Według CERT Polska fałszywe powiadomienia o nowej fakturze KSeF prowadziły do pobrania złośliwego oprogramowania, a uruchomienie pliku infekowało komputer. Ostrzeżenie z 17 kwietnia daje księgowości i działom zakupów temat na poniedziałek 20 kwietnia: sprawdzenie sposobu odbierania dokumentów. Proponujemy zacząć od ustalenia, skąd pobierać fakturę i komu zgłosić podejrzaną wiadomość.
Czy informacja o nowej fakturze KSeF wystarczy, żeby uznać dołączony link za właściwą drogę do dokumentu? W kampanii opisanej przez CERT Polska taka odpowiedź prowadziła do szkodliwego pliku. To dobry punkt wyjścia do rozmowy z osobą odbierającą faktury: poprośmy ją o wskazanie miejsca, w którym sprawdzi dokument, oraz odbiorcy zgłoszenia, gdy powiadomienie wzbudzi podejrzenie. Nie trzeba odtwarzać ataku ani otwierać żadnego pliku. Proponowane ćwiczenie ma sprawdzić, czy firmową zasadę da się przełożyć na następną czynność przy obsłudze faktury. Jeżeli odpowiedź kończy się na poleceniu zachowania ostrożności, poprośmy o dopisanie konkretnej ścieżki pobrania i kontaktu. To redakcyjna propozycja kontroli procesu, bez przypisywania takiego przebiegu którejkolwiek firmie.
Link do rzekomej faktury prowadził do szkodliwego pliku
Jak podaje CERT Polska w ostrzeżeniu z 17 kwietnia, przestępcy rozsyłali fałszywe powiadomienia o nowej fakturze KSeF. Link prowadził do pobrania złośliwego oprogramowania, a uruchomienie pobranego pliku skutkowało infekcją komputera. Z tego opisu wynika miejsce potrzebnej kontroli: decyzja o sposobie dotarcia do dokumentu, zanim odbiorca uruchomi plik.
Przy weryfikacji powiadomienia KSeF zalecamy więc rozdzielić informację o fakturze od proponowanego sposobu jej pobrania. Dokumentu szukajmy ścieżką wcześniej sprawdzoną i uzgodnioną w firmie, niezależnie od odnośnika w podejrzanej wiadomości. Samą obecność nazwy KSeF potraktujmy jako temat korespondencji, bez uznawania jej za potwierdzenie pochodzenia pliku.
Jeżeli odbiorca już pobrał podejrzany plik, zalecamy, by wstrzymał jego uruchamianie i zgłosił sytuację ustalonym kanałem. W zgłoszeniu rozróżnijmy otrzymanie wiadomości, pobranie pliku oraz jego uruchomienie. Przytoczone fakty wiążą infekcję z tym ostatnim krokiem; nie przypisujmy automatycznie tego skutku każdemu odbiorcy powiadomienia.
Ścieżkę pobrania faktury KSeF firma ustala, zanim nadejdzie wiadomość, która proponuje własny link.
Procedurę odbioru KSeF sprawdź przy konkretnej decyzji
Rozważmy hipotetyczną instrukcję o treści „przy powiadomieniu o fakturze KSeF zachowaj ostrożność”. Jak ma postąpić osoba, która chce zastosować tę zasadę? Proponujemy sprawdzić, czy instrukcja wskazuje miejsce pobrania dokumentu oraz sposób zgłoszenia wątpliwości. Nie zakładajmy, że odbiorca sam uzupełni te informacje podczas obsługi wiadomości. W tym ćwiczeniu brak odpowiedzi powinien prowadzić do poprawienia instrukcji.
Przytoczone fakty nie opisują procedur poszkodowanych organizacji ani zachowania konkretnych pracowników. Nie pozwalają zatem stwierdzić, kto zignorował zakaz, komu zabrakło szkolenia lub gdzie zawiodła kontrola. Zderzenie zasad z praktyką proponujemy przeprowadzić we własnym procesie: poprosić osobę z księgowości i osobę z zakupów o pokazanie uzgodnionej drogi odbioru faktury KSeF.
Porównajmy odpowiedzi dotyczące miejsca pobrania, odbiorcy zgłoszenia i dalszej obsługi dokumentu. Jeśli księgowość i zakupy wskażą różne ścieżki, wyjaśnijmy, która obowiązuje w danej sytuacji. Jeśli nie wskażą żadnej, zapiszmy brak do uzupełnienia przez właściciela procesu. Wynik takiej próby opisujmy jako ustalenie dotyczące własnej instrukcji, bez przedstawiania go jako dowodu na przyczyny kampanii opisanej przez CERT Polska.
Właściciel procesu powinien ustalić odbiór zgłoszenia
Po ostrzeżeniu dotyczącym KSeF rekomendujemy powierzyć właścicielowi procesu fakturowania zadanie uzgodnienia ścieżki pobierania dokumentów i zgłaszania podejrzanej korespondencji. Osobno wskażmy, kto przyjmie informację o podejrzanym pliku i zorganizuje jej ocenę. Zapiszmy te ustalenia w miejscu dostępnym dla księgowości i zakupów, tak aby można było odwołać się do nich przy obsłudze faktury.
W proponowanym zgłoszeniu dotyczącym KSeF uwzględnijmy, co odbiorca zrobił z wiadomością i czy uruchomił pobrany plik. Gdy nie potrafi tego ustalić, zapiszmy niepewność zamiast wymagać zgadywania. Nie zalecamy, by odbiorca ponownie otwierał podejrzany plik, żeby odpowiedzieć na te pytania. Osoba przyjmująca zgłoszenie powinna potwierdzić jego odbiór i wskazać, od kogo pracownik otrzyma dalsze instrukcje.
Przytoczone fakty nie dają podstaw do wyliczenia kosztu infekcji ani określenia strat firm. Rozmowę zarządczą oprzyjmy zatem na decyzjach do podjęcia: kto zatwierdza drogę odbioru faktury KSeF, kto rozstrzyga wątpliwości i kto przekazuje odpowiedź pracownikowi. Dla każdego nieustalonego elementu wskażmy odpowiedzialną osobę oraz termin uzupełnienia. Nie traktujmy wysłania ostrzeżenia do zespołu jako zakończenia tego zadania; poprośmy o potwierdzenie uzgodnień.
Przy podejrzanej fakturze KSeF zgłoszenie powinno mieć wskazanego odbiorcę, który potwierdzi przyjęcie sprawy.
Księgowość i zakupy potrzebują wspólnych ustaleń o KSeF
Dla polskiej księgowości i działów zakupów proponujemy wspólny przegląd obsługi powiadomień KSeF. Zacznijmy od miejsc, w których każda z tych komórek odbiera informacje o fakturach. Ustalmy, kto odpowiada za sprawdzenie dokumentu, a kto za przekazanie podejrzenia do wyznaczonego odbiorcy. Takie uzgodnienie powinno dotyczyć również sytuacji, w której wiadomość trafia do osoby nieobsługującej bezpośrednio dokumentu.
W poniedziałkowej rozmowie o KSeF trzymajmy się zakresu ostrzeżenia z 17 kwietnia. Przytoczone fakty nie określają liczby ofiar ani nie potwierdzają wzrostu skali podobnych kampanii. Zalecenia dla własnej organizacji oprzyjmy na opisanym mechanizmie i wynikach przeglądu procesu. Do notatki dla zespołu wpiszmy uzgodnioną drogę pobrania faktury oraz sposób przekazania podejrzanej wiadomości, bez dopisywania nieznanej skali zagrożenia.
Co z tym zrobić w poniedziałek
Każde działanie ogranicz do 30 minut. Jeśli uzgodnienie wymaga dalszej pracy, zapisz brak i osobę odpowiedzialną za jego uzupełnienie.
- Zapisz ścieżkę pobrania faktury KSeF. Z osobą obsługującą dokumenty wskaż używane w firmie miejsce ich odbioru i sposób dotarcia do niego niezależnie od linku w wiadomości. Zapisz krótką instrukcję oraz to, kto ma potwierdzić jej poprawność.
- Wskaż odbiorcę podejrzanej wiadomości. W instrukcji obsługi KSeF wpisz firmowy kontakt do zgłoszeń i osobę odpowiedzialną za ich przyjęcie. Przygotuj zakres informacji do przekazania: otrzymanie powiadomienia, pobranie pliku, jego uruchomienie albo brak wiedzy o wykonanym kroku.
- Przejdź instrukcję z księgowością i zakupami. Omówcie ustnie sytuację podejrzanego powiadomienia KSeF, bez otwierania linków i plików. Sprawdźcie, czy obie strony potrafią wskazać drogę do dokumentu i odbiorcę zgłoszenia. Zapiszcie rozbieżności do wyjaśnienia.
Obsługę faktur KSeF proponujemy oprzeć na ustaleniach, które pracownik potrafi zastosować przy odbiorze wiadomości. Wymagajmy wskazania sprawdzonej drogi do dokumentu oraz kontaktu przyjmującego podejrzenie. Za wynik poniedziałkowego przeglądu uznajmy uzgodnioną instrukcję lub konkretną listę braków z osobą odpowiedzialną za każdy z nich.
Źródła
Redakcja cyberinsight.pl.