Megváltozott egy beszállító bankszámlaszáma? Így csökkenthető a vállalati csalás kockázata

Ismerős beszállító, új számlaszám: a legdrágább rutinhiba lehet

Egy könyvelő vagy pénzügyes aznapra készíti elő a beszállítói kifizetéseket. Megérkezik az egyik régi partner levele: „Bankot váltottunk, a következő számlát már az új számlaszámra utaljátok.” Mellékelnek egy hitelesnek tűnő számlát, az összeg stimmel, a levél aláírása és a korábbi levelezés stílusa is ismerős. Ilyenkor a sürgős teendő nem a partneradat azonnali átírása, hanem az ellenőrzés.

Az Europol beszállítói számlacsalásról szóló tájékoztatója pontosan ezt a mintát írja le: a támadó a szállító vagy szolgáltató képviselőjének adja ki magát, és a későbbi utalások kedvezményezetti számlaszámát saját ellenőrzése alatt álló számlára cserélné. Telefon, e-mail és hamis dokumentum egyaránt lehet a megtévesztés eszköze.

Az NBSZ Nemzeti Kiberbiztonsági Intézet 2025-ös riasztása magyar szervezetek nevével visszaélő üzleti e-mailes támadásokat is ismertetett. Az ilyen ügyekben a csalók sokszor nem egy bank informatikai rendszerét törik fel. A vállalati döntési folyamatot támadják: elérik, hogy egy alkalmazott saját jogosultságával küldjön pénzt rossz helyre.

Milyen jelekből gyanakodhatsz?

Gyanús lehet az utolsó pillanatban érkező számlaszámcsere, a szokatlanul sürgető hangnem, az „ez most bizalmas” megjegyzés, az új bankszámla eltérő országa vagy a cégnévhez nem illő kedvezményezett. Figyelj az e-mail-cím apró eltéréseire is: kötőjel, plusz betű vagy másik domain könnyen elkerülheti a figyelmet. Ugyanakkor egy valóban feltört postafiókból küldött levél a megszokott címen érkezhet, így a helyes feladócím sem garancia.

A hamisított számla formátuma akár tökéletesen egyezhet a korábbiakkal. A logó, az aláírás, az ismert kontakt neve és a számlán látható megrendelési szám csak kiegészítő támpont. Egy bankszámlaszám-változást önmagukban nem hitelesítenek. A veszély nagyobb lehet, ha a vállalat sok szállítóval dolgozik, vagy több kolléga módosíthatja az ERP partneradatbázisát.

A legfontosabb kontroll: visszahívás régi, ellenőrzött telefonszámon

Ha valaki módosítást kér, lépj ki az üzenet által diktált kommunikációból. Ne a friss e-mailben megadott számot hívd, és ne az új dokumentumon szereplő kapcsolatot használd. Keresd elő a korábbi szerződésből, a jóváhagyott partnertörzsből vagy egy már hitelesített üzleti kapcsolatból ismert telefonszámot, és ezen kérj megerősítést.

Jó kérdés például: „Kérem, erősítsék meg, hogy az X számlához tartozó új bankszámlaszámot valóban önök jelentették be. Ki jogosult ezt jóváhagyni a cégüknél?” A beszélgetés eredményét dokumentáld. Az Europol kifejezetten azt javasolja, hogy a számlaszámcseréről érkező kérést korábbról ismert elérhetőségen ellenőrizzük, ne a változást bejelentő levél kontaktadataival.

Két személy, két külön szerep

Hatékony kontroll lehet, ha a partneradatok módosítását egy munkatárs előkészíti, egy másik ellenőrzi és jóváhagyja, míg a fizetés engedélyezése ettől külön lépés. Ez a „négy szem elve” nem varázsmegoldás, de csökkentheti annak esélyét, hogy egyetlen megtévesztett kolléga csendben átírja a kedvezményezett adatait és azonnal utaljon.

Nem elég, ha a második személy csak rákattint a jóváhagyásra. Az ellenőrnek látnia kell az eredeti és új bankszámlaszámot, a változtatás indokát, a telefonos vagy más független megerősítést, valamint a kapcsolódó megrendelést. Érdemes külön auditnaplót vezetni arról is, ki és mikor módosította a partner törzsadatát.

Hogyan építsd be a védelmet az ERP-be és a fizetési folyamatba?

Első lépésként legyen kötelező státusz minden új vagy megváltoztatott kedvezményezettnél: ellenőrzésre vár, megerősítve, jóváhagyva. Amíg a partneradat nincs igazolva, a fizetési csomagba ne kerülhessen be automatikusan. Az ERP-ben a bankszámlaszám-módosítás és a fizetési megbízás két eltérő jogosultságú művelet legyen.

Második lépésként rögzíts belső szabályt a kockázati küszöbökre: például minden számlaszámcsere esetén független visszahívás, nagy összeg felett külön vezetői jóváhagyás, külföldi vagy új kedvezményezett esetén bővebb dokumentálás. Ezek belső kontrollok, nem jogszabályban előírt, minden vállalatra azonos értékhatárok; az összegeket a cég saját kockázataihoz igazítsd.

Harmadik lépésként ne feltételezd, hogy a bank önmagában felismeri a csalást. Egy átutalási megbízás helyes technikai feldolgozása és a kereskedelmi tartalom valódisága két külön kérdés. A PSD2 88. cikke az egyedi azonosító alapján teljesített átutalásokra és a hibás azonosító miatt visszaszerzési kísérletre ad keretet; nem garantálja, hogy a bank a valódi beszállítói szerződést és a számlamellékletet ellenőrzi.

Mit tegyél, ha már elindult a pénz?

Ha felmerül, hogy hamis számlaszámra fizettél, azonnal hívd a bank vállalati ügyfélszolgálatát, jelezd a feltételezett csalást, és kérd a visszahívási vagy visszaszerzési lehetőségek megvizsgálását. Készítsd elő a pontos tranzakcióazonosítót, kedvezményezetti számlaszámot, időpontot, összeget és az érintett számlát. Minél gyorsabban jelzel, annál több eljárási lehetőség maradhat, de siker nem ígérhető.

Ezzel párhuzamosan tedd meg a rendőrségi feljelentést, és őrizd meg az eredeti e-mailt teljes fejléccel, a számlát, a kapcsolattartási naplót és a jóváhagyási előzményeket. Értesítsd az informatikai és információbiztonsági felelőst: ha valódi postafiók-kompromittálódás történt, más partneradatok is veszélyben lehetnek. Az MNB csalási tájékoztatása is hangsúlyozza a gyors banki jelzés és a rendőrségi feljelentés jelentőségét.

Magyar KKV-knál hogyan néz ki a jó gyakorlat?

Vegyünk egy feltételezett példát. Egy ötfős kereskedőcég havonta húsz-harminc beszállítói számlát fizet. A könyvelő egy új, 1,8 millió forintos számlát kap, rajta módosított számlaszámmal. A pénzügyi vezető megkeresi a korábbi partnerkapcsolatot, ott telefonon visszaigazolást kér, majd az ERP-ben csatolja az ellenőrzés időpontját. Csak ezután engedélyezi az új kedvezményezettet. A folyamat néhány percet vagy tovább is igénybe vehet, de a kifizetéshez képest az ellenőrzés üzleti jelentősége nagy.

Érdemes negyedévente próbát tartani: hogyan reagál a csapat egy hamis, sürgősnek látszó számlaszámcserére? Ki jogosult az ERP-ben módosítani, ki erősít meg és ki utal? Ha minden szerep ugyanannál az embernél van, legalább egy független, dokumentált ellenőrzési lépést vezess be. Fontos, hogy a megoldás ne bénítsa meg a napi munkát: a cél a veszélyes kivételek következetes kezelése.

Összegzés: a biztonságos számlaszámcsere ellenőrizhető folyamat

A digitális számlázás, a banki adatkapcsolat és az ERP-automatizálás csökkentheti a kézi munkát, de nem helyettesíti a kedvezményezett azonosítását. A legfontosabb szabály: új beszállítói bankszámlaszámot ne fogadj el kizárólag egy e-mail, egy számla vagy egy telefonhívás alapján. Használj független visszaellenőrzést, elkülönített jóváhagyást és visszakereshető auditnyomot.

Ha pedig már hibás kedvezményezettnek fizettél, ne várj a következő egyeztetésig: haladéktalanul kerülj kapcsolatba a bankkal és a hatóságokkal. A csalás gyanúja és a bank pénzforgalmi szolgáltatásával kapcsolatos reklamáció külön ügy: utóbbiról az MNB panaszkezelési útmutatója ad részletes tájékoztatást.