Rozwój technologii oraz nasilona aktywność cyberprzestępców sprawiają, że dziś żadna firma nie jest w pełni bezpieczna od ataków. Z raportu KPMG wynika, że w 2024 roku ofiarą przynajmniej jednej próby cyberataku padło aż 83% polskich przedsiębiorstw. Co więcej, 74% firm w Polsce doświadczyło incydentu naruszenia bezpieczeństwa, a 8 na 10 deklaruje gotowość zapłaty okupu w razie ataku ransomware . Te statystyki pokazują skalę problemu. Aby jednak skutecznie bronić się przed atakami, firmy muszą zrozumieć, w jaki sposób dochodzi do incydentu, czyli gdzie znajdują się najsłabsze ogniwa ich zabezpieczeń. Omawiamy pięć najczęstszych przyczyn, z powodu których systemy komputerowe w firmach padają ofiarą złośliwego oprogramowania. Świadomość tych czynników to pierwszy krok, by im przeciwdziałać.

1. Ataki socjotechniczne (phishing)

Nie bez powodu mówi się, że najsłabszym elementem bezpieczeństwa jest człowiek. Phishing i inne ataki socjotechniczne to najczęstsza przyczyna incydentów, ponieważ celują w naiwność lub pośpiech pracowników. Najczęściej pracownik otrzymuje e-maila udającego korespondencję od zaufanego partnera lub szefa z załącznikiem zawierającym rzekomo ważny dokument. Otwiera go, nieświadomie uruchamiając malware, które infekuje komputer, a nierzadko całe firmowe środowisko. CERT Polska podaje w corocznym raporcie, że w 2024 roku w naszym kraju najczęściej zgłaszanym przez firmy incydentem był właśnie phishing, co czyni go najpowszechniejszym typem ataków. Phishing jest tak skuteczny, ponieważ omija techniczne zabezpieczenia, uderzając bezpośrednio w psychologię człowieka – wzbudza zaufanie (podszywając się pod kogoś znajomego) lub strach i pilność (np. fałszywe alarmy dotyczące faktur czy bezpieczeństwa konta). Najlepszą obroną przed phishingiem jest świadomość i szkolenia. Firmy, które regularnie edukują personel, organizują testy phishingowe i wdrażają procedury weryfikacji komunikatów (np. potwierdzanie telefoniczne poleceń przelewu), potrafią znacząco ograniczyć skuteczność takich ataków.

2. Niezałatane luki w oprogramowaniu

Drugim częstym powodem infekcji firmowych systemów są podatności w oprogramowaniu, które pozostają nieusunięte z powodu braku aktualizacji. Firmy korzystają z wielu aplikacji, serwerów i urządzeń sieciowych – każde z nich może zawierać błędy programistyczne (luki bezpieczeństwa). Gdy producent wypuszcza aktualizację z łatką, powinniśmy niezwłocznie ją zastosować. Jeśli tego nie zrobimy, atakujący mogą wykorzystać znaną podatność, aby wejść do naszego systemu. Przykłady takich ataków są liczne: fale ransomware wykorzystujące lukę ProxyShell w Microsoft Exchange (wiele polskich firm padło ofiarą tych ataków w latach 2021-2022), włamania przez niezałataną krytyczną podatność Log4Shell w popularnej bibliotece logowania Java czy włamania do urządzeń sieciowych z powodu starych firmware’ów. W każdym z tych przypadków patch z łatką dostępny był od tygodni lub miesięcy. Niestety, w wielu firmach nie został wgrany na czas. Skąd biorą się opóźnienia w aktualizacjach? Często z obawy przed przestojem (firmy boją się, że update „zepsuje” działający system), z braku zasobów (małe zespoły IT nie nadążają z łatkami) lub po prostu z zaniedbania i przekonania „nas to nie dotyczy”. Tymczasem koszt przerwy na aktualizację jest nieporównywalnie mniejszy od kosztu poważnego ataku. Nieaktualne oprogramowanie to otwarte drzwi dla malware. Należy je zamykać najszybciej jak to możliwe.

3. Słabe hasła i brak uwierzytelniania wieloskładnikowego

Trzecia częsta przyczyna infekcji to niewłaściwe zabezpieczenia kont i dostępów – głównie przez słabe, powtarzane hasła oraz brak dodatkowych mechanizmów uwierzytelnienia. Cyberprzestępcy nieraz nie muszą włamywać się w tradycyjny sposób, jeśli są w stanie po prostu zalogować się na konto administracyjne z użyciem wykradzionych lub łatwych do odgadnięcia danych logowania. Według analizy KPMG, wykorzystanie skradzionych danych logowania stanowiło jedną z najczęstszych przyczyn skutecznych włamań w 2024 roku do firmowych systemów [4]. To pokazuje skalę problemu z hasłami. Dlaczego to wciąż działa? Przede wszystkim, ludzie mają skłonność do używania prostych haseł (dla wygody) i do używania tego samego hasła w wielu miejscach. Jeśli takie hasło wycieknie z jednego serwisu, atakujący próbują go użyć gdzie indziej (technika credential stuffing). Do tego dochodzą ataki password spraying, w których napastnicy wybierają jedno popularne hasło i próbują logować się nim na masowe liczby kont, licząc, że któreś używa właśnie tego hasła. To zaskakująco skuteczne podejście. Brak uwierzytelniania wieloskładnikowego (MFA) dodatkowo ułatwia sprawę przestępcom. Rozwiązaniem jest polityka silnych haseł (wymuszanie długości i złożoności, okresowa zmiana lub – lepiej – przejście na hasła zdaniowe, które są długie i unikalne) oraz wdrożenie wieloskładnikowego logowania wszędzie tam, gdzie to możliwe.

4. Niezabezpieczony zdalny dostęp i usługi wystawione do internetu

Wiele firm, zwłaszcza w dobie pracy zdalnej, wystawia swoje systemy na zewnątrz, np. poprzez serwer pocztowy, systemy zdalnego pulpitu (RDP) czy chociażby poprzez panele administracyjne różnych usług. Jeśli te punkty dostępu nie są odpowiednio chronione, stają się łatwym celem ataku. Na przykład protokół RDP nasłuchujący na standardowym porcie, dostępny z całego internetu, z prostym hasłem to niemal zaproszenie dla cyberprzestępców. Boty skanujące sieć szybko znajdują taki serwer, a następnie spróbują go przejąć metodą brute force lub wykorzystując błąd w protokole. W ten sposób doszło do niezliczonych ataków ransomware na firmy na całym świecie. Także niezabezpieczone bazy danych, serwery plików, usługi chmurowe czy urządzenia IoT wystawione do sieci mogą stać się celem ataku. Zdarzały się ataki, gdzie włamywano się do firmy przez przejęcie źle skonfigurowanej kamery monitoringu czy drukarki sieciowej dostępnej zdalnie. Jak temu przeciwdziałać? Przede wszystkim udostępniać online tylko to, co absolutnie konieczne. Jeśli już coś musi być dostępne, to:

• Stosować VPN – dostęp zdalny do zasobów powinien odbywać się przez bezpieczne połączenie VPN z uwierzytelnieniem.
• Filtrować po IP – ograniczyć, kto z jakich adresów może się łączyć z daną usługą.
• MFA i silne hasła – obowiązkowo włączyć 2FA na dostępach zdalnych i pilnować jakości haseł.
• Hardening usług – zmienić domyślne porty, wyłączyć nieużywane funkcje, włączyć wykrywanie nietypowej aktywności.

5. Błędy konfiguracyjne i brak monitoringu bezpieczeństwa

Piąta z głównych przyczyn infekcji to szeroko pojęte zaniedbania w konfiguracji i nadzorze infrastruktury. Obejmują one sytuacje, gdy firma posiada co prawda pewne zabezpieczenia, ale są one źle ustawione lub nikt nie kontroluje, co się w sieci dzieje. Przykłady takich błędów to:

• niezabezpieczone hasłem bądź słabo chronione konto administratora (np. zostawienie domyślnego loginu „admin” i hasła fabrycznego w urządzeniu sieciowym);
• brak segmentacji sieci (wszystkie urządzenia w jednej sieci bez podziału na strefy – umożliwia to swobodne rozprzestrzenianie się malware, gdy już się dostanie do środka);
• wyłączone istotne funkcje bezpieczeństwa.

Równie istotny jest brak monitoringu. Jeśli firma nie śledzi zdarzeń w swoich systemach, atak może trwać tygodniami, zanim zostanie odkryty. Organizacje często zaniedbują też testy bezpieczeństwa – nie przeprowadzają okresowych pentestów ani audytów konfiguracji. W efekcie błędy konfiguracyjne mogą latami pozostawać w systemie, aż znajdzie je przypadkiem atakujący. Konieczne jest m.in. wdrażanie polityki konfiguracji oraz stałe monitorowanie środowiska IT w firmie.

6. Brak polisy Cyber

Brak ubezpieczenia Cyber stanowi istotną lukę w zarządzaniu ryzykiem cybernetycznym w firmie i znacząco zwiększa skutki incydentów bezpieczeństwa IT. W przypadku infekcji systemów komputerowych przedsiębiorstwo bez polisy Cyber samodzielnie ponosi koszty odzyskiwania danych, usuwania złośliwego oprogramowania oraz przestojów operacyjnych. Ubezpieczenie Cyber pozwala ograniczyć finansowe konsekwencje ataków takich jak ransomware, phishing czy naruszenie danych osobowych. Bez odpowiedniej ochrony firma narażona jest również na koszty obsługi prawnej i potencjalne kary administracyjne związane z RODO. Oferta Ochrona Cyber dostępna za pośrednictwem KG Broker Sp. z o.o. umożliwia objęcie ochroną zarówno strat finansowych, jak i kosztów wsparcia specjalistów IT. Brak takiej polisy wydłuża czas reakcji na incydent i utrudnia szybkie przywrócenie ciągłości działania. Włączenie ubezpieczenia Cyber do strategii bezpieczeństwa IT zwiększa odporność firmy na coraz częstsze i bardziej zaawansowane cyberzagrożenia.

Podsumowanie

Receptą na opisane w tym artykule problemy jest dobry ład bezpieczeństwa (governance) w firmie: posiadanie jasno zdefiniowanej polityki (co wolno, czego nie wolno w konfiguracji), checklisty bezpieczeństwa przy wdrażaniu nowych systemów, regularne przeglądy ustawień i aktualna dokumentacja sieci. Ponadto warto zainwestować w narzędzia monitorujące (od systemowych logów po zaawansowane rozwiązania XDR/EDR) i wyznaczyć osoby odpowiedzialne za reagowanie na incydenty. Nawet proste kroki, jak codzienne zerknięcie na alerty antywirusa czy raporty z firewalla, mogą dać sygnał ostrzegawczy, zanim dojdzie do katastrofy. Firma, która zna stan swojego bezpieczeństwa (wie, co dzieje się w sieci, gdzie są ryzyka) ma dużo większe szanse na powstrzymanie ataku w porę.

FAQ

Który z czynników jest obecnie odpowiedzialny za najwięcej ataków na firmy?

Statystyki i doświadczenia służb bezpieczeństwa wskazują, że wciąż dominują atakujące człowieka metody, czyli socjotechnika. Mówiąc wprost – phishing i jego odmiany są najczęstszym punktem wyjścia ataków. To przez błąd lub nieuwagę człowieka malware najczęściej trafia do sieci firmowej.

Czy małe i średnie firmy są równie zagrożone atakami, co duże korporacje?

Niestety tak, a w pewnych aspektach nawet bardziej. Hakerzy często wybierają cele nie po wielkości przychodu, ale po słabości zabezpieczeń. Duże korporacje mają zwykle rozbudowane działy cybersecurity i zaawansowane systemy ochrony, więc dla przestępców łatwiejszym łupem bywają MŚP.