Maksepettused Eestis 2026: kuidas kaitsta ettevõtte makseid?

ETTEVÕTLUS · OKTOOBER 2026

Eesti ettevõtted kaotasid 2025. aastal maksekorralduspettustega üle 10 miljoni euro. Üks ohtlikumaid skeeme on arvepettus, kus kurjategija muudab koostööpartneri pangarekvisiite või võtab üle ettevõtetevahelise meilisuhtluse. Kuidas sellist pettust ära tunda, kaitsta raamatupidamist ja vältida raha kandmist valele kontole?

28. september 2026 avaldatud Eesti Panga ülevaade näitab, et maksepettused on Eesti ettevõtetele kasvav rahaline risk. Petturid ei sihi enam ainult eraisikuid. Üha sagedamini püütakse mõjutada ettevõtete juhte, raamatupidajaid ja töötajaid, kellel on õigus makseid algatada või kinnitada.

Oht seisneb selles, et võltsitud arve võib näha välja täiesti ehtne. Ka e-kiri võib saabuda tuttavalt aadressilt ning sisaldada viiteid varasematele kokkulepetele. Seetõttu ei piisa enam ainult saatja nime või arve kujunduse kontrollimisest.

Kui suur probleem on maksepettused Eestis?

10+ mln €

Ettevõtete kahju maksekorralduspettustest 2025. aastal

3 mln €

Ettevõtete vastav kahju aasta varem ehk 2024. aastal

9270 €

Ettevõtte keskmine kahju ühe maksekorralduspettuse puhul

54%

Maksekorralduspettuste kogukahjust langes ettevõtete arvele

Allikas: Eesti Pank, 28.09.2026. Andmed puudutavad 2025. aastat. Üle 10 miljoni euro suurune kahju hõlmab erinevaid ettevõtetele suunatud maksekorralduspettusi, mitte üksnes võltsarveid.

Eestis ulatus maksepettuste kogukahju 2025. aastal 25,3 miljoni euroni. Kuigi ettevõtetega oli seotud ainult 15% maksekorralduspettustest, põhjustasid need üle poole selle pettuseliigi rahalisest kahjust.

Väikeettevõtte jaoks võib ka mõne tuhande euro suurune kaotus tekitada tõsiseid rahavooprobleeme. Suuremate arvete puhul võivad tagajärjed olla veel raskemad.

Kuidas arvepettus tegelikult toimib?

Arvepettus on maksepettuse liik, mille puhul kurjategija suunab ettevõtte tasuma arve valele pangakontole. Selleks võidakse saata võltsitud arve, muuta arveldusandmeid või sekkuda juba toimuvasse ärikirjavahetusse.

Näide tavalisest arvepettusest

01. Eesti ettevõte tellib pikaajaliselt koostööpartnerilt kaupa või teenust.

02. Raamatupidajale saabub tavapärane arve. Kirjas teatatakse, et tarnija pangakonto on muutunud.

03. Arve summa, ettevõtte nimi ja muu teave vastavad ootustele. Ainult IBAN on erinev.

04. Raamatupidaja tasub arve uuele kontole, arvates, et täidab tavapärast tööülesannet.

05. Hiljem selgub, et tegelik koostööpartner ei ole raha saanud. Ülekanne tehti petturile.

Mis on ärikirjapettus ehk BEC?

BEC (Business Email Compromise) tähendab ärilise e-posti kompromiteerimist või selle usaldusväärsuse kuritarvitamist. Näiteks võib kurjategija saada ligipääsu ettevõtte meilikontole, jälgida tarnijaga peetavat kirjavahetust ja sekkuda just siis, kui on aeg arvet tasuda.

Sellisel juhul võib petukiri saabuda isegi koostööpartneri päriselt e-posti aadressilt. Mõnikord kasutatakse aga peaaegu identset domeeni või esinetakse ettevõtte juhi nimel.

Seetõttu ei tõesta tuttav saatja nimi, varasem kirjavahetus ega korrektne PDF-arve veel seda, et makseandmed on õiged.

Oluline reegel: kui koostööpartner teatab uue pangakonto kasutuselevõtust, ära kinnita muudatust ainult e-kirja põhjal. Helista partnerile varem teadaoleval telefoninumbril ja kontrolli uus IBAN eraldi üle.

Reaalne juhtum: Eesti ettevõte kaotas ühe arvepettusega 1,6 miljonit eurot

Riigi Infosüsteemi Ameti (RIA) andmetel kaotas üks Eesti ettevõte 2026. aasta aprillis arvepettuse tõttu 1,6 miljonit eurot.

Ettevõte sai oma koostööpartneri nimel e-kirja, milles paluti edaspidi tasuda arveid teisele pangakontole. Sõnum jättis mulje, et see pärineb koostööpartneri esindajatelt. Tegelikult kuulus uus konto petturitele.

Juhtum näitab, et suure rahalise kahju põhjustamiseks ei pea kurjategija tingimata üle võtma ettevõtte internetipanka. Piisab sellest, kui tal õnnestub mõjutada inimest, kes teeb või kinnitab ülekande.

Allikas: RIA – Olukord küberruumis, aprill 2026.

6 ohumärki, mille puhul tuleb makse peatada

1. Ootamatu pangakonto muutus

Tarnija teatab uuest IBANist, eriti vahetult enne maksetähtaega.

2. Kiirustamine ja surve

Palutakse kohe maksta, hoiatatakse viivituse eest või nõutakse erandit tavapärasest korrast.

3. Ebatavaline e-posti aadress

Saatja aadress erineb tavapärasest ühe tähe, sümboli või domeenilaiendi võrra.

4. Ebatavaline suhtlusstiil

Tuttav partner hakkab ootamatult nõudma salastatust, kiiret kinnitust või suhtluskanali vahetamist.

5. Kahtlane makse saaja

Pangakonto omaniku nimi ei ühti oodatud saajaga või pank kuvab vastava hoiatuse.

6. Juhi nimel saabunud erakorraline korraldus

Raamatupidajale saadetakse kiire maksekorraldus, mida palutakse teistega mitte arutada.

Ükski neist tunnustest ei tõesta üksinda pettust, kuid igaüks neist annab põhjuse makse enne kinnitamist täiendavalt üle kontrollida.

Kuidas kaitsta ettevõtte raamatupidamist ja makseid?

Kõige tõhusam kaitse ei ole üks programm ega töötaja tähelepanelikkus. See on selge töökorraldus, mis ei võimalda ühe võltsitud e-kirja põhjal ettevõtte raha valele kontole suunata.

1. Kehtesta pangarekvisiitide muutmise kord

Iga tarnija IBANi muudatus peab läbima eraldi kontrolli. Võta ühendust varasemast lepingust või kinnitatud kontaktide registrist pärit telefoninumbril. Ära kasuta kontrollimiseks ainult kahtlases e-kirjas või arvel toodud kontakte.

2. Rakenda kahe inimese kinnitamise põhimõtet

Suuremate ülekannete puhul võiks üks töötaja makse ette valmistada ja teine selle kinnitada. Kõrgema riskiga tehingute korral peab teine kinnitaja kontrollima ka arve alusandmeid, mitte ainult vajutama internetipangas kinnitamisnuppu.

Kui ettevõttes töötab ainult üks inimene, saab kasutada täiendavaid kaitsemeetmeid: rangemaid makselimiite, kohustuslikku telefonikontrolli ja eraldi aega ebatavaliste maksete ülevaatamiseks.

3. Hoia tarnijate andmed kontrolli all

Raamatupidamisprogrammis võiks olla kinnitatud tarnijate register. Iga kontoandmete muudatus tuleb dokumenteerida koos põhjuse, kinnitaja ja kontrollimise kuupäevaga. Pelgalt uue PDF-arve saabumine ei tohiks muuta tarnija pangarekvisiite automaatselt.

4. Kaitse tööalaseid e-posti kontosid

Ettevõtte e-post on sageli sama oluline kui ligipääs internetipangale. Eriti tuleb kaitsta tegevjuhi, raamatupidaja ning ostude ja müügiga tegelevate töötajate postkaste.

Kasuta mitmeastmelist autentimist (MFA).
Ära kasuta sama parooli erinevates teenustes.
Kontrolli kahtlasi sisselogimisi ja automaatseid e-kirjade edasisuunamise reegleid.
Eemalda endiste töötajate ja teenusepakkujate juurdepääsud.
Vajaduse korral seadista koos IT-spetsialistiga SPF, DKIM ja DMARC, mis aitavad vähendada ettevõtte domeeni võltsimise riski.

5. Piira pangakasutajate õigusi ja makselimiite

Igal töötajal peaks olema ainult tööülesannete täitmiseks vajalik ligipääs. Kontrolli, kes saab lisada uusi makse saajaid, muuta limiite ja kinnitada suuri ülekandeid. Ühe inimese täielik kontroll kõigi nende tegevuste üle suurendab riski.

6. Kasuta panga makse saaja kontrolli

Euroopa Liidus rakendatud makse saaja kontroll ehk Verification of Payee aitab euroülekande eel tuvastada, kas sisestatud saaja nimi vastab IBANi omaniku andmetele. Kui pank näitab mittevastavust, tuleb põhjus enne maksmist välja selgitada.

Samas ei ole ka positiivne kontrollitulemus absoluutne garantii. See ei kinnita, et ettevõtte saadetud arve või maksekorraldus on ehtne.

7. Õpeta töötajaid pettusi ära tundma

Raamatupidaja, administraator või projektijuht peab teadma, mida teha kahtlase arvega. Harjutage koos, kuidas kontrollida kontovahetust, kellele teatada kahtlasest kirjast ja millal makse peatada. Sama oluline on juhtide valmisolek töötajate kontrollküsimustele vastata.

Kontrollnimekiri enne arve tasumist

Kasuta seda nimekirja eriti uue tarnija, muutunud IBANi või tavapärasest suurema ülekande korral.

☐ Arve vastab tegelikule tellimusele või lepingule.

☐ Saaja ettevõtte nimi ja IBAN on kontrollitud.

☐ Muutunud pangarekvisiidid on kinnitatud sõltumatu kanali kaudu.

☐ Panga võimalikud saaja nime hoiatused on lahendatud.

☐ Vajalikud makse kinnitused on olemas.

☐ Keegi ei ole nõudnud salajast, erakorralist või kontrollimata ülekannet.

Kui mõni vastus on ebakindel, peata makse ja kontrolli teavet enne jätkamist.

Mida teha, kui raha on juba petturile üle kantud?

Kui kahtlustad arvepettust või muud maksekorralduspettust, on kõige olulisem tegutseda viivitamata. Eriti välkmaksete puhul võib raha saaja kontole jõuda sekunditega.

1. Võta kohe ühendust oma pangaga. Teavita võimalikust pettusest ja palu uurida võimalust makse peatamiseks või tagasikutsumiseks. Raha tagasisaamine ei ole garanteeritud.

2. Teata politseile. Küberkuriteoga seotud juhtumist saab teada anda aadressil cyber.politsei.ee/report.

3. Teavita tegelikku koostööpartnerit. Kasuta telefoni või muud sõltumatut suhtluskanalit. Nii saab partner kontrollida, kas ka tema postkast või identiteet on ohus.

4. Kontrolli ettevõtte IT-turvalisust. Kui kahtlustad e-posti kompromiteerimist, kaasa IT-spetsialist. Tuleb kontrollida aktiivseid seansse, sisselogimisi, edasisuunamise reegleid ja ligipääsuõigusi ning sulgeda volitamata juurdepääs.

5. Säilita tõendid. Hoia alles e-kirjad, arved, maksekinnitused, kuvatõmmised ja muu asjakohane info. Ära kustuta kahtlaseid sõnumeid enne nende dokumenteerimist.

Võimalikust küberintsidendist saab teavitada ka Riigi Infosüsteemi Ametit aadressil raport.cert.ee.

Eesti Panga andmetel jäi 2025. aastal maksekorralduspettustega tekkinud kahjust 96% kannatanute kanda. See on oluline meeldetuletus: juba kinnitatud petturliku ülekande tagasisaamisele ei saa kindlalt loota.

Mida peaks Eesti väikeettevõte juba täna muutma?

Maksepettuste ennetamine ei nõua tingimata kallist tarkvara ega eraldi turvaosakonda. Paljusid riske saab vähendada lihtsate ja järjepidevalt täidetavate protseduuridega.

Alusta kolmest otsusest: ükski uus pangakonto ei lähe kasutusse ilma sõltumatu kontrollita, suuremad maksed vajavad täiendavat kinnitamist ning tööalased e-posti kontod peavad olema kaitstud mitmeastmelise autentimisega.

Kõige olulisem ei ole ainult pettust märgata. Oluline on kujundada ettevõttes süsteem, kus üks ekslik otsus ei saa automaatselt põhjustada suurt rahalist kahju.

Korduma kippuvad küsimused (KKK)

Kas arvepettus võib tulla õigelt e-posti aadressilt?

Jah. Kui kurjategija on saanud juurdepääsu koostööpartneri meilikontole, võib võltsitud maksekorraldus saabuda päriselt aadressilt. Seetõttu tuleb ootamatut pangakonto muutust kontrollida teise kanali kaudu.

Kas digitaalselt saadetud arve on alati turvaline?

Ei. Arve elektrooniline vorm või saatmine tavapärase kanali kaudu ei taga iseenesest õigete makseandmete olemasolu. Ka automaatselt saabunud arved peavad läbima ettevõttes kokku lepitud kontrolli.

Mida teha, kui koostööpartner teatab uuest pangakontost?

Ära muuda makseandmeid kohe. Helista varem kinnitatud kontaktisikule, kontrolli uus IBAN ja dokumenteeri muudatuse kinnitamine. Vajaduse korral palu sõltumatut täiendavat kinnitust.

Kas pank tagastab arvepettusega kaotatud raha?

Mitte automaatselt. Võimalus sõltub tehingu asjaoludest, selle kinnitamise viisist ja sellest, kui kiiresti pangale teatatakse. Pettuse avastamisel tuleb viivitamata pangaga ühendust võtta.

Kas väikeettevõttel on vaja eraldi küberturvalisuse spetsialisti?

Mitte tingimata täiskohaga töötajat. Alustada saab tugevast autentimisest, makselimiitidest, tarnijate andmete kontrollist ja töötajate juhendamisest. Keerulisemate e-posti ja IT-turvalisuse seadistuste puhul tasub kaasata spetsialist.

Need artiklid võivad samuti huvi pakkuda

Kuidas tunda ära telefonipettureid 2026. aastal?

AI abil tehtud petukõned, võltsitud panganumbrid ja praktilised soovitused raha kaitsmiseks.

Digihügieen: kuidas kaitsta ennast ja oma andmeid Easyfind portaalis?

Konto turvalisus, kahtlased sõnumid, makseandmete kaitse ja ohutu suhtlemine internetis.

Vaikne äri: kuidas kaitsta teadmisi ja kliente väikeettevõttes?

Kuidas korraldada juurdepääse, kaitsta ettevõtte dokumente ning vähendada andmete ja kliendiinfo kadumise riski.

Töötukassa teenused ettevõtjatele: kuidas saada toetust koolituseks ja palgakulude katmiseks?

Vaata, millised koolitustoetused võivad aidata arendada töötajate digioskusi ja küberturvalisuse teadmisi.

Muuda oma ettevõte Easyfindis nähtavamaks

Easyfind aitab ettevõtetel, meistritel ja spetsialistidel tutvustada oma teenuseid, tooteid ja pakkumisi ühes kohas. Lisa kuulutus koos kirjelduse, fotode, kontaktide ja muu olulise teabega, et potentsiaalsetel klientidel oleks sind lihtsam leida.

Portaalis saad avaldada ka eripakkumisi ja ekspertartikleid, mis aitavad oma teadmisi jagada ja usaldust kasvatada. Alustada saab tasuta kuulutusega.

Registreeru Easyfindis →