TA4922 phishing: fałszywe e-maile z kadr i faktury

3 czerwca 2026 badacze Proofpoint, firmy zajmującej się cyberbezpieczeństwem, opublikowali analizę kampanii TA4922 obserwowanych głównie w marcu i kwietniu 2026. Atakujący podszywali się pod firmowy dział kadr albo obsługę klienta w sprawie faktury, wysyłali linki i archiwa ze złośliwymi plikami, a w części kampanii próbowali przenieść rozmowę do LINE, WhatsApp albo Microsoft Teams. W Europie Proofpoint wskazał m.in. Wielką Brytanię, Niemcy i Włochy. Jeśli dostałeś taką wiadomość, nie otwieraj pliku ani linku, zweryfikuj nadawcę przez firmową książkę adresową i zgłoś wiadomość zespołowi IT lub bezpieczeństwa oraz do CERT Polska.

Jak wyglądał phishing TA4922

2 kwietnia 2026 wiadomości kierowane do organizacji w Wielkiej Brytanii i Niemczech udawały wewnętrzną komunikację działu kadr. Przykład oparty na opisie Proofpoint — nie cytat z wiadomości: „Dział kadr prosi o przejrzenie rutynowych dokumentów i potwierdzenie ich odbioru.” Link prowadził do usługi GoFile i archiwów o nazwach Paperwork.zip albo HR (2).zip. Po uruchomieniu zawartości instalowany był Atlas RAT, czyli złośliwe oprogramowanie dające napastnikowi zdalny dostęp.

7 kwietnia Proofpoint zobaczył wariant fakturowy: wiadomość miała dostarczać elektroniczną fakturę w PDF, ale załącznikiem było archiwum ZIP prowadzące do kolejnego pliku i instalacji Atlas RAT. W innych kampaniach tej samej grupy TA4922 wiadomości podszywały się pod zaufane osoby lub instytucje i prosiły o dalszą rozmowę w LINE, WhatsApp albo Microsoft Teams.

Po czym rozpoznać tę kampanię

• e-mail wygląda jak rutynowa wiadomość z działu kadr albo informacja o elektronicznej fakturze i prosi o sprawdzenie dokumentu lub potwierdzenie odbioru;
• dokument jest podany jako link do zewnętrznej usługi przechowywania plików albo jako archiwum ZIP lub obraz dysku IMG;
• nazwa pliku brzmi zwyczajnie, np. Paperwork.zip lub HR (2).zip, mimo że w środku znajduje się plik wykonywalny;
• rozmówca próbuje przenieść kontakt z poczty do komunikatora zamiast zakończyć sprawę przez firmową pocztę lub kontakt zapisany w książce adresowej.

Motyw faktury pojawia się też w kampanii z fałszywymi fakturami po kradzieży danych, ale tam mechanizm oszustwa był inny.

Jak zareagować na wiadomość z kadr, fakturą lub archiwum

Jeśli wiadomość tylko dotarła: nie klikaj linku i nie otwieraj archiwum. Sprawdź nadawcę, dzwoniąc do działu kadr, księgowości albo wskazanej osoby pod numerem z firmowej książki adresowej, nie z wiadomości. Zachowaj tę wiadomość z kadr lub o fakturze razem z linkiem do pliku albo nazwą archiwum (Paperwork.zip lub HR (2).zip, jeśli występuje) i przekaż ją firmowemu zespołowi IT lub bezpieczeństwa. Podejrzaną wiadomość możesz też przesłać do CERT Polska przez incydent.cert.pl.

Jeśli tylko kliknąłeś link: zamknij otwartą stronę lub usługę plikową, niczego nie pobieraj ani nie uruchamiaj i przekaż wiadomość z linkiem zespołowi IT lub bezpieczeństwa.

Jeśli pobrałeś archiwum, ale go nie uruchomiłeś: nie otwieraj go „dla sprawdzenia” i skontaktuj się z zespołem IT lub bezpieczeństwa.

Jeśli plik został uruchomiony: odłącz komputer od Wi-Fi i kabla sieciowego i skontaktuj się z zespołem IT lub bezpieczeństwa z innego urządzenia.

Jeśli podałeś firmowe dane logowania: zmień hasło z innego, zaufanego urządzenia i poproś administratora o unieważnienie aktywnych sesji.

Czego nie robić

Nie odpowiadaj w tym samym wątku, żeby „wyjaśnić sprawę”, nie przenoś rozmowy do komunikatora na podstawie instrukcji z podejrzanego e-maila i nie usuwaj wiadomości ani pobranych plików przed przekazaniem ich zespołowi bezpieczeństwa.

TA4922 wykorzystywał spear phishing, czyli wiadomości dopasowane do konkretnej roli lub organizacji, aby skłonić odbiorcę do otwarcia pliku, podania danych lub zmiany kanału rozmowy.