Phishing zarządu i BEC: jak SOC, EDR i Awareness chronią decyzje finansowe firmy?

Czy można stracić miliony bez łamania haseł? Ataki typu BEC udowadniają, że to absolutnie możliwe. Największym zagrożeniem dla finansów firmy jest dziś rutyna i podatność na socjotechnikę, ochrona przed nią jest zaś konieczna z perspektywy dyrektywy NIS2. Koło bezradności zatacza jednak krąg, kiedy nie wiadomo, co – jak – i jakim kosztem naprawić czy wdrożyć. Sprawdź, jak technologia EDR, monitoring SOC i szkolenia zespołu budują odporność i które z tych rozwiązań może odmienić Twoją rzeczywistość kosztem znacznie niższym, niż łatanie szkód po pomyślnie przeprowadzonym ataku.

Business Email Compromise – kiedy największym zagrożeniem staje się… rutyna

Większość menedżerów utożsamia cyberzagrożenia z zablokowaniem dysków przez ransomware lub całkowitym paraliżem sieci. W rzeczywistości ponad 60%* ataków uderza w czynnik ludzki, a mimo to i tak może z dnia na dzień doprowadzić firmę do bankructwa. Mowa o Business Email Compromise (BEC) oraz phishingu wymierzonym bezpośrednio w członków zarządu, dyrektorów finansowych i księgowość.

*Verizon DBIR 2025

Z raportu IC3 opublikowanego przez amerykańskie FBI wynika, że oszustwa typu BEC generują straty rzędu 120 tysięcy dolarów (ponad 430 tys zł!) dla pojedynczej firmy. Podobnych przykładów nietrudno szukać na polskim podwórku – ofiarami takich oszustw padły już m.in. LOT czy spółka Cenzin, z których każda z firm przez jeden sfałszowany e-mail straciła kilka milionów złotych.

Choć kwoty są ogromne, same działania nie przypominają spektakularnych ataków. Przestępcy nie używają złośliwego oprogramowania – ich głównym narzędziem jest manipulacja i wykorzystywanie zaufania w relacjach biznesowych. Z ludzkiej perspektywy fałszywa wiadomość wygląda jak zwykła wiadomość od stałego kontrahenta lub dostawcy. 

„Jak można się na to nabrać?!” – otóż… bardzo prosto.

Atakujący nie wysyłają masowego spamu. Obserwują styl pisania prezesa i jego relacje biznesowe miesiącami, wiedzą, na jakim etapie są negocjacje i kiedy kończą się umowy. Przejmują w ten sposób historyczną nić korespondencji z prawdziwym kontrahentem. Nie do poznania są też same dokumenty: hakerzy podmieniają tylko cyfry konta w pliku, który pod każdym innym względem (NIP, pozycje, kwoty, logotypy) stanowi bezbłędną kopię oryginału.

NIS2 a finanse firmy. To zarząd odpowiada majątkiem za błędy w cyberbezpieczeństwie

Ochrona przed wyłudzeniami BEC i phishingiem finansowym była odpowiedzialnością działu IT (rozliczaną dość roboczo i wyłącznie między nim, a zarządem) – wszystko zmieniło jednak NIS2. W świetle dyrektywy, procedury weryfikacji tożsamości i kontroli transakcji cyfrowych są traktowane na równi z podstawowymi mechanizmami bezpieczeństwa finansowego firmy. Za takie bezpieczeństwo odpowiada zaś, oczywiście, zarząd.

Wdrożenie NIS2 diametralnie zmienia zasady gry w biznesie. Jeśli spółka straci pieniądze przez rażące zaniedbania, brak procedur i brak monitoringu sieci, członkowie zarządu mogą odpowiedzieć za to stanowiskiem oraz własnym majątkiem.

Na barkach kadry zarządzającej spoczywają więc nowe, nieznane dotąd zadania: musi zyskać pewność, że procesy decyzyjne i przelewy są skutecznie chronione przed manipulacją. Udany atak BEC to w końcu nie tylko strata kapitału obrotowego – podąża za nią ryzyko milionowych kar administracyjnych i utrata reputacji na rynku. Co jednak, jeśli sam zarząd o kwestiach technicznych i cyberbezpieczeństwie wie tyle, ile wystarczy, by wezwać technika do naprawy niedziałającego komputera? To nierzadka sytuacja – na szczęście, sprawę w swoje ręce może wziąć automatyka i stale nadzorowana technologia.

Jak technologia rozbija strukturę manipulacji?

W 2026 roku ochrona przed atakami BEC i zaawansowanym phishingiem sprowadza się do porzucenia złudzeń, że problem rozwiąże zwykły filtr antyspamowy. Bezpieczeństwo firmy zależy od nowoczesnej synergii trzech uzupełniających się elementów: technologii EDR, ochrony tożsamości, monitoringu SOC oraz regularnych szkoleń pracowników. Każde z tych rozwiązań oferujemy osobiście – nie musisz szukać dziesięciu specjalistów, jedynie przeszkadzających sobie wzajemnie pracy.

1. EDR (Endpoint Detection and Response)

To system, który chroni kadrę zarządzającą i działy finansowe przed tym, czego ludzkie oko najzwyczajniej nie jest w stanie wyłapać – a już na pewno nie w codziennym biegu wyznaczanym przez deadline’y. Skoro hakerzy perfekcyjnie podrabiają treść maili i faktur od kontrahentów, systemy bezpieczeństwa muszą analizować wiadomości pod kątem technologicznym. Nowoczesna ochrona poczty powiązana z EDR sprawdza m.in. historię serwerów, z których przyszedł mail, nagłówki wiadomości oraz fakt, czy dana domena nie została zarejestrowana przed chwilą jedynie po to, by udawać Twojego dostawcę. Jeśli system wykryje, że faktura od stałego partnera nagle przychodzi z nietypowego kierunku, mail zostanie zablokowany, zanim trafi do skrzynki.

2. Ochrona tożsamości – MFA i ataki AiTM

Najczęstszym wektorem ataku BEC jest sytuacja, w której haker przejmuje konto mailowe pracownika z wewnątrz firmy, aby w jego imieniu autoryzować fałszywe przelewy. Używane do zabezpieczeń kody SMS czy aplikacje MFA nie są już dla przestępców barierą – potrafią wyłudzić je za pomocą sfałszowanych stron logowania i przejąć aktywny token sesji. Nowoczesna ochrona tożsamości stawia w tym kontekście kolejny, długi krok: potrafi błyskawicznie wyłapać, że przejęty token nagle loguje się z nietypowego adresu IP lub wykonuje operacje niemożliwe do wykonania przez człowieka w danym czasie. System natychmiast zrywa taką sesję, odcinając hakerowi dostęp do skrzynki.

3. SOC (Security Operations Center) w trybie 24/7

Zaawansowane algorytmy potrafią automatycznie blokować część zagrożeń, ale nie zastąpią analityka, który oceni kontekst zdarzenia i podejmie decyzję w sytuacji niestandardowej. Rolę analityków przejmuje w takiej sytuacji zewnętrzny zespół SOC, monitorując przez całą dobę logi systemowe i aktywność w poczcie firmowej. Eksperci natychmiast wyłapują niewidoczne dla użytkownika anomalie – np. sytuację, w której na koncie dyrektora finansowego nagle pojawia się ukryta reguła automatycznego przekierowywania wiadomości na zewnętrzny serwer.

4. Szkolenia Cybersecurity Awareness i procedury

Skoro hakerzy potrafią bezbłędnie podrobić dokumenty i styl wypowiedzi kontrahenta, pracownik nie może polegać wyłącznie na własnej (i często: przestarzałej o 10 lat) intuicji. Nowoczesne programy edukacyjne nie uczą szukania błędów językowych w mailu od prezesa, bo tych w profesjonalnych atakach BEC najzwyczajniej już nie ma. Budują zaś nawyk zdrowego sceptycyzmu i uczą twardych procedur weryfikacji – np. zasady, że każda nagła zmiana rachunku lub pilna, niestandardowa prośba o przelew musi zostać potwierdzona drugim, niezależnym kanałem.

Anatomia wyłudzenia – phishing zarządu a ochrona przed BEC

Większość udanych oszustw typu Business Email Compromise przebiega według powtarzalnego schematu. Przestępcy działają bez pośpiechu, dzieląc całą operację na cztery główne etapy:

1. Atak zaczyna się od phishingu wymierzonego w asystenta zarządu lub pracownika działu rozliczeń. Gdy ofiara wpisze dane na sfałszowanej stronie logowania, hakerzy przejmują dostęp do jej skrzynki pocztowej. Nie zdradzają jednak swojej obecności. Przez kilka kolejnych tygodni analizują strukturę organizacyjną firmy, kalendarze spotkań, historię transakcji oraz styl komunikacji z kluczowymi kontrahentami.
2. Aby zabezpieczyć się przed wykryciem, przestępcy tworzą reguły, które automatycznie przenoszą wiadomości zawierające słowa takie, jak faktura, przelew, płatność czy bank do kosza. Jednocześnie ustawiają przekierowanie tych maili na własny adres.
3. Gdy zbliża się termin płatności za duży kontrakt, hakerzy wysyłają wiadomość z adresu łudząco podobnego do adresu partnera biznesowego. Często wykorzystują przy tym brak poprawnej konfiguracji zabezpieczeń poczty u ofiary lub jej kontrahenta. Jeśli w organizacji nie wdrożono restrykcyjnych polityk SPF, DKIM oraz DMARC, haker może zastosować tzw. email spoofing. Pozwala on na wysłanie maila, który w polu nadawcy wyświetla dokładnie taki sam adres, jak prawdziwy adres dyrektora handlowego kontrahenta. Bez systemów monitoringu SOC, które weryfikują nagłówki techniczne, taka wiadomość trafi do księgowości jako w pełni autentyczna.
4. Księgowość, działając pod presją czasu, wprowadza przelew do systemu. Jeśli transakcja wymaga akceptacji dyrektora finansowego lub prezesa, hakerzy potrafią wysłać sfałszowany mail z konta prezesa potwierdzający konieczność natychmiastowego zatwierdzenia transferu. Pieniądze trafiają na konto podstawionej osoby, skąd są błyskawicznie zamieniane na kryptowaluty. W tym momencie odzyskanie środków przez tradycyjne procedury bankowe staje się praktycznie niemożliwe.

Jak na taki atak reagują poszczególne warstwy obrony od IT-Develop?

Warstwa techniczna (EDR) wykrywa podejrzaną próbę przejęcia tokenu sesji w przeglądarce już na etapie pierwszego kliknięcia w link phishingowy i natychmiast blokuje dostęp intruza. Następnie działa nadzór analityczny (SOC 24/7) – system podnosi alarm, gdy tylko w regułach poczty pracownika pojawi się automatyczne ukrywanie wiadomości z frazą „faktura” lub gdy dojdzie do logowania z nietypowego adresu IP. W tej chwili wkraczają analitycy, natychmiast odcinając dostęp hakerowi i usuwając złośliwe reguły.

Równocześnie do działań technicznych wspieramy czynnik ludzki pod formą szkoleń Cybersecurity Awareness. Przeszkolony przez nas księgowy, widząc informację o zmianie konta bankowego kontrahenta, natychmiast przerwie transakcję. Następnie zastosuje zasadę podwójnej weryfikacji – zadzwoni do partnera biznesowego na znany od lat, oficjalny numer telefonu i potwierdzi próbę oszustwa.

To nie koniec współpracy: zapewniamy również dodatkowe zabezpieczenia, cały czas działając w synergii z zewnętrznym działem IT firmy. W ramach audytu szczegółowo weryfikujemy zabezpieczenia domeny pocztowej i sprawdzamy, czy w usłudze katalogowej nie ma podatności umożliwiających nieautoryzowaną zmianę reguł skrzynek – a w razie wykrycia takowych, podejmujemy natychmiastowe działania naprawcze. 

Z zarządem komunikujemy się zaś na przyjaznej, pozbawionej żargonu warstwie: pomagamy przeanalizować obieg dokumentów i wdrażamy procedury podwójnej weryfikacji transakcji (np. telefonicznej), które uniemożliwiają realizację sfałszowanych przelewów, nawet gdyby hakerowi udało się oszukać systemy IT.

Chcesz dowiedzieć się więcej? Teraz nie kosztuje Cię to nic – w przyszłości pomoże Ci natomiast ograniczyć ogromne straty.