Ten artykuł jest częścią pillar Cyberbezpieczeństwo danych firmowych.
Typologia zagrożeń: co i jak atakuje
Ransomware — dominujące zagrożenie 2026
Ransomware szyfruje pliki i wymaga okupu za klucz deszyfrujący. W 2026 jest to #1 zagrożenie dla polskich MŚP.
Jak działa:
- Infekcja (zazwyczaj phishing lub podatność VPN/RDP)
- Cisza 2–4 tygodnie — atakujący mapuje sieć, wykrada dane (double extortion)
- Szyfrowanie — w ciągu godzin zaszyfrowane są wszystkie dostępne dyski, w tym kopie zapasowe jeśli są dostępne z sieci
- Żądanie okupu — zazwyczaj w Bitcoinach, kwoty 10 000–500 000 PLN dla MŚP
Double extortion: atakujący najpierw kradnie dane, potem szyfruje. Grozi opublikowaniem danych nawet po zapłacie — to zwiększa presję na ofiarę.
Znane grupy aktywne w Polsce: LockBit (mimo aresztu operatorów w 2024 wciąż aktywna), BlackCat/ALPHV, Cl0p, Royal.
Phishing: brama do systemu
Phishing to nie techniczny atak na oprogramowanie — to atak na człowieka. Pracownik kliknie w link lub otworzy załącznik i nieświadomie instaluje malware lub oddaje dane logowania.
Ewolucja w 2026:
- AI-generated phishing — modele językowe generują spersonalizowane e-maile bez gramatycznych błędów, naśladując styl konkretnego menedżera.
- Voice phishing (vishing) — AI generuje głos osoby, do której ma zaufanie ofiara (CEO fraud przez telefon).
- QR phishing — QR kody w drukowanych materiałach (faktury, ulotki) prowadzą do phishingowych stron.
Trojan: fałszywe oprogramowanie
Trojan podszywa się pod legitymne oprogramowanie. Typowe wektory wejścia:
- Pirackies oprogramowanie z dodatkowym „bonusem”
- Fałszywe aktualizacje (np. „Flash Player update required”)
- Złośliwe załączniki w e-mailu (makra w Wordzie/Excelu, ZIP z PDF.exe)
- Fałszywe aplikacje mobilne (sklepy trzecich stron)
Po instalacji trojan może: kraść dane logowania (banking trojan), otwierać backdoor dla atakującego, pobierać dodatkowe malware (downloader trojan).
Inne typy malware
| Typ | Jak działa | Główne zagrożenie |
|---|---|---|
| Spyware | Zbiera dane o użytkowniku | Kradzież haseł, danych firmowych |
| Keylogger | Rejestruje naciśnięcia klawiszy | Przechwycenie haseł bankowych |
| Rootkit | Ukrywa się głęboko w OS | Trwała, niewidoczna obecność |
| Botnet | Komputer używany do ataków DDoS | Możliwa odpowiedzialność prawna |
| Cryptominer | Używa CPU firmy do minowania kryptowalut | Spowolnienie, rachunki za prąd |
EDR vs. antywirus: kluczowa decyzja 2026
Dlaczego klasyczny antywirus nie wystarcza
Tradycyjne antywirusy działają na zasadzie bazy sygnatur — znają wzorce złośliwego kodu i szukają ich w plikach. Problem: nowe ransomware jest modyfikowane codziennie, a sygnatury nadążają z opóźnieniem 24–48 godzin. W tym czasie komputer jest podatny.
Ponadto: atakujący uczą się unikać sygnatur. „Living off the land” (LotL) to technika używania legalnych narzędzi Windows (PowerShell, WMI, cmd.exe) do złośliwych celów — żadna sygnatura tego nie wykryje, bo narzędzia są legalne.
EDR: nowy standard
EDR (Endpoint Detection and Response) monitoruje zachowanie każdego procesu na komputerze w czasie rzeczywistym:
- Proces nagle zaczyna szyfrować setki plików? Alert. Izolacja.
- Powershell nawiązuje połączenie z nieznaną domeną? Podejrzane. Zablokuj.
- Konto użytkownika loguje się o 3:00 w nocy i próbuje uzyskać dostęp do HR danych? Anomalia. Powiadomienie CISO.
Porównanie:
| Aspekt | Klasyczny antywirus | EDR |
|---|---|---|
| Metoda wykrywania | Sygnatury | Zachowanie + ML |
| Zero-day malware | Nie wykrywa | Wykrywa (zachowanie anomalne) |
| Living-off-the-land | Nie wykrywa | Wykrywa (podejrzane wywołania API) |
| Dane forensyczne | Minimalne | Pełna oś czasu procesu |
| Zdalna izolacja | Nie | Tak (1 klik) |
| Rollback działań malware | Nie | Często tak |
| Koszt (per endpoint/rok) | 120–240 PLN | 240–720 PLN |
Dla polskiej firmy MŚP z 2026 rekomendacja: EDR dla wszystkich endpoint. Dodatkowy koszt jest marginalny w porównaniu do kosztu incydentu.
Polecane rozwiązania EDR dla polskich MŚP
- Microsoft Defender for Endpoint — wliczony w Microsoft 365 Business Premium (ok. 200 PLN/user/miesiąc). Dobry wybór jeśli firma jest w ekosystemie M365.
- ESET PROTECT — polsko znany, dobra polska dokumentacja i wsparcie, kompetytywna cena.
- CrowdStrike Falcon — premium EDR, stosowany w regulowanych branżach, wyższa cena.
- SentinelOne — dobry stosunek cena/jakość dla MŚP.
Jak malware dostaje się do firmy: topowe wektory
1. Phishing e-mail (60% incydentów)
Pracownik otrzymuje e-mail z załącznikiem lub linkiem. Otwiera. Malware zainstalowany.
Obrona:
- Szkolenie pracowników (rozpoznawanie phishingu)
- E-mail gateway z skanem (Microsoft Defender for Office, Proofpoint)
- Sandbox dla załączników
- SPF/DKIM/DMARC na własnej domenie
2. Podatności w VPN/RDP (25% incydentów)
Atakujący skanuje internet w poszukiwaniu podatnych usług RDP (port 3389) lub VPN (Fortinet, Pulse Secure, Citrix). Znana podatność + brak łatki = wejście.
Obrona:
- Natychmiastowe łatanie wszystkich VPN i RDP
- RDP dostępne tylko przez VPN lub ZTNA, nie bezpośrednio na internet
- MFA dla wszystkich VPN połączeń
3. Skompromitowane dane logowania (10% incydentów)
Pracownik używa tego samego hasła w firmowym systemie i na stronie, która miała wyciek (Have I Been Pwned). Atakujący sprawdza wyciekłą bazę danych i loguje się.
Obrona:
- Menedżer haseł firmowy (1Password, Bitwarden)
- Wymuszanie silnych, unikalnych haseł
- MFA dla wszystkich kont
4. Podatne oprogramowanie (5% incydentów)
Stara wersja WordPress, nieaktualizowany plugin, stary PHP, nieaktualizowany CMS — atakujący wykorzystuje znane podatności.
Obrona:
- Automatyczne aktualizacje gdzie możliwe
- Vulnerability scanner (Qualys, Nessus) dla regulowanych firm
- EOL oprogramowanie natychmiast zastąpić
Postępowanie po wykryciu incydentu
Schemat działania krok po kroku
Krok 1: Natychmiastowe odizolowanie (pierwsze 5 minut)
- Wyjmij kabel LAN z zainfekowanego komputera
- Wyłącz Wi-Fi (nie wyłączaj komputera! — logi pamięci RAM mogą być potrzebne)
- Jeśli ransomware aktywne: odizoluj też inne komputery w segmencie sieciowym
Krok 2: Powiadomienie (0–30 minut)
- Powiadom IT/CISO
- Uruchom runbook dla tego scenariusza (musi być przygotowany wcześniej)
- Zaangażuj zewnętrznego specjalistę forensycznego jeśli brak własnych zasobów
Krok 3: Oceń zakres (30–120 minut)
- Ile komputerów jest zainfekowanych?
- Jakie dane zostały dostępne lub zaszyfrowane?
- Czy atakujący ma nadal dostęp do sieci?
- Czy doszło do wycieku danych osobowych?
Krok 4: Decyzja o notyfikacji regulatora
| Jeśli… | Obowiązek |
|---|---|
| Wyciek danych osobowych z ryzykiem dla osób | UODO: powiadomienie w 72h (RODO art. 33) |
| Firma regulowana NIS2 i istotny incydent | CERT Polska: early warning w 24h, szczegóły w 72h |
| Klienci mogą być narażeni na ryzyko | RODO art. 34: powiadomienie klientów bez zbędnej zwłoki |
Krok 5: Odtworzenie (po eradication)
- Odtworzenie z niezmiennych kopii zapasowych
- Weryfikacja integralności przed ponownym uruchomieniem
- Zmiana wszystkich haseł w firmie
- Wdrożenie środków zapobiegających powtórzeniu
Czego NIE robić przy incydencie
- NIE restartuj natychmiast zainfekowanego komputera — dane forensyczne w RAM giną.
- NIE płać okupu bez konsultacji z ekspertem i prawnikiem.
- NIE usuwaj logów — mogą być potrzebne do analizy forensycznej i regulatora.
- NIE informuj publicznie bez konsultacji z PR/prawnikiem — może zaszkodzić dochodzeniu.
Obligatoryjne notyfikacje po incydencie
RODO (ustawa o ochronie danych osobowych / UODO)
Art. 33 RODO: Naruszenie ochrony danych osobowych musi być zgłoszone do UODO w ciągu 72 godzin od stwierdzenia, jeśli może powodować ryzyko naruszenia praw lub wolności osób fizycznych.
Wyjątek: jeśli naruszenie nie powoduje ryzyka — możecie nie informować regulatora, ale musicie to udokumentować.
Art. 34 RODO: Jeśli naruszenie może powodować wysokie ryzyko (np. wyciek danych finansowych, zdrowotnych, dokumentów tożsamości), musicie bez zbędnej zwłoki powiadomić osoby, których dane dotyczą.
NIS2 (ustawa o KSC)
Dla firm regulowanych NIS2:
- Early warning do CERT Polska: 24 godziny
- Szczegółowe zgłoszenie incydentu: 72 godziny
- Raport końcowy: 1 miesiąc
Jak prawidłowo zgłosić incydent do UODO
- Platforma UODO:
https://uodo.gov.pl/pl/p/zgloszenienaruszenia - Formularz online lub e-mail na
kancelaria@uodo.gov.pl - Zawartość zgłoszenia: opis incydentu, kategorie danych, przybliżona liczba osób, środki zaradcze podjęte
Jak Modulario chroni przed malware
Jako ERP w chmurze, Modulario eliminuje kilka kluczowych wektorów ataku:
- Brak lokalnego serwera — nie ma serwera on-premise który można zaszyfrować ransomware.
- Automatyczne kopie zapasowe z immutable storage — atakujący nie może usunąć kopii z cloud ERP.
- Audit log każdej akcji — forensyczna oś czasu przy incydencie gotowa automatycznie.
- 2FA wymuszone administracyjnie — eliminuje credential stuffing.
- EÚ hosting bez US sub-procesorów — zmniejsza ekspozycję na jurysdykcyjne ataki.
Więcej w dokumentacji bezpieczeństwa Modulario.
Często zadawane pytania
Jaka jest różnica między wirusem, malware i ransomware? Malware to termin nadrzędny dla wszelkiego złośliwego oprogramowania. Wirus to specyficzny typ malware, który dołącza się do plików i wymaga działania użytkownika. Ransomware to typ malware, który szyfruje dane i żąda okupu — w 2026 jest to dominujące zagrożenie dla firm. Inne typy: trojan (podszywający się pod legalne oprogramowanie), spyware (kradnie dane), rootkit (ukrywa się w OS), keylogger (przechwytuje klawiaturę).
Czym różni się EDR od klasycznego antywirusa? Klasyczny antywirus rozpoznaje zagrożenia na podstawie sygnatur (znanych wirusów z bazy danych). EDR (Endpoint Detection and Response) monitoruje zachowanie systemu w czasie rzeczywistym i wykrywa anomalie nawet nowych, nieznanych zagrożeń. EDR dodatkowo: umożliwia zdalną izolację komputera jednym kliknięciem, dostarcza pełne dane forensyczne po incydencie, pozwala cofnąć działania malware. Cena EDR jest 2–3× wyższa niż antywirusa, ale w 2026 jest standardem dla firm z cennymi danymi.
Co zrobić gdy znajdziemy malware na komputerze firmowym? Pięć kroków w kolejności: (1) Natychmiast odłącz komputer od sieci (wyjmij kabel LAN, wyłącz Wi-Fi) — zatrzymaj rozprzestrzenianie. (2) NIE wyłączaj komputera — dane forensyczne mogą być potrzebne. (3) Powiadom IT/CISO — uruchom plan reagowania na incydenty. (4) Sprawdź zakres — czy inne komputery też mają problem? (5) Oceń dane — czy doszło do wycieku danych osobowych? Jeśli tak, masz obowiązek powiadomienia UODO w ciągu 72 godzin.
Czy warto płacić okup przy ataku ransomware? Zdecydowanie nie zalecamy. Powody: (1) 65% firm które zapłaciły nie dostało działającego klucza deszyfrującego, (2) płacenie finansuje przyszłe ataki, (3) zapłata może naruszać sankcje (atakujące grupy mogą być objęte sankcjami UE/USA), (4) firma która zapłaciła zostaje oznaczona jako „płatnik” i staje się celem kolejnych ataków. Lepsza inwestycja: niezmienne kopie zapasowe z których można odtworzyć dane bez klucza.