Cyberzagrożenia dla firm: przewodnik dla MŚP

Największe cyberzagrożenia dla małych firm to phishing, ransomware, oszustwa na przelew (BEC) i wycieki danych. Atak jest najczęściej automatyczny - skanery nie wybierają po wielkości, tylko szukają luki: otwartej usługi, braku MFA czy domeny podatnej na podszycie. Mała firma jest celem nie mimo swojej wielkości, lecz dlatego, że bywa łatwiejsza. Pierwszy krok obrony to sprawdzić, co widać z internetu.

Ten przewodnik pokazuje każde z tych zagrożeń osobno: jak naprawdę wygląda atak, dlaczego działa na firmę bez działu IT i jakie jedno działanie ogranicza ryzyko najszybciej. Bez straszenia i bez żargonu - z konkretnymi danymi, w tym z naszych własnych badań z polskich gabinetów, biur rachunkowych i klinik.

1. Czy moja firma jest na celowniku?

Tak, choć prawie nigdy nie chodzi o Was osobiście. Zdecydowana większość ataków na małe firmy jest automatyczna: programy przeszukują całe zakresy polskich adresów IP i zatrzymują się tam, gdzie znajdą lukę. Skaner nie pyta, ilu macie pracowników - sprawdza, czy port jest otwarty, czy hasło wyciekło i czy pod domenę da się podszyć. W tym modelu wielkość firmy nie ma znaczenia, a bywa wręcz wabikiem, bo mniejszy podmiot rzadziej ma zabezpieczenia. Tempo jest bezlitosne: nową usługę wystawioną do internetu automaty znajdują często w ciągu kilkunastu minut od jej pojawienia się. Nie ma okna “jesteśmy zbyt nowi albo zbyt mali, żeby ktoś zdążył nas znaleźć” - skanowanie trwa całą dobę, bez przerwy.

Mit “jesteśmy za mali, żeby ktoś nas zaatakował” jest najkosztowniejszym założeniem w MŚP. Według raportu Verizon Data Breach Investigations Report małe i średnie firmy stanowią bardzo dużą część ofiar naruszeń - nie dlatego, że są atrakcyjniejsze niż korporacje, lecz dlatego, że łatwiej je złamać masowo. Atakujący stosują ekonomię skali: tysiąc słabo zabezpieczonych gabinetów to lepszy interes niż jedna dobrze chroniona sieć szpitali.

Nasze badania to potwierdzają wprost. W skanach, które przeprowadziliśmy na domenach polskich gabinetów stomatologicznych, klinik estetycznych i biur rachunkowych, żadna firma nie uzyskała oceny wyższej niż C, a 83% dostało ocenę D lub F. To nie były firmy wybrane jako szczególnie zaniedbane - to typowy przekrój rynku, który widzimy z zewnątrz, dokładnie tak, jak widzi go atakujący.

Do tego dochodzi wartość danych. Dane medyczne pacjenta i komplet danych finansowych klienta są na czarnym rynku warte wielokrotnie więcej niż sam numer karty płatniczej (IBM X-Force). Gabinet i biuro rachunkowe siedzą więc na łupie, którego skala nie odzwierciedla wielkości firmy. Jeśli dopiero układacie podstawy, zacznijcie od przewodnika cyberbezpieczeństwo dla małej firmy.

2. Krajobraz zagrożeń w Polsce: liczby 2025-2026

Skala incydentów w Polsce rośnie z roku na rok. CERT Polska w raporcie rocznym za 2025 zarejestrował 260 783 unikalne incydenty przy 658 320 przyjętych zgłoszeniach - to wzrost liczby incydentów o 152% rok do roku, choć część tego skoku CERT przypisuje lepszemu wykrywaniu zdarzeń. Aż 97% zarejestrowanych incydentów to oszustwa komputerowe: phishing, fałszywe sklepy i inwestycje, wyłudzenia danych i pieniędzy - dokładnie te kategorie, które najmocniej dotykają małych firm.

Dla właściciela liczba rzędu ćwierć miliona incydentów rocznie jest abstrakcyjna, dopóki nie przełoży się na typ ataku. Większość tych incydentów to nie celowane operacje, lecz masowe kampanie: fałszywe e-maile, podstawione strony płatności i złośliwe załączniki rozsyłane setkami tysięcy. Wpadacie w nie nie dlatego, że ktoś Was wybrał, lecz dlatego, że Wasz adres znalazł się na liście. To zmienia podejście do obrony - chodzi o to, by nie być łatwym celem, a nie o to, by stać się niewidzialnym.

Te statystyki układają się w jeden wniosek operacyjny: nie musicie być na czyjejś liście, żeby paść ofiarą. Wystarczy, że Wasza domena lub serwer znajdą się w zakresie, który ktoś właśnie skanuje. Dlatego obrona zaczyna się od zbadania własnej powierzchni ataku - tego, co firma pokazuje na zewnątrz.

Tu znowu mówią nasze dane. W tych samych skanach 94% firm nie miało nawet podstawowego nagłówka HSTS wymuszającego szyfrowane połączenie, a w głębszych skanach regularnie znajdowaliśmy usługi, które nigdy nie powinny być widoczne z internetu. Innymi słowy: zanim pojawi się “wyrafinowany haker”, większość ryzyka bierze się z rzeczy, które firma wystawia przypadkiem i o których nie wie. Kolejne sekcje rozkładają to na poszczególne zagrożenia.

3. Phishing i socjotechnika

Phishing jest najczęstszym pierwszym krokiem ataku. To fałszywa wiadomość - e-mail, SMS, czasem telefon - która podszywa się pod bank, dostawcę, urząd albo kontrahenta i nakłania odbiorcę do kliknięcia w link, otwarcia załącznika lub podania hasła. Działa, bo celuje w człowieka pod presją czasu, a nie w system. Jeden kliknięty link pracownika recepcji wystarczy, by atakujący wszedł do firmowej poczty.

Socjotechnika jest skuteczna właśnie w małej firmie, gdzie jedna osoba odbiera pocztę, wystawia faktury i odpisuje klientom. Atakujący podszywa się pod znaną markę albo pod samego właściciela (“proszę pilnie opłacić tę fakturę”) i liczy na rutynę. Im bardziej wiadomość przypomina codzienną korespondencję, tym mniejsza szansa, że ktoś się zatrzyma.

Typowy scenariusz w gabinecie wygląda zupełnie zwyczajnie. Recepcja dostaje e-mail “Zaległa faktura za przedłużenie domeny - za 24 godziny utracisz dostęp”, z logo znanego rejestratora i linkiem do strony logowania łudząco podobnej do prawdziwej. Osoba pod presją wpisuje dane, a atakujący ma już dostęp do panelu domeny albo do poczty. Ta sama metoda działa pod szyldem kuriera, banku czy ZUS-u - zmienia się tylko opakowanie. Dlatego samo szkolenie nie wystarcza; potrzebne są też zabezpieczenia techniczne, które wyłapią błąd, zanim ktoś narobi szkód.

Najważniejsza obrona techniczna jest często pomijana: poprawna konfiguracja poczty. Trzy rekordy DNS - SPF, DKIM i DMARC - decydują o tym, czy ktoś może rozsyłać e-maile podszywające się pod Waszą domenę. Z naszych badań wynika, że to dziura masowa: 56% przeskanowanych firm nie miało rekordu DKIM, a 50% nie miało DMARC albo miało go ustawionego wyłącznie na monitorowanie (p=none), co w praktyce nie blokuje podszycia. Jak to sprawdzić i naprawić, pokazujemy krok po kroku w tekście o SPF, DKIM i DMARC dla biur rachunkowych. Phishing rozbieramy na części - od rodzajów ataku po trzy warstwy obrony - w przewodniku phishing: co to jest i jak się chronić.

4. Ransomware

Ransomware blokuje dostęp do Waszych danych i żąda okupu za ich odszyfrowanie. Dla gabinetu czy biura oznacza to dzień, w którym nie otwiera się kartoteka pacjentów, system rejestracji ani pliki księgowe - a telefon dzwoni dalej. Realny koszt to rzadko sam okup; to przede wszystkim przestój, odtwarzanie danych i obowiązek zgłoszenia naruszenia. Według badania Sophos State of Ransomware koszty odtworzenia po ataku regularnie wielokrotnie przewyższają żądany okup.

Atak prawie nigdy nie zaczyna się od filmowego włamania. Najczęstszą drogą wejścia jest usługa wystawiona do internetu: pulpit zdalny RDP, panel administracyjny albo otwarta baza danych (analogicznie: wystarczy zostawić uchylone okno w domu, aby ułatwić włamywaczowi wejście). Atakujący znajduje ją skanerem, dobiera, łamie lub kupuje hasło i instaluje ransomware. Mechanizm jednego otwartego portu opisujemy na konkretnym przykładzie w tekście jeden otwarty port: jak ransomware trafia do firm.

Od wejścia do zaszyfrowania mija zwykle od kilku godzin do kilku dni. W tym czasie atakujący rozgląda się po sieci, wykrada kopię danych (żeby później grozić ich publikacją) i kasuje kopie zapasowe, które znajdzie. To dlatego backup podłączony na stałe do tego samego komputera nie jest backupem - ginie razem z resztą. Liczy się kopia odseparowana: offline albo niezmienialna (tzw. immutable), do której ransomware nie sięga. Sprawdźcie też, czy potraficie ją realnie odtworzyć - nieprzetestowana kopia to założenie, nie zabezpieczenie.

Skala tego problemu w naszych danych jest uderzająca. Spośród firm, które objęliśmy głębszym skanem usług, aż 60% miało publicznie dostępną bazę danych MySQL (port 3306), a 40% wystawiony serwer FTP bez szyfrowania. Każda taka usługa to gotowe drzwi - nie trzeba nawet phishingu, żeby przez nie wejść. Dlatego dwie rzeczy ograniczają ryzyko ransomware najszybciej: zamknięcie usług, których nie musicie wystawiać, oraz kopia zapasowa w modelu 3-2-1 (trzy kopie, dwa nośniki, jedna poza siedzibą), której atakujący nie zaszyfruje razem z resztą. Ransomware rozbieramy na części - od dróg wejścia po kopię zapasową, która przetrwa atak, i procedurę godzina po godzinie - w przewodniku ransomware: co to jest i jak chronić firmę.

5. BEC i oszustwa na przelew

BEC (Business Email Compromise, czyli oszustwo na firmowy e-mail) to atak, który uderza prosto w pieniądze. Schemat jest powtarzalny: atakujący przejmuje dostęp do skrzynki - najczęściej przez phishing lub hasło z wycieku - i przez kilka tygodni czyta korespondencję, ucząc się, kto, komu i kiedy płaci. Następnie, tuż przed terminem przelewu, wysyła prawdziwie wyglądającą fakturę ze zmienionym numerem konta. Pieniądze trafiają na rachunek tzw. słupa, zanim ktokolwiek się zorientuje.

Biuro rachunkowe jest tu celem szczególnym, bo zarządza przelewami wielu klientów i pracuje pod presją terminów - JPK, ZUS, płatności kontrahentów. W tym rytmie podmieniona faktura łatwo przechodzi niezauważona. BEC od lat należy do najbardziej kosztownych kategorii przestępstw zgłaszanych do FBI IC3, a w polskich realiach pojedyncza udana podmiana potrafi pochłonąć równowartość kilkumiesięcznych przychodów małej firmy.

Dwie luki z naszych skanów wprost ułatwiają ten atak. Po pierwsze, hasła w wyciekach: u 17% firm służbowy adres e-mail pojawił się w znanym wycieku razem z hasłem w postaci jawnej - to gotowy klucz do skrzynki. Po drugie, domeny-sobowtóry: u części firm istniały już zarejestrowane warianty ich domeny z aktywną pocztą, gotowe do podszycia. Obrona to MFA na poczcie, weryfikacja każdej zmiany numeru konta drugim kanałem (telefon, nie odpowiedź na ten sam e-mail) oraz monitorowanie wycieków. Więcej w przewodniku cyberbezpieczeństwo biura rachunkowego.

6. Wyciek danych, słabe hasła i wystawione usługi

Wyciek danych rzadko jest pojedynczym, spektakularnym zdarzeniem - częściej to skutek powolnego zaniedbania. Najczęstsza droga prowadzi przez hasła. Atakujący biorą miliardy par login-hasło z wcześniejszych wycieków i automatycznie testują je na kolejnych usługach (to credential stuffing). Jeśli pracownik użył tego samego hasła do prywatnego serwisu i do firmowej poczty, jedno stare naruszenie otwiera Wasz system dziś.

Drugą drogą są usługi wystawione wprost do internetu. Publiczna baza danych, panel administracyjny strony czy serwer plików widoczny z zewnątrz to nie teoretyczne ryzyko - w naszych skanach 6 na 10 głębiej sprawdzonych firm miało taką bazę dostępną publicznie. Dane można z niej pobrać często bez żadnego “włamania”, po prostu się łącząc. Do tego dochodzi brak uwierzytelniania wieloskładnikowego (MFA), który zamienia każde przejęte hasło w pełen dostęp.

Wyciek danych osobowych ma też wymiar prawny. Kradzież kartoteki pacjentów czy bazy klientów to naruszenie ochrony danych, które zwykle trzeba zgłosić do UODO w ciągu 72 godzin, a przy wysokim ryzyku - także powiadomić same osoby. Co dokładnie to oznacza i jak się przygotować, opisujemy w przewodniku RODO i bezpieczeństwo danych w małej firmie. Pierwsze trzy działania obronne są tanie: menedżer haseł, MFA na wszystkich kontach i sprawdzenie, czy hasła firmy nie krążą już w wyciekach.

7. Cyberzagrożenia w trzech branżach

Te same zagrożenia wyglądają inaczej w zależności od tego, jakie dane przetwarzacie i z jakich systemów korzystacie.

Gabinet stomatologiczny. Łupem są dane medyczne i zdjęcia RTG - dane wrażliwe objęte tajemnicą lekarską. Ransomware blokujący system gabinetowy zatrzymuje przyjęcia, a wyciek kartoteki to zarówno kara, jak i utrata zaufania pacjentów. Co z tym zrobić, pokazujemy w przewodniku cyberbezpieczeństwo w gabinecie stomatologicznym oraz na stronie usługi dla gabinetów stomatologicznych.

Biuro rachunkowe. Tu dominują phishing i BEC, bo na końcu zawsze są pieniądze i terminy. Dochodzi podwójna odpowiedzialność: za dane własne i za dane klientów, które przetwarzacie w ich imieniu. Szczegóły w przewodniku cyberbezpieczeństwo biura rachunkowego i na stronie usługi dla biur rachunkowych.

Klinika medycyny estetycznej. Najwrażliwszym zasobem są zdjęcia pacjentek przed i po zabiegu - dane o zdrowiu, a zarazem kwestia wizerunku. Wyciek lub publikacja bez zgody to ryzyko prawne i wizerunkowe naraz. Więcej w przewodniku cyberbezpieczeństwo kliniki medycyny estetycznej i na stronie usługi dla klinik medycyny estetycznej.

8. Od czego zacząć: priorytety obrony dla MŚP

Nie trzeba robić wszystkiego naraz. Większość ryzyka opisanego wyżej znika po kilku konkretnych ruchach, a kolejność ma znaczenie. Poniższa tabela sprowadza każde zagrożenie do jednego pierwszego działania obronnego.

Zagrożenie	Jak wygląda atak	Pierwsze działanie obronne
Phishing	Fałszywy e-mail lub SMS nakłania do kliknięcia albo podania hasła	Włączcie MFA i skonfigurujcie SPF, DKIM, DMARC
Ransomware	Szyfrowanie plików i żądanie okupu po wejściu przez wystawioną usługę	Backup 3-2-1 i zamknięcie usług, których nie używacie
BEC (oszustwo na przelew)	Przejęta skrzynka i podmiana numeru konta na fakturze	Weryfikacja zmiany konta drugim kanałem i MFA na poczcie
Wyciek danych	Przejęcie konta hasłem z wycieku, kradzież bazy	Menedżer haseł i sprawdzenie haseł w wyciekach
Wystawiona usługa	Publiczna baza, panel lub FTP widoczny z internetu	Zewnętrzny skan i zamknięcie zbędnych portów
Błąd ludzki	Pomyłkowe wysłanie danych, słabe hasło, brak aktualizacji	Aktualizacje, minimalne uprawnienia i krótkie szkolenie

Jeśli macie zrobić tylko jedno po przeczytaniu tego tekstu, sprawdźcie, co Wasza firma wystawia z internetu. Tego nie da się ocenić od środka - trzeba spojrzeć z zewnątrz, tak jak robi to atakujący. Taki zewnętrzny skan pokazuje otwarte usługi, podatną na podszycie pocztę i wyciekłe hasła, zanim ktoś je wykorzysta. Na tym właśnie polega nasza ocena podatności IT, a jej bezpłatnym pierwszym krokiem jest PreScan. Zakres i warianty znajdziecie w cenniku.

FAQ

Jakie są najczęstsze cyberzagrożenia dla małych firm?

Najczęstsze cyberzagrożenia dla MŚP to phishing i socjotechnika, ransomware, oszustwa na przelew (BEC) oraz wycieki danych przez słabe hasła i wystawione usługi. Łączy je jedno: atak zwykle zaczyna się automatycznie, od luki widocznej z internetu, a nie od wybrania konkretnej firmy. Dlatego dotyczą też najmniejszych gabinetów, biur i klinik.

Czy mała firma naprawdę jest celem cyberataków?

Tak. Większość ataków na MŚP jest automatyczna - skanery przeszukują całe zakresy adresów IP w poszukiwaniu otwartej usługi, braku MFA czy domeny podatnej na podszycie. Mała firma jest celem nie mimo swojej wielkości, lecz dlatego, że bywa słabiej zabezpieczona. Dane medyczne i finansowe dodatkowo zwiększają opłacalność takiego ataku.

Jaki jest najczęstszy sposób ataku na firmy?

Najczęstszym wektorem jest phishing - fałszywy e-mail lub SMS, który nakłania do kliknięcia w link albo podania hasła. Działa, bo celuje w człowieka, nie w system. Druga częsta droga to przejęcie konta hasłem z wcześniejszego wycieku. Obie blokuje ta sama para: uwierzytelnianie wieloskładnikowe (MFA) i poprawna konfiguracja poczty.

Ile kosztuje firmę atak ransomware?

Koszt ransomware to nie tylko ewentualny okup, ale przede wszystkim przestój. Dla małej firmy kilka dni bez systemu do rejestracji, kartoteki czy księgowości oznacza utracone przychody, koszt odtworzenia danych i ryzyko kary za naruszenie ochrony danych. Dlatego sprawny, odseparowany backup jest tańszy niż jakakolwiek negocjacja z atakującym.

Od czego zacząć ochronę firmy przed cyberzagrożeniami?

Zacznijcie od sprawdzenia, co widać z internetu: jakie usługi są wystawione, czy poczta jest zabezpieczona przed podszyciem i czy hasła pracowników nie wyciekły. Taki zewnętrzny skan pokazuje realne luki, zanim znajdzie je atakujący. Następnie włączcie MFA, uporządkujcie kopie zapasowe i zamknijcie usługi, których nie używacie.

Powiązane przewodniki

Jeden otwarty port: jak ransomware trafia do firm
SPF, DKIM i DMARC dla biur rachunkowych
Ocena podatności IT (zewnętrzna) - sprawdza, co Wasza firma wystawia z internetu

Sąsiednie pillary:

Nie wiecie, na które z tych zagrożeń jesteście realnie wystawieni? Zamówcie bezpłatny PreScan - pokażemy, co widać z internetu: otwarte usługi, pocztę podatną na podszycie i wyciekłe hasła, zanim znajdzie je atakujący.