8 przykładów oszustw typu „CEO fraud”: prawdziwe przypadki, e-maile, które za nimi stoją, i jak im zapobiegać

W skrócie: oszustwo typu „CEO fraud”, znane też jako „business email compromise” (BEC), polega na tym, że haker podszywa się pod kogoś z kierownictwa, żeby skłonić pracownika do przelania pieniędzy lub przekazania danych. To zdecydowanie najdroższa forma cyberprzestępczości: tylko w 2025 roku FBI odnotowało zgłoszone straty związane z BEC na poziomie około 2,8 miliarda dolarów. Oto osiem prawdziwych przykładów – straty wahają się od 37 000 euro do 70 milionów euro – a wszystkie mają wspólny schemat: autorytet, pilność, tajemnica i pracownik, który nie odebrał telefonu. Przy każdym przykładzie pokazano wiadomość, od której wszystko się zaczęło; w ostatniej części znajdziesz pięć zasad, które pozwoliłyby zapobiec każdemu z tych przypadków.

Jak wygląda oszustwo popełnione przez prezesa

Klasyczna wersja to e-mail. „Jesteś przy biurku? Musisz dzisiaj zająć się poufną płatnością”. Może to być też wiadomość na WhatsAppie, telefon z podrobionym głosem albo wideorozmowa z wykorzystaniem technologii deepfake. Ofiarą jest zazwyczaj ktoś z działu finansów, asystent kierownictwa albo pracownik działu kadr lub zaopatrzenia, który ma dostęp do środków finansowych lub danych. Jeśli chodzi o definicję i aspekty prawne, sprawdź , czym jest oszustwo typu „CEO fraud”; a jeśli chodzi o sam e-mail, zajrzyj do przykładu nr 5 w naszych przykładach wiadomości phishingowych.

8 przykładów oszustw popełnionych przez prezesów

1. Pathé Netherlands (2018): 19 mln euro na „poufną transakcję przejęcia”

Co się wydarzyło: holenderski oddział sieci kinowej Pathé dostał e-maile, które wyglądały, jakby pochodziły z francuskiej centrali, a dotyczyły poufnej transakcji przejęcia w Dubaju. W ciągu kilku tygodni dyrektor zarządzający i dyrektor finansowy zatwierdzili przelewy na łączną kwotę około 19,2 mln euro. Obaj zostali zwolnieni; sąd uznał później zwolnienie dyrektora finansowego za zgodne z prawem.

Wiadomość: „To ściśle poufne. Nie rozmawiaj o tym z nikim w firmie. Pierwszą ratę trzeba przelać jeszcze dzisiaj”.

Dlaczego to zadziałało: klauzula poufności wyeliminowała wszystkich współpracowników, którzy mogliby zadać jakieś pytanie, a ta umowa brzmiała jak coś, co zrobiłaby centrala.

2. FACC (2016): 52 mln euro i zwolnienie prezesa

Co się stało: Austriacki dostawca z branży lotniczej FACC, który produkuje części dla Airbusa i Boeinga, przelał około 52,8 mln euro po tym, jak otrzymał e-maile podszywające się pod prezesa, dotyczące projektu przejęcia. Firma odzyskała tylko niewielką część środków, prezes i dyrektor finansowy zostali zwolnieni, a sprawa stała się europejskim precedensem w kwestii konsekwencji na szczeblu zarządu.

Treść wiadomości: łańcuszek e-maili wysłanych z adresu wyglądającego jak adres prezesa, w którym polecono działowi finansowemu zrealizować płatności na rzecz tajnego projektu.

Dlaczego to zadziałało: seria wiarygodnych e-maili wysyłanych z upływem czasu, a nie pojedyncza prośba i brak zasady oddzwaniania.

3. Crelan (2016): 70 mln euro w belgijskim banku

Co się stało: belgijski bank Crelan stracił około 70 milionów euro w wyniku oszustwa popełnionego przez prezesa, które wykryto podczas audytu wewnętrznego. Atak był wymierzony w pracowników uprawnionych do wykonywania przelewów.

Treść wiadomości: instrukcje przypisywane kierownictwu wyższego szczebla dotyczące przeniesienia środków, sformułowane w typowy sposób z zachowaniem poufności.

Dlaczego to zadziałało: nawet bank, który miał systemy kontroli zaprojektowane pod kątem oszustw zewnętrznych, nie miał etapu weryfikacji zleceń, które wyglądały, jakby pochodziły z wewnątrz.

4. Ubiquiti Networks (2015): 46,7 mln dolarów za pośrednictwem spółki zależnej

Co się stało: amerykański producent sprzętu sieciowego ujawnił, że pracownicy spółki zależnej w Hongkongu zostali nakłonieni do przelania 46,7 mln dolarów na zagraniczne konta po otrzymaniu e-maili, w których nadawcy podawali się za członków kierownictwa i prawników. Udało się odzyskać około 8 mln dolarów.

Treść wiadomości: prośby od „zewnętrznego doradcy prawnego” i „zespołu kierowniczego” o pilne przelewy związane z transakcją.

Dlaczego to zadziałało: atakujący wybrali na cel spółkę zależną, w której pracownicy nie znali osobiście członków kierownictwa.

5. Toyota Boshoku (2019): 37 mln dolarów w ramach jednej transakcji

Co się stało: europejska filia dostawcy siedzeń i elementów wyposażenia wnętrza dla Toyoty przelała około 4 miliardów jenów (37 milionów dolarów) po tym, jak osoba trzecia podająca się za partnera biznesowego zmieniła dane do przelewu.

Treść wiadomości: przekonująca prośba o wpłatę na nowe konto bankowe w ramach istniejącej współpracy z dostawcą.

Dlaczego to zadziałało: wariant, w którym „szefa” zastępuje zaufany dostawca – ta sama technika, inny nadawca.

6. Arup (2024): wideorozmowa z wykorzystaniem deepfake’u warta 25 milionów dolarów

Co się stało: pracownik działu finansowego w hongkońskim oddziale firmy inżynieryjnej Arup dołączył do wideokonferencji z „dyrektorem finansowym” i kilkoma „współpracownikami” – wszyscy byli postaciami wygenerowanymi przez sztuczną inteligencję – i wykonał 15 przelewów o łącznej wartości 200 milionów HK$ (około 25,6 miliona $).

Treść wiadomości: e-mail o poufnej transakcji, a potem zaproszenie na rozmowę wideo, które rozwiało wątpliwości pracownika.

Dlaczego to zadziałało: twarz i głos potraktowano jako dowód. Zobacz szkolenie dotyczące deepfake’ów, żeby poznać protokół weryfikacji, który temu zapobiega.

7. Ferrari i WPP (2024): próby, które się nie powiodły

Co się wydarzyło: w Ferrari jeden z menedżerów dostał wiadomości na WhatsAppie i odebrał telefon z klonowanym głosem prezesa Benedetto Vigny w sprawie poufnej transakcji przejęcia; zadał pytanie, na które tylko prawdziwy prezes mógłby odpowiedzieć, a rozmówca się rozłączył. W grupie reklamowej WPP hakerzy zorganizowali spotkanie na Teamsie, używając klonowanego głosu i publicznie dostępnych zdjęć prezesa Marka Reada; ofiara nabrała podejrzeń i zgłosiła sprawę.

Dlaczego im się nie udało: jeden pracownik to zweryfikował, a drugi zgłosił. To właśnie cała różnica między przykładem 6 a przykładem 7.

8. Przypadek małej i średniej firmy: 37 000 euro na karty podarunkowe

Co się wydarzyło: wersja, z którą faktycznie spotyka się większość firm. Kierowniczka biura w firmie zatrudniającej 60 osób dostała wiadomość na WhatsApp od „dyrektora generalnego”: „Jestem na spotkaniu, potrzebuję kart podarunkowych dla klienta, wyślij kody i nie mów nikomu”. W ciągu dwóch dni kupiła kart podarunkowych za 37 000 euro, zanim kolega zapytał ją, o co chodzi. Ten złożony przypadek pochodzi z raportów policji i ubezpieczycieli; liczby się różnią, ale scenariusz zawsze jest ten sam.

Wiadomość: „Masz chwilę? Potrzebuję szybkiej przysługi, a ja utknęłem na spotkaniach na całe popołudnie”.

Dlaczego to zadziałało: mała, wiarygodna prośba od kogoś, komu chcesz pomóc, z uzasadnieniem, dlaczego nie powinieneś oddzwaniać.

Przykłady w skrócie

W każdym przypadku ten sam schemat

1. Autorytet: prośba pochodzi od kogoś, kogo nie kwestionujesz.
2. Pilność: dzisiaj, przed upływem terminu, przed sfinalizowaniem transakcji.
3. Tajemnica: to sprawa poufna, nie rozgłaszaj tego, niech to zostanie między nami.
4. Powody, żeby nie dzwonić: jestem na spotkaniu, w podróży, za granicą albo mam słaby sygnał.
5. Nowe miejsce, gdzie można przeznaczyć pieniądze: nowe konto, nowy kraj, karty podarunkowe.

Dwa z tych pięciu elementów w jednej wiadomości to już sygnał ostrzegawczy. Trzy to oszustwo prezesa, dopóki nie udowodni się, że jest inaczej.

Pięć zasad, które powstrzymałyby wszystkich ośmiu

1. Każde zlecenie płatnicze jest weryfikowane telefonicznie pod numerem, który już znajduje się w książce telefonicznej – nigdy pod numerem podanym w wiadomości. Nie ma wyjątków dla kadry kierowniczej; kierownictwo publicznie popiera tę zasadę.
2. Każdy przelew powyżej określonego progu i każda zmiana danych bankowych są sprawdzane przez dwie osoby. Jedna osoba nie może tego zatwierdzić; druga osoba zadaje pytanie, którego pierwsza nie zadała.
3. Słowo-klucz do przekazywania pilnych spraw między kierownictwem, działem finansowym i asystentami – nigdy nie pisz tego w mailach ani na czacie.
4. Tajemnica to znak stopu. „Nie mów nikomu” oznacza, że musisz natychmiast poinformować swojego przełożonego i dział finansowy.
5. Przeszkol i sprawdź ludzi, którzy mają dostęp do środków finansowych. Pracownicy działów finansów, asystenci, dział kadr i dział zakupów co cztery do sześciu tygodni przechodzą ukierunkowaną symulację ataku phishingowego opartą właśnie na tym scenariuszu, a także trzy minuty szkolenia z zakresu świadomości bezpieczeństwa raz w tygodniu. Ferrari i WPP uratowali przeszkoleni ludzie, a nie technologia.

Co zrobić, jeśli to już się stało

• W ciągu godziny: zadzwoń do działu ds. oszustw w swoim banku, żeby spróbować cofnąć transakcję; szansa na odzyskanie pieniędzy gwałtownie spada po 24 godzinach.
• Jeszcze tego samego dnia: zgłoś sprawę na policję, a jeśli w grę wchodzą dane osobowe, sprawdź, czy musisz zgłosić to zgodnie z RODO.
• W tym samym tygodniu: zachowaj e-maile i nagłówki, poinformuj ubezpieczyciela i powiadom całą firmę, nie obwiniając przy tym pracownika. Kolejna próba zazwyczaj już czeka w czyjejś skrzynce odbiorczej.

Często zadawane pytania

Jaki jest przykład oszustwa popełnionego przez prezesa?

E-mail lub wiadomość, która wygląda, jakby pochodziła od prezesa, z prośbą do pracownika o dokonanie pilnej, poufnej płatności albo zakup kart podarunkowych. Sprawa Pathé (19 mln euro) i wersja z kartami podarunkowymi (kilka tysięcy euro) to dwa skrajne przypadki tego samego oszustwa.

Jak często zdarzają się oszustwa popełniane przez prezesów?

W 2025 roku, już piąty rok z rzędu, oszustwa związane z przejęciem firmowych kont e-mailowych były najkosztowniejszą kategorią w raporcie FBI dotyczącym przestępczości internetowej – tylko w Stanach Zjednoczonych zgłoszono straty w wysokości około 2,8 miliarda dolarów. Większość przypadków nigdy nie trafia do opinii publicznej.

Czy oszustwo typu „CEO fraud” może mieć miejsce przez telefon lub wideokonferencję?

Tak. Sklonowane głosy i rozmowy wideo z wykorzystaniem technologii deepfake (Arup, Ferrari, WPP) to wersje z 2024 roku. Zasada weryfikacji jest taka sama: oddzwonisz na znany numer.

Kto ponosi odpowiedzialność, gdy oszustwo popełnione przez prezesa kończy się sukcesem?

Stratę pokrywa firma, a dyrektorzy mogą ponieść konsekwencje: w FACC i Pathé zwolniono kadrę kierowniczą. Zgodnie z NIS2 kierownictwo ponosi wyraźną odpowiedzialność za środki związane z cyberbezpieczeństwem, w tym za szkolenia.