Żaden biznes nie jest za mały dla hakerów

• 83% polskich firm doświadczyło w 2024 roku przynajmniej jednej próby cyberataku.

• Sektor MSP jest atakowany czterokrotnie częściej niż duże korporacje i firmy.

• Hakerzy stosują nie tylko zaawansowane formy ataków, ale także sprawdzone i znane od lat metody. W przypadku sektora MSP ataki ransomware stanowią 88% przypadków.

• Jedną z form obrony jest cyberubezpieczenie, które pokrywa koszty usunięcia skutków incydentu, jak zatrudnienie dodatkowych ekspertów IT do zarządzania kryzysem czy odzyskania danych.

Żaden biznes nie jest dziś bezpieczny przed hakerami. Cyberprzestępcy nie patrzą na wielkość firmy ani liczbę pracowników – liczy się tylko to, czy mogą złamać zabezpieczenia i wyrządzić szkody. To potwierdza najnowszy raport "Barometr Cyberbezpieczeństwa" KPMG, z którego wynika, że rekordowe 83% polskich przedsiębiorstw padło w 2024 roku ofiarą przynajmniej jednej próby cyberataku. Co więcej, przekonanie o tym, że hakerzy atakują wyłącznie wielkie korporacje, należy już definitywnie włożyć między bajki. Najnowszy raport Verizon "2025 Data Breach Investigations Report" nie pozostawia złudzeń – małe i średnie firmy są głównym celem cyberprzestępców. Analiza ponad 22 000 incydentów bezpieczeństwa z całego świata pokazuje, że małe i średnie przedsiębiorstwa stanowią prawie cztery razy więcej ofiar cyberataków niż duże korporacje.

– Główne przyczyny są dwie. Po pierwsze, małych i średnich firm jest o wiele więcej niż korporacji, a hakerzy stawiają na ilość, a nie jakość ataków. Efekt skali zwiększa szanse na skuteczny atak. Po drugie, mniejsze podmioty często nie dysponują tak rozbudowanymi systemami zabezpieczeń IT jak międzynarodowe koncerny, więc stanowią łatwiejszy cel. Dlatego uważam, że każda firma, niezależnie od wielkości, powinna traktować cyberbezpieczeństwo jako priorytet. Hakerzy nie wybierają celów według przychodu czy liczby pracowników. Wybierają te organizacje, które mają słabsze zabezpieczenia i mogą być podatne na masowy atak, np. ransomware. Często są to właśnie małe i średnie przedsiębiorstwa, które nie mają budżetu na zaawansowane systemy ochrony. Nie oznacza to jednak, że są bezbronne – mówi Szymon Bąk, Specjalista ds. ubezpieczeń ryzyk cybernetycznych, broker ubezpieczeniowy w EIB SA.

Jak atakowane są firmy?

Analizując raport Verizon można zauważyć pewne podobieństwa w charakterze ataków na wszystkie firmy, jak i drastyczne różnice. Przykładowo, zarówno w przypadku dużych firm, jak i MSP, jedną z najczęściej stosowanych metod jest wykorzystanie skradzionych danych logowania - 32% ataków w przypadku dużych firm i 33% w przypadku MSP. Bardzo niepokojącym zjawiskiem jest z kolei sposób wykorzystania ransomware w trakcie ataków. W przypadku korporacji tego typu oprogramowanie jest wykorzystywane w 39% zdarzeń, podczas gdy w sektorze MSP odsetek ten wynosi 88%. Jest jednak też dobra wiadomość dla małych i średnich przedsiębiorców. Błędy ludzkie stanowią tylko 1% przyczyn naruszenia bezpieczeństwa w tym sektorze, a w dużych firmach to 18% przypadków.

– Te dane pokazują, że każda firma niezależnie do wielkości powinna być przygotowana na cyberatak. Jednak charakter obrony powinien być dostosowany do zagrożeń. Duże korporacje są narażone na bardziej skomplikowane i wyrafinowane zdarzenia, podczas gdy sektor MSP jest głównie narażony na znane od lat i mniej złożone formy ataku, jak wspomniane ransomware czy phishing. Niezależnie od skali i charakteru zagrożenia, cyberubezpieczenie może okazać się istotnym wsparciem – dodaje Szymon Bąk z EIB SA.

Cyberpolisa jako ostatnia deska ratunku

Zadaniem cyberpolisy jest ochrona firmy przed skutkami finansowymi ataków oraz wsparcie w likwidacji szkód po incydencie. Ubezpieczenie obejmuje szeroki wachlarz kosztów związanych z reakcją na atak. Przede wszystkim z polisy można pokryć zatrudnienie informatyków śledczych oraz pozostałych ekspertów bezpieczeństwa IT, którzy są niezbędni do przywrócenia normalnego działania systemów. Cyberubezpieczenie finansuje również zatrudnienie dodatkowej osoby odpowiedzialnej za zarządzanie całym incydentem, co jest kluczowe w pierwszych godzinach po wykryciu ataku.

Warto też pamiętać, że skutkiem ubocznym ataku może być także kryzys wizerunkowy, zwłaszcza gdy dojdzie do wycieku danych osobowych, dlatego polisa może pokryć także koszty zatrudnienia specjalistów od public relations. W przypadku naruszenia bezpieczeństwa danych osobowych ubezpieczenie obejmuje także przeprowadzenie akcji informacyjnej wśród poszkodowanych klientów, co jest wymogiem RODO. Polisa zapewnia również pokrycie kosztów obsługi prawnej incydentu - zatrudnienie prawników specjalizujących się w cyberbezpieczeństwie oraz wsparcie w postępowaniach administracyjnych i sądowych. Co szczególnie istotne, polisa może pokrywać wypłatę odszkodowań dla poszkodowanych oraz kary administracyjne w związku z naruszeniem RODO

- Jednym z najważniejszych elementów cyberpolisy jest pokrycie kosztów technicznych związanych z przywróceniem normalnego funkcjonowania firmy. Ubezpieczenie obejmuje koszty poszukiwania źródła szkody w systemie, usunięcie złośliwego oprogramowania i odzyskanie dostępu do zainfekowanych urządzeń– wyjaśnia Szymon Bąk z EIB SA.

Czy każdy otrzyma ochronę?

Należy jednak pamiętać, że wraz z nasilaniem się ataków cybernetycznych, towarzystwa ubezpieczeniowe stawiają coraz wyższe wymagania dotyczące zabezpieczeń w firmach ubiegających się o ochronę. Obecnie standardem jest na przykład wymóg stosowania wielostopniowego uwierzytelniania (MFA) do wszystkich systemów firmowych, szczególnie tych dostępnych zdalnie. Ubezpieczyciele mogą też odmówić ochrony firmie, która korzysta z nieaktualnego oprogramowania lub systemów operacyjnych nieobsługiwanych przez producenta. Dodatkowe wymagania obejmują zazwyczaj też szyfrowanie wrażliwych danych, ścisłą kontrolę dostępu zdalnego oraz regularne tworzenie kopii zapasowych przechowywanych w bezpieczny sposób. Niektórzy ubezpieczyciele wymagają również przeprowadzania regularnych szkoleń pracowników z zakresu cyberbezpieczeństwa.