Quishing i fałszywe „zapytania ofertowe” w polskich MŚP: jak domknąć lukę między pocztą, Microsoft 365 i weryfikacją kontrahenta

Dwa osobne scenariusze, jeden praktyczny problem dla firmy

Materiały z podanych źródeł opisują dwa różne typy zagrożeń, które warto rozdzielić. W komunikacie o fałszywych zapytaniach ofertowych CERT Polska wskazał kampanię wymierzoną w małych i średnich przedsiębiorców. Oszuści rozsyłali wiadomości o rzekomym zamówieniu lub zapytaniu ofertowym dołączonym do e-maila. Zamiast oczekiwanego dokumentu w załączniku znajdowało się szkodliwe oprogramowanie z rodziny Remcos, a jego uruchomienie prowadziło do infekcji komputera i umożliwiało zdalny dostęp do urządzenia.

Drugi opisany przypadek dotyczył innej kampanii. W osobnym komunikacie CERT Polska pisał o wiadomościach kierowanych do pracowników firm i organizacji, w których przestępcy podszywali się pod zespoły HR i informowali o rzekomej aktualizacji zasad lub konieczności zapoznania się z nowymi dokumentami. Elementem wiadomości był kod QR. Po jego zeskanowaniu użytkownik trafiał na stronę przypominającą portal Microsoft 365, gdzie był zachęcany do podania hasła do swojego konta. CERT Polska wskazał, że takie dane logowania trafiają do cyberprzestępców i mogą zostać wykorzystane do dalszych, bardziej precyzyjnych ataków.

Z perspektywy MŚP to ważne rozróżnienie. Pierwszy scenariusz dotyczy uruchomienia złośliwego pliku, drugi wyłudzenia hasła po przejściu przez kod QR. Wspólnym mianownikiem nie jest jednak jeden identyczny mechanizm techniczny, lecz fakt, że oba przypadki zaczynają się od wiadomości wyglądającej na związaną z codzienną pracą biura lub firmy.

Fałszywe zapytanie ofertowe z malware: co rzeczywiście potwierdza źródło

W komunikacie o kampanii przeciwko przedsiębiorcom CERT Polska podał wprost, że oszuści rozsyłali maile z informacją o rzekomym zamówieniu lub zapytaniu ofertowym dołączonym do wiadomości. Źródło wskazuje też, że adres nadawcy często znajdował się w zagranicznej bądź nietypowej domenie.

Najważniejszy element tego opisu jest bardzo konkretny: zamiast spodziewanego dokumentu w załączniku znajdowało się szkodliwe oprogramowanie z rodziny Remcos. Po uruchomieniu prowadziło ono do infekcji komputera i pozwalało atakującemu na zdalny dostęp do urządzenia.

CERT Polska zwrócił również uwagę na ostrożność wobec dołączanych do wiadomości archiwów, skryptów i plików wykonywalnych. W tym samym komunikacie znalazła się też wskazówka, by sprawdzać, czy korespondencja faktycznie pochodzi od prawdziwego kontrahenta, najlepiej za pomocą samodzielnie znalezionego w internecie kontaktu do firmy.

Dla małej lub średniej firmy praktyczny wniosek redakcyjny jest prosty: sama treść wiadomości handlowej nie powinna przesądzać o zaufaniu do nadawcy. Proponujemy przyjąć zasadę, że nowy kontakt handlowy, który przesyła plik i oczekuje szybkiego otwarcia, wymaga dodatkowego potwierdzenia poza samą odpowiedzią na ten sam e-mail. To nie jest cytat ze źródła, lecz bezpieczny sposób uporządkowania pracy wokół zagrożenia opisanego przez CERT Polska.

Quishing z kodem QR i stroną podobną do Microsoft 365

Osobny komunikat CERT Polska opisuje kampanię wymierzoną w pracowników firm i organizacji. Nadawca podszywał się pod zespół HR, a wiadomość dotyczyła rzekomej aktualizacji zasad lub konieczności zapoznania się z nowymi dokumentami.

Kluczowym elementem tej wiadomości był kod QR, który miał umożliwiać szybkie przejście do „firmowego systemu”. Po zeskanowaniu kodu użytkownik był przekierowywany na stronę przypominającą portal Microsoft 365. Tam był zachęcany do podania hasła do swojego konta.

Źródło nie opisuje infekcji stacji roboczej, lecz kradzież danych logowania. CERT Polska napisał, że dane trafiają następnie do cyberprzestępców i mogą zostać wykorzystane do dalszych, bardziej precyzyjnych ataków. To istotna różnica wobec kampanii z fałszywym zapytaniem ofertowym: tutaj zagrożone jest przede wszystkim konto i tożsamość użytkownika, a nie tylko samo urządzenie.

W tym komunikacie CERT Polska wskazał także podstawowe środki ostrożności: dokładne sprawdzenie adresu e-mail nadawcy, weryfikację komunikatu w oficjalnych kanałach firmowych, korzystanie z uwierzytelniania dwuskładnikowego oraz unikanie używania tych samych haseł w wielu serwisach.

Jak domknąć lukę między pocztą, kontem i procedurą

Podane źródła nie przedstawiają jednej gotowej procedury dla MŚP, dlatego poniższe kroki są propozycją redakcji opartą na tym, co zostało bezpośrednio opisane w komunikatach. Ich celem jest połączenie trzech obszarów: obsługi poczty, ochrony kont oraz prostego potwierdzania nowych kontaktów.

Proponujemy zacząć od rozdzielenia dwóch pytań, które pracownik powinien sobie zadać przed działaniem. Pierwsze brzmi: czy wiem, z kim naprawdę koresponduję. Drugie: czy to, co mam zrobić, jest bezpieczne technicznie. Taki podział pomaga uniknąć sytuacji, w której poprawnie napisana wiadomość handlowa automatycznie staje się wiarygodna tylko dlatego, że dotyczy codziennych spraw firmy.

W przypadku nowych kontaktów handlowych proponujemy stosować weryfikację niezależnym kanałem. Jeżeli wiadomość dotyczy zapytania ofertowego, zamówienia albo pilnej prośby o otwarcie pliku, warto samodzielnie odszukać kontakt do firmy i potwierdzić, że wiadomość rzeczywiście została wysłana przez tę organizację. Taki kierunek jest zgodny z treścią komunikatu o kampanii przeciw przedsiębiorcom, w którym CERT Polska zalecił weryfikowanie korespondencji przez samodzielnie znaleziony kontakt do firmy.

W przypadku wiadomości zawierających kod QR proponujemy przyjąć osobną zasadę organizacyjną: komunikaty dotyczące zasad firmowych, dokumentów wewnętrznych i logowania do systemów należy potwierdzać w oficjalnych kanałach firmy, zanim ktokolwiek zeskanuje kod lub wpisze hasło. To rozwinięcie wskazówki z komunikatu o kampanii podszywającej się pod HR, gdzie CERT Polska zalecił weryfikację komunikatu w oficjalnych kanałach firmowych.

Jeżeli firma korzysta z Microsoft 365, praktycznym minimum organizacyjnym może być rozróżnienie, że e-mail z kodem QR i e-mail z załącznikiem to dwa różne typy incydentów. W pierwszym priorytetem będzie szybkie zabezpieczenie konta użytkownika, w drugim odizolowanie urządzenia i ustalenie, czy plik został uruchomiony. Taki podział nie pochodzi wprost ze źródeł, ale wynika z odmiennych skutków opisanych w obu komunikatach.

Proponowana minimalna procedura dla handlu, biura i zarządu

Poniższa lista nie jest oficjalnym standardem ani cytatem z CERT Polska. To propozycja redakcji dla małej firmy, która chce uporządkować reakcję na wiadomości podobne do opisanych w źródłach.

Po pierwsze, gdy pojawia się nowe zapytanie ofertowe z załącznikiem, pracownik nie powinien otwierać pliku przed sprawdzeniem nadawcy i firmy innym kanałem niż odpowiedź na tę samą wiadomość. Po drugie, gdy wiadomość zawiera kod QR związany z logowaniem, dokumentami kadrowymi lub „firmowym systemem”, proponujemy traktować ją jako wymagającą dodatkowego potwierdzenia w oficjalnych kanałach wewnętrznych.

Po trzecie, firma może wyznaczyć jedno miejsce do zgłaszania podejrzanych wiadomości wewnątrz organizacji, tak aby decyzja nie była zostawiana wyłącznie pojedynczemu odbiorcy. Po czwarte, warto ustalić prosty próg eskalacji: jeżeli pracownik już wpisał hasło na stronie otwartej z kodu QR albo uruchomił podejrzany plik z wiadomości, zgłoszenie powinno nastąpić natychmiast, bez czekania na samodzielne „sprawdzenie, czy coś się stało”.

Po piąte, jeżeli organizacja korzysta z uwierzytelniania dwuskładnikowego, nie należy traktować go jako powodu do obniżenia czujności, ale jako dodatkową warstwę ochrony. Sam komunikat CERT Polska o kodach QR wprost zachęca do korzystania z 2FA. Po szóste, warto przypominać użytkownikom, by nie używali tych samych haseł w wielu serwisach, bo taka wskazówka również znajduje się bezpośrednio w źródle dotyczącym quishingu.

Co zrobić po kliknięciu lub po zeskanowaniu kodu

Źródła z propozycji nie zawierają pełnego planu reagowania incydentowego krok po kroku, dlatego poniższy fragment jest wyraźnie autorską propozycją redakcji. Jego celem jest ograniczenie skutków zdarzenia opisanego w komunikatach.

Jeżeli pracownik uruchomił plik z wiadomości, która podszywała się pod zapytanie ofertowe, proponujemy potraktować komputer jako potencjalnie zainfekowany i nie odkładać zgłoszenia. Ponieważ komunikat CERT Polska wskazuje, że uruchomienie takiego pliku może dać atakującemu zdalny dostęp do urządzenia, rozsądne jest szybkie odseparowanie sprawy od zwykłej pracy operacyjnej i przekazanie jej osobie odpowiedzialnej za IT lub wsparcie zewnętrzne.

Jeżeli użytkownik zeskanował kod QR i podał hasło na stronie przypominającej Microsoft 365, proponujemy potraktować konto jako potencjalnie przejęte. W takim przypadku priorytetem powinno być jak najszybsze zabezpieczenie dostępu do konta oraz sprawdzenie, czy zdarzenie nie wymaga dalszej analizy po stronie administracyjnej. To nie jest opis procedury ze źródła, lecz praktyczne uporządkowanie ryzyka wynikającego z wyłudzenia hasła opisanego przez CERT Polska.

W obu przypadkach podejrzane wiadomości i strony można zgłaszać do CERT Polska przez incydent.cert.pl, a komunikaty moje.cert.pl wskazują także usługę „Bezpiecznie w sieci” w aplikacji mObywatel jako kanał zgłaszania.

Dodatkowy zasób, który warto znać po stronie właściciela domeny

Trzecie źródło z propozycji, czyli podsumowanie miesięczne CERT Polska, nie opisuje bezpośrednio ani kampanii z fałszywymi zapytaniami ofertowymi, ani szczegółów komunikatu o kodach QR jako osobnej noty dla użytkowników. Zawiera jednak odrębne informacje o serwisie moje.cert.pl, które mogą być przydatne właścicielom stron i domen.

W podsumowaniu wskazano, że w 2025 roku CERT Polska udostępnił bezpłatny serwis moje.cert.pl. Z serwisu mogą korzystać zarówno osoby prywatne posiadające stronę internetową, jak i małe firmy czy duże instytucje publiczne udostępniające wiele systemów. Zarejestrowany użytkownik może zamówić bezpłatne skanowanie bezpieczeństwa swoich domen, uzyskać informacje o wyciekach haseł użytkowników w swojej domenie oraz otrzymywać informacje o infekcjach szkodliwym oprogramowaniem i innych zagrożeniach w swoich sieciach; źródło wskazuje przy tym, że ta funkcja jest dostępna dla administratorów serwerów i sieci.

To nie zastępuje procedury pracy z pocztą ani weryfikacji wiadomości. Może jednak stanowić osobny element higieny bezpieczeństwa po stronie organizacji zarządzającej własną domeną i publicznymi zasobami internetowymi. Proponujemy potraktować ten obszar jako uzupełnienie działań organizacyjnych, a nie zamiennik ostrożności przy otwieraniu wiadomości.