Dlaczego to dotyczy każdego: ataki na firmy w Polsce

CERT Polska to zespół reagowania na incydenty działający w NASK. Co roku publikuje raport. Według raportu za 2025 r.:

• wpłynęło ponad 658 tys. zgłoszeń, a zarejestrowano ok. 260,8 tys. incydentów — o 152% więcej niż rok wcześniej,
• 97% incydentów to oszustwa komputerowe — przede wszystkim phishing i fałszywe „inwestycje”,
• na Listę Ostrzeżeń (niebezpieczne domeny blokowane przez operatorów) trafiło ok. 250 tys. domen,
• odnotowano 179 ataków ransomware — złośliwego oprogramowania, które szyfruje dane i żąda okupu.

Wzrost liczby incydentów częściowo wynika z tego, że ludzie częściej zgłaszają podejrzane wiadomości — i to dobrze. Ale wniosek jest jasny: najwięcej ataków zaczyna się od oszukania człowieka, a nie od wyrafinowanego włamania.

Wiele osób myśli: „jesteśmy za mali, nikt nas nie zaatakuje”. Tymczasem przestępcy działają masowo — wysyłają tysiące wiadomości i czekają, kto się złapie. Mała firma ma często słabsze zabezpieczenia i nikogo, kto zajmuje się nimi na co dzień.

Koszty incydentu to nie tylko utracone pieniądze:

• przestój — dni bez dostępu do poczty, programu księgowego, dziennika elektronicznego,
• odtworzenie — praca informatyka, nowe licencje, czasem nowy sprzęt,
• dane osobowe — zgłoszenie do Prezesa UODO, zawiadomienie klientów, ryzyko kary,
• przelew na konto oszusta — pieniądze często są nie do odzyskania,
• utrata zaufania — klienci, rodzice uczniów, mieszkańcy gminy.

Atak socjotechniczny wykorzystuje naturalne reakcje. Przestępca próbuje wywołać jedną z nich:

• pośpiech — „do końca dnia”, „konto zostanie zablokowane za 2 godziny”,
• strach — „zaległość w urzędzie skarbowym”, „wezwanie z policji”,
• autorytet — „prezes prosi”, „dyrektor szkoły pisze z urlopu”,
• chęć pomocy — „klient nie może się zalogować, pomóż”,
• ciekawość lub chciwość — „zobacz zdjęcia z imprezy”, „zwrot nadpłaty”.

Kiedy działają emocje, mniej uważnie czytamy adres nadawcy, nie zauważamy literówki w domenie i klikamy „na autopilocie”. Dlatego najważniejszą umiejętnością jest zauważyć presję i potraktować ją jako sygnał ostrzegawczy.

Przez cały kurs będziemy wracać do jednej zasady:

1. Zatrzymaj się — gdy wiadomość, telefon albo prośba jest nietypowa, pilna lub dotyczy pieniędzy, haseł, danych. Nie klikaj, nie odpowiadaj od razu.
2. Sprawdź — inną drogą niż ta, którą przyszła prośba: zadzwoń pod numer znany wcześniej, wejdź na stronę, wpisując adres samodzielnie, zapytaj osobiście.
3. Zgłoś — informatykowi, przełożonemu albo osobie wyznaczonej w firmie. Podejrzanego SMS-a możesz przekazać na 8080, a incydent zgłosić na incydent.cert.pl.

Zgłoszenie ma sens nawet wtedy, gdy nic nie kliknąłeś: ta sama wiadomość mogła trafić do kolegów, a informatyk może ją zablokować dla wszystkich.