CERT Polska w komunikacie z 1 czerwca 2026 r. opisuje maile podszywające się pod Alior Bank i powołujące się na potwierdzenie wpłaty. Według CERT Polska załącznik takiej wiadomości zawierał oprogramowanie służące pozyskiwaniu danych z urządzenia. Dla działów finansowych i księgowości to sygnał, że obsługa wpłat wymaga sprawdzenia załącznika i tego, czy wiadomość pasuje do rzeczywistego procesu.

Czy w Twoim dziale ktoś otworzyłby potwierdzenie wpłaty tylko po to, żeby sprawdzić, której faktury dotyczy? Pytanie jest niewygodne, bo potwierdzenie wpłaty brzmi jak dokument do archiwum. Kampania opisana przez CERT Polska opiera się na tym skojarzeniu: wiadomość powołuje się na wpłatę, a podpisuje się nazwą banku, który odbiorca może znać z codziennej pracy. Proponujemy potraktować to pytanie jako ćwiczenie na najbliższym spotkaniu działu. Niech osoba obsługująca wpłaty powie, co sprawdzi, zanim kliknie w załącznik, i skąd będzie wiedziała, że wpłata w ogóle była oczekiwana. Jeśli odpowiedź zaczyna się od „otworzę i zobaczę”, ćwiczenie spełniło swoją rolę jeszcze przed pierwszym plikiem.

Potwierdzenie wpłaty służy za opakowanie dla programu kradnącego dane

Według komunikatu CERT Polska nadawcy podszywali się pod Alior Bank, a treść maili odwoływała się do potwierdzenia wpłaty. Odbiorca dostawał więc wiadomość o zdarzeniu finansowym, które w wielu firmach jest rutynowe. Wiadomość o wpłacie zwykle nie budzi takiej ostrożności jak wezwanie do zapłaty, więc łatwo ją potraktować jako formalność.

CERT Polska wskazuje, co faktycznie było w załączniku: oprogramowanie służące pozyskiwaniu danych z urządzenia. Rzekomy dokument jest zatem nośnikiem, a jego treść ma drugorzędne znaczenie. Z perspektywy działu finansowego oznacza to, że ocena wiadomości nie może opierać się na tym, co pokaże plik po otwarciu. Decyzja zapada wcześniej, przy pytaniu, czy taka wiadomość w ogóle powinna przyjść tą drogą.

Komunikat nie wymaga od księgowej ani księgowego rozpoznawania typu złośliwego oprogramowania. Wystarczy, że osoba obsługująca wpłaty potrafi zestawić wiadomość z tym, jak firma naprawdę otrzymuje informacje o płatnościach.

Potwierdzenie wpłaty ocenia się przed otwarciem załącznika, porównując je z procesem, który firma faktycznie prowadzi.

Procedura mówi „sprawdź nadawcę”, praktyka mówi „sprawdź fakturę”

Komunikat CERT Polska nie opisuje reakcji konkretnych pracowników ani procedur konkretnych firm. Zderzenie instrukcji z praktyką przeprowadźmy więc u siebie. Jeżeli firmowa instrukcja poczty ogranicza się do polecenia, by weryfikować nadawcę, sprawdźmy, jak ma się ono do pracy działu rozliczeń. Tam pierwsze pytanie może brzmieć inaczej: której należności dotyczy wpłata. A żeby to ustalić, najprościej otworzyć załącznik.

Tu procedura rozmija się z pracą. Polecenie „sprawdź nadawcę” nie mówi, co zrobić, gdy nazwa banku wygląda wiarygodnie, a wiadomość dotyczy sprawy, której odbiorca się spodziewa. Lepszym punktem kontrolnym jest zgodność z procesem. Czy firma w ogóle otrzymuje potwierdzenia wpłat mailem z banku? Czy bank, na który powołuje się wiadomość, obsługuje rachunek firmy? Czy wpłata jest widoczna w systemie bankowości elektronicznej, do którego dział loguje się samodzielnie?

Takie pytania da się zapisać w instrukcji jako listę kontrolną dla jednej osoby i jednej wiadomości. Sekwencję kroków da się sprawdzić na ćwiczeniu, a samej deklaracji ostrożności już nie.

Dane z jednego komputera w księgowości to ryzyko zarządu

CERT Polska wskazuje, że celem oprogramowania z załącznika było pozyskiwanie danych z urządzenia. Zapytajmy więc, do jakich systemów i dokumentów ma dostęp komputer osoby obsługującej wpłaty. Komunikat nie podaje, jakie dane i z ilu urządzeń przejęto, ani nie opisuje strat. Nie przypisujmy tej kampanii kosztów, których źródło nie dokumentuje. Do rozmowy o odpowiedzialności wystarczy znany cel oprogramowania.

Z perspektywy zarządu pytanie brzmi: kto jest właścicielem procesu obsługi wpłat i kto decyduje, że pracownik odkłada podejrzaną wiadomość bez otwierania? Jeżeli odpowiedź nie jest zapisana, pracownik zostaje sam z presją zamknięcia miesiąca i z mailem, który wygląda na zwykły dokument. Druga sprawa to zgłoszenie po fakcie. Osoba, która już otworzyła załącznik, powinna móc to zgłosić od razu, bez obawy, że najpierw musi udowodnić, czy coś wyciekło.

Pracownik, który otworzył podejrzane potwierdzenie wpłaty, powinien zgłosić to w kilka minut, zanim ktokolwiek ustali skalę szkód.

Alior Bank w nagłówku nie oznacza włamania do banku

Ostrzeżenie dotyczy wiadomości wykorzystujących nazwę Alior Bank. Według komunikatu CERT Polska to podszywanie się pod markę; źródło nie opisuje naruszenia systemów banku. W komunikacie wewnętrznym dla działu finansowego zachowajmy to rozróżnienie i nie sugerujmy, że bank stracił kontrolę nad swoją infrastrukturą.

Polska marka w nagłówku ma znaczenie praktyczne: wiadomość dotyczy banku i rodzaju dokumentu, z którymi dział finansowy może mieć do czynienia na co dzień. Ostrzeżenie pochodzi od polskiego zespołu reagowania, więc można je przekazać księgowości w oryginale, z linkiem do komunikatu. Nie dopisujmy natomiast twierdzeń o skali kampanii ani o liczbie poszkodowanych firm, bo komunikat z 1 czerwca 2026 r. nie podaje takich danych.

Co z tym zrobić w poniedziałek

Każdy punkt to osobne zadanie na 30 minut. Do ćwiczeń wykorzystaj opis z komunikatu CERT Polska, bez otwierania podejrzanych plików.

  1. Opisz, jak firma naprawdę dostaje informacje o wpłatach. Z osobą odpowiedzialną za rozrachunki zapisz, które banki obsługują rachunki firmy i czy potwierdzenia przychodzą mailem. Dopisz zasadę, że wpłatę potwierdzamy w bankowości elektronicznej, do której logujemy się samodzielnie, a nie przez załącznik.
  2. Przećwicz scenariusz z potwierdzeniem wpłaty rzekomo od Alior Bank. Przedstaw go ustnie osobie z księgowości i poproś o wskazanie kroków przed otwarciem załącznika. Zanotuj miejsca, w których odpowiedź brzmi „otworzę i sprawdzę”, i wyznacz osobę, która uzupełni instrukcję.
  3. Ustal drogę zgłoszenia po otwarciu załącznika. Wskaż wewnętrznego odbiorcę zgłoszeń i zapisz, co pracownik ma podać: kiedy przyszła wiadomość, co otworzył, czego nie jest pewien. Sprawdź w podlinkowanym komunikacie, jak zgłaszać podejrzane wiadomości do CERT Polska.

Potwierdzenie wpłaty jest jednym z najmniej podejrzanych dokumentów w dziale finansowym i właśnie dlatego dobrze nadaje się na przynętę. Kontrola powinna zaczynać się od pytania, czy taka wiadomość pasuje do sposobu, w jaki firma przyjmuje płatności. Instrukcja, która pozwala odłożyć załącznik bez otwierania, daje pracownikowi konkretne prawo do zatrzymania się, którego ogólny apel o czujność nie daje.

Źródła

  1. CERT Polska: „Potwierdzenie wpłaty” może zawierać coś więcej niż dokument, publikacja: 1 czerwca 2026 r.

Redakcja cyberinsight.pl.