Phishing w firmie - jak ochronić pracowników i nie stracić danych

Najczęstszy typ - dostajesz maila udającego bank, urząd skarbowy albo DHL. Widziałem to u klienta: księgowa dostała „fakturę od kontrahenta” z załącznikiem .exe. Kliknęła, bo czekała akurat na korektę. Ransomware był na dysku w 30 sekund.

Ten jest gorszy, bo jest skrojony pod konkretną osobę. Atakujący sprawdza LinkedIn, stronę firmy, wie jak masz na imię i nad czym pracujesz. U mojego klienta mail wyglądał tak dobrze, że nawet ja na pierwszy rzut oka nie zauważyłem różnicy - domena różniła się jedną literą.

SMS z linkiem - udaje InPost, bank albo urząd. Na telefonie trudniej sprawdzić adres URL, więc ludzie klikają odruchowo. Ostatnio co trzeci mój klient dostaje fałszywe SMS-y „od kuriera” - zwłaszcza w okresie świątecznym i Black Friday.

Ktoś dzwoni i mówi, że jest z banku albo „z Microsoftu”. Buduje presję czasu - „musi Pan teraz podać kod, bo zablokujemy konto”. Miałem klienta, który prawie podał dane do bankowości, bo dzwoniący znał jego imię, nazwisko i ostatnie cztery cyfry karty.

Dlaczego:To jest zabezpieczenie numer jeden. U klientki z biura rachunkowego, o której pisałem wyżej - gdyby miała MFA, atakujący miałby hasło, ale nie wszedłby dalej. Podwójne logowanie to jak drugi zamek w drzwiach - sam klucz nie wystarczy.

Co robię:Wdrażam MFA na poczcie, VPN, systemach ERP i dostępie zdalnym. Używam Microsoft Authenticator lub kluczy FIDO2 - nie SMS-ów, bo te też można przechwycić. U każdego nowego klienta to pierwsze co konfiguruję - dosłownie w pierwszy dzień.

Dlaczego:Brzmi technicznie? W praktyce to trzy ustawienia, które mówią światu: „maile z mojej domeny wysyłam tylko ja”. Bez tego ktoś może wysyłać maile wyglądające jak od Ciebie - do Twoich klientów i kontrahentów. Widziałem przypadek, gdzie atakujący wysyłał faktury z adresu udającego mojego klienta.

Co robię:Konfiguruję SPF, DKIM i DMARC w DNS - to bezpłatne i zajmuje godzinę. Większość firm, które przejmuję pod opiekę, tego nie ma. A to pierwsza linia obrony, którą naprawiam od razu.

Dlaczego:Nawet jeśli phishing przejdzie przez antyspam, dobry filtr potrafi go zatrzymać w momencie kliknięcia. Microsoft Defender for Office 365 otwiera podejrzane załączniki w „piaskownicy” - osobnym środowisku, gdzie wirus nie zrobi szkody. I skanuje linki w momencie, gdy ktoś w nie klika.

Co robię:W Microsoft 365 Business Premium włączam Safe Links, Safe Attachments i Anti-phishing policies. To jest wliczone w licencję Business Premium - nie trzeba nic dokupować, wystarczy poprawnie skonfigurować. Większość firm za to płaci, ale tego nie używa, bo nikt nie włączył.

Dlaczego:Gdy ktoś zaloguje się o 3 w nocy z Nigerii na konto Twojej księgowej - chcesz o tym wiedzieć. Bez monitoringu dowiesz się dopiero, gdy pieniądze znikną z konta albo dane wyciekną.

Co robię:Conditional Access w Entra ID - blokuję logowania z zagranicy, wymuszam MFA na nowych urządzeniach. Alerty na podejrzaną aktywność lecą do mnie SMS-em. Kiedyś o 23:00 dostałem alert - ktoś próbował wejść na konto klienta z Brazylii. Zablokowałem w minutę.

Dlaczego:Mogę postawić najlepszego firewalla na świecie, ale jeśli Twoja księgowa sama poda hasło atakującemu - to żadna technologia nie pomoże. Szkolenie to nie „prezentacja PowerPoint raz w roku” - to budowanie nawyku, jak mycie rąk.

Co robię:Robię szkolenia 2x do roku - nie nudne wykłady, ale konkretne przykłady z praktyki (w tym maile, które sam zebrałem od klientów). Plus wysyłam testowe maile phishingowe, żeby sprawdzić, kto kliknie. Bez oceniania - chodzi o naukę, nie o kary. Pierwszy test zwykle pokazuje 50-60% kliknięć. Po szkoleniu spada do 10-15%.

Biuro rachunkowe, 12 osób - telefon w piątek o 16:00

Zadzwoniła właścicielka. Głos jej się trzęsł. „Michał, chyba mamy problem.” Księgowa kliknęła w załącznik „faktura_korekta.pdf.exe” - czekała akurat na korektę od kontrahenta, więc nie sprawdziła. Ransomware zaszyfrował dysk sieciowy z danymi 200 klientów biura. Backup? Lokalny, na tym samym serwerze - też zaszyfrowany. Odbudowa trwała 2 tygodnie. Biuro straciło 3 klientów, którzy po prostu przenieśli się do konkurencji. Po incydencie wdrożyliśmy MFA, filtrowanie załączników i kwartalne szkolenia. Koszt wdrożenia: 4 500 zł. Koszt incydentu: ponad 180 tysięcy.

Firma handlowa, 25 osób - 47 000 zł w powietrzu

Główna księgowa pokazała mi maila dopiero następnego dnia. „Prezes” pisał z prywatnego Gmaila: „Aniu, pilne - przelej 47 000 zł na ten rachunek, faktura do końca dnia. Nie dzwoń, jestem na spotkaniu.” To „nie dzwoń” powinno było zapalić czerwoną lampkę - ale presja czasu zadziałała. Przelała. Pieniądze nie wróciły. Klasyczny Business Email Compromise. Po incydencie wdrożyliśmy jedną prostą zasadę: każdy przelew powyżej 5 000 zł wymaga potwierdzenia telefonicznego. Zero złotych kosztowała ta zmiana. A mogła oszczędzić 47 tysięcy.

Producent, 60 osób - „nikt by u nas nie kliknął”

Właściciel był przekonany, że jego ludzie są „zbyt mądrzy na phishing.” Zaproponowałem test. Wysłałem do 60 pracowników maila: „aktualizacja regulaminu pracy - kliknij i zaloguj się, żeby potwierdzić zapoznanie.” Wynik? 34 osoby (57%) kliknęły. 18 osób (30%) podało login i hasło. Zero - dokładnie zero - zgłosiło maila do IT. Właściciel zamilkł. Zrobiliśmy szkolenie. Miesiąc później powtórzyłem test - kliknęło 8 osób (13%), a 12 zgłosiło podejrzanego maila. Jedna sesja szkoleniowa zmieniła wynik z 57% na 13%. Ale to musi być regularne - bez powtórek wraca do starych nawyków.