Wśród przedsiębiorców z regionu wciąż krąży przekonanie, że cyberprzestępczość to problem warszawskich korporacji i banków. Ta sprawa je obala, ale nie tak, jak mogłoby się wydawać. Nie chodzi o to, że przestępcy zaczęli szukać ofiar na Lubelszczyźnie. Chodzi o to, że nie szukają ich nigdzie i właśnie dlatego trafiają tutaj.
Ćwierć miliona incydentów. Ale firm dotyczy inna liczba
Zespół CERT Polska, działający w państwowym instytucie badawczym NASK, w raporcie „Krajobraz bezpieczeństwa polskiego internetu w 2025 roku" podał 658 320 zgłoszeń, czyli ponad 1800 dziennie. Na ich podstawie zarejestrowano 260 783 incydenty bezpieczeństwa, o 152 proc. więcej niż rok wcześniej. To rekord w historii Polski.
Dla firm ważniejsza jest zresztą inna liczba. Ataków ransomware, czyli tych z szyfrowaniem danych i żądaniem okupu, odnotowano 179, wobec 163 rok wcześniej. Przy ćwierć milionie wygląda to niepozornie, ale oznacza średnio jeden taki atak co drugi dzień w skali kraju. I zawsze w organizację, dla której odcięcie od własnych danych oznacza paraliż działalności.
Przedstawiając raport, kierownik CERT Polska Marcin Dudek zwrócił uwagę na coś, co powinno interesować przedsiębiorcę bardziej niż same liczby: większość zarejestrowanych zdarzeń to incydenty proste, którym dało się łatwo zapobiec, a wektory wejścia od lat pozostają te same i da się je zamknąć niewielkim nakładem pracy.
Nie jesteśmy łatwym łupem. Jesteśmy dobrym celem
Warto przy tym rozprawić się z pewnym nieporozumieniem. Kiedy mówi się o atakach na firmy poza największymi ośrodkami, łatwo popaść w ton, jakby chodziło o drobne, słabe podmioty, które przestępcy atakują z braku lepszych okazji. Rzeczywistość jest odwrotna.
Lubelszczyzna ma poważne zaplecze gospodarcze. Przetwórstwo spożywcze eksportujące na pół Europy. Transport i logistyka, w naturalny sposób rozwinięte przy wschodniej granicy. Przemysł, w tym lotniczy w Świdniku. Rosnący sektor informatyczny i usług dla biznesu w samym Lublinie, zasilany przez absolwentów lokalnych uczelni. Firmy rodzinne, które przez dwie dekady wyrosły z warsztatu na zakład z kilkudziesięcioma pracownikami i kontraktami zagranicznymi.
Innymi słowy: obroty liczone w milionach, bazy klientów, dane pracowników, dokumentacja kontraktów, systemy magazynowe i produkcyjne. Dla przestępcy nie jest to cel drugiej kategorii. To biznes, z którego można wyciągnąć pieniądze. Nikt nie żąda okupu liczonego w milionach złotych od firmy, o której sądzi, że nie ma czego zabrać.
Dlaczego atak może trafić w każdego
Skąd zatem przestępcy wiedzą, gdzie uderzyć? W ogromnej większości przypadków wcale nie wiedzą i nie wybierają. Przestępcy uruchamiają programy, które przez całą dobę przeczesują cały polski internet i sprawdzają po kolei każdy adres, każdy serwer, każdą firmową stronę. Taki program jeśli natrafi na niezałataną lukę albo słabe hasło, atak rusza sam, bez udziału człowieka. Dopiero potem, gdy przestępca widzi, że ma dostęp do czegoś wartościowego, wchodzi w to osobiście i wycenia okup.
I tu jest sedno problemu, które nie ma nic wspólnego z adresem, a wszystko z organizacją. Duża korporacja utrzymuje osobny dział bezpieczeństwa, którego jedynym zadaniem jest szukanie dziur we własnych systemach. Sprawnie działająca firma z pięćdziesięcioma pracownikami takiego działu zwykle nie ma i nie musi mieć. Ma informatyka albo firmę zewnętrzną, która dba o to, żeby wszystko działało. A „działa" i „jest bezpieczne" to dwie różne rzeczy. Bezpieczeństwo bywa tą jedną kompetencją, która nie rośnie w tym samym tempie co reszta biznesu, i przestępcy dokładnie tę lukę wykorzystują.
Trzy scenariusze, które powtarzają się najczęściej
Pierwszy to właśnie zaszyfrowanie danych. Ktoś otwiera załącznik z maila wyglądającego jak faktura albo pismo z urzędu i po kilku dniach cała firma jest sparaliżowana. Produkcja stoi, magazyn stoi, księgowość stoi. Każdy dzień przestoju to pieniądze, których firma nie zarobi. Najgorsze są przypadki, w których kopie zapasowe też zostały zaszyfrowane, bo leżały na tym samym serwerze.
Drugi to wyciek danych. Baza klientów, dane pracowników, umowy. Tu wkracza RODO i Urząd Ochrony Danych Osobowych, który może nałożyć dotkliwą karę. Warto od razu rozwiać częste nieporozumienie: RODO chroni dane osobowe, a przepisy o cyberbezpieczeństwie dotyczą bezpieczeństwa systemów niezależnie od tego, czy przepływają przez nie dane osobowe, w praktyce jedno i drugie zwykle się nakłada. Sama kara bywa przy tym mniejszym problemem niż utrata zaufania kontrahentów, zwłaszcza tych zagranicznych, którzy coraz częściej pytają o bezpieczeństwo, zanim podpiszą umowę.
Trzeci jest najbardziej podstępny, bo długo nie widać go wcale. Przestępca przejmuje firmową skrzynkę mailową i przez kilka tygodni po cichu czyta korespondencję. W chwili, gdy widzi, że szykuje się większy przelew do stałego kontrahenta, podmienia w fakturze numer konta na swój. Pieniądze wychodzą na rachunek oszusta i praktycznie nie da się ich odzyskać.
Do 3 października część firm ma ustawowy obowiązek się zgłosić
Jest jeszcze jeden powód, żeby zająć się tym akurat teraz, i nie ma on nic wspólnego z przestępcami. 3 kwietnia tego roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca do polskiego prawa unijną dyrektywę NIS2. Objęła znacznie szerszy krąg firm niż poprzednie przepisy, a wśród sektorów wskazanych w załącznikach do ustawy są takie, które na Lubelszczyźnie stanowią o gospodarce.
Terminy już biegną. Firma, która spełnia kryteria podmiotu kluczowego lub ważnego, ma obowiązek złożyć wniosek o wpis do Wykazu KSC do 3 października tego roku. Na wdrożenie systemu zarządzania bezpieczeństwem informacji czas jest do 3 kwietnia 2027 roku. Kary administracyjne w większości przypadków będą mogły być nakładane dopiero dwa lata po wejściu ustawy w życie, więc w październiku nikomu nie grozi mandat, ale termin zgłoszenia pozostaje terminem ustawowym, a Ministerstwo Cyfryzacji przypomina, że brak świadomości obowiązku z niego nie zwalnia.
Czy przepisy dotyczą konkretnej firmy, zależy od sektora i od wielkości przedsiębiorstwa. Na Biznes.gov.pl działa bezpłatna ankieta samooceny, która pozwala to sprawdzić w kilka minut. Od niej warto zacząć, zanim ktokolwiek cokolwiek zamówi.
Jak to wygląda z drugiej strony
Piszę o tym, bo zawodowo zajmujemy się szukaniem luk w zabezpieczeniach firm, zanim znajdą je przestępcy. Naszą spółkę założyliśmy we trójkę: dwóch z nas pochodzi z okolic Świdnika, trzeci wspólnik jest z Krakowa, a siedzibę ulokowaliśmy w gminie Trawniki. Klientów mamy w całej Polsce, bo w tej branży odległość dawno przestała mieć znaczenie. Dokładnie tak samo jak dla przestępców.
Marcin Motwicki, który w naszym zespole odpowiada za testy bezpieczeństwa, opisuje to bez ogródek:
„W dziewięciu na dziesięć firm, które badamy po raz pierwszy, jesteśmy w środku w ciągu kilku dni. Nie dlatego, że jesteśmy czarodziejami, tylko dlatego, że nikt wcześniej nie sprawdził podstaw. Zapomniane konto pracownika, który odszedł dwa lata temu. Stara wersja systemu bez aktualizacji. I mówimy o firmach dobrze zarządzanych, z ludźmi, którzy znają się na swojej robocie. Po prostu nikt im wcześniej nie spojrzał na to okiem atakującego."
Dlaczego sam antywirus nie wystarczy
To pytanie słyszymy najczęściej: „Mamy program antywirusowy i firewall, czego więcej trzeba?" To konieczne, ale niewystarczające. Antywirus chroni przed znanymi, masowymi zagrożeniami. Nie ostrzeże właściciela, że panel do systemu magazynowego jest dostępny z internetu z domyślnym hasłem. Firewall nie zauważy, że firmowy sklep ma lukę, przez którą da się pobrać całą bazę zamówień. Takie rzeczy wychodzą na jaw dopiero wtedy, gdy ktoś aktywnie spróbuje się włamać.
Na tym polega test penetracyjny firmy. Specjalista wciela się w rolę napastnika i próbuje przełamać zabezpieczenia dokładnie tak, jak zrobiłby to prawdziwy atakujący, a na końcu przygotowuje raport: tędy dało się wejść, to niesie takie ryzyko, naprawić trzeba to w ten sposób. Można poczekać, aż zrobi to przestępca na swoich warunkach, albo wcześniej zaprosić kogoś, kto zrobi to na naszych.
Rachunek, który warto zrobić
Sprawdzenie tego, co firma wystawia na świat, kosztuje ułamek tego, co jeden dzień zatrzymanej produkcji. Okup, o którym pisałem na początku, był od tego wielokrotnie wyższy, a do niego trzeba jeszcze doliczyć przestój, odtwarzanie systemów, postępowanie przed Urzędem Ochrony Danych Osobowych i honoraria prawników. Płaci się raz za wiedzę, gdzie są słabe punkty, zamiast wielokrotnie więcej za skutki ataku, którego dało się uniknąć.
Nie trzeba od razu zamawiać audytu całej firmy. Rozsądnie jest zacząć od tego, co widać z zewnątrz: strony internetowej, sklepu, poczty i zdalnych dostępów do firmowych komputerów. To najczęstsze furtki.
Jedno pytanie warto sobie zadać
Jeśli prowadzisz firmę w regionie i po lekturze tego tekstu naszło Cię pytanie „a czy u mnie da się tak łatwo wejść?", to znaczy, że tekst spełnił swoje zadanie. Lubelskie firmy nie są atakowane dlatego, że są słabe, ani dlatego, że ktoś je sobie wybrał. Są atakowane dlatego, że stoją w tej samej sieci co wszyscy, a nikt nigdy nie sprawdził, co z niej widać. Kompetencje potrzebne do takiego sprawdzenia są dziś dostępne również u nas i nie trzeba po nie jechać do stolicy. Odpowiedzi lepiej szukać w spokojnym raporcie niż w żądaniu okupu. a zacząć można zawsze od bezpłatnej konsultacji na https://pwnone.com/ .
Michał Milewski, współzałożyciel PWNONE
Komentarze