Skrzynka odbiorcza

Klasyczne podszycie pod e-usługę publiczną, w szablonie udającym pocztę systemową. Cztery sygnały występują razem: obca domena, bezosobowe powitanie, ultimatum czasowe i przycisk prowadzący gdzie indziej, niż sugeruje. Nagłówki dokładają spf=fail i serwer nadawczy spoza Polski.

Co zrobić: Nie klikaj. Zgłoś wiadomość do działu IT i usuń ją. Jeśli masz wątpliwość co do konta — wejdź na stronę e-usługi, wpisując adres ręcznie w przeglądarce, nigdy z linku w mailu.

Zwróć uwagę, że tutaj spf=pass — nadawca poprawnie skonfigurował własną domenę. Poprawny SPF mówi tylko tyle, że wiadomość naprawdę wyszła z tej domeny; nie mówi, że domena jest uczciwa. Rozstrzyga załącznik: .pdf.html to strona, nie dokument.

Co zrobić: Nie otwieraj załącznika. Faktury weryfikuj w rejestrze umów i przez księgowość, nie mailem. Przekaż wiadomość do IT jako próbę phishingu.

Ta wiadomość przechodzi wszystkie testy techniczne — SPF, DKIM i DMARC są poprawne, bo napastnik wysyła z własnej, legalnie kupionej domeny. Żadne zabezpieczenie serwera tego nie zatrzyma. Rozstrzyga treść: prośba o obejście procedury plus odcięcie kontaktu telefonicznego.

Co zrobić: Nie odpowiadaj na wiadomość. Zadzwoń do sekretariatu pod numer z książki telefonicznej urzędu (nie z maila) i potwierdź. Zgłoś sprawę do IT i do przełożonego.

Wiadomość autentyczna. Ma znak sprawy, wychodzi z serwera urzędu, niczego nie żąda i podaje kontakt możliwy do sprawdzenia w minutę. Zapamiętaj tego nadawcę — w tej skrzynce jest jeszcze jedna wiadomość od „tej samej” osoby.

Co zrobić: Zamknij dokumenty w toku przed piątkiem. Żadne inne działanie nie jest potrzebne.

Wiadomość autentyczna — mimo że zawiera link i mimo banera o nadawcy zewnętrznym. To celowa pułapka na odruch. Kurs, który uczy „każdy link to phishing”, w tydzień zamienia się w blokadę pracy urzędu. Sprawdzasz nie to, CZY jest link, tylko DOKĄD prowadzi i czy zgadza się z nadawcą.

Co zrobić: Możesz skorzystać z linku. Jeśli chcesz mieć pewność — najedź na niego kursorem i porównaj domenę docelową z adresem nadawcy albo zadzwoń pod podany numer.

Najtrudniejsza wiadomość w zestawie. Bez literówek, bez presji, bez załącznika, w szablonie identycznym z prawdziwym powiadomieniem, z poprawnym SPF i DKIM — bo napastnik wysyła z własnej domeny. Rozstrzygają dwie rzeczy: myślnik w domenie oraz puste pole sprawy. Ten schemat działa, bo powiadomienia z EZD są codziennością i przestajemy je czytać.

Co zrobić: Nie klikaj. Otwórz EZD tak, jak robisz to zawsze, i sprawdź, czy dokument tam faktycznie jest. Wiadomość przekaż do IT: jeśli trafiła do Ciebie, trafiła też do reszty wydziału.

Zwykła korespondencja od mieszkańca. Druga pułapka na odruch: literówki i prywatna skrzynka nie są dowodami phishingu. Gdyby wystarczyły do odrzucenia wiadomości, urząd przestałby obsługiwać obywateli.

Co zrobić: Zarejestruj wniosek zgodnie z procedurą. Załącznik otwórz w standardowy sposób — jeśli urząd ma podgląd dokumentów lub piaskownicę, skorzystaj z niej, bo to zasada dla wszystkich załączników, a nie reakcja na tę wiadomość.

Ta sama nazwa i ten sam adres nadawcy co w prawdziwym komunikacie o przeglądzie EZD — a wiadomość jest fałszywa. Dowód jest wyłącznie w nagłówkach: spf=fail oznacza, że serwer urzędu nie autoryzował tej wysyłki, a Return-Path i Reply-To prowadzą do obcej domeny. Dlatego warto umieć otworzyć nagłówki internetowe.

Co zrobić: Nie klikaj i nie odpowiadaj. Zgłoś do IT jako podszycie pod ich własny adres — to informacja, której dział IT naprawdę potrzebuje, bo oznacza, że ktoś celuje w cały urząd.