W wyobrażeniu wielu firm atak to ktoś, kto łamie zabezpieczenia serwera. W praktyce zaczyna się od wiadomości, która wygląda zwyczajnie: faktura od stałego dostawcy z nowym numerem konta albo prośba o pilne zalogowanie się w panelu. CERT Polska zarejestrował w 2025 roku 260 783 incydenty, o 152 procent więcej niż rok wcześniej, i aż 97 procent z nich to były oszustwa komputerowe. Dlatego ta strona zaczyna się od ludzi, a nie od listy programów.
Rozdzielamy to od sąsiednich stron, żeby nie mówić dwa razy tego samego. Brzeg sieci, firewall i to, co u Was widać z internetu, opisujemy przy bezpiecznej sieci firmowej. Kopie zapasowe i odtwarzanie przy backupie, a ochronę stacji przy Sophosie. Tutaj jest to, co spina te warstwy: ludzie, kolejność wydatków i reakcja, gdy już się wydarzy. W kancelariach zaczynamy zwykle właśnie od szyfrowania laptopów, bo sprzęt jeździ do sądów; szerzej przy IT dla kancelarii prawnej.
Trzy scenariusze, które w polskich firmach powtarzają się najczęściej. Żaden nie wymaga łamania zabezpieczeń, wszystkie wymagają jednej osoby, która akurat się spieszy.
Przychodzi od dostawcy, z którym pracujecie od lat, w wątku, który już trwał. Zmienia się jedna rzecz: numer rachunku, z dopiskiem o zmianie banku. Przelew wychodzi, bo wszystko inne się zgadza, a pieniądze znikają, zanim ktokolwiek zauważy.
Wiadomość o wygasającym haśle albo o czekającej wiadomości, link prowadzi do kopii panelu poczty. Po wpisaniu hasła nic złego się nie dzieje i właśnie dlatego nikt tego nie zgłasza. Skrzynka zostaje przejęta, a atakujący czyta korespondencję tygodniami.
Krótka wiadomość od prezesa albo właściciela, zwykle w piątek po południu: sprawa poufna, potrzebny szybki przelew, kontakt tylko mailem. Liczy się presja czasu i to, że w większości firm nikt nie dopytuje osoby na takim stanowisku.
Przeciw temu nie pomoże żaden program, bo nic się nie psuje ani nie infekuje. Pomagają trzy proste rzeczy: zasada, że zmianę numeru konta potwierdza się telefonem na numer znany wcześniej, a nie na ten z wiadomości; drugi składnik logowania, najlepiej klucz sprzętowy, dzięki któremu wyłudzone hasło przestaje wystarczać; oraz widoczne oznaczanie poczty z zewnątrz, żeby podszycie się pod kolegę z biurka obok było widać na pierwszy rzut oka.
Firma o czterdziestu stanowiskach nie wdroży wszystkiego naraz i nie musi. Kolejność ma większe znaczenie niż liczba narzędzi, bo pierwsze trzy rzeczy zdejmują największą część ryzyka.
Drugi składnik logowania na poczcie i w dostępie zdalnym, porządek w uprawnieniach i odebranie praw lokalnego administratora tam, gdzie nie są potrzebne. To najtańszy krok i jednocześnie ten, który zamyka najczęstszą drogę wejścia, czyli wykradzione hasło.
Kopia podpięta do tej samej sieci i tych samych haseł zostanie zaszyfrowana razem z resztą. Potrzebna jest druga, odcięta od środowiska, oraz jedna rzecz, o której się zapomina: sprawdzenie, po ilu godzinach faktycznie da się z niej wrócić do pracy.
Ochrona stacji, firewall, filtrowanie poczty i monitoring są potrzebne, ale kupione jako pierwsze dają złudzenie spokoju przy otwartych drzwiach obok. Dobieramy je po dwóch poprzednich krokach, kiedy widać, co realnie zostaje do zabezpieczenia.
Tę kolejność stosujemy też wtedy, gdy oznacza mniejsze zamówienie, bo sprzedanie firmie kompletu narzędzi bez uporządkowania kont to najprostszy sposób na to, żeby po roku wyszło, że pieniądze poszły w nic. Jeśli macie wymagania z ustawy o krajowym systemie cyberbezpieczeństwa albo z ankiety bezpieczeństwa od kontrahenta, zaczynamy od nich, bo tam kolejność wyznacza termin. Piszemy o tym przy nowych przepisach.
Najwięcej szkody powstaje nie w chwili ataku, tylko w pierwszych godzinach po jego wykryciu, kiedy ktoś w dobrej wierze robi rzeczy nieodwracalne.
Nie kasować podejrzanych plików i logów, bo to jedyny ślad tego, co się stało i czy dane wyszły na zewnątrz. Nie przywracać kopii na zainfekowane środowisko, bo wróci razem z problemem. Nie płacić okupu pod wpływem pierwszej godziny paniki, bo płatność niczego nie gwarantuje.
Odciąć zajęte maszyny od sieci, ale ich nie wyłączać. Zmienić hasła i unieważnić aktywne sesje, zaczynając od kont z uprawnieniami. Spisać godziny i objawy, bo za dwa dni nikt tego nie odtworzy z pamięci, a będzie potrzebne do zgłoszenia i do ubezpieczyciela.
Jeżeli wyciekły dane osobowe, naruszenie zgłasza się Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia. Przy wysokim ryzyku trzeba też zawiadomić same osoby. Zegar rusza od momentu stwierdzenia, a nie od zakończenia analizy.
Ransomware nie jest w Polsce zjawiskiem masowym, CERT Polska odnotował w 2025 roku 179 takich przypadków, ale każdy z nich zatrzymuje firmę na kilka dni. Dlatego plan na te pierwsze godziny spisujemy zawczasu, na dwie strony, z numerami telefonów i kolejnością kroków. Kartka, którą można wyjąć z szuflady, jest w takiej sytuacji warta więcej niż najlepsze narzędzie, do którego nikt nie pamięta hasła. Osobno traktujemy dane o zdrowiu, bo są szczególną kategorią danych i incydent w placówce medycznej oznacza zwykle dwa zgłoszenia zamiast jednego.
Żadna z nich nie działa sama. Pod każdym opisem jest odnośnik do strony, która wchodzi w szczegóły danej warstwy.
Wykrywanie i blokowanie zagrożeń na komputerach oraz serwerach, z jedną konsolą zamiast dwudziestu osobnych instalacji, o których nikt nie wie, czy jeszcze działają.
Firewall, podział sieci na strefy i porządek w tym, co widać z internetu. Pulpit zdalny wystawiony na zewnątrz to wciąż jedna z najczęstszych dróg wejścia.
Kopia lokalna i druga poza siedzibą, z testem odtworzenia. Sprawdzamy nie to, czy backup się wykonał, tylko po ilu godzinach firma znów pracuje.
Klucze sprzętowe i aplikacje uwierzytelniające. Hasło da się wyłudzić w dwie minuty, klucza fizycznie nie ma po drugiej stronie wiadomości.
Kontrola tego, kto ma dostęp administracyjny i co z nim robi, razem z dostępami firm zewnętrznych, które bywają najszerszą i najmniej pilnowaną furtką.
Sprawdzenie, co faktycznie jest włączone, a co tylko kupione, oraz jak środowisko wygląda z zewnątrz. Zwykle najtańszy sposób na ustalenie, gdzie zacząć.
Czego nie robimy: nie prowadzimy własnego centrum monitorowania czynnego w nocy ani informatyki śledczej po poważnym ataku, bo jedno i drugie wymaga zespołu innej wielkości. Przy dużym incydencie pomagamy opanować sytuację i współpracujemy z firmą wyspecjalizowaną w analizie powłamaniowej. Mówimy o tym na starcie, zamiast dowiadywać się o granicach swoich możliwości w najgorszym możliwym momencie.
Cztery kroki, z których pierwszy jest bezpłatny i kończy się listą, która zostaje u Was niezależnie od dalszych decyzji.
Sprawdzamy konta i uprawnienia, stan kopii, to, co widać z internetu, i to, co jest kupione, ale wyłączone. Efektem jest lista ryzyk uszeregowana od najpoważniejszych, z kosztem obok każdej pozycji.
Zaczynamy od tego, co nie wymaga zakupów: drugi składnik logowania, odebranie zbędnych uprawnień, zamknięcie tego, co nie musi być widoczne z sieci. Zwykle w tym miejscu spada największa część ryzyka.
Dokładamy to, czego brakuje: ochronę stacji, drugą kopię poza siedzibą, porządek na brzegu sieci. Rozkładamy to na etapy, żeby dało się rozłożyć także koszt i żeby zespół zdążył się przyzwyczaić.
Spisujemy, kto co robi w pierwszych godzinach i pod jakie numery dzwoni, a raz w roku sprawdzamy odtworzenie kopii i aktualność uprawnień. Bezpieczeństwo nie jest projektem z datą końcową, tylko czymś, co się utrzymuje.
Strony, które wracają przy rozmowie o bezpieczeństwie.
Nikt konkretny i na tym polega problem. Większość tego, co trafia w polskie firmy, nie jest wymierzona w nikogo z nazwy: to masowe wiadomości i automaty szukające wystawionych na zewnątrz usług. Mała firma nie jest celem, tylko trafieniem przypadkowym, a skutek bywa poważniejszy, bo rzadziej ma sprawdzoną kopię i kogoś, kto wie, co robić w pierwszych godzinach.
Przy scenariuszach, które dziś dominują, nie, bo nie ma czego wykryć. Gdy pracownik sam wpisze hasło na podstawionej stronie albo wykona przelew na podmieniony numer konta, żaden program nie zgłosi zagrożenia, ponieważ nic się nie zainstalowało. Ochrona stacji jest potrzebna, ale jako jedna warstwa z kilku, nie jako całość zabezpieczeń.
Nie podamy jednej kwoty, bo pierwsze i najskuteczniejsze kroki zwykle nic nie kosztują poza pracą: włączenie drugiego składnika logowania, odebranie zbędnych uprawnień administratora, zamknięcie tego, co niepotrzebnie widać z internetu. Wydatki zaczynają się przy licencjach ochrony i drugiej kopii poza siedzibą, a ich skalę podajemy po przeglądzie, który jest bezpłatny.
Natychmiast zmienić to hasło i wylogować wszystkie aktywne sesje, bo samo hasło nie wystarczy, jeśli atakujący ma otwartą sesję. Potem sprawdzić reguły przekierowania poczty, bo pierwszą rzeczą po przejęciu skrzynki bywa ciche kopiowanie korespondencji na obcy adres. I nie karać osoby, która się zgłosiła, bo następna już tego nie zrobi.
Nie każdy. Obowiązek zgłoszenia do Prezesa UODO dotyczy naruszeń ochrony danych osobowych i odpada, gdy ryzyko dla osób jest mało prawdopodobne, na przykład przy danych skutecznie zaszyfrowanych. Ocenę trzeba jednak przeprowadzić i udokumentować, a przy zgłoszeniu obowiązuje termin 72 godzin od stwierdzenia naruszenia. To decyzja prawna, więc przy poważniejszych sprawach warto mieć przy stole prawnika.
Mają, pod warunkiem że nie są godzinną prezentacją raz na rok. Lepiej działa krótka zasada, którą da się zapamiętać, na przykład że zmianę numeru konta zawsze potwierdza się telefonem na numer znany wcześniej. Sens ma też otwarta droga zgłaszania podejrzanych wiadomości, bo najgorszy scenariusz to pracownik, który coś zauważył i wolał nie mówić.
Robimy przegląd tego, co widać z internetu, i sprawdzamy konfigurację, natomiast pełnych testów penetracyjnych z raportem dla audytora nie prowadzimy sami. Przy takim wymaganiu, zwykle z ankiety bezpieczeństwa od kontrahenta, pracujemy z zewnętrznym zespołem i pomagamy wdrożyć to, co znajdzie. Kupowanie testu, zanim uporządkuje się konta i kopie, to zwykle wydatek nie w porę.
Nie. Część firm zamawia u nas sam przegląd i zestaw rekomendacji, które potem wdraża własny zespół albo obecny dostawca. Jeżeli wynik przeglądu pokazuje, że wystarczy kilka poprawek, mówimy to wprost, zamiast przy okazji sprzedawać stałą umowę.
30 minut rozmowy o tym, co masz i co przeszkadza w pracy. W ciągu 1 dnia roboczego dostajesz listę ryzyk na jednej stronie i zostaje ona u Ciebie, także jeśli nie pójdziemy dalej razem. Jeśli Twoja sprawa nie jest dla nas, powiemy to od razu i wskażemy kogoś innego.
2019-2026 Interactive Workspace Sp. z o.o. Wszelkie prawa zastrzeżone.