1. Wstęp, dlaczego phishing wciąż działa, mimo że wszyscy o nim słyszeli
Prowadzę Ralkom i słyszę to zdanie właściwie non stop. Nasza firma jest za mała, żeby ktoś się nami interesował, kto by chciał włamywać się do dziesięcioosobowej firmy handlowej czy księgowej. To wygodna myśl, ale phishing nie wybiera ofiar według wielkości firmy, wybiera je według tego, kto ma słabsze zabezpieczenia, a to zwykle mała firma bez własnego działu IT, nie korporacja z zespołem bezpieczeństwa na etacie. Regularnie widzę te same błędy podczas audytu bezpieczeństwa danych firmy, kliknięty link w fałszywej fakturze, hasło wpisane na podrobionej stronie logowania, przelew wysłany na zmienione konto bankowe.
Skala problemu w Polsce nie maleje. Z raportu NASK i CERT Polska za 2025 rok wynika, że zespół przyjął 658 320 zgłoszeń i zarejestrował 260 783 unikalnych incydentów bezpieczeństwa, z czego około 97% to oszustwa komputerowe, kategoria obejmująca między innymi phishing. Sama Lista Ostrzeżeń CERT Polska urosła w tym samym roku o 250 tysięcy nowych, niebezpiecznych domen, a system zablokował 140 milionów prób wejścia na takie strony. Do tego dochodzi nowy czynnik, który zmienia reguły gry. W teście przeprowadzonym przez IBM X-Force model sztucznej inteligencji wygenerował przekonującą wiadomość phishingową w pięciu prostych promptach w zaledwie pięć minut, podczas gdy doświadczony zespół social engineeringu potrzebował na to około szesnastu godzin, a skuteczność obu wiadomości w teście na ponad 800 pracownikach była zbliżona. Phishing nie jest już domeną słabo napisanych maili z błędami ortograficznymi. To dziś szybko skalowalne, dobrze napisane wiadomości, trafiające dokładnie w kontekst twojej firmy.
2. Jak wygląda typowy atak na firmową skrzynkę
Najprostszy scenariusz to fałszywa faktura albo powiadomienie, które wygląda jak rutynowa korespondencja. CERT Polska ostrzegał w komunikacie z kwietnia 2026 roku przed kampanią podszywającą się pod powiadomienia o nowej fakturze w systemie KSeF, w której kliknięcie linku uruchamiało pobranie złośliwego oprogramowania zamiast dokumentu. Atak celował właśnie w rutynę pracy księgowości i presję czasu, typową porę miesiąca, kiedy faktur jest dużo i nikt nie ma czasu dokładnie ich sprawdzać. To dokładnie ten typ maila, który w małej firmie, gdzie księgowością zajmuje się jedna osoba na raz z dziesięcioma innymi obowiązkami, przechodzi najłatwiej.
Poważniejszy wariant to Business Email Compromise, czyli przejęcie albo podszycie się pod firmową skrzynkę, żeby wpłynąć na przelew. Microsoft w swoim raporcie o BEC opisuje dwie główne techniki, kradzież danych logowania (na przykład przez phishing albo keylogger) oraz podszywanie się pod kadrę zarządzającą lub dostawcę, żeby skłonić dział finansowy do przelewu na kontrolowane przez przestępców konto. Atakujący coraz częściej logują się z lokalnych, rezydencyjnych adresów IP, żeby ominąć automatyczne alerty o niemożliwej podróży między dwiema lokalizacjami logowania.
To nie jest teoretyczne zagrożenie, ani coś, co spotyka wyłącznie duże spółki. Polskie Centralne Biuro Zwalczania Cyberprzestępczości rozbiło w 2026 roku grupę, która przejmowała pocztę zwykłych firm, obserwowała korespondencję i podmieniała numer konta bankowego na fałszywych fakturach. Zrealizowane straty przekroczyły 4 miliony złotych, a udaremnione dodatkowe próby wyłudzeń opiewały na kolejne 5,5 miliona złotych. Dla kontrastu warto znać też przypadek dużo większy. Fałszywe faktury i umowy podszywające się pod prawdziwego dostawcę pozwoliły Litwinowi Evaldasowi Rimasauskasowi wyłudzić od Google i Facebooka ponad 100 milionów dolarów między 2013 a 2015 rokiem, zanim sprawa się wydała. Jeśli tak prosty mechanizm zadziałał na dwie firmy z jednymi z najlepiej zabezpieczonych działów finansowych na świecie, warto zadać sobie pytanie, ile łatwiej podobny schemat przechodzi w firmie, gdzie nikt na etacie nie weryfikuje drugi raz każdej faktury.
3. Konkretne czerwone flagi, na które warto zwrócić uwagę
Zanim klikniesz w link albo otworzysz załącznik z mailem wyglądającym na fakturę czy prośbę od przełożonego, warto zatrzymać się na kilku szczegółach. Microsoft, analizując próbki ataków BEC z okresu od stycznia do kwietnia 2023 roku, pokazuje rozkład najczęstszych typów wiadomości, ogólna przynęta stanowiła 62% przypadków, wiadomości udające sprawy płacowe niemal 15%, fałszywe faktury ponad 8%, a bony podarunkowe blisko 5%. Znajomość tych kategorii ułatwia rozpoznanie wzorca.
- Adres nadawcy nie zgadza się z domeną, z którą normalnie korespondujesz, nawet jeśli wyświetlana nazwa wygląda znajomo, sprawdź pełny adres, nie tylko nazwę.
- Wiadomość naciska na szybkie działanie, dzisiaj, pilnie, zanim system się zamknie, presja czasu ma nie dać ci chwili na zastanowienie.
- Pojawia się prośba o zmianę numeru konta do przelewu albo o dane logowania, o rzeczy, o które prawdziwy dostawca czy przełożony nigdy nie pyta mailem bez dodatkowej weryfikacji.
- Link prowadzi na stronę logowania, która wygląda znajomo, ale adres w pasku przeglądarki różni się choćby jedną literą albo końcówką domeny.
- Załącznik ma nietypowe rozszerzenie albo wymaga włączenia makr, żeby poprawnie się otworzyć.
Żaden pojedynczy sygnał nie jest stuprocentowym dowodem oszustwa, ale kombinacja dwóch, trzech z tej listy to wystarczający powód, żeby zadzwonić i zweryfikować telefonicznie, zanim cokolwiek klikniesz czy prześlesz.
4. Co zrobić, gdy ktoś już kliknął
Jeśli ktoś w twojej firmie kliknął podejrzany link albo otworzył załącznik, liczy się szybkość, nie perfekcja procedury. Odłącz urządzenie od sieci, zmień hasło do konta pocztowego i wymuś wylogowanie ze wszystkich aktywnych sesji, sprawdź historię logowań pod kątem nietypowych lokalizacji, a jeśli doszło do przelewu na podstawie podejrzanej wiadomości, natychmiast skontaktuj się z bankiem, część przelewów da się jeszcze wstrzymać w pierwszych godzinach.
Im dłużej ktoś niepowołany siedzi niezauważony w twojej skrzynce, tym więcej może w tym czasie zobaczyć, przekierować albo wykorzystać, więc szybka reakcja ma większe znaczenie niż dopracowana procedura spisana na papierze. Jeśli chcesz zobaczyć szerszy plan reagowania na incydenty, nie tylko phishing, mamy osobny plan cyberbezpieczeństwa dla małych firm z konkretną kolejnością działań.
5. Dlaczego czujność pracowników nie wystarczy
Szkolenie zespołu ma sens i realnie obniża liczbę kliknięć, ale to nie jedyna linia obrony i nie powinna być jedyną. Z mojego doświadczenia przy audytach małe firmy zwykle oceniają ryzyko phishingu jako niewielkie, dopóki nie dotknie ich osobiście, a samo szkolenie tej oceny nie zmienia, bo najskuteczniejsze wiadomości są przygotowane tak, żeby ominąć czujność nawet przeszkolonej osoby w gorszy dzień.
Dlatego oprócz szkoleń potrzebne są zabezpieczenia, które działają niezależnie od czujności konkretnej osoby danego dnia. Microsoft w swoim raporcie o BEC rekomenduje włączenie uwierzytelniania wieloskładnikowego, skonfigurowanie DMARC z polityką odrzucania wiadomości podszywających się pod twoją domenę, oznaczanie wiadomości od nadawców spoza organizacji, oraz prostą procedurę telefonicznej weryfikacji przy każdej zmianie numeru konta czy nietypowym przelewie. Filtrowanie poczty i antywirus z bieżącym monitoringiem incydentów to dokładnie to, czym na co dzień zajmujemy się w outsourcingu IT, a sprawdzenie, czy te zabezpieczenia są u ciebie faktycznie poprawnie skonfigurowane, nie tylko włączone, to jeden z elementów, które sprawdzamy podczas audytu bezpieczeństwa danych firmy.
6. Podsumowanie
Phishing w firmowej skrzynce nie zniknie, bo działa, a z pomocą sztucznej inteligencji działa coraz szybciej, i nie omija małych firm, często wręcz przeciwnie. Najwięcej dają konkretne nawyki, sprawdzanie pełnego adresu nadawcy, nieufność wobec presji czasu, telefoniczna weryfikacja przy zmianie konta bankowego, i plan na wypadek, gdyby ktoś jednak kliknął. Reszta to już zabezpieczenia systemowe, które nie zależą od tego, czy akurat ktoś miał gorszy dzień.
Jeśli chcesz sprawdzić, jak wygląda to w twojej firmie, skontaktuj się z nami, zaczynamy zwykle od tego samego audytu bezpieczeństwa danych firmy, o którym pisałem wyżej.