Fałszywa reklamacja z „nagraniem uszkodzonego produktu”: jak sklep ma się bronić przed malware

Klient pisze, że paczka przyszła rozbita, i prosi o zwrot pieniędzy. Zdjęć ani filmu nie dołącza, tylko podaje link: nagranie z rozpakowania jest za duże na załącznik, więc trzeba je pobrać. Dla obsługi sklepu to zwykły wtorek. Dla przestępców to sposób na zainfekowanie firmowego komputera.

Taki schemat szczegółowo opisali badacze ITOCHU Cyber & Intelligence w analizie z 25 września 2026 r. W lipcu i sierpniu obserwowali kampanię e-maili po japońsku i koreańsku, udających zgłoszenia uszkodzonego towaru albo prośby o zwrot. Strony, do których prowadziły linki, miały przyciski językowe także dla angielskiego, chińskiego i wietnamskiego. Mechanizm nie zależy od języka i równie dobrze działa po polsku. Poniżej procedura dla małego sklepu i jego obsługi klienta.

Jak wygląda atak

Według ITOCHU przebieg był powtarzalny:

• tytuł w stylu „Dostarczony produkt jest uszkodzony”, „Proszę o wymianę lub zwrot pieniędzy” albo „Po rozpakowaniu znalazłem poważne uszkodzenie”,
• w treści prośba o sprawdzenie stanu towaru i link do strony udającej serwis do udostępniania dokumentów albo oglądania wideo,
• na stronie komunikat, że pliku nie da się wyświetlić, bo jest za duży, i przycisk pobrania archiwum ZIP,
• w archiwum plik EXE z podwójnym rozszerzeniem, który tylko udawał dokument albo film,
• po uruchomieniu złośliwe oprogramowanie z rodziny Pure (PureRAT albo PureLogs), czyli narzędzia do zdalnego przejęcia komputera i kradzieży danych.

Badacze zwrócili uwagę na nagłówki: w polu „Od” widniał adres podszywający się pod dział wsparcia jakiejś domeny, a w polu „Odpowiedz do” zupełnie niezwiązany adres w darmowej poczcie. Odnotowali też, że przestępcy zmieniali sposób pakowania złośliwego kodu między próbkami. Antywirus oparty na rozpoznawaniu znanych próbek mógł więc część z nich przepuścić. Dlatego nie opieraj się wyłącznie na programie antywirusowym. Liczy się procedura.

Procedura: reklamacja ze zdjęciem lub filmem

1. Najpierw zamówienie, potem plik. Poproś o numer zamówienia i sprawdź go w panelu sklepu lub na platformie sprzedażowej. Nie ma zamówienia albo dane się nie zgadzają? Nie otwieraj niczego, odpowiedz z prośbą o uzupełnienie.

2. Reklamacje przyjmuj tam, gdzie je kontrolujesz. Jeśli sprzedajesz na platformie, poproś o zgłoszenie przez jej system reklamacji. Jeśli we własnym sklepie, przez formularz, który przyjmuje zdjęcia bezpośrednio, bez linków do zewnętrznych serwisów.

3. Zdjęcie to plik JPG, PNG albo HEIC, a film to MP4 lub MOV. Archiwum ZIP lub RAR, plik EXE, JS, SCR czy skrót LNK nie jest zdjęciem ani filmem, nawet jeśli tak się nazywa. Nazwa w rodzaju „nagranie.mp4.exe” to sygnał alarmowy.

4. Włącz w systemie widoczność rozszerzeń plików na komputerach obsługi klienta. Domyślnie Windows je ukrywa i podwójne rozszerzenie wygląda wtedy niewinnie.

5. Sprawdź „Odpowiedz do”. Jeśli adres zwrotny jest inny niż nadawca i nie wiąże się z żadnym klientem w bazie, traktuj wiadomość jako podejrzaną.

6. Strona „plik za duży, pobierz archiwum” to kolejny sygnał. Prawdziwe serwisy z wideo pokazują podgląd w przeglądarce.

7. Pliki od nieznanych nadawców otwieraj na osobnym urządzeniu, bez dostępu do panelu sklepu, bankowości i haseł, albo w izolowanym środowisku, jeśli firma takie ma.

8. Nie ulegaj presji. Wiadomości reklamacyjne grają na pośpiech („czekam na zwrot, inaczej zgłoszę sprawę dalej”). Kilka minut na weryfikację nie zaszkodzi uczciwemu klientowi.

Polityka załączników w helpdesku

Jeśli korzystasz z systemu zgłoszeń lub wspólnej skrzynki, ustal kilka reguł na piśmie:

• lista dozwolonych typów plików w zgłoszeniach (zdjęcia, wideo, PDF),
• automatyczne blokowanie lub oznaczanie archiwów i plików wykonywalnych,
• zakaz pobierania plików z linków w reklamacjach bez sprawdzenia zamówienia,
• konto obsługi klienta bez uprawnień administratora na komputerze,
• jedna osoba, do której pracownik zgłasza podejrzaną wiadomość, i jasna zasada: zgłoszenie fałszywego alarmu nie jest błędem.

Co zrobić, gdy ktoś już kliknął

Odłącz komputer od sieci i nie loguj się na nim do niczego. Z innego, czystego urządzenia zmień hasła do panelu sklepu, poczty, platform sprzedażowych i bankowości, a tam, gdzie to możliwe, wyloguj wszystkie sesje i włącz logowanie dwuetapowe. Skontaktuj się z osobą lub firmą, która obsługuje twoje IT, i nie przywracaj komputera do pracy przed jego sprawdzeniem. Zgłoś incydent do zespołu reagowania na incydenty, a jeśli mogło dojść do wycieku danych klientów, sprawdź z prawnikiem lub inspektorem ochrony danych, czy i komu musisz to zgłosić.

Checklista dla pracownika (do wydruku)

Zanim otworzysz plik z reklamacji:

[ ] numer zamówienia istnieje i pasuje do klienta,

[ ] plik ma rozszerzenie zdjęcia lub filmu, a nie ZIP, RAR, EXE, JS, SCR ani LNK,

[ ] nie ma podwójnego rozszerzenia,

[ ] adres w polu „Odpowiedz do” pasuje do nadawcy,

[ ] strona nie każe pobierać archiwum, bo „plik jest za duży”,

[ ] w razie wątpliwości: nie klikaj, zgłoś przełożonemu.

Fałszywa reklamacja to wariant znanego schematu. Ten sam mechanizm, czyli podszycie się i presja czasu, opisywaliśmy przy okazji fałszywych e-maili o nadpłacie podatku i fałszywej aplikacji bankowej. Jak rozpoznać nieuczciwy sklep od strony kupującego, opisaliśmy w poradniku o podejrzanych sklepach internetowych.