Większość udanych ataków na małe firmy nie zaczyna się od hakera przed czarnym ekranem, lecz od niewinnie wyglądającej wiadomości w skrzynce odbiorczej. Obsługując skutki udanego ataku, widziałem, ile może kosztować jedno kliknięcie. Ten przewodnik pokazuje najczęstsze metody oszustw w codziennej pracy biura i czyni Twój zespół pierwszą linią obrony.
Typowe sygnały ostrzegawcze
- Presja czasu i groźby: 'Twoje konto zostanie zablokowane w ciągu 24 godzin' albo 'Ostateczne wezwanie przed windykacją'.
- Adres nadawcy, który zgadza się tylko prawie: faktura@paypa1.com zamiast paypal.com albo obcy adres ukryty za znajomą nazwą wyświetlaną.
- Nieoczekiwane załączniki – zwłaszcza pliki ZIP, ISO, HTML lub dokumenty Office proszące o włączenie zawartości.
- Linki, których rzeczywisty cel nie pasuje do wyświetlanego tekstu (najedź kursorem przed kliknięciem).
- Nietypowe prośby z powołaniem na poufność lub z pominięciem zwykłej ścieżki akceptacji: pilny przelew, zmiana numeru konta albo szybkie przesłanie danych.
Chcesz zająć się tym w swojej firmie?
Napisz krótko albo zadzwoń. Odezwę się w dni robocze w ciągu 24 godzin.
Dlaczego współczesny phishing jest tak przekonujący
Błędy językowe i literówki jako znak rozpoznawczy to przeszłość. Dzięki modelom językowym atakujący piszą dziś bezbłędnie, kopiują prawdziwe stopki mailowe i wykorzystują informacje ze strony firmowej, mediów społecznościowych lub wcześniejszych wycieków u kontrahentów.
Do tego dochodzi tzw. quishing (phishing przez kody QR): w wiadomości nie ma już podejrzanego linku, który mógłby zablokować filtr na komputerze, lecz kod QR – np. do rzekomej weryfikacji Microsoft 365 albo odbioru paczki. Zeskanowanie go smartfonem przenosi atak poza zabezpieczenia komputerów biurowych prosto na fałszywą stronę logowania.
Trzy schematy, które najczęściej uderzają w małe firmy
- Fałszywe faktury i podmieniony numer konta (IBAN): skrzynka prawdziwego dostawcy zostaje przejęta albo podrobiona łudząco podobną domeną, po czym przychodzi znana faktura z informacją o zmianie rachunku bankowego.
- Fałszywe powiadomienia z Microsoft 365 i OneDrive: wiadomość informuje, że 'Ktoś udostępnił Ci dokument' albo 'Twoje hasło wygasa dzisiaj'. Strona logowania wygląda identycznie jak oryginał i jako pośrednik (Adversary-in-the-Middle) potrafi przechwycić nie tylko hasło, ale też kod drugiego składnika.
- Oszustwo na szefa (CEO fraud): krótka wiadomość rzekomo od zarządu – często napisana jak z telefonu ('Jestem na spotkaniu, załatw to pilnie') – prosi księgowość o natychmiastowy przelew albo wydanie danych pracowników lub klientów.
Checklista na wypadek podejrzanej wiadomości
- Nie klikaj, nie skanuj kodów QR, nie pobieraj załączników, nie odpowiadaj na wiadomość.
- Zweryfikuj nadawcę drugim kanałem – zawsze dzwoń na numer z własnej książki adresowej, nigdy na numer podany w podejrzanym e-mailu.
- Przy zmianie numeru konta bankowego lub nietypowym zleceniu płatności bez wyjątku stosuj zasadę dwóch par oczu i potwierdzenie telefoniczne.
- Zgłoś wiadomość wewnętrznie, aby od razu ostrzec współpracowników.
- Jeśli ktoś jednak kliknął lub wpisał hasło: natychmiast poinformuj IT, zmień hasło, wyloguj aktywne sesje i w razie wątpliwości odłącz urządzenie od sieci. Szybkie zgłoszenie ogranicza szkody – obwinianie sprawia tylko, że następny incydent zostanie przemilczany.
Techniczna siatka bezpieczeństwa w tle
Czujny zespół to pierwsza linia, porządna konfiguracja techniczna to druga: uwierzytelnianie dwuskładnikowe i odporne na phishing metody logowania chronią konta, rekordy SPF, DKIM i DMARC w DNS utrudniają podszywanie się pod Twoją domenę, a uporządkowane uprawnienia bez lokalnych praw administratora sprawiają, że otwarty załącznik nie zainfekuje od razu całej sieci.
Jak Twoja firma wypada dziś pod kątem ochrony poczty, dostępów i procedur awaryjnych, sprawdzisz w około dwie minuty w bezpłatnym teście bezpieczeństwa IT.
Odporność na phishing bierze się z rutyny: krótkich szkoleń na prawdziwych przykładach, jasnych zasad akceptacji przelewów i dobrze zabezpieczonej poczty. Pomagam w jednym i drugim – bezpieczeństwo IT i szkolenia dla zespołów bez straszenia i z prostymi zasadami na co dzień.