W dzisiejszym świecie cyberzagrożeń doniesienia o atakach chińskich hakerów brzmią alarmująco, zwłaszcza gdy słyszymy je od własnego informatyka. To prawda, w 2025 roku Polska doświadczyła eskalacji incydentów, z atakami między chociażby na sklepy internetowe, firmy czy placówki medyczne. Średnio około 2000 incydentów miesięcznie dotyka kluczowe sektory gospodarki. Zwykle jednak twierdzenia o „chińskich hakerach” wskazują na realne problemy we własnej infrastrukturze IT. Tylko czy aby na pewno to hakerzy, czy może zacieranie śladów własnej niekompetencji czy niedoróbek?
Co ja mam o tym myśleć?
Gdy informatyk melduje o rewelacjach z Azji, pierwszym krokiem powinno być szczegółowe określenie przez niego co się stało i dlaczego się tak stało. Nie musi być bardzo szczegółowo, za to musi być bardzo konkretne. Na tyle konkretnie, że wynik wyszukiwania w Internecie czy AI powinien zwrócić kilka artykułów w wiarygodnych serwisach internetowych.
Raporty wskazują, że wiele incydentów w Polsce to wykorzystanie starych problemów – 96% wykorzystuje podatności znane przed 2024 rokiem. Czyli nawet raportowany prawdziwy atak ma przyczynę w braku aktualizacji oprogramowania, słabych hasłach, czy ogólnie niefrasobliwego podejścia użytkowników do klikania w linki, które np. przyszły w podejrzanych wiadomościach email. Często to nawet nie ataki, tylko np. brak reakcji lub brak monitoringu sprzętu, który właśnie nieodwracalnie się zepsuł.
Powyższe argumenty wskazują na konieczność dokładnego przyjrzenia sposobowi, w jaki sposób firma IT realizuje swoje codzienne obowiązki. Jeżeli unikniesz podstawowych pułapek outsourcingu, na pewno nigdy nie usłyszysz o chińskich hakerach.
Ogólnie, to okazja do oceny: czy Twoje IT trzyma standardy, czy alerty maskują tylko braki kompetencji?
Czyli jaka jest właściwie kondycja IT mojej firmy?
W obliczu rewelacji jak wyżej, zapewne nienajlepsza. Najczęściej to standardowy zestaw podejrzanych, typu:
- brak monitoringu i odpowiedniej reakcji na jego wskazania (np. brak wymiany dysku w serwerze na czas)
- przestarzały sprzęt i nieaktualizowane oprogramowanie,
- poważne niedociągnięcia w konfiguracji zabezpieczeń,
- proste lub/i niezmieniane od dawna hasła, do kluczowych serwerów albo usług,
- brak programu antywirusowego,
- brak wdrożonej autoryzacji wieloskładnikowej (MFA, 2FA)
- brak świadomości użytkowników klikających bez refleksji
Hakerzy dobrze, mogą być nawet chińscy, ale co robić w przypadku awarii?
Nawet jeżeli atak nie jest prawdziwy, należy wykonać niezbędne minimum:
- Zażądać szczegółowego raportu o incydencie:
- zakres, czyli co padło ofiarą,
- wytypowany sposób, w który atakujący wtargnęli do systemu,
- czy luka powyższa została załatana? Jak? Dlaczego nie?
- Zażądać planu przywrócenia usług.
- Jaki status kopii zapasowej – czy mamy, czy działa? W przypadku ataków wymuszających okup (szyfrujących pliki) jest to wręcz obowiązkowe – w jakim czasie usługi zostaną odtworzone,
- czy potrzeba dodatkowych zasobów, sprzętowych czy innych,
- ustalić, czy mamy prawny obowiązek zgłoszenia incydentu do organu kontrolnego (np. RODO w przypadku wycieku danych osobowych) i rozpocząć odpowiednią procedurę zgodnie z wdrożonymi politykami.
A jeżeli wyjdzie na to, że zostaliśmy tylko nastraszeni, albo wyjaśnienie ma ogólny problem z logiką, warto poszukać partnera, który rzetelnie podchodzi do swojej pracy i nie musi szukać przyczyn usterek za Wielkim Murem.
