1. Dlaczego akurat teraz
Audyt bezpieczeństwa IT dla firm rzadko odkrywa wyrafinowane ataki. Znacznie częściej wychodzą te same, dość przyziemne luki. Skrzynka bez drugiego składnika logowania. Komputer, który od roku nie widział aktualizacji. Kopia zapasowa, której nikt nigdy nie próbował odtworzyć. Przelew na nowy numer konta zlecony jednym mailem. W tym artykule przechodzę przez najczęstsze luki bezpieczeństwa w małych firmach, takie, jak wyglądają jesienią 2026, i przy każdej podpowiadam, co da się poprawić bez dużego budżetu.
Dlaczego piszę o tym właśnie teraz? Powody są trzy. Pierwszy to kalendarz. Koniec roku to dużo faktur, dużo przesyłek i pośpiech przed świętami, a oszuści dobrze o tym wiedzą. Drugi to KSeF. Od 1 stycznia 2027 obowiązek obejmie także najmniejsze firmy, a każda nowa, jeszcze nieoswojona procedura to wygodny pretekst dla przestępców. Trzeci to budżet. Właśnie teraz większość właścicieli planuje wydatki na 2027 rok, więc to dobry moment, żeby wpisać do planu kilka poprawek, które naprawdę zmniejszają ryzyko.
Skala problemu nie jest teoretyczna. Według raportu rocznego CERT Polska za 2025 rok zespół zarejestrował 260 783 incydenty, o 152% więcej niż rok wcześniej. Aż 97% z nich to oszustwa komputerowe, a sam phishing odpowiadał za 30% wszystkich incydentów.
2. Poczta i phishing pisany przez AI
Zacznę od skrzynki pocztowej, bo to nadal główne wejście dla atakujących. ENISA w raporcie Threat Landscape 2025 wskazuje phishing (razem z wyłudzeniami telefonicznymi i złośliwą reklamą) jako źródło około 60% obserwowanych włamań w Unii.
Przez lata uczyliśmy pracowników, że fałszywego maila poznaje się po błędach językowych i dziwnej polszczyźnie. Ta rada się zestarzała. Microsoft w raporcie Digital Defense Report 2025 opisuje, że napastnicy używają AI do automatyzacji phishingu i socjotechniki na dużą skalę. Mail od „kontrahenta” jest dziś napisany poprawnie, uprzejmie i w tonie, którego ten kontrahent faktycznie używa.
Do tego dochodzi KSeF. W kwietniu CERT Polska w komunikacie „Fałszywa faktura, prawdziwe zagrożenie” opisał kampanię wymierzoną w użytkowników KSeF. Wiadomości informowały o nowej fakturze w systemie, a link prowadził do pobrania złośliwego oprogramowania. Zalecenie CERT jest proste i warto je powtórzyć wszystkim w firmie. Faktury z KSeF pobierasz wyłącznie po samodzielnym zalogowaniu do systemu, nigdy z linku w mailu. Jeśli dopiero porządkujesz obieg faktur przed styczniem, więcej piszę o tym w artykule o KSeF od 2027 i automatyzacji pracy biurowej.
Przed świętami dochodzą klasyki. Ten sam raport CERT Polska wymienia podszywanie się pod firmy kurierskie, szczególnie InPost i Pocztę Polską, oraz fałszywe „zwroty podatku” jako jedne z najczęstszych scenariuszy. Fałszywe maile o problemie z doręczeniem miały załącznik, który instalował program kradnący hasła do poczty. W firmie, gdzie w grudniu wszyscy czekają na paczki, taki mail ma naprawdę dużą szansę zadziałać.
Co z tym zrobić? Filtr antyspamowy i ochrona stacji roboczych to podstawa, ale nie wystarczą. Najlepiej działa krótka rozmowa z zespołem o trzech konkretnych scenariuszach (faktura z KSeF, kurier, zwrot podatku) i jasna zasada, że podejrzany mail się zgłasza, a nie klika „żeby sprawdzić”.
3. Hasła bez drugiego składnika logowania
Jeśli miałbym wskazać jedną poprawkę o najlepszym stosunku efektu do wysiłku, byłoby to uwierzytelnianie wieloskładnikowe (MFA). Według badania Microsoft Research MFA zmniejsza ryzyko przejęcia konta o 99,22%, a przy kontach, których hasła już wyciekły, o 98,56%.
Najgroźniejsza sytuacja w małych firmach to zdalny dostęp bez MFA. CERT Polska pisze, że w większości ataków ransomware z 2025 roku, w których dało się ustalić sposób wejścia, napastnicy dostali się przez usługi zdalnego dostępu bez uwierzytelniania dwuskładnikowego. W 46 incydentach ofiara miała pulpit zdalny (RDP) wystawiony prosto do internetu, a w dwóch przypadkach od wystawienia usługi do infekcji minęło mniej niż dwa tygodnie.
Jedno szczere zastrzeżenie. MFA nie jest magicznym przełącznikiem. Sophos w raporcie State of Ransomware 2026 zauważa, że wśród ofiar, które straciły dane przez przejęte poświadczenia, 97% miało w jakimś zakresie wdrożone MFA. W praktyce oznacza to zwykle, że drugi składnik chronił pocztę, ale już nie VPN, panel administracyjny albo stare konto serwisowe. Dlatego przy przeglądzie sprawdzam nie to, czy firma „ma MFA”, tylko gdzie go nie ma.
Druga strona tego samego problemu to hasła współdzielone przez kilka osób i zapisane w arkuszu. Jak to uporządkować bez rewolucji, opisałem w artykule o menedżerze haseł w firmie.
4. Systemy i sprzęt bez aktualizacji
Według Verizon Data Breach Investigations Report 2025 wykorzystanie podatności jako sposób wejścia do firmy urosło do 20% naruszeń. To luki, na które zwykle od dawna istnieje poprawka. Brakuje tylko kogoś, kto ją zainstaluje.
Szczególny przypadek to komputery z Windows 10. Microsoft zakończył wsparcie tego systemu 14 października 2025, więc od roku nie dostaje on zwykłych poprawek bezpieczeństwa. Firmy mogą wykupić płatne rozszerzone aktualizacje (ESU), w pierwszym roku za 61 USD na urządzenie, ale cena co roku się podwaja, a program kończy się najpóźniej w październiku 2028. To rozwiązanie przejściowe, nie plan. Jeśli w firmie wciąż pracują komputery z Windows 10, wymiana albo aktualizacja to dobry kandydat do budżetu na 2027. Więcej o tym, dlaczego nie warto odkładać aktualizacji, piszę w artykule o aktualizacjach systemów w firmie.
Warto pamiętać, że aktualizacje to nie tylko Windows. Router, drukarka sieciowa, serwer NAS i wtyczki na firmowej stronie też mają oprogramowanie, a o nich zapomina się najczęściej.
5. Kopia zapasowa, której nikt nie sprawdził
Wiele firm deklaruje, że „ma backup”. Dużo rzadziej ktoś potrafi powiedzieć, kiedy ostatnio z niego cokolwiek odtworzył.
Dane pokazują, że to nie jest teoretyczny problem. Według Verizon DBIR 2025 w zestawieniu dla małych i średnich firm ransomware pojawia się w 88% naruszeń w MŚP, podczas gdy w dużych organizacjach w 39%. Sophos w raporcie State of Ransomware 2026 podaje, że firmy, których dane zostały zaszyfrowane, odtworzyły je z kopii zapasowej w 66% przypadków. Czyli co trzecia firma nie mogła albo nie zdążyła na kopii polegać.
Atakujący dobrze wiedzą, że backup to ostatnia linia obrony. W starszym badaniu Sophos o przejętych kopiach zapasowych 94% ofiar ransomware deklarowało, że napastnicy próbowali dostać się do backupu, a w 57% przypadków im się udało. Kopia na dysku podpiętym na stałe do tego samego serwera albo w tej samej sieci często znika razem z danymi.
Dobra kopia zapasowa jest więc odseparowana od głównej sieci, ma co najmniej jedną wersję poza biurem i jest regularnie testowana przez faktyczne odtworzenie plików. Zasady stojące za tym podejściem rozpisałem w artykule o tym, dlaczego jedna kopia danych to za mało.
6. Przelewy bez procedury
Ta luka nie jest techniczna, ale potrafi kosztować najwięcej. Oszustwo typu BEC (Business Email Compromise) polega na tym, że ktoś podszywa się pod kontrahenta albo szefa i prosi o przelew. Według raportu FBI IC3 za 2025 rok zgłoszone straty z tego tytułu przekroczyły 3 mld USD, a sam raport opisuje użycie chatbotów do pisania wiarygodnych maili i klonowania głosu do zlecania przelewów.
To nie jest zjawisko tylko zza oceanu. W sierpniu tego roku Centralne Biuro Zwalczania Cyberprzestępczości zatrzymało grupę, która, jak opisuje Spider’s Web, przejmowała firmowe skrzynki, obserwowała korespondencję i podmieniała numery kont na fakturach. Straty przekroczyły 4 mln zł.
Najbardziej spektakularny przykład użycia deepfake’ów to sprawa firmy Arup. Jak relacjonował CNN, pracownik działu finansów w Hongkongu wykonał przelewy na równowartość około 25 mln USD po wideokonferencji, na której wszyscy pozostali uczestnicy, łącznie z dyrektorem finansowym, byli wygenerowani. Mała firma nie stanie się celem tak dopracowanej operacji, ale telefon od „szefa” z prośbą o pilny przelew już tak. mBank ostrzega, że przy takim telefonie na wyświetlaczu może się pojawić prawdziwy numer przełożonego.
Dobra wiadomość jest taka, że przed tą luką chroni zwykła procedura, nie drogi system. Każdą zmianę numeru konta kontrahenta potwierdzasz telefonicznie, dzwoniąc na numer, który już znasz, a nie na ten podany w mailu. Nowy rachunek sprawdzasz na Białej liście podatników VAT. Pilne przelewy na prośbę „szefa” wymagają potwierdzenia drugim kanałem. Te zasady warto spisać i przekazać osobie, która robi przelewy, zanim przyjdzie grudzień.
7. Za szerokie uprawnienia i zapomniane konta
W małej firmie najłatwiej dać wszystkim dostęp do wszystkiego, bo tak jest szybciej. Problem pojawia się, gdy jedno z tych kont zostanie przejęte. Wtedy napastnik ma dokładnie te same uprawnienia co pracownik, czyli często dostęp do wszystkich folderów, księgowości i panelu banku.
Druga typowa sytuacja to konta osób, które już w firmie nie pracują. Skrzynka byłego pracownika wciąż działa, bo „może przyjdzie jakiś mail od klienta”, a jego hasło nie zmieniło się od lat. Do tego dochodzą zewnętrzne firmy z dostępem zdalnym, o którym nikt już nie pamięta. Verizon DBIR 2025 pokazuje, że udział stron trzecich w naruszeniach podwoił się z 15% do 30%.
Rozwiązanie jest nudne, ale skuteczne. Raz na kwartał przegląd listy kont i uprawnień, wyłączanie dostępu w dniu odejścia pracownika i zasada, że każdy ma dostęp do tego, czego potrzebuje w pracy, a nie do wszystkiego. Jeśli twoi ludzie pracują częściowo z domu, dochodzi jeszcze kilka kwestii, które opisałem w tekście o pracy zdalnej i bezpieczeństwie danych firmowych.
8. Brak planu na dzień incydentu
Ostatnia luka z mojej listy ujawnia się dopiero wtedy, gdy coś się już stało. Ekran z żądaniem okupu, zablokowana skrzynka albo telefon z banku o podejrzanym przelewie. W wielu firmach nikt wtedy nie wie, kogo zawiadomić, gdzie są kopie zapasowe, kto ma hasła administratora i czy wolno wyłączyć serwer.
Plan na incydent w małej firmie nie musi być grubym dokumentem. Wystarczy jedna strona z numerami telefonów (osoba od IT, bank, ubezpieczyciel), informacją, gdzie są kopie i jak je odtworzyć, oraz krótką listą pierwszych kroków. Warto tam też wpisać, że incydent zgłasza się do CERT Polska przez incydent.cert.pl, a wyłudzenie pieniędzy na policję. Taka kartka kosztuje godzinę pracy, a w dniu awarii oszczędza godziny paniki.
Dobrym przykładem, jak wygląda porządkowanie zabezpieczeń w praktyce, jest wdrożenie, które opisałem w case study migracji 78 baz Optima w biurze rachunkowym. Obok samej migracji biuro dostało tam zarządzalny antywirus, menedżer haseł i szyfrowany backup w chmurze.
9. Wymagania kontrahentów, czyli NIS2 w łańcuchu dostaw
Na koniec temat, który małe firmy często uważają za nie swój. 3 kwietnia 2026 weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża w Polsce unijną dyrektywę NIS2. Według Ministerstwa Cyfryzacji objęte nią podmioty muszą wdrożyć nowe obowiązki do 3 kwietnia 2027.
Mikro i małe firmy co do zasady nie są objęte ustawą bezpośrednio, poza kilkoma wyjątkami, na przykład dostawcami usług zaufania. Dotyczy ona głównie średnich i dużych podmiotów z wybranych sektorów. Jest jednak haczyk. Ustawa wymaga od objętych nią firm zadbania o bezpieczeństwo łańcucha dostaw usług i produktów ICT, a także między innymi o uwierzytelnianie wieloskładnikowe, plany odtworzenia działalności i szkolenia personelu. W praktyce oznacza to, że jeśli twoja firma jest dostawcą albo podwykonawcą większego podmiotu, możesz w nadchodzących miesiącach dostać ankietę o swoich zabezpieczeniach albo nowe zapisy w umowie. To mój wniosek z lektury przepisów, nie bezpośredni obowiązek z ustawy, ale warto być na to przygotowanym.
Ciekawe jest to, że wymagania z ustawy w dużej mierze pokrywają się z lukami opisanymi wyżej. Firma, która ma MFA, przetestowany backup, aktualne systemy i spisany plan na incydent, odpowie na taką ankietę bez nerwów.
10. Od czego zacząć przed 2027
Nie musisz naprawiać wszystkiego naraz. Gdybym miał ułożyć kolejność dla typowej małej firmy na ostatnie tygodnie roku, wyglądałaby tak:
- Włącz MFA na poczcie, w Microsoft 365 albo Google Workspace, w bankowości i przede wszystkim na każdym zdalnym dostępie. Pulpit zdalny wystawiony prosto do internetu wyłącz od razu.
- Spisz zasadę potwierdzania zmian numerów kont i pilnych przelewów drugim kanałem i przekaż ją osobom, które robią płatności.
- Porozmawiaj z zespołem o fałszywych fakturach z KSeF, mailach od kurierów i zwrotach podatku.
- Odtwórz testowo kilka plików z kopii zapasowej i sprawdź, czy kopia jest odseparowana od głównej sieci.
- Zrób listę komputerów z Windows 10 i zaplanuj ich wymianę albo aktualizację w budżecie na 2027.
- Przejrzyj konta i uprawnienia, wyłącz dostęp byłym pracownikom i zapomnianym firmom zewnętrznym.
- Przygotuj jednostronicowy plan na incydent.
Jeśli wolisz, żeby ktoś z zewnątrz spojrzał na to świeżym okiem, sprawdź, jak wygląda audyt bezpieczeństwa IT dla firm w Ralkom. Zaczynam od bezpłatnej ankiety dojrzałości cyfrowej, która w kilka minut pokazuje, gdzie są największe ryzyka, a pełny audyt idzie dalej i sprawdza konfigurację w praktyce.
11. Podsumowanie
Najczęstsze luki bezpieczeństwa w małych firmach rzadko wymagają drogich narzędzi. Zwykle chodzi o brak drugiego składnika logowania, zaległe aktualizacje, nieprzetestowany backup, przelewy bez procedury i konta, o których nikt nie pamięta. Zmieniło się jedno. Atakujący piszą dziś bezbłędnie, potrafią podrobić głos i sprytnie wykorzystują nowe procedury, takie jak KSeF. Dlatego stare rady typu „uważaj na błędy w mailu” już nie wystarczą.
Jeśli chcesz wiedzieć, które z tych luk są w twojej firmie, zacznij od bezpłatnej ankiety dojrzałości cyfrowej. A jeśli wolisz od razu porozmawiać o konkretnej sytuacji albo o stałej opiece, w ramach której ktoś pilnuje aktualizacji, kopii i kont za ciebie, zajrzyj do usługi outsourcingu IT albo po prostu napisz do mnie.