CERT Polska w komunikacie z 14 lipca opisał kampanię maili o rzekomych zamówieniach i zapytaniach ofertowych. Według zespołu załączniki zawierały Remcos, który po uruchomieniu umożliwia atakującemu zdalny dostęp do urządzenia. Dla małych i średnich polskich przedsiębiorstw to powód, by sprawdzić, jak sprzedaż weryfikuje nowy kontakt i jaką drogą przekazuje załączniki do oceny.

Czy otworzyłbyś załącznik od nieznanego nadawcy tylko po to, żeby sprawdzić, czy rzeczywiście chce coś zamówić? Odpowiedź przełóżmy na instrukcję obsługi zapytań ofertowych. Osoba odbierająca wiadomość powinna dostać sposób potwierdzenia kontaktu, zanim zacznie pracować z plikiem. W opisanej przez CERT Polska kampanii obietnica zamówienia prowadziła do załącznika zawierającego Remcos. Proponujemy więc przejrzeć własną obsługę nowego klienta od momentu wpływu maila: kto sprawdza nadawcę, komu przekazuje wątpliwości i na jaką decyzję czeka. Taki przegląd przeprowadźmy na opisie wiadomości, bez otwierania podejrzanych plików. Jego wynikiem powinna być konkretna ścieżka postępowania dostępna osobie przygotowującej ofertę.

Remcos trafia do odbiorcy pod pretekstem zamówienia

Według komunikatu CERT Polska wiadomości dotyczyły rzekomych zamówień lub zapytań ofertowych. Załączniki zawierały szkodliwe oprogramowanie z rodziny Remcos. Zespół wiąże możliwość zdalnego dostępu do urządzenia z jego uruchomieniem. W przeglądzie firmowej instrukcji skupmy się zatem na decyzji poprzedzającej pracę z załącznikiem.

Handlowy temat wiadomości potraktujmy jako informację do zweryfikowania. Ustalmy, jak odbiorca ma potwierdzić, że nowy kontakt rzeczywiście wystąpił z zapytaniem. W instrukcji rozdzielmy potwierdzenie pochodzenia korespondencji od oceny bezpieczeństwa pliku. Osobie przygotowującej ofertę przypiszmy zebranie informacji o sprawie; ocenę podejrzanego załącznika powierzmy wskazanemu opiekunowi technicznemu.

Z faktów o Remcos nie wynika, że samo otrzymanie takiego maila oznacza uzyskanie przez atakującego dostępu do urządzenia. W zgłoszeniu podejrzenia zapisujmy więc oddzielnie odbiór wiadomości i czynności wykonane z załącznikiem. Jeśli pracownik nie pamięta, co zrobił, pozostawmy tę informację jako nieustaloną. Nie proponujmy, by pracownik ponownie uruchamiał plik, żeby odtworzyć przebieg zdarzenia.

Zainteresowanie nowego klienta powinno uruchamiać obsługę oferty wraz z weryfikacją kontaktu i kontrolą załącznika.

Instrukcję dla sprzedaży sprawdź przed otwarciem załącznika

Przytoczone fakty CERT Polska nie opisują procedur zaatakowanych firm ani zachowania konkretnych pracowników. Nie pozwalają ocenić, czy ktoś zignorował instrukcję. Rozbieżności między procedurą a praktyką poszukajmy we własnej organizacji, w jawnym ćwiczeniu opartym na motywie zapytania ofertowego.

Poprośmy osobę obsługującą takie zapytania o pokazanie następnego kroku po otrzymaniu maila od nowego kontaktu. Jeśli odpowie, że sprawdzi nadawcę, niech wskaże sposób tego sprawdzenia. Jeżeli odeśle załącznik do oceny, niech znajdzie uzgodniony kanał i odbiorcę zgłoszenia. Porównajmy te odpowiedzi z instrukcją oraz zaznaczmy miejsca, w których brakuje decyzji albo danych kontaktowych.

W ćwiczeniu dotyczącym Remcos uwzględnijmy również brak możliwości potwierdzenia zapytania. Zapiszmy, kto przejmuje taką sprawę i informuje handlowca o dalszych krokach. Ogólne polecenie zachowania ostrożności zastąpmy instrukcją: co wstrzymać, komu opisać wątpliwość i gdzie odnotować odpowiedź. Kryterium zakończenia przeglądu powinno być wskazanie tych czynności, a każdemu brakowi przypiszmy osobę odpowiedzialną za uzupełnienie.

Zdalny dostęp wyznacza temat decyzji zarządu

Możliwość zdalnego dostępu po uruchomieniu Remcos, wskazana przez CERT Polska, uzasadnia włączenie właściciela procesu sprzedaży do przeglądu załączników. Proponujemy, by zarząd wymagał wskazania odpowiedzialnego za każdy etap: weryfikację kontaktu, przyjęcie zgłoszenia technicznego oraz decyzję o dalszej obsłudze oferty. Nazwiska i kontakty wpiszmy do własnej instrukcji.

Nie mamy w przytoczonych faktach danych o liczbie poszkodowanych przedsiębiorstw ani o wysokości strat. Na ich podstawie nie wycenimy tej kampanii. Przy planowaniu pracy poprośmy natomiast właściciela sprzedaży o wskazanie, jak ma postąpić pracownik czekający na ocenę załącznika. Ustalmy, kto odpowiada za kontakt z potencjalnym klientem podczas wyjaśniania wątpliwości i kto może zgodzić się na wznowienie obsługi pliku.

Od osoby odpowiedzialnej za ocenę techniczną wymagajmy zapisania zakresu odpowiedzi. Informacja, że potwierdzono samo zapytanie, powinna pozostać oddzielona od decyzji dotyczącej załącznika. Jeśli ocena jeszcze trwa, handlowiec powinien otrzymać tę informację wraz ze wskazaniem dalszego postępowania. To proponowany podział odpowiedzialności wynikający z opisanego zagrożenia, bez przypisywania takich praktyk uczestnikom kampanii.

Za wstrzymanym załącznikiem musi stać osoba odpowiedzialna za rozstrzygnięcie, żeby handlowiec wiedział, na czyją decyzję czeka.

W polskim MŚP przypisz zadania do dostępnych osób

Komunikat CERT Polska potraktujmy jako materiał do rozmowy właściciela małej lub średniej polskiej firmy z osobami przyjmującymi zamówienia. Przedmiotem rozmowy niech będzie droga konkretnego zapytania: od skrzynki odbiorczej do decyzji o wykorzystaniu załącznika. Zamiast zakładać określoną strukturę firmy, wpiszmy do instrukcji osoby, które rzeczywiście mają wykonać poszczególne czynności.

Jeżeli w przedsiębiorstwie obsługę ofert prowadzi właściciel, jego również obejmijmy ustaloną ścieżką weryfikacji. Jeśli ocenę techniczną zleca się zewnętrznemu opiekunowi, uzgodnijmy z nim sposób przekazania podejrzenia i odbioru odpowiedzi. To warianty organizacyjne do sprawdzenia u siebie, a nie opis przedsiębiorstw objętych kampanią Remcos.

Przekazując zespołowi ostrzeżenie z 14 lipca, dołączmy własną instrukcję kontaktu i obsługi załączników. Niech osoba przyjmująca zamówienia wskaże w niej odbiorcę wątpliwości. Gdy nie umie go znaleźć, poprawmy ten zapis przed uznaniem przeglądu za zakończony.

Co z tym zrobić w poniedziałek

Każdy punkt zaplanuj jako osobne zadanie do wykonania w 30 minut. Pracuj na opisie kampanii CERT Polska, bez uruchamiania podejrzanych załączników.

  1. Zapisz sposób weryfikacji nowego kontaktu. Ustal z osobą przyjmującą zamówienia, jak potwierdzi nadawcę i samo zapytanie ofertowe. Wskaż drogę kontaktu ustalaną niezależnie od otrzymanego maila. Dopisz, komu przekazać sprawę, gdy nie da się uzyskać potwierdzenia.
  2. Uzupełnij drogę oceny załącznika. W instrukcji sprzedaży zapisz odbiorcę zgłoszenia, uzgodniony sposób jego przekazania i osobę podejmującą decyzję o dalszej obsłudze pliku. Brakujące ustalenia oznacz jako zadania dla właściciela instrukcji, bez samodzielnego badania załącznika przez handlowca.
  3. Przećwicz zapytanie ofertowe z wątpliwym plikiem. Ustnie przedstaw hipotetyczną wiadomość od nowego klienta. Poproś odbiorcę o wskazanie weryfikacji, zgłoszenia i decyzji, na którą czeka. Zapisz rozbieżność z instrukcją oraz osobę odpowiedzialną za poprawkę.

Otwartość na nowych klientów powinna obejmować jasne zasady sprawdzania korespondencji i załączników. Po ostrzeżeniu o Remcos wymagajmy od właściciela sprzedaży instrukcji, która daje handlowcowi możliwość wstrzymania pracy z plikiem oraz kontakt do osoby rozstrzygającej wątpliwości. Bezpieczny obieg załączników wpiszmy w obsługę oferty od jej pierwszego etapu.

Źródła

  1. CERT Polska: Prowadzisz firmę? Uważaj, cyberprzestępcy podszywają się pod potencjalnych klientów!. Publikacja: 14 lipca 2026 r.

Redakcja cyberinsight.pl.