CERT Polska w komunikacie z 12 października ostrzega przed mailami podszywającymi się pod firmy kurierskie i nakłaniającymi do otwarcia załącznika z MassLogger. Pretekstem jest rzekoma rozbieżność między listą przewozową a fakturą. Dla księgowości, logistyki i recepcji to powód, by oddzielić sprawdzenie przesyłki od decyzji o otwarciu nieoczekiwanego pliku.

Lista przewozowa nie zgadza się z fakturą: właśnie taką sprawę, według CERT Polska, przedstawia odbiorcy fałszywy nadawca. Prośba o wyjaśnienie niezgodności prowadzi do pobrania i otwarcia załącznika. Na tym pretekście oprzyjmy kontrolę własnej instrukcji obsługi dostaw. Zanim odbiorca zajmie się plikiem, powinien móc wskazać osobę, która potwierdzi sprawę transportową niezależnie od otrzymanego maila. Proponujemy sprawdzić, czy instrukcja daje taką możliwość również recepcji i księgowości, oraz ustalić kontakt do helpdesku w razie wątpliwości. Ćwiczenie ma dotyczyć decyzji poprzedzającej otwarcie załącznika; nie wymaga pobierania próbki ani odtwarzania ataku. Nie opisujemy tu zachowania konkretnej poszkodowanej firmy.

Rozbieżność dokumentów prowadzi do załącznika z MassLogger

Według komunikatu CERT Polska 187/2026 załącznik zawiera MassLogger, czyli oprogramowanie kradnące dane wprowadzane klawiaturą, w tym poświadczenia. Tyle wystarcza, by polecenie sprawdzenia dokumentu potraktować jako decyzję wymagającą weryfikacji. Dalsze wskazówki organizacyjne w tym tekście są propozycjami redakcji opartymi na ostrzeżeniu, a nie opisem przebiegu tej kampanii.

Data 12 października 2026 r. oznacza publikację komunikatu. Początek kampanii, okres obserwacji i liczba odbiorców pozostają nieznane. Nie ma więc podstaw, by tę datę przedstawiać jako dzień rozpoczęcia ataków albo szacować ich skalę.

W proponowanej instrukcji dla logistyki zapiszmy, że odbiorca może ustalić, czy istnieje sprawa wymagająca wyjaśnienia, zanim zacznie pracę z załącznikiem. Nawet po potwierdzeniu przesyłki pozostawmy ocenę podejrzanego pliku osobie wyznaczonej do obsługi takich zgłoszeń. Nie traktujmy potwierdzenia dostawy jako automatycznej zgody na jego otwarcie.

Potwierdzenie rzeczywistej przesyłki może poprzedzać otwarcie nieoczekiwanego załącznika.

Format .uu jest sygnałem do sprawdzenia procedury

CERT Polska zwraca uwagę na nietypowy format .uu widoczny w pokazanym przykładzie. Samo rozszerzenie nie dowodzi złośliwości. W firmowym ostrzeżeniu połączmy je z opisem przynęty: mail dotyczy rzekomej rozbieżności dokumentów i skłania do pracy z załącznikiem. Nie sprowadzajmy całej instrukcji do zapamiętania jednej końcówki nazwy pliku.

Proponujemy sprawdzić procedurę na podstawie opisu wiadomości z komunikatu 187/2026. Osoba odbierająca korespondencję powinna wskazać, co zrobi przed otwarciem pliku, gdzie znajdzie kontakt do weryfikacji oraz komu przekaże podejrzenie. Jeżeli instrukcja nie odpowiada na któreś z tych pytań, zapiszmy brak do uzupełnienia. Nie zakładamy, że odbiorcy opisanej kampanii ignorowali ostrzeżenia; dostępne fakty nie dokumentują ich zachowań.

Administratorowi poczty zaproponujmy przegląd dokumentacji używanej bramy pod kątem nietypowych załączników, w tym .uu. Wynikiem powinny być pytania o dostępne zasady obsługi i sposób wyjaśniania wątpliwości. Bez ustalenia konkretnego rozwiązania nie obiecujmy, że określona reguła zablokuje tę kampanię. Na etapie przygotowania wystarczy lista pytań do administratora.

Logistyka potwierdza sprawę, helpdesk przyjmuje podejrzenie

CERT Polska zaleca niezależną weryfikację u przewoźnika przez oficjalne kanały kontaktu. Proponujemy, by w firmowej instrukcji właścicielem tego kroku była osoba odpowiedzialna za obsługę dostaw. Helpdesk powinien natomiast otrzymać rolę punktu przyjmującego podejrzenie dotyczące załącznika. Taki podział wpiszmy do krótkiej instrukcji dostępnej również księgowości i recepcji.

Wskażmy w niej osobę zastępującą odpowiedzialnego za weryfikację oraz sposób przekazania wyniku osobie, która odebrała mail. Jeśli nie uda się potwierdzić sprawy u przewoźnika, instrukcja powinna kierować odbiorcę do wskazanego kontaktu wewnętrznego. Niech dalsza obsługa dostawy ma właściciela także wtedy, gdy praca z plikiem pozostaje wstrzymana. To propozycja organizacji procesu, nie ustalenie dotyczące firm objętych ostrzeżeniem.

Dla zarządu punktem odniesienia powinno być wskazane przez CERT Polska zagrożenie kradzieżą poświadczeń przez MassLogger. W przeglądzie poprośmy zatem o potwierdzenie odpowiedzialności za kontakt z przewoźnikiem i przyjęcie zgłoszenia technicznego. Zakończenie takiego przeglądu uzależnijmy od wskazania obu kontaktów, bez wymagania od odbiorcy poczty samodzielnego rozpoznania szkodliwego oprogramowania.

Ostrzeżenie CERT Polska powinno trafić do skrzynek operacyjnych

CERT Polska zaleca zgłoszenie podejrzanej wiadomości. Przekazując ostrzeżenie zespołom obsługującym dostawy, dołączmy link do komunikatu 187/2026, który wskazuje sposób zgłoszenia do zespołu. Obok niego wpiszmy firmowy kontakt do helpdesku i ustalmy, kto odpowiada za przekazanie sprawy na zewnątrz. Dobierzmy tę drogę do używanego systemu pocztowego i własnej organizacji wsparcia.

Zgłoszenie powinno od razu mówić, czy pracownik plik tylko odebrał, czy także uruchomił.

Proponujemy, by zgłaszający opisał zapamiętane czynności: samo otrzymanie wiadomości, pobranie pliku, jego otwarcie lub uruchomienie. Jeśli nie potrafi tego rozstrzygnąć, niech zaznaczy niepewność. Nie prośmy o ponowne otwarcie załącznika na potrzeby opisu. Helpdesk powinien otrzymać informację o wykonanych czynnościach bez oczekiwania, że pracownik sam potwierdzi infekcję.

Do krótkiej informacji dla zespołów można dołączyć wcześniejsze teksty o fałszywym SMS-ie DPD i danych karty oraz fałszywym raporcie KAS z Remcos. W treści bieżącego ostrzeżenia zachowajmy jednak konkretny pretekst z komunikatu 187/2026: rozbieżność faktury i listy przewozowej.

Co z tym zrobić w poniedziałek

  1. W 20 minut przygotuj ostrzeżenie dla logistyki i księgowości. Dołącz link do komunikatu CERT Polska, opisz pretekst rozbieżności dokumentów i wskaż kontakt do weryfikacji przesyłki. Uwzględnij recepcję, jeśli obsługuje taką korespondencję. Gotowym wynikiem ma być krótka wiadomość do przekazania zespołom.
  2. W 30 minut sprawdź dokumentację firmowej bramy pocztowej. Poszukaj zasad obsługi nietypowych załączników i zapisz pytania do administratora, uwzględniając wskazany przez CERT format .uu. Nie przesyłaj złośliwych próbek użytkownikom. Jeśli dokumentacja nie daje odpowiedzi, odnotuj to jako brak do wyjaśnienia.
  3. W 20 minut przećwicz zgłoszenie z helpdeskiem. Użyj samego opisu przykładowej wiadomości i informacji, czy załącznik uruchomiono. Sprawdź, czy zgłoszenie trafia do ustalonego odbiorcy i przewiduje odpowiedź „nie wiem”. To ćwiczenie przekazania informacji, bez obietnicy usunięcia infekcji w tym czasie.

Po ostrzeżeniu o MassLogger wymagajmy instrukcji, która pozwala sprawdzić przesyłkę bez rozpoczynania od nieznanego pliku. Logistyka powinna mieć drogę potwierdzenia sprawy transportowej, a odbiorca maila jasny kontakt do eskalacji. Tak określmy warunek sprawnej obsługi dostawy również wtedy, gdy załącznik budzi wątpliwości.

Źródła

Redakcja cyberinsight.pl.