Mail od dziekana: zarzut niewłaściwego zachowania seksualnego

Wiadomość od rzekomego dziekana o zarzucie niewłaściwego zachowania seksualnego może być próbą przejęcia komputera. Cofense, firma badająca zagrożenia poczty elektronicznej, opisała 10 września 2026 r. oszustwo wymierzone w zagraniczne uczelnie: fikcyjny zarzut ma skłonić odbiorcę do instalacji Zoho Assist. Nie pobieraj programu z takiej wiadomości. Sprawdź sprawę, dzwoniąc do sekretariatu dziekana pod numer ze strony uczelni. W opisie Cofense wskazano amerykańskie uczelnie; materiał nie wymienia Polski.

Jak wygląda wiadomość od fałszywego dziekana

Napastnicy przedstawiali się jako prezydenci lub dziekani uczelni, między innymi Notre Dame, University of Virginia i Medical College of Wisconsin. W korespondencji wykorzystywali elementy autentycznej identyfikacji instytucji: nagłówek pisma, podpis oraz adres imitujący uczelnianą domenę. Zarzut miał dotyczyć niewłaściwego zachowania seksualnego studenta lub pracownika, chociaż opisywana sprawa była całkowicie fikcyjna.

Fragment rzeczywistej wiadomości z kampanii (Cofense, Figure 1): „To access the report, please download ZA_Access_My_Department included with the attached file.” W tłumaczeniu: aby uzyskać dostęp do raportu, odbiorca ma pobrać wskazany plik. W dalszej części tej samej wiadomości nadawca zapowiada uruchomienie Zoho Assist i instruuje, by zezwolić na instalację.

W analizowanym ataku link otwierał plik w Google Drive. Plik nie przedstawiał szczegółów zarzutu, tylko kierował pod następny adres, z którego pobierano Zoho Assist — legalny program pomocy zdalnej użyty tu w nieautoryzowanym celu.

Co zdradza tę kampanię

• Pismo od rzekomego dziekana wywołuje niepokój związany z poważnym zarzutem, a jednocześnie prowadzi do odnośnika zamiast umożliwić potwierdzenie sprawy w sekretariacie.
• Podpis i uczelniany nagłówek wyglądają wiarygodnie, lecz adres nadawcy jedynie imituje domenę uczelni.
• Google Drive zawiera kolejne przekierowanie, a nie opis rzekomego zdarzenia.
• Wiadomość instruuje odbiorcę, jak pobrać i zainstalować Zoho Assist. Dokument o zarzucie nie wymaga udostępnienia komuś kontroli nad komputerem.

Według Cofense ponad 80% obserwowanych celów stanowiły uczelnie powiązane z ochroną zdrowia. Ta proporcja dotyczy danych badaczy, nie polskich uczelni.

Co zrobić po otrzymaniu lub otwarciu linku

Jeśli tylko otrzymałeś wiadomość: nie otwieraj załączonych odnośników. Zadzwoń do sekretariatu uczelni pod numer opublikowany na jej stronie; gdy wiadomość dotyczy innej instytucji, poproś własny dział prawny o potwierdzenie kontaktu z tą instytucją. Przekaż wiadomość wraz z nagłówkami administratorowi uczelnianej poczty. Podejrzany e-mail możesz zgłosić także do CERT Polska.

Jeśli otworzyłeś Google Drive: zamknij dokument bez wybierania linku do instalatora i poinformuj uczelniany zespół IT, jaki adres został otwarty. Jeśli pobrałeś plik, nie uruchamiaj go. Jeżeli Zoho Assist został już uruchomiony lub nawiązano sesję zdalną, przerwij sesję, odłącz komputer od sieci i natychmiast zadzwoń do zespołu IT. Podaj czas zdarzenia i nie usuwaj samodzielnie śladów przed analizą.

Czego nie robić

Nie instaluj Zoho Assist na polecenie osoby podającej się za dziekana, nawet gdy pismo zawiera poprawną nazwę i podpis uczelni. Nie korzystaj do weryfikacji z numeru telefonu ani kolejnych linków umieszczonych w tym samym e-mailu.

Ten przypadek wykorzystuje ukierunkowany spear phishing, opisany w Bazie wiedzy PHISHLY: wiadomość ma wyglądać na dotyczącą konkretnego środowiska akademickiego. Podobny etap ryzyka po instalacji legalnego programu omawia artykuł o phishingu z narzędziami RMM, a wykorzystanie dokumentu jako przynęty — materiał o fałszywych zaproszeniach i zdalnym dostępie.