Jak sprawdzić prośbę o podpis, zanim otworzysz plik

Zacznij od oczekiwania, nie od wyglądu wiadomości

Zadaj pytanie: czy ten dokument wynika z realnej, trwającej sprawy? Dopasuj nazwę projektu, kontrahenta, termin i rodzaj dokumentu do wcześniejszych ustaleń. Wiadomość może wyglądać profesjonalnie, zawierać prawdziwe nazwiska i fragmenty korespondencji, a mimo to być elementem przejętego wątku lub podszycia.

Nie traktuj jako dowodu samej stopki, logo, poprawnego języka ani informacji osobistych. Oszuści korzystają z publicznych danych i skradzionych skrzynek. Jeżeli prośba pojawia się bez zapowiedzi, zmienia ustalony kanał albo wymaga pilnej reakcji poza normalną procedurą, podnieś poziom kontroli.

Ustal pięć elementów prośby

Przed otwarciem dokumentu powinieneś umieć wskazać: osobę zlecającą, sprawę, cel podpisu, oczekiwanego podpisującego oraz odbiorcę wyniku. Potrzebny jest też termin i opis plików. Brak któregoś elementu nie musi oznaczać ataku, ale uzasadnia wstrzymanie i uzupełnienie informacji.

Sprawdź kanał bez używania danych z podejrzanej wiadomości

Porównaj pełny adres nadawcy i domenę z adresem używanym wcześniej. Najedź na link bez klikania i zobacz, dokąd prowadzi; skrócone adresy, literówki i nietypowe subdomeny są sygnałem do dodatkowej weryfikacji. Nie zakładaj jednak, że poprawna domena całkowicie rozwiązuje problem — konto mogło zostać przejęte.

Potwierdź prośbę drugim kanałem: zadzwoń na zapisany wcześniej numer, utwórz nową wiadomość na znany adres albo samodzielnie wejdź do portalu z zakładki lub oficjalnej strony. Nie odpowiadaj na podejrzany wątek z pytaniem „czy to naprawdę ty?”, bo odpowiedź może nadal kontrolować atakujący. CERT Polska rekomenduje weryfikowanie nietypowej wiadomości poprzez kontakt z instytucją innym oficjalnym kanałem.

Zapis potwierdzenia powinien być zwięzły: data, kanał, osoba oraz potwierdzony zakres. Nie kopiuj całej prywatnej rozmowy, jeśli wystarczy notatka procesowa.

Załącznik i strona podpisu mogą być pułapką — co sprawdzić

Nie uruchamiaj plików wykonywalnych, skryptów, obrazów dysków ani archiwów, których zawartości nie potrafisz ocenić. Dokument tekstowy też może wykorzystywać aktywną zawartość lub nakłaniać do włączenia makr. Sam napis „PDF” w nazwie nie przesądza o typie pliku. W organizacji stosuj bezpieczny podgląd, skanowanie i zasady obsługi załączników ustalone przez zespół bezpieczeństwa.

Strona podpisu nie powinna wymagać instalacji nieuzgodnionego programu, podania hasła do poczty, ujawnienia PIN-u ani kodu autoryzacyjnego komuś przez telefon. Otwieraj usługę z ustalonego adresu, a nie przez przypadkową reklamę w wynikach wyszukiwania. Zanim zatwierdzisz powiadomienie w aplikacji, sprawdź, czy odpowiada operacji rozpoczętej przez ciebie oraz czy pokazane dane i liczba plików się zgadzają.

Oddziel osobę proszącą od osoby uprawnionej

Pracownik może prawidłowo wysłać dokument, lecz nie decydować o tym, kto ma go podpisać. Z kolei podpisujący może być właściwą osobą, ale otrzymać plik od nieautoryzowanego pośrednika. Procedura powinna osobno identyfikować inicjatora, właściciela merytorycznego, zatwierdzających, podpisującego i odbiorcę.

Jeżeli dokument ma zostać podpisany w imieniu organizacji, zweryfikuj zasady reprezentacji, pełnomocnictwo, limity i ewentualny wymóg współdziałania. Certyfikat może pomóc ustalić tożsamość podpisującego, ale nie dowodzi pełnego zakresu jego uprawnień. Szczegółowa checklista znajduje się na stronie Kontrola przed podpisaniem.

Rozpoznaj presję, która ma ominąć proces

Sygnałami ostrzegawczymi są: żądanie natychmiastowego podpisu bez czasu na lekturę, groźba nieproporcjonalnych konsekwencji, prośba o zachowanie tajemnicy przed współpracownikami, zmiana numeru rachunku, nowy odbiorca lub nagłe pominięcie zatwierdzeń. Podobnie potraktuj prośbę o podpis pustego formularza, niepełnego dokumentu albo pliku, którego nie można pobrać i przeczytać.

Nie próbuj „sprawdzić tylko kawałka” podejrzanego załącznika na zwykłym komputerze. Przekaż go kanałem przewidzianym do zgłaszania incydentów. Gdy prośba jest prawdziwa, nadawca powinien zaakceptować bezpieczne ponowne wysłanie dokumentu lub potwierdzenie inną drogą.

Udokumentuj decyzję i uruchom proces od czystego punktu

Po potwierdzeniu nie wracaj automatycznie do starego, podejrzanego linku. Poproś o udostępnienie pliku przez uzgodniony kanał albo samodzielnie otwórz właściwy portal. Zapisz identyfikator sprawy, źródło dokumentu i osobę potwierdzającą. Następnie rozpocznij kontrolę wersji, załączników, umocowania i wymaganej formy.

Jeżeli prośby nie da się potwierdzić, nie podpisuj i nie przekazuj danych uwierzytelniających. Powiadom odpowiedzialną osobę lub zespół bezpieczeństwa. W przypadku podejrzenia naruszenia zachowaj wiadomość zgodnie z procedurą, ale nie rozsyłaj niebezpiecznego załącznika dalej.

Następny krok po potwierdzeniu autentyczności

Autentyczna prośba może nadal dotyczyć błędnej wersji albo niewłaściwej osoby. Przejdź więc do kontroli treści i umocowania, zamiast utożsamiać potwierdzonego nadawcę z poprawnością całego procesu.

Przejdź do checklisty przed podpisaniem

Źródła:

• CERT Polska, „Na podpis i pieczęć” — cyberprzestępcy chcą wedrzeć się do twojego komputera.
• CERT Polska, ostrzeżenie o złośliwych załącznikach i weryfikacji innym oficjalnym kanałem.