Nie trzeba być gigantem z Doliny Krzemowej, żeby znaleźć się na celowniku
/
Aktualności
/
Nie trzeba być ...

Nie trzeba być gigantem z Doliny Krzemowej, żeby znaleźć się na celowniku

Cyberprzestępcy nie wybierają wyłącznie globalnych korporacji technologicznych. Atakują firmy, w których widzą dane, dostęp do systemów, pieniądze albo możliwość wykorzystania słabszego ogniwa w łańcuchu dostaw. Incydent, który na przełomie lipca i sierpnia dotknął Żabkę, pokazuje to wyjątkowo dobitnie, i wcale nie dlatego, że ktoś zawinił bardziej niż gdzie indziej.

Co wiemy i tylko tyle, ile wiemy

Na początku sierpnia 2026 roku na jednym z forów dla przestępców pojawiło się ogłoszenie sprzedaży danych wykradzionych z serwerów Żabki. Kwota 5 tysięcy euro była na tyle niska, że sama stała się elementem tej historii. Równolegle atakujący rozsyłał wiadomości do redakcji branżowych oraz na skrzynki podwykonawców Żabki, informując ich pracowników o wycieku.

Firma potwierdziła incydent. W oświadczeniu przekazanym redakcji Niebezpiecznika Żabka poinformowała, że pod koniec lipca wykryła nieautoryzowany dostęp do wybranych zasobów technicznych wspierających wymianę informacji między franczyzodawcą a franczyzobiorcami. I tu pada zdanie, które z perspektywy bezpieczeństwa jest najważniejsze w całym komunikacie: do dostępu doszło przy wykorzystaniu konta zewnętrznego dostawcy usług. Dostęp został wykryty i zablokowany, sprawę zgłoszono Prezesowi UODO oraz organom ścigania, a osoby objęte incydentem są informowane bezpośrednio. Według firmy sprawca uzyskał dostęp do systemu kolejkowania zgłoszeń, natomiast dane transakcyjne, usługi konsumenckie i działalność operacyjna pozostały nienaruszone.

Sam atakujący deklaruje zakres znacznie szerszy, tj. dokumentację projektową, kod źródłowy, dane dostępowe do środowisk produkcyjnych. Tych deklaracji nikt niezależnie nie potwierdził i należy je traktować wyłącznie jako oświadczenie strony atakującej. Z opublikowanych przez niego próbek wynika natomiast jedno: dostęp do infrastruktury sięgał co najmniej 29 lipca.

To wszystko, co da się dziś powiedzieć odpowiedzialnie. I nie chodzi o ocenianie Żabki. To organizacja z rozbudowanym zapleczem IT i dojrzałymi procedurami, która nieuprawniony dostęp wykryła, zablokowała i zgłosiła zgodnie z przepisami. Chodzi o coś zupełnie innego: o to, co ten przypadek mówi o mechanice współczesnych ataków. Bo mówi rzeczy, które dotyczą organizacji każdej wielkości.

Trzy wnioski, które dotyczą także Twojej firmy

1. Atakujący coraz rzadziej pukają do frontowych drzwi

Wyobrażenie o cyberataku jako o łamaniu zabezpieczeń brzmi filmowo, ale rozmija się z rzeczywistością. Znacznie taniej i skuteczniej jest wejść przez kogoś, kto już ma klucze.

Każda średnia i duża organizacja ma dziś kilkadziesiąt aktywnych kont zewnętrznych: integratorzy, dostawcy oprogramowania, serwisanci, agencje, biura rachunkowe, firmy utrzymujące pojedyncze systemy. Każde z tych kont ma Twoje uprawnienia i cudzą politykę bezpieczeństwa. Nie kontrolujesz, czy po drugiej stronie ktoś włączył MFA, czy nie zapisał hasła w notatniku i czy jego laptop nie jest właśnie zainfekowany.

Co gorsza, przejęte konto legalnego kontrahenta nie wygląda jak atak. Nie uruchamia antywirusa, nie generuje złośliwego pliku, nie wywołuje żadnego alertu. Ktoś po prostu loguje się poprawnym hasłem do systemu, do którego ma prawo się logować. Jedyne, co go zdradza, to sposób, w jaki się zachowuje po zalogowaniu.

2. Systemy „pomocnicze” bywają cenniejsze niż krytyczne

Gdyby zapytać dowolny zarząd o najważniejsze systemy w firmie, padłoby: ERP, finanse, produkcja, może CRM. Prawie nikt nie wskaże systemu zgłoszeń serwisowych. A to właśnie tam osadza się przez lata cały dług informacyjny organizacji.

Zgłoszenia techniczne to opisy błędów, zrzuty ekranu z konfiguracją, fragmenty logów, schematy integracji, nazwy serwerów, adresy środowisk. Zdarza się, i to znacznie częściej, niż ktokolwiek chciałby przyznać, że w komentarzu ląduje „na chwilę” token, hasło do konta technicznego albo dane konta testowego. Nikt tego potem nie usuwa, bo zgłoszenie zostało zamknięte.

Dostęp do takiego systemu nie zatrzymuje atakującego. On go rozpędza: daje mapę środowiska i materiał do kolejnego kroku. Klejnoty koronne rzadko leżą tam, gdzie się ich spodziewamy.

3. Najdroższy w incydencie jest nie błąd, tylko czas

Różnica między incydentem wykrytym w godzinę a wykrytym po trzech tygodniach nie jest różnicą techniczną. Jest różnicą biznesową, i to o kilka rzędów wielkości.

Każdy dzień obecności atakującego w infrastrukturze to kolejne konta, kolejne systemy, kolejne dane i coraz trudniejsza do odtworzenia ścieżka zdarzeń. Do tego dochodzi element, o którym mało kto myśli przed incydentem: kto informuje o nim pierwszy. Jeżeli o wycieku dowiadujesz się z maila od dziennikarza, z ogłoszenia na forum przestępczym albo od zaniepokojonego kontrahenta, to nie prowadzisz już komunikacji kryzysowej a tylko na nią reagujesz. A zegar 72 godzin na zgłoszenie do UODO i tak tyka.

Gdzie w tym wszystkim jest SOC

Zacznijmy od uczciwego postawienia sprawy: żadna usługa nie gwarantuje, że nikt nigdy nie dostanie się do Twojej infrastruktury. Każdy, kto to obiecuje, sprzedaje coś innego niż bezpieczeństwo. Skrócić da się natomiast dystans między „ktoś wszedł” a „wiemy o tym i odcinamy dostęp”. I to jest dokładnie ten obszar, w którym pracuje Centrum Operacji Bezpieczeństwa.

Monitorujemy zachowania, nie tylko sygnatury. System klasy SIEM w czasie rzeczywistym zbiera i koreluje logi z katalogu użytkowników, serwerów, firewalli, stacji roboczych i chmury. Konto kontraktora, które nagle loguje się w nocy z nietypowej lokalizacji, a potem zaczyna przeglądać zasoby, których nigdy wcześniej nie dotykało. To nie jest wirus. To anomalia. Antywirus jej nie zobaczy, bo formalnie nic złego się nie dzieje. Korelacja zdarzeń zobaczy.

Konta zewnętrznych dostawców obejmujemy monitoringiem tak samo jak własne. Nietypowe godziny logowania, nowe lokalizacje, nagły przyrost uprawnień, nietypowa aktywność na kontach technicznych. To są sygnały, których nikt nie wyłapie „przy okazji” innych obowiązków. Ktoś musi na nie patrzeć w trybie ciągłym.

Reagujemy, a nie tylko alertujemy. Wykrycie bez reakcji jest tylko lepiej udokumentowaną stratą. Platformy klasy SOAR pozwalają zautomatyzować odpowiedź na powtarzalne scenariusze: odciąć stację od sieci, zablokować konto, wymusić zmianę hasła, zablokować adres IP. Sekundy zamiast godzin.

Monitorujemy wycieki. W najwyższym pakiecie usługi obejmujemy skanowaniem wskazane przez klienta źródła pod kątem pojawienia się jego danych. Wracając do wniosku numer trzy: chodzi o to, żeby o swoich danych dowiadywać się od własnego zespołu bezpieczeństwa, a nie z cudzej skrzynki mailowej.

Zostawiamy dowody. Raportowanie i dokumentacja poincydentalna to nie biurokracja, tylko materiał, którym wykazujesz należytą staranność wobec UODO i regulatora oraz spełniasz wymagania KSC, NIS2, DORA czy wytycznych KNF.

Tarczę można budować etapami

Najczęstszy powód, dla którego średnie firmy odkładają decyzję o SOC, brzmi: „to rozwiązanie dla korporacji, my nie mamy takich budżetów”.

To nieporozumienie wynikające z myślenia zero-jedynkowego. Nie musisz mieć wszystkiego od pierwszego dnia. Usługę da się skalować i dokładać kolejne cegiełki do tarczy w tempie, które ma sens dla Twojej organizacji, zaczynając od obszarów najbardziej wyeksponowanych, czyli zwykle od tożsamości i stacji końcowych, a rozszerzając zakres o kolejne systemy, chmurę czy monitoring wycieków wtedy, kiedy jest na to gotowość i uzasadnienie biznesowe.

W modelu usługowym (Managed SOC) zamieniasz przy tym wielomilionową inwestycję w sprzęt, licencje i rekrutację deficytowych specjalistów na przewidywalny abonament i dostajesz gotowy zespół oraz technologię od pierwszego dnia współpracy.

 

Ten incydent nie jest historią o tym, że ktoś w Żabce nie odrobił lekcji. Jest historią o tym, że w 2026 roku wystarczy jedno przejęte konto zewnętrznego dostawcy, żeby uruchomić lawinę: zgłoszenie do UODO, informowanie poszkodowanych, rotację sekretów, audyt zakresu, komunikację kryzysową i pytania od partnerów biznesowych.

Dla SOC nie ma znaczenia, czy jesteś globalną marką, czy firmą, o której słyszał tylko Twój region. Znaczenie ma to, czy ktoś patrzy na Twoje systemy wtedy, gdy Ty patrzysz w inną stronę.

Boisz się, że podobny wyciek może spotkać Ciebie? Umów się na rozmowę z nami.

1. Pozostaw kontakt
2. Napisz wiadomość

Wybierz dogodną formę kontaktu

Z kim mamy przyjemność

Zgoda na przetwarzanie danych
Zgoda na newsletter
Ścieżka
Spis treści

Cyfryzacja kadr i płac to nie trend

To zmiana sposobu zarządzania organizacją

Czytaj artykuł