Fałszywe zapytania ofertowe: CERT Polska ostrzega przed XLS z Remcos

6 października CERT Polska ostrzegł przed fałszywymi zapytaniami ofertowymi. W opisanej kampanii wiadomość zawiera plik .xls, którego uruchomienie instaluje Remcos. Złośliwe oprogramowanie może umożliwiać zdalną kontrolę urządzenia i monitorowanie aktywności użytkownika.

Rekomendacja Breachroad na dziś: omów ten scenariusz z osobami obsługującymi nowych klientów, dostawców i skrzynki ogólne. Ustal, jak potwierdzić zapytanie przed pracą z załącznikiem oraz gdzie przekazać wiadomość do oceny. Pracownik powinien znać tę ścieżkę także wtedy, gdy potencjalne zamówienie wygląda na ważne i pilne.

Nowa okazja handlowa potrzebuje zwykłej weryfikacji

Wyobraźmy sobie handlowca, który otrzymuje prośbę o szybką wycenę. Nie zna nadawcy, ale temat pasuje do oferty firmy. W naszym przykładowym scenariuszu zaczyna od sprawdzenia, czy zapytanie ma sens biznesowy i czy potrafi potwierdzić kontakt niezależnie od otrzymanej wiadomości. Dopiero po ocenie decyduje o dalszym postępowaniu z dokumentem.

To propozycja Breachroad, nie rekonstrukcja konkretnego ataku. Pracownik nie musi samodzielnie analizować szkodliwego pliku. Jego zadaniem jest rozpoznać niepewność i skorzystać z uzgodnionego kanału wsparcia. IT powinno zapewnić odpowiedź, która pozwala bezpiecznie kontynuować obsługę prawdziwego klienta.

Proponujemy sprawdzić nazwę firmy, adres nadawcy i zgodność prośby z dotychczasową korespondencją. Do potwierdzenia użyj danych kontaktowych znalezionych w zaufanym źródle albo wcześniej zapisanych w organizacji. Numer telefonu lub podpis w podejrzanej wiadomości traktuj jako część materiału wymagającego weryfikacji.

Uzgodnij zasady pracy z dokumentem

Nasza propozycja dla menedżera sprzedaży lub zakupów: opisz, kto ocenia nieoczekiwany załącznik, jak go przekazać i jak długo trwa odpowiedź. Nie wymagaj od pracownika wyboru między ryzykownym działaniem a utratą potencjalnego zamówienia. Jasna procedura powinna uwzględniać realny rytm obsługi klientów.

Zespół powinien zgłaszać nietypową prośbę o dodatkowe działania przy dokumencie, zmianę ustawień zabezpieczeń lub instalację narzędzia. Nie wykonuj takich czynności tylko po to, aby spełnić instrukcję niepotwierdzonego nadawcy. Ocena formatu i pochodzenia pliku należy do uzgodnionego procesu, a nie do deklaracji w treści wiadomości.

Nie przedstawiamy wszystkich arkuszy XLS jako szkodliwych. Wniosek z ostrzeżenia jest praktyczny: zwyczajny temat korespondencji i znajome rozszerzenie nie wystarczają do potwierdzenia bezpieczeństwa. Zasady powinny pomagać ocenić kontekst oraz kolejne czynności wymagane od odbiorcy.

Jeśli plik został już uruchomiony

Rekomendujemy niezwłoczny kontakt z firmowym IT lub zespołem reagowania. Podaj czas zdarzenia, wiadomość, nazwę pliku i wykonane czynności. Nie otwieraj załącznika ponownie, aby pokazać problem innej osobie, i nie przesyłaj go dalej poza kanałem wskazanym przez zespół.

Przy podejrzeniu infekcji postępuj według procedury izolacji urządzenia. Nie loguj się z niego do kolejnych usług w celu samodzielnego sprawdzania kont. Osoba prowadząca reakcję powinna ocenić zakres dostępu, potrzebę zabezpieczenia śladów oraz działania dotyczące poświadczeń. Są to zalecenia Breachroad; otrzymanie podejrzanej wiadomości samo w sobie nie potwierdza infekcji.

Podejrzaną korespondencję można zgłosić przez formularz CERT Polska. W organizacji połącz tę możliwość z własnym kanałem zgłoszeń, aby administrator dowiedział się o zdarzeniu i mógł sprawdzić inne skrzynki lub urządzenia.

Przećwicz decyzję z pracownikami

Na krótkim spotkaniu przedstaw syntetyczne zapytanie i poproś zespół o wskazanie sposobu potwierdzenia nadawcy, osoby do konsultacji oraz postępowania po uruchomieniu dokumentu. Oceń, czy instrukcja jest zrozumiała dla nowych pracowników i zastępstw. Nie wymaga to otwierania rzeczywistego szkodliwego załącznika.

Przewodnik po rozpoznawaniu phishingu pomaga przygotować rozmowę. W ramach szkolenia cyberbezpieczeństwa dla organizacji możemy przećwiczyć decyzje zespołów sprzedaży, zakupów i administracji na przykładach dopasowanych do ich codziennej pracy.