CERT Polska w ostrzeżeniu z 1 października opisuje maile podszywające się pod Krajową Administrację Skarbową (KAS) i informujące o rzekomych niezgodnościach w rozliczeniach. Według CERT Polska załącznik przedstawiany jako raport instaluje Remcos, umożliwiający zdalny dostęp i przejęcie danych. Dla osoby obsługującej korespondencję podatkową to powód, by potwierdzić nadawcę i dokument przed otwarciem załącznika.

Czy otworzyłbyś raport o błędzie w rozliczeniach, żeby dopiero z jego treści ustalić, czy wiadomość rzeczywiście pochodzi z KAS? To pytanie do ćwiczenia. W opisanej przez CERT Polska kampanii właśnie załącznik prowadzi do instalacji Remcos. Proponujemy zatrzymać ćwiczenie przed jego otwarciem: osoba odbierająca pocztę ma wskazać, jak niezależnie potwierdzi korespondencję podatkową i komu zgłosi wątpliwość. Niech pokaże drogę kontaktu, z której skorzysta bez polegania na danych z podejrzanego maila. Tak postawione zadanie pozwala sprawdzić instrukcję obsługi poczty na konkretnym przykładzie, bez uruchamiania pliku.

Raport o rozliczeniach jest przynętą do instalacji Remcos

Według komunikatu CERT Polska z 1 października 2026 r. nadawcy podszywają się pod KAS, a wiadomości dotyczą rzekomych niezgodności podatkowych. Odbiorca dostaje załącznik przedstawiany jako raport. W takim układzie sprawdzenie treści rzekomego dokumentu nie powinno być pierwszym krokiem weryfikacji korespondencji.

CERT Polska wskazuje skutek otwarcia załącznika: instalację Remcos oraz możliwość zdalnego dostępu i przejęcia danych. Informacja o rozliczeniach jest więc pretekstem i na nim oprzyjmy ćwiczenie dla osób obsługujących pocztę. Skoncentrujmy je na chwili, w której odbiorca decyduje, czy otworzyć plik przedstawiany jako informacja o jego rozliczeniach.

W instrukcji dotyczącej korespondencji z KAS postawmy warunek: zanim odbiorca zajmie się załącznikiem, powinien niezależnie potwierdzić pochodzenie wiadomości i to, czy dokument rzeczywiście dotyczy jego sprawy. Prośbę o szybkie wyjaśnienie rozliczeń traktujmy jako powód do uruchomienia tej weryfikacji.

Presja korespondencji podatkowej powinna uruchamiać sprawdzenie nadawcy i dokumentu przed otwarciem załącznika.

Procedurę obsługi poczty sprawdź przed otwarciem pliku

Komunikat CERT Polska nie opisuje firmowych procedur ani reakcji konkretnych pracowników. Zderzenie instrukcji z praktyką przeprowadźmy zatem u siebie jako ćwiczenie. Poprośmy osobę obsługującą korespondencję podatkową o pokazanie, gdzie znajdzie niezależnie ustalony kontakt do urzędu. Odpowiedź „sprawdzę nadawcę” uzupełnijmy o wskazanie, z jakiej informacji skorzysta i co dokładnie potwierdzi.

W scenariuszu z fałszywym raportem KAS zapiszmy osobno potwierdzenie sprawy oraz potwierdzenie dokumentu. Uczestnik powinien umieć wyjaśnić, skąd będzie wiedział, że otrzymany załącznik należy do korespondencji, którą zweryfikował. Samą treść maila potraktujmy w ćwiczeniu jako informację wymagającą sprawdzenia, również wtedy, gdy dotyczy rozliczeń.

Przećwiczmy też brak możliwości potwierdzenia wiadomości. Ustalmy, że w takim przypadku załącznik pozostaje nieotwarty, a wątpliwość trafia do wskazanej osoby. Instrukcja obsługi poczty powinna podawać ten kontakt oraz sposób przekazania opisu sprawy bez zachęcania kolejnego odbiorcy do otwarcia pliku. Jeżeli uczestnik nie potrafi znaleźć kontaktu, zapiszmy konkretną poprawkę w instrukcji, zamiast uznawać samą deklarację ostrożności za zakończenie zadania.

Ryzyko przejęcia danych wymaga przypisania odpowiedzialności

Zdalny dostęp i możliwość przejęcia danych, wskazane przez CERT Polska przy Remcos, wyznaczają temat rozmowy zarządczej. Przy obsłudze podejrzanej korespondencji z KAS ustalmy, kto potwierdza sprawę podatkową, kto przyjmuje zgłoszenie dotyczące załącznika i kto rozstrzyga dalsze postępowanie. Nie zakładajmy przy tym, że osoba znająca rozliczenia ma samodzielnie badać podejrzany plik.

W proponowanej instrukcji zgłoszenia rozróżnijmy otrzymanie maila, otwarcie załącznika i brak pewności, co wykonano. Osoba zgłaszająca powinna opisać zapamiętane działania bez ponownego otwierania raportu. Nie wymagajmy od niej rozpoznania Remcos ani samodzielnego potwierdzenia przejęcia danych, zanim przekaże podejrzenie do wyjaśnienia.

W opisie tej kampanii brakuje danych pozwalających wyliczyć koszt dla konkretnej organizacji. Nie przypisujmy jej więc strat ani potwierdzonego wycieku. Do ustalenia odpowiedzialności wykorzystajmy znaną możliwość zdalnego dostępu i przejęcia danych. Właściciel instrukcji obsługi korespondencji powinien zadbać o to, by pracownik wiedział, komu przekazać podejrzany przypadek także wtedy, gdy już otworzył załącznik.

Zgłoszenie podejrzanego raportu powinno być możliwe, zanim pracownik potwierdzi, czy doszło do przejęcia danych.

Podszycie pod KAS nie dowodzi włamania do administracji

Ostrzeżenie CERT Polska dotyczy wiadomości wykorzystujących nazwę Krajowej Administracji Skarbowej. Samo podszycie nie dowodzi kompromitacji systemów administracji. W komunikacie dla pracowników zachowajmy to rozróżnienie: opiszmy fałszywą korespondencję i załącznik, bez przypisywania urzędowi utraty kontroli nad systemami.

Przy przekazywaniu ostrzeżenia CERT Polska osobom zajmującym się rozliczeniami dołączmy uzgodnioną drogę potwierdzania spraw podatkowych. Nie dopisujmy twierdzenia o wzroście liczby ataków; podane fakty nie dostarczają takiego pomiaru. Ćwiczenie powinno dotyczyć decyzji odbiorcy konkretnego maila: gdzie sprawdzić korespondencję, jak postąpić z załącznikiem i komu zgłosić podejrzenie. Tak sformułowany zakres wystarczy do przeglądu własnej instrukcji bez rozszerzania ostrzeżenia o niepotwierdzone zdarzenia.

Co z tym zrobić w poniedziałek

Każdy punkt potraktuj jako osobne zadanie do wykonania w 30 minut. Do ćwiczenia wykorzystaj opis z komunikatu CERT Polska, bez otwierania podejrzanych załączników.

  1. Zapisz niezależną drogę potwierdzenia korespondencji podatkowej. Z osobą odpowiedzialną za rozliczenia wskaż sposób dotarcia do kontaktu z urzędem poza otrzymanym mailem. Ustal, jak potwierdzić nadawcę, sprawę i załączony dokument. Zapisz również postępowanie, gdy nie da się uzyskać potwierdzenia.
  2. Przećwicz obsługę raportu rzekomo od KAS. Przedstaw ustnie scenariusz wiadomości o niezgodnościach. Poproś odbiorcę o wskazanie czynności poprzedzających otwarcie załącznika oraz osoby, której przekaże wątpliwość. Zapisz brakujące informacje w instrukcji i wyznacz osobę odpowiedzialną za ich uzupełnienie.
  3. Przygotuj próbne zgłoszenie podejrzenia. Opisz, co przyszło i jakie działania wykonano; zaznacz niepewności. Wskaż wewnętrznego odbiorcę zgłoszenia oraz sprawdź w podlinkowanym komunikacie drogę zgłaszania do CERT Polska. Próbną notatkę zachowaj jako materiał ćwiczeniowy; zgłaszaj rzeczywiste podejrzenia.

Przy korespondencji przedstawianej jako wiadomość z KAS wymagajmy potwierdzenia nadawcy i dokumentu przed otwarciem załącznika. Prawo do zatrzymania obsługi podejrzanego raportu wpiszmy do instrukcji razem z kontaktem do osoby rozstrzygającej wątpliwości. Pilność sprawy podatkowej nie powinna zwalniać z tej zasady.

Źródła

  1. CERT Polska: Przestępcy znów podszywają się pod Krajową Administrację Skarbową!, 1 października 2026

Redakcja cyberinsight.pl.