Kaj morate vedeti
Lažen račun dobavitelja je lahko videti kot običajen dokument iz znane poslovne komunikacije. Posebej previdno preverite zahtevo, da morate denar nakazati na nov TRR. Spremembo potrdite po neodvisni poti, na primer s klicem na že znano številko dobavitelja, in ločite preverjanje podatkov od odobritve plačila. Pravilen logotip, preteklo dopisovanje in občutek nujnosti niso dokaz pristnosti.
Lažen račun dobavitelja je lahko videti kot običajen dokument iz znane poslovne komunikacije. Posebej previdno preverite zahtevo, da morate denar nakazati na nov TRR. Spremembo potrdite po neodvisni poti, na primer s klicem na že znano številko dobavitelja, in ločite preverjanje podatkov od odobritve plačila. Pravilen logotip, preteklo dopisovanje in občutek nujnosti niso dokaz pristnosti.
Takšen postopek je smiseln tudi za majhno podjetje, kjer večino računov obravnava ena oseba. Cilj ni pregledovati vsakega sporočila kot kriminalistični primer. Cilj je vnaprej določiti, kaj se mora zgoditi ob spremembi plačilnih podatkov, da o tem ne odločamo šele takrat, ko nekdo zahteva takojšnje nakazilo.
Lažen račun dobavitelja: pomembna je sprememba postopka
SI-CERT opozarja na vrivanje v poslovno komunikacijo in druge prevare, pri katerih napadalec nastopa kot zaupanja vredna oseba. Zahteva lahko zadeva bančne podatke, plačilo ali občutljive informacije. Zaščita zato vključuje jasne notranje postopke, preverjanje sprememb po že znanem kanalu ter ločevanje odobritve in izvedbe plačila.
Izmišljeni primer: z dobaviteljem že sodelujete in prejmete račun za opravljeno storitev. Nekaj ur pozneje pride sporočilo, da stari račun zaradi »bančne posodobitve« ne velja več. Nova priponka ima isti znesek in podoben podpis, spremenjen pa je IBAN. Prav sprememba podatka, ki določa prejemnika denarja, sproži dodatno preverjanje, tudi če se vse ostalo ujema.
Pred prvim plačilom določite zaupanja vreden kontakt
Za pomembne dobavitelje imejte shranjeno kontaktno osebo in številko, ki ste ju preverili zunaj trenutnega sumljivega sporočila. To je lahko kontakt iz potrjenega sodelovanja. Telefonska številka, ki se prvič pojavi v zahtevi za spremembo TRR, ne predstavlja neodvisne poti. Če morate iskati nov kontakt, naj postopek potrdi odgovorna oseba v vašem podjetju.
Europolov prikaz prevare z računi prav tako opozarja, da napadalec zahteva spremembo podatkov za prihodnja plačila. Pri preverjanju priporoča uporabo kontaktov iz prejšnje komunikacije. Iz tega sledi praktično pravilo: preverjanje naj zapre vprašanje, kdo je spremembo zahteval, ne samo, ali nova številka računa obstaja ali je pravilno zapisana.
Kratka predloga preverjanja po telefonu
Povejte, da preverjate spremembo plačilnih podatkov za konkretno naročilo. Ne posredujte gesel, prijavnih kod ali nepotrebnih osebnih podatkov. Prosite, naj pristojna oseba potrdi, ali je zahtevo res poslala, kateri dokument nadomešča prejšnjega in kako boste potrditev zabeležili po običajnem postopku sodelovanja. Če sogovornik ni pristojen, preverjanje nadaljujte pri odgovorni osebi.
V internem zapisu naj bodo datum, uporabljeni kontakt, ime osebe, predmet potrditve in oseba, ki je preverjanje izvedla. Ne pišite samo »poklicano, vse v redu«. Takšna opomba pozneje ne pojasni, kaj je bilo potrjeno. Zapis ni jamstvo za varnost, omogoči pa razumljiv pregled in zmanjša nevarnost, da se preverjanje ob naslednjem računu spet preskoči.
| Dogodek | Predlagani interni korak | Kdo nadaljuje |
|---|---|---|
| Nov IBAN pri znanem dobavitelju | Začasno zadržanje spremembe in neodvisna potrditev | Oseba za preverjanje podatkov |
| Zahteva za nujno plačilo mimo postopka | Potrditev po veljavnem postopku brez izjeme zaradi pritiska | Pooblaščeni odobritelj |
| Nasprotujoče si potrditve | Ustavitev obdelave spornega računa | Odgovorna oseba in po potrebi IT |
| Plačilo je že izvedeno | Takojšnji stik z banko po znani poti | Pooblaščena oseba za bančni račun |
Dve osebi naj preverjata različni stvari
Če ekipa to omogoča, naj ena oseba preveri spremembo podatkov, druga pa odobri plačilo na podlagi zapisa. Prepisovanje iste številke iz istega sumljivega dokumenta dvakrat ne doda enake vrednosti kot neodvisna potrditev. Smisel drugega para oči je tudi vprašanje, ali je bil dogovorjeni postopek dejansko izveden in ali se dokumenti med seboj ujemajo.
V samostojnem podjetju razmislite o ustrezni podpori računovodstva in o pravilih za spremembe dobaviteljev. Konkretna razdelitev odgovornosti je odvisna od poslovanja. Pomembno je, da obstaja prepoznavna točka, ko se obdelava ustavi. Pravilo »vedno preverim, če se mi zdi čudno« je šibkejše od pravila, ki ga sproži vsaka sprememba računa.
Ko je račun že plačan
Takoj se obrnite na banko po uradnem, že znanem kanalu in pojasnite sum prevare. Pripravite podatke o transakciji, času in prejemniku. Ne čakajte na konec notranje analize. Možnost ukrepanja in povrnitve denarja je odvisna od okoliščin; nikjer ni zagotovljena. O primeru obvestite pristojne v podjetju in ob sumu kaznivega dejanja policijo.
Ohranite izvirno sporočilo, priponke in povezano komunikacijo. Tehnična ekipa lahko potrebuje izvirne podatke sporočila, ne samo posnetka zaslona. Če obstaja sum prevzetega e-poštnega računa, se pregleda lotite z odgovorno tehnično osebo. Ne izvajajte množičnega brisanja ali spreminjanja nastavitev, ki bi izbrisalo pomembne sledi ali otežilo nadaljnjo obravnavo.
Vzdržujte postopek tudi brez incidenta
Pravilo naj velja tudi ob odsotnosti običajne kontaktne osebe. Vnaprej določite namestnika in pot eskalacije, kadar potrditve ni mogoče dobiti. Če postopek deluje samo ob prisotnosti ene osebe, je ravno dopust ali službena pot trenutek povečane zmede. Začasnega zadržanja ne rešujte z nedokumentirano izjemo, ki jo naslednja oseba razume kot novo pravilo.
Enkrat na dogovorjeno obdobje v ekipi preigrajte izmišljeno spremembo TRR. Preverite, kdo ima kontakt dobavitelja, kdo lahko odobri spremembo in kako se zadrži plačilo. Vaja naj uporablja nenevarne primere in naj ne vključuje pravega nakazila. Rezultat je seznam nejasnosti, ki jih odpravite, preden pride resnična zahteva.
Povežite postopek z osnovnim preverjanjem prejemnika pri nakazilu. Za zaščito komunikacije uporabite tudi vodič za izbiro drugega prijavnega koraka. Tehnična zaščita računa in organizacijska potrditev plačila se dopolnjujeta; nobena sama ne razreši vseh možnih scenarijev.
Ali je račun varen, če pride z znanega naslova?
Ne nujno. Račun ali komunikacija sta lahko zlorabljena, zato znan naslov ni zadostna potrditev spremembe. Posebej preverite podatek, ki se spreminja, in za potrditev uporabite neodvisno pot. Pristnost celotnega pogovora se ne sklepa iz prikazanega imena pošiljatelja.
Ali lahko preverjanje opravi računovodski servis?
Lahko sodeluje v dogovorjenem postopku, vendar morajo biti odgovornosti jasno razdeljene. Dogovorite se, kdo ima preverjen kontakt in kdo odloča o spremembi podatkov. Samo posredovanje sporočila drugi osebi še ne pomeni, da je bila sprememba neodvisno potrjena.
Kaj, če dobavitelj zaradi preverjanja zahteva takojšnje plačilo?
Pojasnite, da uporabljate reden postopek potrjevanja bančnih podatkov. Nujnost ni dober razlog za preskok. Morebitne poslovne posledice zamude naj presodi pooblaščena oseba, pri tem pa naj ostane jasno, katere informacije še niso potrjene.
Viri in preverjanje
SI-CERT — prevare proti slovenskim podjetjem — preverjeno 3. novembra 2026.
Europol — invoice fraud — preverjeno 3. novembra 2026.