Amerykańska firma badawcza Middesk, specjalizująca się w analizie ryzyka, opublikowała niedawno fascynujący, a zarazem mocno dający do myślenia raport. Pokazano w nim, jak sprawnie zorganizowane grupy przestępcze wykorzystują sztuczną inteligencję do obchodzenia procedur KYB (Know Your Business), czyli procesu, w którym następuje dogłębne sprawdzenie wiarygodności kontrahenta przed nawiązaniem relacji handlowej. Ten amerykański obrazek w skali 1:1 przekłada się na nasze rodzime podwórko. Mechanizmy fraudowe są wszędzie dokładnie takie same, a w Polsce zmienia się po prostu nazwa docelowego rejestru. Jako analityczka, która zawodowo prześwietla setki biznesowych układów, widzę to wyraźnie na co dzień – to, co jeszcze chwilę temu było technologiczną nowinką, dziś staje się rynkowym standardem w świecie wyłudzeń.
Dokument, który wygląda lepiej niż oryginał
Pierwsza i zarazem najpopularniejsza sztuczka w arsenale oszustów to perfekcyjnie spreparowane dokumenty rejestrowe. O ile w Stanach Zjednoczonych podmioty te podmieniają federalne akty rejestracji spółek, u nas fałszuje się praktycznie wszystko, co handlowiec chciałby zobaczyć na etapie onboardingu. Podrabiany jest odpis z KRS, zaświadczenie z urzędu skarbowego o niezaleganiu z podatkami, a nawet polisa ubezpieczeniowa OC czy pismo z banku poświadczające własność rachunku.
Problem polega na tym, że zaawansowany model językowy nie tylko wygeneruje taki dokument w mgnieniu oka. On potrafi dodatkowo dopieścić jego sztywny, urzędowy styl, precyzyjnie uzupełnić brakujące rubryki i ułożyć cały layout zgodnie ze wzorem znalezionym w Internecie. Dzisiaj plik PDF, który ląduje w Twojej skrzynce mailowej od rzekomego partnera, absolutnie nie jest żadnym twardym dowodem. To co najwyżej wirtualna deklaracja, do której trzeba podejść z ogromnym dystansem.
Firma, która istnieje tylko w połowie
Drugi z wykorzystywanych mechanizmów jest znacznie bardziej wyrafinowany, a eksperci z branży określają go mianem syntetycznej tożsamości firmy. Na czym opiera się ten trik? Otóż przestępca wcale nie trudzi się wymyślaniem podmiotu od zera. Zamiast tego zręcznie skleja prawdziwe informacje z fałszywymi danymi kontaktowymi. Przejmuje numer identyfikacji podatkowej (NIP) prężnie działającej, legalnej spółki, ale nazwisko „prezesa”, fizyczny adres do korespondencji, telefon oraz numer rachunku do wpłat są już sprytnie podstawione.
Dlaczego ten manewr działa tak zabójczo skutecznie? Ponieważ pracownicy działów handlowych często sprawdzają jedynie pierwszą warstwę. Wpisują NIP w pierwszą z brzegu wyszukiwarkę, widzą, że firma istnieje, działa na rynku od wielu lat i jest czynnym podatnikiem VAT. Na tym etapie ich czujność całkowicie gaśnie. Nikt nie zadaje sobie trudu, by porównać, czy osoba siedząca po drugiej stronie słuchawki w ogóle figuruje w zarządzie, a podane na fakturze konto to faktycznie to samo konto, które spółka oficjalnie zgłosiła fiskusowi.
Przestępcy z ogromnym upodobaniem „przyklejają się” do firm stabilnych, cieszących się nieposzlakowaną opinią na lokalnym rynku. Co gorsza, takie syntetyczne podmioty są często używane do budowania łańcuszków powiązań w innych celach. Służą jako zasłona dymna w audytach, przez co błędnie weryfikowana jest kwalifikacja MŚP lub – co gorsza – całkowicie bezprawnie pozyskiwany jest status MŚP do dotacji przez giganta udającego małą spółkę.
Prezes na wideo, którego nigdy nie było
Trzeci element tej mrocznej układanki jeszcze dwa lata temu brzmiałby jak pomysł na scenariusz thrillera. Wiele dojrzałych biznesowo organizacji wyznaje rozsądną zasadę – zanim popiszemy kluczowy kontrakt, chociaż raz spotkajmy się na wideokonferencji z przedstawicielem drugiej strony. Niestety, ten bardzo dobry nawyk również przestał wystarczać. Rozwój technologii deepfake pozwala dziś wygenerować w czasie rzeczywistym hiperrealistyczny obraz i głos osoby, która fizycznie nie istnieje, lub wręcz idealnie podszyć się pod prawdziwego członka zarządu danej spółki.
Najbardziej wstrząsający jak dotąd incydent rozegrał się w Hongkongu na początku 2024 roku. Pracownik międzynarodowej korporacji gładko przelał oszustom równowartość około 25 milionów dolarów tuż po oficjalnym spotkaniu online z „dyrektorem finansowym” i kilkoma swoimi „kolegami z pracy”. Haczyk polegał na tym, że wszyscy rozmówcy poza samą ofiarą byli wygenerowani cyfrowo. Zastanówmy się – skoro taki numer z powodzeniem przeszedł w globalnej instytucji z niezwykle rygorystycznymi siatkami bezpieczeństwa, to średniej wielkości firma handlowa z Piotrkowa Trybunalskiego czy Warszawy tym bardziej powinna mieć się na baczności. No i druga sprawa, która daje do myślenia – sytuacja miała miejsce w 2024 roku, a algorytmy AI od tego czasu bardzo się rozwinęły.
Jak to może wyglądać w praktyce
Wyobraźmy sobie tętniącą życiem hurtownię materiałów budowlanych. Na maila handlowca spływa zapytanie z „nowego działu zakupów” doskonale znanej spółki deweloperskiej. Wiadomość wygląda profesjonalnie, w stopce błyszczy prawdziwy NIP i oficjalny adres. Do zamówienia, jako dowód uwiarygadniający, zostaje dołączony świeży odpis z rejestru i skan pełnomocnictwa. Kierownik zakupów chętnie łączy się przez Teams, jest konkretny i rzeczowy. Prosi o pierwszą wysyłkę z odroczonym terminem płatności na 30 dni, „bo takie są nowe, sztywne wytyczne zarządu”. Towar wyjeżdża pod wskazany, zewnętrzny adres budowy, faktura ląduje w systemie, a należność nigdy nie wpływa. Prawdziwa spółka deweloperska, rzecz jasna, o niczym nie wie.
Żaden z kroków w tym procesie nie zapalił u handlowca czerwonej lampki, ponieważ absolutnie wszystkie zaserwowane mu informacje gospodarcze o firmach wyglądały nieskazitelnie. Tragedia polegała na tym, że cały ten misterny pakiet dowodowy został dostarczony przez samego przestępcę, a ofiara nie zweryfikowała go w ani jednym, niezależnym miejscu.
Stare nawyki już nie wystarczą
Tradycyjnie firmy budują swoje mury obronne na trzech, z dzisiejszej perspektywy bardzo kruchych, filarach: dokumentach od klienta, miłej rozmowie i intuicji pracownika. Sztuczna inteligencja z łatwością kruszy każdy z nich. Plik generuje się w moment, głos da się podrobić, a ludzki instynkt szybko zawodzi, bo oszust ma mnóstwo czasu, by się przygotować, podczas gdy handlowiec próbuje dopiąć dwudziestą transakcję tego samego dnia.
Nie znaczy to, że od jutra trzeba zablokować całą sprzedaż i nikomu nie ufać. Kluczem do bezpieczeństwa jest diametralna zmiana jednego nawyku: nigdy nie ufamy temu, co dostarczył klient, ufamy wyłącznie temu, co znajdziemy u źródła. Tylko w ten sposób rzetelna ocena zdolności kredytowej firmy ma w obecnych realiach rację bytu.
Co konkretnie warto robić
Zamiast zgadywać, wprowadź u siebie twarde ramy postępowania:
- Sięgaj do rejestrów samodzielnie – urzędowy odpis pobieraj na własną rękę bezpośrednio z serwerów ministerialnych lub ze sprawdzonych źródeł, zamiast opierać się na załącznikach z maila. To wymaga chwili, a niemal od ręki eliminuje potężną kategorię oszustw.
- Porównuj osoby reprezentujące – weryfikuj bezwzględnie, czy człowiek podpisujący kwity lub uśmiechający się do kamery rzeczywiście zasiada w zarządzie. Jeśli macha Ci przed nosem pełnomocnictwem, samodzielnie zdobądź kontakt do decydentów i potwierdź jego umocowanie.
- Weryfikuj rachunek na Białej Liście VAT – konto docelowe musi widnieć w wykazie podatników. W przypadku płatności przewyższających 15 tysięcy złotych, przelew na niezgłoszone konto może oznaczać dla Twojej firmy utratę kosztów uzyskania przychodu i solidarną odpowiedzialność za ewentualne zaległości w VAT.
- Oddzwaniaj tylko na zweryfikowany numer – nie dzwoń pod numer podany w stopce świeżego maila, ale na ten znajdujący się na oficjalnej, znanej witrynie internetowej lub wyciągnięty z dawnej, bezpiecznej korespondencji.
- Prześwietlaj powiązania i świeże zmiany – nagłe przemeblowanie w zarządzie, niespodziewana zmiana adresu przed samym kontraktem to sygnały alarmowe. Zwolnij natychmiast proces sprzedaży, jeśli na horyzoncie pojawiają się jakiekolwiek negatywne zdarzenia gospodarcze lub widniejący w rejestrze CRBR beneficjent rzeczywisty zupełnie nie pasuje do rzekomego właściciela.
- Nie traktuj spotkania wideo jako autoryzacji – miły call na platformie może być świetnym elementem budowania więzi biznesowej, ale nigdy nie powinien zastępować chłodnej i twardej weryfikacji tożsamości.
Weryfikacja, która nadąża za oszustami
Mam pełną świadomość, że ręczne „przeklikiwanie” każdego nowego leada w kilku państwowych systemach bywa po prostu pracochłonne, a presja na dowożenie celów sprzedażowych robi swoje. Dlatego z pomocą przychodzi inteligentna automatyzacja tworzona w Polsce przez wybitnych specjalistów. Jesteśmy dumni, że Polska Wywiadownia Gospodarcza dostarcza narzędzia tworzone lokalnie, charakteryzujące się niezrównaną znajomością naszych realiów rynkowych i kruczków prawa. Skrojony na miarę, profesjonalny raport o firmie, który oddajemy w ręce klientów, błyskawicznie zbiera w jednym miejscu absolutnie wszystko, co istotne. W jego skład wchodzi na bieżąco aktualizowana baza firm z KRS i CEIDG, odczyty z Białej Listy VAT, dane z CRBR oraz krystalicznie czyste wizualizacje powiązań kapitałowych. Od razu widzisz czarno na białym, kto z kim prowadzi interesy.
W organizacjach z masowym przerobem faktur znacznie lepiej sprawdza się środowisko zautomatyzowane. Świeże i ustrukturyzowane dane o firmach przez API można sprawnie wpiąć bezpośrednio do Waszego firmowego CRM-a lub oprogramowania ERP. Nasz system wykonuje całą „czarną” robotę w tle, natychmiast przy otwieraniu nowej kartoteki, zdejmując ten ciężar z barków pracowników. Takie innowacyjne, całkowicie polskie rozwiązanie z powodzeniem wdrożyliśmy u wielu naszych rodzimych podmiotów gospodarczych.
Na koniec
Rozprawmy się z mitem: sztuczna inteligencja nie wymyśliła przestępczości gospodarczej. Bezczelne podszywanie się pod innych, fałszowanie kwitów i „słupy” na stołkach prezesowskich to patologie obecne w biznesie od zawsze. Technologia po prostu sprawiła, że te ataki są dzisiaj drastycznie tańsze do przeprowadzenia, błyskawiczne i nieporównywalnie trudniejsze do wyłapania na tak zwane oko.
Odpowiedź na to zagrożenie wcale nie musi być skomplikowana. Zastosuj prostą dyrektywę: minimum zaufania do dokumentów, które ktoś uprzejmie Ci przysyła, i maksimum polegania na obiektywnych, godnych zaufania źródłach. Jeśli masz odwagę sprawdzić szczelność swoich dotychczasowych procedur, po prostu zamów u nas rzetelny audyt Twojego najnowszego „pewnego” klienta. Gwarantuję Ci, że możesz wiedzieć o nim dużo mniej, niż Ci się wydaje.
