Księgowi są postrzegani jako zaufani doradcy, którzy mają dostęp do wrażliwych danych finansowych, znają sytuację klientów, często obsługują przelewy i pomagają w kontaktach z urzędami. Tak duża dawka wiedzy i możliwości, czyni ich wręcz wymarzonym celem dla cyberprzestępców i klasycznych oszustów. Atak na jedno biuro rachunkowe może w praktyce oznaczać dostęp do danych dziesiątek, a nawet setek firm i osób prywatnych.
Praca księgowego wiąże się też z ogromną presją czasu, szczególnie w sezonie rozliczeń podatkowych. Gdy przychodzą setki wiadomości dziennie, łatwiej kliknąć podejrzany załącznik lub przelać środki na szybko, bez dodatkowej weryfikacji.
Właśnie na ten pośpiech i chwilową nieuważność liczą przestępcy. Poniżej szczegółowo omawiamy najczęstsze rodzaje oszustw wymierzonych w księgowych oraz praktyczne wskazówki, jak im zapobiegać – zarówno w małym biurze, jak i w większym dziale finansowym.
Dlaczego księgowi są tak atrakcyjnym celem?
Księgowi, doradcy podatkowi i biura rachunkowe łączą kilka cech, które z perspektywy oszustów są wyjątkowo kuszące:
- Mają dostęp do pełnych danych finansowych osób i firm: numerów identyfikacyjnych, kont bankowych, historii rozliczeń i majątku.
- Pracują w okresach bardzo dużego obciążenia, kiedy łatwiej o nieuwagę, pośpiech i automatyczne klikanie w wiadomości.
- W wielu mniejszych biurach rachunkowych brakuje rozbudowanych zabezpieczeń informatycznych i dedykowanych specjalistów od bezpieczeństwa.
- Jedna udana próba ataku na biuro rachunkowe może otworzyć drogę do oszustw na dziesiątkach klientów naraz.
Fałszywe wiadomości z urzędu skarbowego lub od klienta
To najprostszy, ale wciąż bardzo skuteczny sposób ataku. Księgowy otrzymuje e-mail lub wiadomość tekstową, która wygląda jak standardowa korespondencja z urzędu skarbowego, banku albo od stałego klienta.
W treści pojawia się prośba o pilne zalogowanie się do systemu, pobranie dokumentu lub potwierdzenie danych. Wszystko na pierwszy rzut oka wygląda w porządku: logo, podpis, a nawet poprawne brzmienie przepisów.
Oszust liczy na to, że w natłoku obowiązków księgowy kliknie link lub załącznik, nie sprawdzając dokładnie nadawcy ani adresu strony. Po kliknięciu trafi jednak na stronę udającą prawdziwy portal, a po wpisaniu loginu i hasła przez księgowego przestępcy przejmują dostęp. W innych wariantach otwarcie załącznika instaluje na komputerze złośliwe oprogramowanie, które później pozwala wykraść dane lub sparaliżować system.
Coraz częściej takie wiadomości są przygotowane bardzo starannie, z poprawną polszczyzną i odniesieniami do aktualnych przepisów. Nie można już polegać tylko na wrażeniu, że coś wygląda amatorsko.
Potrzebne są jasne zasady:
- Nie należy logować się przez link wysłany w wiadomości e-mail lub przez komunikator.
- Należy samodzielnie wpisywać adres strony urzędu lub banku.
- Nietypowe prośby zawsze trzeba weryfikować innym kanałem komunikacji.
Podszywanie się pod szefa lub klienta przy przelewach
Jednym z popularniejszych obecnie oszustw są próby wyłudzenia przelewu, oparte na fałszywej korespondencji służbowej. Księgowy otrzymuje wiadomość wyglądającą jak e-mail od właściciela firmy, dyrektora finansowego albo ważnego klienta.
Nadawca prosi o szybkie przelanie określonej kwoty na nowy numer konta albo uregulowanie pilnej faktury, często z dopiskiem „sprawa poufna”. Oszust dba o szczegóły: adres różni się minimalnie od prawdziwego (np. jedna litera w nazwie domeny), w stopce widnieją logo i prawidłowe dane firmy, a styl wypowiedzi przypomina prawdziwe wiadomości.
Na dodatek takie maile często przychodzą późnym popołudniem lub w piątek, kiedy wszyscy chcą jak najszybciej zamknąć bieżące sprawy. Gdy przelew zostanie wysłany, pieniądze trafiają na rachunek kontrolowany przez przestępców i są błyskawicznie wyprowadzane dalej.
Coraz więcej firm wprowadza bezpieczną zasadę, według której zmiana numeru konta lub większy, nietypowy przelew zawsze musi być potwierdzony telefonicznie z osobą, która rzekomo zleca operację, ale z użyciem znanego, zapisanego wcześniej numeru, a nie tego podanego w wiadomości mailowej.
Nowy klient z niebezpiecznymi załącznikami
Kolejny popularny scenariusz dotyczy pozyskiwania nowych klientów. Biuro rachunkowe dostaje wiadomość od osoby, która rzekomo szuka księgowego. W pierwszym mailu pyta o przyjmowanie zleceń, zakres usług i wycenę. Wszystko wygląda naturalnie i nie wzbudza podejrzeń, bo treść jest ogólna i pozbawiona linków.
Po uzyskaniu odpowiedzi od księgowego rzekomy klient przesyła pliki z poprzednimi rozliczeniami, dokumentami rejestrowymi i zestawieniami prosząc o zapoznanie się z nimi i ocenę zakresu pracy.
Problem w tym, że załączone pliki są zainfekowane, a po ich otwarciu na komputerze może zainstalować się program dający przestępcy dostęp do systemu. Tego typu oprogramowanie potrafi podglądać ekran, przechwytywać hasła, a nawet przejmować kontrolę nad myszką i klawiaturą.
W praktyce oznacza to, że ktoś z zewnątrz może w ukryciu obserwować pracę księgowego, logować się do systemów, podmieniać numery kont na fakturach czy przygotowywać grunt pod późniejszy atak szyfrujący dane.
Każda nowa współpraca powinna mieć jasno określone zasady przekazywania dokumentów: bez wykonywalnych plików, bez otwierania nieznanych formatów i najlepiej z wykorzystaniem bezpiecznych platform do wymiany danych.
Fałszywe biura rachunkowe i wyłudzanie danych
Zdarza się też, że oszuści zakładają strony internetowe udające prawdziwe biura rachunkowe albo podszywają się pod innych księgowych w sieci. Oferują bardzo niskie ceny, błyskawiczne rozliczenia lub specjalne promocje dla nowych klientów. Celem jest nie tyle świadczenie usług, ile zebranie jak największej ilości danych.
Klient, który trafia na taką stronę, proszony jest o wypełnienie formularza wstępnego i dołączenie skanów dokumentów – dowodu osobistego, decyzji z urzędu, umów, czasem także danych do logowania w portalach podatkowych.
Po przesłaniu danych kontakt nagle się urywa, a strona po jakimś czasie znika. Informacje zebrane w ten sposób trafiają na czarny rynek i mogą być wykorzystywane do wyłudzania zwrotów podatkowych, kredytów lub do dalszych oszustw.
Księgowi powinni zwracać uwagę na to zjawisko z dwóch stron:
- Chronić wizerunek własnej firmy i reagować, jeśli ktoś podszywa się pod ich markę w internecie.
- Edukować klientów, aby korzystali wyłącznie z oficjalnych kanałów kontaktu, a wszelkie podejrzane ogłoszenia weryfikowali telefonicznie lub osobiście.
Szyfrowanie danych i szantaż
Ataki polegające na szyfrowaniu danych to temat, o którym mówi się od lat, ale ich skala i brutalność wciąż rośnie. Biuro rachunkowe nagle traci dostęp do programów księgowych, plików klientów, archiwów i kopii zapasowych. Na ekranie pojawia się komunikat z żądaniem okupu za przywrócenie dostępu. Praca staje w miejscu: nie można zaksięgować dokumentów, wysłać deklaracji ani odpowiedzieć na zapytania urzędów.
Coraz częściej przestępcy nie tylko blokują pliki, ale wcześniej kopiują je sobie na własne serwery. Następnie grożą, że jeśli firma nie zapłaci, dane klientów trafią do sieci. Dla biura rachunkowego oznacza to nie tylko przestój w pracy, ale też poważny kryzys wizerunkowy i potencjalną odpowiedzialność prawną z tytułu naruszenia ochrony danych. Warto pamiętać, że nawet zapłacenie okupu nie gwarantuje odzyskania wszystkich plików ani usunięcia kopii u przestępców.
Jak księgowy może zmniejszyć ryzyko ataku?
Oszustw nie da się całkowicie wyeliminować, ale można znacząco utrudnić przestępcom działanie. Najważniejsze jest połączenie rozsądnych zasad, dobrej organizacji i odpowiednich narzędzi.
Warto potraktować bezpieczeństwo cyfrowe tak samo poważnie, jak pracę w zgodzie z przepisami podatkowymi – jako element codziennej pracy, a nie dodatek.
Najważniejsze działania, które warto wdrożyć w biurze rachunkowym:
- szkolić zespół z rozpoznawania podejrzanych wiadomości i załączników, pokazywać realne przykłady oszustw,
- wprowadzić zasadę, że każda zmiana numeru konta do płatności musi być potwierdzona drugim kanałem (np. telefonem na znany numer),
- ograniczyć liczbę osób uprawnionych do wykonywania przelewów i wprowadzić zasadę podwójnego zatwierdzania operacji powyżej określonej kwoty,
- regularnie aktualizować oprogramowanie i systemy, korzystać z silnych, unikalnych haseł oraz uwierzytelniania wieloetapowego, wybierać dodatkowe szyfrowanie przesyłanych danych zapewniane przez #1 VPN na rynku.
- mieć przygotowany prosty plan działania na wypadek incydentu: kogo powiadomić, jak odciąć zainfekowane stanowisko, gdzie szukać wsparcia.
Księgowi od lat są nauczeni ostrożności przy liczbach, dokumentach i terminach. Aktualnie tę ostrożność należy rozciągnąć także na pocztę elektroniczną, strony internetowe, komunikatory i wszystkie cyfrowe narzędzia pracy.
Oszuści atakują tam, gdzie przepływa dużo pieniędzy i danych, a odpowiedzialność jest wysoka. Biura rachunkowe spełniają te warunki idealnie.
Im wcześniej potraktujesz bezpieczeństwo cyfrowe jako integralną część swojej pracy (tak samo ważną, jak poprawne zaksięgowanie faktury), tym mniejsza szansa, że staniesz się kolejną ofiarą sprytnej, ale często dość prostej, sztuczki.
Artykuł sponsorowany
