Kliknięcie w podejrzany link zdarza się nawet ostrożnym osobom — fałszywe wiadomości bywają dziś bardzo dobrze podrobione. Liczy się nie to, że do tego doszło, ale jak szybko firma zareaguje.

Pierwsza godzina

Pracownik zgłasza, że kliknął w link lub otworzył załącznik z podejrzanej wiadomości, a komputer zaczął zachowywać się nietypowo — albo po prostu ma wątpliwości i chce to jak najszybciej sprawdzić, zanim coś się stanie. Zgłoszenie takiej sytuacji jest właściwą reakcją, nie powodem do obaw.

Co sprawdzamy w pierwszej kolejności

Czy na komputerze pojawiły się oznaki infekcji — nietypowe procesy, spowolnienie, nieznane programy.
Czy w wiadomości podano dane logowania — jeśli tak, priorytetem jest natychmiastowa zmiana hasła.
Zakres uprawnień konta pracownika w sieci firmowej — ocena potencjalnego ryzyka dla innych systemów.
Czy podobna wiadomość dotarła też do innych pracowników firmy.

Co robimy

Komputer jest sprawdzany pod kątem infekcji i, jeśli to konieczne, oczyszczany ze złośliwego oprogramowania. Zmieniane są hasła do kont, których dane mogły zostać przechwycone, a pozostali pracownicy ostrzegani przed podobną wiadomością, jeśli dotarła szerzej.

Ile to trwa

Pierwsza reakcja i sprawdzenie komputera to zwykle jedna wizyta. Pełne oczyszczenie systemu mieści się w standardowym czasie do 3 dni.

Warunki

Diagnoza komputera stacjonarnego door-to-door kosztuje 200 zł i wlicza się w cenę naprawy. Dojazd na terenie Warszawy i okolic jest bezpłatny, a naprawa objęta jest gwarancją do 12 miesięcy.

Główne rodzaje zagrożeń po kliknięciu w link phishingowy

Phishing (podszywanie się pod zaufaną osobę lub instytucję w celu wyłudzenia informacji) może prowadzić do różnych typów naruszeń bezpieczeństwa. Charakterystyka usterki oraz zakres niezbędnych prac zależą od tego, jak został skonstruowany złośliwy mechanizm.

Wyłudzenie danych logowania (Credential Harvesting) — fałszywa strona internetowa imituje portal poczty firmowej, usługę Microsoft 365, system bankowości lub panel oprogramowania ERP (Enterprise Resource Planning — system planowania zasobów przedsiębiorstwa). Użytkownik wpisuje login i hasło, które trafiają bezpośrednio na serwer kontrolowany przez osoby nieuprawnione.
Pobranie złośliwego oprogramowania szpiegującego (Infostealer) — kliknięcie w odnośnik powoduje pobranie pliku, który po uruchomieniu przeszukuje pamięć komputera oraz przeglądarki internetowe. Zagrożenie to wykrada zapisane hasła, pliki cookies (niewielkie pliki tekstowe przechowujące stan sesji) oraz klucze uwierzytelniające.
Przejęcie aktywnej sesji logowania (Session Hijacking) — mechanizm ataku pośredniczącego AiTM (Adversary-in-the-Middle — napastnik w środku transmisji), w którym strona wyłudzająca przekazuje w czasie rzeczywistym zapytania do prawdziwego serwera. W ten sposób omijana jest weryfikacja dwuetapowa 2FA (Two-Factor Authentication — uwierzytelnianie dwuskładnikowe) poprzez przechwycenie wygenerowanego tokenu sesyjnego.
Zainfekowanie oprogramowaniem szyfrującym (Ransomware) — złośliwy kod szyfruje pliki na dysku lokalnym oraz zasoby udostępnione w sieci lokalnej SMB (Server Message Block — protokół współdzielenia plików i drukarek). Skutkuje to natychmiastowym paraliżem pracy biurowej i brakiem dostępu do baz danych.

Procedura techniczna bezpośrednio po zgłoszeniu incydentu

Prawidłowe postępowanie bezpośrednio po incydencie pozwala zapobiec rozprzestrzenianiu się zagrożenia w infrastrukturze przedsiębiorstwa. Prace diagnostyczne i naprawcze przebiegają według ustalonego schematu.

W pierwszej kolejności stacja robocza zostaje odłączona od sieci przewodowej LAN (Local Area Network — lokalna sieć komputerowa) oraz bezprzewodowej sieci Wi-Fi. Odcięcie łączności blokuje komunikację z serwerem C2 (Command and Control — serwer sterujący atakiem) i uniemożliwia dalszą transmisję skradzionych danych na zewnątrz.

Komputer nie powinien być odłączany od zasilania poprzez wyciągnięcie wtyczki, o ile nie zachodzi bezpośrednie podejrzenie aktywnego szyfrowania plików przez ransomware. Zachowanie zasilania pozwala zachować zawartość pamięci operacyjnej RAM (Random Access Memory — pamięć ulotna o dostępie swobodnym), w której znajdują się aktywne procesy, biblioteki dynamiczne DLL (Dynamic Link Library) oraz niezapisane ślady działania złośliwego skryptu.

Kolejnym krokiem jest zmiana poświadczeń logowania. Procedurę tę wykonuje się wyłącznie z poziomu innego, bezpiecznego urządzenia, takiego jak czysty komputer stacjonarny lub telefon służbowy. Resetowane są hasła do konta domenowego w usłudze Active Directory (katalogowa baza danych użytkowników i zasobów sieciowych), poczty elektronicznej, a także systemów księgowych i magazynowych.

Weryfikacji podlegają również aktywne sesje w panelu administracyjnym usług chmurowych, takich jak Microsoft 365 lub Google Workspace. Wymusza się zakończenie wszystkich bieżących sesji i unieważnienie wygenerowanych tokenów dostępowych, aby odebrać dostęp nieautoryzowanym aplikacjom.

Sprawdzane są reguły skrzynki pocztowej (Inbox Rules). Po uzyskaniu dostępu do konta bardzo często konfigurowane jest automatyczne przekazywanie wiadomości na zewnętrzny adres e-mail lub tworzone są reguły przenoszące powiadomienia o logowaniu do folderu kosza, co ukrywa obecność niepowołanych osób przed użytkownikiem.

Błędy popełniane podczas prób samodzielnej naprawy

Nieprawidłowe działania podejmowane po wykryciu incydentu mogą utrudnić ocenę sytuacji i doprowadzić do wtórnych uszkodzeń danych.

Częstym błędem jest wpisywanie nowych haseł na komputerze, który brał udział w incydencie. Jeśli w tle działa keylogger (program rejestrujący znaki wprowadzane z klawiatury), nowe hasło zostanie natychmiast zarejestrowane, co niweczy cały proces zabezpieczania konta.

Kolejnym niewłaściwym działaniem jest pobieranie z internetu darmowych programów czyszczących o wątpliwej reputacji. Wiele takich aplikacji to fałszywe skanery, które same zawierają moduły reklamowe lub złośliwy kod, dodatkowo modyfikując rejestr systemowy Windows.

Błędem jest również wysyłanie ostrzeżeń do współpracowników z poziomu potencjalnie przejętej skrzynki pocztowej. Jeżeli konto jest monitorowane przez osoby trzecie, wiadomości ostrzegawcze mogą zostać usunięte lub zmanipulowane.

Nie należy także wykonywać pośpiesznego przywracania systemu Windows do wcześniejszego punktu przywracania (System Restore) ani formatowania dysku bez uprzedniego wykonania pełnej kopii posektorowej (kopia jeden do jednego całej zawartości nośnika). Formatowanie niszczy logi systemowe, uniemożliwiając ustalenie, jakie dane zostały skradzione, co ma kluczowe znaczenie przy ocenie naruszenia ochrony danych osobowych.

Rozpoznanie fałszywego alarmu — kiedy to nie jest atak phishingowy

Nie każda nietypowa reakcja przeglądarki internetowej lub programu pocztowego oznacza udaną infekcję. Warto odróżnić rzeczywiste zagrożenie od innych problemów programowych.

Częstym zjawiskiem jest scareware (oprogramowanie lub strona wywołująca fałszywe poczucie zagrożenia). Po wejściu na stronę wyświetla się pełnoekranowy komunikat z dźwiękiem informujący o rzekomym zablokowaniu komputera i żądający kontaktu ze wsparciem. W rzeczywistości jest to wyłącznie spreparowany skrypt w przeglądarce, a sam system operacyjny pozostaje nienaruszony. Problem ustępuje po zamknięciu procesu przeglądarki w Menedżerze zadań (Task Manager).

Innym przypadkiem są niechciane powiadomienia typu Web Push Notifications (komunikaty push wysyłane przez przeglądarkę). Użytkownik mógł przypadkowo kliknąć przycisk zezwolenia na powiadomienia, co skutkuje wyświetlaniem wyskakujących okienek w rogu ekranu. Usunięcie uprawnień dla danej witryny w ustawieniach przeglądarki całkowicie likwiduje problem.

Zdarzają się również zbieżności w czasie, kiedy kliknięcie w link pokrywa się z problemem sprzętowym, takim jak uszkodzenie pamięci operacyjnej RAM, pojawienie się uszkodzonych sektorów na dysku HDD lub SSD czy przeciążenie procesora wywołane działaniem usługi Windows Update w tle. Rzetelna diagnostyka pozwala precyzyjnie ustalić źródło anomalii.

Wpływ incydentu na oprogramowanie firmowe i bazy danych

W środowiskach firmowych zagrożenie rzadko ogranicza się do samego systemu operacyjnego. Głównym celem bywają dane przetwarzane w zintegrowanych systemach zarządzania przedsiębiorstwem.

Szczególnej uwagi wymagają systemy handlowo-magazynowe i księgowe, takie jak InsERT GT i nexo (Subiekt, Rewizor, Rachmistrz, Gratyfikant), WAPRO ERP (Mag, Fakturka, Fakir), Comarch ERP (Optima, XL), Sage Symfonia oraz program Płatnik ZUS. Dostęp do stacji roboczej pracownika może posłużyć do prób przechwycenia bazy Microsoft SQL Server lub zmiany numerów rachunków bankowych na dokumentach sprzedaży.

W przypadku integracji z platformami handlowymi i systemami magazynowymi (BaseLinker, moduły sklepów internetowych) weryfikowane są klucze API (Application Programming Interface — interfejs programowania aplikacji). Naruszenie integralności tych kluczy mogłoby umożliwić dostęp do zamówień oraz bazy kontrahentów.

Po opanowaniu incydentu sprawdzana jest spójność baz danych SQL, logi transakcyjne oraz historia operacji eksportu danych, aby upewnić się, że struktura informacji nie uległa modyfikacji ani nieuprawnionemu pobraniu.

Dodatkowe pytania klientów

Czy pracownik ponosi konsekwencje zgłoszenia podejrzenia phishingu?

Szybkie zgłoszenie jest kluczowym elementem ochrony firmy przed poważnymi stratami. Im wcześniej incydent zostanie zgłoszony, tym łatwiej zablokować nieautoryzowany dostęp i ograniczyć zasięg usterki. Zgłoszenie umożliwia natychmiastowe podjęcie działań technicznych bez przestojów w pracy biura.

Czy formatowanie dysku twardego jest zawsze konieczne po incydencie?

Nie w każdym przypadku zachodzi konieczność ponownej instalacji systemu Windows. Jeżeli analiza wykaże, że nie doszło do uruchomienia złośliwego kodu, a jedynie do otwarcia strony internetowej, wystarczy unieważnienie sesji, zmiana poświadczeń i usunięcie danych tymczasowych przeglądarki. Pełne czyszczenie lub reinstalację systemu wdraża się wtedy, gdy wykryto obecność złośliwego oprogramowania trwale zagnieżdżonego w rejestrze lub plikach systemowych.

Co zrobić, jeśli pracownik wprowadził na fałszywej stronie kod SMS lub zatwierdził monit w aplikacji uwierzytelniającej?

W takiej sytuacji należy założyć, że sesja użytkownika została przechwycona w czasie rzeczywistym. Konieczne jest natychmiastowe zresetowanie hasła z innego urządzenia oraz unieważnienie wszystkich tokenów autoryzacyjnych w panelu administracyjnym Microsoft 365, Google Workspace lub w usłudze tożsamości. Należy również sprawdzić historię logowań pod kątem nietypowych adresów IP (Internet Protocol — adres identyfikujący urządzenie w sieci) oraz lokalizacji geograficznych.

Czy w trakcie czyszczenia komputera pracownik może korzystać ze sprzętu zastępczego?

W przypadku naprawy laptopa dostępny jest bezpłatny laptop zastępczy z systemem Windows, wydawany bez kaucji i bez limitu czasowego na cały okres realizacji usługi. Umożliwia to zachowanie ciągłości pracy pracownika na czas trwania procedur diagnostycznych i czyszczenia systemu.

W jaki sposób weryfikowane jest bezpieczeństwo pozostałych komputerów w sieci lokalnej?

Sprawdzane są tablice routingu, dzienniki połączeń sieciowych na routerze lub serwerze oraz aktywność w usłudze Active Directory. Monitorowane są próby logowania na konta administracyjne oraz nietypowy ruch wychodzący na niestandardowych portach sieciowych.

Działania prewencyjne minimalizujące ryzyko ponownego ataku

Po zakończeniu prac naprawczych i oczyszczeniu stacji roboczej zaleca się wdrożenie procedur minimalizujących ryzyko podobnych zdarzeń w przyszłości.

Skuteczną ochronę stanowi konfiguracja bezpiecznych serwerów DNS (Domain Name System — system nazw domenowych) z funkcją filtrowania domen powiązanych ze złośliwym oprogramowaniem i phishingiem. Ogranicza to możliwość otwarcia niebezpiecznej strony nawet w sytuacji, gdy użytkownik kliknie przesłany odnośnik.

W sieci firmowej zaleca się zastosowanie segmentacji sieci za pomocą VLAN (Virtual Local Area Network — wirtualna sieć lokalna), co izoluje stacje robocze pracowników od serwerów bazodanowych i zasobów krytycznych. W połączeniu z wdrożeniem zasady najmniejszych uprawnień w systemie Windows oraz regularnym wykonywaniem kopii zapasowych w modelu 3-2-1 (trzy kopie na dwóch różnych nośnikach, z czego jedna w odrębnej lokalizacji), infrastruktura biurowa zyskuje wysoką odporność na próby wyłudzenia danych i paraliż pracy.

22 378 48 09

Pracownik kliknął podejrzany link — pierwsze kroki po phishingu