Nowe oszustwo „na Bazę Danych o Odpadach”. Cyberprzestępcy wzięli na celownik przedsiębiorców

Ministerstwo Klimatu i Środowiska (MKiŚ) alarmuje o nowej kampanii phishingowej wymierzonej w przedsiębiorców. Oszuści rozsyłają wiadomości e-mail, w których podszywają się pod resort, wzywając firmy do uiszczenia opłat za aktualizację wpisu w Bazie danych o produktach i opakowaniach oraz o gospodarce odpadami (BDO). Ministerstwo podkreśla jednoznacznie: takich maili nie wysyła i nigdy nie wysyłało.

Rejestr BDO obejmuje ponad 670 tysięcy aktywnych podmiotów – praktycznie każda firma wytwarzająca odpady, wprowadzająca na rynek produkty w opakowaniach czy zajmująca się ich recyklingiem jest zobowiązana do posiadania wpisu. To sprawia, że kampania phishingowa podszywająca się pod ten system ma bardzo szeroki potencjalny zasięg.

Oszustwa „na BDO”. Jak działają cyberprzestępcy?

Fałszywe wiadomości mogą robić przekonujące wrażenie – zawierają prawdziwe nazwiska osób pełniących funkcje publiczne, w tym przedstawicieli kierownictwa resortu. W niektórych przypadkach do korespondencji dołączany jest rzekomy certyfikat opatrzony podpisem wiceministra klimatu i środowiska. Ministerstwo ostrzega, że podpis ten jest nieprawdziwy.

Wiadomości są rozsyłane z adresów e-mail spoza domeny rządowej. Tymczasem oficjalna komunikacja administracji rządowej prowadzona jest wyłącznie z adresów w domenie gov.pl – to najprostszy sposób na szybką weryfikację nadawcy.

Ministerstwo Klimatu i Środowiska nie wysyła takich e-maili

Mechanizm oszustwa jest klasyczny, choć skuteczny. Przestępcy liczą na to, że odbiorca – przedsiębiorca zarejestrowany w BDO – nie będzie miał pełnej wiedzy o zasadach funkcjonowania rejestru i pod presją czasu lub strachu przed konsekwencjami przeleje pieniądze lub poda dane logowania do systemu.

Zachętą jest sugestia, że aktualizacja wpisu wiąże się z opłatą, którą należy uregulować natychmiast. To nieprawda. Wszelkie opłaty związane z BDO są wnoszone zgodnie z przepisami na rachunek właściwego urzędu marszałkowskiego, a korespondencja w tej sprawie odbywa się przez rządowy system informatyczny BDO – nie przez pocztę elektroniczną.

MKiŚ zgłosiło już kampanię właściwym organom. Resort wskazuje, że działania oszustów noszą znamiona przestępstwa, w tym oszustwa oraz bezprawnego wykorzystania wizerunku i danych urzędowych i personalnych.

Phishing wymierzony w przedsiębiorców. Na co zwrócić uwagę?

Ministerstwo radzi, by przed podjęciem jakiejkolwiek decyzji o płatności lub podaniu danych sprawdzić kilka rzeczy:

• Adres nadawcy – brak końcówki gov.pl powinien natychmiast wzbudzić podejrzenia.

• Jakość językowa wiadomości – błędy, literówki i dziwna składnia to charakterystyczne cechy „taniego” tłumaczenia maszynowego, z którego korzystają oszuści.

• Linki w wiadomości – zamiast klikać w odnośniki z maila, lepiej ręcznie wpisać adres oficjalnej strony w przeglądarce.

W razie wątpliwości co do autentyczności korespondencji dotyczącej BDO ministerstwo zaleca kontakt z urzędem marszałkowskim właściwym dla miejsca prowadzenia działalności.

Co zrobić, gdy dostałeś taki mail?

Przede wszystkim – nie płacić i nie klikać w linki. Każdą próbę wyłudzenia należy zgłosić organom ścigania. Incydenty informatyczne można też zgłaszać bezpośrednio do zespołu CERT Polska pod adresem: incydent.cert.pl.