W co czwartej przestępcom udało się je wykraść. Z kradzieżą lub próbą wyłudzenia danych zetknęło się 68 proc. średnich firm i niemal co druga mikrofirma. Oszuści podszywają się m.in. pod kontrahentów, banki i urzędy, wykorzystując fałszywe e-maile, SMS-y i podrobione panele logowania. Tak wynika z badania przeprowadzonego na zlecenie serwisu ChronPESEL.pl i Krajowego Rejestru Długów. Co istotne, nawet po zabezpieczeniu firmowych systemów przedsiębiorca nie odzyska kontroli nad danymi, które już zostały skradzione.
Gdy ma skradzione dane trafią do AI, technologia potrafi zdziałać cuda
Międzynarodowa firma inżynieryjno-projektowa Arup z Hong Kongu. W roku 2024, za pośrednictwem wewnętrznych kanałów komunikacji jeden z księgowych otrzymał od dyrektora finansowego ,,poufne polecenie” dokonania przelewów na konto 5 kontrahentów. Operację potwierdziła rozmowa video z kierownictwem firmy. Pracownik przelał w 15 operacjach ok. 25 mln USD. Sprawę wykryto gdy po tygodniu skontaktował się z centralą osobiście.
Dwa razy więcej firm zetknęło się z próbą wyłudzenia niż ukradziono dane
Kradzieże danych osobowych i próby ich wyłudzenia stanowią poważny problem dla sektora MŚP. Co najmniej jednego z tych zdarzeń doświadczyło 58 proc. badanych firm. Próby wyłudzenia wskazało 48 proc., kradzież danych – 24 proc., a oba rodzaje incydentów – 14 proc. Próba wyłudzenia danych powinna być dla przedsiębiorcy sygnałem alarmowym, nawet jeśli nie doszło do ich kradzieży. - Nie wystarczy usunąć podejrzanej wiadomości i uznać, że problemu nie ma. Trzeba sprawdzić, czy ktoś z pracowników nie przekazał poufnych informacji, nie ujawnił hasła lub nie zalogował się przez fałszywy link. Brak natychmiastowych strat nie oznacza, że firmowe dane są bezpieczne – ostrzega Bartłomiej Drozd, ekspert serwisu ChronPESEL.pl.
Cyberoszustwo ukryte w codziennej korespondencji, tak najczęściej przestępcy próbują uzyskać firmowe dane
Próba wyłudzenia danych nie zawsze zaczyna się od podejrzanej wiadomości z nieznanego adresu. Oszuści podszywają się pod osoby i instytucje, z którymi przedsiębiorcy współpracują na co dzień. Wśród firm, które zetknęły się z próbą wyłudzenia danych, 57 proc. wskazało fałszywe e-maile, SMS-y lub wiadomości w komunikatorach i mediach społecznościowych.
Z kolei 42 proc. doświadczyło prób wyłudzenia za pośrednictwem podrobionych stron internetowych, formularzy lub paneli logowania. Fałszywy kontrahent może np. poinformować o zmianie sposobu obsługi zamówień i przesłać link do nowego panelu. W rzeczywistości prowadzi on do strony, na której przestępcy przechwytują dane dostępowe do firmowego konta.
Próby wyłudzenia podczas rozmów telefonicznych wskazało 30 proc. firm z tej grupy. Oszuści podają się za pracowników banków, urzędów lub kontrahentów i pod pretekstem pilnej weryfikacji nakłaniają do przekazania poufnych informacji.
Fałszywe ogłoszenia, oferty, przetargi, zamówienia lub prośby o przesłanie dokumentów wskazało 25 proc. firm z tej grupy. Przedsiębiorca może otrzymać fikcyjne zapytanie ofertowe albo zaproszenie do udziału w przetargu. Aby zapoznać się z dokumentacją, zostaje skierowany na podrobioną stronę wymagającą logowania lub podania danych osobowych. Innym razem oszust podszywający się pod księgową prosi o dane pracowników, rzekomo potrzebne do rozliczeń.
– Po przejęciu firmowej poczty oszust nie musi wymyślać wiarygodnego pretekstu. Ma dostęp do prawdziwych zamówień i ustaleń z kontrahentami, więc może włączyć się do trwającej korespondencji i wyłudzić dane, korzystając z autentycznego adresu firmy. W takiej sytuacji samo sprawdzenie nadawcy nie wystarczy. Nietypową prośbę o poufne informacje warto potwierdzić samodzielnie, najlepiej telefonicznie pod znanym wcześniej numerem – przestrzega Bartłomiej Drozd.
Później, dysponując takimi danymi może dokonać oszustwa, podszywając się pod ludzi z firmy, jak darzyło się w Singapurze. Oszuści za pomocą firmowego Zooma, udając prezesa i pracowników firmy (deepfake video) odbyli rozmowę z dyrektorem finansowym, a w jej skutku ów przelał ok. 500 tysięcy USD na konto oszustów. Gdy ci zażądali kolejnych 1, 4 mln USD pracownik zorientował się, że coś jest nie tak i zgłosił sprawę bankowi HSBC i policji. Ta na szczęście odnalazła pieniądze i oszustów, w samym Singapurze i Hong-Kongu.
Przejęte konto, zainfekowany komputer, zgubiony pendrive: tak firmy są kradzione z dane
Wśród podmiotów z sektora MŚP, które doświadczyły kradzieży danych osobowych, 38 proc. wskazało włamanie do firmowego konta, systemu lub bazy danych, a 36 proc. – zainfekowanie urządzenia albo systemu złośliwym oprogramowaniem. Z kolei 31 proc. wiązało utratę informacji z ich przekazaniem za pośrednictwem fałszywej wiadomości, rozmowy telefonicznej lub strony internetowej.
Nie każda kradzież danych wymaga ataku przez Internet. Co czwarta firma z tej grupy wskazała zgubienie lub kradzież dokumentów, sprzętu albo nośnika danych, np. laptopa, telefonu czy pendrive'a.
Utrata służbowego laptopa lub telefonu może oznaczać znacznie poważniejsze straty niż koszt samego urządzenia. Jeśli przechowywane na nim dane klientów lub pracowników nie są odpowiednio zabezpieczone, mogą trafić w niepowołane ręce. Dlatego oprócz zabezpieczania firmowych systemów i szkolenia pracowników ważne są również szyfrowanie danych oraz ochrona sprzętu i dokumentów wykorzystywanych poza biurem.
Niemal co druga mikrofirma zetknęła się z kradzieżą lub próbą wyłudzenia danych
Skala problemu różni się w zależności od wielkości przedsiębiorstwa. Kradzieży lub próby wyłudzenia danych doświadczyło 68 proc. średnich firm, 62 proc. małych i 46 proc. mikrofirm. Choć większe podmioty częściej deklarują takie incydenty, również niemal co drugi mikroprzedsiębiorca zetknął się z tym zagrożeniem.
– Niższy odsetek firm deklarujących takie zdarzenia nie musi oznaczać, że mikroprzedsiębiorcy są bezpieczniejsi. Wśród średnich firm, które zetknęły się z kradzieżą lub próbą wyłudzenia danych, połowa wskazała, że incydent został wykryty przez dział IT lub zewnętrznych informatyków. W mikrofirmach było to zaledwie 24 proc. Część zagrożeń w najmniejszych przedsiębiorstwach może więc po prostu pozostać niezauważona – podkreśla Bartłomiej Drozd.
Dziennikarz z zawodu i zamiłowania. Zajmuje się tematyką gospodarczą, prawną i finansową, szczególnie nowymi technologiami, i komunikacją oraz mediami. Poza dziennikarstwem zajmuje się fotografią, jeździ na nartach i uwielbia Hiszpanię. Z marką INFOR związany wcześniej, zaczynał przygodę z dziennikarstwem w Gazecie Prawnej. Od kwietnia 2026 r. już jako dziennikarz internetowy przygotowuje i publikuje artykuły na portalu Forsal.pl.
