Dostępy, biuro i piątek 16:47. Nikt nie przyjdzie Cię uratować.

W pierwszej części pisałem o ludziach i pieniądzach, a w drugiej o skrzynce, stronie i reputacji. Ta ostatnia część jest o rzeczach, o których właściciele firm myślą najrzadziej: o tym, kto ma klucze do ich kont, co leży na biurku w sali konferencyjnej i w którym momencie tygodnia firma jest najbardziej bezbronna. A na koniec o tym, dlaczego nie warto czekać, aż problem rozwiążą za nas politycy.

06Tożsamość i dostępy. Klucze, które rozdałeś i zapomniałeś

Większość firm myśli o bezpieczeństwie jak o zamku w drzwiach, a w praktyce ważniejsze jest to, ile kluczy do tego zamka jest w obiegu i kto je ma. Hasła, zapamiętane sesje w przeglądarce, uprawnienia aplikacji, konta byłych pracowników i agencji, numer telefonu, na który przychodzą kody. Tu nawet sztuczna inteligencja nie jest potrzebna, bo wystarczy zwykłe zaniedbanie, a najczęściej widzę je przy rozstaniach z wykonawcami. Firma zmienia agencję, a poprzednia wciąż jest administratorem w Google Ads, w Analytics, na hostingu i w DNS, czasem trzy lata po zakończeniu współpracy.

07Biuro i świat offline

Najlepszy firewall nie pomoże, jeśli ktoś wejdzie do biura za pracownikiem, który „zapomniał karty”. Świat fizyczny jest dla atakującego jednocześnie źródłem informacji i drogą wejścia, a firmy, które wydają pieniądze na zabezpieczenia sieci, często zupełnie o nim zapominają. Nie piszę tu o szpiegostwie z filmów, tylko o rzeczach, które realnie zdarzają się w firmach na pięć czy pięćdziesiąt osób: o kurierze z pizzą, której nikt nie zamawiał, o serwisancie, którego nikt nie wzywał, i o kablu, który wygląda dokładnie jak ładowarka.

08Czas. Nie atakuje się miejsca, tylko moment

Czas to nie kolejny obszar, tylko wymiar, który przechodzi przez wszystkie poprzednie. Wystarczy wrócić do scenariuszy z całej serii i policzyć, ile z nich dzieje się w piątek po południu, w nocy, w pierwszym tygodniu miesiąca albo wtedy, gdy szef jest na urlopie. To nie jest przypadek.

Piątek, 16:47. Księgowa zamyka tydzień, prezes jest na lotnisku, a informatyk z zewnętrznej firmy ma wolne do poniedziałku. Przychodzi mail: „PILNE! Płatność musi wyjść dzisiaj, inaczej tracimy kontrakt. Nie mam jak zadzwonić, jestem w samolocie”. Presja czasu to najstarsze narzędzie socjotechniki, bo wyłącza jedyną rzecz, na której opiera się cała obrona, czyli zatrzymanie się i sprawdzenie. Prawie każda obrona opisana w tej serii sprowadza się do dwóch rzeczy: drugiego kanału i drugiej osoby, a pośpiech zabija obie. Dlatego „pilne” i „dziś” muszą być w Twojej firmie czerwoną flagą, a nie powodem do pośpiechu, i procedura nie może się zmieniać pod presją. Nigdy.

09To nie jeden exploit. To łańcuch

Najgroźniejsze ataki nie wyglądają jak ataki, tylko jak dziesięć drobnych, normalnych zdarzeń, z których każde osobno da się wytłumaczyć. Zaczyna się od publicznych informacji z KRS, strony, LinkedIna i stopek maili, z których atakujący ustala, kto płaci faktury, kto je zatwierdza i kto jest na urlopie. Potem przychodzi phishing przygotowany pod tę jedną osobę, po polsku i z pretekstem KSeF, a po nim przejęta skrzynka i tygodnie cichego czytania umów, faktur i stylu pisania. Atakujący poznaje dostawcę, jego terminy i kwoty, a potem pisze „od dostawcy” w wątku, który już istnieje, z informacją, że zmienił się numer rachunku. Pracownik wykonuje przelew, oczywiście w piątek o 16:47, oszust zaciera ślady, a właściciel mówi: „Ale przecież mieliśmy antywirusa”.

Antywirus mógł działać bez zarzutu na każdym etapie tego łańcucha, bo nie było w nim żadnego wirusa. Były informacje, zaufanie, proces i moment. Dlatego pytanie „czy mamy antywirusa?” to jedno z najmniej ważnych pytań o bezpieczeństwo firmy. Prawdziwe brzmi: „Jak ktoś może zaszkodzić mojej firmie, nie włamując się do mojego komputera?”

Na horyzoncie

Są trzy rzeczy, które małych firm jeszcze nie dotyczą, ale nadchodzą: kradzież zaszyfrowanych danych dziś, żeby odszyfrować je komputerem kwantowym za kilka lat, agenci AI atakujący innych agentów AI i regulacje, takie jak RODO, AI Act czy NIS2, przez które incydent to nie tylko strata, ale też obowiązek zgłoszenia, kontrola i kara. Jedna z tych rzeczy właśnie przestała być horyzontem. We wrześniu 2026 roku wyszło na jaw, że Gemini od Google podczas testu swoich umiejętności hakerskich wyszedł poza środowisko testowe i dostał się do systemów trzech prawdziwych firm. Raz zgadywał hasło, aż trafił, a dwa razy znalazł dane logowania w publicznym repozytorium kodu. Nie potrzebował do tego żadnych nowych dziur, wystarczyły te same stare zaniedbania, które opisuję w rozdziale o dostępach, tylko sprawdzone szybciej niż kiedykolwiek.

10A co na to politycy? Za mało i za wolno

Żeby było uczciwie: coś się dzieje. W sierpniu 2026 roku minister cyfryzacji Krzysztof Gawkowski złożył do Komisji Europejskiej wniosek o 250 mln euro kary dla Meta, a podstawą był test CERT Polska, w którym zgłoszono 122 oszukańcze reklamy i Meta odmówiła usunięcia 106 z nich. Unia ukarała już Metę 200 mln euro za naruszenie DMA, mamy ustawę o systemach AI i nową ustawę o cyberbezpieczeństwie, a od 2023 roku operatorzy blokują SMS-y phishingowe i domeny z listy CERT, więc podejrzanego SMS-a warto przekazać na numer 8080. To akurat działa i warto o tym wiedzieć.

Tylko spójrz na zegar. Unijną dyrektywę NIS2 o cyberbezpieczeństwie Polska miała wdrożyć do października 2024 roku, a ustawa weszła w życie w kwietniu 2026, półtora roku po terminie. Ustawę wdrażającą DSA, na której opiera się walka z reklamami oszustów, prezydent zawetował w styczniu 2026 roku i dopiero teraz wraca ona kawałkami. Postępowanie Unii przeciwko Mecie w sprawie reklam wprowadzających w błąd trwa od kwietnia 2024 roku i ostatecznej decyzji do dziś nie ma, a w AI Act Unia przesunęła najważniejsze obowiązki dla systemów wysokiego ryzyka z sierpnia 2026 na grudzień 2027, a część nawet na sierpień 2028. W tym samym czasie oszust potrzebuje 70 minut na deepfake.

Dlaczego tak wolno? Wystarczy zobaczyć, kto siedzi po drugiej stronie stołu. Meta wydaje na lobbing w Brukseli około 10 mln euro rocznie i jest największym korporacyjnym lobbystą w UE, a we władzach firmy zasiadają byli politycy i wysocy urzędnicy. Globalną polityką Meta kieruje Joel Kaplan, były zastępca szefa gabinetu George’a W. Busha w Białym Domu, a od stycznia 2026 roku prezydentem i wiceprzewodniczącą Meta jest Dina Powell McCormick, była zastępczyni doradcy ds. bezpieczeństwa narodowego w pierwszej administracji Donalda Trumpa, wcześniej członkini rady dyrektorów. Radą jako wiodący niezależny dyrektor kieruje Robert Kimmitt, były zastępca sekretarza skarbu USA i ambasador, a przed Kaplanem politykę globalną Meta prowadził Nick Clegg, były wicepremier Wielkiej Brytanii. Kiedy zaś Unia próbuje karać amerykańskie platformy, Waszyngton odpowiada groźbą ceł, jak w lipcu 2026 roku, gdy Trump ogłosił dochodzenie handlowe w sprawie unijnych kar dla amerykańskich firm technologicznych.

Nie twierdzę, że ktoś kogoś kupił. Twierdzę, że regulacje platform będą szły wolno, bo platformy mają pieniądze, ludzi i wpływy, żeby je spowalniać. I jeszcze jedno: problem nie kończy się na Mecie i Facebooku. Jest Google, są sklepy z aplikacjami, operatorzy, rejestry i dostawcy AI, a przede wszystkim oszuści, którzy nie potrzebują żadnej platformy, żeby zadzwonić do Twojej księgowej. W tej serii opisałem 51 scenariuszy, a reklamy na Facebooku to tylko kilka z nich.

Procedury w firmie to za mało. Potrzebujemy systemowej odpowiedzialności platform. Ale nie możesz na nią czekać.

11Na koniec. Nikt nie przyjdzie Cię uratować

Jesteśmy w środku dużej transformacji, tym razem technologicznej, i porównuję ją do wynalezienia prądu, kolei i internetu. Każda z tych zmian dała ludziom ogromne możliwości i każda przez lata zbierała żniwo, zanim prawo i zwyczaje za nią nadążyły. Pociągi jeździły, zanim ktoś wymyślił semafor, a prąd płynął, zanim ktoś wymyślił bezpiecznik. Z AI jest tak samo, tylko wszystko dzieje się dziesięć razy szybciej.

Pracuję z AI codziennie i buduję na nim produkty, dlatego mówię wprost: z AI i z wiedzy o tym, jak działają systemy IT, trzeba korzystać odpowiedzialnie, świadomie i przede wszystkim etycznie. Ale to dalej za mało, bo uczciwość nikogo nie ochroni. Trzeba wiedzieć, jakie niebezpieczeństwa to niesie, i mieć na nie odpowiedź: procedurę, asekurację i plan na dzień, w którym coś pójdzie nie tak.

Bo przestępca jest już gotowy. Ma Twój głos z rolki, Twoją twarz z LinkedIna, Twój NIP z KRS i nazwisko Twojej księgowej ze stopki maila. Nie czeka na ustawę, nie czeka na decyzję Komisji Europejskiej i nie czeka, aż Meta łaskawie zdejmie reklamę.