Zgłoszenie od klienta dotyczące podejrzanego wycieku jego danych wymaga szybkiej, uporządkowanej reakcji ze strony firmy.

Na czym polega ta interwencja

Pomagamy ustalić, czy i jak doszło do potencjalnego wycieku danych, ograniczyć dalsze ryzyko oraz wskazujemy kolejne kroki, jakie warto podjąć.

Dla kogo ma sens

Interwencja jest przydatna dla firm, które otrzymały od klienta zgłoszenie podejrzenia wycieku jego danych.

Ile to trwa

Usługa dostępna jest całą dobę, siedem dni w tygodniu, a wstępna reakcja podejmowana jest niezwłocznie po zgłoszeniu.

Warunki

Diagnoza wstępna jest bezpłatna, a wykonana usługa objęta jest gwarancją do 12 miesięcy.

Najczęstsze scenariusze zgłoszeń podejrzenia naruszenia danych

Zgłoszenie od kontrahenta lub klienta indywidualnego może przybierać różne formy i nie zawsze oznacza bezpośrednie przełamanie zabezpieczeń serwera firmowego. W praktyce serwisowej wyróżnia się kilka powtarzających się sytuacji, które wymagają natychmiastowej weryfikacji technicznej.

Pierwszym częstym przypadkiem jest otrzymanie przez klienta podejrzanej wiadomości e-mail z adresu w domenie firmy. Może to być wynik procederu określanego jako spoofing (podszywanie się pod obcy adres nadawcy bez konieczności włamania na skrzynkę pocztową) lub faktycznego przejęcia konta pocztowego pracownika poprzez wyłudzenie hasła w ataku phishingowym (technika polegająca na nakłonieniu użytkownika do podania poświadczeń na fałszywej stronie internetowej).

Drugim wariantem jest informacja od klienta o nieautoryzowanym logowaniu na jego konto w systemie sprzedażowym lub platformie obsługi zgłoszeń. Bardzo często zjawisko to wynika z ataku typu credential stuffing (zautomatyzowane testowanie par loginów i haseł, które wyciekły wcześniej z innych serwisów internetowych, na które klient logował się tymi samymi danymi).

Trzecim scenariuszem jest podejrzenie nieuprawnionego dostępu do baz danych programów handlowo-magazynowych i księgowych, takich jak InsERT Subiekt GT, Subiekt nexo, Comarch ERP Optima, WAPRO Mag czy Symfonia. Objawia się to na przykład pojawieniem się nieznanych wpisów w historii operacji, modyfikacją numerów kont bankowych na dokumentach sprzedaży lub obecnością nowych, nieautoryzowanych kont użytkowników z uprawnieniami administracyjnymi.

Czwartym typem incydentu jest pomyłkowa wysyłka korespondencji seryjnej lub zestawień zawierających dane wielu odbiorców bez użycia pola UDW (ukryte do wiadomości – funkcja poczty elektronicznej uniemożliwiająca adresatom wzajemny wgląd w swoje adresy e-mail). Choć jest to błąd ludzki, generuje uzasadnione zaniepokojenie odbiorców i wymaga natychmiastowego zabezpieczenia procesu wysyłkowego.

Ostatnim powszechnym wariantem jest zainfekowanie stacji roboczej pracownika oprogramowaniem szpiegującym typu infostealer (złośliwy program wykradający poświadczenia, ciasteczka sesyjne oraz dane autoryzacyjne zapisane w przeglądarkach internetowych i klientach poczty), co prowadzi do pobrania danych klientów bezpośrednio z lokalnego komputera.

Procedura techniczna po otrzymaniu zgłoszenia incydentu

Reakcja na podejrzenie wycieku danych wymaga zachowania ścisłej kolejności działań, aby nie zatrzeć śladów cyfrowych i precyzyjnie ustalić wektor ataku (metodę lub drogę wykorzystaną przez intruza do uzyskania nieuprawnionego dostępu do systemu).

Pierwszym krokiem jest dokładna archiwizacja zgłoszenia klienta wraz ze wszystkimi dowodami. Jeśli klient otrzymał podejrzaną wiadomość, niezbędne jest pobranie pełnych nagłówków wiadomości e-mail (nagłówki MIME zawierające szczegółowe dane o serwerach pośredniczących, adresach IP nadawców oraz wynikach weryfikacji kryptograficznej). Zwykły zrzut ekranu nie zawiera danych technicznych pozwalających na identyfikację źródła transmisji.

Drugim krokiem jest natychmiastowa izolacja potencjalnie skompromitowanych urządzeń od sieci lokalnej i Internetu. W przypadku stacji roboczych lub serwerów zaleca się fizyczne odłączenie kabla sieciowego RJ-45 (przewód sieciowy Ethernet) lub wyłączenie interfejsu bezprzewodowego Wi-Fi. Urządzenia nie należy wyłączać z prądu ani restartować, ponieważ w pamięci RAM (pamięć operacyjna przechowująca bieżące procesy, połączenia sieciowe oraz niezaszyfrowane dane sesyjne) znajdują się kluczowe informacje dla późniejszej analizy śledczej.

Trzecim etapem jest zabezpieczenie i analiza logów systemowych oraz audytowych. Sprawdzane są dzienniki zdarzeń w narzędziu Event Viewer (Podgląd zdarzeń w systemie Windows Server rejestrujący zdarzenia logowania, błędy uwierzytelniania i zmiany uprawnień), logi serwera bazy danych Microsoft SQL Server (silnik relacyjnej bazy danych obsługujący systemy ERP), a także raporty aktywności w chmurze Microsoft 365, Azure Active Directory lub Google Workspace.

Czwartym etapem jest weryfikacja integralności kont użytkowników oraz reguł skrzynki pocztowej. Atakujący po przejęciu konta bardzo często konfigurują ukryte reguły przekazywania wiadomości (automatyczne przesyłanie kopii przychodzącej korespondencji na zewnętrzny adres e-mail kontrolowany przez intruza) lub tworzą nowe konta z uprawnieniami administratora domenowego.

Piątym krokiem jest wykonanie pełnego skanowania antywirusowego i antymalware przy użyciu zewnętrznych nośników startowych (system uruchamiany z pamięci USB, który umożliwia zbadanie dysków twardych bez aktywacji zainfekowanego systemu operacyjnego zainstalowanego na komputerze).

Typowe błędy popełniane podczas próby samodzielnego wyjaśniania incydentu

Brak przygotowania na sytuacje kryzysowe często prowadzi do podejmowania chaotycznych działań, które utrudniają ustalenie faktów i mogą pogłębić skalę problemu.

Najpoważniejszym błędem jest natychmiastowy restart lub wyłączenie zasilania urządzeń. Taki krok bezpowrotnie kasuje zawartość pamięci operacyjnej RAM, w której zapisane są aktywne procesy złośliwego oprogramowania, otwarte połączenia sieciowe intruza oraz klucze szyfrujące. Restart może również uruchomić mechanizmy zacierania śladów zaprogramowane przez atakującego.

Kolejnym błędem jest dokonywanie zmian haseł bezpośrednio na komputerze, na którym podejrzewa się obecność złośliwego oprogramowania. Jeżeli na stacji zainstalowany jest keylogger (program rejestrujący naciśnięcia klawiszy) lub infostealer, wpisanie nowego hasła spowoduje jego natychmiastowe przekazanie atakującemu, co niweczy próbę zabezpieczenia konta.

Często spotykanym zaniechaniem jest pochopne uspokajanie klienta i informowanie go o braku jakiegokolwiek wycieku przed przeprowadzeniem rzetelnej analizy technicznej logów. Jeżeli późniejsze ustalenia wykażą naruszenie, firma traci wiarygodność, a ryzyko prawne gwałtownie wzrasta.

Błędem jest także formatowanie dysków twardych lub reinstalacja systemu operacyjnego przed wykonaniem kopii binarnej (sektorowej kopii nośnika danych, która zachowuje nienaruszony stan wszystkich plików, przestrzeni nieprzydzielonej oraz metadanych). Zniszczenie materiału dowodowego uniemożliwia ustalenie, jakie konkretnie dane zostały pobrane.

Kiedy zgłoszenie nie oznacza wycieku z infrastruktury firmy

Podczas diagnostyki incydentów bezpieczeństwa wielokrotnie okazuje się, że infrastruktura techniczna firmy zgłaszającej nie została naruszona, a źródło problemu leży w innych punktach łańcucha komunikacyjnego.

Pierwszym takim przypadkiem jest naruszenie bezpieczeństwa po stronie samego klienta. Jeżeli komputer lub telefon klienta został zainfekowany, złośliwe oprogramowanie mogło przechwycić korespondencję prowadzoną z firmą, w tym faktury lub oferty. Dla klienta sprawia to wrażenie wycieku z bazy danych firmy, podczas gdy jego własne urządzenie było źródłem ujawnienia informacji.

Drugim przypadkiem jest brak wdrożonych lub poprawnie skonfigurowanych mechanizmów weryfikacji nadawcy poczty elektronicznej w domenie firmowej. Mechanizmy te obejmują rekord SPF (Sender Policy Framework – wpis DNS określający, które serwery mają prawo wysyłać pocztę w imieniu domeny), podpis DKIM (DomainKeys Identified Mail – podpis kryptograficzny potwierdzający, że treść wiadomości nie została zmodyfikowana w trakcie transmisji) oraz politykę DMARC (Domain-based Message Authentication, Reporting and Conformance – reguła instruująca serwer odbiorcy, jak traktować pocztę niespełniającą warunków SPF i DKIM). Przy braku tych zabezpieczeń dowolny zewnętrzny nadawca może wysłać wiadomość ze sfałszowanym adresem firmy, co nie stanowi włamania do jej serwera.

Trzecią sytuacją jest wykorzystanie danych publicznie dostępnych w rejestrach gospodarczych (takich jak CEIDG, KRS czy branżowe katalogi firm). Zautomatyzowane boty internetowe pobierają te dane i kierują spersonalizowane wiadomości marketingowe lub próby oszustwa, co odbiorcy mylnie interpretują jako kradzież danych z zamkniętych baz handlowych.

Wdrożenie środków naprawczych i uszczelnienie środowiska informatycznego

Po opanowaniu bezpośredniego zagrożenia konieczne jest wdrożenie trwałych zmian konfiguracyjnych i proceduralnych, które zabezpieczą środowisko przed powtórzeniem się podobnego zdarzenia.

Podstawowym wymogiem technicznym jest obligatoryjne wdrożenie uwierzytelniania wieloskładnikowego MFA (Multi-Factor Authentication – metoda zabezpieczenia wymagająca podczas logowania podania hasła oraz dodatkowego kodu jednorazowego lub potwierdzenia w aplikacji mobilnej). MFA skutecznie neutralizuje próby logowania przy użyciu haseł przejętych w wyniku wycieków zewnętrznych.

Niezbędne jest także dokonanie przeglądu uprawnień w systemach ERP i bazach danych SQL. Zasada najmniejszych uprawnień (ang. Principle of Least Privilege) nakazuje ograniczenie dostępu pracowników wyłącznie do tych modułów i tabel, które są niezbędne do wykonywania ich codziennych obowiązków, z jednoczesnym zablokowaniem możliwości masowego eksportu danych do plików arkusza kalkulacyjnego.

Zaleca się również przeprowadzenie segmentacji sieci firmowej przy użyciu sieci wirtualnych VLAN (Virtual Local Area Network – technologia logicznego dzielenia jednej sieci fizycznej na odizolowane segmenty). Serwery bazodanowe, urządzenia pamięci masowej NAS (Network Attached Storage – sieciowa pamięć masowa służąca do magazynowania danych i kopii zapasowych) oraz stacje robocze pracowników powinny pracować w odrębnych podsieciach z kontrolowanym ruchem na zaporze sieciowej (firewall).

Wszystkie prace analityczne i naprawcze realizowane są z zachowaniem pełnej poufności, a przed przystąpieniem do weryfikacji środowiska IT podpisywana jest umowa o zachowaniu poufności NDA (Non-Disclosure Agreement – prawnie wiążący dokument gwarantujący całkowite bezpieczeństwo i tajemnicę przetwarzanych informacji).

Pytania i odpowiedzi dotyczące obsługi podejrzeń wycieku danych

Czy każde zgłoszenie podejrzenia wycieku wymaga powiadomienia organu nadzorczego?

Nie każde zgłoszenie kwalifikuje się jako naruszenie ochrony danych osobowych skutkujące koniecznością zgłoszenia do Urzędu Ochrony Danych Osobowych. Obowiązek taki powstaje w sytuacji, gdy incydent rodzi ryzyko naruszenia praw lub wolności osób fizycznych. Wstępna analiza techniczna pozwala ustalić, czy faktycznie doszło do uzyskania dostępu do danych przez osoby nieuprawnione, jaki był zakres tych danych oraz czy zastosowane środki bezpieczeństwa (na przykład szyfrowanie bazy danych) zneutralizowały zagrożenie.

Dlaczego odłączenie komputera od Internetu jest lepsze niż jego wyłączenie?

Fizyczne odłączenie przewodu sieciowego lub wyłączenie łączności bezprzewodowej natychmiast przerywa komunikację z serwerem kontrolnym atakującego i uniemożliwia dalszy transfer danych poza firmę. Jednocześnie pozostawienie włączonego komputera chroni dane ulotne zawarte w pamięci RAM. Wyłączenie urządzenia z prądu powoduje bezpowrotną utratę procesów, aktywnych tokenów uwierzytelniających i tymczasowych plików pamięci podręcznej, które są kluczowe do ustalenia tożsamości sprawcy i metody ataku.

Jak sprawdzić, czy hasła firmowe znajdują się w publicznych wykazach wycieków?

Specjalistyczna weryfikacja obejmuje audyt domen firmowych pod kątem obecności skompromitowanych poświadczeń w bezpiecznych repozytoriach śledzących wycieki danych. Podczas audytu sprawdzana jest historia haseł pracowników powiązanych ze służbowymi adresami pocztowymi bez konieczności ujawniania ich jawnej treści, co pozwala na natychmiastowe wytypowanie kont wymagających wymuszonego resetu poświadczeń.

W jaki sposób przebiega diagnostyka na miejscu w siedzibie firmy?

Zespół techniczny dojeżdża bezpośrednio do siedziby klienta na terenie Warszawy oraz okolicznych miejscowości w promieniu do 40 kilometrów. Na miejscu przeprowadzana jest bezpośrednia analiza logów serwerowych, badanie integralności baz danych programów handlowych oraz weryfikacja zabezpieczeń routerów i punktów dostępowych. Nie zlecamy prac zewnętrznym podwykonawcom, co zapewnia pełną kontrolę nad bezpieczeństwem powierzonych zasobów.

Co zrobić, jeśli w trakcie analizy okaże się, że komputer pracownika musi zostać poddany szczegółowym badaniom?

W przypadku konieczności wykonania czasochłonnych kopii posektorowych i głębokiej analizy nośnika danych, pracownikowi przekazywany jest bezpłatny laptop zastępczy z zainstalowanym i skonfigurowanym środowiskiem Windows, co pozwala na zachowanie ciągłości pracy biura bez zakłóceń.

Rzeczowe podsumowanie i dalsze kroki przy incydentach bezpieczeństwa

Szybka reakcja na zgłoszenie podejrzenia naruszenia danych chroni przedsiębiorstwo przed stratami wizerunkowymi, prawnymi i operacyjnymi. Metodyczna weryfikacja techniczna pozwala odróżnić próby podszywania się pod firmę od rzeczywistego przełamania zabezpieczeń, a także umożliwia sprawne wdrożenie środków zaradczych w strukturze sieciowej i bazodanowej.

W celu przeprowadzenia doraźnej analizy logów, zabezpieczenia śladów cyfrowych lub przeprowadzenia bezpłatnego przeglądu środowiska IT po wystąpieniu incydentu, specjaliści dojeżdżają do firm na obszarze Warszawy oraz 7 okolicznych powiatów (grodziski, legionowski, otwocki, piaseczyński, pruszkowski, warszawski zachodni, wołomiński). Zgłoszenia przyjmowane są pod numerem telefonu 22 378 48 09 przez całą dobę, siedem dni w tygodniu.

22 378 48 09

Klient zgłosił podejrzenie wycieku danych — pierwsze kroki