Czy złośliwe oprogramowanie może podmienić numer konta w paczce przelewów? Tak — i warto sprawdzić plik przed wysłaniem do banku
Paczki przelewów znacząco ułatwiają pracę księgowości. Zamiast ręcznie tworzyć kilkanaście czy kilkadziesiąt przelewów, można wygenerować jeden plik w systemie księgowym lub finansowym, zaimportować go do bankowości elektronicznej, sprawdzić podsumowanie i zatwierdzić płatności.
To wygodne, szybkie i ogranicza liczbę pomyłek.
Jest jednak jeden element tego procesu, o którym mówi się zdecydowanie za rzadko: co się stanie, jeżeli pomiędzy wygenerowaniem paczki a jej wysłaniem do banku ktoś lub coś zmieni znajdujący się w niej numer rachunku odbiorcy?
Nie musi chodzić o pracownika, który przypadkowo edytuje plik. Potencjalnym zagrożeniem jest również złośliwe oprogramowanie działające na komputerze używanym przez księgowość.
Co istotne, nie jest to wyłącznie teoretyczny scenariusz.
Malware podmieniający numery kont bankowych naprawdę istniał
Jednym z najlepiej opisanych polskich przykładów jest zagrożenie nazwane przez CERT Polska VBKlip. Jego sposób działania był stosunkowo prosty, a właśnie dlatego bardzo niebezpieczny.
Złośliwe oprogramowanie obserwowało zawartość systemowego schowka. Jeżeli użytkownik kopiował numer rachunku bankowego — na przykład z faktury — malware zamieniało go na numer należący do przestępców. Użytkownik wklejał następnie numer do bankowości internetowej, często nie zauważając, że ciąg cyfr jest już inny.
CERT Polska informował w 2013 roku, że ustalono ponad 3000 zainfekowanych użytkowników, a zagrożenie było wyraźnie skierowane do polskich odbiorców. Rok później CERT opisywał kolejne warianty ataku oraz zgłoszenia osób, które w wyniku działania malware straciły pieniądze.
Pojawiła się nawet bardziej zaawansowana odmiana, nazwana Banatrix. Nie ograniczała się ona do prostego podmieniania danych w schowku — CERT Polska opisywał przypadki, w których użytkownicy próbowali ręcznie przepisać numer rachunku, a cyfry i tak zmieniały się podczas wprowadzania danych.
Mechanizm jest więc znany od lat: przestępca nie musi przekonywać księgowego, aby dobrowolnie wykonał przelew na inne konto. Może próbować zmodyfikować dane płatności na komputerze ofiary.
A co z paczkami przelewów?
W firmowej księgowości sytuacja jest jeszcze ciekawsza, ponieważ przelewy bardzo często nie są wprowadzane pojedynczo. System finansowo-księgowy generuje plik zawierający wiele płatności, a następnie taki plik jest importowany do banku.
W przypadku popularnego formatu Elixir-0 dane odbiorcy, kwota, numer rachunku i pozostałe informacje są zapisane w ustrukturyzowanym pliku. Podobnie działa eksport CSV.
To oznacza, że na pewnym etapie procesu istnieje konkretny plik zawierający instrukcje płatnicze.
Czy takie pliki mogą być celem ataku?
Istnieją udokumentowane przypadki manipulowania całymi paczkami płatności. Group-IB opisał działalność grupy Buhtrap, która uzyskiwała dostęp do systemów związanych z obsługą bankową i ingerowała w dokumenty płatnicze. W analizowanych incydentach przestępcy mogli skopiować wcześniejszą paczkę, zmienić wybrane pola albo dodać własne zlecenie do istniejącego zestawu płatności poprzez modyfikację pliku lub danych w bazie.
Nie był to polski Elixir-0 i nie należy przedstawiać tych incydentów jako ataku dokładnie na taki sam proces, jaki stosują polskie firmy. Pokazują jednak bardzo ważną rzecz: manipulacja plikiem zawierającym wiele zleceń płatniczych jest realnym wektorem ataku, a nie wyłącznie akademickim scenariuszem bezpieczeństwa.
Problem: poprawny numer rachunku wcale nie musi być właściwym numerem rachunku
Można powiedzieć: przecież bank sprawdzi, czy numer konta jest poprawny.
I rzeczywiście — polski numer rachunku zawiera sumę kontrolną. Błędnie przepisana cyfra może więc spowodować wykrycie nieprawidłowego NRB.
Ale w przypadku celowej podmiany przez złośliwe oprogramowanie to za mało.
Przestępca nie musi zastępować prawidłowego numeru przypadkowym ciągiem cyfr. Może podstawić inny, w pełni prawidłowy rachunek bankowy. Taki numer przejdzie zwykłą kontrolę poprawności IBAN/NRB.
Pytanie, które trzeba więc zadać, brzmi nie:
„Czy ten numer rachunku jest technicznie poprawny?”
ale:
„Czy ten numer rachunku rzeczywiście należy do kontrahenta, któremu zamierzamy zapłacić?”
I właśnie tutaj przydatna staje się Biała Lista podatników VAT.
Wykaz prowadzony przez Szefa KAS zawiera m.in. nazwy podmiotów, NIP-y oraz zgłoszone rachunki rozliczeniowe przedsiębiorców. Można w nim wyszukiwać podmioty również według numeru rachunku.
Weryfikator Paczek Przelewów Ewidencji Faktur: dodatkowa kontrola przed bankiem
W Ewidencji Faktur przygotowaliśmy bezpłatny Weryfikator Paczek Przelewów, którego zadaniem jest wykonanie dodatkowej kontroli pliku, zanim zostanie on zaimportowany do bankowości.
Schemat działania jest prosty.
Wgrywasz gotową paczkę przelewów, a narzędzie odczytuje znajdujące się w niej dane odbiorców i numery rachunków. Następnie weryfikuje rachunki przy wykorzystaniu oficjalnych danych Białej Listy VAT Ministerstwa Finansów i zestawia właściciela danego rachunku z nazwą kontrahenta zapisaną w paczce.
Dzięki temu nie patrzymy wyłącznie na to, czy rachunek składa się z odpowiedniej liczby cyfr.
Sprawdzamy również do kogo według oficjalnego wykazu należy konto.
To robi zasadniczą różnicę.
Wyobraźmy sobie prostą sytuację.
W paczce znajduje się przelew:
ABC Transport Sp. z o.o. → 12 3456 7890…
Jeżeli rachunek rzeczywiście jest związany z ABC Transport, wynik powinien wskazać zgodność.
Jeżeli jednak numer został podmieniony i Biała Lista wskazuje jako właściciela zupełnie inny podmiot, Weryfikator pokaże rozbieżność. To sygnał, aby nie zatwierdzać automatycznie przelewu, tylko wrócić do dokumentów źródłowych i potwierdzić numer rachunku z kontrahentem.
Nie musisz porównywać nazw i numerów ręcznie
Przy jednym przelewie można jeszcze otworzyć Białą Listę i ręcznie sprawdzić rachunek.
Przy paczce zawierającej 10, 20 czy 30 płatności zaczyna być to jednak uciążliwe. I właśnie wtedy kontrola często sprowadza się do spojrzenia na łączną kwotę paczki.
Weryfikator automatyzuje ten proces.
Obecna wersja WWW obsługuje pliki Elixir-0 oraz CSV, do 30 przelewów w jednej paczce. Narzędzie odczytuje nazwę odbiorcy i numer rachunku, sprawdza poprawność NRB, odpytuje API Ministerstwa Finansów, a następnie porównuje nazwę odbiorcy z właścicielem rachunku znalezionym w wykazie. Jeżeli w danych znajduje się NIP, możliwe jest również bezpośrednie sprawdzenie pary NIP + rachunek.
W efekcie powstaje czytelne zestawienie, w którym łatwo wychwycić pozycję wymagającą uwagi.
Możliwe statusy obejmują m.in. ZGODNY, DO SPRAWDZENIA, NIEZGODNY, BŁĘDNY NRB oraz BRAK W WYKAZIE. Przy wyniku „NIEZGODNY” warto zatrzymać płatność i niezależnym kanałem potwierdzić dane kontrahenta.
Jedna kontrola tuż przed wysłaniem pieniędzy
To właśnie moment wykonania sprawdzenia jest największą zaletą takiego rozwiązania.
Firma może mieć poprawne dane kontrahenta w systemie księgowym. Faktura może zawierać właściwy numer rachunku. Pracownik może prawidłowo wygenerować paczkę.
Ale jeżeli chcemy zabezpieczyć się również przed scenariuszem, w którym dane zostaną zmienione później, warto kontrolować gotowy plik możliwie blisko momentu jego importu do banku.
Wygeneruj paczkę. Zweryfikuj ją. Dopiero później zaimportuj do bankowości i zatwierdź.
To prosta dodatkowa warstwa kontroli i nie wymaga zmiany systemu księgowego.
Wersja internetowa Weryfikatora Paczek Przelewów jest bezpłatna i nie wymaga logowania. Według informacji na stronie Ewidencji Faktur przesłany plik nie jest zapisywany — po sparsowaniu jest usuwany, a dane odbiorców i kwoty nie są przechowywane.
Sprawdź bezpłatny Weryfikator Paczek Przelewów
Wersja desktopowa dla firm, które nie chcą wysyłać paczek przez internet
Dla organizacji, w których polityka bezpieczeństwa nie pozwala na przekazywanie plików z płatnościami do zewnętrznego serwisu, przygotowywana jest również wersja desktopowa dla Windows.
W tym wariancie analiza paczki ma odbywać się lokalnie na komputerze użytkownika. Plik nie będzie opuszczał sieci wewnętrznej, a sam mechanizm weryfikacji ma działać według tego samego algorytmu co wersja WWW.
To szczególnie interesująca opcja dla działów księgowych większych firm, biur rachunkowych i organizacji stosujących bardziej restrykcyjne procedury dotyczące danych finansowych.
Biała Lista nie zastępuje bezpieczeństwa — ale może pomóc wykryć bardzo kosztowny problem
Weryfikator nie powinien oczywiście zastępować antywirusa, aktualizacji systemów, kontroli dostępu, zasady dwóch par oczu czy dokładnego sprawdzania danych podczas autoryzacji w banku.
Stanowi natomiast dodatkowy punkt kontrolny.
I właśnie dodatkowe punkty kontrolne są potrzebne w procesach, w których jeden niezauważony błąd może oznaczać wysłanie dużej kwoty na niewłaściwy rachunek.
Trzeba też pamiętać, że brak rachunku na Białej Liście nie oznacza automatycznie oszustwa. Wykaz nie obejmuje wszystkich możliwych odbiorców i rodzajów rachunków. Dlatego wynik weryfikacji powinien być traktowany jako pomoc w ocenie paczki, a w przypadku niezgodności — jako sygnał do dodatkowego sprawdzenia.
Największą wartością jest możliwość zauważenia anomalii:
„W paczce wpisana jest firma X, ale rachunek według oficjalnego wykazu prowadzi do podmiotu Y”.
Taki komunikat zdecydowanie zasługuje na sprawdzenie przed kliknięciem „zatwierdź”.
Kilka sekund kontroli przed każdym importem paczki
Cyberprzestępcy od lat próbują atakować płatności w miejscu, w którym pieniądze przechodzą z firmy do odbiorcy. Historia VBKlip pokazuje, że automatyczna podmiana numerów rachunków była wykorzystywana również przeciwko polskim użytkownikom, a inne opisane incydenty dowodzą, że przedmiotem manipulacji mogą być także pliki i zestawy zawierające wiele zleceń płatniczych.
Nie oznacza to, że każda paczka przelewów jest zagrożona. Oznacza natomiast, że warto weryfikować to, co rzeczywiście zamierzamy wysłać do banku, a nie wyłącznie dane, z których paczka została wcześniej wygenerowana.
Dlatego powstał Weryfikator Paczek Przelewów Ewidencji Faktur.
Nie wymaga zmiany banku ani systemu księgowego. W wersji WWW nie wymaga nawet zakładania konta. Wystarczy wgrać plik i sprawdzić, czy rachunki znajdujące się w paczce pasują do odbiorców, którym rzeczywiście chcemy zapłacić.
Kilka sekund dodatkowej kontroli przed wysłaniem paczki może być warte znacznie więcej niż czas poświęcony później na próbę odzyskania przelewu wysłanego na niewłaściwe konto.
Zweryfikuj paczkę przelewów bezpłatnie w Ewidencji Faktur
Fakty kluczowe
- CERT Polska opisywał malware VBKlip, które podmieniało kopiowane numery kont bankowych na rachunki kontrolowane przez przestępców.
- W 2013 roku CERT Polska zidentyfikował ponad 3000 zainfekowanych użytkowników zagrożeniem VBKlip, ukierunkowanym na polskich odbiorców.
- Zaawansowana odmiana Banatrix potrafiła zmieniać cyfry numeru rachunku nawet podczas ręcznego wprowadzania danych przez użytkownika.
- Group-IB opisał grupę Buhtrap manipulującą całymi paczkami płatności poprzez modyfikację plików lub danych w bazach.
- Weryfikator Paczek Przelewów korzysta z danych Białej Listy VAT Ministerstwa Finansów do sprawdzania właścicieli rachunków.
- Wersja WWW Weryfikatora obsługuje pliki Elixir-0 oraz CSV, do 30 przelewów w jednej paczce.
- Weryfikator przypisuje statusy m.in. ZGODNY, DO SPRAWDZENIA, NIEZGODNY, BŁĘDNY NRB oraz BRAK W WYKAZIE.
FAQ
Co to jest Weryfikator Paczek Przelewów Ewidencji Faktur?
Weryfikator Paczek Przelewów to bezpłatne narzędzie Ewidencji Faktur, które analizuje plik z przelewami przed importem do bankowości. Odczytuje odbiorców i numery rachunków, sprawdza je w Białej Liście VAT i wskazuje ewentualne niezgodności.
Jakie pliki można sprawdzić w Weryfikatorze Paczek Przelewów?
Obecna wersja WWW Weryfikatora obsługuje pliki w formacie Elixir-0 oraz CSV. W jednej paczce można zweryfikować do 30 przelewów, co ułatwia kontrolę większych zestawów płatności.
W jaki sposób Weryfikator wykorzystuje Białą Listę podatników VAT?
Narzędzie odpyta API Ministerstwa Finansów, korzystając z danych Białej Listy VAT. Dla każdego rachunku ustala jego właściciela według wykazu i porównuje go z nazwą odbiorcy, a jeśli dostępny jest NIP, również z parą NIP + rachunek.
Czy korzystanie z Weryfikatora Paczek Przelewów wymaga zakładania konta?
Wersja internetowa Weryfikatora jest bezpłatna i nie wymaga logowania. Plik po sparsowaniu jest usuwany, a dane odbiorców i kwoty nie są przechowywane, zgodnie z informacjami na stronie Ewidencji Faktur.
Jakie statusy wyników może zwrócić Weryfikator Paczek Przelewów?
Narzędzie przypisuje m.in. statusy ZGODNY, DO SPRAWDZENIA, NIEZGODNY, BŁĘDNY NRB oraz BRAK W WYKAZIE. Szczególną uwagę warto zwrócić na wynik „NIEZGODNY”, który powinien wstrzymać automatyczne zatwierdzanie przelewu.
Czym różni się wersja desktopowa Weryfikatora od wersji WWW?
Wersja desktopowa dla Windows jest przygotowywana z myślą o organizacjach, które nie chcą wysyłać paczek przez internet. Analiza paczki odbywa się lokalnie na komputerze użytkownika, plik nie opuszcza sieci wewnętrznej, a algorytm weryfikacji ma działać tak jak w wersji WWW.
