Fałszywy PDF iPKO Biznes kradnie login, hasło i kod autoryzacji

W analizie CERT Orange Polska z 27 października 2026 r. opisano e-mail podszywający się pod PKO Bank Polski, z załącznikiem „pko_biznes_aktualizacja_danych.pdf” i linkiem do kopii iPKO Biznes. Strona służy do wyłudzenia identyfikatora i hasła, a celem oszustów jest również zdobycie kodu logowania. Załączony PDF jest autentycznym dokumentem bankowym; fałszywa jest wiadomość, która wykorzystuje go jako przynętę.

W ostrzeżeniu CERT Polska z 26 października 2026 r. mowa o licznych zgłoszeniach podobnych wiadomości do klientów biznesowych. Nadawca powołuje się na obowiązki regulacyjne i żąda pilnej aktualizacji dokumentacji firmy przez link do bankowości internetowej. Jeśli e-mail nakazuje zalogowanie się w ten sposób, nie należy używać podanego odnośnika: sprawę trzeba sprawdzić w aplikacji banku lub po samodzielnym otwarciu jego strony.

Autentyczny dokument uwiarygadnia fałszywą wiadomość

PDF dotyczy okresowej weryfikacji dokumentacji klientów instytucjonalnych. W zbadanym wariancie nie zawiera wirusa, co tłumaczy, dlaczego sama kontrola załącznika może nie ujawnić oszustwa. Jego zadaniem jest nadać wiadomości wiarygodność i skłonić odbiorcę do wykonania następnego kroku: otwarcia linku z e-maila.

Adres nadawcy tej wiadomości to [email protected]. Nie jest adresem banku, choć treść e-maila przypomina jego korespondencję. To sygnał ostrzegawczy, ale rozstrzygający pozostaje sposób logowania: znajomy dokument ani nazwa iPKO Biznes widoczna przy nadawcy nie potwierdzają, że odnośnik prowadzi do właściwego serwisu.

Po kliknięciu odbiorca trafia najpierw na stronę pośredniczącą pod adresem zapisanym jako IPv4 w formacie IPv6, a następnie na biznes.rzad-pl[.]net. Tam znajduje się kopia strony iPKO Biznes. Nietypowy zapis pierwszego adresu może utrudniać jego rozpoznanie, lecz to domena strony docelowej pokazuje najważniejszą różnicę: formularz może wyglądać znajomo, choć nie działa pod adresem banku. Nawet ostrzeżenie przed oszustami umieszczone na takiej stronie nie czyni jej wiarygodną.

Po haśle może pojawić się prośba o drugi składnik

Na opisanej fałszywej stronie użytkownik najpierw podaje identyfikator, a później hasło. Po wpisaniu hasła widzi długo obracający się wskaźnik postępu. Taki ekran może zatrzymać go przy witrynie, podczas gdy przestępca próbuje użyć przejętych danych do zalogowania się do prawdziwego serwisu. Ten możliwy przebieg nie oznacza, że w każdym zgłoszonym przypadku doszło do przejęcia rachunku.

Logowanie z nowego lub niezaufanego urządzenia może wymagać dodatkowego potwierdzenia, zależnie od ustawień użytkownika. Właśnie dlatego kod albo powiadomienie autoryzacyjne są tak istotne dla napastnika: sam login z hasłem może nie wystarczyć mu do uzyskania dostępu. Gdy po wizycie na stronie z e-maila pojawia się monit dotyczący operacji, której użytkownik nie rozpoczął, nie wolno jej zatwierdzać.

Zaobserwowano również wariant bez załącznika. Wiadomość prowadzi odbiorcę przez rzekome dosłanie brakujących dokumentów i potwierdzenie tożsamości. W takim scenariuszu przepisanie kodu może przekazać oszustowi drugi składnik rzeczywistego logowania. Treść SMS-a lub powiadomienia trzeba odczytać przed podjęciem decyzji: komunikat autoryzacyjny dotyczy konkretnej czynności, a nie ogólnego obowiązku aktualizacji danych firmy.

Bank ostrzega także przed innymi pretekstami

W ostrzeżeniu PKO Banku Polskiego z 23 października 2026 r. bank pisze: „Nie jesteśmy autorem tych wiadomości”, a osobom mającym wątpliwości podaje numer 800 302 302. Opisuje e-maile o rzekomo nowym procesie autoryzacji oraz wniosku o rachunek walutowy. Ich temat sugeruje, że odbiorca musi działać pilnie, aby zachować dostęp do konta lub usług.

Zmienia się pretekst, lecz wiadomości kierują do strony podszywającej się pod iPKO Biznes. W polu nadawcy może widnieć nazwa serwisu, mimo że e-maile wychodzą z różnych adresów. Bank nie prosi w wiadomościach e-mail o podanie danych logowania ani o potwierdzenie tożsamości przez przesłany link. Prośbę o dokumenty można zweryfikować po samodzielnym zalogowaniu się do bankowości albo telefonicznie, korzystając z numeru znalezionego poza podejrzaną wiadomością.

Co zrobić po kliknięciu lub podaniu danych

Reakcja zależy od tego, czy odbiorca tylko otworzył stronę, wpisał dane, czy także zatwierdził logowanie. Po ujawnieniu hasła lub kodu najpilniejszy jest kontakt z bankiem przez niezależny kanał. Nie należy czekać na zakończenie animacji na fałszywej stronie ani odpowiadać na kolejne polecenia z e-maila.

1. Jeśli strona została tylko otwarta, zamknij ją bez wpisywania danych i bez zatwierdzania powiadomień. Sprawdź, czy bank rzeczywiście oczekuje dokumentów, otwierając oficjalną aplikację lub samodzielnie wpisując adres jego serwisu.
2. Jeśli wpisano identyfikator lub hasło, niezwłocznie skontaktuj się z bankiem. Powiedz, jakie dane zostały podane, i poproś o zabezpieczenie dostępu. Hasło zmieniaj wyłącznie przez oficjalny kanał, zgodnie ze wskazówkami banku.
3. Jeśli podano kod albo zatwierdzono powiadomienie w aplikacji, zgłoś to bankowi natychmiast jako możliwe przejęcie logowania. Sprawdź ostatnie operacje i przekaż konsultantowi informacje o dyspozycjach, których nie zlecano.

Podejrzaną wiadomość można następnie zgłosić do CERT Polska, zachowując jej oryginalną treść. Jeśli jednak oszust uzyskał hasło lub potwierdzenie logowania, zgłoszenie e-maila nie zastępuje rozmowy z bankiem: przestępca może próbować działać na rachunku, gdy odbiorca wciąż ogląda fałszywą stronę.

Przeczytaj także:

• Kod QR w KSeF potwierdza dokument — sam PDF nie jest źródłem prawdy
• Fałszywy sklep może wyglądać profesjonalnie — sprawdź go przed płatnością
• CV do ATS: PDF zachowa układ, ale wymaganie z ogłoszenia ma pierwszeństwo