Ochrona poczty i filtrowanie treści Lublin

Które oszustwo przychodzi dziś pocztą do firmy przewozowej?

Obraz z reklam, w którym atak to załącznik z wirusem, przestał opisywać rzeczywistość. Wiadomość, która kosztuje lubelską firmę przewozową najwięcej, nie ma załącznika, nie ma podejrzanego odnośnika i przechodzi przez każdy filtr patrzący na treść, bo w treści nie ma niczego złego.

Ma za to trzy cechy, które trudno zauważyć w biegu. Jest napisana poprawnie, bo powstała na podstawie prawdziwej korespondencji. Dotyczy sprawy, która u Was rzeczywiście trwa, bo nadawca zna numer zlecenia albo nazwę odbiorcy. Wymaga drobnej zmiany, którą łatwo wykonać, czyli podania nowego konta, przesłania dokumentów albo potwierdzenia odbioru pod innym adresem.

W praktyce spotykamy trzy warianty. Pierwszy to zmiana rachunku na fakturze, przysłana jako uprzejma korekta z domeny różniącej się jedną literą. Drugi to fałszywe zlecenie przewozowe wystawione w imieniu znanej firmy spedycyjnej, którego celem bywa ładunek, a nie fraktura. Trzeci to prośba o dokumenty kierowcy i pojazdu, przysłana rzekomo przez zleceniodawcę, służąca zbudowaniu wiarygodnego podszycia na później.

Po czym poznać fałszywe zlecenie, zanim samochód pojedzie?

Sygnał	Co widzi spedytor	Co robi z tym poczta
Domena różniąca się jedną literą	nazwa firmy zgadza się w podpisie	wiadomość zatrzymana, adres na liście podobnych
Pierwszy kontakt z tego adresu	wygląda jak korespondencja ciągła	widoczny znacznik nad treścią wiadomości
Odpowiedź kierowana na inny adres	pole odpowiedzi zwykle poza widokiem	ostrzeżenie o rozbieżności nadawcy i adresu zwrotnego
Nowy numer konta w znanej sprawie	zwykła korekta faktury	znacznik i zasada, że zmianę konta potwierdza się telefonem
Pilność wymuszona terminem załadunku	presja rozładunku i kar umownych	filtr tego nie oceni, ocenia to człowiek
Załącznik z dokumentami przewozowymi	plik wygląda jak zawsze	sprawdzenie zawartości przed dostarczeniem

Trzy pierwsze wiersze filtr rozstrzyga sam. Trzy kolejne wymagają decyzji człowieka i dlatego ta usługa ma sens wyłącznie razem z jedną spisaną zasadą: zmianę numeru konta i nowy adres do wysyłki dokumentów potwierdza się telefonem pod numer znany wcześniej, nigdy pod ten podany w wiadomości.

Zasada jest banalna, a jej wprowadzenie zajmuje jedno spotkanie. Jej brak kosztuje tyle, ile wynosi przelew za trzy przewozy albo wartość ładunku wydanego niewłaściwemu kierowcy.

Dlaczego same rekordy domeny nie zatrzymają podszycia pod kontrahenta?

Rekordy SPF, DKIM i DMARC odpowiadają na jedno pytanie: czy ta wiadomość naprawdę wyszła z domeny, którą ma w nadawcy. Ustawione poprawnie zamykają możliwość podszycia się pod Was wobec Waszych klientów i to jest ich pełna rola. Nie odpowiadają natomiast na pytanie, czy domena nadawcy jest tą, o którą Wam chodzi.

Fałszywe zlecenie przychodzi zwykle z domeny wykupionej wczoraj, poprawnie skonfigurowanej, z własnym kluczem i własnym rekordem. Z punktu widzenia weryfikacji jest bez zarzutu, tylko nazwa różni się jedną literą albo końcówką. Dlatego druga warstwa patrzy na podobieństwo do domen Waszych kontrahentów oraz na wiek samej domeny, bo adres założony przed tygodniem rzadko obsługuje wieloletnią współpracę.

Rekordy porządkujemy mimo to zawsze i zwykle jest przy tym więcej pracy, niż zakłada firma. Poza domeną główną trzeba objąć domeny zapasowe, wykupione lata temu warianty nazwy oraz wszystkie systemy wysyłające pocztę w Waszym imieniu. Program spedycyjny wysyłający potwierdzenia, platforma do faktur, drukarka skanująca dokumenty na skrzynkę i narzędzie do wysyłki ofert bywają odkrywane dopiero wtedy, gdy po zaostrzeniu rekordu ich wiadomości przestają dochodzić. Dlatego zaostrzamy stopniowo, w trybie raportowania, i dopiero potem w odrzucaniu.

Co jest najtrudniejsze w obronie adresu, na który piszą nieznajomi?

Adres ogólny dyspozytorni albo skrzynka do zleceń są z definicji otwarte na korespondencję od osób, których nikt nie zna, bo taka jest ich funkcja. Nie da się ich chronić regułą odrzucającą nieznanych nadawców, bo wtedy przestają działać.

Dlatego traktujemy je osobno. Dostają ostrzejsze sprawdzanie załączników, pełne rozwijanie odnośników, obowiązkowy znacznik pierwszego kontaktu i węższe uprawnienia samego konta, żeby przejęcie skrzynki ogólnej nie dawało dostępu do niczego więcej. Do tego dochodzi zasada, że z adresu ogólnego nikt nie zatwierdza płatności ani nie potwierdza zmiany danych rozliczeniowych.

Osobna sprawa to liczba osób korzystających z takiej skrzynki. W dyspozytorni pracującej na zmiany bywa ich kilkanaście, często z jednym wspólnym hasłem. Rozwiązanie opisuje logowanie wieloskładnikowe i kontrola dostępu, bo dostęp do skrzynki ogólnej powinien iść przez konto imienne, a nie przez hasło zapisane na kartce przy monitorze.

Co robimy, gdy wiadomość jednak doszła?

Żaden filtr nie zatrzymuje wszystkiego i planujemy pracę tak, jakby to było pewne. Zgłoszenie od użytkownika, który kliknął albo podał dane, ma u nas osobną ścieżkę i nie stoi w kolejce razem z zablokowaną drukarką.

Kolejność jest ustalona. Usuwamy wiadomość ze wszystkich skrzynek, do których trafiła, także z tych jeszcze nieotwartych. Sprawdzamy z rejestru, kto ją otworzył i kto kliknął. Na kontach osób, które podały hasło, unieważniamy sesje, zmieniamy hasło i sprawdzamy, czy nie założono reguły przekierowującej pocztę na zewnątrz, bo to zwykle pierwszy ruch po przejęciu skrzynki.

Na koniec ustalamy, co z przejętej skrzynki wyszło. W firmie przewozowej bywa to faktura ze zmienionym numerem konta rozesłana do stałych klientów i wtedy najpilniejszą czynnością jest telefon do nich, a nie porządki po naszej stronie.

Gdzie filtr przestaje wystarczać?

Nie ocenia sensu biznesowego. Zlecenie na przewóz za stawkę dwukrotnie wyższą od rynkowej wygląda dla filtra jak każde inne, a dla doświadczonego spedytora jest sygnałem samym w sobie.

Nie zatrzymuje też oszustwa prowadzonego telefonicznie, a w transporcie przychodzi ono często właśnie tą drogą. Rozmowa z rzekomym pracownikiem zleceniodawcy nie zostawia śladu w poczcie i broni się przed nią wyłącznie nawyk, który buduje program szkoleń i testów phishingowych.

Nie chroni wreszcie przed skutkami kliknięcia, jeżeli komputer nie ma własnej warstwy ochrony. Tę część opisuje ochrona stacji roboczych i serwerów, a całość prowadzoną jedną umową bezpieczeństwo IT dla firm.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026