmieniają się dziś szybciej niż procedury, które mają przed nimi chronić. Sposób rozpoznawania fałszywej wiadomości, który jeszcze rok temu był skuteczny, dziś potrafi już nie działać, a straty zgłaszane organom ścigania rosną rok do roku o ponad jedną czwartą. Warto te kampanie śledzić z bardzo praktycznego powodu: z każdej kolejnej wynika wprost, co trzeba poprawić u siebie, zanim podobna wiadomość trafi do firmowej skrzynki.
Osoba rozliczająca faktury dostaje e-mail. To przekazana korespondencja: jej prezes uzgadnia z dostawcą oprogramowania roczną subskrypcję i pisze, że zatwierdza zakup. W załączniku faktura na blisko 50 000 USD, z logo dostawcy, pozycjami i nazwą jej firmy. Sfałszowane jest wszystko: prezes, dostawca, wątek i faktura. Takich e-maili trafiło do firm ponad milion w ciągu trzech sierpniowych dni. Żaden nie zawierał złośliwego kodu ani próby wykorzystania luki w oprogramowaniu, czyli tego, czego szuka firmowy filtr poczty. Dla filtra była to poprawna wiadomość biznesowa z fakturą w załączniku, więc ją dostarczył.
Oszustwo na prezesa samo w sobie nie jest nowe. Nowa jest skala i to, co ją umożliwiło: Microsoft, który kampanię wykrył i opisał, wskazuje w jej szablonach cechy charakterystyczne dla treści generowanych maszynowo. Praca, która dotąd oznaczała, że ktoś ręcznie rozpracowuje jedną firmę i pisze do niej jedną wiadomość, została wykonana milion razy w trzy dni. To jest właściwa miara sprawy, a nie kwota z pojedynczej faktury.
Ta kampania nie jest wyjątkiem, tylko punktem na krzywej, która od lat idzie stromo w górę. Jest w tym jednak dobra wiadomość: skoro atak celuje w procedurę, a nie w system, to procedura jest również obroną, a tej nie trzeba kupować.
Jak wykryto tę kampanię
Wiadomości szły do firm, nie do Microsoftu. Microsoft widzi je dlatego, że filtruje pocztę przychodzącą do organizacji korzystających z Exchange Online i Microsoft Defender for Office 365, a więc ogląda ruch pocztowy w skali, w której pojedyncza firma widzi jedną podejrzaną wiadomość. Dopiero stamtąd widać, że milion wiadomości rozesłanych do różnych firm to jedna kampania na jednym szablonie. Jak ją wykrył, producent nie ujawnia.
Nie podaje też, ile firm dało się nabrać ani ile pieniędzy wyprowadzono. W jego opisie jest liczba wysłanych wiadomości, nie liczba udanych przelewów.
Dokąd to zmierza
Skalę i kierunek widać w danych FBI. W 2025 roku amerykańskie Centrum Zgłaszania Przestępstw Internetowych (IC3) odnotowało 24 768 zgłoszeń oszustw typu BEC, czyli podszywania się pod firmę lub jej przedstawiciela w korespondencji służbowej, na ponad 3 miliardy USD. To druga najkosztowniejsza kategoria w zestawieniu, po oszustwach inwestycyjnych. Łączne straty ze wszystkich kategorii wzrosły w ciągu roku o 26 procent i przekroczyły 20 miliardów USD, a liczba zgłoszeń pierwszy raz przebiła milion.
Osobno FBI policzyło zgłoszenia z wątkiem sztucznej inteligencji: ponad 22 000 w 2025 roku, na blisko 900 milionów USD. I pisze wprost, że generatory tekstu potrafią szybko tworzyć oficjalnie brzmiące wiadomości podszywające się pod prezesa firmy.
Prognozowanie liczb byłoby zgadywaniem, ale kierunek wynika z samej ekonomii tego procederu. Skoro koszt wyprodukowania wiarygodnej, spersonalizowanej wiadomości spadł niemal do zera, a zwrot z jednego udanego przelewu liczy się w dziesiątkach tysięcy dolarów, takich kampanii będzie więcej, nie mniej. Dwa zastrzeżenia do samych liczb: dotyczą zgłoszeń amerykańskich i całych kategorii, nie tej jednej kampanii, więc są dolną granicą.
Jak zbudowano wiarygodność tej wiadomości
Kampania trwała od 3 do 5 sierpnia 2026 roku. Celem był przelew ACH na blisko 50 000 USD, czyli amerykański odpowiednik naszego przelewu w systemie Elixir. 87,7 procent wiadomości trafiło do odbiorców w Stanach Zjednoczonych, ale konstrukcja ataku nie jest przywiązana do tego rynku. Wysyłka szła przez konta u zewnętrznych dostawców poczty, a więc z infrastruktury, która sama w sobie nie wygląda podejrzanie.
Wiarygodność budowano trzema warstwami naraz. Nazwisko prezesa konkretnej firmy pojawiało się w nazwie nadawcy i w stopce. Dołączono sfabrykowaną fakturę z logo ServiceNow, znanego dostawcy oprogramowania do obsługi zgłoszeń i procesów w firmach, wraz z pozycjami i instrukcją płatności. Całość opakowano w wątek wyglądający na przekazaną korespondencję, w której dwie podszywane osoby omawiają zakup.
Z perspektywy księgowości to nie wygląda na prośbę o płatność, tylko na płatność uzgodnioną na poziomie zarządu i przekazaną do realizacji. Pytanie „czy zapłacić” w ogóle się nie pojawia.
Microsoft dodaje zastrzeżenie, które warto powtórzyć: nie znaleziono dowodów, by ServiceNow ani bezpieczeństwo innych organizacji wymienionych w wiadomościach zostało naruszone lub brały one w czymkolwiek udział. Wykorzystano wyłącznie ich rozpoznawalność, bo nazwa znanego dostawcy uwiarygodnia fakturę.
Dlaczego stary sposób rozpoznawania oszustwa na prezesa przestał działać
Te cechy to rozbudowane komentarze HTML, uporządkowane etykietowanie sekcji i wysoce jednolita konstrukcja szablonu. Microsoft traktuje je jako wskaźniki spójne z użyciem generatywnej AI, a nie dowód autorstwa, i tak trzeba to czytać.
Praktyczna konsekwencja nie zależy jednak od tego rozstrzygnięcia. Przez lata pierwszą linią obrony przy fakturach była językowa nieudolność oszusta: kalki z angielskiego, dziwna odmiana, rozjeżdżające się formatowanie. Ten filtr przestał być wiarygodny. Jeśli koszt napisania poprawnej, spersonalizowanej wiadomości spada do zera, personalizacja przestaje być dowodem autentyczności. Znajomość nazwiska prezesa, nazwy dostawcy i szczegółów zakupu nie świadczy już o niczym.
Przy milionie wiadomości w trzy dni nawet ułamek procenta skuteczności daje wynik. Kampania nie musi oszukać wielu firm, żeby się zwróciła.
Skoro więc nie da się już rozpoznać oszustwa po wyglądzie wiadomości, jedynym trwałym punktem oparcia jest weryfikacja poza kanałem, którym przyszła prośba: telefon na numer z własnej bazy zamiast numeru z faktury, druga para oczu przy płatności powyżej progu, potwierdzenie tożsamości przed zmianą metody logowania. To jest cała obrona i ona akurat nie starzeje się razem z technologią, którą posługują się oszuści.
Druga kampania w tym samym tygodniu, ten sam wzorzec
Dzień wcześniej, 9 września, Microsoft opisał zupełnie inną kampanię, zbudowaną wokół kluczy dostępu (passkey). Zaczyna się od telefonu lub SMS-a, czasem od wiadomości w Teams z przejętego konta wewnętrznego. Pretekstem jest pilna aktualizacja klucza dostępu, uwierzytelniania wieloskładnikowego albo logowania jednokrotnego, rzekomo pod rygorem utraty dostępu.
Dalej ofiara trafia na stronę łudząco podobną do logowania Microsoft, gdzie atakujący przechwytuje poświadczenia i token sesji, albo zostaje przeprowadzona przez przepływ kodu urządzenia i sama zatwierdza dostęp na prawdziwej stronie Microsoft. Zaraz po zalogowaniu atakujący rejestruje własną metodę uwierzytelniania i ma trwały dostęp. Microsoft opisuje sesję, w której w ciągu pięćdziesięciu minut sprawdzono aplikacje i ustawienia logowania, a potem sięgnięto po zasoby SharePointa i skrzynkę pocztową. Rozpoznanie przed atakiem opiera się na źródłach publicznych, w tym na portalach zawodowych.
Dwie różne kampanie, dwie różne grupy odbiorców, jeden wspólny mianownik: w żadnej atakujący nie potrzebował niezałatanej podatności. Obie uderzają w procedurę, nie w system.
Co się stanie, jeśli nikt się tym nie zajmie
Scenariusz pierwszy jest tani do przeprowadzenia. Fałszywa faktura formalnie niczym nie odbiega od kilkudziesięciu innych za oprogramowanie z tego miesiąca. Przelew wychodzi w środę, wykrycie następuje przy uzgadnianiu sald w połowie następnego miesiąca. Odzyskanie środków z rachunku kontrolowanego przez sprawcę jest wtedy w praktyce niemożliwe.
Scenariusz drugi jest droższy, choć mniej widoczny. Przejęcie jednego konta oznacza dostęp do poczty i do plików, do których ta osoba ma uprawnienia. Jeśli w SharePoincie od lat leżą foldery z odziedziczonymi uprawnieniami „cała organizacja”, zakres wycieku wyznacza nie stanowisko ofiary, tylko historia nadawania uprawnień. Dochodzi do tego obowiązek oceny, czy doszło do naruszenia ochrony danych osobowych, i ewentualne zgłoszenie do organu nadzorczego w ciągu 72 godzin.
Co realnie zatrzymuje taki atak
Żadna z poniższych rzeczy nie jest projektem na kwartał. To kilka ustaleń i kilka przełączników, rozłożonych na co najmniej dwie strony: firmę i osobę administrującą. Każda z tych stron zatrzymuje inny moment ataku, więc pominięcie którejkolwiek zostawia otwartą dokładnie tę drogę, którą szła sierpniowa kampania.
Firma: zasady, zanim pojawi się faktura
- Próg dwóch akceptacji. Powyżej ustalonej kwoty płatność zatwierdzają dwie osoby, przy czym żadna z nich nie może być wskazana w samej wiadomości.
- Zmiana rachunku wyłącznie po telefonie. Nowy numer konta u znanego dostawcy potwierdzamy dzwoniąc na numer z własnej bazy kontrahentów. Nigdy na numer z faktury, bo ten podaje nadawca.
- Prawo do wstrzymania płatności. Osoba rozliczająca może zatrzymać przelew zlecony przez zarząd i nie ponosi tego konsekwencji. To najważniejszy punkt na całej liście i jednocześnie ten, który najrzadziej bywa gdziekolwiek zapisany.
Osoba administrująca systemem: pięć ustawień
- Znacznik „Zewnętrzne”. Oznaczanie poczty spoza organizacji, wbudowane w Exchange Online, do włączenia jednym poleceniem.
- Zero-hour auto purge. Sprawdzić, czy działa w politykach antyspamowych i antyphishingowych. Domyślnie jest włączony, ale warto to potwierdzić.
- SPF, DKIM i DMARC. Poprawna konfiguracja uwierzytelniania poczty oraz łączników poczty.
- Blokada przepływu kodu urządzenia. Wszędzie tam, gdzie nie ma uzasadnienia biznesowego.
- Uwierzytelnianie odporne na phishing plus alerty. Wymuszone regułą dostępu warunkowego, z powiadomieniem przy każdej zmianie metody uwierzytelniania
Co kosztuje, a co jest już w cenie licencji
Część zabezpieczeń nie wymaga dodatkowego wydatku, tylko sprawdzenia konfiguracji. Zero-hour auto purge dla poczty nie ma odrębnych wymagań licencyjnych, działa na wszystkich skrzynkach w Exchange Online i jest domyślnie włączony w politykach antyspamowych, antyphishingowych i antymalware. Weryfikacja SPF, DKIM i DMARC też nie kosztuje nic poza czasem.
Płatne jest to, co daje wymuszanie reguł i automatyzację reakcji. Dostęp warunkowy, potrzebny do zablokowania przepływu kodu urządzenia i do wymuszenia uwierzytelniania odpornego na phishing, wymaga licencji Microsoft Entra ID P1; jest ona zawarta między innymi w Microsoft 365 Business Premium. Automatyczne przerywanie ataku działa w ramach Microsoft Defender XDR, a ochrona Teams wymaga Microsoft Defender for Office 365 w planie 1 lub 2. Stan licencji warto sprawdzić przed planowaniem zakupów, bo wiele firm ma już te uprawnienia w posiadanych pakietach i po prostu ich nie używa.
Realny koszt leży jednak gdzie indziej. Żadnej z opisanych kampanii nie zatrzymałoby samo dokupienie licencji. Zatrzymuje je zapisana i przetestowana procedura płatności oraz procedura weryfikacji tożsamości przed resetem metody uwierzytelniania. To praca ludzi, nie pozycja w cenniku.
Od czego zacząć
Pierwszy krok nie wymaga ani projektu, ani zakupu. Wystarczy prześledzić, co dokładnie musi się wydarzyć w firmie, żeby faktura stała się przelewem, i sprawdzić, w którym z tych kroków sierpniowa wiadomość by się zatrzymała.
Trzy pytania kontrolne. Czy zmiana numeru rachunku u znanego dostawcy wymaga potwierdzenia telefonicznego na numer z własnej bazy kontrahentów? Czy powyżej ustalonego progu płatność wymaga akceptacji dwóch osób, z których żadna nie jest wskazana w samej wiadomości? Czy każdy reset metody uwierzytelniania generuje alert? Odpowiedź „nie wiem” na którekolwiek z nich wskazuje miejsce, od którego warto zacząć.
Najczęstsze pytania
Ile firm straciło pieniądze w tej kampanii?
Nie wiadomo. Microsoft podaje liczbę wysłanych wiadomości, ale nie publikuje danych o ofiarach ani o stratach. Dla porównania skali: FBI odnotowało w 2025 roku 24 768 zgłoszeń oszustw typu BEC na ponad 3 miliardy USD, przy czym są to zgłoszenia amerykańskie i cała kategoria, nie ta jedna kampania.
Czy filtr antyspamowy zatrzymałby taką wiadomość?
Nie można na tym poprzestać. Wiadomość nie zawierała złośliwego załącznika ani linku do złośliwej strony, a nadawca korzystał z kont u zewnętrznych dostawców poczty. Faktura wygląda na dokument, który filtr ma przepuścić.
Czy uwierzytelnianie wieloskładnikowe chroni przed kampanią z kluczami dostępu?
Częściowo. Klasyczne metody, takie jak kod SMS czy powiadomienie w aplikacji, można obejść przechwyceniem sesji lub przepływem kodu urządzenia. Ochronę daje dopiero uwierzytelnianie odporne na phishing, czyli klucze dostępu i FIDO2, wymuszone regułą dostępu warunkowego.
Czy sprawa dotyczy tylko dużych firm?
Nie. Kampania była masowa i automatyczna, a jej celem był proces płatności, który w małej firmie bywa krótszy i mniej sformalizowany niż w dużej.