Lead

Najważniejszy wniosek: phishing nie zawsze przychodzi z fałszywej domeny lub anonimowego adresu. Gdy atakujący przejmie prawdziwe konto służbowe, może wykorzystywać zaufanie odbiorców, historię korespondencji i autorytet organizacji do dalszych oszustw.

Dowództwo Komponentu Wojsk Obrony Cyberprzestrzeni (DKWOC) poinformowało o incydencie obejmującym nieuprawniony dostęp do jawnej służbowej skrzynki e-mail jednego z żołnierzy Sił Zbrojnych RP. Według komunikatu zdarzenie było wynikiem ukierunkowanego działania socjotechnicznego wobec pojedynczego użytkownika.

Po uzyskaniu dostępu do konta adwersarz użył przejętej skrzynki do wysyłania wiadomości phishingowych do organizacji w Polsce i poza jej granicami. DKWOC wskazało, że na zaatakowanej skrzynce nie były przetwarzane informacje niejawne, a właściwe zespoły cyberbezpieczeństwa zaatakowanych podmiotów zostały poinformowane.

Status wiedzy: stan na 18 lipca 2026 r.
Źródło pierwotne: publiczny komunikat Wojska Obrony Cyberprzestrzeni.
Zakres analizy: wyłącznie informacje publiczne i praktyczne wnioski dla organizacji B2B.

Co potwierdzono

Publiczny komunikat potwierdza następujące fakty:

• Doszło do nieuprawnionego dostępu do jawnej służbowej skrzynki pocztowej jednego użytkownika
• Punktem wejścia było ukierunkowane działanie socjotechniczne
• Na skrzynce nie były przetwarzane informacje niejawne
• Przejęte konto wykorzystano do dalszego phishingu przeciw organizacjom w Polsce i za granicą
• DKWOC przeprowadziło analizę techniczną zabezpieczonego materiału cyfrowego oraz działania ograniczające skutki incydentu
• Zespoły cyberbezpieczeństwa właściwe dla zaatakowanych podmiotów zostały powiadomione

Czego komunikat nie potwierdza

W odpowiedzialnej analizie cyberbezpieczeństwa równie istotne jest określenie granic wiedzy. Komunikat nie ujawnia:

• Tożsamości ani afiliacji sprawcy
• Konkretnej techniki użytej do przejęcia konta
• Informacji o tym, czy użyto fałszywej strony logowania, złośliwego załącznika, przejętej sesji, kradzieży danych uwierzytelniających lub innego mechanizmu
• Liczby organizacji, które otrzymały phishing
• Informacji o skuteczności kampanii phishingowej
• Skali ewentualnych szkód po stronie odbiorców wiadomości
• Informacji o kompromitacji całej infrastruktury pocztowej lub sieci wojskowej

Nie ma więc podstaw, aby przypisywać incydent określonej grupie APT, państwu lub cyberprzestępczej organizacji. Nie należy też twierdzić, że doszło do wycieku informacji niejawnych — publiczny komunikat wprost wskazuje, że nie były one przetwarzane na przejętej skrzynce.

Dlaczego przejęta skrzynka jest groźna

Przejęte konto e-mail jest bardziej niebezpieczne niż typowy phishing wysłany z obcej, podejrzanej domeny. Wiadomość może pochodzić z prawidłowego adresu organizacji, która jest już znana odbiorcy.

Atakujący może wykorzystać między innymi:

• Prawdziwą domenę nadawcy
• Istniejącą historię korespondencji
• Listę kontaktów i relacje biznesowe
• Kontekst projektów, faktur, spotkań lub dostaw
• Prawidłowe podpisy, stopki i formatowanie wiadomości
• Zaufanie wynikające z relacji B2B, administracyjnych lub partnerskich

Dla odbiorcy wiadomość może wyglądać wiarygodnie nawet wtedy, gdy organizacja ma poprawnie skonfigurowane SPF, DKIM i DMARC. Te mechanizmy są kluczowe dla ochrony domeny przed podszywaniem się, ale nie zatrzymają wiadomości wysłanej z prawdziwej, już przejętej skrzynki.

To jest istota ryzyka określanego często jako business email compromise (BEC): nie wystarczy ocenić domeny nadawcy. Trzeba również oceniać kontekst, żądaną czynność oraz nietypowość zachowania nadawcy.

Łańcuch ataku

Publiczne informacje pozwalają opisać ogólny model incydentu bez spekulowania o technice wejścia:

1. Rozpoznanie i wybór celu — pojedynczy użytkownik zostaje wybrany jako cel ukierunkowanego działania socjotechnicznego.
2. Uzyskanie dostępu — atakujący zdobywa możliwość korzystania ze służbowej skrzynki użytkownika.
3. Nadużycie zaufania — prawdziwe konto i prawdziwa domena są używane do budowania wiarygodności wiadomości.
4. Phishing wtórny — wiadomości są wysyłane do kolejnych organizacji w Polsce i poza jej granicami.
5. Reakcja i ograniczanie skutków — właściciel konta analizuje zdarzenie, zabezpiecza materiał cyfrowy i ostrzega potencjalnie dotknięte podmioty.

Ten schemat jest istotny dla każdej organizacji B2B. Jeden przejęty użytkownik może stać się punktem wejścia do oszustw wymierzonych w klientów, dostawców, partnerów, księgowość lub zespoły operacyjne.

Lekcje dla firm B2B

1. Chroń tożsamość, nie tylko skrzynkę.
   Poczta e-mail jest dziś przede wszystkim usługą tożsamościową. Przejęcie konta może oznaczać dostęp nie tylko do wiadomości, lecz także do aplikacji SaaS, kalendarza, kontaktów, dokumentów i procesów zatwierdzania.
   Dla kont o podwyższonym ryzyku — zarządu, finansów, sprzedaży, administracji, IT oraz osób kontaktujących się z klientami — MFA powinno być obowiązkowe. W miarę możliwości warto stosować metody odporne na phishing, takie jak klucze bezpieczeństwa FIDO2/WebAuthn lub passkeys.
2. Monitoruj zachowanie po zalogowaniu.
   Samo MFA nie zastępuje monitoringu. Organizacja powinna umieć wykrywać nie tylko nieudane logowania, ale również zachowania po uzyskaniu dostępu do konta. Szczególnej uwagi wymagają:
   • Nietypowe logowania z nowych lokalizacji, urządzeń lub sieci
   • Rejestracja nowych metod MFA
   • Tworzenie reguł automatycznego przekazywania poczty
   • Zmiany delegacji dostępu do skrzynki
   • Rejestracja lub zgoda dla aplikacji OAuth
   • Masowa wysyłka wiadomości lub nietypowa aktywność nadawcza
   • Usuwanie wiadomości, alertów lub śladów korespondencji
   • Eksport kontaktów, plików lub danych pocztowych
3. Zabezpiecz domenę, ale nie zakładaj pełnej ochrony.
   SPF, DKIM i DMARC pozostają podstawowymi elementami bezpieczeństwa poczty. Ograniczają podszywanie się pod domenę organizacji, wspierają odbiorców w ocenie autentyczności wiadomości i podnoszą odporność marki na klasyczny phishing.
   Nie należy jednak traktować ich jako ochrony przed każdym scenariuszem. Jeśli wiadomość wychodzi z autentycznej, przejętej skrzynki, może poprawnie przejść kontrole domenowe. Potrzebne są wtedy dodatkowe warstwy ochrony: kontrola tożsamości, analiza zachowania, procedury biznesowe i szkolenie użytkowników.
4. Oddziel weryfikację od kanału e-mail.
   Każda prośba o płatność, zmianę numeru rachunku, zmianę danych dostawcy, udostępnienie danych, reset dostępu lub pilne działanie powinna mieć niezależny kanał potwierdzenia. Praktyczna zasada brzmi:

   Im bardziej pilna, nietypowa lub kosztowna prośba w e-mailu, tym mniej należy polegać wyłącznie na e-mailu.

   Weryfikacja powinna odbyć się przez znany numer telefonu, wcześniej ustalony kanał komunikacji, system obsługi klienta lub zatwierdzony workflow wewnętrzny. Nie należy odpowiadać na numer telefonu ani link podany w podejrzanej wiadomości.
5. Przygotuj procedurę na przejęcie konta.
   Organizacja nie powinna improwizować w chwili incydentu. Plan reakcji powinien obejmować co najmniej:
   • Natychmiastowe zablokowanie konta lub wymuszenie resetu poświadczeń
   • Unieważnienie aktywnych sesji i tokenów dostępu
   • Przegląd reguł skrzynki, delegacji, przekierowań oraz aplikacji OAuth
   • Analizę logowań i aktywności użytkownika
   • Ustalenie, do kogo wysłano wiadomości po przejęciu
   • Ostrzeżenie odbiorców i partnerów, jeśli konto zostało wykorzystane do phishingu
   • Zabezpieczenie logów i dowodów technicznych
   • Zgłoszenie incydentu zgodnie z obowiązującymi wymogami i procedurami

Co robić po podejrzanej wiadomości

Jeżeli wiadomość pochodzi od znanego kontaktu, ale zawiera nietypową prośbę, link, załącznik lub presję czasu:

• Nie klikaj linku i nie otwieraj załącznika
• Nie odpowiadaj na wiadomość, aby „potwierdzić”, czy jest prawdziwa
• Zweryfikuj prośbę niezależnym, wcześniej znanym kanałem
• Zgłoś wiadomość do zespołu IT, security lub dostawcy poczty
• Zachowaj wiadomość i nagłówki e-mail jako materiał dowodowy
• Jeśli podejrzewasz phishing, zgłoś go do CERT Polska przez formularz na incydent.cert.pl lub na adres cert@cert.pl

W przypadku wiadomości SMS podejrzany komunikat można przekazać do CERT Polska na numer 8080. Oficjalne źródła zalecają nieklikanie odnośników przed potwierdzeniem autentyczności wiadomości oraz zgłaszanie podejrzanych e-maili i stron.

Checklist: bezpieczeństwo poczty w firmie

Poniższa lista nie zastępuje pełnego audytu, ale pozwala szybko ocenić podstawową dojrzałość organizacji:

• MFA jest obowiązkowe dla wszystkich kont pocztowych
• Konta uprzywilejowane używają metod MFA odpornych na phishing
• Starsze protokoły uwierzytelniania są wyłączone lub ściśle ograniczone
• Logowania, nowe urządzenia i nietypowe lokalizacje są monitorowane
• Monitorowane są reguły przekierowania i delegacje skrzynek
• Organizacja kontroluje aplikacje OAuth z dostępem do poczty
• SPF, DKIM i DMARC są skonfigurowane oraz okresowo weryfikowane
• Zmiany danych płatniczych wymagają potwierdzenia poza e-mailem
• Użytkownicy wiedzą, jak zgłaszać podejrzane wiadomości
• Istnieje udokumentowana procedura reakcji na przejęcie konta
• Firma potrafi szybko powiadomić klientów i partnerów o phishingu z przejętego konta

Jak CHORS.NET może pomóc

CHORS.NET pomaga firmom produkcyjnym, technologicznym i usługowym rozumieć swoją ekspozycję cyfrową oraz identyfikować obszary ryzyka, zanim staną się incydentem biznesowym.

W kontekście bezpieczeństwa poczty i tożsamości oceniamy między innymi:

• Publiczną ekspozycję domen i usług dostępnych z internetu
• Podstawową konfigurację bezpieczeństwa domeny pocztowej
• Ryzyko związane z publicznie dostępnymi adresami e-mail i rolami użytkowników
• Obszary podatne na spear-phishing oraz podszywanie się pod markę
• Widoczne z zewnątrz sygnały, które mogą ułatwiać atak socjotechniczny
• Priorytety działań ograniczających ryzyko dla firmy B2B

Pytanie dla zarządu i IT: czy Twoja firma wykryłaby przejęcie skrzynki, zanim konto zostanie wykorzystane do phishingu klientów, dostawców lub pracowników?

Skontaktuj się z CHORS.NET w sprawie oceny ekspozycji cyfrowej i priorytetów bezpieczeństwa.

Najczęściej zadawane pytania

Czy SPF, DKIM i DMARC chronią przed phishingiem z przejętego konta?

Nie w pełni. Mechanizmy SPF, DKIM i DMARC pomagają ograniczać podszywanie się pod domenę, ale nie zatrzymają wiadomości wysłanej z autentycznej skrzynki, do której atakujący uzyskał dostęp. Dlatego potrzebne są także MFA, monitoring zachowania kont i procedury weryfikacji krytycznych żądań.

Czy przejęcie jednej skrzynki e-mail może zagrozić całej firmie?

Może istotnie zwiększyć ryzyko. Z jednej skrzynki atakujący może prowadzić phishing wobec kontaktów firmy, wykorzystywać historię korespondencji, zbierać informacje o procesach oraz próbować uzyskać dostęp do kolejnych systemów lub użytkowników.

Jak rozpoznać phishing z prawdziwego adresu e-mail?

Nie należy oceniać wiadomości wyłącznie po domenie nadawcy. Sygnałami ostrzegawczymi są nietypowa prośba, presja czasu, zmiana danych płatniczych, link do logowania, nieoczekiwany załącznik albo polecenie obejścia obowiązującej procedury. Potwierdź prośbę niezależnym kanałem.

Co zrobić, gdy konto firmowe zostało przejęte?

Należy natychmiast zablokować lub zabezpieczyć konto, unieważnić aktywne sesje, zresetować poświadczenia, zweryfikować metody MFA, reguły przekierowania i aplikacje z dostępem do poczty. Następnie trzeba ustalić zakres aktywności, zabezpieczyć dowody oraz ostrzec osoby, które mogły otrzymać wiadomości od atakującego.

Źródła

1. Wojska Obrony Cyberprzestrzeni / DKWOC — publiczny komunikat na platformie X dotyczący nieuprawnionego dostępu do jawnej służbowej skrzynki e-mail oraz wykorzystania jej do phishingu, 17 lipca 2026 r.
2. CERT Polska — formularz zgłaszania incydentów (incydent.cert.pl)
3. CHORS.NET — kontakt