Este vineri, ora patru după-amiaza. Contabila primește un email de la directorul general: un transfer urgent de 38.000 de lei către un partener nou, strict confidențial, "nu discuta cu nimeni, sunt într-o ședință". La scurt timp sună un telefon, o voce care seamănă cu a șefului confirmă suma. Banii pleacă. Luni dimineață se află că directorul nu a trimis niciodată acel email.

Scenariul de mai sus are un nume în lumea securității: CEO fraud, parte dintr-o familie mai largă de atacuri numite fraudă prin compromiterea emailului de business. Nu vizează computere, ci oameni. Mizează pe ierarhie, pe grabă și pe reflexul angajatului de a nu pune la îndoială un ordin venit "de sus". Iar țintele preferate nu sunt corporațiile mari, cu departamente de securitate, ci IMM-urile unde o singură persoană semnează plățile.

Cele două scheme care lovesc cel mai des

Frauda către firme vine, în marea majoritate a cazurilor, în două forme. Le recunoști ușor odată ce le-ai văzut o dată.

Prima este frauda directorului. Cineva se dă drept administratorul, directorul financiar sau patronul firmei și cere un transfer rapid. Argumentul e mereu același: o oportunitate care nu poate aștepta, o plată către un avocat sau un partener, o achiziție confidențială. Atacatorul a studiat firma în prealabil -- de pe site, de pe pagina de Facebook, din anunțuri de pe eJobs sau BestJobs -- și știe cine cui raportează.

A doua este frauda furnizorului fals, cunoscută și ca atac asupra facturii. Un furnizor cu care lucrezi de ani de zile îți trimite un email: și-a schimbat banca, te roagă să plătești următoarea factură pe un IBAN nou. Emailul arată impecabil, are antetul corect, ortografia corectă, poate chiar semnătura obișnuită. Diferența? Adresa de email are o literă în plus sau un domeniu aproape identic, iar IBAN-ul nou este al escrocului.

De ce vocea de la telefon nu mai e o dovadă

Mulți contabili au un reflex sănătos: "dacă sun și aud vocea șefului, e clar că el e". Exact acest reflex a devenit punctul slab. Atacatorii folosesc două tehnici care fac telefonul nesigur.

Prima este falsificarea numărului afișat. Pe ecranul tău poate apărea chiar numărul directorului sau al firmei furnizoare, deși apelul vine de la cu totul altcineva. Cum se face acest lucru și de ce e atât de greu de blocat am explicat în detaliu în ghidul despre spoofing-ul numărului de telefon. Reține principiul: numărul de pe ecran este o sugestie, nu o garanție.

A doua, mai nouă și mai periculoasă, este clonarea vocii cu inteligență artificială. Cu câteva secunde de înregistrare -- dintr-un interviu, dintr-un mesaj vocal, de pe rețele sociale -- un program poate reproduce vocea unei persoane reale, cu intonația ei. Vocea care îți confirmă transferul poate fi sintetică. Despre cum funcționează aceste apeluri și cum le recunoști scriem pe larg în articolul despre vishing și clonarea vocii cu AI.

Pârghiile psihologice: urgență, autoritate, secret

Toate aceste fraude au aceeași structură emoțională, indiferent de detalii. Recunoaște-o și ai jumătate din apărare făcută.

Se invocă autoritatea -- ordinul vine de la cineva căruia nu îndrăznești să-i ceri socoteală. Se adaugă urgența -- trebuie făcut acum, în câteva minute, altfel se pierde oportunitatea sau se aplică o penalitate. Și, esențial, se cere confidențialitatea: "nu spune nimănui", "nu implica pe nimeni din echipă", "e o tranzacție delicată". Acel secret nu protejează vreo afacere -- protejează frauda de singurul lucru care o demontează, adică o a doua pereche de ochi.

Când cele trei apar împreună într-o cerere de plată, nu te grăbi. Combinația aceasta este, practic, semnătura escrocheriei. O cerere legitimă suportă o întrebare. Frauda, nu.

Apărarea: dublă verificare și control pe IBAN

Vestea bună este că aceste fraude se opresc cu măsuri simple, care nu costă nimic și nu cer software special. Important e ca ele să fie reguli fixe, nu decizii luate în panică.

Regula de bază este verificarea pe alt canal. Orice cerere de transfer venită prin email sau telefon se confirmă printr-un al doilea canal, ales de tine. Ai primit un email de la director? Sună-l pe numărul pe care îl ai deja salvat -- nu pe cel din semnătura emailului. Te-a sunat un furnizor cu un IBAN nou? Închide și sună tu înapoi pe numărul din contract.

Pentru sume mari, introdu dublul control: nicio plată peste un prag stabilit (de exemplu 5.000 de lei) nu se face de o singură persoană. Două semnături, doi oameni care văd cererea. Frauda se bazează pe izolarea unui singur angajat speriat.

Și tratează orice schimbare de IBAN ca pe un eveniment care cere verificare obligatorie. Un cont bancar nou pentru un furnizor vechi se confirmă telefonic, pe numărul cunoscut, înainte de prima plată. Notează numele persoanei care a confirmat și data. Aceasta este, statistic, una dintre cele mai costisitoare fraude pentru firmele mici tocmai pentru că schimbarea de IBAN pare un detaliu administrativ banal.

Ce faci dacă banii au plecat deja

Dacă transferul s-a făcut, fiecare minut contează. Sună imediat banca firmei și cere recall-ul plății sau blocarea ei -- dacă banii nu au fost încă retrași din contul destinatar, mai există șanse de recuperare. Anunță și banca beneficiară frauduloasă, dacă o poți identifica.

Apoi depune plângere penală la Poliția Română sau, pentru sume mari și scheme organizate, sesizează cazul către DIICOT. Frauda intră sub incidența mai multor articole din Codul penal: înșelăciunea la art. 244, frauda informatică la art. 249 și operațiunile financiare frauduloase la art. 250. Păstrează toate emailurile originale, fără să le ștergi, și jurnalul apelurilor.

Pașii detaliați, în funcție de ce date și ce sume au ajuns la escroc, sunt descriși în ghidul despre ce faci dacă ai dat date personale unui escroc. Aplică-i fără ezitare la cea mai mică bănuială.

Întrebări frecvente

De unde știa atacatorul cine e directorul financiar la noi? De obicei din surse publice: site-ul firmei, pagina de LinkedIn sau Facebook, anunțuri de angajare, comunicate de presă. Aceste informații nu sunt secrete, dar oferă escrocului exact ierarhia de care are nevoie pentru a fi credibil.

Emailul venea chiar de pe adresa șefului. Cum e posibil? Fie adresa a fost falsificată să arate identic, fie contul chiar a fost compromis. În al doilea caz, atacatorul citește corespondența reală și intervine la momentul potrivit. De aceea confirmarea pe alt canal este obligatorie chiar și când emailul pare 100% autentic.

Suntem o firmă mică, de ce ne-ar viza? Tocmai pentru că ești mică. Firmele mici rareori au reguli stricte de plată, controlul e adesea în mâna unei singure persoane, iar verificarea pe canale separate lipsește. Pentru atacator, asta înseamnă risc mic și câștig rapid.

Pe scurt

Frauda CEO și factura falsă pun în mișcare aceleași trei pârghii: autoritate, urgență și secret. Numărul afișat poate fi falsificat, iar vocea de la telefon poate fi clonată cu AI -- niciuna nu mai e o dovadă. Apărarea nu e tehnică, ci procedurală: confirmă orice cerere de plată pe un al doilea canal, verifică obligatoriu orice IBAN nou și impune dublu control peste un prag. O singură verificare de două minute valorează cât tot transferul pe care îl oprește.