Fałszywe zapytanie ofertowe z załącznikiem i mail „z KAS” o korekcie JPK. Co ma zrobić handlowiec i biuro, zanim kliknie

Trzy maile, które wyglądają jak praca

Pierwszy to zapytanie ofertowe. CERT Polska opisał 6 października kampanię, w której przestępcy proszą o odpowiedź na zapytanie zawarte w załączonym dokumencie. Plik ma rozszerzenie .xls, ale zamiast tabeli z pozycjami do wyceny instaluje program Remcos. To narzędzie do zdalnego przejęcia komputera: atakujący może rejestrować wciskane klawisze, włączyć kamerę i mikrofon, przechwytywać ekran, wykradać dane z firmy i dogrywać kolejne szkodliwe programy.

Drugi to zamówienie od „nowego klienta”. W lipcu CERT ostrzegał przed kampanią wymierzoną wprost w małe i średnie firmy: mail o rzekomym zamówieniu albo zapytaniu, adres nadawcy w zagranicznej albo dziwnej domenie, w załączniku znów Remcos. Trzeci wariant pojawił się 19 października: reklamacja od „klienta”, który pisze, że towar dotarł uszkodzony, a link ma prowadzić do zdjęć i nagrań. Zamiast nagrania jest program z rodziny PureRAT, czyli kolejne narzędzie zdalnego dostępu.

Wszystkie trzy mają wspólną cechę: nie udają banku ani kuriera, tylko zwykłą korespondencję handlową. Dlatego filtr w głowie, który każe nam nie klikać w „wygraną nagrodę”, tutaj nie działa. Zapytanie ofertowe to dokładnie to, na co handlowiec czeka.

Skala: raport CERT za 2025 r.

Z raportu rocznego CERT Polska wynika, że w 2025 r. zespół zarejestrował 260 783 incydenty, dwa i pół raza więcej niż rok wcześniej (103 449). Oszustwa komputerowe to 97,1 proc. z nich. Incydentów ze szkodliwym oprogramowaniem było 3438, w tym 179 ataków ransomware, z których 129 zgłosiły firmy prywatne. W tabeli rodzin szkodliwego oprogramowania pierwsze miejsce zajął właśnie Remcos ze 131 incydentami, przed AgentTeslą i Formbookiem. Handel hurtowy i detaliczny zgłosił w roku 2231 incydentów.

Ten sam raport pokazuje, że przestępcy chętnie korzystają z wizerunku państwa: jednym z najpopularniejszych scenariuszy pozostaje „zwrot podatku” z logo Ministerstwa Finansów i linkiem do fałszywego portalu, który wyłudza dane do banku i karty. To tło dla drugiej fali ostrzeżeń, tym razem od skarbówki.

Mail „z KAS”: po czym poznać podróbkę

16 października KAS ostrzegła przed mailami o weryfikacji albo korekcie plików JPK_VAT. Wiadomość prowadzi do strony, która prosi o dane osobowe, numery kont, adresy e-mail i hasła, albo ma załącznik. Rozpoznanie jest proste i warto je zapamiętać dosłownie: w prawdziwym powiadomieniu o JPK_VAT nie ma żadnego linku ani odnośnika do kliknięcia, nie ma też prośby o zalogowanie się gdziekolwiek. Jeśli w mailu „z urzędu” jest przycisk, to nie jest mail z urzędu.

Wcześniejsze warianty wyglądały podobnie. W marcu krążyło „Powiadomienie urzędowe” z czerwonym przyciskiem „Przejdź do systemu podatkowego” i prośbą o potwierdzenie danych, „aby uniknąć ograniczeń w dostępie do usług”. Jesienią 2025 r. oszuści wysyłali „zawiadomienie o zamiarze wszczęcia kontroli podatkowej” z powołaniem na artykuł Ordynacji podatkowej i linkiem do szczegółów. Od stycznia krąży „zwrot nadpłaty” z prośbą o dane bankowe. KAS za każdym razem radzi to samo: sprawdź adres nadawcy (urzędowy kończy się na gov.pl), nie podawaj danych, a w razie wątpliwości zadzwoń na infolinię 22 330 03 30 albo do swojego urzędu. Stan zwrotu sprawdzasz w e-Urzędzie Skarbowym, nie przez link.

Procedura dla handlowca

To rada redakcji oparta na zaleceniach CERT, ale działa w trzech krokach i nie wymaga działu IT. Krok pierwszy: zanim otworzysz załącznik od nieznanego nadawcy, spójrz na domenę. Firma z Polski, która pisze z adresu w egzotycznej domenie albo z darmowej skrzynki, to sygnał. Krok drugi: rozszerzenie pliku. CERT wymienia archiwa .rar i .zip oraz pliki .exe, .msi, .bat, .cmd, .scr i .js jako te, które nie mają prawa być „zapytaniem ofertowym”. Arkusz .xls od obcej firmy też traktuj jak podejrzany: prawdziwe zapytania przychodzą zwykle w PDF albo w treści maila.

Krok trzeci, najważniejszy: zweryfikuj nadawcę niezależnym kanałem. Znajdź firmę sam w internecie, zadzwoń na numer ze strony, nie z maila, i zapytaj, czy wysłali zapytanie. Jeśli firma istnieje, a o mailu nic nie wie, masz pewność. Jeśli nie da się jej znaleźć, nie ma zapytania. Zasada „nie na skrzynce”: handlowiec nie podejmuje decyzji o otwarciu pliku sam, w biegu, między telefonami. Ma prawo zapytać.

Procedura dla biura

Księgowa i biuro rachunkowe mają prostszą regułę, bo urząd nigdy nie wysyła linków. Każdy mail o JPK, PIT, kontroli, nadpłacie czy „profilu podatkowym” z przyciskiem albo załącznikiem odkładasz i sprawdzasz w e-Urzędzie Skarbowym, logując się jak zawsze, nie z wiadomości. Jeśli urząd czegoś chce, zobaczysz to tam.

Przy reklamacjach CERT podpowiada dwa pytania: czy numer zamówienia z maila istnieje w Twoim systemie i czy adres nadawcy jest w bazie klientów. Jeśli nie, nie ma czego oglądać. A gdy ktoś w firmie już kliknął: odłącz komputer od sieci, zmień hasła z innego urządzenia, zacznij od poczty i banku, i zgłoś zdarzenie na incydent.cert.pl albo przez usługę „Bezpiecznie w sieci” w aplikacji mObywatel. Zgłoszenie jest bezpłatne i pomaga CERT zablokować kampanię, zanim trafi do następnej firmy.

Dwie rzeczy z tej listy opisaliśmy już osobno. Jak ustawić SPF, DKIM i DMARC, żeby nikt nie wysyłał maili z Twojej domeny, piszemy w tekście o uwierzytelnieniu poczty. Co zrobić, gdy kontrahent „zmienia numer konta”, w tekście o procedurze zmiany konta.

Co z tego dla Ciebie

1. Powiedz dziś zespołowi o trzech schematach: zapytanie w .xls, zamówienie z obcej domeny, reklamacja z „nagraniem”. Pokaż komunikaty CERT, zajmuje to pięć minut.
2. Ustal zasadę: załącznik albo link od nieznanego nadawcy otwieramy dopiero po telefonie na numer znaleziony samodzielnie. Bez wyjątków dla „pilnych” zapytań.
3. W biurze powieś jedno zdanie: urząd nie wysyła linków. Mail „z KAS” z przyciskiem idzie do kosza, a sprawę sprawdzasz w e-Urzędzie Skarbowym.
4. Wpisz do procedury adres incydent.cert.pl i infolinię KAS 22 330 03 30. Zgłaszanie podejrzanych maili ma być nawykiem, nie wstydem.
5. Sprawdź, czy komputery handlowców i biura mają aktualny system i czy hasła do poczty i banku nie są zapisane w przeglądarce na wspólnym koncie.

Stan na: 29.10.2026. Tekst nie jest poradą prawną.