Wiadomość z pilną fakturą, prośba o zmianę numeru rachunku albo alert o wygasającym haśle – większość udanych oszustw zaczyna się właśnie tak. Wiedza o tym, jak rozpoznać phishing w firmie, nie jest wyłącznie zadaniem działu IT. To praktyczna kompetencja każdego pracownika, który odbiera e-maile, korzysta z komunikatorów i zatwierdza płatności.
Phishing wykorzystuje pośpiech, rutynę oraz zaufanie do znanych marek i współpracowników. Przestępca nie musi łamać skomplikowanych zabezpieczeń, jeżeli przekona jedną osobę, by sama podała dane logowania, otworzyła załącznik lub autoryzowała przelew. Dla małej i średniej firmy konsekwencje mogą oznaczać przestój, utratę pieniędzy, wyciek danych klientów i problem z realizacją obowiązków wynikających z RODO.
Phishing w firmie rzadko wygląda jak oczywiste oszustwo
Czasy e-maili pełnych błędów językowych i podejrzanych grafik nie minęły, ale przestały być jedynym zagrożeniem. Współczesne wiadomości phishingowe potrafią mieć poprawną polszczyznę, logo banku lub dostawcy usług oraz stopkę łudząco podobną do firmowej. Coraz częściej są też dopasowane do konkretnego stanowiska i aktualnej sytuacji przedsiębiorstwa.
Księgowość może dostać fałszywą korektę faktury, dział kadr – dokument dotyczący pracownika, a osoba zarządzająca – prośbę rzekomo wysłaną przez prezesa. Popularne są również wiadomości podszywające się pod Microsoft 365, firmy kurierskie, operatorów telekomunikacyjnych oraz dostawców energii. Atak może trafić na skrzynkę e-mail, komunikator Teams, WhatsApp czy SMS.
Szczególną odmianą jest tzw. business email compromise, czyli oszustwo wykorzystujące relacje biznesowe. Atakujący przejmuje skrzynkę kontrahenta albo tworzy adres bardzo podobny do prawdziwego. Następnie prosi o zmianę rachunku do płatności. Taka wiadomość może nie zawierać złośliwego linku, dlatego sam filtr antyspamowy nie zawsze ją zatrzyma.
Jak rozpoznać phishing w firmie: sygnały ostrzegawcze
Pojedynczy sygnał nie zawsze przesądza o oszustwie. Dostawca rzeczywiście może wysłać pilną korektę, a administrator może poprosić o ponowne logowanie. Problem pojawia się wtedy, gdy kilka elementów budzi wątpliwość jednocześnie lub gdy wiadomość nakłania do działania poza przyjętą procedurą.
Najczęściej warto sprawdzić następujące kwestie:
- Adres nadawcy, a nie tylko nazwę wyświetlaną w skrzynce. Różnica może ograniczać się do jednej litery, dodatkowej kropki albo obcej domeny.
- Presję czasu i emocji. Sformułowania typu natychmiast, ostatnie ostrzeżenie, poufne lub nie informuj nikogo mają skłonić odbiorcę do pominięcia kontroli.
- Link prowadzący do innej domeny niż ta, której dotyczy wiadomość. Przed kliknięciem należy najechać kursorem na odnośnik i sprawdzić pełny adres.
- Nietypowy załącznik, zwłaszcza plik archiwum, dokument proszący o włączenie makr albo fakturę, której firma się nie spodziewa.
- Niestandardową prośbę o hasło, kod MFA, dane osobowe, zmianę rachunku bankowego lub płatność poza ustalonym obiegiem.
Uwaga na kody QR w e-mailach i dokumentach. Mogą prowadzić do fałszywej strony logowania, a po zeskanowaniu telefonem omijają część zabezpieczeń stosowanych na komputerze. QR nie jest potwierdzeniem wiarygodności nadawcy – jest tylko inną formą linku.
Fałszywe logowanie jest szczególnie groźne
Strona podszywająca się pod pocztę firmową lub platformę Microsoft 365 może wyglądać niemal identycznie jak oryginał. Po wpisaniu loginu i hasła użytkownik może zostać nawet przekierowany na prawdziwą stronę, więc uzna, że wystąpił zwykły błąd techniczny.
Warto zwrócić uwagę na adres w pasku przeglądarki. Ikona kłódki nie oznacza, że witryna jest zaufana – potwierdza jedynie szyfrowane połączenie z daną domeną. Oszukańcza strona również może korzystać z certyfikatu SSL. Jeżeli formularz logowania otworzył się po kliknięciu w wiadomość, bezpieczniej jest go zamknąć i wejść do usługi przez znany, zapisany wcześniej adres lub firmowy portal.
Zasada: weryfikuj innym kanałem
Najskuteczniejszą odpowiedzią na nietypową prośbę nie jest zgadywanie, czy wiadomość wygląda wiarygodnie. Jest nią niezależne potwierdzenie. Jeśli kontrahent przesyła nowy numer konta, należy zadzwonić na znany numer z umowy, systemu CRM lub oficjalnej strony, a nie na telefon podany w e-mailu.
Ta sama zasada dotyczy poleceń od przełożonych. Gdy dyrektor rzekomo prosi o pilny zakup kart podarunkowych, przelew lub przesłanie danych pracowników, wystarczy krótka rozmowa telefoniczna albo potwierdzenie w firmowym komunikatorze. Dobrze zaprojektowana procedura nie traktuje takiej kontroli jako braku zaufania. Traktuje ją jako ochronę firmy i osoby, która wykonuje polecenie.
W przypadku płatności szczególnie rozsądna jest zasada dwóch par oczu. Zmiana danych bankowych kontrahenta powinna wymagać weryfikacji przez drugą osobę oraz potwierdzenia poza pocztą elektroniczną. To niewielki koszt organizacyjny wobec ryzyka przelewu, którego odzyskanie może być bardzo trudne.
Co zrobić, gdy pracownik kliknął link lub podał dane
Najgorszą reakcją jest ukrywanie pomyłki ze strachu przed konsekwencjami. W phishingu liczą się minuty. Szybkie zgłoszenie często pozwala ograniczyć skalę zdarzenia, zanim atakujący przejmie skrzynkę, wyśle wiadomości do klientów lub usunie ślady.
Pracownik powinien natychmiast przerwać działanie na podejrzanej stronie, nie podawać kolejnych danych i zgłosić sprawę do osoby odpowiedzialnej za IT lub bezpieczeństwo. Jeśli dane logowania zostały wpisane, hasło należy zmienić z bezpiecznego urządzenia, a zespół IT powinien sprawdzić aktywne sesje, reguły przekazywania poczty, historię logowań i ewentualne zmiany w konfiguracji konta.
Jeśli otwarto załącznik, nie należy samodzielnie usuwać plików ani udawać, że problem zniknął. Komputer może wymagać odłączenia od sieci i analizy. Gdy w grę wchodzą dane osobowe, firma powinna też ocenić, czy zdarzenie stanowi naruszenie ochrony danych oraz czy potrzebne są dalsze działania formalne.
Dobra procedura zgłoszenia powinna być prosta: pracownik ma wiedzieć, komu przesłać podejrzaną wiadomość, pod jaki numer zadzwonić i czego nie robić. Im bardziej skomplikowany proces, tym większa szansa, że informacja dotrze za późno.
Zabezpieczenia techniczne pomagają, ale nie zastąpią czujności
Ochrona przed phishingiem powinna być warstwowa. Filtry poczty ograniczają liczbę złośliwych wiadomości, jednak nie wyłapią każdej dobrze przygotowanej próby podszycia się pod kontrahenta. Równie istotne są aktualizacje systemów, kontrola dostępu oraz kopie zapasowe, które pozwalają firmie wrócić do pracy po incydencie.
W praktyce warto wdrożyć uwierzytelnianie wieloskładnikowe, najlepiej oparte na aplikacji uwierzytelniającej lub kluczu sprzętowym. Kod SMS nadal jest lepszy niż samo hasło, lecz może być podatny na przejęcie numeru telefonu lub wyłudzenie kodu. MFA nie zwalnia też z ostrożności – użytkownik może nieświadomie zatwierdzić fałszywe logowanie, jeśli atakujący zastosuje presję i serię powiadomień.
Znaczenie ma również porządek w uprawnieniach. Każdy pracownik powinien mieć dostęp tylko do tych zasobów, które są potrzebne na jego stanowisku. Przejęte konto recepcji nie powinno automatycznie otwierać drogi do dokumentacji kadrowej, folderów zarządu ani systemu finansowego.
W firmach korzystających z pracy zdalnej trzeba zadbać o bezpieczny dostęp do zasobów, aktualne urządzenia i jasne reguły używania prywatnej poczty lub komunikatorów. Wysyłanie firmowych dokumentów na prywatne skrzynki może wydawać się wygodne, ale utrudnia kontrolę nad danymi i zwiększa pole działania dla oszustów.
Szkolenie ma ćwiczyć decyzje, nie tylko przekazywać reguły
Jednorazowe szkolenie z cyberbezpieczeństwa szybko znika z pamięci. Lepszy efekt dają krótkie, regularne przypomnienia oparte na realnych przykładach: fałszywej fakturze, prośbie o kod MFA, zmianie konta bankowego czy wiadomości od rzekomego kuriera.
Warto uczyć pracowników jednego prostego nawyku: zatrzymaj się, sprawdź kontekst, potwierdź innym kanałem. Nie chodzi o to, by każdy e-mail traktować jak atak i sparaliżować obsługę klientów. Chodzi o rozpoznawanie sytuacji, w których stawką są pieniądze, dostęp do systemu albo dane innych osób.
Firma, w której można bez obaw zgłosić podejrzaną wiadomość, jest trudniejszym celem niż organizacja z dobrymi narzędziami, ale bez jasnych zasad. Cyberprzestępca liczy na pośpiech i ciszę. Warto zbudować środowisko, w którym zwykłe pytanie: czy na pewno to potwierdziliśmy? staje się naturalną częścią bezpiecznej pracy.