Cyberbezpieczeństwo długo było kojarzone z korporacjami, działami IT i specjalistami od polityk bezpieczeństwa. Tymczasem w 2025 roku zespół CERT Polska odnotował ponad 260 000 unikalnych incydentów bezpieczeństwa — wzrost o 152% w porównaniu do roku poprzedniego (Raport roczny CERT Polska 2025, NASK). Atakujący coraz rzadziej celują w duże organizacje z rozbudowanymi działami IT, bo te są coraz lepiej chronione. Zamiast tego mierzą w MŚP — firmy z wartościowymi danymi klientów, często bez pełnoetatowego specjalisty ds. bezpieczeństwa.
Dobre wiadomości są takie, że większość ataków opiera się na tych samych, dobrze znanych metodach: phishingu, słabych hasłach i niełatanym oprogramowaniu. To oznacza, że skuteczna ochrona nie wymaga wielotysięcznych inwestycji — wymaga wiedzy i systematyczności. W tym artykule pokazujemy, jak wyglądają realne zagrożenia dla małej firmy i co konkretnie można wdrożyć, nie czekając na specjalistę.
Skala problemu w Polsce — liczby z raportu CERT Polska 2025
W 2025 roku do systemu CERT Polska wpłynęło 658 320 zgłoszeń. Po weryfikacji 260 783 z nich uznano za rzeczywiste incydenty bezpieczeństwa — to ponad 700 potwierdzonych incydentów każdego dnia. Rok 2025 był pod tym względem rekordowy: liczba incydentów wzrosła o 152% w stosunku do 2024 roku, kiedy CERT rejestrował 103 449 przypadków.
Struktura zagrożeń jest znamienna: 97% incydentów stanowiły oszustwa komputerowe, w tym phishing (wyłudzenie danych logowania lub pieniędzy), fałszywe inwestycje i wymuszenia finansowe. Ransomware — ataki szyfrujące dane firmy i żądające okupu — dotknęły 179 podmiotów (wzrost o 21% rok do roku), co przekłada się na jeden potwierdzony atak ransomware co drugi dzień. Liczba złośliwych domen na liście ostrzeżeń CERT wzrosła do 250 000 (wzrost o 166%), a łączna liczba zablokowanych prób dostępu do szkodliwych adresów przekroczyła 140 milionów w całym roku.
Odrębny problem stanowią SMS-y. W 2025 roku CERT Polska przeanalizował ponad 350 000 podejrzanych wiadomości SMS i zablokował 1,88 miliona szkodliwych SMS-ów (wzrost o 27%). Wiele z nich udaje powiadomienia o dopłatach do przesyłek kurierskich, zaległych fakturach lub prośby o „weryfikację konta bankowego”. Ofiara klika w link, który otwiera fałszywą stronę banku lub operatora.
Na tle europejskim Polska wyróżnia się niekorzystnie: według raportu State of Ransomware Poland 2024 (Sophos) w pierwszej połowie 2025 roku na nasz kraj przypadało 6% wszystkich globalnych ataków ransomware — najwyższy udział w Europie Środkowej. To nie przypadek: Polska jest szóstą największą gospodarką UE, ma dynamicznie rosnący sektor MŚP i — jak pokazują raporty — firmy z niewystarczająco zabezpieczoną infrastrukturą cyfrową.
Jak działa phishing i dlaczego AI go zmienia
Phishing to atak, w którym napastnik podszywa się pod godnego zaufania nadawcę — bank, firmę kurierską, kontrahenta, urząd skarbowy — i próbuje skłonić pracownika do podania hasła, pobrania szkodliwego pliku lub kliknięcia w link prowadzący do fałszywej strony logowania.
Według raportu ENISA Threat Landscape 2025 (Europejska Agencja ds. Cyberbezpieczeństwa), phishing stanowi punkt wejścia w 60% wszystkich incydentów bezpieczeństwa analizowanych w Europie. Ale to, co zmieniło się w ostatnich dwóch latach, to jakość tych ataków. Ponad 80% globalnych kampanii phishingowych korzysta dziś z treści generowanych lub ulepszanych przez AI — brakuje im literówek i gramatycznych dziwactw, które kiedyś były głównym sygnałem ostrzegawczym. Wiadomości są spersonalizowane, dopasowane do branży, a nawet do stylu komunikacji konkretnej firmy, jeśli atakujący zebrał dane z jej strony lub mediów społecznościowych.
Nową metodą jest quishing — phishing przez kody QR. Napastnik wysyła e-mail z prośbą o „zeskanowanie kodu QR, żeby zweryfikować konto” lub „potwierdzić dostęp do systemu”. Większość korporacyjnych filtrów antyspamowych nie analizuje treści obrazków, więc wiadomość przechodzi bez ostrzeżeń i trafia do skrzynki odbiorczej.
Typowy scenariusz w MŚP: pracownik działu handlowego dostaje wiadomość pozornie od głównego kuriera, z prośbą o potwierdzenie adresu dostawy przez link. E-mail wygląda identycznie jak normalna korespondencja — ten sam nagłówek, logo, zbliżona domena (np. dpd-potwierdzenie.pl zamiast dpd.com). Po kliknięciu otwiera się strona z formularzem logowania. W ten sposób atakujący zdobywa dane do CRM-u, skrzynki mailowej albo systemu ERP.
Vishing to odmiana telefoniczna: atakujący dzwoni, podając się za pracownika banku lub helpdesku IT, i prosi o podanie danych logowania lub kodu SMS „w celu weryfikacji”. Przy wsparciu AI generatywnej synteza głosu pozwala podszywać się nawet pod znane ofierze głosy — w tym przełożonych czy partnerów biznesowych.
Wektorem ataku jest też info-stealer — złośliwe oprogramowanie instalowane na komputerze (często przez fałszywą stronę z oprogramowaniem lub krakowanym programem), które cicho zbiera hasła zapisane w przeglądarce, tokeny sesyjne i dane do VPN. ENISA wskazuje, że w 2025 roku Lumma Stealer był najczęściej spotykanym narzędziem tego typu w Europie. Po zebraniu danych napastnik sprzedaje je na podziemnych rynkach lub sam wykorzystuje do wtargnięcia do systemów firmowych — bez żadnej interakcji po stronie ofiary, poza jednorazowym uruchomieniem zainfekowanego pliku.
Ransomware — szyfrowanie danych i żądanie okupu
Ransomware to oprogramowanie, które po uruchomieniu na komputerze — najczęściej przez kliknięcie w załącznik z phishingu lub przez exploit niezaktualizowanego oprogramowania — szyfruje pliki na dysku i w podłączonych zasobach sieciowych. Firma traci dostęp do dokumentów, faktur, baz danych klientów, kopii umów — wszystkiego, co nie ma aktualnej kopii zapasowej poza zasięgiem zainfekowanej sieci. Następnie pojawia się żądanie okupu w kryptowalucie.
Atak ransomware kosztuje polskie firmy coraz więcej. Wg raportu State of Ransomware Poland 2024 (Sophos) 13% polskich firm dotkniętych atakiem ransomware poniosło straty przekraczające milion złotych, a 8% — ponad 5 milionów złotych. W kosztach uwzględnia się zarówno ewentualny okup, jak i koszty przestoju operacyjnego, odtworzenia danych i specjalistów od reagowania na incydenty. Globalnie cyberprzestępczość kosztowała w 2024 roku szacunkowo 9,5 biliona dolarów — i trend jest rosnący.
Coraz częstszym wektorem ataków jest łańcuch dostaw: napastnicy celują w dostawcę oprogramowania, biuro rachunkowe lub firmę IT obsługującą kilkudziesięciu klientów, żeby przez jedno wejście uderzyć w wiele podmiotów jednocześnie. Jak wskazuje ENISA, naruszenie bezpieczeństwa jednego dostawcy może „wzmocnić ryzyko w całym połączonym ekosystemie cyfrowym”. Jeśli korzystasz z zewnętrznego biura rachunkowego lub dostawcy SaaS, ich naruszenie może dotyczyć danych Twojej firmy, nawet jeśli Twoja własna infrastruktura jest skonfigurowana poprawnie.
Model biznesowy przestępców zmienił się w ostatnich latach: Ransomware-as-a-Service (RaaS) oznacza, że grupy kryminalne udostępniają narzędzia do ataków na zasadzie subskrypcji lub podziału zysku. Zamiast programistycznych umiejętności, atakujący potrzebuje dziś tylko kupić dostęp do gotowego zestawu narzędzi. To obniżyło próg wejścia dla nowych grup przestępczych i zwiększyło liczbę incydentów.
Ostrzeżenie: zapłacenie okupu nie gwarantuje odzyskania danych. Część grup ransomware po otrzymaniu płatności nie dostarcza klucza do odszyfrowania lub dostarcza klucz uszkodzony. Firma traci zarówno pieniądze, jak i dane, a płatność finansuje kolejne ataki. Europejskie organy ścigania (Europol, CERT-EU) aktywnie odradzają płacenie.
Jedynym skutecznym zabezpieczeniem przed ransomware jest kopia zapasowa poza zasięgiem zainfekowanej sieci. Szczegółową strategię backupu — regułę 3-2-1, wybór NAS, chmury i harmonogram testów odtwarzania — opisaliśmy w artykule Backup danych firmowych MŚP 2026 — reguła 3-2-1, NAS i chmura w praktyce.
RODO po cyberataku — dodatkowe ryzyko, o którym mało kto mówi
Firmy, które padły ofiarą cyberataku i doszło do wycieku danych osobowych — klientów, pracowników, kontrahentów — mają dodatkowe obowiązki wynikające z RODO, niezależnie od tego, że same są ofiarami.
Art. 33 RODO nakłada obowiązek zgłoszenia naruszenia do Prezesa UODO w ciągu 72 godzin od jego wykrycia. Jeśli naruszenie rodzi wysokie ryzyko dla praw lub wolności osób fizycznych (np. wyciek numerów PESEL, danych kart płatniczych, danych zdrowotnych), art. 34 RODO wymaga też powiadomienia tych osób — bez zbędnej zwłoki.
Brak zgłoszenia lub spóźnione zgłoszenie to osobna podstawa do kary — niezależna od strat z samego cyberataku. W 2025 roku UODO nałożył 32 kary o łącznej wartości 64,5 mln złotych (dane UODO 2025). Najczęstszym powodem był właśnie brak odpowiednich środków technicznych i organizacyjnych, który doprowadził do naruszenia bezpieczeństwa infrastruktury IT.
Typowy scenariusz: właściciel sklepu internetowego z bazą kilku tysięcy klientów pada ofiarą ransomware. Ma 72 godziny, żeby ocenić skalę wycieku, skonsultować się z prawnikiem (lub Inspektorem Ochrony Danych), złożyć zawiadomienie do UODO i zdecydować, czy powiadamiać klientów — wszystko to w środku kryzysu operacyjnego, gdy cały zespół zajmuje się odtwarzaniem danych. Bez wcześniejszej procedury decyzje podejmowane są pochopnie, a kara UODO dochodzi do strat z przestoju.
Warto pamiętać, że nie każdy cyberatak powoduje wyciek danych osobowych w rozumieniu RODO — szyfrowanie plików przez ransomware, które nie dotarło do bazy danych, może nie wymagać zgłoszenia. Jeśli jednak atakujący uzyskał dostęp do pliku z numerami PESEL pracowników, danych kart płatniczych klientów, informacji zdrowotnych lub danych dzieci — ryzyko uznaje się za wysokie i obowiązek powiadomienia osób, których dane dotyczą, niemal pewnie powstaje. Granica nie zawsze jest oczywista, dlatego procedura incydentowa powinna uwzględniać szybką konsultację z IOD lub prawnikiem RODO.
Warto zaznaczyć, że ubezpieczenie cyber może pokryć część kosztów reagowania na incydent, w tym koszty obsługi prawnej i powiadomień. Szczegóły tego, co obejmują polisy cybernetyczne dostępne dla MŚP, opisaliśmy w artykule Ubezpieczenie firmy 2026 — OC zawodowe, mienie i cyber dla MŚP.
Pięć działań, które każde MŚP może wdrożyć bez specjalisty IT
Rekomendacje ENISA Threat Landscape 2025 dla MŚP skupiają się na pięciu obszarach, które nie wymagają wielotysięcznych budżetów ani dedykowanego działu bezpieczeństwa.
1. Uwierzytelnianie wieloskładnikowe (MFA) wszędzie, gdzie to możliwe
MFA (weryfikacja dwuetapowa) to dodatkowy kod generowany przez aplikację (Microsoft Authenticator, Google Authenticator, Authy) lub wysyłany SMS-em po podaniu hasła. Nawet jeśli atakujący pozna hasło przez phishing, bez drugiego składnika nie może się zalogować.
Priorytet wdrożenia: konto poczty firmowej, CRM, panel bankowy i płatności, systemy ERP/FK, chmura (Google Workspace, Microsoft 365). Każda z tych usług ma MFA w standardzie — wymaga tylko włączenia w ustawieniach konta administratora. Dla Google Workspace i Microsoft 365 jest to opcja w panelu administracyjnym i zajmuje kilkanaście minut.
2. Aktualizacje oprogramowania bez odkładania
ENISA wskazuje, że 21,3% ataków zaczyna się od eksploatowania znanych luk w niezaktualizowanym oprogramowaniu — systemach operacyjnych, przeglądarkach, wtyczkach WordPress, oprogramowaniu ERP. Napastnicy regularnie skanują internet pod kątem konkretnych wersji oprogramowania znanych z podatności i często atakują w ciągu dni od opublikowania informacji o luce.
Praktyczna zasada: automatyczne aktualizacje dla systemów operacyjnych i przeglądarek. Comiesięczna kontrola aktualizacji dla pozostałego oprogramowania — w tym WordPressa, WooCommerce i wtyczek, jeśli prowadzisz stronę. Stara wersja WordPressa jest jednym z najczęściej exploitowanych wektorów ataków na MŚP w Polsce.
3. Kopia zapasowa offline lub w wyizolowanej chmurze
Kopia zapasowa zamontowana na stałe jako dysk sieciowy nie chroni przed ransomware — oprogramowanie szyfruje ją razem z resztą. Skuteczna kopia musi być fizycznie lub logicznie oddzielona od sieci, do której dostęp miał zainfekowany komputer.
Minimum: kopia dzienna na dysk zewnętrzny odłączany po backupie lub do serwisu chmurowego z wersjonowaniem i opcją immutable backup (np. Backblaze B2 z Object Lock, Wasabi z immutable buckets). Testuj odtwarzanie raz na kwartał — backup, którego nie przetestowałeś, to backup, który może nie zadziałać w kryzysie.
4. Szkolenie pracowników — minimum raz na pół roku
Większość ataków zaczyna się od ludzkiego błędu: kliknięcia w link, otwarcia załącznika, ujawnienia hasła przez telefon. Szkolenie nie musi być wielogodzinnym kursem — wystarczy 30-45 minut raz na pół roku, z konkretnymi przykładami phishingowych wiadomości i ćwiczeniem rozpoznawania podejrzanych e-maili i SMS-ów.
Wiele firm IT oferuje symulowane kampanie phishingowe: pracownicy dostają spreparowaną wiadomość i widzą, czy kliknęli. Wynik symulacji daje konkretną miarę podatności zespołu — i motywację do poważnego traktowania tematu. Bezpłatne narzędzie od samego CERT Polska to serwis moje.cert.pl, gdzie każdy pracownik może sprawdzić, czy jego dane logowania były w przeszłości wycieknięte.
5. Procedura reagowania na incydent
Pracownik, który kliknął w podejrzany link, często tego nie zgłasza z obawy przed konsekwencjami. Brak procedury powoduje, że przez wiele godzin — a czasem dni — atakujący ma dostęp do systemu, zanim ktokolwiek to zauważy.
Warto wdrożyć prostą zasadę: każde podejrzane zdarzenie zgłaszamy natychmiast, bez konsekwencji dyscyplinarnych dla osoby zgłaszającej. Wyznacz jedną osobę odpowiedzialną za kontakt w sprawach bezpieczeństwa. Wklej do komunikatora firmowego i skrzynki mailowej kontakt do CERT Polska (zgłoszenia: cert.pl, SMS na numer 8080) i do swojego dostawcy hostingu lub IT. Miej pod ręką też dane kontaktowe do IOD (Inspektora Ochrony Danych) lub kancelarii prawnej zajmującej się RODO — 72-godzinny zegar do UODO zaczyna biec od momentu wykrycia naruszenia, nie od złożenia pierwszego raportu incydentu.
Podsumowanie
W 2025 roku liczba incydentów bezpieczeństwa w Polsce wzrosła o 152%, ataki ransomware kosztują polskie firmy od setek tysięcy do milionów złotych, a AI-generowane wiadomości phishingowe są dziś trudne do odróżnienia od legalnej korespondencji. Do tego dochodzi RODO: firma, która padła ofiarą cyberataku i straciła dane klientów, ma 72 godziny na zgłoszenie incydentu do UODO — pod groźbą dodatkowej kary.
Zdecydowana większość ataków na MŚP opiera się na tych samych słabościach: brak MFA, niezaktualizowane systemy, pracownicy bez podstawowej wiedzy i kopie zapasowe, które okazują się niedostępne w chwili kryzysu. Uszczelnienie tych punktów nie wymaga dużego budżetu — wymaga decyzji i kilku godzin pracy.
Wskazówka: zacznij od audytu, gdzie w firmie używacie haseł bez MFA. Lista jest zazwyczaj krótsza, niż się wydaje — i każdy punkt z tej listy to realne zagrożenie, które można wyeliminować w ciągu godziny. Jeśli chcesz wiedzieć, jak wygląda takie przejście w praktyce dla firmy Twojej wielkości — chętnie podpowiemy.