Firmy sprzedające towar dostają maile udające reklamację klienta, a link do rzekomych zdjęć i nagrań uszkodzonej paczki prowadzi do trojana PureRAT, który daje przestępcom zdalny dostęp do komputera. Ostrzeżenie opublikował CERT Polska 19 października 2026 roku w komunikacie 192/2026, a rodzinę złośliwego oprogramowania ustalił we własnej analizie. Ten sam schemat opisała we wrześniu japońska firma ITOCHU Cyber & Intelligence. Dla sklepu internetowego oznacza to tyle, że zwykłe zgłoszenie reklamacyjne trzeba sprawdzić w systemie zamówień, zanim ktokolwiek kliknie link.
Jak wygląda mail z fałszywą reklamacją
Mail wygląda jak typowe zgłoszenie od niezadowolonego klienta. Na próbce opublikowanej przez CERT Polska rzekoma klientka pisze, że po otwarciu przesyłki znalazła poważnie uszkodzony towar. Nagrała rozpakowywanie i zrobiła zdjęcia uszkodzeń, ale pliki są “zbyt duże, by załączyć je bezpośrednio”, więc udostępniła je pod linkiem. Prosi o bezpłatną wymianę, a jeśli to niemożliwe, o pełny zwrot pieniędzy i darmową etykietę zwrotną.
Próbka zdradza kilka szczegółów, które da się zauważyć bez narzędzi. Temat “Jak odeslac uszkodzony produkt” nie ma polskich znaków. Treść pisze kobieta (“otworzyłam”, “nagrałam”), a podpisuje ją Aleksander Kowalski. Pod podpisem stoi stopka “Sent from AppSheet”, czyli z platformy Google do budowy aplikacji, a nie ze skrzynki prywatnego klienta. Link zaczyna się od adresu share.google, więc na pierwszy rzut oka wygląda na plik udostępniony z usług Google. Nie ma numeru zamówienia, daty zakupu ani nazwy produktu.
Pierwsza Misja AI · Kodożercy
Zagrożenia AI rozumie ten, kto wie, jak ona działa
Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.
Poznaj pełny program →
Co dzieje się po kliknięciu: ustalenia z Japonii
CERT Polska nie opisał pełnego łańcucha zakażenia w polskiej kampanii. Podał rodzinę złośliwego oprogramowania i odesłał do raportu ITOCHU Cyber & Intelligence z 25 września 2026 roku. Firma opisała w nim maile po japońsku i koreańsku z lipca i sierpnia 2026 roku, udające zgłoszenia uszkodzonych produktów albo prośby o zwrot. Poniższe szczegóły pochodzą z próbek z Japonii.
Link prowadził na stronę podszytą pod serwis do udostępniania dokumentów albo wideo. Strona twierdziła, że pliku nie da się podejrzeć, bo jest za duży, i kazała pobrać archiwum ZIP. Na telefonie chowała przycisk pobierania. CERT Polska pokazał podobne zachowanie polskiej strony: w systemie innym niż Windows wyświetla komunikat “Windows only”.
W archiwum był plik o podwójnym rozszerzeniu, na przykład nazwa kończąca się na .pdf.exe, i ukryta biblioteka DLL. W opisanej próbce sam plik EXE był prawdziwym, podpisanym przez Microsoft programem Excel, a złośliwy kod siedział w bibliotece. ITOCHU zauważył, że biblioteka była sztucznie powiększona do 75 MB, prawdopodobnie po to, by ominąć skanery z limitem rozmiaru pliku. Po uruchomieniu ofiara widziała fałszywy dokument PDF, a program dopisywał się do autostartu.
Końcowym ładunkiem był PureRAT albo PureLogs. Według ITOCHU PureRAT przy pierwszym połączeniu wysyła przestępcom zrzut ekranu, nazwę programu antywirusowego i informację, czy komputer ma kamerę. Próbka z Japonii potrafiła też wykradać dane z przeglądarek, portfeli kryptowalut i komunikatorów. PureLogs służy do kradzieży danych logowania. Jakie dane zbiera wariant rozsyłany w Polsce, CERT Polska nie podał.
Jak rozpoznać fałszywą reklamację przed kliknięciem
Fałszywą reklamację najszybciej rozpoznasz w systemie zamówień: brak pasującego zamówienia to sygnał alarmowy, choć zgodne dane same nie dowodzą, że mail jest prawdziwy. CERT Polska zaleca trzy rzeczy:
- Zwracaj uwagę na rozszerzenia załączników. Formaty .rar, .zip, .exe czy .js mogą sugerować, że zawartość jest inna, niż zapewnia treść maila.
- Przed pobraniem załączników zweryfikuj autentyczność zgłoszenia, na przykład sprawdź, czy numer zamówienia jest poprawny albo czy adres nadawcy jest w bazie klientów.
- Jeśli dostaniesz podobną wiadomość, nie otwieraj załącznika i zgłoś sprawę do CERT Polska.
Do tego dochodzi sygnał opisany przez ITOCHU. W japońskich mailach pole “Od” udawało adres obsługi klienta w jakiejś domenie, a pole “Odpowiedz do” (Reply-To) wskazywało niezwiązane konto Outlook albo Hotmail. Różne adresy w tych dwóch polach to powód, żeby się zatrzymać. Większość programów pocztowych pokazuje pole Reply-To, gdy zaczynasz pisać odpowiedź.
W sklepie, w którym maile od klientów czyta kilka osób, warto ustalić prostą zasadę: materiały do reklamacji otwiera się dopiero po znalezieniu zamówienia. Po potwierdzeniu zamówienia poproś klienta o materiały przez formularz reklamacyjny sklepu albo inny kanał, którego używacie na co dzień. Samo rozszerzenie pliku nie przesądza jednak o jego bezpieczeństwie. Jak rozpoznawać inne odmiany wyłudzeń, opisaliśmy w poradniku phishing: co to jest i jak go rozpoznać.
Co zrobić, jeśli ktoś w sklepie uruchomił plik
Samo otwarcie strony nie wystarcza do zakażenia w schemacie opisanym przez ITOCHU, bo trzeba pobrać archiwum i uruchomić plik ze środka. Jeśli archiwum zostało tylko pobrane, usuń je i opróżnij kosz. Jeśli ktoś uruchomił plik, traktuj komputer jako przejęty:
- Odłącz komputer od internetu (kabel i Wi-Fi), ale go nie formatuj, bo ślady przydadzą się przy analizie.
- Z innego, czystego urządzenia zmień hasła do poczty, panelu sklepu, bankowości firmowej i komunikatorów, a potem wyloguj wszystkie sesje.
- Zgłoś incydent do CERT Polska i poproś informatyka albo firmę od bezpieczeństwa o sprawdzenie komputera.
To nasze zalecenia, nie CERT Polska, wynikające z tego, co ITOCHU opisał o PureRAT: zdalny dostęp i kradzież danych z przeglądarek. Jak oczyścić zakażony komputer, wyjaśniamy w tekście wirus komputerowy: rodzaje, objawy i jak go usunąć.
Gdzie zgłosić fałszywą reklamację
Fałszywą reklamację zgłaszasz do CERT Polska przez formularz na stronie incydent.cert.pl albo w usłudze “Bezpiecznie w sieci” w aplikacji mObywatel. Te dwie drogi wskazuje komunikat 192/2026. Jeśli przestępcy coś ukradli albo przejęli konta, sprawę zgłasza się też na policji. Wszystkie adresy zebraliśmy w poradniku gdzie zgłosić oszustwo internetowe.
To nie pierwsza w październiku opisana przez CERT Polska kampania wymierzona w firmy. 6 października zespół ostrzegał przed fałszywymi zapytaniami ofertowymi, w których plik .xls instalował narzędzie zdalnego dostępu Remcos. Obie kampanie podszywają się pod zwykłą korespondencję handlową.
{ sklepy internetowe }Zakładasz sklep internetowy albo chcesz przenieść obecny?
Budujemy sklepy na WooCommerce, Shopify, PrestaShop i Shoperze. Podłączamy płatności, kuriera i księgowość, a przy przeprowadzce zabieramy też historię zamówień i klientów.
Podsumowanie
CERT Polska ostrzega przed mailami, które udają reklamację klienta i prowadzą do “zdjęć i nagrań uszkodzonego towaru”. Według analizy zespołu w środku jest złośliwe oprogramowanie z rodziny PureRAT, trojan zdalnego dostępu. Próbka z komunikatu ma temat bez polskich znaków, treść pisaną przez kobietę z męskim podpisem, stopkę “Sent from AppSheet” i link w domenie share.google. Opis działania pochodzi z kampanii w Japonii: strona z plikiem “za dużym na podgląd”, archiwum ZIP, plik o podwójnym rozszerzeniu i ukryta biblioteka DLL. Skali ataku w Polsce ani tego, co kradnie polski wariant, CERT nie podał. Sklep, który zanim otworzy materiały, sprawdza numer zamówienia, adres nadawcy i pole Reply-To, odsieje taki mail bez kliknięcia. Podejrzane wiadomości zgłaszaj przez incydent.cert.pl albo w mObywatelu.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
