« Cześć, tu Patryk. Zepsuł mi się telefon, piszę z komórki córki. Możesz dziś zrobić przelew do dostawcy koszulek? Faktura jest w załączniku na twojej skrzynce mailowej, musi wyjść przed 17:00, inaczej stracimy zamówienie na turniej. Dzięki, wszystko ci wyjaśnię. »
Patryk faktycznie jest prezesem klubu. Skarbnik, emeryt działający jako wolontariusz od jedenastu lat, rozpoznał ton, bezpośredni zwrot, typowy pośpiech początku sezonu. Zapłacił 2 340 € z konta stowarzyszenia. Prawdziwy Patryk, złapany wieczorem przez telefon, nigdy nie napisał tej wiadomości.
Dużo mówi się o smishingu wymierzonym w konsumentów, a od niedawna również w osoby prowadzące jednoosobową działalność. Trzecia grupa ofiar pozostaje niemal niewidoczna: sektor stowarzyszeń. We Francji działa około 1,5 miliona aktywnych stowarzyszeń, z czego ogromna większość funkcjonuje bez ani jednego pracownika — z wolontariuszami, którzy obsługują realne konto bankowe ze swojego prywatnego telefonu. Żadnego działu IT, żadnych procedur na piśmie, a numery komórek rozwieszone wszędzie: na plakatach turniejowych, ulotkach loterii, stronie urzędu gminy.
Dlaczego stowarzyszenie to idealny cel
Numery osób funkcyjnych są publiczne z samej natury rzeczy
Stowarzyszenie istnieje, żeby być dostępne. Numer prezesa, sekretarza czy osoby odpowiedzialnej za zapisy można znaleźć bez żadnego włamania:
- na plakacie z naborem do klubów i ulotkach festynu;
- w gminnym katalogu stowarzyszeń, często przepisanym bez zmian na stronę urzędu;
- na facebookowej stronie klubu, w przypiętych postach i komentarzach;
- w protokołach z walnego zebrania publikowanych w PDF-ach, czasem z pełnym składem zarządu;
- w zaproszeniach wysyłanych przez WhatsAppa, przekazywanych z grupy na grupę aż wychodzą poza krąg członków;
- w oficjalnym rejestrze stowarzyszeń (we Francji: JOAFE) — w danych kontaktowych ze zgłoszenia.
Oszust nie potrzebuje więc żadnego wycieku danych. Potrzebuje jednego popołudnia i wyszukiwarki. Wie, kto jest prezesem, kto skarbnikiem, a często także kiedy odbędzie się następne walne zebranie.
Pieniądze są, i przepływają skokowo
Wbrew obrazkowi klubu bez grosza, średniej wielkości stowarzyszenie sportowe obraca kilkudziesięcioma tysiącami euro rocznie: składki, dotacje, bufet, loteria, lokalni sponsorzy, sklepik. Te przepływy nie są regularne — pojawiają się we wrześniu, a potem przy każdej imprezie. Nietypowy przelew na 2 000 € w szczycie sezonu zapisów nikogo nie dziwi.
Zarządzanie opiera się na zaufaniu, nie na procedurze
W firmie przelew przechodzi przez obieg zatwierdzeń. W stowarzyszeniu często przechodzi przez wiadomość: « możesz zapłacić, zatwierdzam ». Wolontariat działa na relacjach międzyludzkich. I właśnie to wykorzystuje inżynieria społeczna: oszust nie atakuje systemu informatycznego, on pożycza sobie relację zaufania.
Cztery scenariusze, które powtarzają się najczęściej
1. Fałszywy prezes („oszustwo na prezesa" w wersji SMS)
To scenariusz z wiadomości otwierającej artykuł. SMS z nieznanego numeru, w imieniu prezesa lub członka zarządu, z trzema niemal zawsze obecnymi znacznikami:
- uzasadniona zmiana numeru („zepsuty telefon", „zgubiłem kartę SIM", „jestem za granicą");
- pilność z konkretną datą (przed 17:00, przed zamknięciem targu, przed wygaśnięciem zamówienia);
- wiarygodny i możliwy do sprawdzenia powód: koszulki, wynajem sali, zaliczka za autokar, wpisowe na zawody.
Prośba nigdy nie brzmi „wyślij mi pieniądze". Zawsze brzmi „zapłać temu dostawcy" — co przenosi odpowiedzialność i uspokaja.
2. Fałszywy dostawca i zmiana numeru konta
Wariant bardziej chłodny i zabójczo skuteczny: SMS lub mail podający się za cateringa, drukarnię, wypożyczalnię busów albo przewoźnika, informujący o zmianie danych bankowych. Tekst jest profesjonalny, czasem dołączony jest fałszywy dokument z poprawnym nagłówkiem. Stowarzyszenie płaci prawdziwą fakturę… na zły rachunek.
Banque de France w raportach Obserwatorium bezpieczeństwa środków płatniczych od kilku lat zwraca uwagę na wzrost oszustw opartych na manipulacji — tych, w których ofiara sama wykonuje płatność. Stowarzyszenia wpisują się w tę kategorię całkowicie, a to właśnie w takich przypadkach najtrudniej odzyskać pieniądze.
3. Fałszywy członek i wyłudzanie danych
Inne podejście: SMS skierowany nie do zarządu, lecz do rodzin, podszywający się pod klub. « Uzupełnienie licencji: na Państwa koncie brakuje 18 €, prosimy o uregulowanie do niedzieli, aby dziecko było objęte ubezpieczeniem. » Link prowadzi do strony płatności imitującej znaną platformę. Kwota jest niewielka, stawka emocjonalna wysoka (ubezpieczenie dziecka), a klub dowiaduje się o sprawie wiele tygodni później.
Żeby ten scenariusz zadziałał, oszust potrzebuje listy numerów rodziców. A ona krąży szerzej, niż się sądzi: otwarte grupy na WhatsAppie, pliki Excel wysyłane w załączniku do całego zarządu, arkusz udostępniony publicznie do odczytu, były sekretarz, który trzyma listę w prywatnym telefonie.
4. Fałszywa dotacja i fałszywa instytucja
Ostatni klasyk, w wyraźnym wzroście: SMS z informacją o zatwierdzonym wniosku o dotację, w imieniu „krajowej agencji sportu", „funduszu rozwoju życia stowarzyszeniowego" albo fundacji korporacyjnej. Sygnał ostrzegawczy: najpierw żąda się dokumentów (statut, numer konta, dowód tożsamości prezesa), potem „opłaty manipulacyjnej". Żaden publiczny program nie pobiera opłat za wypłatę dotacji i żaden nie ogłasza jej SMS-em na prywatny numer.
Zasada selekcji, która działa niemal zawsze: SMS nigdy nie prosi o decyzję finansową. Może informować, przypominać, potwierdzać. W momencie, gdy prosi o działanie, zmienia status: to trop do weryfikacji, nie polecenie do wykonania.
Dlaczego wolontariusz jest bardziej narażony niż pracownik
Nakładają się trzy czynniki — i żaden z nich nie ma nic wspólnego z inteligencją.
| Czynnik | Konkretna konsekwencja |
|---|---|
| Telefon jest prywatny | Brak firmowego filtrowania, brak MDM, wiadomości klubowe lądują między dwiema wiadomościami od rodziny |
| Czasu jest mało | Sprawy klubu załatwia się wieczorem, po zmęczeniu, między innymi obowiązkami — czyli w stanie, w którym presja czasu działa najlepiej |
| Funkcje się zmieniają | Nowy skarbnik wybrany we wrześniu nie zna jeszcze faktycznych nawyków prezesa |
| Błąd jest osobisty | Strach, że naraziło się cudze pieniądze, skłania do milczenia, a więc do opóźnienia zgłoszenia |
Ten ostatni punkt jest najdroższy. W sprawach, które udało nam się udokumentować, średni czas między oszukańczym przelewem a zgłoszeniem w banku często przekracza 48 godzin — właśnie dlatego, że wolontariusz najpierw próbuje zrozumieć, co się stało, a potem waha się, czy powiadomić zarząd.
Siedem rozwiązań, które zmieszczą się w jednym zebraniu zarządu
Celem nie jest zbiurokratyzowanie klubu bulistów. Chodzi o wprowadzenie kilku punktów oporu w odpowiednich miejscach.
1. Zasada telefonu zwrotnego na znany numer
Każda prośba o płatność, zmianę numeru konta czy pilny przelew otrzymana SMS-em, przez WhatsAppa lub mailem jest weryfikowana połączeniem wychodzącym na numer zapisany w kontaktach — nigdy na numer, z którego przyszła wiadomość, i nigdy przez odebranie połączenia przychodzącego. Jedno zdanie do wpisania w protokole walnego zebrania, które neutralizuje oszustwo na prezesa.
2. Podwójny podpis powyżej progu
Ustalcie limit (na przykład 500 €), powyżej którego wymagane jest zatwierdzenie przez dwie osoby z zarządu. Większość banków oferuje podwójną autoryzację na kontach stowarzyszeń; w razie jej braku zgodę można udokumentować mailem potwierdzającym od prezesa. Oszust nie potrafi być dwiema osobami naraz.
3. Księga kasowa, która nie istnieje wyłącznie w telefonie
Najlepiej zorganizowane klubyże, jakie spotkaliśmy, zawsze prowadzą papierowy duplikat: zwykły rejestr księgowy w kolumnach leżący w klubowym lokalu, w którym każdy przychód i każdy wydatek wpisuje się ręcznie tego samego dnia. To nie nostalgia: w razie sporu to ślad niezależny od telefonu i konta internetowego, a nietypowa płatność staje się w nim widoczna natychmiast.
4. Traktujcie listę członków jak dane wrażliwe
Lista 200 numerów rodziców to zbiór danych osobowych w rozumieniu RODO, a stowarzyszenie jest jego administratorem. W praktyce:
- jeden wyznaczony dysponent i przekazanie następcy przy każdej zmianie zarządu;
- żadnego wysyłania w załączniku do całego zarządu „do wiadomości";
- do wysyłek grupowych korzystajcie z funkcji rozsyłania, która ukrywa odbiorców, a nie z grupy, w której każdy widzi wszystkie numery;
- zaszyfrowany nośnik do kopii zapasowych — bezpieczny pendrive ze sprzętowym szyfrowaniem kosztuje kilkadziesiąt euro i zapobiega temu, by plik z członkami walał się w prywatnej chmurze byłego sekretarza.
Francuski organ ochrony danych CNIL publikuje poradniki dedykowane stowarzyszeniom na temat prowadzenia list członków: to aktualny punkt odniesienia w razie wątpliwości.
5. Numer klubowy odrębny od numerów prywatnych
To rozwiązanie, które w dłuższej perspektywie zmienia najwięcej. Dedykowana linia — karta SIM na przedpłatę w prostym telefonie komórkowym albo drugi numer w urządzeniu z dual SIM — staje się publicznym punktem kontaktowym klubu. Przechodzi na kolejny zarząd, pochłania spam i pozwala jednym spojrzeniem odróżnić „wiadomość od klubu" od „wiadomości, która udaje, że jest od klubu" na linii prywatnej. Dla skarbnika to także gwarancja, że jego prywatny numer nie wisi na plakacie.
6. Włączcie filtry antyspamowe w telefonie, a potem zgłaszajcie
W Androidzie ochrona przed oszukańczymi wiadomościami w aplikacji Messages została w 2026 roku wzmocniona we Francji i wykrywa część złośliwych linków. W iPhone'ie filtrowanie nieznanych nadawców odkłada wiadomości od osób spoza kontaktów do osobnej zakładki. Te narzędzia nie zastępują zasady nr 1, ale zmniejszają wolumen.
Każdy oszukańczy SMS należy następnie zgłosić pod numer 33700 (oficjalna, bezpłatna francuska usługa zgłaszania spamu SMS), przekazując wiadomość, a potem numer nadawcy. Próby, które zakończyły się stratą, zgłasza się na platformie Cybermalveillance.gouv.fr, a w zakresie karnym — przez złożenie zawiadomienia o przestępstwie. System Perceval dotyczy nieuprawnionego użycia karty płatniczej, a nie przelewów wykonanych dobrowolnie.
7. Dziesięciominutowe szkolenie przy każdej zmianie zarządu
Nie trzeba seminarium. Cztery powyższe scenariusze, przeczytane na głos na zebraniu, wystarczą, by uodpornić większość wolontariuszy. Stowarzyszenia przyjmujące publiczność lub pracujące z nieletnimi mogą z pożytkiem trzymać w lokalu praktyczny poradnik o cyberbezpieczeństwie, żeby nowy sekretarz nie musiał szukać odpowiedzi w internecie w wieczór paniki.
Jeśli przelew już wyszedł
Pierwsze godziny liczą się bardziej niż wszystko inne.
- Natychmiast zadzwoń do banku i poproś o próbę wycofania przelewu (recall). Zwykły przelew SEPA można czasem zablokować, jeśli nie został jeszcze wykonany albo jeśli środki nadal są na rachunku odbiorcy. Przelew natychmiastowy jest nieodwracalny, ale zgłoszenie i tak ma sens.
- Powiadom prezesa i zarząd bez zwłoki, nawet jeśli decyzja została podjęta samodzielnie. Szkoda dotyczy stowarzyszenia, nie wolontariusza.
- Złóż zawiadomienie o przestępstwie, załączając zrzuty ekranu SMS-a, numer nadawcy, zlecenie przelewu i historię rachunku. Zachowaj oryginalną wiadomość w telefonie: pełny zrzut ekranu z datą i godziną jest lepszy niż przekazana dalej kopia.
- Powiadom ubezpieczyciela stowarzyszenia: niektóre polisy wielopakietowe dla stowarzyszeń zawierają — często nieznaną — ochronę od „oszustwa" lub „nadużycia finansowego".
- Poinformuj członków, jeśli ich dane mogły wyciec, a w przypadku naruszenia ochrony danych osobowych rozważ zgłoszenie do organu nadzorczego w ciągu 72 godzin.
Co warto zapamiętać
Oszuści nie „odkryli" stowarzyszeń: te po prostu oferują najlepszą relację między łatwością zdobycia numerów a realną obecnością pieniędzy. Wobec tego żadna technologia nie zastąpi dwóch odruchów w zarządzaniu: nie podejmuje się decyzji o płatności na podstawie wiadomości i zawsze dzwoni się zwrotnie na numer, który już znamy.
Stowarzyszenie, które wpisze te dwa zdania do swojego regulaminu, przeznaczy osobny numer do kontaktów publicznych i będzie chronić listę członków jak dane wrażliwe, staje się celem wyraźnie mniej opłacalnym. A wolontariusz odzyskuje prawo do czytania SMS-a bez zastanawiania się, czy nie będzie on kosztował jego klubu 2 000 €.
