Nowe oszustwo w KSeF. Wysyłają faktury-widma, które trudno wykryć

Krajowy System e-Faktur ruszył na początku lutego i ma docelowo uprościć życie, ale początki są bardzo bolesne. System zmagał się z problemami technicznymi (np. nie dało się do niego zalogować) i ma luki, które bezlitośnie wykorzystują naciągacze.

KSeF pozwala wystawić e-fakturę dowolnej firmie na odległość, bez kontaktu osobistego. Wystarczy znać NIP. To ogromne ułatwienie, ale też pole do nadużyć (i żartów, bo już np. kupiono prezerwatywy na Kancelarię Premiera). Dla dużych przedsiębiorstw, które każdego miesiąca przetwarzają setki dokumentów, może to być jednak problem.

W gąszczu cyfrowych faktur łatwo przeoczyć jedną, fałszywą i zlecić przelew na konto oszusta. "Wystawienie scamowej faktury nie zawsze jest proste do wykrycia. Zazwyczaj może to być dokument od podmiotu, z którym nabywca nigdy nie współpracował lub fakturę za transakcję, która nigdy nie miała miejsca" – ostrzega na łamach "Gazety Prawnej" Joanna Łuksza z ifirma.pl.

Scam polega na liczeniu na nieuwagę księgowych lub brak weryfikacji kontrahentów. "Gazeta Prawna" zauważa, że, sam fakt pojawienia się dokumentu w systemie nie oznacza jeszcze, że musimy zapłacić podatek. Jednak błąd pracownika może kosztować firmę realne pieniądze.

Co więcej, wysłanie lipnej faktury może ujść na sucho, bo oszuści mogą przecież powiedzieć, że to była tylko pomyłka. To kolejna rzecz, przez którą ten scam będzie bardzo popularny: nie da się tak łatwo ocenić, czy ktoś specjalnie chce wyłudzić od nas pieniądze, czy po prostu gdzieś źle kliknął (np. pomylił cyferki w NIP) i przypadkowo wystawił nam rachunek.

Trzeba zachować czujność przy każdym nowym dokumencie. Ekspertka przyznaje, że czerwoną lampkę powinny zapalić błędy językowe w opisie usług, brak kontaktu z rzekomym wystawcą faktury czy krótkie terminy płatności. Jeśli NIP się zgadza, ale transakcja wydaje się podejrzana, powinniście wstrzymać się z przelewem.

W KSeF 2.0 wprowadzono specjalny mechanizm zgłaszania nadużyć. Przedsiębiorca może wskazać fałszywy dokument (niestety nie da się tego zrobić zbiorczo), by został zweryfikowany przez Krajową Administrację Skarbową.

"Gazeta Prawna" podaje, że funkcja ta ma charakter techniczny, a fiskus nie będzie informował nas o efektach swojego dochodzenia. Pozwoli jednak na śledzenie statusu zgłoszenia. "Nawet najlepszy mechanizm zgłaszania nie zwalnia przedsiębiorców z obowiązku należytej staranności biznesowej" – podkreśla Joanna Łuksza.

Równolegle z atakami wewnątrz KSeF, ruszyła fala phishingu podszywającego się pod skarbówkę. Ministerstwo Finansów wydało komunikat, w którym ostrzega przed wiadomościami e-mail łudząco przypominającymi oficjalne powiadomienia od naczelników urzędów skarbowych.

Oszuści chcą w ten sposób wyciągnąć nasze hasła i numery kont. Skarbówka radzi, aby zawsze weryfikować adres nadawcy, ponieważ przestępcy często zmieniają w nim tylko jedną literę. Przykłady poniżej:

Jeśli dostaniesz wiadomość, z którą coś jest nie tak, zawsze pamiętaj o tych zasadach:

Według danych resortu przestępcy potrafią podszyć się pod dowolną placówkę, dlatego każdy e-mail z nakazem zapłaty lub prośbą o dane powinien być sprawdzony dwa razy. W innym razie złodzieje mogą dostać dostęp do danych, dzięki którym mogą wyczyścić konto firmowe do zera.