Indywidualne numery rachunków bankowych w ZUS i możliwe scenariusze ataków

Z reguły ostrzegamy Was przez trwającymi właśnie atakami. Tym razem mamy okazję ostrzec przed atakami, które jeszcze się nie pojawiły – ale jest spora szansa, że już za miesiąc będziecie mogli na nie trafić w swoich skrzynkach – nie tylko pocztowych.

W większości obserwowanych przez nas ataków przestępcom chodzi głównie o pieniądze i właśnie wokół pieniędzy i procesów z nimi związanych kręci się świat internetowych oszustów. Szczególnie lubią oni sytuacje, które dotyczą dużych grup obywateli i wiążą się ze zmianami lub nowościami – wtedy przestępcy czują, że są w stanie wykorzystać niepewność swoich ofiar i je okraść. Taka okazja nadarzy się im już wkrótce – bo w styczniu 2018.

Wprowadzenie

Od dnia 1 stycznia 2018 roku każdy przedsiębiorca zobowiązany jest do korzystania z indywidualnego numeru rachunku składkowego w Zakładzie Ubezpieczeń Społecznych. Na ten numer przedsiębiorcy będą wykonywać łącznie jeden przelew na ubezpieczenia społeczne, ubezpieczenia zdrowotne, Fundusz Pracy, Fundusz Gwarantowanych Świadczeń Pracowniczych i Fundusz Emerytur Pomostowych. Kwota zadeklarowana w przelewie ma zostać automatycznie podzielona na ubezpieczenia i fundusze w oparciu o wysokość składek, które zostały określone w ostatniej deklaracji rozliczeniowej płatnika. Z dniem 31 grudnia 2017 roku obecne konta ZUS zostaną zamknięte i dokonywanie przelewów na te numery  będzie niemożliwe. To istotna zmiana dla każdego polskiego przedsiębiorcy i świetna okazja dla przestępców.

Akcja informacyjna dotycząca indywidualnego numeru rachunku

Indywidualny numer rachunku zostanie przesłany listem poleconym za pośrednictwem Poczty Polskiej. Co znajdzie się w korespondencji przesłanej przez ZUS? Przede wszystkim informacja o rachunku do rozliczeń z ZUS, informacja o e-składce oraz informacja o jednolitym pliku kontrolnym (JPK_VAT). W przypadku dokonania przelewu na nieprawidłowy rachunek bankowy przedsiębiorca nie może liczyć na ochronę ze strony Zakładu Ubezpieczeń Społecznych. Oznacza to, że na przedsiębiorcy ciąży obowiązek dochowania należytej staranności w procesie wykonywania przelewów. W sekcji pytań i odpowiedzi dotyczących e-składki (ZUS e-składka w Pytaniach i Odpowiedziach) możemy przeczytać o tym, że w przypadku otrzymania wpłaty po terminie ZUS pobierze należne odsetki i po prostu należy zwrócić szczególną uwagę na to, czy został wpisany poprawny numer rachunku bankowego.

Możliwy scenariusz ataku

Podszycie się pod ZUS i wysłanie do przedsiębiorców listu wskazującego „nowy numer rachunku ZUS” wydaje się najprostszym atakiem, lecz nie jest trudno go uprawdopodobnić. Do końca roku tego rodzaju atak nie ma większego sensu, ponieważ pierwsze przelewy na nowe numery rachunków będą wysyłane dopiero w 2018. Do tego momentu wszyscy przedsiębiorcy powinni już swój list od ZUSu otrzymać. Co zatem mogą zrobić przestępcy?

Oszuści mogą wysyłać np. informacje o zmianie wskazanego w poprzednim liście numeru rachunku. W celu podniesienia wiarygodności kampanii w treści korespondencji mogą zawrzeć nie tylko ogólnodostępne dane przedsiębiorcy, lecz również jego indywidualny numer rachunku bankowego do rozliczeń z ZUS. Skąd jednak atakujący może pobrać indywidualny numer rachunku bankowego przedsiębiorcy wykorzystywany do rozliczeń z ZUS?

There’s an app for that

Uzyskanie indywidualnego numeru rachunku jest możliwe za pomocą narzędzia, które jest udostępniane przez Zakład Ubezpieczeń Społecznych. Portal eskladka.pl umożliwia wygenerowanie prawidłowego numeru rachunku bankowego dla każdego płatnika w oparciu wskazanie dwóch identyfikatorów. W pierwszej grupie zostały wyodrębnione identyfikatory, takie jak NIP, REGON, PESEL, dowód osobisty, paszport. Natomiast w drugiej grupie zostały wyodrębnione identyfikatory obejmujące NIP, REGON, PESEL, dowód osobisty, paszport, imię i nazwisko, nazwa skrócona płatnika. Oznacza to, że wystarczy publicznie dostępny nr NIP i REGON przypisany do przedsiębiorcy, by wygenerować prawidłowy nr jego rachunku ZUS.

Z pomocą mogą przyjść dane, które są zawarte w publicznych rejestrach – Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG) oraz w Krajowym Rejestrze Sądowym (KRS).

Wrzucanie danych z rejestrów do systemu eskladka.pl może być czasochłonne i uciążliwe dla atakującego oraz trudne do automatyzacji ze względu na obecny kod CATPCHA. Dlatego też istnieje możliwość przygotowania się do ataku w wersji „dla leniwych”, która będzie polegała na samodzielnym wygenerowaniu prawidłowego numeru. Do utworzenia prawidłowego numeru rachunku dla większości ofiar atakujący potrzebuje wyłącznie informację o Numerze Identyfikacji Podatkowej. Indywidualny numer rachunku poza dwucyfrową liczbą kontrolną składa się z 11 cyfrowej stałej, 3 cyfrowej liczby uzupełniającej (najczęściej 001) oraz Numeru Identyfikacji Podatkowej.

Ostrzeż swojego księgowego

Czy tego typu ataki na przedsiębiorców zostaną przeprowadzone? Nie jest to wykluczone i taki wektor ataku jest prawdopodobny. Podobne ataki były już przeprowadzane w przeszłości. Jak zatem upewnić się, że posiadany numer rachunku jest prawdziwy? Indywidualny numer rachunku ma ściśle określoną konstrukcję, na którą należy zwrócić uwagę. Numer wskazany przez przestępców raczej nie będzie zawierał naszego NIPu.

Konstrukcja indywidualnego numeru rachunku bankowego w ZUS. Źródło: http://www.zus.pl/eskladka

Warto poinformować osoby odpowiedzialne za dokonywanie przelewów do Zakładu Ubezpieczeń Społecznych o formie przekazywania informacji o rachunku oraz konstrukcji indywidualnego numeru. Informacja ta może być szczególnie wartościowa dla osób, które dopiero rozpoczynają prowadzenie działalności gospodarczej lub w przyszłości zamierzają otworzyć własną firmę.