Amerykańska firma Middesk, dostawca narzędzi do weryfikacji firm (KYB), opisała na swoim blogu, jak oszuści wykorzystują AI do obchodzenia tych procedur. Pokazano w nim, jak sprawnie zorganizowane grupy przestępcze wykorzystują sztuczną inteligencję do obchodzenia procedur KYB (Know Your Business), czyli procesu, w którym następuje dogłębne sprawdzenie wiarygodności kontrahenta przed nawiązaniem relacji handlowej. Ten amerykański obrazek w skali 1:1 przekłada się na nasze rodzime podwórko. Mechanizmy fraudowe są wszędzie dokładnie takie same, a w Polsce zmienia się po prostu nazwa docelowego rejestru. Jako zespół analityków, który zawodowo prześwietla setki biznesowych układów, widzimy to wyraźnie na co dzień – to, co jeszcze chwilę temu było technologiczną nowinką, dziś staje się rynkowym standardem w świecie wyłudzeń.
Dokument, który wygląda lepiej niż oryginał
Pierwsza i zarazem najpopularniejsza sztuczka w arsenale oszustów to perfekcyjnie spreparowane dokumenty rejestrowe. O ile w Stanach Zjednoczonych podmioty te podmieniają federalne akty rejestracji spółek, u nas fałszuje się praktycznie wszystko, co handlowiec chciałby zobaczyć na etapie onboardingu. Podrabiany jest odpis z KRS, zaświadczenie z urzędu skarbowego o niezaleganiu z podatkami, a nawet polisa ubezpieczeniowa OC czy pismo z banku poświadczające własność rachunku.
Problem polega na tym, że zaawansowany model językowy nie tylko wygeneruje taki dokument w mgnieniu oka. On potrafi dodatkowo dopieścić jego sztywny, urzędowy styl, precyzyjnie uzupełnić brakujące rubryki i ułożyć cały layout zgodnie ze wzorem znalezionym w Internecie. Dzisiaj plik PDF, który ląduje w Twojej skrzynce mailowej od rzekomego partnera, absolutnie nie jest żadnym twardym dowodem. To co najwyżej wirtualna deklaracja, do której trzeba podejść z ogromnym dystansem.
Firma, która istnieje tylko w połowie
Drugi z wykorzystywanych mechanizmów jest znacznie bardziej wyrafinowany, a eksperci z branży określają go mianem syntetycznej tożsamości firmy. Na czym opiera się ten trik? Otóż przestępca wcale nie trudzi się wymyślaniem podmiotu od zera. Zamiast tego zręcznie skleja prawdziwe informacje z fałszywymi danymi kontaktowymi. Przejmuje numer identyfikacji podatkowej (NIP) prężnie działającej, legalnej spółki, ale nazwisko „prezesa”, fizyczny adres do korespondencji, telefon oraz numer rachunku do wpłat są już sprytnie podstawione.
Dlaczego ten manewr działa tak zabójczo skutecznie? Ponieważ pracownicy działów handlowych często sprawdzają jedynie pierwszą warstwę. Wpisują NIP w pierwszą z brzegu wyszukiwarkę, widzą, że firma istnieje, działa na rynku od wielu lat i jest czynnym podatnikiem VAT. Na tym etapie ich czujność całkowicie gaśnie. Nikt nie zadaje sobie trudu, by porównać, czy osoba siedząca po drugiej stronie słuchawki w ogóle figuruje w zarządzie, a podane na fakturze konto to faktycznie to samo konto, które spółka oficjalnie zgłosiła fiskusowi.
Przestępcy z ogromnym upodobaniem „przyklejają się” do firm stabilnych, cieszących się nieposzlakowaną opinią na lokalnym rynku. Co gorsza, takie syntetyczne podmioty są często używane do budowania łańcuszków powiązań w innych celach. Służą jako zasłona dymna w audytach, przez co błędnie weryfikowana jest kwalifikacja MŚP lub – co gorsza – całkowicie bezprawnie pozyskiwany jest status MŚP do dotacji przez giganta udającego małą spółkę.
Prezes na wideo, którego nigdy nie było
Trzeci element tej mrocznej układanki jeszcze dwa lata temu brzmiałby jak pomysł na scenariusz thrillera. Wiele dojrzałych biznesowo organizacji wyznaje rozsądną zasadę – zanim popiszemy kluczowy kontrakt, chociaż raz spotkajmy się na wideokonferencji z przedstawicielem drugiej strony. Niestety, ten bardzo dobry nawyk również przestał wystarczać. Rozwój technologii deepfake pozwala dziś wygenerować w czasie rzeczywistym hiperrealistyczny obraz i głos osoby, która fizycznie nie istnieje, lub wręcz idealnie podszyć się pod prawdziwego członka zarządu danej spółki.
Najbardziej wstrząsający jak dotąd incydent rozegrał się w Hongkongu na początku 2024 roku. Pracownik międzynarodowej korporacji gładko przelał oszustom równowartość około 25 milionów dolarów tuż po oficjalnym spotkaniu online z „dyrektorem finansowym” i kilkoma swoimi „kolegami z pracy”. Haczyk polegał na tym, że wszyscy rozmówcy poza samą ofiarą byli wygenerowani cyfrowo. Zastanówmy się – skoro taki incydent z powodzeniem przeszedł w globalnej instytucji z niezwykle rygorystycznymi siatkami bezpieczeństwa, to średniej wielkości firma handlowa z Piotrkowa Trybunalskiego czy Warszawy tym bardziej powinna mieć się na baczności. No i druga sprawa, która daje do myślenia – sytuacja miała miejsce w 2024 roku, a algorytmy AI od tego czasu bardzo się rozwinęły.
Jak to może wyglądać w praktyce
Wyobraźmy sobie tętniącą życiem hurtownię materiałów budowlanych. Na maila handlowca spływa zapytanie z „nowego działu zakupów” doskonale znanej spółki deweloperskiej. Wiadomość wygląda profesjonalnie, w stopce błyszczy prawdziwy NIP i oficjalny adres. Do zamówienia, jako dowód uwiarygadniający, zostaje dołączony świeży odpis z rejestru i skan pełnomocnictwa. Kierownik zakupów chętnie łączy się przez Teams, jest konkretny i rzeczowy. Prosi o pierwszą wysyłkę z odroczonym terminem płatności na 30 dni, „bo takie są nowe, sztywne wytyczne zarządu”. Towar wyjeżdża pod wskazany, zewnętrzny adres budowy, faktura ląduje w systemie, a należność nigdy nie wpływa. Prawdziwa spółka deweloperska, rzecz jasna, o niczym nie wie.
Żaden z kroków w tym procesie nie zapalił u handlowca czerwonej lampki, ponieważ absolutnie wszystkie zaserwowane mu informacje gospodarcze o firmach wyglądały nieskazitelnie. Sytuacja polegała na tym, że cały ten misterny pakiet dowodowy został dostarczony przez samego przestępcę, a ofiara nie zweryfikowała go w ani jednym, niezależnym miejscu.
Stare nawyki już nie wystarczą
Tradycyjnie firmy budują swoje mury obronne na trzech, z dzisiejszej perspektywy bardzo kruchych, filarach: dokumentach od klienta, miłej rozmowie i intuicji pracownika. Sztuczna inteligencja z łatwością kruszy każdy z nich. Plik generuje się w moment, głos da się podrobić, a ludzki instynkt szybko zawodzi, bo oszust ma mnóstwo czasu, by się przygotować, podczas gdy handlowiec próbuje dopiąć dwudziestą transakcję tego samego dnia.
Nie znaczy to, że od jutra trzeba zablokować całą sprzedaż i nikomu nie ufać. Kluczem do bezpieczeństwa jest diametralna zmiana jednego nawyku: nigdy nie ufamy temu, co dostarczył klient, ufamy wyłącznie temu, co znajdziemy u źródła. Tylko w ten sposób rzetelna ocena firmy ma w obecnych realiach rację bytu.
Co konkretnie warto robić
Zamiast zgadywać, wprowadź u siebie twarde ramy postępowania:
- Sięgaj do rejestrów samodzielnie – urzędowy odpis pobieraj na własną rękę bezpośrednio z serwerów ministerialnych lub ze sprawdzonych źródeł, zamiast opierać się na załącznikach z maila. To wymaga chwili, a niemal od ręki eliminuje potężną kategorię oszustw.
- Porównuj osoby reprezentujące – weryfikuj bezwzględnie, czy człowiek podpisujący kwity lub uśmiechający się do kamery rzeczywiście zasiada w zarządzie. Jeśli macha Ci przed nosem pełnomocnictwem, samodzielnie zdobądź kontakt do decydentów i potwierdź jego umocowanie.
- Weryfikuj rachunek na Białej Liście VAT – konto docelowe musi widnieć w wykazie podatników. W przypadku płatności przewyższających 15 tysięcy złotych, przelew na niezgłoszone konto może oznaczać dla Twojej firmy utratę kosztów uzyskania przychodu i solidarną odpowiedzialność za ewentualne zaległości w VAT.
- Oddzwaniaj tylko na zweryfikowany numer – nie dzwoń pod numer podany w stopce świeżego maila, ale na ten znajdujący się na oficjalnej, znanej witrynie internetowej lub wyciągnięty z dawnej, bezpiecznej korespondencji.
- Prześwietlaj powiązania i świeże zmiany – nagłe przemeblowanie w zarządzie, niespodziewana zmiana adresu przed samym kontraktem to sygnały alarmowe. Zwolnij natychmiast proces sprzedaży, jeśli na horyzoncie pojawiają się jakiekolwiek negatywne zdarzenia gospodarcze lub widniejący w rejestrze CRBR beneficjent rzeczywisty zupełnie nie pasuje do rzekomego właściciela.
- Nie traktuj spotkania wideo jako autoryzacji – miły call na platformie może być świetnym elementem budowania więzi biznesowej, ale nigdy nie powinien zastępować chłodnej i twardej weryfikacji tożsamości.
Analiza powiązań podmiot-podmiot jako cyfrowa tarcza
W dobie zautomatyzowanych, syntetycznych oszustw ręczne weryfikowanie struktury kontrahenta bywa niezwykle żmudne, obarczone ludzkim błędem i często nierealne pod presją czasu. W odpowiedzi na te rosnące zagrożenia, Polska Wywiadownia Gospodarcza oferuje autorskie narzędzie, które natychmiast rozwiewa mgłę informacyjną. Analiza powiązań (podmiot-podmiot) to rozwiązanie zbudowane od podstaw przez polskich specjalistów, doskonale rozumiejących nasze lokalne realia, specyfikę rynku oraz zawiłości krajowych rejestrów.
Wystarczy, że wprowadzisz numery identyfikacyjne (NIP, KRS, REGON lub PESEL) interesujących Cię jednostek, a nasz system błyskawicznie przeszuka dostępne zbiory danych, generując przejrzysty, interaktywny graf. Algorytm weryfikuje powiązania kapitałowo-osobowe bez jakichkolwiek ograniczeń poziomowych – proces postępuje aż do całkowitego wyczerpania relacji zapisanych w bazach KRS i CEIDG. Oznacza to natychmiastową identyfikację nawet bardzo odległych zależności, których człowiek najprawdopodobniej by nie wychwycił, wertując dziesiątki oddzielnych wpisów.
Nasze rozwiązanie skutecznie zabezpiecza biznes i oszczędza czas analityków dzięki kilku kluczowym funkcjom:
- Wielowymiarowy horyzont czasowy – weryfikacja obejmuje nie tylko stan bieżący, ale również archiwum. Od razu dostrzeżesz wygasłe już relacje lub sprawdzisz strukturę na konkretny dzień. To wiedza absolutnie bezcenna w sytuacji, gdy nowa „wiarygodna” spółka okazuje się jedynie frontem dla dawnych współpracowników upadłego przed rokiem dłużnika.
- Szeroki kontekst biznesowy – system błyskawicznie wyłapuje detale, takie jak to, czy osoba zaangażowana w dużej spółce podlegającej rejestracji w KRS nie prowadzi przypadkiem na boku własnej jednoosobowej działalności gospodarczej.
- Eksport do twardych raportów – po wykonaniu analizy jednym kliknięciem generujesz szczegółowy raport w formacie PDF. Znajdziesz w nim rozpisane dane rejestrowe, zweryfikowany okres oraz czytelny, poziomy graf, precyzyjnie obrazujący powiązania pierwszego i dalszych stopni.
- Integracja z pogłębioną analizą – z poziomu interaktywnego grafu w każdej chwili możesz przejść do pełnego raportu o firmie bądź osobie. Ułatwia to między innymi sprawną weryfikację informacji z Centralnego Rejestru Beneficjentów Rzeczywistych (CRBR), by ostatecznie ustalić, kto w danej strukturze pociąga za sznurki.
Warto również wspomnieć, że nasza weryfikacja podmiot-podmiot rewelacyjnie współgra z Kwalifikatorem MŚP (narzędziem do weryfikacji statusu przedsiębiorstw m.in. pod kątem unijnych dotacji). Zaimplementowaliśmy w nim innowacyjną funkcjonalność pozwalającą – po zawarciu odpowiedniej umowy powierzenia danych – na ręczne, w pełni bezpieczne dodawanie gałęzi relacji, które nie widnieją w rejestrach publicznych (np. udziały zagraniczne czy niejawne struktury akcjonariatu). To właśnie w ten sposób, opierając się na polskiej technologii łączącej publiczne zbiory z zaawansowaną wizualizacją, buduje się dziś prawdziwe bezpieczeństwo transakcji.
Weryfikacja, która nadąża za oszustami
Mamy pełną świadomość, że ręczne „przeklikiwanie” każdego nowego leada w kilku państwowych systemach bywa po prostu pracochłonne, a presja na dowożenie celów sprzedażowych robi swoje. Dlatego z pomocą przychodzi inteligentna automatyzacja tworzona w Polsce przez wybitnych specjalistów. Jesteśmy dumni, że Polska Wywiadownia Gospodarcza dostarcza narzędzia tworzone lokalnie, charakteryzujące się niezrównaną znajomością naszych realiów rynkowych i kruczków prawa. Skrojony na miarę, profesjonalny raport o firmie, który oddajemy w ręce klientów, błyskawicznie zbiera w jednym miejscu absolutnie wszystko, co istotne. W jego skład wchodzi na bieżąco aktualizowana baza firm z KRS i CEIDG, odczyty z Białej Listy VAT, dane z CRBR oraz krystalicznie czyste wizualizacje powiązań kapitałowych.
W organizacjach z masowym przerobem faktur znacznie lepiej sprawdza się środowisko zautomatyzowane. Świeże i ustrukturyzowane dane o firmach przez API można sprawnie wpiąć bezpośrednio do Waszego firmowego CRM-a lub oprogramowania ERP. Nasz system wykonuje całą „czarną” robotę w tle, natychmiast przy otwieraniu nowej kartoteki, zdejmując ten ciężar z barków pracowników. Takie innowacyjne, całkowicie polskie rozwiązanie z powodzeniem wdrożyliśmy u wielu naszych rodzimych podmiotów gospodarczych.
To nie sztuczna inteligencja jest winna
Rozprawmy się z mitem: sztuczna inteligencja nie wymyśliła przestępczości gospodarczej. Bezczelne podszywanie się pod innych, fałszowanie kwitów i „słupy” na stołkach prezesowskich to patologie obecne w biznesie od zawsze. Technologia po prostu sprawiła, że te ataki są dzisiaj drastycznie tańsze do przeprowadzenia, błyskawiczne i nieporównywalnie trudniejsze do wyłapania na tak zwane oko.
Odpowiedź na to zagrożenie wcale nie musi być skomplikowana. Zastosuj prostą dyrektywę: minimum zaufania do dokumentów, które ktoś uprzejmie Ci przysyła, i maksimum polegania na obiektywnych, godnych zaufania źródłach. Jeśli masz odwagę sprawdzić szczelność swoich dotychczasowych procedur, po prostu zamów u nas rzetelny audyt Twojego najnowszego „pewnego” klienta. Zapewniamy, że możesz wiedzieć o nim dużo mniej, niż Ci się wydaje.
Zespół Ekspertów Polskiej Wywiadowni Gospodarczej
