Przed pierwszą współpracą: jak zweryfikować e-mail, domenę i dane firmy

Dlaczego weryfikacja przed pierwszą współpracą jest koniecznością, a nie przejawem braku zaufania

Zdrowa ostrożność kontra biznesowa paranoja

Przed pierwszą współpracą z nowym kontrahentem naturalne jest lekkie napięcie. Z jednej strony chęć domknięcia transakcji i zarobku, z drugiej poczucie ryzyka: czy ta firma na pewno istnieje, czy ktoś mnie nie naciąga, kto tak naprawdę stoi po drugiej stronie e-maila. W realiach rosnącej liczby wyłudzeń i scamów B2B weryfikacja kontrahenta przed umową to raczej standard higieny biznesowej niż dowód braku zaufania.

Zdrowa ostrożność polega na tym, że masz spójny proces sprawdzania każdego nowego partnera. Nie panikujesz, nie zakładasz od razu złych intencji, ale nie podpisujesz dokumentów tylko dlatego, że ktoś pisze „dużą literą”, ma ładne logo i atrakcyjną propozycję. Zbierasz fakty, porównujesz dane, szukasz niespójności i dopiero potem podejmujesz decyzję.

Paranoja to z kolei sytuacja, w której przy obrocie za kilkaset złotych wymagasz od mikroprzedsiębiorcy dziesięciu dokumentów, notarialnych pełnomocnictw i tygodnia na analizę. Efekt: tracisz okazje, blokujesz sprzedaż i budujesz wizerunek trudnego partnera. Równowaga leży pośrodku: stały minimalny standard weryfikacji plus pogłębiona analiza, gdy kwoty i ryzyko rosną.

Typowe „wtopy” przy pierwszej współpracy

Najbardziej bolą te historie, których można było uniknąć prostymi krokami. Najczęstsze scenariusze problemów przy pierwszej współpracy wyglądają podobnie:

• Niewypłacalny kontrahent – spółka formalnie istnieje, ma ładne logo i stronę. Po wykonaniu usługi faktura pozostaje nieopłacona. Dopiero wtedy wychodzi, że firma od miesięcy ma zajęcia komornicze, figuruje w rejestrze dłużników, a zarząd zmieniał się wielokrotnie.
• Wyłudzenie danych – ktoś podaje się za znaną markę, wysyła e-mail z bardzo podobnego adresu i prosi o przesłanie szczegółowych danych klientów, logów systemu, dostępów technicznych. Prawdziwa firma nic o tym nie wie.
• Phishing i scam – przychodzi oferta rzekomo od partnera z zagranicy: „duże zamówienie, szybka zaliczka, potrzebujemy tylko danych do wystawienia faktury pro forma i skanu dokumentu”. Po wpłacie kontakt się urywa, domena milknie, a adres e-mail przestaje odpowiadać.
• Fałszywe firmy i oszustwa – działalność gospodarcza już dawno zawieszona, ale ktoś wciąż podpisuje umowy na jej dane. Albo: osoba posługuje się cudzym NIP-em, bo liczy na to, że nikt nie zajrzy do CEIDG.

Wspólny mianownik: brak podstawowej weryfikacji domeny, e-maila i danych firmy przed pierwszą współpracą. Wiarygodność danych rejestrowych leżała „odłogiem”, a prosta checklista przed podpisaniem umowy skróciłaby temat o tygodnie nerwów.

Krótkie case study: atrakcyjna oferta, zaliczka i pusta domena

Realistyczny przykład z praktyki: agencja marketingowa dostaje superatrakcyjne zapytanie na kampanię dla „filmy z branży technologicznej”. E-mail od osoby o stanowisku „Head of Global Marketing”, domena wygląda profesjonalnie, stawki rynkowe, tylko jeden warunek – szybka zaliczka na start prac.

Po kilku dniach od zaksięgowania zaliczki kontakt milknie. Po tygodniu domena przestaje działać. Po dwóch tygodniach okazuje się, że nazwa firmy jest bardzo podobna do dużej międzynarodowej korporacji, ale z inną końcówką domeny, a spółka o takim NIP-ie nie istnieje. Błąd? Brak sprawdzenia firmy w rejestrach i brak audytu domeny firmowej jeszcze przed wysłaniem pro formy.

Biznesowe konsekwencje braku weryfikacji

Ryzyko to nie tylko utracona kwota pojedynczej faktury. Brak sprawdzania kontrahentów odbija się szerzej:

• Czas – windykacja, maile ponaglające, rozmowy z prawnikami, zbieranie dokumentów. Godziny, które można było poświęcić na realną sprzedaż lub rozwój firmy.
• Pieniądze – strata zaliczki, koszt produkcji, koszt obsługi prawnej, ewentualne podatki od faktury, której nikt nigy nie opłacił.
• Reputacja – jeśli Twój klient końcowy ucierpi w wyniku współpracy z niewiarygodnym podwykonawcą, to Ty stajesz przed nim z wyjaśnieniami. Zewnętrzne wyłudzenie może przełożyć się na utratę zaufania do Twojej firmy.
• Bezpieczeństwo danych – przekazanie danych osobowych lub technicznych (dostęp do serwerów, CRM) podmiotowi, którego nie sprawdzono, oznacza ryzyko naruszeń RODO i poważnych problemów prawnych.

Stała, spokojna weryfikacja maila, domeny i danych firmy to nieduży koszt w porównaniu z potencjalną skalą strat. Przy kilku podstawowych krokach unikniesz większości „min”, w które regularnie wpadają firmy zbyt ufne lub zbyt zabiegane.

Minimalny standard weryfikacji – co sprawdzić zawsze, niezależnie od kwoty i skali

Trzy filary: e-mail, domena, dane firmy i osoby

Bez względu na to, czy pierwsze zlecenie opiewa na kilkaset złotych, czy na kilkaset tysięcy, warto oprzeć się na trzech podstawowych filarach:

• Adres e-mail – czy wygląda wiarygodnie, czy jest spójny z domeną firmy, czy w nagłówkach wiadomości nie widać podszywania się lub dziwnych przekierowań.
• Domena firmowa – kiedy zarejestrowano domenę, kto jest abonentem, czy strona ma SSL, czy są pełne dane firmy, regulaminy, polityka prywatności, realne kontakty.
• Dane firmy i osoby – czy firma istnieje w KRS/CEIDG, czy nie jest zawieszona/wykreślona, czy osoba kontaktowa jest realna i ma umocowanie do działania.

Ten minimalny zestaw można zrealizować w kilkanaście minut. W większych organizacjach część kroków da się zautomatyzować lub przydzielić konkretnej osobie, która robi weryfikację kontrahenta przed umową.

Kiedy „light check”, a kiedy pełny audyt

Nie każdy lead wymaga godzin analizy. Pomaga prosty podział na dwa tryby:

• Light check – drobne zlecenia, niskie ryzyko, brak dostępu do wrażliwych danych. Wystarczy:
  • wyszukanie firmy w KRS/CEIDG i sprawdzenie statusu,
  • porównanie podstawowych danych (nazwa, NIP, adres) ze stopką maila i stroną www,
  • rzut oka na domenę (SSL, sekcja „Kontakt”, dane firmy),
  • sprawdzenie osoby kontaktowej na LinkedIn lub na stronie „O nas”.
• Głęboka analiza – duża wartość transakcji, istotne dane, długotrwała współpraca. Oprócz powyższych kroków dochodzi:
  • sprawdzenie rejestrów dłużników i ostrzeżeń (np. komunikaty organów nadzoru, rejestry branżowe),
  • weryfikacja statusu VAT/VAT UE,
  • wgląd w historię domeny i reputację w sieci,
  • weryfikacja umocowania osoby podpisującej umowę (reprezentacja, pełnomocnictwo),
  • dodatkowy kontakt telefoniczny na numer z oficjalnej strony.

Taki podział zapewnia równowagę między bezpieczeństwem a płynnością sprzedaży. Nie zabijasz procesu handlowego, ale nie wchodzisz w ciemno w ryzykowne układy.

Sygnały ostrzegawcze, które podnoszą czujność

Doświadczenie uczy, że pewne sygnały od razu powinny ustawić myślenie w trybie „sprawdzam dokładniej”. Przykładowe czerwone flagi:

• adres e-mail z darmowej skrzynki (np. popularne serwisy) zamiast z domeny firmowej przy większych kontraktach,
• domena firmy zarejestrowana kilka dni temu, brak historii obecności w sieci,
• rozbieżne dane: inne NIP-y, różne nazwy spółek w stopce maila, na stronie i w projekcie umowy,
• brak spójnej obecności osoby kontaktowej w internecie (brak profilu zawodowego, brak wzmianki na stronie firmy),
• silna presja na szybką decyzję, szczególnie jeśli dotyczy zaliczek lub długich umów,
• prośby o przesłanie skanów dokumentów, danych logowania, dostępu do systemów „przed podpisaniem czegokolwiek”.

Każdy z tych elementów sam w sobie nie musi oznaczać oszustwa, ale jest powodem, by uruchomić pełną checklistę i nie opierać się tylko na słowach po drugiej stronie.

Jak zorganizować proces weryfikacji w firmie

Jednorazowa akcja „sprawdźmy klienta, bo coś mi tu nie gra” jest mniej warta niż prosty, powtarzalny proces. Kilka zasad, które ułatwiają życie:

• Jasne kryteria – ustal, powyżej jakiej kwoty lub przy jakich typach usług robisz pełny audyt (e-mail, domena, dane firmy, osoba, rejestry dłużników).
• Odpowiedzialna osoba – przypisz rolę: np. dział sprzedaży robi light check, a dział finansów/administracji – pogłębioną weryfikację przed podpisaniem większej umowy lub przed wysłaniem zaliczki.
• Prosta checklista – nawet w formie jednego pliku lub prostego formularza, w którym odhaczasz:
  • CEIDG/KRS sprawdzone – TAK/NIE,
  • NIP, adres, forma prawna zgodne – TAK/NIE,
  • domena i e-mail zweryfikowane – TAK/NIE,
  • osoba uprawniona do reprezentacji – TAK/NIE,
  • rejestry dłużników/ostrzeżeń przejrzane – TAK/NIE (przy wyższym ryzyku).
• Archiwizacja dowodów – zrób zrzuty ekranu z kluczowych rejestrów, wyniki wyszukiwań i nagłówki pierwszych maili. To zabezpiecza firmę, jeśli za rok ktoś zapyta: „dlaczego z nimi współpracowaliście?”.

Stale stosowany proces daje też komfort handlowcom: mogą spokojnie mówić klientom, że w firmie obowiązuje standardowa procedura weryfikacji i nie jest ona wymierzona w konkretną osobę.

Dane firmy krok po kroku – KRS, CEIDG, REGON, VAT, BDO i inne rejestry

Jak sprawdzić firmę w KRS i CEIDG

Podstawą weryfikacji danych firmy jest sprawdzenie, czy podmiot w ogóle istnieje w oficjalnych rejestrach i w jakim stanie prawnym działa. W Polsce główne źródła to:

• KRS (Krajowy Rejestr Sądowy) – dla spółek prawa handlowego (np. spółki z o.o., akcyjne, komandytowe, fundacje),
• CEIDG (Centralna Ewidencja i Informacja o Działalności Gospodarczej) – dla jednoosobowych działalności gospodarczych i spółek cywilnych (w zakresie przedsiębiorców).

Aby sprawdzić firmę, korzystasz z oficjalnej wyszukiwarki odpowiedniego rejestru. Wystarczy nazwa, NIP lub numer KRS. Przydatne wskazówki:

• szukaj po NIP – jest bardziej jednoznaczny niż nazwa, którą da się łatwo zmodyfikować,
• jeśli nie znasz NIP-u, porównuj różne warianty nazwy (bez polskich znaków, ze skrótami),
• upewnij się, że to właściwy podmiot – w Polsce potrafi działać kilka firm o bardzo podobnych nazwach.

Rejestry te pokazują nie tylko, czy firma istnieje, lecz także status działalności (aktywny, zawieszony, wykreślony) oraz podstawowe dane identyfikacyjne.

Jakie dane porównać z e-mailem i domeną

Kiedy masz już wpis z KRS lub CEIDG, zestaw go z tym, co dostajesz od kontrahenta. Najważniejsze elementy do porównania:

• Pełna nazwa firmy – w rejestrze a w stopce maila, na stronie www, w projekcie umowy i na fakturze pro forma.
• NIP – czy NIP podany w korespondencji, na stronie i na dokumentach jest identyczny z tym w rejestrze.
• Adres siedziby – miejsce rejestrowe kontra adres korespondencyjny na stronie i w stopce. Różnica nie musi oznaczać oszustwa, ale powinna być spójnie wyjaśniona (np. „siedziba” i „biuro operacyjne”).
• Forma prawna – działalność jednoosobowa, spółka z o.o., spółka jawna itd. To wpływa na sposób reprezentacji firmy oraz odpowiedzialność.
• Status działalności – aktywny, zawieszony, wykreślony. Współpraca z podmiotem zawieszonym lub wykreślonym oznacza poważne problemy prawne i podatkowe.

Rejestr REGON i jakie informacje z niego wyciągniesz

REGON to statystyczny rejestr podmiotów gospodarki narodowej. Nie daje tylu informacji prawnych, co KRS czy CEIDG, ale dobrze uzupełnia obraz firmy.

Do wyszukiwarki REGON wejdziesz przez stronę GUS. Wyszukiwać możesz po NIP, REGON, nazwie firmy lub adresie. Najpraktyczniejsze jest szukanie po NIP – ogranicza ryzyko pomylenia spółek o podobnych nazwach.

Na co zwrócić uwagę w danych REGON:

• Numer REGON – czy pokrywa się z tym, co widzisz na stronie www i w dokumentach.
• Status podmiotu – czy jest aktywny, w likwidacji, w fazie organizacji.
• PKD – profile działalności. Jeśli firma z REGON-u ma główną działalność „usługi kosmetyczne”, a w korespondencji podaje się jako „software house”, jest o co dopytać.
• Adres – dodatkowy punkt odniesienia do porównania z KRS/CEIDG i danymi na stronie.

REGON dobrze sprawdza się jako „drugie źródło” – jeśli coś nie gra w KRS/CEIDG, REGON bywa dodatkowym sygnałem, że firma przeszła ostatnio sporą zmianę (np. zmiana formy prawnej, fuzja).

Weryfikacja statusu VAT i VAT UE

Przy transakcjach B2B, szczególnie z większymi kwotami lub z zagranicą, status VAT jest krytyczny. Masz do dyspozycji dwie ścieżki:

• Biała lista podatników VAT – polski rejestr podatników VAT.
• System VIES – unijny system weryfikacji numerów VAT UE.

Po stronie polskiej w wyszukiwarce Ministerstwa Finansów wpisujesz NIP i dostajesz informację, czy podmiot jest czynnym podatnikiem VAT, zwolnionym, czy wykreślonym. Kluczowe rzeczy do sprawdzenia:

• status „czynny” lub „zwolniony” – w zależności od charakteru współpracy,
• rachunki bankowe – czy numer konta do przelewu, który dostałeś mailem lub w umowie, jest na białej liście.

Przelew powyżej limitów na konto spoza białej listy może skończyć się problemami podatkowymi albo odpowiedzialnością solidarną za VAT. Dlatego przy większych zaliczkach przejrzenie białej listy to kilka minut dobrze zainwestowanego czasu.

Przy współpracy z firmami z UE w VIES sprawdzasz, czy numer VAT kontrahenta (z prefiksem kraju) jest ważny. Jeśli nie jest – ponownie, pytanie do partnera: czy nie zmienili formy, czy nie doszło do błędu w numerze.

BDO, branżowe rejestry i listy ostrzeżeń

Niektóre branże mają obowiązkowe, wyspecjalizowane rejestry. Typowe przykłady:

• BDO – rejestr podmiotów wprowadzających produkty, produkty w opakowaniach i gospodarujących odpadami,
• rejestry nadzorców (np. KNF dla instytucji finansowych),
• rejestry pośredników i agentów (np. ubezpieczeniowych),
• listy ostrzeżeń publicznych (np. KNF, UOKiK, zagraniczne organy nadzoru).

Prosty schemat działania:

1. Sprawdzasz, czy Twoja branża wymaga szczególnych zezwoleń lub wpisów (np. doradztwo finansowe, gospodarka odpadami, medycyna, transport).
2. Wyszukujesz kontrahenta w odpowiednim rejestrze według nazwy/NIP/KRS.
3. Porównujesz status z tym, co deklaruje firma – jeśli na stronie jest „posiadamy wpis do BDO”, a w rejestrze cisza, pytasz o numer i dokument.

W listach ostrzeżeń warto przelecieć po nazwie firmy, nazwisku właściciela oraz domenie. Zdarzają się sytuacje, w których „nowa spółka” to po prostu kolejna odsłona starego podmiotu z fatalną historią.

Analiza historii zmian w KRS

Sam fakt istnienia wpisu w KRS to za mało. Przy większych transakcjach dobrze jest rzucić okiem na historię zmian:

• kto był i jest w zarządzie,
• czy nastąpiły ostatnio gwałtowne zmiany udziałowców,
• czy spółka nie jest w likwidacji, upadłości, restrukturyzacji.

W odpisie KRS lub jego historii widać, kiedy pojawiły się ostatnie zmiany. Szybka rotacja zarządu lub przenoszenie udziałów między powiązanymi podmiotami to sygnał, który przy dużych kwotach wymaga dodatkowego zastanowienia.

Weryfikacja osoby kontaktowej – kto do mnie pisze i czy ma do tego umocowanie

Identyfikacja osoby: imię, nazwisko, funkcja

Pierwszy krok to upewnienie się, że po drugiej stronie jest realna osoba, a nie anonimowy „specjalista ds. projektów”. W praktyce oznacza to:

• sprawdzenie imienia i nazwiska w stopce maila oraz w sygnaturze automatycznej,
• zwrócenie uwagi na funkcję (np. „Sales Manager”, „Asystent zarządu”, „Właściciel”),
• porównanie tych danych z informacjami na stronie „O nas” lub „Zespół”.

Jeśli w korespondencji występuje tylko imię lub pseudonim, poproś wprost o pełne dane i stanowisko. Profesjonalny partner nie będzie miał z tym problemu.

Sprawdzenie obecności w sieci

Osoba reprezentująca firmę przy większych kontraktach zazwyczaj ma ślad zawodowy w internecie. Minimum do sprawdzenia:

• LinkedIn – profil z nazwą tej samej firmy, zbliżoną rolą i historią zawodową, która nie wygląda na stworzoną wczoraj.
• strona firmowa – zakładka „Zespół”, „Kontakt”, „Zarząd”, gdzie pojawia się to samo nazwisko.
• wzmianki w innych miejscach – artykuły eksperckie, wystąpienia, rejestry branżowe.

Brak profilu w mediach społecznościowych u starszej osoby nie jest niczym dziwnym, ale wówczas tym bardziej przydaje się potwierdzenie danych przez biuro główne firmy (np. telefon na numer z oficjalnej strony i pytanie, czy dana osoba faktycznie u nich pracuje).

Umocowanie do działania – kto może podpisywać i zlecać

Nie każda osoba, która do Ciebie pisze, ma prawo:

• podpisywać umowy,
• składać wiążące oświadczenia woli,
• decydować o płatnościach i zobowiązaniach.

Przy spółkach prawa handlowego wzorzec reprezentacji znajdziesz w KRS. Zwróć uwagę na:

• czy spółkę reprezentuje jeden członek zarządu, czy kilku łącznie,
• czy do składania oświadczeń wymagane są prokurenci,
• czy w odpisie nie ma ograniczeń, np. „do kwoty X samodzielnie, powyżej X dwóch członków zarządu łącznie”.

Jeśli osoba, z którą rozmawiasz, nie jest wymieniona w KRS, pojawiają się dwie opcje:

1. Działa jako pracownik (np. handlowiec) – umowę finalnie podpisuje członek zarządu lub właściciel.
2. Działa jako pełnomocnik – potrzebne jest pełnomocnictwo.

Przy większych umowach poproś o skan pełnomocnictwa wraz z podpisem osoby uprawnionej z KRS. W treści pełnomocnictwa powinno być jasno opisane, do jakich czynności upoważnia i na jaki czas.

Weryfikacja pełnomocnictw i upoważnień

Pełnomocnictwo to nie jest dowolny dokument z logo firmy. Minimum, które trzeba sprawdzić:

• dane mocodawcy (firma, NIP, KRS) – czy zgadzają się z rejestrem,
• dane pełnomocnika (imię, nazwisko, PESEL lub inny identyfikator),
• zakres umocowania – czy obejmuje podpisanie takiej umowy, jaką planujecie,
• czas obowiązywania pełnomocnictwa – czy na dzień podpisu nie jest już nieważne,
• podpis mocodawcy – czy odpowiada osobie uprawnionej z KRS i sposobowi reprezentacji.

Przy bardzo dużych transakcjach dodaje się weryfikację notarialną (pełnomocnictwo w formie aktu notarialnego) albo wymóg okazania oryginału dokumentu przy podpisaniu umowy.

Testy spójności: jak wykryć podszywanie się pod pracownika

Oszust podszywający się pod realną osobę z firmy korzysta z tego, że maile czytamy w biegu. Kilka prostych testów:

• adres e-mail – literówki w domenie (np. zamiana liter, dodane kreski, dodatkowe „-corp”),
• styl komunikacji – jeśli wcześniej korespondowałeś z tą osobą, porównaj ton, stopkę, używane zwroty,
• kanał zwrotny – przy podejrzeniu podszycia zadzwoń na numer z oficjalnej strony i poproś o potwierdzenie, czy dana osoba faktycznie wysyłała taki e-mail.

Przykład z praktyki: dział księgowy dostaje wiadomość niby od prezesa o zmianie numeru konta kontrahenta. Numer konta jest „pilnie” do użycia przy najbliższym przelewie. Jeden telefon do prezesa lub kontaktu po stronie kontrahenta (na numer z umowy) najczęściej obnaża próbę wyłudzenia.

Techniczna weryfikacja adresu e-mail – od prostych testów po analizę nagłówków

Ocena „na oko”: struktura adresu i domeny

Nie trzeba być adminem serwera, żeby odsiać część podejrzanych adresów. Kilka punktów kontrolnych:

• czy adres jest w domenie firmowej (np. @nazwa-firmy.pl), a nie w darmowym serwisie, jeśli mowa o większym kontrakcie,
• czy domena nie zawiera dziwnych dodatków (np. nazwa-firmy-pl.com zamiast nazwa-firmy.pl),
• czy lokalna część adresu (przed @) wygląda sensownie: imię.nazwisko, inicjały, funkcja; podejrzane bywają zlepki losowych znaków.

Takie „nisko wiszące owoce” często wystarczają, by przy małych zleceniach wyłapać najbardziej oczywiste próby podszycia.

Odpowiedź zwrotna i alternatywny kanał

Prosty, a często pomijany krok: przy pierwszym kontakcie z nowym adresem napisz krótką wiadomość potwierdzającą ustalenia lub zadaj pytanie wymagające sensownej odpowiedzi. Dodatkowo:

• sprawdź, czy odpowiedź przychodzi z tego samego adresu i tej samej domeny,
• przy większych ustaleniach zadzwoń na numer podany na oficjalnej stronie firmy i zapytaj, czy dana osoba rzeczywiście się z Tobą kontaktuje.

Złodzieje często bazują na tym, że komunikacja odbywa się wyłącznie mailem. Telefon na „oficjalny” numer odcina ich od gry.

Sprawdzenie istnienia skrzynki bez wysyłania treści

Istnieją narzędzia do weryfikacji, czy skrzynka e-mail istnieje (tzw. email verifier). Działają w uproszczeniu tak, że nawiązuje się połączenie z serwerem i „pyta”, czy dany adres jest poprawny.

Przy korzystaniu z takich narzędzi:

• używaj renomowanych usług – unikniesz problemów z prywatnością i RODO,
• traktuj wynik jako pomocniczy – część serwerów blokuje taką weryfikację i zwraca odpowiedzi pośrednie,
• nie wysyłaj testowych „pustych” maili z treścią, której potem możesz żałować – wystarczy neutralna korespondencja.

Podstawy analizy nagłówków wiadomości

Nagłówki maila to jego „metadane”. Po ich odczytaniu możesz zobaczyć, jaką drogę przebyła wiadomość. W większości klientów poczty da się wyświetlić pełne nagłówki (np. „Pokaż oryginał”, „Pokaż źródło”).

Na co spojrzeć w nagłówkach:

• From: – adres nadawcy widoczny dla użytkownika.
• Return-Path: – faktyczny adres, na który wracają błędy dostarczenia. Rozjazd między From a Return-Path bywa sygnałem, że ktoś maskuje prawdziwe pochodzenie.
• Received: – lista serwerów, przez które przechodził mail. Dziwne, egzotyczne serwery pośredniczące przy „polskiej” korespondencji firmowej podnoszą czujność.
• SPF/DKIM/DMARC – informacje o tym, czy domena ma konfigurację zabezpieczeń i czy wiadomość je przeszła.

Jeśli w nagłówkach widzisz, że domena firmy deklaruje SPF/DKIM/DMARC, ale Twój mail nie przeszedł tych testów („fail”), przy poważnych sprawach warto zadzwonić i potwierdzić, czy to na pewno korespondencja od kontrahenta.

SPF, DKIM, DMARC – co mówią o wiarygodności

Trzy kluczowe mechanizmy ochrony poczty:

• SPF – mówi, które serwery mogą wysyłać maile w imieniu danej domeny.

Jak samodzielnie sprawdzić SPF, DKIM i DMARC

Do podstawowej diagnostyki wystarczy kilka ogólnodostępnych narzędzi online. Dobrze mieć prostą rutynę:

1. Wejdź na stronę typu MXToolbox, digwebinterface lub inne narzędzie DNS lookup.
2. Wpisz domenę kontrahenta (bez www).
3. Sprawdź:
   • rekord TXT zawierający v=spf1 – to SPF,
   • rekordy TXT przy subdomenie selector._domainkey.domena.pl – to DKIM (często kilka selectorów),
   • rekord TXT dla _dmarc.domena.pl – to DMARC.

Brak SPF/DKIM/DMARC w dużej, rzekomo profesjonalnej firmie nie jest automatycznie dowodem oszustwa, ale przy większej skali współpracy budzi pytania o dojrzałość techniczną. W połączeniu z innymi sygnałami (świeża domena, brak śladu firmy w rejestrach, presja czasu) może przesunąć szalę na stronę „lepiej wstrzymać się z przelewem”.

Nietypowe załączniki i linki – szybki filtr bezpieczeństwa

Przy pierwszym kontakcie z nowym kontrahentem szczególnie ostrożnie traktuj załączniki oraz linki w treści maila. Prosty filtr:

• nie otwieraj plików .exe, .scr, .js, spakowanych archiwów z hasłem od niezweryfikowanych nadawców,
• faktury i umowy w formacie .docm, .xlsm (makra) uruchamiaj wyłącznie, jeśli masz pewność nadawcy i aktualne oprogramowanie zabezpieczające,
• linki „Podpisz dokument”, „Zobacz fakturę” – najpierw najedź kursorem i sprawdź, dokąd faktycznie prowadzą (adres URL w pasku stanu).

Jeżeli coś Cię niepokoi, poproś o alternatywną formę przekazania pliku: bezpośrednio z oficjalnej domeny firmy, przez firmowy system B2B lub bezpieczne repozytorium (np. współdzielony dysk). Zaskakująco często po takiej prośbie oszust rezygnuje, bo nie ma dostępu do prawdziwej infrastruktury firmy, pod którą się podszywa.

Audyt domeny firmowej – wiek, właściciel, historia, zabezpieczenia

Podstawowe dane o domenie – WHOIS i wiek rejestracji

Domena firmowa to cyfrowy odpowiednik szyldu nad drzwiami. Zanim zaufasz, obejrzyj ją z bliska. Pierwszy krok to sprawdzenie WHOIS:

• skorzystaj z serwisów typu whois.domaintools.com, dns.pl (dla .pl) czy eurid.eu (dla .eu),
• sprawdź datę utworzenia domeny – świeża rejestracja (kilka dni, tygodni) przy „wieloletniej” firmie jest sygnałem alarmowym,
• zobacz terminy odnowienia – domeny wygasające „jutro” i co chwilę odnawiane na rok potrafią sugerować brak stabilności, choć same w sobie nie przesądzają o niczym.

Przykład: firma deklaruje, że działa od 15 lat, a domena została założona dwa tygodnie temu. Czasem to efekt rebrandingu, ale taka rozbieżność wymaga dodatkowych pytań.

Właściciel domeny – dane abonenta i pośredników

Kolejny element to abonent domeny, czyli podmiot, który formalnie nią zarządza. Przy domenach z ochroną prywatności dane mogą być częściowo zasłonięte, ale wciąż da się coś ustalić:

• przy polskich końcówkach .pl dane firm często są jawne – porównaj nazwę, NIP lub adres z rejestrem przedsiębiorców,
• gdy widzisz tam osobę fizyczną, a strona udaje poważną spółkę – poproś wprost o wyjaśnienie,
• jeśli abonentem jest pośrednik (np. agencja IT), poproś kontrahenta o krótkie potwierdzenie, że to ich oficjalna domena do korespondencji.

Nie chodzi o to, by wymuszać na kimś zmianę usługodawcy, lecz by spiąć fakty: domena, którą widzisz w e-mailu, rzeczywiście jest powiązana z podmiotem z KRS lub CEIDG.

Historia domeny – co było tam wcześniej

Przed podpięciem danych firmowych i podpisaniem umowy zerknij, jaka historia stoi za domeną. Pomagają w tym:

• Wayback Machine (web.archive.org) – pokazuje archiwalne wersje strony,
• narzędzia typu whois history – dają pogląd, czy domena często zmieniała właściciela.

Jeśli domena jeszcze pół roku temu była sklepem z „cudownymi suplementami” albo serwisem hazardowym, a dziś ma udawać poważną kancelarię czy hurtownię budowlaną, zadawaj więcej pytań. Czasem to tylko „odziedziczona” domena, ale bywa też, że ktoś świadomie korzysta z „wypalonego” adresu, by uwiarygodnić masowe kampanie phishingowe.

Bezpieczeństwo strony – HTTPS, certyfikat, konfiguracja

Wiarygodny partner biznesowy dba, by jego strona nie wyglądała jak szkic z 2005 roku. Kilka detali, które da się sprawdzić w minutę:

• czy strona ładuje się przez HTTPS i czy nie pojawiają się ostrzeżenia o nieprawidłowym certyfikacie,
• komu wystawiono certyfikat – w szczegółach sprawdź, czy nazwa organizacji zgadza się z kontrahentem (przy EV/OV),
• czy nie ma komunikatów o „niezaufanym” połączeniu – to zły znak, szczególnie gdy strona posiada panel klienta, logowanie itp.

Brak HTTPS na prostej stronie-wizytówce mikrofirmy nie musi wykluczać współpracy, ale przy wyższych kwotach i danych wrażliwych jest sygnałem, że poziomcyberbezpieczeństwa u kontrahenta stoi nisko.

Spójność brandu: logo, nazwa, dane kontaktowe

Podszywający się pod znane marki używają podobnych kolorów, nazw czy grafik. Przyjrzyj się kilku elementom:

• logo i nazwa na stronie – czy odpowiadają temu, co masz w stopce maila i w dokumentach,
• adres fizyczny – porównaj z KRS/CEIDG; inny adres oddziału jest ok, ale całkiem inny kraj przy „polskiej” spółce wymaga wyjaśnienia,
• numery telefonów – porównaj numery ze stopki, strony i podpisu w umowie.

Praktyczny test: wpisz nazwę firmy z dokładnym adresem z umowy w Google wraz z frazą „oszustwo”, „scam”, „opinie”. Pojedyncza negatywna opinia niczego nie przesądza, ale liczne ostrzeżenia z ostatnich miesięcy nie pojawiają się bez przyczyny.

Spójność informacji – porównanie maila, domeny, danych w umowie i w fakturze

Checklista spójności danych kontrahenta

Przed pierwszą płatnością lub podpisaniem większej umowy dobrze przejść przez prostą checklistę. Skup się na tych punktach:

• Nazwa firmy – identyczna w:
  • stopce maila,
  • nagłówku umowy,
  • nagłówku faktury,
  • rejestrze (KRS/CEIDG) – bez dodatkowych, „marketingowych” dopisków zamiast pełnej nazwy.
• NIP/REGON/KRS – jeden i ten sam zestaw w fakturze, umowie i publicznych rejestrach.
• Adres siedziby – ta sama ulica, miasto i kraj; różne lokalizacje biur operacyjnych są ok, ale nie przy siedzibie.
• Domena e-mail – zgodna z domeną na stronie i z danymi w korespondencji.

Rozjazd w choćby jednym polu nie musi oznaczać oszustwa, ale wymaga doprecyzowania. Fachowy partner odpowie rzeczowo i bez nerwów.

Weryfikacja numeru rachunku bankowego

Zanim wyślesz pierwszy przelew, przyjrzyj się rachunkowi bankowemu z faktury lub umowy. Podstawowy zestaw działań:

• sprawdź, czy numer konta na fakturze pokrywa się z tym w umowie lub oficjalnym aneksie,
• przy firmach zarejestrowanych w UE użyj systemu VIES lub krajowego „białej listy podatników VAT”, jeśli jest dostępna – część państw pokazuje rachunki rozliczeniowe,
• przy polskich kontrahentach skorzystaj z białej listy VAT MF – wpisz NIP, sprawdź, czy numer rachunku jest przypisany do tej firmy.

Jeżeli numer konta przyszedł w „pilnym” mailu o zmianie rachunku, a nie ma go w umowie ani na poprzednich fakturach, zadzwoń na numer główny firmy i potwierdź zmianę u księgowości lub osoby odpowiedzialnej za rozliczenia.

Porównanie danych osobowych w dokumentach

Jeśli w umowie występują konkretne osoby (członek zarządu, pełnomocnik, wspólnik), ich dane muszą grać z tym, co już wiesz:

• imię i nazwisko z umowy zgodne z tym z korespondencji (bez „niespodziewanych” zmian),
• stanowisko lub rola – jeśli w mailu pisze „specjalista ds. sprzedaży”, a w umowie występuje jako „pełnomocnik do reprezentowania spółki”, zażądaj pełnomocnictwa,
• przy osobach z KRS – sprawdź, czy nadal figurują w zarządzie, a nie zostały odwołane kilka miesięcy temu.

Do prostych kontroli wystarczy wydruk/plik z aktualnym odpisem z KRS lub wydruk z CEIDG. Przy dłuższych projektach dobrze jest dołączyć ten odpis jako załącznik do umowy, z datą, z której wynika, że był aktualny w dniu podpisu.

Konfrontacja informacji z różnych kanałów

Zestawienie informacji z kilku źródeł często odsłania nieścisłości. Praktyczny sposób:

1. Zbierasz dane z:
   • rejestru (KRS/CEIDG),
   • strony firmowej,
   • korespondencji mailowej,
   • projektu umowy i faktury pro forma.
2. Tworzysz krótką tabelkę (nazwa, NIP, adres, domena, rachunek bankowy, osoba kontaktowa).
3. Zaznaczasz różnice i prosisz kontrahenta o wyjaśnienie na piśmie.

Przykład z życia: w KRS adres spółki to Warszawa, w stopce maila – Berlin, a na fakturze – wirtualne biuro w innym kraju UE. Czasem to efekt struktury holdingowej, ale zanim to zaakceptujesz, potrzebne jest jasne wyjaśnienie, które z tych podmiotów jest Twoim faktycznym kontrahentem i gdzie trafia Twoja płatność.

Spójność treści ustaleń z dokumentami

Nie wystarczy, że zgodzą się numery i adresy. Równie ważne jest, czy dokumenty odzwierciedlają to, o czym była mowa w mailach i rozmowach:

• warunki płatności – czy terminy, zaliczki, waluta są takie jak w ustaleniach roboczych,
• zakres prac/dostaw – czy nie pojawiły się dodatkowe, niechciane zobowiązania,
• warunki rozwiązania umowy – czy nie są rażąco jednostronne w stosunku do obiecywanej „elastycznej współpracy”.

Jeżeli umowę przygotowuje druga strona, zrób krótki „przegląd od końca”: od zapisów o odpowiedzialności, karach umownych i płatnościach wstecz do części opisowej. Takie odwrócenie kolejności pozwala szybciej wychwycić punkty, które kłócą się z dotychczasową komunikacją.

Reagowanie na rozbieżności – jak eskalować bez konfliktu

Gdy znajdziesz niespójności, nie atakuj od razu. Sprawdzony schemat działania:

1. Wypunktuj konkretne rozjazdy (np. „NIP w fakturze różni się od NIP-u z KRS o jedną cyfrę”).
2. Poproś o korektę lub pisemne wyjaśnienie, dlaczego tak jest.
3. Przy braku odpowiedzi lub wyjaśnieniach „na odczepnego” – wstrzymaj podpisanie umowy lub pierwszą płatność.
4. Jeśli kwota jest duża – skonsultuj sprawę z prawnikiem lub doradcą podatkowym, szczególnie w kontekście odliczeń VAT i ryzyka udziału w karuzelach podatkowych.

Podmiot, który gra fair, potraktuje Twoje pytania jak normalny element procesu zakupowego. Ten, który unika odpowiedzi, sam odsłania swoje intencje.

Najczęściej zadawane pytania (FAQ)

Jak sprawdzić, czy firma naprawdę istnieje i działa legalnie?

Najprostsza ścieżka: wpisujesz nazwę, NIP lub REGON firmy w oficjalne rejestry. Dla jednoosobowych działalności użyj CEIDG, dla spółek – KRS. Sprawdź, czy firma widnieje w rejestrze, jaki ma status (aktywny, zawieszony, wykreślony) oraz czy dane adresowe i nazwa zgadzają się z tym, co masz w stopce maila lub w projekcie umowy.

Przy większych kwotach dołóż szybki rzut oka do rejestrów dłużników lub ostrzeżeń branżowych (np. komunikaty KNF dla finansów). Jeśli firma nie pojawia się w żadnym oficjalnym źródle albo status jest „zawieszony”, nie podpisuj niczego, dopóki tego nie wyjaśnisz.

Jak rozpoznać, czy e-mail od „nowego klienta” jest wiarygodny?

Na początek porównaj adres e-mail z domeną, pod którą działa firma. Handlowiec z dużej spółki raczej nie pisze z darmowej skrzynki. Zwróć uwagę na „literówki” w nazwie domeny (np. dodatkowa literka, inna końcówka), dziwne dopiski typu „-support” przy nieznanej marce oraz na to, czy ten sam adres widnieje na stronie www w zakładce „Kontakt”.

Przy podejrzeniach zajrzyj w nagłówki techniczne wiadomości (pełny nagłówek w kliencie pocztowym). Szukaj tam innej domeny nadawcy niż ta, którą widzisz w polu „Od:”, nietypowych przekierowań lub serwerów z egzotycznych lokalizacji. Dodatkowo możesz zadzwonić na numer z oficjalnej strony firmy i potwierdzić, że dana osoba faktycznie u nich pracuje.

Jak sprawdzić domenę firmy przed pierwszą współpracą?

Po pierwsze: odwiedź stronę i zobacz, czy działa na szyfrowanym połączeniu (https, kłódka w przeglądarce) oraz czy są tam pełne dane firmy – nazwa prawna, NIP, adres, ewentualnie numer KRS. Brak danych albo tylko „formularz kontaktowy” bez adresu to żółta flaga.

Po drugie: użyj prostego narzędzia typu WHOIS, aby sprawdzić datę rejestracji domeny i podstawowe informacje o abonencie. Domena zarejestrowana kilka dni temu, bez historii i bez spójnych danych firmy, przy dużej zaliczce na start – to sygnał, żeby wstrzymać się z przelewem i zrobić pełny audyt kontrahenta.

Kiedy wystarczy szybka weryfikacja (light check), a kiedy potrzebny jest pełny audyt kontrahenta?

Light check wystarcza przy małych zleceniach, niskim ryzyku i braku dostępu do wrażliwych danych. W praktyce: sprawdzasz firmę w CEIDG/KRS, porównujesz dane ze stroną www i stopką maila, zerkasz na domenę (SSL, dane kontaktowe) i weryfikujesz osobę kontaktową np. na LinkedIn. Całość zamyka się zwykle w kilkunastu minutach.

Pełny audyt robisz, gdy w grę wchodzą duże kwoty, długoterminowa umowa lub dostęp do danych klientów, systemów IT itp. Wtedy dochodzi: sprawdzenie rejestrów dłużników i ostrzeżeń, statusu VAT/VAT UE, historii domeny i opinii w sieci, sposobu reprezentacji spółki oraz dodatkowy kontakt telefoniczny na numer z oficjalnej strony, a nie z maila.

Jakie czerwone flagi powinny mnie od razu zaniepokoić przy nowym kontrahencie?

Najczęstsze sygnały ostrzegawcze to m.in.: e-mail z darmowej skrzynki przy dużym kontrakcie, świeża domena bez historii, rozbieżne dane firmy (inna nazwa/NIP w stopce, na stronie i w projekcie umowy), brak jakiejkolwiek obecności osoby kontaktowej w sieci oraz silna presja na „szybką zaliczkę” lub podpisanie długiej umowy bez czasu na weryfikację.

Osobny sygnał to prośby o wrażliwe dane (loginy, dostępy do systemów, skany dokumentów) jeszcze przed podpisaniem umowy lub NDA. W takich sytuacjach wstrzymaj proces, zastosuj pełną checklistę weryfikacyjną i – jeśli coś dalej „zgrzyta” – rozważ rezygnację z transakcji.

Czy proszenie klienta o dokumenty i weryfikację nie zniechęci go do współpracy?

Jeśli masz jasny, stały standard weryfikacji i komunikujesz go spokojnie („dla bezpieczeństwa obu stron zawsze robimy taki krótki check”), większość profesjonalnych firm to rozumie. Problem pojawia się dopiero, gdy do małej transakcji dorzucasz całą „baterię” żądań: skany dowodu, notarialne pełnomocnictwa, tygodnie analizy – wtedy faktycznie możesz zabić sprzedaż.

Dobra praktyka: trzymaj minimalny, powtarzalny zestaw kroków dla każdego nowego kontrahenta oraz osobną, rozbudowaną listę dla dużych i wrażliwych projektów. Dzięki temu nie wyglądasz na paranoika, ale też nie działasz „na piękne oczy”.

Jak zabezpieczyć się przed wyłudzeniem zaliczki przy pierwszej współpracy?

Po pierwsze zrób podstawową weryfikację: rejestry (CEIDG/KRS, ewentualnie VAT), zgodność danych z domeną i stroną, sprawdzenie historii domeny. Jeśli coś się nie spina – nie przelewaj zaliczki. Po drugie, przy większych kwotach rozważ podział płatności na etapy, płatności po kamieniach milowych albo skorzystanie z bezpiecznych form rozliczeń (np. escrow, platformy z depozytem środków).

Jeśli kontrahent naciska wyłącznie na dużą zaliczkę „od razu i najlepiej dziś”, a jednocześnie nie chce podać pełnych danych firmy, nie ma historii w sieci lub nie zgadza się na weryfikację – to bardzo mocna czerwona flaga. W takiej sytuacji bezpieczniej jest odpuścić, niż później tygodniami ścigać nieistniejący podmiot.