W skrócie. Do sklepów internetowych trafiają maile udające reklamację uszkodzonej przesyłki. „Klient” nie podaje numeru zamówienia ani nazwy produktu, tylko odsyła do jednego pliku z rzekomymi zdjęciami. 21 października 2026 r. CERT Polska ostrzegł, że w takiej kampanii plik był powiązany ze złośliwym oprogramowaniem PureRAT, które daje przestępcy zdalny dostęp do komputera. Pokazujemy przykład, który sami dostaliśmy, i podpowiadamy, jak go rozpoznać i co zrobić, jeśli ktoś już kliknął.

Reklamacja to jedna z niewielu wiadomości, których sklep nie może zignorować. Klient ma prawo do towaru zgodnego z umową, a sprzedawca – ustawowe terminy na odpowiedź. Oszuści dobrze to wiedzą. Jeśli pracownik obsługi klienta dostaje kilka reklamacji dziennie, kolejny mail ze „zdjęciami uszkodzonej paczki” wygląda jak zwykła praca, a nie jak atak.

Pure rat poziom

Przykład: „raport dotyczący stanu uszkodzonej przesyłki”

Wiadomość, którą otrzymaliśmy w październiku 2026 r., miała nagłówek „OBSŁUGA ZAMÓWIEŃ KLIENTA – Raport dotyczący stanu uszkodzonej przesyłki”. Nadawca przedstawił się jako Caspian Wilder, piszący „w imieniu swojego ojca”. Opisał zgnieciony karton, „silnie powgniatane narożniki” opakowania fabrycznego i poprosił o „wskazanie trybu wymiany lub rekompensaty”. Wszystkie szczegóły miały być w jednym pliku:

„Mój ojciec jest starszą osobą i przesyłanie wielu załączników e-mailem sprawia mu trudność. Dlatego zebrałem zdjęcia kartonu, opakowania fabrycznego, dane zakupu, dowód dostawy oraz numer śledzenia w jednym uporządkowanym pliku PDF.”

Przycisk „Zweryfikowany plik · Opakowanie · Produkt · Szczegóły zamówienia” prowadził do pliku „CaspianWilder_OrderFull_Detail.pdf” na Dysku Google. Google zablokował już do niego dostęp z komunikatem, że plik narusza warunki korzystania z usługi. Ten sam nadawca pisał wcześniej kilkakrotnie z niemal identyczną treścią.

Anatomia fałszywej reklamacji

Ta wiadomość ma wszystkie typowe cechy:

  • Żadnych konkretów w treści. Nie ma numeru zamówienia, nazwy produktu, daty zakupu, kwoty ani nazwy przewoźnika. Prawdziwy klient zwykle zaczyna właśnie od numeru zamówienia.
  • Wszystko „w pliku”. Zdjęcia, faktura, numer przesyłki i „sugerowana ścieżka rozwiązania” są dostępne tylko po kliknięciu. To jedyny cel wiadomości.
  • Historia tłumacząca, dlaczego plik. Starszy ojciec, który „nie radzi sobie z załącznikami”, ma wyjaśnić, czemu zdjęć nie ma w mailu. Wzbudza też sympatię i chęć pomocy.
  • Urzędowy styl i ozdobniki. „Odbiorca: Dział Sprzedaży i Wsparcia Klienta”, „Wiadomość priorytetowa”, emoji 📋📦, sformułowania z tłumacza, np. „ocenią sporządzony materiał graficzny”.
  • Losowy adres. Wiadomość trafiła na skrzynkę, przez którą firma w ogóle nie prowadzi sprzedaży wysyłkowej. Oszuści rozsyłają takie maile na wszystkie publiczne adresy firm.
  • Uprzejma presja. „Będziemy wdzięczni za zapoznanie się z dokumentem w najbliższym czasie” – bez gróźb, ale z oczekiwaniem szybkiej reakcji.

Co się dzieje po kliknięciu

21.10.2026 CERT Polska ostrzegł przed kampanią, w której przestępcy „podszywają się pod klientów składających reklamację”. Według relacji z ostrzeżenia plik z „dowodami” był powiązany z rodziną złośliwego oprogramowania PureRAT. CERT radził zwracać uwagę na rozszerzenia plików: archiwa .zip i .rar albo pliki .exe i .js zamiast zdjęć to sygnał, że w środku nie ma tego, co obiecuje mail.

PureRAT to tzw. RAT (remote access trojan), czyli program zdalnego dostępu. Analitycy Huntress opisali w 2025 r., że pozwala on m.in. na ukryty podgląd pulpitu, rejestrowanie naciśnięć klawiszy, podgląd przez kamerę i mikrofon, zarządzanie plikami i uruchamianie kolejnych modułów na żądanie. Towarzyszący mu „stealer” wykradał hasła, ciasteczka i dane kart zapisane w przeglądarkach. Dla sklepu oznacza to ryzyko przejęcia poczty, panelu sklepu, kont kurierskich, bankowości i danych klientów.

Ten schemat nie jest nowy. W lipcu 2026 r. CERT opisywał kampanię, w której „klient” wysyłał rzekome zamówienie lub zapytanie ofertowe, a w załączniku było oprogramowanie z rodziny Remcos, również dające zdalny dostęp do komputera.

Dlaczego link do Dysku Google? Filtry antyspamowe ufają dużym usługom, więc link do drive.google.com przechodzi łatwiej niż link do nieznanej domeny. W samym mailu nie ma załącznika, który mógłby sprawdzić skaner poczty. Plik pobiera się dopiero po kliknięciu, a „podgląd PDF” często zawiera tylko przycisk „Pobierz pełny raport” prowadzący do archiwum ze złośliwym programem.

Jak odróżnić prawdziwą reklamację

Prawdziwy klient Fałszywa reklamacja
Podaje numer zamówienia albo przynajmniej nazwę produktu i datę Brak jakichkolwiek danych zamówienia w treści
Pisze z adresu, którego użył przy zakupie Adres nie występuje w bazie zamówień
Dołącza zdjęcia jako JPG lub wkleja je w treść Odsyła do jednego pliku lub linku do zewnętrznego dysku
Pisze prostym językiem, często krótko Urzędowy styl, nagłówki, emoji, tłumaczenia maszynowe
Po prośbie o numer zamówienia po prostu go podaje Ponawia tę samą wiadomość albo milknie

Prosta procedura dla obsługi klienta

  1. Najpierw zamówienie, potem pliki. Każdą reklamację zaczynaj od wyszukania zamówienia w systemie sklepu po adresie e-mail, nazwisku i dacie. Brak zamówienia oznacza brak reklamacji.
  2. Proś o zdjęcia w treści maila. Uprzejma odpowiedź „prosimy o numer zamówienia i zdjęcia w załączniku JPG” odsiewa oszustów, a prawdziwemu klientowi nie przeszkadza.
  3. Nie pobieraj „raportów” z zewnętrznych dysków. Najedź kursorem na przycisk i sprawdź adres. Link do Dysku Google, WeTransfer czy nieznanej domeny w reklamacji od nieznanej osoby traktuj jako podejrzany.
  4. Pokaż rozszerzenia plików. W Windowsie w Eksploratorze plików włącz widok rozszerzeń. Wtedy „zdjecia.pdf.exe” nie udaje PDF-a.
  5. Nie uruchamiaj niczego z archiwum. Zdjęcia uszkodzonej paczki nie wymagają instalowania programów ani włączania makr.
  6. Zgłaszaj podejrzane maile do CERT Polska przez incydent.cert.pl lub usługę „Bezpiecznie w sieci” w aplikacji mObywatel. Ustaw filtr na nadawcę, jeśli wiadomości się powtarzają.

Jeśli ktoś już otworzył plik

  1. Odłącz komputer od sieci (Wi-Fi i kabel), żeby przerwać połączenie z przestępcą.
  2. Z innego, czystego urządzenia zmień hasła do poczty, panelu sklepu, kont kurierskich, płatności i banku. Wyloguj wszystkie aktywne sesje i włącz logowanie dwuskładnikowe.
  3. Przeskanuj komputer aktualnym programem antywirusowym. Przy zdalnym dostępie bezpieczniej jest przeinstalować system albo oddać komputer do specjalisty.
  4. Powiadom bank, jeśli na komputerze była obsługiwana bankowość firmowa, i sprawdź ostatnie operacje.
  5. Zgłoś incydent do CERT Polska. Jeśli mogło dojść do wycieku danych klientów, sprawdź obowiązek zgłoszenia naruszenia do UODO (72 godziny).

Jak przygotowaliśmy ten tekst

Opisaliśmy wiadomość, którą otrzymaliśmy w październiku 2026 r. Link sprawdziliśmy w przeglądarce bez pobierania pliku. Informacje o kampanii i złośliwym oprogramowaniu pochodzą z relacji prasowych z ostrzeżeń CERT Polska i z analizy firmy Huntress, podanych niżej. Imię i nazwisko nadawcy to najpewniej fikcyjna tożsamość.

Źródła