plik „umowa” jako przynęta

Plik o nazwie sugerującej umowę to częsta przynęta w atakach, wykorzystująca zawodową rutynę odbiorcy.

Dlaczego plik „umowa” przyciąga uwagę

Nazwa „umowa” wykorzystuje przewidywalny element pracy biurowej: odbiorca może spodziewać się dokumentu od kontrahenta, pracodawcy, dostawcy albo klienta. Samo słowo w nazwie pliku nie potwierdza jednak jego pochodzenia ani zawartości. Atakujący mogą użyć nazw takich jak „umowa.pdf.exe”, „umowa_2026.docm” lub „umowa do podpisu.zip”, aby skłonić użytkownika do szybkiego otwarcia załącznika. W systemie Windows rozszerzenia znanych typów plików mogą być domyślnie ukryte, dlatego plik „umowa.pdf.exe” może zostać odebrany jako dokument PDF, jeśli użytkownik nie sprawdzi pełnej nazwy.

Przynęta może zostać dostarczona pocztą elektroniczną, komunikatorem, formularzem kontaktowym albo przez odnośnik prowadzący do pobrania. Wiadomość często zawiera presję czasową, prośbę o podpis, informację o płatności lub ostrzeżenie o konsekwencjach braku reakcji. Technicznie wiarygodna nazwa pliku nie jest dowodem bezpieczeństwa, ponieważ nazwę załącznika może nadać nadawca bez żadnego związku z rzeczywistą treścią. Wiarygodność należy oceniać razem z adresem nadawcy, domeną, kontekstem korespondencji i sposobem dostarczenia pliku.

Rozszerzenia, makra i pliki archiwów

Ryzyko zależy przede wszystkim od typu pliku. Dokument PDF może zawierać aktywne elementy, odnośniki lub formularze, ale samo otwarcie nie powinno być traktowane jako automatyczne potwierdzenie bezpieczeństwa. Pliki pakietu Microsoft Office z rozszerzeniami .docm, .xlsm i .pptm mogą zawierać makra VBA. Makra są mechanizmem automatyzacji, lecz dokument pobrany z poczty nie powinien wymagać włączenia zawartości aktywnej tylko po to, aby wyświetlić zwykłą umowę. Rozszerzenia .docx, .xlsx i .pptx nie oznaczają obecności makr VBA, ale również nie gwarantują, że dokument jest bezpieczny.

Szczególną ostrożność wymagają pliki wykonywalne oraz skróty. Rozszerzenia .exe, .msi, .scr, .cmd, .bat, .js, .vbs, .hta i .lnk mogą uruchamiać program, polecenie albo skrypt. Archiwum .zip, .rar lub .7z może ukrywać właściwy plik przed szybkim podglądem, a nazwa archiwum może sugerować, że zawiera wyłącznie dokument. Nie należy uruchamiać pliku tylko dlatego, że został umieszczony w archiwum lub ma ikonę kojarzoną z edytorem tekstu. Ikona jest elementem prezentacji przypisanym przez system lub aplikację i może zostać wykorzystana do wprowadzenia w błąd.

Bezpieczne sprawdzenie podejrzanego załącznika

Przed otwarciem warto wyświetlić pełne rozszerzenia nazw plików w Eksploratorze Windows. W ustawieniach widoku należy wyłączyć opcję ukrywania rozszerzeń znanych typów plików, a następnie sprawdzić, czy nazwa kończy się na oczekiwanym rozszerzeniu, na przykład .pdf. Nazwa „umowa.pdf.exe” jest plikiem wykonywalnym, nie dokumentem PDF. Pomocne jest także wyświetlenie właściwości pliku i sprawdzenie jego lokalizacji, rozmiaru oraz informacji o podpisie cyfrowym, przy czym brak podpisu nie stanowi samodzielnego dowodu złośliwości.

Tożsamość nadawcy należy potwierdzić niezależnym kanałem. Nie powinno się odpowiadać na podejrzaną wiadomość ani korzystać z numeru telefonu podanego w jej treści. Jeśli dokument miał pochodzić od znanego kontrahenta, można skontaktować się z nim przez wcześniej zapisany numer lub znaną stronę internetową i zapytać o wysłanie pliku. Odnośnik z wiadomości należy sprawdzić po najechaniu kursorem, bez klikania; domena może różnić się pojedynczym znakiem od prawidłowego adresu. Jeżeli plik został już pobrany, nie należy go uruchamiać. Można przeskanować go aktualnym programem zabezpieczającym, ale wynik skanowania nie zastępuje weryfikacji źródła.

Po przypadkowym otwarciu załącznika trzeba zwrócić uwagę na nietypowe objawy: nowe okna konsoli, żądanie włączenia makr, komunikat o konieczności zalogowania, samoczynne pobieranie kolejnych plików, zmianę ustawień przeglądarki albo wzrost aktywności dysku i sieci. W takiej sytuacji należy przerwać pracę z dokumentem, odłączyć komputer od sieci, jeśli podejrzewa się aktywne działanie programu, oraz zabezpieczyć informacje o wiadomości i nazwie pliku do dalszej analizy. Nie należy usuwać pochopnie wszystkich śladów, ponieważ utrudnia to ustalenie, co zostało uruchomione.

Obsługa incydentu w laptopie lub komputerze PC

W środowisku domowym lub biurowym podejrzany plik powinien zostać zgłoszony osobie odpowiedzialnej za sprzęt i konta użytkownika. Hasło wpisane po kliknięciu odnośnika z wiadomości należy zmienić z innego, zaufanego urządzenia, a aktywne sesje konta unieważnić, jeżeli dana usługa udostępnia taką funkcję. Warto również sprawdzić historię pobrań, ostatnio zainstalowane programy, zadania uruchamiane przy starcie systemu oraz alerty programu zabezpieczającego. Zakres czynności zależy od tego, czy plik tylko pobrano, otwarto w aplikacji, włączono makra, czy uruchomiono program wykonywalny.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki może pomóc ustalić skutki otwarcia podejrzanego załącznika, sprawdzić objawy działania niepożądanego oprogramowania oraz uporządkować system po incydencie. Przed przekazaniem urządzenia warto opisać kolejność zdarzeń: godzinę otrzymania wiadomości, dokładną nazwę pliku, wykonane kliknięcia i pojawiające się komunikaty. Taki opis ułatwia odtworzenie przepływu zdarzeń i dobranie odpowiednich czynności diagnostycznych.