Przez lata uczyliśmy ludzi rozpoznawać oszustwa po literówkach, dziwnej polszczyźnie i podejrzanym adresie. W 2026 ta rada przestała działać, bo oszuści mają teraz AI. Maile są bezbłędne, strony logowania nie do odróżnienia od prawdziwych, a głos w słuchawce brzmi dokładnie jak Twój wspólnik.
Pilnowałem bezpieczeństwa w banku i instytucji publicznej, dziś u klientów widzę te ataki z bliska. Widzę też, że małe firmy są na nie najmniej przygotowane. Poniżej trzy sztuczki, na które firmy dają się nabrać w 2026, i konkretnie jak się przed nimi bronić. Bez straszenia, z rzeczami, które realnie działają.
W skrócie
AI sprawiło, że oszustwa są nie do odróżnienia od prawdziwych wiadomości: bezbłędne maile, podrobione strony logowania, a nawet sklonowany głos szefa proszący przez telefon o pilny przelew. Najskuteczniejsza obrona nie jest techniczna. To zasada drugiego kanału: każdą prośbę o pieniądze, hasło albo zmianę numeru konta potwierdź innym kanałem (oddzwoń na znany numer), zanim cokolwiek zrobisz. Do tego dołóż dwuskładnikowe logowanie (MFA) wszędzie, prostą procedurę przy przelewach, backup 3-2-1 i 30 minut szkolenia zespołu. To kosztuje niewiele, a zatrzymuje większość ataków.
Chcesz, żebym sprawdził to w Twojej firmie? Zadzwoń: +48 22 266 21 23 albo napisz. Pierwsza rozmowa jest bezpłatna.
Dlaczego stare rady przestały działać
Jeszcze niedawno oszustwo zdradzała kanciasta polszczyzna, literówki i dziwny adres nadawcy. Dziś AI pisze maile lepiej niż niejeden pracownik, tłumaczy je na bezbłędny polski i podrabia strony logowania co do piksela. To, czego uczyliśmy ludzi przez dekadę, w dużej części się zdezaktualizowało.[1] Jak AI wygląda w małej firmie od strony pożytku, opisuję osobno.
Dlatego przestań szukać „błędów”. Zacznij patrzeć na to, czego wiadomość od Ciebie chce: pieniędzy, hasła, kodu, zmiany numeru konta. I czy popędza Cię presją czasu. Forma może być idealna; intencja zdradza oszustwo.[2]
Trzy sztuczki, na które firmy dają się nabrać w 2026
Maile i strony nie do odróżnienia
AI pisze bezbłędne, naturalne maile po polsku. Koniec z literówkami jako sygnałem ostrzegawczym. Potrafi podrobić stronę logowania do banku, poczty czy Microsoft 365 tak, że wygląda 1:1. Wpisujesz hasło, a ono trafia do oszusta.
Sklonowany głos: fałszywy telefon „od szefa”
Kilka sekund nagrania głosu (choćby z nagranego spotkania albo filmiku) wystarczy, by AI go sklonowało. Pracownik księgowości odbiera telefon, słyszy głos prezesa z prośbą o pilny przelew, „bo nie zdążę przed zamknięciem”, i przelewa.
Podszywanie pod ZUS, skarbówkę, kuriera
CERT Polska ostrzega o masowych kampaniach podszywających się pod instytucje publiczne: maile i SMS-y z „wezwaniem do zapłaty” albo „dopłatą do paczki” i linkiem do zainfekowanej strony. Wyglądają oficjalnie, bo AI dopracowało każdy szczegół.
Dlaczego to właśnie małe firmy są celem
Pokutuje myślenie „jesteśmy za mali, żeby ktoś nas atakował”. Jest odwrotnie. Mała firma łączy dwie rzeczy, które oszust kocha: realne pieniądze i dane klientów oraz słabe zabezpieczenia i brak działu IT, który by tego pilnował. Dla atakującego to najlepszy stosunek zysku do wysiłku. Dlatego ataki coraz częściej celują właśnie w MŚP, nie w korporacje z całym sztabem bezpieczeństwa.[2][3]
Jak się bronić: rzeczy, które realnie działają
Dobra wiadomość: nie potrzebujesz budżetu korporacji ani drogich programów. Większość ataków zatrzymują tanie podstawy, pod warunkiem, że są włączone i że zespół wie, o co chodzi.
Zasada drugiego kanału (najważniejsza)
MFA (dwuskładnikowe logowanie) wszędzie
Nawet jeśli hasło wycieknie, atakujący nie wejdzie bez drugiego składnika (kod z telefonu). To dziś podstawa: na poczcie, w banku, w Microsoft 365. Włączenie zajmuje kilka minut.
Prosta procedura przy przelewach
Ustal, że przelew powyżej jakiejś kwoty albo zmiana numeru konta kontrahenta wymaga potwierdzenia głosowego z drugą osobą. Banalne, a rozbraja „pilny przelew od prezesa”.
Backup 3-2-1 i krótkie szkolenie
Gdy coś jednak przejdzie (ransomware, skasowane dane), backup, który da się odtworzyć, ratuje firmę. A 30 minut z zespołem „na co teraz patrzeć” robi więcej niż niejeden drogi program.
Z mojej praktyki
Najwięcej szkód nie robi geniusz hakerski, tylko pośpiech i brak prostej zasady.
„Pilny” mail w piątek po 15, telefon „od szefa” tuż przed urlopem, prośba o szybką zmianę numeru konta kontrahenta. Za każdym razem wystarczyłoby jedno: oddzwonić i potwierdzić, zanim się kliknie albo przeleje. Dlatego u klientów zaczynam nie od drogiego sprzętu, tylko od włączenia MFA, ustawienia backupu i wspólnego ustalenia tej jednej zasady. Tanio, nudno i skutecznie.
Sprawdźmy, gdzie Twoja firma jest odsłonięta
Przejdę z Tobą podstawy: czy macie MFA, działający backup, procedurę przy przelewach i czy zespół wie, na co patrzeć. Powiem wprost, co jest największą dziurą i od czego zacząć, bez straszenia i bez wciskania drogich rozwiązań. Pierwsza rozmowa bezpłatna.
Najczęstsze pytania
Po czym dziś poznać oszustwo, skoro maile są bezbłędne?
Już nie po literówkach, bo AI je wyeliminowało. Patrz na intencję, nie na formę: każda wiadomość, która wywołuje presję czasu („pilne”, „dziś”, „bo będą konsekwencje”), prosi o pieniądze, hasło, kod lub zmianę numeru konta, jest podejrzana, choćby wyglądała idealnie. Zasada jest prosta: zanim zadziałasz, potwierdź prośbę innym kanałem (oddzwoń na znany numer). Forma może być doskonała, ale prośba o pilny przelew telefonicznie to zawsze sygnał ostrzegawczy.
Czy oszuści naprawdę potrafią podrobić głos szefa?
Tak, i to coraz częściej. Do sklonowania głosu wystarczy kilka do kilkunastu sekund nagrania: z webinaru, filmiku, nawet z poczty głosowej. Potem pracownik odbiera telefon, słyszy znajomy głos i prośbę o pilny przelew albo dane. Obrona jest nietechniczna: ustal w firmie, że żaden przelew ani zmiana numeru konta nie dzieje się „na telefon” bez potwierdzenia drugim kanałem albo przez drugą osobę.
Dlaczego małe firmy są celem, przecież nie mamy milionów?
Bo jesteście łatwiejszym celem niż korporacja: macie realne pieniądze i dane klientów, a zwykle słabsze zabezpieczenia i brak działu IT, który by tego pilnował. Dla oszustów to najlepszy stosunek zysku do wysiłku. Dobra wiadomość: podstawy (MFA, procedura przelewów, backup, szkolenie) są tanie i zatrzymują większość ataków. Nie trzeba budżetu korporacji, trzeba je po prostu mieć włączone.
Co zrobić od ręki, żeby zmniejszyć ryzyko?
Trzy rzeczy na już. Po pierwsze: włącz MFA (dwuskładnikowe logowanie) na poczcie, w banku i w Microsoft 365. To kilka minut, a blokuje większość przejęć kont. Po drugie: ustal zasadę drugiego kanału przy każdej prośbie o pieniądze lub dane. Po trzecie: sprawdź, czy macie działający backup (taki, który ktoś realnie przetestował, że da się z niego odtworzyć). Resztę, czyli szkolenie zespołu i procedury, można dołożyć spokojnie w kolejnym kroku.
Źródła
- [1] CERT Polska / FPiD: Cyberbezpieczeństwo 2026, nowe triki phishingu
- [2] BIURO29: Cyfrowe bezpieczeństwo MŚP, nowe zagrożenia w 2026
- [3] DSO Consulting: Cyberbezpieczeństwo 2026, kluczowe trendy
- bezpieczeństwo IT
- phishing
- oszustwa AI
- deepfake
- MFA
- cyberbezpieczeństwo
Autor
Michał Pietruczyk
Ponad 12 lat w IT, od banku, przez Kancelarię Prezydenta RP, do własnej firmy. Outsourcing IT dla firm, które nie mogą sobie pozwolić na przestoje. Na co dzień zajmuję się obsługą informatyczną firm w Warszawie i okolicach.
Poznaj mnie lepiej
