Księgowość i logistyka: jak sprawdzać podejrzane dokumenty

Trzy październikowe komunikaty CERT Polska opisują podejrzane załączniki pod pretekstem spraw kurierskich, zapytania ofertowego i rozliczeń podatkowych. Zestawiamy je, by zaproponować kierownikom księgowości, logistyki i sprzedaży wspólny sposób przyjęcia dokumentu, potwierdzenia sprawy oraz zgłoszenia wątpliwości.

Według komunikatu 187/2026 z 12 października sprawcy podszywają się pod kuriera, wskazują rzekomą rozbieżność faktury i listy przewozowej, a w załączniku umieszczają MassLogger. W ostrzeżeniu 185/2026 z 6 października CERT Polska opisuje fałszywe zapytanie ofertowe w pliku .xls, którego uruchomienie instaluje Remcos. Z kolei komunikat 183/2026 z 1 października dotyczy podszycia pod KAS: do wiadomości o niezgodnościach podatkowych dołączono rzekomy raport, którego otwarcie prowadzi do instalacji Remcos. To synteza trzech ostrzeżeń, bez podstaw do przypisania ich jednej kampanii lub jednemu sprawcy. Łączymy najnowszy sygnał z dwoma wcześniejszymi, aby zaproponować wspólną instrukcję obsługi dokumentów.

Trzy preteksty stawiają odbiorcę przed decyzją o załączniku

Z porównania komunikatów CERT Polska wynika podobieństwo momentu decyzji: odbiorca ma zająć się sprawą biznesową opisaną w wiadomości i dostał plik, który rzekomo jej dotyczy. Rozbieżność dokumentów przewozowych, możliwość przygotowania oferty oraz wyjaśnienie podatków są różnymi powodami do podjęcia sprawy. Proponujemy dla nich wspólny pierwszy krok: ustalenie, czego dotyczy korespondencja i kto odpowiada za jej niezależne potwierdzenie, zanim rozpocznie się praca z załącznikiem.

Daty 1, 6 i 12 października 2026 r. oznaczają publikację źródeł. Komunikaty opisują obserwacje kampanii, bez dat ich rozpoczęcia ani liczby poszkodowanych. Nie dają też podstaw do przypisania błędu pracownikowi, obejścia bramy pocztowej czy określonej konfiguracji makr. Sam format .xls z komunikatu 185/2026 nie uzasadnia uznawania każdego arkusza za złośliwy. Nasza propozycja dotyczy decyzji o podejrzanej wiadomości, a nie automatycznego odrzucania wszystkich dokumentów danego typu.

Weryfikacja dokumentu powinna pozwolić obsłużyć sprawę biznesową bez otwierania nieznanego pliku na próbę.

Potwierdzenie sprawy sprawdź w ćwiczeniu bez otwierania pliku

CERT Polska w komunikacie 187/2026 zaleca weryfikację u przewoźnika oficjalnym kanałem, a w komunikacie 183/2026 potwierdzenie informacji bezpośrednio w urzędzie skarbowym. Na tej podstawie proponujemy kontrolę opartą na trzech pytaniach: czy dokument był spodziewany, kto jest właścicielem sprawy i jak potwierdzi ją poza otrzymaną wiadomością. Odpowiedzi zapiszmy przy zgłoszeniu; gdy którejś brakuje, wskażmy osobę odpowiedzialną za jej ustalenie.

Przetestujmy tę propozycję przy stole, na opisach kuriera, oferty i KAS. Osoba przyjmująca korespondencję ma pokazać, gdzie znajdzie kontakt ustalony niezależnie od podejrzanego maila. Właściciel sprawy powinien wskazać, o jakie potwierdzenie poprosi: przesyłki i dokumentów, zapytania ofertowego albo informacji podatkowej. Następnie porównajmy odpowiedzi z obowiązującą instrukcją. Jeżeli instrukcja odsyła do osoby, której nikt nie potrafi wskazać, zapiszmy brak do uzupełnienia. To warunek ćwiczenia, bez twierdzenia, że tak zachowali się odbiorcy opisani przez CERT Polska.

W wariancie oferty uwzględnijmy dokument niespodziewany, ale wymagający rozstrzygnięcia biznesowego. Zamiast kończyć ćwiczenie samym brakiem wcześniejszego kontaktu, wskażmy właściciela sprzedaży, który ustali dalszą drogę weryfikacji. Oddzielmy potwierdzenie, że zapytanie rzeczywiście istnieje, od decyzji o użyciu konkretnego załącznika. Do czasu wyjaśnienia wątpliwości pozostawmy plik nieotwarty; kontakt w sprawie oferty powierzmy wskazanej osobie.

Otwarcie pliku zmienia zadanie helpdesku i zespołu bezpieczeństwa

Jak podaje CERT Polska w komunikacie 185/2026, Remcos umożliwia zdalną kontrolę urządzenia, rejestrowanie aktywności oraz wykradanie danych. To możliwości oprogramowania, a nie potwierdzenie takich skutków u nazwanej ofiary. Z tego opisu wyprowadzamy zalecenie organizacyjne: zgłoszenie po uruchomieniu załącznika powinno trafić do oceny technicznej, niezależnie od trwającego potwierdzania sprawy biznesowej.

W proponowanym formularzu rozróżnijmy odebranie wiadomości, pobranie pliku oraz jego otwarcie lub uruchomienie. Dopuśćmy odpowiedź „nie wiem”. Osoba zgłaszająca opisuje wykonane czynności i nie otwiera dokumentu ponownie, nawet żeby sprawdzić jego zawartość. Nie wymagajmy od księgowości ani sprzedaży rozpoznania Remcos przed przyjęciem zgłoszenia przez helpdesk.

Przypiszmy helpdeskowi przyjęcie opisu i przekazanie go właściwemu zespołowi bezpieczeństwa, a temu zespołowi ocenę techniczną oraz dalsze instrukcje. Właściciel sprawy biznesowej powinien w tym czasie odpowiadać za kontakt dotyczący oferty, dostawy lub rozliczeń. Samodzielnej zmiany hasła nie traktujmy jako rozstrzygnięcia podejrzenia infekcji. Przy informacji o otwarciu pliku z komunikatu 185/2026 decyzji o dalszym postępowaniu z urządzeniem oczekujmy od zespołu technicznego.

Jedna droga zgłoszenia ułatwia pracę, jeśli rozróżnia odebranie wiadomości i uruchomienie załącznika.

Księgowość, logistyka i sprzedaż potrzebują wspólnej instrukcji

Trzy komunikaty CERT Polska wykorzystajmy do przypisania ról we własnej firmie: księgowości przy rozliczeniach i korespondencji rzekomo od KAS, logistyce przy dokumentach przewozowych, sprzedaży przy zapytaniu ofertowym. Jeśli faktura i lista przewozowa wymagają udziału dwóch działów, wyznaczmy jednego właściciela potwierdzenia sprawy. Odbiorca wiadomości powinien znaleźć tę osobę w instrukcji, bez samodzielnego rozstrzygania podziału obowiązków między działami.

Wyjątkom biznesowym przypiszmy decydenta. Przy nieoczekiwanej ofercie określmy, kto uzgadnia sposób dalszego kontaktu, a przy rozbieżności dokumentów przewozowych, kto prowadzi wyjaśnienie z przewoźnikiem. Wspólny kanał zgłoszeń do helpdesku uzupełnijmy zasadą przekazywania odpowiedzi właścicielowi sprawy. Włączmy osobę odpowiedzialną za pocztę do uzgodnienia sposobu przekazania podejrzanej wiadomości. Są to zalecenia redakcji, nie opis procedur firm objętych ostrzeżeniami CERT Polska.

Pojedyncze preteksty przedstawiliśmy osobno w tekstach o fałszywym kliencie i Remcos w zapytaniu ofertowym oraz fałszywym raporcie KAS i Remcos. Tutaj instrukcję sprawdzamy jednym kryterium: czy każdą z trzech spraw da się przeprowadzić od odbiorcy do osoby uprawnionej do rozstrzygnięcia wątpliwości.

Co z tym zrobić w poniedziałek

Każdy punkt to osobne zadanie przygotowawcze do 30 minut. Wynikiem mają być ustalenia i zapisane braki, bez obietnicy pełnego wdrożenia procesu lub obsługi incydentu w tym czasie.

Narysuj jedną ścieżkę obsługi dokumentu. W 30 minut połącz odbiorcę, właściciela sprawy, niezależne potwierdzenie i helpdesk. Przy każdym etapie wpisz odpowiedzialną rolę. Zaznacz, kto rozstrzyga wyjątek biznesowy oraz komu przekazać sprawę, gdy potwierdzenie jest niedostępne.
Przejdź przy stole trzy scenariusze. W 30 minut omów kuriera, ofertę i KAS na podstawie komunikatów CERT Polska. Bez złośliwych próbek i otwierania załączników sprawdźcie kontakty oraz decyzje przewidziane w instrukcji. Zapiszcie niejasności odpowiedzialności do wyjaśnienia.
Uzgodnij minimalny formularz zgłoszenia. W 30 minut zapisz z helpdeskiem pola opisujące wiadomość, właściciela sprawy, wynik weryfikacji oraz pobranie i otwarcie pliku, z możliwością zaznaczenia niepewności. Wskaż właściciela dalszej instrukcji dla zgłaszającego i osobę odpowiedzialną za dopracowanie formularza.

W księgowości, logistyce i sprzedaży wymagajmy powtarzalnej decyzji: kto potwierdza sprawę i kto przejmuje podejrzenie dotyczące pliku. Wspólna instrukcja powinna dawać odbiorcy drogę dalszej obsługi oferty lub dostawy również wtedy, gdy załącznik pozostaje wstrzymany. Za rozstrzygnięciem wątpliwości musi stać wskazana osoba, a po otwarciu pliku także właściwy zespół techniczny.

Źródła

Redakcja cyberinsight.pl.