Dlaczego KSeF zmienia profil wyłudzeń i nadużyć
KSeF wymusza uporządkowanie danych i wystawiania faktur, ale nie gwarantuje, że firma zawsze zapłaci „właściwej” osobie i na „właściwe” konto. W praktyce wyłudzenia nadal bazują na ludzkich odruchach i presji czasu. KSeF dokłada do tego nowe elementy:
- wartość uprawnień rośnie: kto ma dostęp do procesu fakturowania i korekt, ten ma wpływ na to, co trafia do obiegu
- więcej integracji: ERP, e-fakturowanie, systemy obiegu dokumentów, narzędzia do akceptacji, bankowość elektroniczna
- większa presja ciągłości: przestój w fakturowaniu lub chaos w korektach może uderzyć w płynność, a presja płynności zwiększa skłonność do skrótów
- większy potencjał phishingu: komunikacja „ksefowa” jest dla pracowników nowa, więc łatwiej podszyć się pod komunikat, alert lub prośbę o „pilną weryfikację”
W efekcie rośnie ryzyko zdarzeń typu: fałszywa zmiana rachunku kontrahenta, przejęcie poczty i podszycie się pod dostawcę, skłonienie pracownika do wykonania przelewu lub zatwierdzenia płatności, manipulacja korektami, wyłudzenia w modelu „social engineering”.
Co obejmuje ubezpieczenie Crime, a czego nie obejmuje
Crime nie jest jedną „magiczną polisą”. To zwykle pakiet klauzul, które mogą działać różnie w zależności od ubezpieczyciela i warunków. Typowe komponenty (w uproszczeniu) obejmują:
- nadużycia pracownicze: przywłaszczenie, defraudacja, manipulacja płatnościami przez osoby wewnątrz firmy
- kradzież środków pieniężnych lub mienia: zależnie od konstrukcji, także w transporcie lub w miejscu przechowywania
- computer fraud / cyber fraud: kradzież środków poprzez nieuprawnione użycie systemu komputerowego
- funds transfer fraud: nieautoryzowany transfer środków w wyniku oszustwa
- social engineering: oszustwa oparte o podszywanie się i manipulację pracownikiem, gdy pracownik sam wykonuje przelew w dobrej wierze
Najważniejsze jest zrozumienie granicy: w wielu polisach Crime kluczowe jest to, czy zdarzenie było „nieautoryzowane”, czy pracownik działał „podstępnie nakłoniony” i czy spełniono wymagania proceduralne z OWU. W praktyce część polis lepiej radzi sobie z czystą kradzieżą (ktoś włamuje się i wykonuje przelew), a część wymaga osobnej klauzuli social engineering, jeśli pracownik sam zlecił przelew, bo dał się oszukać.
Crime zwykle nie zastępuje cyberubezpieczenia. Cyber częściej pokrywa koszty reakcji na incydent (informatyka śledcza, odzyskiwanie danych, komunikacja kryzysowa, odpowiedzialność za dane), a Crime częściej koncentruje się na bezpośredniej stracie finansowej w pieniądzu. Dobrze ustawione programy robią to komplementarnie.
Scenariusze oszustw: gdzie KSeF tworzy nowe wektory ataku
Podszycie pod kontrahenta i „zmiana rachunku”
To klasyka, która wciąż działa, ale w KSeF potrafi eskalować szybciej. Atakujący wchodzi w korespondencję, wysyła wiarygodny mail o „zmianie konta” albo „pilnej płatności”, czasem dokłada fałszywe potwierdzenie lub korektę. Problem nie polega na tym, czy faktura jest ustrukturyzowana, tylko czy firma ma twardą procedurę weryfikacji zmian danych płatniczych.
Phishing „na KSeF” i kradzież dostępu
W okresach wdrożeń pracownicy częściej klikają w linki typu „ksef – potwierdź dostęp”, „ksef – błąd autoryzacji”, „ksef – wymagane ponowne logowanie”. Wystarczy jedna ofiara, by atakujący przejął pocztę, zmienił reguły przekierowań i zaczął sterować komunikacją z dostawcami oraz działem finansów.
Przejęcie procesu akceptacji i „faktury na skróty”
Jeżeli firma ma niejasne role, słabą segregację uprawnień i presję terminów, ktoś może wyłudzić akceptację płatności lub „dopisać” się do procesu. Czasem robi to osoba z zewnątrz, czasem osoba z wewnątrz, a czasem to mieszanka: osoba wewnętrzna pomaga „przepchnąć” płatność, bo nie zadaje pytań, a zewnętrzny napastnik dostarcza narrację.
Nadużycia na korektach i rozliczeniach
Korekty bywają słabszym punktem procesu, bo są mniej rutynowe i częściej obsługiwane „ręcznie”. Jeśli firma nie ma jasnych zasad: kto zleca korektę, kto zatwierdza, kto weryfikuje przyczynę i czy korekta wpływa na płatność, tworzy się pole do manipulacji.
Oszustwa na przelewach: presja, autorytet, „pilne” polecenie
W modelu social engineering atakujący tworzy presję: „to pilne, inaczej wstrzymamy dostawy”, „to zaległość, trzeba dziś”, „zarząd prosi o natychmiastowy przelew”. Jeżeli firma ma kulturę „rób szybko, nie dyskutuj”, ryzyko rośnie. KSeF może być tylko tłem, ale wiarygodnym tłem.
Najczęstsze luki w OWU: na czym firmy „wykładają się” przy likwidacji szkody
Najwięcej rozczarowań wynika z niedopasowania polisy do realnego scenariusza oszustwa. Typowe punkty sporne to:
- brak klauzuli social engineering: ubezpieczyciel twierdzi, że przelew był „autoryzowany”, bo wykonał go pracownik
- zbyt wąska definicja „computer fraud”: zdarzenie było oparte o mail i manipulację, a nie o „włamanie do systemu”
- wymogi proceduralne: OWU wymagają określonej ścieżki weryfikacji zmian rachunku lub drugiego potwierdzenia, a firma tego nie zrobiła
- wyłączenia dotyczące braku kontroli wewnętrznej: ubezpieczyciel wskazuje rażące odstępstwo od minimalnych procedur
- zbyt niskie podlimity: nawet jeśli roszczenie jest uznane, wypłata jest ograniczona podlimitem dla danej klauzuli
- problem z momentem zgłoszenia: opóźnione zgłoszenie, brak współpracy, brak zabezpieczenia dowodów
Z perspektywy firmy najważniejsze jest to, żeby przed zakupem odpowiedzieć na proste pytanie: jaki scenariusz jest najbardziej prawdopodobny i gdzie firma ma najsłabsze procedury. To determinuje, czy kluczowa jest klauzula social engineering, funds transfer fraud, nadużycia pracownicze czy kombinacja.
W projektach KSeF często działa kilka podmiotów naraz, dlatego w praktyce warto też weryfikować OC zawodowe biura rachunkowego i integratora , żeby odpowiedzialność za błąd usługowy nie została bez pokrycia.
Jak ustawić Crime pod KSeF: checklisty dla CFO i finansów
Checklista ryzyk i procesów
- zmapować proces płatności: kto wprowadza, kto akceptuje, kto wysyła, kto może zmienić dane kontrahenta
- wprowadzić zasadę weryfikacji zmian rachunku: niezależny kanał potwierdzenia, najlepiej poza mailem
- ustawić limity i progi: powyżej określonej kwoty wymagane są dwie osoby lub dodatkowa weryfikacja
- uporządkować role wokół KSeF: uprawnienia, tokeny, zastępstwa, procedura odebrania dostępu
- przeprowadzić krótkie szkolenie antyfraudowe: rozpoznawanie presji, podszycia, nietypowych próśb
Checklista polisowa (co broker powinien dopiąć)
- sprawdzić, czy jest klauzula social engineering i jakie ma warunki
- sprawdzić, jak polisa definiuje „autoryzację” i „nieautoryzowany transfer”
- zweryfikować podlimity na poszczególne klauzule i dopasować je do ekspozycji
- ustalić, czy polisa obejmuje straty wynikające z działań osób trzecich oraz osób wewnątrz organizacji
- potwierdzić, jakie dowody będą potrzebne: logi, korespondencja, potwierdzenia, procedury
Jakie informacje przyspieszają ofertowanie
- skala płatności: liczba przelewów, typowe kwoty, największe pojedyncze płatności
- model akceptacji: jednoosobowy czy wieloosobowy, jakie są progi i wyjątki
- narzędzia: ERP, obieg dokumentów, bankowość, integracje, sposób zarządzania uprawnieniami
- historia zdarzeń: czy były próby wyłudzeń, incydenty, pomyłki, reklamacje
W praktyce firmy z Katowic i regionu Śląska często wdrażają KSeF równolegle z porządkowaniem obiegu dokumentów. To dobry moment, żeby jednocześnie domknąć procedury antyfraudowe i ułożyć Crime pod realny model płatności, a nie „pod opis w OWU”.
Jeżeli po incydencie pojawiają się czynności organów lub ryzyko zarzutów, ochronę kosztów obrony zapewnia ubezpieczenie karno-skarbowe w kontekście KSeF , niezależnie od tego, czy szkoda zaczęła się od wyłudzenia.
Jak połączyć Crime z cyber i D&O, żeby nie było białych plam
Najczęstsza luka nie wynika z jednej polisy, tylko z granic między polisami. W typowym zdarzeniu „ksefowym” mogą pojawić się trzy warstwy:
- warstwa techniczna: włam, phishing, przejęcie skrzynki, wyciek danych, koszty reakcji
- warstwa finansowa: bezpośrednia strata na przelewie lub płatności
- warstwa odpowiedzialności osobistej: zarzut braku nadzoru, błędów organizacyjnych, niedbalstwa
Cyber zwykle lepiej adresuje warstwę techniczną, Crime warstwę finansową, a D&O warstwę odpowiedzialności osób decyzyjnych. Broker powinien dopasować granice i definicje tak, aby te warstwy się uzupełniały, a nie „odsyłały” do siebie nawzajem.
Wątek odpowiedzialności nadzorczej i decyzji zarządczych w takich zdarzeniach domyka ubezpieczenie D&O przy KSeF, szczególnie gdy zarzut dotyczy braku procedur i kontroli wewnętrznych
FAQ
Czy Crime pokryje stratę, jeśli pracownik sam zrobił przelew do oszusta?
To zależy od tego, czy polisa ma klauzulę social engineering i jakie stawia warunki. W wielu konstrukcjach bez tej klauzuli ubezpieczyciel może twierdzić, że transfer był autoryzowany.
Czy KSeF sam w sobie chroni przed wyłudzeniami?
KSeF porządkuje fakturowanie, ale nie zastępuje procedur płatniczych ani kontroli zmian danych kontrahenta. Większość wyłudzeń opiera się na manipulacji człowiekiem i procesem, a nie na formacie faktury.
Co jest ważniejsze: cyber czy Crime?
To różne ryzyka. Cyber częściej pokrywa koszty reakcji na incydent, a Crime częściej pokrywa bezpośrednią stratę finansową. W praktyce najlepszy efekt daje połączenie obu polis, szczególnie przy KSeF.
Jak szybko trzeba zgłosić próbę wyłudzenia?
W praktyce natychmiast: zabezpieczenie dowodów i szybkie działanie (bank, IT, procedury) zwiększa szanse ograniczenia szkody. Warunki zgłoszeń wynikają z OWU, ale zwłoka prawie zawsze działa na niekorzyść firmy.
