Cyberprzestępcy nie zawsze muszą włamywać się do dobrze zabezpieczonych systemów. Często znacznie łatwiej jest przekonać człowieka, żeby sam podał potrzebne informacje, otworzył plik albo zalogował się na podstawionej stronie. Jak ograniczyć ryzyko i na co zwracać uwagę?

Najważniejszy system bezpieczeństwa siedzi przed ekranem

Możemy mieć najnowszy telefon, antywirusa, szyfrowanie i zabezpieczony bank. Jeśli jednak ktoś przekona nas, żebyśmy sami podali mu kod BankID, wszystkie te zabezpieczenia mogą przestać mieć znaczenie. Dlatego cyberprzestępcy tak chętnie atakują nie komputery, lecz ludzi.

Nie tak dawno w jednej z dużych firm o zasięgu globalnym ktoś użył technologii deep fake, aby podszyć się pod dyrektora finansowego i zlecić przelew na inne niż zwykle konto kontrahenta. Tego rodzaju przypadki pokazują, że wraz z rozwojem technologii coraz trudniej opierać się wyłącznie na tym, co widzimy lub słyszymy. Jeżeli prośba jest nietypowa — szczególnie jeśli dotyczy pieniędzy, haseł czy kodów — warto potwierdzić ją drugim kanałem.

Dlatego pierwszą i najprostszą zasadą jest zwolnić na chwilę i zatrzymać decyzję o działaniu. Jeżeli wiadomość dotyczy banku, BankID, urzędu, przesyłki albo płatności, zamiast korzystać z otrzymanego linku można samodzielnie otworzyć aplikację albo wpisać adres strony. Kilkanaście sekund więcej często wystarczy, żeby zauważyć coś, co przy działaniu pod presją łatwo przeoczyć.

Sprawdzaj, gdzie naprawdę się logujesz

Fałszywe strony nie muszą dziś wyglądać podejrzanie. Mogą korzystać z tego samego logo, podobnego układu i formularza logowania praktycznie nieróżniącego się od oryginalnego. Trzeba więc uważnie sprawdzać przede wszystkim adres strony.

Przykładowo – facebook.com wygląda bardzo podobnie do facebook.corn, zwłaszcza kiedy patrzymy na adres na małym ekranie telefonu. Różnica wydaje się niewielka, ale może oznaczać, że znajdujemy się na stronie „podstawionej” przez atakującego. Dlatego, szczególnie w przypadku bankowości, BankID, poczty czy mediów społecznościowych bezpieczniej jest wejść na stronę samodzielnie niż korzystać z linku otrzymanego w wiadomości.

Podobna ostrożność przydaje się po informacji o wycieku danych z firmy, z której korzystamy. Sama znajomość naszego adresu e-mail nie musi wystarczyć do skutecznego oszustwa, ale jeśli atakujący zna także nasze imię, numer telefonu, nazwę usługi czy szczegóły płatności, może zbudować znacznie bardziej wiarygodną historię.

Kilka rzeczy, które naprawdę warto zrobić

Podstawowe zasady bezpieczeństwa nie są szczególnie skomplikowane. Warto używać różnych haseł do różnych usług, najlepiej przechowywanych w menedżerze haseł. Dzięki temu wyciek danych z jednego serwisu nie oznacza automatycznie, że ktoś może zalogować się do naszej poczty czy innego konta.

Warto również włączać uwierzytelnianie wieloskładnikowe, czyli MFA, szczególnie w przypadku poczty elektronicznej. Skrzynka e-mail jest jednym z najważniejszych kont, ponieważ przez nią możemy resetować hasła do wielu pozostałych usług.

Kolejna rzecz to aktualizacje. Nie są one wyłącznie sposobem producentów oprogramowania na przeszkadzanie nam w najmniej odpowiednim momencie. Duża część włamań wykorzystuje znane podatności, które zostały już opisane i dla których istnieją poprawki. Jeżeli odkładamy aktualizację przez kilka miesięcy, czasami sami pozostawiamy otwarte drzwi, które producent zdążył już zamknąć.

Do tego dochodzą kopie zapasowe ważnych plików oraz nieignorowanie informacji o wycieku danych z usługi, z której korzystamy. Sama wiadomość o incydencie nie oznacza jeszcze, że ktoś zaatakuje właśnie nas, ale powinna zwiększyć naszą ostrożność wobec korespondencji odnoszącej się do tej konkretnej firmy.

A co z firmami?

Dla przedsiębiorstw lista jest oczywiście dłuższa. Norweski NSM sprowadza podstawy do czterech obszarów: wiedzieć, jakie systemy i zasoby posiadamy, odpowiednio je chronić, potrafić wykryć problem oraz być przygotowanym na reakcję i odtworzenie systemów.

Od października 2025 roku obowiązuje w Norwegii również digitalsikkerhetsloven, która nakłada na część przedsiębiorstw i instytucji świadczących ważne usługi konkretne obowiązki dotyczące bezpieczeństwa cyfrowego. Norwegia przygotowuje także wdrożenie szerszych europejskich regulacji NIS2. Dla zwykłego użytkownika najważniejszy jest jednak sam kierunek zmian: cyberbezpieczeństwo coraz mniej jest traktowane jako wyłącznie techniczny problem działu IT, a coraz bardziej jako normalny element zarządzania organizacją.

Cyberatak nie zawsze wygląda jak cyberatak

Najtrudniej zauważyć nie ten atak, który powoduje wielki komunikat o błędzie, lecz ten, który długo nie daje żadnych widocznych objawów. Ktoś może przez tygodnie mieć dostęp do skrzynki e-mail. Skradziona baza klientów może zostać sprzedana i wykorzystana kilka miesięcy później. Wiadomość o „problemie z BankID” może zostać przygotowana specjalnie dla nas na podstawie prawdziwych danych pochodzących z wcześniejszego wycieku.

Cyberbezpieczeństwo nie polega więc na tym, żeby zacząć podejrzewać wszystko i wszystkich. Chodzi raczej o wyrobienie kilku prostych nawyków, wśród których najłatwiejszym do zapamiętania jest zadanie sobie jednego dodatkowego pytania:

„Czy to na pewno ma sens?”

SŁOWNICZEK

Phishing – próba wyłudzenia informacji lub nakłonienia ofiary do wykonania określonej czynności poprzez wiadomość podszywającą się pod zaufaną osobę lub instytucję.

Ransomware – złośliwe oprogramowanie wykorzystywane do blokowania systemów lub danych i wymuszania pieniędzy. Współczesne grupy często dodatkowo kradną dane i grożą ich publikacją.

DDoS (Distributed Denial of Service) – atak polegający na zasypaniu usługi ogromną liczbą zapytań, aby stała się niedostępna dla zwykłych użytkowników.

Malware – ogólna nazwa złośliwego oprogramowania.

Data breach / wyciek danych – sytuacja, w której osoba nieuprawniona uzyskuje dostęp do danych albo je kopiuje.

Socjotechnika (social engineering) – manipulowanie człowiekiem zamiast bezpośredniego przełamywania zabezpieczeń technicznych.

Botnet – sieć przejętych urządzeń, którymi atakujący może zdalnie sterować. Botnety są między innymi wykorzystywane do ataków DDoS.

MFA (Multi-Factor Authentication) – logowanie wymagające więcej niż jednego sposobu potwierdzenia tożsamości, na przykład hasła oraz aplikacji uwierzytelniającej.