CERT Polska opisał we wtorek 19 maja kampanię, w której oszuści podszywają się pod Erste, wcześniej Santander. Przestępcy wykorzystali zmianę nazwy banku oraz groźbę ograniczenia dostępu do konta. Dla firm, które prowadzą rachunki i rozliczenia przez bank, to dobry powód, by sprawdzić, jak ich ludzie potwierdzają, kto naprawdę prosi o dane.

Skąd osoba z działu finansowego ma wiedzieć, że wiadomość o „konieczności aktualizacji danych” po zmianie nazwy banku jest fałszywa? Odruchowa odpowiedź jest taka, że będzie wyglądać podejrzanie. Tu podejrzenie ma słabe oparcie. Zmiana nazwy z Santandera na Erste jest prawdziwa, więc wiadomość nawiązująca do nowej marki nie musi budzić sprzeciwu. Do tego dochodzi presja: według CERT Polska oszuści grozili ograniczeniem dostępu do konta. Tytuł komunikatu zespołu, „Konieczność aktualizacji danych? Dokładnie sprawdź komu je podajesz!”, trafnie wskazuje, gdzie leży problem. Ocena, czy wiadomość wygląda wiarygodnie, przestaje wystarczać, gdy oszust opiera się na prawdziwym wydarzeniu. Zapytajmy, kto prosi o dane i czy taka prośba w ogóle mieści się w zasadach, które organizacja ogłosiła swoim klientom.

Prawdziwa zmiana nazwy uwiarygadnia fałszywą prośbę o dane

Według komunikatu CERT Polska kampania opierała się na zmianie nazwy banku i groźbie ograniczenia dostępu do konta. Zmiana nazwy daje pretekst. Klient, który wie, że Santander działa teraz jako Erste, może uznać prośbę o aktualizację danych za naturalny skutek tej zmiany. Groźba skraca czas na namysł. Groźba utraty dostępu do rachunku przesuwa uwagę z pytania „kto do mnie pisze” na pytanie „jak szybko to załatwić”.

Mechanizm jest prosty. Oszust bierze zdarzenie, które jest prawdziwe, i dokleja do niego żądanie, które pochodzi od kogoś innego niż bank.

Każda zapowiedziana zmiana organizacyjna jest gotowym scenariuszem dla oszusta, który podszywa się pod tę organizację.

Klient wie, co się zmienia, ale nie wie, czego organizacja nie zrobi

Jeśli komunikacja przy zmianie nazwy skupia się tylko na tym, co klient zobaczy inaczej niż dotąd, zostawia lukę, którą taka kampania może wykorzystać. Klient wie, że coś się zmienia, i jest gotów przyjąć kolejne wiadomości z tym związane.

Teza tego tekstu dotyczy każdej organizacji, która zmienia nazwę. Komunikat o zmianie powinien obok opisu nowości zawierać krótką listę próśb, których organizacja nigdy nie wyśle e-mailem, oraz wskazanie kanału, którym klient może to sprawdzić. Takie zdanie daje odbiorcy regułę, którą może zastosować w chwili, gdy dostanie wiadomość z groźbą blokady konta.

Tu widać rozjazd między procedurą a praktyką. Typowa instrukcja, by uważać na podejrzane wiadomości, zakłada, że fałszywka czymś się wyróżnia. Przy pretekście zmiany marki ten warunek odpada, bo fałszywa wiadomość mówi o tym samym, o czym mówi prawdziwy bank. Pracownik, który w dobrej wierze reaguje na groźbę ograniczenia dostępu do rachunku firmy, robi dokładnie to, czego oczekuje od niego zwykły obowiązek dbania o płatności.

Ostrzeżenie przed podejrzanymi wiadomościami nie działa, gdy fałszywa wiadomość opowiada o prawdziwej zmianie.

Dla zarządu ryzyko dotyczy dostępu do rachunku i podziału ról

Groźba ograniczenia dostępu do konta, opisana przez CERT Polska, trafia w firmie w konkretne miejsce: do osób obsługujących płatności i bankowość elektroniczną. Ich zadaniem jest ciągłość rozliczeń, więc wiadomość o możliwej blokadzie rachunku uderza w ich główną odpowiedzialność. Zarząd powinien wiedzieć, kto w firmie ma prawo aktualizować dane w banku, którym kanałem to robi i kto potwierdza, że prośba o zmianę rzeczywiście pochodzi od banku. Jeśli na to pytanie nie ma jednej odpowiedzi, decyzję podejmie osoba, która akurat odebrała wiadomość, pod presją terminu narzuconego przez oszusta.

Skala kampanii, jej trend i straty pozostają nieznane. Decyzja o zasadzie potwierdzania próśb banku nie zależy jednak od skali tej jednej kampanii.

Druga strona perspektywy zarządczej dotyczy firm, które same planują zmianę nazwy, połączenie albo przejęcie. Przypadek Erste i Santandera pokazuje, że oszuści potrafią wykorzystać taki moment. Do planu komunikacji przy zmianie marki dopiszmy jedno zdanie powtarzane w każdym kanale: czego firma nigdy nie zażąda e-mailem i jak klient może to sprawdzić. Napisanie tego zdania kosztuje mniej niż wyjaśnianie klientom po fakcie, skąd przyszła wiadomość pod nową nazwą.

Komunikat krajowego CSIRT dotyczy polskiego klienta bankowego

CERT Polska, krajowy zespół reagowania na incydenty, opisał kampanię w komunikacie z 19 maja 2026 r. Sprawa dotyczy lokalnego kontekstu bankowego i rzeczywistej zmiany nazwy z Santandera na Erste. To odróżnia ją od ogólnych ostrzeżeń przed phishingiem: oszuści nie wymyślili pretekstu od zera; oparli go na zdarzeniu, które klienci banku mogli znać.

Kampania wykorzystała zmianę nazwy i groźbę ograniczenia dostępu do konta, i to wystarcza, by przejrzeć własne zasady kontaktu z bankiem. Przegląd zacznijmy od weryfikacji kanału, a ocenę treści wiadomości zostawmy na później.

Co z tym zrobić w poniedziałek

  1. Ustal, kto i którym kanałem potwierdza prośby banku. Wskaż osobę odpowiedzialną za kontakt z bankiem i zapisz numer telefonu lub adres, który firma uznaje za zaufany. Weź go z umowy albo z oficjalnej strony banku, nigdy z treści otrzymanej wiadomości.
  2. Wyślij krótką notę do działu finansowego. Opisz kampanię z komunikatu CERT Polska: podszywanie się pod Erste, wcześniej Santander, z powołaniem na zmianę nazwy i groźbą ograniczenia dostępu do konta. Dodaj zasadę, że każdą prośbę o aktualizację danych sprawdzamy zaufanym kanałem przed jakimkolwiek działaniem.
  3. Dopisz jedno zdanie do planu komunikacji przy zmianach organizacyjnych. Jeśli firma planuje zmianę nazwy, połączenie lub przejęcie, umieść w szablonie komunikatu do klientów listę próśb, których nigdy nie wyśle e-mailem, oraz sposób ich weryfikacji.

Zmiana marki tworzy okres, w którym wiadomość z nową nazwą łatwo uznać za oczekiwaną. Organizacja, która w tym czasie mówi klientom wyłącznie o tym, co się zmienia, zostawia oszustom miejsce na resztę opowieści. Komunikat o nowej nazwie powinien poświęcić tyle samo miejsca temu, czego organizacja nigdy nie zażąda e-mailem.

Źródła

  1. CERT Polska: Konieczność aktualizacji danych? Dokładnie sprawdź komu je podajesz!, publikacja: 19 maja 2026.

Redakcja cyberinsight.pl.