Większość „cyberataków" w polskich MŚP, które rozplątujemy, zaczyna się tak samo: jedna osoba w piątek po obiedzie kliknęła w mail. Nie była głupia, nie była nieuważna — była zmęczona i miała otwartych dziesięć kart. Mail wyglądał jak faktura od stałego dostawcy, jak monit z banku albo jak prośba prezesa o szybki przelew. I to wystarczyło.
Phishing nie jest już zabawą rosyjskich nastolatków z prymitywną polszczyzną. Dziś to skoordynowana branża, która zarabia na MŚP więcej niż na korporacjach, bo w MŚP nie ma działu bezpieczeństwa, nie ma centrum SOC, nie ma drugiej osoby, która patrzy na każdy przelew. Jest jedna księgowa, która ma 60 faktur dziennie i ufa, że firmowy filtr antyspamowy „chyba coś łapie".
Ten tekst jest o tym, co naprawdę działa, a co tylko wygląda dobrze na audycie — w obronie przed phishingiem i jego najdroższym wariantem, czyli BEC (Business Email Compromise).
Phishing nie wygląda już jak nigeryjski książę
W ostatnim roku w polskich MŚP najczęściej widzimy cztery scenariusze. Każdy z nich jest banalny i każdy działa, bo pasuje do rytmu pracy.
- Fałszywa faktura od „stałego" dostawcy. Mail wygląda jak każdy inny. Nazwa firmy się zgadza, numer NIP się zgadza, kwota jest sensowna. Zmieniony jest tylko numer rachunku w PDF-ie. Atakujący nie zgadują — najpierw przejęli skrzynkę u dostawcy i czytali korespondencję, a potem podstawili mail w idealnym momencie.
- „Prezes" prosi o pilny przelew. Mail przychodzi z adresu, który wygląda jak prezes (
prezes@firmaABC.plzamiastprezes@firma-abc.pl— ludzkie oko nie wyłapie). Treść: „jestem na spotkaniu, nie mogę rozmawiać, zrób pilnie przelew na konto X, potwierdzę później". Działa, bo opiera się na hierarchii i pośpiechu. - „Microsoft 365: hasło wygasa za 24 h". Klasyk. Pracownik klika, ląduje na łudząco podobnej stronie logowania, wpisuje login i hasło. Atakujący ma teraz dostęp do skrzynki, kalendarza, kontaktów i — co gorsza — historycznej korespondencji, z której zbuduje kolejny atak.
- Załącznik „dokumenty do wglądu". ZIP albo plik z makrem. Otwarty na komputerze z dostępem do udziału sieciowego — i za 6 godzin macie szyfrowanie ransomware na połowie firmy.
Każdy z tych scenariuszy łączy jedna rzecz: nie próbują przebić się przez zabezpieczenia techniczne. Próbują wejść przez pracownika, który ma dużo pracy i mało powodów, żeby na sekundę przystanąć i się zastanowić.
89 000 zł, jeden mail i trzy tygodnie ciszy
U jednego z naszych klientów — 28-osobowej firmy produkcyjnej obrabiającej elementy stalowe — księgowa zapłaciła 89 000 zł na konto, które „pojawiło się" w mailu od stałego dostawcy. Mail wyglądał jak zawsze: ten sam podpis, ta sama stopka, sensowny numer faktury, sensowna kwota. Tylko ostatnie cztery cyfry numeru rachunku były inne. Atakujący przejął wcześniej skrzynkę u dostawcy (zwykły phishing, bez MFA), siedział w niej trzy tygodnie czytając korespondencję, a potem podstawił mail dokładnie w dniu, w którym faktura była spodziewana.
Pieniędzy nie udało się odzyskać. Bank docelowy w Czechach przelał środki dalej w ciągu czterech godzin. Firma straciła 89 tysięcy plus tydzień pracy zarządu na rozmowy z policją, prawnikami i ubezpieczycielem. Dostawca też miał gorzkie pytania.
Po incydencie wdrożyliśmy z nimi kilka prostych rzeczy: MFA na wszystkich skrzynkach, pisemną procedurę „każda zmiana numeru rachunku jest potwierdzana telefonicznie z numerem z bazy CRM, nigdy z numerem z maila", oznaczanie zewnętrznych maili w nagłówku i krótkie miesięczne symulacje phishingu z 5-minutowym omówieniem na luźno. Przez kolejne dwa lata firma wykryła trzy podobne próby BEC — dwie zostały zatrzymane przez telefon do dostawcy, jedna przez pracownika, który zauważył, że mail jest „jakiś dziwny". Bez strat.
To nie jest historia o technologii. To historia o nawykach. Filtr antyspamowy dostawcy w obu przypadkach „był", a mimo to mail przeszedł — bo przyszedł z prawdziwej, przejętej skrzynki.
Co nie działa — choć wygląda dobrze
Branża cyber sprzedaje MŚP dużo rzeczy, które dobrze wyglądają w ofercie i słabo działają w praktyce. Najczęstsze pomyłki, które widzimy:
- Roczne obowiązkowe szkolenie e-learningowe. Pracownik klika „dalej, dalej, dalej, test" i zapomina wszystko po dwóch dniach. To nie jest trening, tylko zaliczenie audytu RODO.
- Plakaty i kampanie strachu. „Uwaga, oszuści!" w korytarzu nikogo nie nauczy niczego. Strach generuje paraliż, nie czujność.
- Polityka „w razie wątpliwości pytaj IT". Brzmi sensownie, ale w MŚP IT to jeden człowiek na pół etatu, który nie odbiera, bo akurat naprawia drukarkę. Pracownik kliknie sam, bo musi pracować dalej.
- „Nasz program antywirusowy to wyłapie". Antywirus wyłapuje załączniki ze znanymi sygnaturami. BEC to czysty tekst i fałszywy numer konta — żaden antywirus tego nie zobaczy.
- „Mamy SPF/DKIM, więc nas nie podszyją". SPF/DKIM/DMARC chronią przed podszywaniem się pod Twoją domenę. Nie chronią przed mailem z prawdziwej, ale przejętej skrzynki dostawcy. A właśnie tak działa BEC.
Każda z tych rzeczy ma swoje miejsce — ale żadna nie zastępuje nawyku, który zatrzymuje rękę księgowej na sekundę przed wysłaniem przelewu.
Co naprawdę działa — w 4 godziny pracy
Większość MŚP może wdrożyć podstawową obronę przed phishingiem i BEC w jeden dzień roboczy. Nie potrzeba projektu na kwartał, nie potrzeba SOC-a za 200 tysięcy. Potrzeba pięciu rzeczy:
- MFA na każdej skrzynce. Bez wyjątków, łącznie z zarządem. To jedna zmiana, która eliminuje 90% przejęć kont. W Microsoft 365 i Google Workspace włącza się w godzinę. Jeśli ktoś w firmie „nie umie używać MFA", oznacza to, że nie został przeszkolony — nie że MFA jest złe.
- Oznaczenie zewnętrznych maili. W nagłówku każdego maila przychodzącego z zewnątrz pojawia się żółty pasek „Uwaga: ten mail przyszedł spoza Twojej organizacji". Banalna zmiana, znacząco obniża skuteczność ataków podszywających się pod prezesa albo dział IT. W M365 ustawiana w jednej regule transportowej.
- Pisemna procedura zmiany rachunku bankowego. Jedna kartka A4 wisząca w księgowości: „Każda zmiana numeru rachunku kontrahenta jest potwierdzana telefonicznie pod numerem z naszego CRM-a/ERP-a, nigdy pod numerem z maila lub faktury. Brak telefonu = brak przelewu. Bez wyjątków, łącznie z prezesem". To jeden papier, który ratuje 80–200 tysięcy złotych rocznie w skali typowego MŚP.
- Krótki miesięczny test. Raz w miesiącu wysyłamy zespołowi symulowany phishing — fakturę, prośbę „prezesa", monit z banku. Mierzymy, kto kliknął. Nie po to, żeby kogoś ukarać, tylko żeby przez 5 minut omówić, po czym można było poznać, że mail jest fałszywy. Po sześciu miesiącach takich „treningów na żywo" widzimy spadek klikalności typowo z 20–25% do 3–5%.
- Rejestr „dziwnych maili". Wspólny kanał (Teams, Slack, mail-grupowy), do którego każdy może wrzucić mail z pytaniem „czy to jest prawdziwe?". Ktoś z IT albo zarządu odpowiada w 30 minut. To jednocześnie filtr i materiał edukacyjny.
Te pięć rzeczy razem nie kosztuje firmy nic poza czasem. Kosztują dnia roboczego, a potem 30 minut miesięcznie.
Drobne nawyki, które ratują dużo pieniędzy
Poza technologią są trzy nawyki, które ratują firmy częściej niż jakikolwiek system:
- Przy każdym przelewie powyżej ustalonej kwoty — telefon. Próg ustal sam (5, 10, 20 tysięcy). Telefon do osoby, która go zlecała, pod numer, który masz w bazie, nie pod numer z maila. 30 sekund rozmowy zatrzymuje 100% klasycznych BEC.
- Hover przed klikiem. Najedź myszką na link, zanim klikniesz. Sprawdź, czy domena, do której prowadzi, jest tą, której się spodziewasz. To jeden ruch, którego można nauczyć zespół w 10 minut.
- „Dziwne uczucie" to powód do przerwania. Jeśli mail wywołuje pośpiech, presję, strach albo dyskomfort, to są dokładnie te emocje, na których gra atakujący. Nawyk: zatrzymaj się, zadzwoń, sprawdź. Nigdy nie poniesiesz kosztu zatrzymania się na minutę.
To są banały, ale działają tylko jeśli zespół słyszy je co miesiąc, a nie raz w roku na szkoleniu RODO.
Od czego zacząć
Jeśli prowadzisz 10–50-osobowy MŚP i czytasz to z myślą „kurde, my chyba nie mamy nic z tej listy", to nie panikuj. Zrób w tej kolejności:
- Sprawdź, czy MFA jest włączone na wszystkich skrzynkach służbowych, łącznie z zarządem i kontami współdzielonymi (
biuro@,sekretariat@). Jeśli nie — to jest najpilniejsza rzecz w tym tygodniu. - Spisz na jednej kartce procedurę zmiany numeru rachunku i powieś w księgowości. Jutro.
- W ciągu miesiąca uruchom prostą symulację phishingu — są darmowe narzędzia (Microsoft Attack Simulator wbudowany w M365 Business Premium), są też tanie usługi po 30–80 zł/osoba/miesiąc.
- Po pierwszej symulacji zrób 5-minutową rozmowę z zespołem na luźno: „pokażę wam, po czym poznać, że to było fałszywe". Bez listy nazwisk, bez ośmieszania. Trening, nie egzekucja.
- Po trzech miesiącach zmierz, czy klikalność spada. Jeśli nie — coś jest nie tak z wykonaniem, nie z koncepcją.
Phishing nie znika i nie zniknie. Ale firma, w której zespół wie, czego się spodziewać, i ma jasne procedury na momenty wątpliwości, traci na nim znacznie mniej niż firma, która liczy na to, że „filtr coś wyłapie". Pierwsze, drugie i trzecie zatrzymane oszustwo zwracają inwestycję w ciszy — pieniędzy, których nie straciłeś, nigdy nie zobaczysz na fakturze.
Jeśli chcesz to ułożyć w swojej firmie, ale nie wiesz, od której strony, pomagamy MŚP rozkładać to na czynniki pierwsze regularnie. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
Najsłabszym ogniwem nie jest firewall. Jest zmęczona księgowa w piątek po obiedzie — i tylko nawyk ją obroni.