CERT: zapytanie ofertowe, XLS i Remcos
Po tygodniach dumpów z Fakturowni, FELG i Wakacje.pl wraca coś nudniejszego i przez to bardziej niebezpiecznego. 6 października 2026 CERT Polska ostrzega przed kampanią na firmy: mail zachęca do odpowiedzi na “zapytanie ofertowe”, w załączniku jest .xls, po uruchomieniu zamiast pytań o cenę ląduje Remcos.
Nie ma tu miliona PESEL-i w nagłówku. Jest skrzynka handlowa, ktoś kto chce zamówienie, i plik, który w Excelu wygląda jak praca, nie jak wirus.
Co mówi ostrzeżenie
Schemat z relacji mediów (GSM Online, komunikaty banków i uczelni powielających CERT): wiadomość o rzekomym zapytaniu ofertowym, pytania “w załączniku”, format .xls. Uruchomienie instaluje Remcos. Remcos to narzędzie zdalnego dostępu: rejestracja klawiszy, podgląd ekranu, kamera, mikrofon, kradzież danych, instalacja kolejnego softu.
CERT radzi klasycznie: nie otwieraj załączników z nieznanych źródeł, sprawdź nadawcę i wiarygodność, aktualizuj system. Podejrzane maile: incydent.cert.pl albo „Bezpiecznie w sieci” w mObywatelu.
To nie jest nowa rodzina. Latem 2026 ten sam motyw (zapytanie / zamówienie + Remcos) już był w komunikatach CERT, wtedy częściej z archiwami .zip / .rar i domeną nadawcy z zagranicy. Październikowa fala, według relacji z 6 i 7 X, idzie w .xls. Format się zmienia. Presja na sprzedaż zostaje.
Dlaczego to działa, kiedy dump już nie szokuje
Handlowiec i zakupy żyją z załączników. Arkusz z pytaniami wygląda jak początek dealu, nie jak exploit. Remcos nie musi od razu szyfrować dysku. Wystarczy, że ktoś siedzi na Twojej sesji bankowej, mailu albo ERP i czyta, jak prowadzisz rozmowę.
Mnie irytuje, że po sezonie SaaS łatwo uznać phishing B2B za „stary numer”. Stary numer właśnie dlatego wraca: ludzie są zmęczeni alertami o wyciekach i otwierają to, co wygląda na kasę. Przy Fakturowni ostrzegaliśmy przed fałszywą zmianą rachunku. Tu wektor jest wcześniejszy: najpierw komputer, potem rachunek.
Nie rozpisuję, jak budować payload z Excela. Nie potrzebujesz. Potrzebujesz procedury w skrzynce oferty@ / sprzedaz@, zanim ktoś kliknie „otwórz”.
Co robić w firmie, bez checklisty z korporatu
Nowy klient + .xls w pierwszym mailu: nie otwieraj, dopóki nie potwierdzisz firmy znanym kanałem (strona, KRS, numer, który już macie w książce, nie ten z podpisu w podejrzanej wiadomości). Pytania o wycenę da się dostać w treści albo w linku do Waszego formularza. Nie muszą siedzieć w arkuszu od obcego.
Jeśli ktoś już otworzył: nie forwarduj pliku „żeby IT zobaczyło” poza ustalonym kanałem. Zgłoś czas, nazwę pliku, co zrobiłeś. Zmień hasła z tej stacji, sprawdź sesje. Podejrzaną korespondencję wrzuć też do CERT.
Szerszy kontekst phishingu zostaje ten sam. Tu konkret jest prostszy: zapytanie ofertowe to nie dowód dobrej woli. To format, który przestępcy lubią, bo Wasza firma lubi odpowiadać szybko.
Wniosek przy kawie dla kogoś ze sprzedaży: jak mail obiecuje zamówienie i każe otworzyć Excela od nieznajomego, to na dziś traktuj to jak podejrzane, nie jak lead. Remcos nie pyta o rabat. Bierze klawiaturę.
Źródła
Jak pracuję ze źródłami i poprawiam błędy. Znalazłeś błąd? Podaj fragment i źródło.