--- id: CP-564 slug: e-mail-grupowy-udw-ukryta-kopia lang: pl title: Wysyłanie e-maila grupowego z użyciem UDW description: "Pisanie do wielu odbiorców zewnętrznych bez ujawniania ich adresów: odruch UDW, typowe pułapki i postępowanie po popełnieniu błędu." canonical_url: https://startbrain.io/cyberpedia/pl/articles/e-mail-grupowy-udw-ukryta-kopia/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/e-mail-grupowy-udw-ukryta-kopia.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Wysyłanie e-maila grupowego z użyciem UDW”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/e-mail-grupowy-udw-ukryta-kopia/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-041 schema: G5 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/e-mail-grupowy-udw-ukryta-kopia/ fr: https://startbrain.io/cyberpedia/fr/articles/courriel-groupe-copie-cachee-cci/ en: https://startbrain.io/cyberpedia/en/articles/bulk-email-bcc-hidden-recipients/ de: https://startbrain.io/cyberpedia/de/articles/sammelmail-bcc-verdeckte-empfaenger/ es: https://startbrain.io/cyberpedia/es/articles/correo-grupal-copia-oculta-cco/ it: https://startbrain.io/cyberpedia/it/articles/email-gruppo-copia-nascosta-ccn/ nl: https://startbrain.io/cyberpedia/nl/articles/bulk-mail-bcc-verborgen-ontvangers/ pt: https://startbrain.io/cyberpedia/pt/articles/email-grupo-copia-oculta-bcc/ sources: - "n": 1 title: "Violations de données personnelles : les règles à suivre" publisher: CNIL url: https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre published: "2018-06-19" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 4 title: Que faire en cas de phishing ou hameçonnage ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing published: "2020-01-10" accessed: "2026-11-03" - "n": 5 title: Notifier une violation de données personnelles publisher: CNIL url: https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles published: "2018-05-24" accessed: "2026-11-03" - "n": 6 title: CHAPITRE IV - Responsable du traitement et sous-traitant publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 accessed: "2026-11-03" --- # Wysyłanie e-maila grupowego z użyciem UDW Zanim wyślą Państwo e-mail do trzydziestu klientów, partnerów lub uczestników szkolenia, zasada postępowania jest taka: sprawdzić, w którym polu umieszczono każdego odbiorcę. Gdy wiadomość już wyjdzie, adresy są u odbiorców. Ta fiszka opisuje czynność do wykonania przed wysyłką: umieszczenie odbiorców zewnętrznych w polu UDW (ukryta kopia, po francusku Cci). Opisuje też typowe pułapki, to, co ujawnione adresy dają oszustowi, oraz postępowanie po popełnieniu błędu. Cytowane tutaj źródła nie opisują działania pól Do, DW i UDW, więc fiszka podaje zasady postępowania, nie wchodząc w mechanikę programu pocztowego. ## W 30 sekund - Gdzie to się zdarza: przy wysyłaniu wiadomości do kilku osób spoza firmy (klienci, kandydaci, uczestnicy, partnerzy). - Czego chce atakujący: wykorzystać dostępne o Państwu informacje, by jego wiadomości phishingowe były bardziej przekonujące [3]. - Odruch: umieścić odbiorców zewnętrznych w UDW, a przed kliknięciem Wyślij przejrzeć pola Do, DW i UDW. - Jeśli już się stało: niezwłocznie powiadomić inspektora ochrony danych (DPO) albo, jeśli go nie ma, dział IT, który oceni, czy trzeba zgłosić sprawę do CNIL [1][5]. ## Pytania wprost ### Dlaczego widoczna lista adresów to problem? RODO definiuje naruszenie ochrony danych jako naruszenie bezpieczeństwa prowadzące, przypadkowo lub niezgodnie z prawem, między innymi do „divulgation non autorisée de données à caractère personnel", czyli nieuprawnionego ujawnienia danych osobowych [1]. CNIL wyjaśnia, że chodzi o każdy incydent bezpieczeństwa, złośliwy lub nie, zamierzony lub nie [1]. Wysyłka, w której wszyscy odbiorcy widzą się nawzajem, może więc podpadać pod tę definicję, nawet bez żadnego ataku. CNIL podaje zbliżony przypadek: osoba trzecia informuje administratora, że otrzymała e-mail zawierający informacje o innej osobie, i przedstawia na to dowód. Administratora należy wówczas uznać za poinformowanego o naruszeniu [1]. ### Do czego służą zdobyte adresy? Cytowane tutaj źródła opisują, jak atakujący wykorzystują takie informacje. Brytyjskie NCSC pisze, że przestępcy używają informacji dostępnych w internecie, by ich wiadomości phishingowe były bardziej przekonujące [3]. MITRE opisuje „phishing for information": wiadomości wysyłane w celu zdobycia informacji, które można potem wykorzystać do namierzenia ofiary [2]. Według MITRE grupa Kimsuky używała ukierunkowanych wiadomości phishingowych, by zbierać informacje o ofiarach, w tym listy kontaktów, i na tej podstawie wskazywać kolejne cele [2]. Phishing polega na podszywaniu się pod zaufaną osobę trzecią w celu zdobycia danych osobowych lub bankowych [4]. ### Kto odpowiada za błąd? Obowiązki wynikające z RODO spoczywają na administratorze, czyli na organizacji, publicznej lub prywatnej, niezależnie od jej wielkości [1]. Dla pracownika istotne jest co innego: gdy tylko zauważy błąd, zgłasza go wewnętrznie, bo to organizacja decyduje o dalszych krokach. ## Jak to działa Tekst RODO wymaga, by administrator zgłosił naruszenie organowi nadzorczemu bez zbędnej zwłoki i, o ile to możliwe, nie później niż 72 godziny po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób [6]. CNIL dodaje, że termin ten biegnie od chwili, gdy administrator ma rozsądny stopień pewności, że doszło do incydentu, który dotknął dane osobowe [1]. O obowiązkach decyduje poziom ryzyka [1]. Bez ryzyka organizacja dokumentuje incydent wewnętrznie w rejestrze. Przy ryzyku dokumentuje go i zgłasza do CNIL. Przy wysokim ryzyku dokumentuje, zgłasza do CNIL i informuje także osoby, których dotyczy. Ryzyko ocenia się indywidualnie, według rodzaju i wrażliwości danych, łatwości identyfikacji osób i możliwych skutków [1]. Sam adres i adres ujawniający przynależność do wrażliwej grupy nie są oceniane tak samo, ale ocena należy do organizacji, nie do nadawcy. ## Co Państwo robią Przed wysłaniem wiadomości do kilku osób spoza firmy: - Proszę umieścić odbiorców zewnętrznych w polu UDW, a nie w Do ani DW. - Proszę przejrzeć trzy pola przed wysyłką: w Do lub DW nie powinien zostać żaden adres zewnętrzny. - Jeśli wiadomość jest wysyłana często (newsletter, zaproszenie), proszę poprosić dział IT o narzędzie do wysyłki przeznaczone do tego celu, zamiast powtarzać czynność ręcznie. Po popełnieniu błędu: - Proszę natychmiast powiadomić DPO lub dział IT, podając temat wiadomości, godzinę wysyłki i liczbę odbiorców. - Nie należy próbować załatwiać sprawy samodzielnie, pisząc do odbiorców: organizacja musi najpierw ocenić ryzyko. - Proszę zachować wysłaną wiadomość. W przypadku phishingu Cybermalveillance.gouv.fr zaleca zachowanie dowodów [4]. Ten sam odruch służy tu jako podstawa dokumentacji incydentu. Po stronie organizacji CNIL wymaga udokumentowania incydentu: rodzaju naruszenia, kategorii i przybliżonej liczby osób, których dotyczy, prawdopodobnych skutków oraz podjętych lub planowanych środków [5]. W razie wątpliwości, czy informować osoby, CNIL radzi zgłosić jej incydent, a ona wskaże, czy trzeba je poinformować [5]. Zgłoszenia dokonuje się przez dedykowaną organizacjom usługę online [5]. Jeśli w terminie 72 godzin nie ma wszystkich informacji, po zgłoszeniu wstępnym może nastąpić zgłoszenie uzupełniające [5]. ## Pułapki - Zapomnienie o UDW: wpisanie jednego odbiorcy w Do, pozostałych z przyzwyczajenia w DW albo wklejenie całej listy w złe pole. Zabezpieczeniem jest przejrzenie pól przed wysyłką. - Przekazywanie dalej lub odpowiedź wszystkim: przed przekazaniem wiadomości albo odpowiedzią wszystkim należy sprawdzić, jakie adresy widnieją w polach. - Przekonanie, że incydent nie ma skutków: adresy są już u osób trzecich, a NCSC przypomina, że oszuści wykorzystują dostępne informacje, by ich wiadomości były wiarygodniejsze [3]. Odbiorcy mogą więc później dostawać podejrzane wiadomości: organizacja może im doradzić, by nie odpowiadali na wątpliwe wiadomości i zgłaszali je do Signal Spam [4]. Cytowane tutaj źródła nie podają żadnego datowanego przypadku wysyłki grupowej z widocznymi adresami, dlatego fiszka żadnego nie przedstawia. ## Źródła 1. CNIL, „Violations de données personnelles : les règles à suivre”, 19 czerwca 2018. https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (dostęp 3 listopada 2026) 3. NCSC (Royaume-Uni), „Phishing scams: how to spot and report them”, 26 listopada 2021. https://www.ncsc.gov.uk/collection/phishing-scams (dostęp 3 listopada 2026) 4. Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?”, 10 stycznia 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (dostęp 3 listopada 2026) 5. CNIL, „Notifier une violation de données personnelles”, 24 maja 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (dostęp 3 listopada 2026) 6. CNIL, „CHAPITRE IV - Responsable du traitement et sous-traitant”. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/e-mail-grupowy-udw-ukryta-kopia/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.