Pracownik klika w link z maila. Chwilę później loguje się do fałszywej strony banku firmowego, podaje hasło i kod SMS. Pieniądze znikają, zanim IT zdąży zareagować. To nie scenariusz z filmu, to opis rzeczywistego ataku phishingowego, który przytrafia się polskim firmom każdego tygodnia.
Phishing odpowiada za zdecydowaną większość incydentów bezpieczeństwa w organizacjach na całym świecie. Mimo to wiele firm traktuje go jak problem „klienta indywidualnego”, a nie realne ryzyko biznesowe. To błąd, który kosztuje finansowo, reputacyjnie i coraz częściej prawnie, w kontekście wymagań dyrektywy NIS2.
Ten artykuł wyjaśnia, czym jest phishing, jak wygląda atak krok po kroku, jakie są jego odmiany i co ważniejsze co firma powinna zrobić, żeby nie stać się kolejną ofiarą. Bez zbędnego żargonu, z przykładami bliskimi realiom polskich organizacji.
Co to jest phishing?
Phishing to atak socjotechniczny, w którym przestępca podszywa się pod zaufaną osobę lub instytucję, żeby skłonić ofiarę do ujawnienia danych, kliknięcia złośliwego linku lub przelania pieniędzy. Nazwa pochodzi od angielskiego „fishing” – dosłownie: łowienie na przynętę.
Kluczowa różnica między phishingiem a włamaniem technicznym: atakujący nie przebija się przez firewall ani nie łamie szyfrowania. On pyta. I czeka, aż ofiara sama otworzy drzwi bo myśli, że po drugiej stronie stoi ktoś zaufany. Właśnie dlatego antywirus ani firewall nie wystarczą. Phishing omija zabezpieczenia techniczne, bo uderza w człowieka, nie w system.
Jak działa atak phishingowy krok po kroku
Phishing nie jest przypadkowy, każdy skuteczny atak ma strukturę. Zrozumienie mechanizmu pozwala go rozpoznać i zatrzymać przed wyrządzeniem szkód.
Krok 1: Rozpoznanie celu
Atakujący zbiera informacje o firmie i pracownikach. Źródłami są LinkedIn, strona firmowa, media społecznościowe oraz wycieki danych z poprzednich incydentów. W przypadku ataków ukierunkowanych przestępca wie, kto jest dyrektorem finansowym, kto obsługuje przelewy i jakich partnerów ma firma.
Krok 2: Przygotowanie przynęty
Powstaje fałszywa wiadomość e-mail, SMS lub strona internetowa. Wygląda jak komunikacja od banku, kuriera, operatora chmury, współpracownika lub prezesa firmy. Domena może różnić się jedną literą od prawdziwej (np. faktura@dream1team.pl zamiast faktura@dreamiteam.pl). Logo, stopka, ton, wszystko skopiowane z oryginału.
Krok 3: Wysyłka i presja czasu
Wiadomość trafia do ofiary z elementem pilności: „Twoje konto zostanie zablokowane w ciągu 24 godzin”, „Faktura do zapłaty – termin dzisiaj”, „Prześlij dane dostępowe przed spotkaniem”. Presja czasu wyłącza krytyczne myślenie, a ofiara reaguje odruchowo.
Krok 4: Działanie ofiary
Pracownik klika link, loguje się na fałszywej stronie lub pobiera załącznik z malware. W tym momencie atakujący zyskuje dane logowania, dostęp do systemu lub możliwość instalacji oprogramowania szpiegującego albo ransomware.
Krok 5: Eksploatacja
Zdobyte dane trafiają do atakującego w czasie rzeczywistym. W zależności od celu: następuje kradzież środków, przejęcie kont pocztowych, zaszyfrowanie danych lub długotrwałe szpiegowanie sieci firmowej.
Rodzaje phishingu – co grozi firmom w praktyce
Phishing to nie jeden schemat, lecz rodzina technik. Każda wygląda inaczej i wymaga innej reakcji.
Spear phishing – atak ukierunkowany
Najgroźniejsza odmiana. Przestępca nie wysyła masowej kampanii tylko pisze do konkretnej osoby, używając jej imienia, nazwy firmy i nazw współpracowników. Skuteczność spear phishingu jest wielokrotnie wyższa niż ataku masowego. Najczęstsze cele: dyrektorzy finansowi, księgowe, asystenci zarządu, osoby z dostępem do systemów ERP lub bankowych.
Whaling – gdy celem jest zarząd
Odmiana spear phishingu wymierzona bezpośrednio w kadrę kierowniczą (CEO, CFO, właściciel). Atakujący wie, że prezes autoryzuje przelewy, podpisuje umowy i zatwierdza wyjątki od procedur. Wiadomość może być sfabrykowanym mailem od prawnika, inwestora lub organu regulacyjnego.
Smishing – phishing przez SMS
SMS od „kuriera”, „urzędu skarbowego” lub „banku” z linkiem do fałszywej strony. Szczególnie niebezpieczny, gdy pracownicy używają prywatnych telefonów do celów służbowych (BYOD) bez odpowiednich zabezpieczeń.
Vishing – phishing głosowy
Telefon od osoby podającej się za pracownika banku, IT helpdesku lub organu rządowego. Atakujący prosi o podanie hasła, kodu autoryzacyjnego lub wykonanie przelewu. Technika coraz częściej wspierana przez narzędzia AI zdolne do klonowania głosu.
Business Email Compromise (BEC)
Atakujący przejmuje lub podszywa się pod konto e-mail prezesa, dyrektora lub partnera biznesowego i wydaje polecenie przelewu. Nie ma złośliwego linku ani załącznika, jest tylko prośba. BEC to jeden z najbardziej kosztownych rodzajów cyberprzestępczości dla firm na świecie.
Dlaczego firmy są częstszym celem niż osoby prywatne
Phishing może dotknąć każdego, ale przestępcy preferują firmy z trzech powodów:
- Wyższy potencjalny zysk. Konto firmowe, system ERP lub dostęp do bazy klientów warte są wielokrotnie więcej niż dane osoby prywatnej.
- Większa liczba punktów wejścia. Im więcej pracowników, tym więcej potencjalnych ofiar. Wystarczy, że jedna osoba kliknie.
- Zaufanie wewnętrzne. Pracownicy są przyzwyczajeni do wykonywania poleceń przełożonych i reagowania na wiadomości od dostawców. Atakujący to wykorzystuje.
Firmy przechowują też dane o wartości wtórnej: dane klientów, dokumenty kontraktowe, własność intelektualną. Wyciek tych danych to nie tylko strata finansowa, to potencjalna odpowiedzialność prawna wynikająca z RODO i, w przypadku podmiotów objętych regulacją, z wymagań dyrektywy NIS2.
Jak rozpoznać phishing – sygnały ostrzegawcze w firmowych wiadomościach
Nie każdy phishing jest oczywisty. Poniższe sygnały, jeśli pracownik je zna pozwalają zatrzymać atak, zanim dojdzie do szkody.
Sygnały w treści wiadomości
- Presja czasu i pilność: „natychmiast”, „dzisiaj”, „w ciągu godziny”
- Prośba o dane logowania, hasło, kod SMS lub autoryzację przelewu przez e-mail
- Prośba o utrzymanie wiadomości w tajemnicy lub pominięcie standardowej procedury
- Nieoczekiwana zmiana numeru konta bankowego dostawcy lub partnera
- Wiadomość z błędami gramatycznymi lub nienaturalnym sformułowaniem
Sygnały techniczne
- Adres nadawcy różniący się jedną literą od prawdziwego (np.
biuro@dreamiteam.comzamiastbiuro@dreamiteam.pl) - Link prowadzący do domeny niezwiązanej z nadawcą – sprawdź najechaniem kursora bez klikania
- Załącznik z rozszerzeniem .exe, .js, .zip z hasłem lub .docm (makra)
- Brak podpisu cyfrowego w wiadomości od instytucji finansowej lub prawnika
Sygnały kontekstowe
- Wiadomość od „prezesa” wysłana z prywatnego konta Gmail lub Hotmail
- Faktura od dostawcy, z którym nie ma aktywnej współpracy
- Prośba o działanie poza standardowym systemem: „wyślij na mój prywatny e-mail”
- Telefon od „helpdesku IT” proszący o hasło lub zdalny dostęp
Co zrobić, gdy pracownik kliknie w phishing – procedura reakcji
Kliknięcie zdarza się w każdej firmie. Liczy się czas reakcji i to, czy organizacja ma procedurę gotową z wyprzedzeniem, czy improwizuje pod presją.
- Natychmiastowe odłączenie urządzenia od sieci. Wyłącz Wi-Fi i odłącz kabel sieciowy. Nie wyłączaj komputera, może to utrudnić analizę forensyczną.
- Zmiana haseł z innego, bezpiecznego urządzenia. Priorytet: konto e-mail, systemy biznesowe, bankowość firmowa. Sprawdź też, czy nie zmieniono ustawień MFA.
- Zgłoszenie do działu IT lub zewnętrznego dostawcy IT. Im szybciej, tym mniejsze szkody. Nie czekaj na „sprawdzenie po cichu”.
- Powiadomienie przełożonego i ewentualnie banku. Jeśli wiadomość dotyczyła finansów, natychmiast skontaktuj się z bankiem i zablokuj podejrzane transakcje.
- Analiza zakresu incydentu. IT ustala, co było celem ataku, czy doszło do wycieku danych i jakie systemy mogły być narażone.
- Dokumentacja i raportowanie. Zgodnie z wymaganiami NIS2 i RODO incydenty dotyczące danych osobowych lub systemów kluczowych wymagają udokumentowania. Podmioty objęte NIS2 mogą mieć obowiązek zgłoszenia incydentu do CSIRT w określonych terminach.
Brak procedury reagowania na incydenty to jedno z najczęściej stwierdzanych uchybień podczas audytu zgodności z NIS2. Dyrektywa wprost wymaga udokumentowanego procesu obsługi incydentów, brak go oznacza realne ryzyko kary.
Phishing a NIS2 – co firma musi mieć, żeby być zgodna
Phishing jest nie tylko zagrożeniem operacyjnym – to obszar objęty regulacją. Dyrektywa NIS2 (UE 2022/2555), wdrożona w Polsce przez znowelizowaną ustawę o Krajowym Systemie Cyberbezpieczeństwa, nakłada na firmy konkretne obowiązki bezpośrednio związane z ryzykiem phishingu:
- Zarządzanie ryzykiem IT – firma musi udokumentować proces identyfikacji zagrożeń, w tym ataków socjotechnicznych.
- Szkolenia pracowników – NIS2 wymaga regularnych szkoleń z cyberbezpieczeństwa. Rozpoznawanie phishingu to element absolutnie podstawowy.
- Procedury reagowania na incydenty – udokumentowany plan obsługi incydentów, w tym phishingowych, to wymóg, nie opcja.
- Uwierzytelnianie wieloskładnikowe (MFA) – wymagane dla dostępu do systemów krytycznych; skutecznie ogranicza szkody ataku, nawet jeśli pracownik ujawni hasło.
- Zgłaszanie incydentów – podmioty kluczowe i ważne mają obowiązek raportowania poważnych incydentów do CSIRT w ustawowych terminach.
Jeśli nie wiesz jeszcze, czy Twoja firma podlega NIS2, sprawdź artykuł o tym, jak NIS2 wpłynie na Twój biznes. Jeśli wiesz już, że podlegasz- kolejnym krokiem jest weryfikacja, czy Twoja organizacja spełnia powyższe wymagania.
Nie wiesz, od czego zacząć? Zamów bezpłatną konsultację z ekspertem DreamITeam. Sprawdzimy, które obszary wymagają pilnej uwagi i przygotujemy plan działania dopasowany do Twojej firmy. Dowiedz się więcej o audycie NIS2 →