W skrócie
Pracownik dostaje SMS: „Paczka czeka, dopłać 1,99 zł, aby ją doręczyć” z linkiem. Strona wygląda jak przewoźnik, prosi o dane karty albo o logowanie do banku. W firmach wariant bywa groźniejszy: mail „awizo dostawy towaru” z załącznikiem lub linkiem do „dokumentu WZ”, który instaluje złośliwe oprogramowanie albo wyłudza hasło do poczty.
| Wariant | Kto go dostaje | Sygnał ostrzegawczy |
|---|---|---|
| SMS z dopłatą za doręczenie | Każdy, kto ma służbowy telefon | Link spoza domeny przewoźnika, kwota na kilka złotych |
| Mail „awizo dostawy towaru” | Magazyn, zakupy, sekretariat | Załącznik ZIP lub HTML, brak numeru zamówienia |
| Prośba o potwierdzenie adresu | Recepcja, biuro | Formularz z danymi karty przy rzekomym „odbiorze” |
| Fałszywa zmiana terminu dostawy | Kierownik magazynu | Nacisk na pilność i logowanie hasłem do poczty |
Dlaczego firmy dają się nabrać?
Firma codziennie czeka na jakieś przesyłki: towar, dokumenty, części. Wiadomość o awizo nie budzi podejrzeń, bo wygląda jak codzienność. Mała kwota dopłaty usypia czujność, a prawdziwym celem są dane karty i hasła. Nie trzeba nawet dużej wiedzy technicznej: wystarczy lista numerów telefonów i szablon strony.
Presja, rutyna i mały koszt
Oszuści łączą trzy rzeczy. Pierwsza to rutyna: pracownik rzeczywiście oczekuje paczki. Druga to pośpiech: „masz 24 godziny, inaczej wrócimy do nadawcy”. Trzecia to niski koszt pomyłki w oczach ofiary: skoro to tylko dwa złote, to można kliknąć. Połączenie tych trzech jest skuteczniejsze niż wyrafinowany mail z poprawną polszczyzną.
Co ryzykuje firma?
Najpierw dane karty firmowej lub służbowej, potem dostęp do skrzynki pocztowej. Przejęta poczta służy do dalszych ataków, na przykład do wysłania do kontrahentów prośby o zmianę rachunku. Tak z pozornie drobnego SMS-a robi się strata na kilkadziesiąt tysięcy złotych. Ten drugi etap opisujemy we wpisie podmiana rachunku kontrahenta. Technikę SMS-ową omawiamy też we wpisie smishing.
Jak rozpoznać fałszywe awizo?
- link prowadzi do domeny innej niż strona przewoźnika
- wiadomość prosi o dopłatę, dane karty lub logowanie do banku
- brak numeru przesyłki albo numer, którego nie ma w systemie zamówień
- nacisk na czas i groźba zwrotu do nadawcy
- załącznik w formacie ZIP, HTML lub plik wykonywalny zamiast dokumentu
- nadawca, który nie zna Twojej firmy, tylko pisze ogólnikowo „Szanowny kliencie”
Jakie zasady zapisać w firmie?
- status przesyłki sprawdzamy na stronie przewoźnika wpisanej ręcznie albo w aplikacji, nigdy z linku w wiadomości
- nikt nie płaci „dopłaty za doręczenie” z karty firmowej
- zamówione dostawy mają numer zamówienia, który kurier lub dostawca podaje w kontakcie
- podejrzaną wiadomość zgłaszamy jednym kliknięciem wskazanej osobie
- hasła do poczty nie wpisujemy po kliknięciu w wiadomość o przesyłce
Jeśli dostawy do magazynu planujesz z góry, pomaga też awizacja dostaw pod rampą, bo wtedy każda prawdziwa dostawa ma okno czasowe i numer, a wiadomość spoza grafiku od razu się wyróżnia.
Co zrobić po kliknięciu?
Zmień hasło do poczty z innego urządzenia i wyloguj pozostałe sesje. Jeśli wpisano dane karty, zablokuj kartę w banku. Zgłoś zdarzenie osobie odpowiedzialnej, bo to samo SMS-owe oszustwo dociera zwykle do kilku osób naraz. Ważne, aby pracownik nie bał się przyznać do kliknięcia, bo skrywanie błędu daje oszustowi czas.
Dlaczego jedna prezentacja nie wystarczy?
Wiedza o fałszywym awizo jest prosta, ale w chwili odbioru SMS-a nikt nie myśli o zasadach. Zadziała tylko nawyk. Nawyk buduje się powtarzaniem krótkich ćwiczeń na wiadomościach podobnych do prawdziwych. Naiwne wysyła symulacje awizo i dopłat do zespołu, a po kliknięciu pokazuje dwuminutową lekcję z zaznaczonymi sygnałami. Raport pokazuje działy, nie nazwiska.
Dla kogo to ma największy sens?
Dla firm, w których przesyłek i dostaw jest dużo: handel, e-commerce, produkcja i dystrybucja. Program dla takich zespołów opisujemy na stronach szkolenie z cyberbezpieczeństwa dla hurtowni i dystrybutorów oraz dla firm logistycznych, a sklepy online znajdą program na stronie szkolenie dla sklepów internetowych. Ceny i plany znajdziesz w cenniku.
Od czego zacząć?
Od jednego scenariusza wysłanego do całego zespołu: SMS z awizo, który wygląda jak zwykła paczka. Wynik pierwszej kampanii pokazuje, ile osób kliknęło, a ile zgłosiło wiadomość. Potem dokładasz scenariusze faktur i zmiany rachunku. Pełny opis kampanii masz na stronie testy phishingowe.
Jak wygląda typowa sytuacja?
Kierownik magazynu dostaje SMS: „Twoja paczka nie została doręczona, potwierdź adres dostawy”. Link prowadzi do strony łudząco podobnej do przewoźnika. Po wpisaniu adresu strona prosi o „opłatę manipulacyjną” kartą. Kierownik płaci, bo spodziewał się dostawy, a karta okazuje się firmowa. Za godzinę z karty znikają kolejne kwoty.
Co zrobiłby dobrze przygotowany pracownik?
Zignorowałby link, sprawdził numer zamówienia w systemie i przeszedł na stronę przewoźnika samodzielnie. Gdyby przesyłki nie było, zgłosiłby SMS i wskazał numer nadawcy. Cała weryfikacja trwa minutę, a oszustwo kończy się na pierwszym kroku.
Jak rozpoznać fałszywe awizo od kuriera?
Prawdziwy przewoźnik nie prosi o dane karty ani o logowanie do banku, a link prowadzi do jego domeny. Fałszywe awizo ma ogólnikowy tekst, pośpiech i adres spoza domeny przewoźnika. Najpewniej sprawdzić status paczki ręcznie na stronie kuriera, wpisując numer przesyłki.
Co zrobić, gdy kliknąłem w link z fałszywego awizo?
Nie wpisuj niczego na otwartej stronie. Zamknij ją, zmień hasło do poczty z innego urządzenia, a jeśli podałeś dane karty, zablokuj ją w banku. Zgłoś SMS osobie odpowiedzialnej za bezpieczeństwo w firmie.
Czy fałszywe awizo może dotyczyć firmy?
Tak, i to często. Firmy odbierają więcej przesyłek, więc wiadomość o dostawie wygląda wiarygodnie. Celem jest zwykle karta firmowa albo hasło do poczty, które pozwala na dalsze ataki, na przykład podmianę rachunku w korespondencji z kontrahentem.