Fałszywy e-mail o dokumentach firmy. CERT ostrzega klientów iPKO biznes

Fałszywy e-mail o dokumentach firmy może prowadzić do fałszywego logowania do iPKO biznes. CERT Orange opisał kampanię, w której nawet autentyczny załącznik bankowy służy uwiarygodnieniu oszustwa. Celem są dane dostępu i kod potwierdzający logowanie. Jeśli je przekazałeś, nie czekaj na zniknięcie pieniędzy — skontaktuj się z bankiem.

Ostrzeżenie dotyczy wiadomości podszywających się pod PKO Bank Polski i kierowanych do odbiorców biznesowych. Analiza CERT Orange została opublikowana 27 października 2026 r. o 14:34. Wcześniej, 26 października, CERT Polska poinformował o kolejnej odsłonie kampanii wykorzystującej żądanie aktualizacji dokumentacji przedsiębiorstwa.

Na 28 października najważniejsze jest rozpoznanie mechanizmu: rzekoma sprawa administracyjna ma skłonić odbiorcę do ujawnienia danych w podrobionym serwisie. Te komunikaty opisują phishing, czyli podszywanie się pod bank. Nie są informacją o potwierdzonym włamaniu do jego systemów ani dowodem, że każdy odbiorca wiadomości stracił pieniądze.

O jakiej kampanii ostrzegają zespoły CERT?

Nadawca przekonuje, że firma musi uzupełnić dokumenty lub potwierdzić swoje dane w związku z obowiązkami regulacyjnymi. To pretekst, który łatwo pomylić ze zwykłą korespondencją dotyczącą obsługi rachunku. Zamiast prosić od razu o przelew, wiadomość kieruje do pozornie rutynowego logowania. Nie oznacza to, że wskazana w niej czynność rzeczywiście jest wymagana przez bank.

CERT Polska zwraca uwagę na zmieniające się scenariusze tej kampanii. Wcześniejsze wiadomości wykorzystywały między innymi temat rachunków walutowych i zasad autoryzacji. Nowy motyw dotyczy dokumentacji firmy. Wspólnym elementem jest strona udająca bankowość elektroniczną i próba uzyskania danych użytkownika. Nie trzeba więc rozpoznać identycznego tytułu e-maila, żeby zauważyć zagrożenie.

PKO BP w ostrzeżeniu z 22 października opisał także presję na pilną aktualizację danych pod groźbą ograniczenia dostępu do usług. Bank zaznacza, że nie wysyła e-maili żądających danych logowania ani potwierdzenia tożsamości przez przesłany odnośnik. Sama nazwa banku widoczna przy nadawcy nie wystarcza do uznania wiadomości za prawdziwą.

Dlaczego prawdziwy PDF nie potwierdza autentyczności e-maila?

W próbce przeanalizowanej przez CERT Orange dołączono prawdziwy bankowy dokument PDF dotyczący okresowej weryfikacji dokumentacji. Według zespołu ten konkretny plik nie zawierał wirusa. Nie jest to jednak ocena każdego załącznika o podobnej nazwie ani zachęta, aby samodzielnie go otwierać. Bank zaleca, by w podejrzanych wiadomościach nie otwierać plików i nie korzystać z odnośników.

Autentyczny dokument można umieścić w nieautentycznej korespondencji. Z jego treści nie wynika, kto wysłał e-mail i dokąd prowadzi zawarty w nim przycisk. Dla odbiorcy oznacza to konieczność oddzielnego sprawdzenia żądania bankowego. Ocena jednego elementu wiadomości nie rozstrzyga wiarygodności całej operacji, do której namawia nadawca.

Co oszuści chcą przejąć na fałszywej stronie?

Opisany atak prowadzi do kopii strony iPKO biznes, zbierającej identyfikator użytkownika i hasło. CERT Orange wskazuje również na próbę pozyskania kodu logowania. W drugim zaobserwowanym wariancie nie ma załącznika: odbiorca ma przejść przez pozorne potwierdzenie tożsamości związane z brakującymi dokumentami. Brak PDF-u nie wyklucza więc tej kampanii.

Najgroźniejsze jest zaakceptowanie żądania, którego znaczenie różni się od obietnicy w e-mailu. Zasady bezpieczeństwa iPKO biznes wymagają sprawdzania danych operacji przed autoryzacją. Jeśli komunikat dotyczy logowania lub przelewu, nie traktuj go jako formalności przy przesyłaniu dokumentu. Nie przekazuj kodu i nie zatwierdzaj powiadomienia tylko dlatego, że poprzedni ekran nazwał to weryfikacją firmy.

Jak sprawdzić prośbę o dokumenty bez korzystania z wiadomości?

Przerwij ścieżkę rozpoczętą w podejrzanym e-mailu. Otwórz samodzielnie używaną aplikację bankową albo wpisz znany, oficjalny adres banku w przeglądarce. Bank wskazuje dla serwisu iPKO biznes domenę ipkobiznes.pl. Nie sprawdzaj autentyczności wiadomości przez ponowne otwieranie zawartego w niej przycisku ani przez rozmowę pod numerem podanym przez niezweryfikowanego nadawcę.

W razie wątpliwości zadzwoń do PKO BP pod 800 302 302. Numer jest wskazany w oficjalnym ostrzeżeniu banku; połączenie z krajowych numerów w Polsce jest bezpłatne, w innych przypadkach obowiązuje stawka operatora. Zapytaj o rzeczywistą potrzebę aktualizacji dokumentów i właściwy kanał wykonania tej czynności. Nie podawaj hasła ani kodu autorowi podejrzanej korespondencji.

Nie wybieraj strony logowania wyłącznie po znajomym logo. PKO ostrzega, że fałszywe witryny mogą pojawiać się również w reklamach wyszukiwarki. Szersze przykłady omawia nasz poradnik o rozpoznawaniu fałszywych e-maili. W tej konkretnej sprawie najbezpieczniej wyjaśnić żądanie niezależnym kanałem banku.

Co zrobić po otrzymaniu wiadomości lub wejściu na stronę?

Otrzymanie e-maila, otwarcie podrobionej strony i przekazanie hasła to różne sytuacje. Nie można z samej obecności wiadomości w skrzynce wywnioskować, że oszust uzyskał dostęp do rachunku. Jednocześnie brak zauważonej straty nie potwierdza bezpieczeństwa danych, które zdążyłeś ujawnić. Poniższe rozróżnienie pomaga precyzyjnie opisać zdarzenie podczas zgłoszenia.

Podejrzaną wiadomość możesz zgłosić do CERT Polska przez formularz w serwisie incydent.cert.pl albo usługę „Bezpiecznie w sieci” w aplikacji mObywatel. To kanały wskazane w komunikacie o kampanii. Zgłoszenie do CERT nie zastępuje pilnego kontaktu z bankiem, gdy podałeś dane albo pojawiła się nieznana operacja.

Co zrobić, jeśli podałeś już login, hasło lub kod?

Nie przekazuj kolejnych kodów i nie zatwierdzaj dalszych żądań. Natychmiast powiadom bank, że dane trafiły na stronę podszywającą się pod iPKO biznes. Powiedz dokładnie, czy ujawniłeś identyfikator, hasło, kod, dane dokumentu oraz czy zaakceptowałeś powiadomienie. Poproś o zabezpieczenie dostępu i sprawdzenie operacji; nie próbuj kończyć rzekomej aktualizacji dokumentów.

W firmie powiadom także osobę odpowiedzialną za bezpieczeństwo lub administrację bankowością. To praktyczny krok organizacyjny: umożliwia ustalenie, który użytkownik reagował na wiadomość i jaki zakres dostępu mógł być zagrożony. Nie przenoś przy tym na iPKO biznes instrukcji blokowania z prywatnego iPKO lub IKO — są to różne usługi. Sposób zabezpieczenia uzgodnij z bankiem.

Kontakt jest potrzebny również wtedy, gdy otrzymujesz niespodziewane żądanie autoryzacji albo widzisz operację, której nie rozpoznajesz. Opisz bankowi jej szczegóły i zgłoś nieautoryzowaną transakcję, jeśli do niej doszło. Żaden z odczytanych komunikatów nie daje podstaw do obietnicy automatycznego zwrotu pieniędzy. Najpilniejsze zadanie to zatrzymanie dalszego ujawniania danych i zabezpieczenie dostępu, zanim szkoda się zwiększy.

Sprawdź podobne artykuły