Nadawca, który nie był nadawcą. Anatomia phishingu z przejętej skrzynki zaufanego kontrahenta

Analiza rzeczywistego incydentu obsłużonego przez zespół PEPIX. Nazwy organizacji, adresy i inne dane umożliwiające identyfikację zostały zanonimizowane.

---

Większość porad o phishingu sprowadza się do jednego zdania: „sprawdź adres nadawcy”. To dobra rada - ale w opisywanym przypadku była bezużyteczna. Adres nadawcy był prawdziwy. Wiadomość przyszła z realnej, znanej organizacji, z którą nasz klient współpracuje od dawna. Problem polegał na czymś innym: to nie nadawca był fałszywy, tylko ktoś inny siedział w jego skrzynce.

TL;DR

• Pracownik firmy X otrzymał e-mail od znanego kontrahenta, z prawdziwego adresu, z prośbą o przegląd dokumentów.
• Wiadomość zawierała załącznik PDF udający powiadomienie „nowy dokument w chmurze - kliknij, aby zobaczyć”.
• Przycisk w PDF prowadził do obcej, nic nieznaczącej domeny - klasycznej strony wyłudzającej dane logowania.
• Wiadomość mimo wszystko wzbudziła wątpliwości, więc zamiast klikać - zapytano nadawcę o potwierdzenie, ale innym kanałem niż ten e-mail.
• Po kilku godzinach przyszła odpowiedź w tym samym wątku: „Niestety, konto Anny zostało zhakowane - proszę usunąć tę wiadomość”.
• To nie było podszycie się pod adres (spoofing) - atakujący faktycznie mieli dostęp do prawdziwej skrzynki kontrahenta. To tzw. przejęcie konta biznesowego (Business Email Compromise, BEC).
• Nikt po naszej stronie nie kliknął w link ani nie podał żadnych danych - dzięki temu, że ktoś zatrzymał się na chwilę zamiast działać od razu.

---

1. Wiadomość, która nie miała żadnego oczywistego błędu

Standardowa lista „jak rozpoznać phishing” każe szukać: literówek w adresie, dziwnej domeny, złej polszczyzny, presji czasu. W tej wiadomości nie było nic z tego. Adres nadawcy był dokładnie taki, jak zawsze. Stopka, podpis, styl - identyczne jak w poprzedniej, prawdziwej korespondencji. Temat brzmiał neutralnie i wiarygodnie: prośba o przegląd dokumentów za dany kwartał.

Gdyby ktoś sprawdził wyłącznie adres nadawcy - a to jest najczęstsza rada, jaką się słyszy - nie znalazłby żadnego powodu do niepokoju. I to jest sedno problemu.

2. Załącznik, który udawał powiadomienie z chmury

Do wiadomości dołączony był plik PDF. Po otwarciu widać było ekran przypominający typowe powiadomienie z usługi chmurowej: informację, że „otrzymano nowy dokument”, oraz przycisk w stylu „Zobacz dokument tutaj”.

To bardzo popularny wzorzec w phishingu - większość osób zna takie powiadomienia z codziennej pracy (OneDrive, Google Drive, DocuSign) i klika je odruchowo, bez zastanowienia. Przycisk w tym przypadku prowadził jednak nie do żadnej usługi chmurowej, tylko do zupełnie obcej domeny, niezwiązanej z nadawcą, kontrahentem ani żadną znaną platformą - typowej strony służącej do wyłudzania danych logowania.

PEPIX.AWARE - „zobacz dokument” to nie dowód, że dokument istnieje. Zanim klikniesz przycisk w załączniku PDF czy e-mailu, najedź na niego kursorem (bez klikania) i sprawdź w rogu okna, dokąd faktycznie prowadzi. Jeśli adres nie ma nic wspólnego z nadawcą ani znaną usługą - nie klikaj.

3. Dlaczego „sprawdź adres nadawcy” tym razem nie wystarczyło

To najważniejsza część tej historii. Nagłówki techniczne wiadomości pokazały, że nie była to podróbka adresu - wiadomość rzeczywiście została wysłana z prawdziwej infrastruktury pocztowej kontrahenta, tym samym kontem, które od miesięcy wysyłało normalną korespondencję.

Innymi słowy: atakujący nie musieli niczego podrabiać, bo mieli już klucze do prawdziwego mieszkania. To się nazywa przejęciem konta biznesowego (Business Email Compromise) i jest dziś jedną z trudniejszych do wykrycia form phishingu - bo omija dokładnie tę radę, którą najczęściej się powtarza.

4. Zamiast kliknąć - zapytano wprost, innym kanałem

Wiadomość, mimo prawdziwego adresu nadawcy, wzbudziła wątpliwości - m.in. sam schemat „zobacz dokument w chmurze” w połączeniu z ogólnym tematem „przegląd dokumentów”. Zamiast klikać przycisk albo po prostu zignorować sprawę, skontaktowano się z domniemanym nadawcą innym kanałem niż podejrzana wiadomość - nie odpowiadając w tym wątku i nie korzystając z danych kontaktowych podanych w samym e-mailu, tylko wykorzystując kontakt znany z wcześniejszej, niezależnej korespondencji.

Po kilku godzinach w tym samym wątku e-mailowym pojawiła się odpowiedź - tym razem od innej osoby z tej samej organizacji: krótka informacja, że konto koleżanki zostało zhakowane i że poprzednią wiadomość należy usunąć.

To dobra ilustracja tego, dlaczego warto mieć taki krok jako standardową procedurę, a nie coś, co robi się „gdy czujemy, że coś jest nie tak”. Gdyby nikt nie zapytał, ta wiadomość prawdopodobnie zostałaby po prostu usunięta jako podejrzana - bez potwierdzenia, że rzeczywiście chodziło o przejęte konto, i bez możliwości ostrzeżenia innych odbiorców tej samej kampanii.

PEPIX.AWARE - potwierdzenia szukaj poza wątkiem, w którym pojawiła się wątpliwość. Nigdy nie weryfikuj podejrzanej wiadomości, odpowiadając na nią lub dzwoniąc pod numer podany w jej treści - te dane mogą być równie fałszywe jak sama wiadomość. Skorzystaj z kontaktu, który znasz z wcześniejszej relacji: numeru z wizytówki, CRM-u albo oficjalnej strony firmy znalezionej samodzielnie.

5. Jak w takim razie się bronić, skoro adres jest prawdziwy?

Skoro adres nadawcy nie jest już wiarygodnym sygnałem, warto przenieść uwagę na coś innego - na samą treść i logikę wiadomości:

• Czy ta osoba/firma normalnie wysyła Ci dokumenty w ten sposób (jako link „zobacz w chmurze”), czy to nowy wzorzec komunikacji?
• Czy przycisk lub link prowadzi tam, gdzie sugeruje jego opis?
• Czy prośba pasuje do kontekstu Waszej współpracy, czy pojawia się znienacka?

A jeśli coś budzi wątpliwości - niezależnie od tego, jak wiarygodnie wygląda adres - najbezpieczniej jest zadzwonić do nadawcy na numer, który znasz z wcześniejszej korespondencji lub strony firmowej (nigdy z numeru podanego w samej podejrzanej wiadomości) i zapytać wprost, czy faktycznie coś wysyłał.

---

Dlaczego ten atak mógł zadziałać

Element ataku	Dlaczego jest skuteczny
Prawdziwy adres nadawcy	Omija najpopularniejszą poradę „sprawdź adres”
Ton i styl zgodny z wcześniejszą korespondencją	Brak typowych „czerwonych flag” językowych
Załącznik w stylu powiadomienia z chmury	Wzorzec dobrze znany i rutynowo klikany
Link ukryty za przyciskiem „Zobacz dokument”	Prawdziwy adres docelowy niewidoczny bez najechania kursorem

---

Rekomendacje

• Nie traktuj prawdziwego adresu nadawcy jako wystarczającego dowodu wiarygodności - jeśli konto zostało przejęte, adres jest autentyczny, a mimo to wiadomość jest złośliwa.
• Zawsze sprawdzaj, dokąd faktycznie prowadzi przycisk/link, zanim w niego klikniesz - najechanie kursorem pokazuje rzeczywisty adres.
• Zrób z weryfikacji innym kanałem stały nawyk, a nie wyjątek „na wszelki wypadek”. Nietypową prośbę - nawet z zaufanego adresu - potwierdzaj telefonicznie lub innym kanałem, korzystając z kontaktu, który znasz z wcześniejszej relacji, nigdy z danych podanych w samej wiadomości.
• Jeśli kontrahent potwierdzi, że jego konto zostało przejęte - nie poprzestawaj na usunięciu wiadomości. Sprawdź, czy ktoś zdążył kliknąć, pobrać lub wpisać dane, zanim potwierdzenie przyszło.
• Włącz uwierzytelnianie wieloskładnikowe (MFA) wszędzie, gdzie się da - to nie zapobiegnie takiej wiadomości, ale znacząco utrudnia atakującym przejęcie kolejnych kont, w tym Twojego.

---

Podsumowanie

Ten incydent nie skończył się utratą danych - i nie był to przypadek. Skończył się dobrze, bo ktoś zatrzymał się przed kliknięciem i zamiast tego zapytał wprost, innym kanałem, czy wiadomość rzeczywiście pochodzi od nadawcy. Dopiero ta jedna decyzja ujawniła, że konto zostało przejęte. To dobra ilustracja tego, że w dzisiejszym phishingu prawdziwy adres nadawcy nic już nie gwarantuje - liczy się to, czy w firmie istnieje nawyk potwierdzania wątpliwości poza wątkiem, w którym się pojawiły.

---

O PEPIX.AWARE

PEPIX.AWARE to platforma szkoleniowa PEPIX z zakresu cyberbezpieczeństwa. Ten materiał powstał na podstawie realnego incydentu obsłużonego przez nasz zespół, po odpowiedniej anonimizacji danych klienta.