Nowe zapytanie ofertowe to dla firmy zwykle dobra wiadomość. Właśnie dlatego cyberprzestępcy coraz częściej wykorzystują ten scenariusz jako przynętę. Wiadomość wygląda jak kontakt od potencjalnego klienta: pojawia się temat zamówienia, prośba o wycenę albo dokument do sprawdzenia. Problem zaczyna się wtedy, gdy załącznik nie jest zwykłym plikiem, lecz nośnikiem złośliwego oprogramowania.
CERT Polska opisał kampanię wymierzoną w małe i średnie przedsiębiorstwa, w której oszuści podszywali się pod potencjalnych klientów. W wiadomościach pojawiały się rzekome zamówienia lub zapytania ofertowe, a w załącznikach ukrywano złośliwe oprogramowanie z rodziny Remcos, umożliwiające zdalny dostęp do zainfekowanego komputera.
Dlaczego ten schemat działa tak dobrze?
Pracownik firmy chce szybko odpowiedzieć na nowego leada, sprawdzić specyfikację albo otworzyć dokument przesłany przez klienta. W takiej sytuacji łatwo działać automatycznie i nie zwrócić uwagi na szczegóły wiadomości. Atakujący wykorzystują właśnie naturalną ciekawość, presję czasu oraz fakt, że w wielu firmach załączniki od nowych kontrahentów są codziennością.
Na co zwrócić uwagę przed otwarciem załącznika?
1. Sprawdź domenę nadawcy. Nietypowa, zagraniczna lub podobna do nazwy znanej firmy domena powinna wzbudzić czujność.
2. Uważaj na archiwa i pliki wykonywalne. Szczególnie ostrożnie traktuj załączniki .rar, .zip oraz pliki .exe, .msi, .bat, .cmd i .scr. Dokument ofertowy lub zamówienie rzadko wymaga uruchamiania programu.
3. Nie potwierdzaj wiarygodności przez dane z podejrzanej wiadomości. Jeśli ktoś podaje się za konkretną firmę, znajdź jej oficjalną stronę i skontaktuj się przez numer telefonu albo adres e-mail znaleziony niezależnie.
4. Zwróć uwagę na język wiadomości. Dziwny styl, nietypowa składnia, brak wcześniejszego kontaktu albo silna presja na szybkie otwarcie pliku mogą być sygnałem ostrzegawczym.
5. Nie otwieraj podejrzanego pliku „tylko żeby sprawdzić”. Samo uruchomienie złośliwego załącznika może wystarczyć do infekcji komputera.
Co może się stać po infekcji?
Malware dający zdalny dostęp do komputera może pozwolić przestępcy na podgląd działań użytkownika, przejęcie zapisanych danych, kradzież haseł, dostęp do poczty, dokumentów firmowych czy kolejnych systemów używanych w organizacji. Dlatego pojedynczy zainfekowany komputer może stać się początkiem znacznie większego incydentu.
Prosta procedura bezpieczeństwa dla małej firmy
Warto ustalić jedną zasadę dla całego zespołu: nieznany nadawca + załącznik = najpierw weryfikacja, dopiero później otwieranie. Dodatkowo system operacyjny, przeglądarka, program pocztowy i oprogramowanie ochronne powinny być regularnie aktualizowane, a konta firmowe zabezpieczone silnymi hasłami i uwierzytelnianiem dwuskładnikowym.
Jeśli firma korzysta z WordPressa, hostingu i poczty w jednej infrastrukturze, bezpieczeństwo warto traktować całościowo. Pomocne są regularne kopie zapasowe, aktualizacje, monitoring oraz szybka reakcja na nietypowe zdarzenia. Zobacz, jak wygląda nasza opieka nad stronami WWW oraz hosting dla firm.
Co zrobić z podejrzaną wiadomością?
Nie otwieraj załącznika i nie klikaj linków. Podejrzaną wiadomość lub stronę można zgłosić do CERT Polska przez serwis incydent.cert.pl albo w aplikacji mObywatel w usłudze „Bezpiecznie w sieci”. Jeżeli plik został już uruchomiony, warto odłączyć urządzenie od sieci i skonsultować dalsze działania z osobą odpowiedzialną za IT lub bezpieczeństwo.
Źródło: CERT Polska, komunikat 122/2026 z 14 lipca 2026 r.: „Prowadzisz firmę? Uważaj, cyberprzestępcy podszywają się pod potencjalnych klientów!”. Komunikat ma obecnie status wygasły, ale opisany mechanizm ataku pozostaje dobrym przykładem ryzyka, z którym mogą spotkać się firmy.
Podejrzewasz, że strona lub poczta firmowa nie są odpowiednio zabezpieczone?
Możesz zacząć od darmowego audytu strony WWW. Sprawdzimy najważniejsze elementy techniczne, konfigurację i miejsca, które warto poprawić.