CERT Polska monitoruje reklamy fałszywych zniżek na paliwo; według komunikatu z 29 września w kampanii wykorzystywano wizerunek Orlenu i banków, a formularze zbierały numery telefonów oraz dane kart. Dla osób zarządzających wydatkami służbowymi to powód, by objąć zasadami również promocje docierające do pracownika poza systemem zakupów. Kierowcom i kupującym przypomnijmy o sprawdzaniu ofert w oficjalnym kanale oraz monitorowaniu kart.

Czy obietnica tańszego tankowania wystarczy, żeby podać dane służbowej karty i numer telefonu? Proponujemy zadać to pytanie podczas przeglądu zasad zakupów paliwa, a następnie poprosić o wskazanie sposobu sprawdzenia promocji. Punktem odniesienia jest ostrzeżenie CERT Polska, nie historia konkretnego pracownika. Rozmowę poprowadźmy od oferty do decyzji o przekazaniu danych: gdzie kierowca ma zweryfikować rabat, do kogo skierować wątpliwości i kto zajmie się kontrolą karty? Jeśli instrukcja opisuje wyłącznie zatwierdzenie wydatku, dopiszmy do niej etap weryfikacji promocji. To proponowany test firmowych zasad, bez założenia, że w którejkolwiek organizacji doszło do ich złamania.

Obietnica rabatu prowadziła do zbierania danych

Jak podaje CERT Polska w komunikacie z 29 września 2026, kampania posługiwała się wizerunkiem Orlenu oraz banków. Reklamowana korzyść dotyczyła paliwa, natomiast formularze zbierały numery telefonów i dane kart. Taki zakres ustaleń wystarcza, aby w firmowej instrukcji wskazać moment wymagający sprawdzenia oferty: przed przekazaniem danych w związku z obiecanym rabatem.

W zaleceniu dla kierowców rozdzielmy samą informację o zniżce od potwierdzenia, że promocja rzeczywiście obowiązuje. Ofertę sprawdzajmy w oficjalnym kanale marki, której dotyczy, i docierajmy do niego niezależnie od reklamy. Dopóki promocja pozostaje niepotwierdzona, zalecamy wstrzymać wpisywanie numeru telefonu i danych karty. Tak sformułowana instrukcja wskazuje konkretną czynność do wykonania przed wypełnieniem formularza.

W przypomnieniu uwzględnijmy oba rodzaje danych wymienione przez CERT Polska. Nie ograniczajmy komunikatu do samej karty, skoro formularze zbierały również numery telefonów. Jednocześnie odróżniajmy wyświetlenie reklamy od przekazania danych: przytoczone fakty nie pozwalają uznać każdego odbiorcy oferty za osobę, której dane wyciekły.

Weryfikacja rabatu na paliwo powinna poprzedzać zgodę na przekazanie danych karty i numeru telefonu.

Sprawdź, czy zasady obejmują ofertę spoza systemu zakupów

Ostrzeżenie CERT Polska nie opisuje firmowych procedur ani decyzji konkretnych pracowników. Nie daje podstaw do stwierdzenia, że kierowcy obchodzili zasady zakupów lub że kupujący zignorowali instrukcje. Zderzenie procedury z praktyką proponujemy więc przeprowadzić jako ćwiczenie we własnej organizacji: prześledzić sposób postępowania z reklamą rabatu na paliwo otrzymaną poza systemem zakupów.

Poprośmy kierowcę i osobę zajmującą się zakupami o wskazanie zapisu, który zastosowaliby do takiej oferty. Sprawdźmy, czy instrukcja odpowiada na pytanie o podanie danych karty jeszcze przed zatwierdzeniem wydatku. Jeżeli odpowiedzi dotyczą wyłącznie rozliczenia tankowania, uzupełnijmy zasady o wcześniejszą decyzję: gdzie potwierdzić promocję i kto pomoże, gdy nie uda się tego zrobić.

Za wynik ćwiczenia przyjmijmy krótką instrukcję obsługi oferty paliwowej. Zapiszmy drogę weryfikacji i firmowy kontakt do wyjaśnienia wątpliwości. Jeżeli kierowca i zakupy wskazują różne sposoby postępowania, uzgodnijmy jeden zapis dla omawianej sytuacji. Nie wymagajmy od pracownika samodzielnego rozstrzygania, czy reklama mieści się już w procedurze wydatków służbowych.

Wyznacz odpowiedzialność za weryfikację oferty i kontrolę karty

Dla zarządzających wydatkami paliwowymi proponujemy rozdzielenie zadań: potwierdzenie promocji, ustalenie sposobu zgłoszenia przekazania danych oraz monitorowanie karty. Każdemu zadaniu przypiszmy osobę lub funkcję w firmie. Właściciela zasad wydatków poprośmy o sprawdzenie, czy kierowca potrafi znaleźć te ustalenia bez przeglądania całej dokumentacji zakupowej.

Monitorowanie służbowych kart zapiszmy jako konkretny obowiązek: kto przegląda transakcje, w jakim terminie i komu przekazuje zauważone niezgodności. Podczas przeglądu wybierzmy jedną używaną kartę i sprawdźmy, czy te odpowiedzi są ustalone. Nie wpisujmy do raportu potwierdzenia kontroli, jeżeli wiadomo jedynie, że kierowcy dostali ogólne przypomnienie.

Jeżeli pracownik zgłosi wypełnienie formularza dotyczącego paliwa, ustalmy, czy przekazał numer telefonu, dane karty, czy oba rodzaje informacji. Nie prośmy o ponowne wpisywanie pełnych danych karty do zgłoszenia. Kosztów tej kampanii nie wyliczymy na podstawie komunikatu, bo nie podaje on kwot strat ani liczby poszkodowanych. W decyzji zarządczej skoncentrujmy się zatem na ustaleniu odpowiedzialności za sprawdzenie oferty i obsługę zgłoszenia.

Zasady wydatków służbowych powinny prowadzić pracownika także przez decyzję o rabacie znalezionym poza systemem zakupów.

Ostrzeżenie CERT Polska wykorzystaj w instrukcji dla kierowców

Polskim punktem odniesienia jest komunikat CERT Polska i opisana w nim kampania wykorzystująca wizerunek Orlenu oraz banków. W firmowym przypomnieniu zachowajmy właśnie ten zakres informacji. Komunikat nie wskazuje nazw banków, więc nie dopisujmy ich do ostrzeżenia ani nie twórzmy listy rzekomo powiązanych ofert.

Kierowcom i kupującym przekażmy wspólną zasadę: promocję paliwową potwierdzamy w oficjalnym kanale, zanim podamy dane. Dołączmy ustalenia dotyczące monitorowania kart służbowych. Nie uzależniajmy tego przypomnienia od oszacowania skali kampanii, której przytoczone fakty nie określają. Do rozmowy o firmowym procesie wystarczy opisany przez CERT Polska związek między reklamą rabatu a zbieraniem danych.

Co z tym zrobić w poniedziałek

Na każde z poniższych działań przeznacz najwyżej 30 minut. Nierozstrzygnięte pytania zapisz z osobą odpowiedzialną za ich uzupełnienie.

  1. Dopisz zasadę weryfikacji rabatów na paliwo. Przygotuj krótki zapis obejmujący oferty spoza systemu zakupów: sprawdzenie promocji w oficjalnym kanale przed podaniem numeru telefonu i danych karty. Wskaż firmowy kontakt do wyjaśnienia wątpliwości.
  2. Ustal kontrolę jednej służbowej karty. Z osobą odpowiedzialną sprawdź sposób przeglądania transakcji, termin następnej kontroli oraz odbiorcę informacji o niezgodnościach. Zapisz te ustalenia w instrukcji dostępnej dla użytkownika karty.
  3. Przećwicz decyzję z kierowcą i zakupami. Omówcie reklamę rabatu paliwowego jako hipotetyczną sytuację, bez otwierania podejrzanych formularzy. Poproś o wskazanie drogi weryfikacji oferty oraz kontaktu na wypadek przekazania danych. Zapisz brakujące odpowiedzi.

Granicę zasad zakupów paliwa wyznaczmy tam, gdzie pracownik podejmuje decyzję o przekazaniu danych służbowej karty. Wymagajmy, by instrukcja obejmowała również promocję otrzymaną poza firmowym systemem. Za zakończony przegląd uznajmy ustalenie drogi weryfikacji rabatu i odpowiedzialności za monitorowanie karty.

Źródła

  1. CERT Polska: „Ceny paliw rosną – cyberprzestępcy próbują to wykorzystać”, 29 września 2026

Redakcja cyberinsight.pl.