Wysyłanie e-maila grupowego z użyciem UDW
Pisanie do wielu odbiorców zewnętrznych bez ujawniania ich adresów: odruch UDW, typowe pułapki i postępowanie po popełnieniu błędu.
W 30 sekund
- Gdzie to się zdarza
- Przy wysyłaniu wiadomości do kilku osób spoza firmy (klienci, kandydaci, uczestnicy, partnerzy).
- Czego chce atakujący
- Wykorzystać dostępne o Państwu informacje, by jego wiadomości phishingowe były bardziej przekonujące3.
- Odruch
- Umieścić odbiorców zewnętrznych w UDW, a przed kliknięciem Wyślij przejrzeć pola Do, DW i UDW.
O co chodzi
Zanim wyślą Państwo e-mail do trzydziestu klientów, partnerów lub uczestników szkolenia, zasada postępowania jest taka: sprawdzić, w którym polu umieszczono każdego odbiorcę. Gdy wiadomość już wyjdzie, adresy są u odbiorców.
Ta fiszka opisuje czynność do wykonania przed wysyłką: umieszczenie odbiorców zewnętrznych w polu UDW (ukryta kopia, po francusku Cci). Opisuje też typowe pułapki, to, co ujawnione adresy dają oszustowi, oraz postępowanie po popełnieniu błędu. Cytowane tutaj źródła nie opisują działania pól Do, DW i UDW, więc fiszka podaje zasady postępowania, nie wchodząc w mechanikę programu pocztowego.
Pytania wprost
Dlaczego widoczna lista adresów to problem?
RODO definiuje naruszenie ochrony danych jako naruszenie bezpieczeństwa prowadzące, przypadkowo lub niezgodnie z prawem, między innymi do „divulgation non autorisée de données à caractère personnel", czyli nieuprawnionego ujawnienia danych osobowych1. CNIL wyjaśnia, że chodzi o każdy incydent bezpieczeństwa, złośliwy lub nie, zamierzony lub nie1. Wysyłka, w której wszyscy odbiorcy widzą się nawzajem, może więc podpadać pod tę definicję, nawet bez żadnego ataku.
CNIL podaje zbliżony przypadek: osoba trzecia informuje administratora, że otrzymała e-mail zawierający informacje o innej osobie, i przedstawia na to dowód. Administratora należy wówczas uznać za poinformowanego o naruszeniu1.
Do czego służą zdobyte adresy?
Cytowane tutaj źródła opisują, jak atakujący wykorzystują takie informacje. Brytyjskie NCSC pisze, że przestępcy używają informacji dostępnych w internecie, by ich wiadomości phishingowe były bardziej przekonujące3. MITRE opisuje „phishing for information": wiadomości wysyłane w celu zdobycia informacji, które można potem wykorzystać do namierzenia ofiary2. Według MITRE grupa Kimsuky używała ukierunkowanych wiadomości phishingowych, by zbierać informacje o ofiarach, w tym listy kontaktów, i na tej podstawie wskazywać kolejne cele2.
Phishing polega na podszywaniu się pod zaufaną osobę trzecią w celu zdobycia danych osobowych lub bankowych4.
Kto odpowiada za błąd?
Obowiązki wynikające z RODO spoczywają na administratorze, czyli na organizacji, publicznej lub prywatnej, niezależnie od jej wielkości1. Dla pracownika istotne jest co innego: gdy tylko zauważy błąd, zgłasza go wewnętrznie, bo to organizacja decyduje o dalszych krokach.
1Jak to działa1 min
Tekst RODO wymaga, by administrator zgłosił naruszenie organowi nadzorczemu bez zbędnej zwłoki i, o ile to możliwe, nie później niż 72 godziny po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób6. CNIL dodaje, że termin ten biegnie od chwili, gdy administrator ma rozsądny stopień pewności, że doszło do incydentu, który dotknął dane osobowe1.
O obowiązkach decyduje poziom ryzyka1. Bez ryzyka organizacja dokumentuje incydent wewnętrznie w rejestrze. Przy ryzyku dokumentuje go i zgłasza do CNIL. Przy wysokim ryzyku dokumentuje, zgłasza do CNIL i informuje także osoby, których dotyczy. Ryzyko ocenia się indywidualnie, według rodzaju i wrażliwości danych, łatwości identyfikacji osób i możliwych skutków1. Sam adres i adres ujawniający przynależność do wrażliwej grupy nie są oceniane tak samo, ale ocena należy do organizacji, nie do nadawcy.
2Co Państwo robią1 min
Przed wysłaniem wiadomości do kilku osób spoza firmy:
- Proszę umieścić odbiorców zewnętrznych w polu UDW, a nie w Do ani DW.
- Proszę przejrzeć trzy pola przed wysyłką: w Do lub DW nie powinien zostać żaden adres zewnętrzny.
- Jeśli wiadomość jest wysyłana często (newsletter, zaproszenie), proszę poprosić dział IT o narzędzie do wysyłki przeznaczone do tego celu, zamiast powtarzać czynność ręcznie.
Po popełnieniu błędu:
- Proszę natychmiast powiadomić DPO lub dział IT, podając temat wiadomości, godzinę wysyłki i liczbę odbiorców.
- Nie należy próbować załatwiać sprawy samodzielnie, pisząc do odbiorców: organizacja musi najpierw ocenić ryzyko.
- Proszę zachować wysłaną wiadomość. W przypadku phishingu Cybermalveillance.gouv.fr zaleca zachowanie dowodów4. Ten sam odruch służy tu jako podstawa dokumentacji incydentu.
Po stronie organizacji CNIL wymaga udokumentowania incydentu: rodzaju naruszenia, kategorii i przybliżonej liczby osób, których dotyczy, prawdopodobnych skutków oraz podjętych lub planowanych środków5. W razie wątpliwości, czy informować osoby, CNIL radzi zgłosić jej incydent, a ona wskaże, czy trzeba je poinformować5. Zgłoszenia dokonuje się przez dedykowaną organizacjom usługę online5. Jeśli w terminie 72 godzin nie ma wszystkich informacji, po zgłoszeniu wstępnym może nastąpić zgłoszenie uzupełniające5.
3Pułapki1 min
- Zapomnienie o UDW: wpisanie jednego odbiorcy w Do, pozostałych z przyzwyczajenia w DW albo wklejenie całej listy w złe pole. Zabezpieczeniem jest przejrzenie pól przed wysyłką.
- Przekazywanie dalej lub odpowiedź wszystkim: przed przekazaniem wiadomości albo odpowiedzią wszystkim należy sprawdzić, jakie adresy widnieją w polach.
- Przekonanie, że incydent nie ma skutków: adresy są już u osób trzecich, a NCSC przypomina, że oszuści wykorzystują dostępne informacje, by ich wiadomości były wiarygodniejsze3. Odbiorcy mogą więc później dostawać podejrzane wiadomości: organizacja może im doradzić, by nie odpowiadali na wątpliwe wiadomości i zgłaszali je do Signal Spam4.
Cytowane tutaj źródła nie podają żadnego datowanego przypadku wysyłki grupowej z widocznymi adresami, dlatego fiszka żadnego nie przedstawia.
Karta
- Identyfikator
- CP-564
- Skrzydło
- 5. Życie w biurze i odruchy
- Kompetencja Brain
- Przechytrzyć socjotechnikę (outsmart_social_engineering)
- Odruch Brain
- cr-041
- Schemat
- G5 · Drzewo decyzyjne odruchu
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 6
ŹródłaŹródła: 6
- CNIL, „Violations de données personnelles : les règles à suivre”, 19 czerwca 2018. https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (dostęp 3 listopada 2026)
- NCSC (Royaume-Uni), „Phishing scams: how to spot and report them”, 26 listopada 2021. https://www.ncsc.gov.uk/collection/phishing-scams (dostęp 3 listopada 2026)
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?”, 10 stycznia 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (dostęp 3 listopada 2026)
- CNIL, „Notifier une violation de données personnelles”, 24 maja 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (dostęp 3 listopada 2026)
- CNIL, „CHAPITRE IV - Responsable du traitement et sous-traitant”. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „Wysyłanie e-maila grupowego z użyciem UDW”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp564_pl_2026,
author = {Brain},
title = {Wysyłanie e-maila grupowego z użyciem UDW},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/e-mail-grupowy-udw-ukryta-kopia/},
note = {CC BY 4.0}
}