Fala phishingu pod znane marki
Trzy niezależne kampanie w trzy kolejne dni — Amazon, kurier UPS, dostawca prądu. Ten sam mechanizm, inna „przynęta”.
Newsy AudytBiura.pl #1 — 14–20 września 2026
Cotygodniowy przegląd tego, co naprawdę wydarzyło się w cyberbezpieczeństwie — bez żargonu, z podanymi źródłami i jasną odpowiedzią na pytanie „czy to dotyczy też mojej firmy”.
Wydanie #1
Okres: 14–20.09.2026
Publikacja: 25.09.2026
Poziom tygodnia: ŚREDNI
TL;DR — najważniejsze z tygodnia
- Trzy fale phishingu w trzy dni: CERT Polska ostrzegał kolejno przed fałszywymi wiadomościami „od” Amazon Prime (15.09), kuriera UPS (16.09) i dostawcy prądu (17.09) — wszystkie działają tym samym schematem: e-mail → presja czasu → fałszywa strona → kradzież hasła i danych karty.
- Krytyczna, aktywnie wykorzystywana luka w urządzeniach Cisco Secure Email Gateway (CVE-2026-76461) — pozwala przejąć pełną kontrolę nad urządzeniem bez logowania, przez spreparowaną wiadomość e-mail.
- Kontekst branżowy: według przeglądu Zaufanej Trzeciej Strony (18.09), cztery polskie banki zmieniły procedury rozpatrywania reklamacji nieautoryzowanych transakcji po decyzji UOKiK — dobra wiadomość dla firm i konsumentów.
- Dla małych firm bez rozbudowanego IT: tego tygodnia najważniejsze ryzyko to nie zaawansowane włamanie, tylko dobrze podrobiony e-mail, który ktoś w firmie może kliknąć w pośpiechu.
Najważniejsze wydarzenia tygodnia
Krytyczna luka w Cisco Secure Email Gateway
CVE-2026-76461 — pełne przejęcie urządzenia bez logowania, przez spreparowany e-mail. Już aktywnie wykorzystywana.
UOKiK wymusił zmiany w 4 bankach
Po decyzji UOKiK cztery banki w Polsce zmieniły sposób rozpatrywania reklamacji ws. nieautoryzowanych transakcji — korzystna zmiana dla klientów firmowych i indywidualnych.
Źródło: Zaufana Trzecia Strona, „Weekendowa Lektura” #694 (18.09.2026)
Ostrzeżenia i oszustwa tygodnia
W tym tygodniu CERT Polska (moje.cert.pl) opublikował trzy oddzielne ostrzeżenia o kampaniach phishingowych — każda podszywa się pod inną, dobrze znaną markę, ale mechanizm jest identyczny: e-mail wywołujący poczucie pilności → link do fałszywej strony → formularz proszący o hasło lub dane karty płatniczej.
15.09.2026 — fałszywe „Witamy w Amazon Prime”
Wiadomość informuje o rzekomej aktywacji płatnej subskrypcji Amazon Prime i oferuje link do „anulowania” usługi. Link prowadzi na fałszywą stronę proszącą o hasło do konta i dane karty płatniczej. CERT Polska podkreśla, że nadawcy celowo wywołują poczucie zagrożenia związane z niechcianą opłatą, żeby ofiara działała w pośpiechu, bez sprawdzania szczegółów.
Źródło: moje.cert.pl, komunikat 170/2026
16.09.2026 — fałszywy „problem z dostawą” (UPS)
Kampania podszywa się pod kuriera UPS, informując o rzekomej niezgodności w danych dostawy i kierując na fałszywą stronę, gdzie formularz zbiera dane osobowe i numer karty płatniczej. CERT Polska zaleca sprawdzanie statusu przesyłki wyłącznie przez oficjalną stronę przewoźnika, nigdy przez link z wiadomości.
Źródło: moje.cert.pl, komunikat 171/2026
17.09.2026 — fałszywa „korekta prognozy zużycia prądu”
Wiadomość podszywa się pod dostawcę energii elektrycznej, oferując „zwrot nadpłaty” po rzekomej korekcie prognozy zużycia. Fałszywa strona wizualnie naśladuje prawdziwy portal dostawcy i prosi o dane osobowe oraz kartę płatniczą — rzekomo do przelania zwrotu.
Źródło: moje.cert.pl, komunikat 172/2026
Co łączy wszystkie trzy kampanie
- Zawsze presja czasu lub obawa przed niechcianą opłatą — to ma wyłączyć krytyczne myślenie.
- Zawsze link prowadzi do strony łudząco podobnej do prawdziwej, ale pod innym adresem.
- Zawsze celem jest hasło i/lub numer karty płatniczej — nigdy „tylko informacja”.
- Żadna z tych firm (Amazon, kurier, dostawca prądu) nie prosi o dane karty przez link w e-mailu.
Podatności i aktualizacje
CVE-2026-76461 — Cisco Secure Email Gateway (krytyczna, aktywnie wykorzystywana). Błąd w sposobie przetwarzania wiadomości e-mail pozwala przez specjalnie spreparowaną wiadomość wstrzyknąć polecenia SQL (SQL injection — czyli „przemycenie” złośliwego polecenia bazy danych w miejscu, gdzie system spodziewa się zwykłych danych), co w efekcie daje atakującemu pełną kontrolę nad urządzeniem z uprawnieniami administratora, bez logowania. Dotyczy urządzeń fizycznych i wirtualnych, niezależnie od konfiguracji.
Czy to dotyczy mojej firmy?
Cisco Secure Email Gateway to sprzętowa/wirtualna brama pocztowa używana głównie przez średnie i duże organizacje oraz ich dostawców IT — nie jest to typowe rozwiązanie dla jednoosobowej działalności czy mikrofirmy. Jeśli jednak Twoją pocztą zarządza zewnętrzny dostawca IT lub MSP, warto zapytać wprost, czy korzysta z tego urządzenia i czy jest już zaktualizowane.
Zalecenie CERT/Cisco: aktualizacja do wersji 15.5.5-014, 16.0.4-302 lub 16.5.0-780 (zależnie od posiadanej wersji) oraz przegląd logów pod kątem podejrzanych poleceń SQL.
Dodatkowo, w tle tygodnia: przegląd Zaufanej Trzeciej Strony (18.09) opisał narzędzie phishingowe „GhostCode”, które nadużywa mechanizmu logowania OAuth 2.0 (standardu, dzięki któremu jedną aplikacją logujesz się przez konto Microsoft/Google) i rejestruje urządzenie atakującego w Microsoft Entra (usłudze zarządzania tożsamością Microsoft 365) — co pozwala ominąć zwykłe hasło i część zabezpieczeń MFA. To dobry argument, żeby w firmie korzystającej z Microsoft 365 sprawdzić, czy logowanie z nowych/nieznanych urządzeń jest w ogóle monitorowane.
Co zrobić w tym tygodniu
- Uczul zespół na te trzy konkretne kampanie (Amazon Prime, UPS, dostawca prądu) — łatwiej rozpoznać zagrożenie, gdy zna się dokładny scenariusz, a nie tylko ogólne „uważaj na phishing”.
- Ustal zasadę: żadna płatność ani dane karty nie są podawane przez link z e-maila — zawsze przez stronę wpisaną ręcznie lub aplikację.
- Jeśli pocztę firmową obsługuje zewnętrzny dostawca IT — zapytaj, czy korzysta z urządzeń Cisco Secure Email Gateway i czy są zaktualizowane.
- Jeśli firma korzysta z Microsoft 365 — sprawdź, czy logowania z nowych urządzeń są widoczne/monitorowane (np. przez alerty logowania).
Najczęstsze pytania
Skąd wiadomo, że to naprawdę phishing, a nie prawdziwa wiadomość od Amazon/kuriera/dostawcy prądu?
Nie da się tego ocenić „na oko” ze 100% pewnością — dlatego zasada jest prosta: nigdy nie klikaj linku z takiej wiadomości. Zamiast tego wejdź na stronę firmy samodzielnie (wpisując adres) albo zaloguj się do aplikacji, którą już masz, i sprawdź tam.
Czy mała firma bez własnego działu IT powinna przejmować się luką w Cisco Secure Email Gateway?
Bezpośrednio — rzadko, bo to sprzęt klasy enterprise. Pośrednio — tak, jeśli korzystasz z zewnętrznego dostawcy IT/poczty, bo to on może mieć taki sprzęt w swojej infrastrukturze.
Co zrobić, jeśli ktoś w firmie już kliknął jeden z tych linków?
Natychmiast zmień hasło do konta, którego dotyczyła wiadomość, włącz MFA jeśli jeszcze nie było włączone, i skontaktuj się z bankiem, jeśli podano dane karty płatniczej. Warto też zgłosić incydent na incydent.cert.pl.
Powiązane materiały
Źródła
- moje.cert.pl — „Witamy w Amazon Prime”, uważaj na fałszywe wiadomości o subskrypcji (15.09.2026)
- moje.cert.pl — „Problem z dostawą” może być próbą wyłudzenia danych (16.09.2026)
- moje.cert.pl — Korekta prognozy zużycia prądu? Zachowaj ostrożność! (17.09.2026)
- moje.cert.pl — Krytyczna podatność w Cisco Secure Email Gateway, wrzesień 2026 (15.09.2026)
- Zaufana Trzecia Strona — Weekendowa Lektura, odcinek 694 (18.09.2026)
Newsy AudytBiura.pl to redakcyjne podsumowanie tygodnia oparte na publicznie dostępnych komunikatach CERT Polska (moje.cert.pl) i branżowych źródłach cyberbezpieczeństwa. To nie jest oficjalna publikacja CERT Polska.
1‑dniowy audyt cyberbezpieczeństwa IT
Co sprawdzimy
- Pocztę, hasła, konta współdzielone
- MFA i dostęp zdalny
- Backup i możliwość odtworzenia danych
Co otrzymasz
- Raport ryzyk i priorytety napraw
- Plan działań na 30/60 dni
- Szkolenie phishing & smishing
Dla kogo
- MŚP i organizacje bez SOC
- Firmy objęte NIS2
- Zarządy szukające „due diligence”
Sprawdź, czy Twoja firma jest narażona
W 1 dzień sprawdzam, gdzie Twoja firma może stracić dane, pieniądze albo dostęp do poczty.
Audyt kosztuje 1500 zł netto i kończy się prostym raportem z listą rzeczy do poprawy.
Autor:
Radek Rzążewski (AudytBiura.pl)
Zobacz profil na LinkedIn
Na co dzień zajmuję się cyberbezpieczeństwem (SOC / monitoring / analiza zagrożeń). Newsy AudytBiura.pl to cotygodniowe podsumowanie tego, co naprawdę warto wiedzieć — bez żargonu i bez straszenia na wyrost.
Ostatnia aktualizacja: