W 2025 r. 91% udanych ataków cybernetycznych na polskie firmy zaczęło się od phishingu (CERT Polska, raport roczny). Średni koszt udanego ataku — 87 tys. zł plus tygodnie zakłóceń. Phishing to nie problem „IT” — to problem zarządu. W tym artykule pokazuję 7 warstw obrony, które razem dają realną odporność firmy.
Warstwa 1: SPF + DKIM + DMARC
To trzy rekordy DNS, które mówią innym serwerom pocztowym „te maile naprawdę pochodzą od nas, odrzucaj podszywanie się”. W 2026 r. Google i Microsoft automatycznie odrzucają maile z domen bez DMARC ustawionego na p=reject.
Wdrożenie: 1–3h pracy specjalisty, zero kosztów (są darmowe). Rezultat: o 80% mniej spoofingu Twojej firmy w spamie klientów.
Warstwa 2: MFA wszędzie
Multi-Factor Authentication = drugi etap logowania (kod z aplikacji, klucz USB, biometria). Nawet jeśli phishing wykradnie hasło, atakujący nie zaloguje się.
- Microsoft Authenticator / Google Authenticator — gratis, podstawa
- YubiKey 5 (~250 zł szt.) — najtrudniej obejść, dla użytkowników krytycznych (admini, CEO, CFO)
- SMS jako MFA — NIE. SMS przechwycić można w 10 min (SIM-swap).
Warstwa 3: EDR z filtrowaniem URL
Pracownik kliknął link w mailu — co dalej? Endpoint Detection & Response (Microsoft Defender for Business, Bitdefender GravityZone, SentinelOne) skanuje link w czasie rzeczywistym, blokuje znane phishing-strony, izoluje zainfekowane pliki.
Warstwa 4: Szkolenia zespołu (2x rocznie)
Technika to 60% obrony, ludzie to 40%. Szkolenie 90-minutowe co 6 miesięcy:
- Rozpoznawanie sygnałów ostrzegawczych w mailu (urgency, dziwna domena, gramatyka)
- Co robić jeśli kliknąłeś (zgłoś natychmiast, nie ukrywaj!)
- Polityka transferów pieniężnych (zawsze potwierdzenie telefoniczne dla >5000 zł)
- Przegląd najświeższych typów ataków (deepfake voice, BEC — Business Email Compromise)
Warstwa 5: Symulacje phishingowe
Co kwartał wysyłaj zespołowi fałszywe maile phishingowe i mierz kto klika. Narzędzia: KnowBe4, Hoxhunt, Microsoft Attack Simulator (w M365 E5). Klikających trenuje się indywidualnie.
Statystyki: pierwsza kampania zwykle 25–40% klika. Po 3 kampaniach z follow-up trening — < 5%. To mierzalna poprawa odporności firmy.
Warstwa 6: Polityki finansowe
Większość strat z phishingu to BEC — atakujący podszywa się pod prezesa i prosi księgową o przelew. Polityka:
- Przelewy > 5000 zł — zawsze potwierdzenie telefonem (nie mailem, nie SMS-em)
- Zmiana numeru konta dostawcy — telefon na znany numer, weryfikacja
- Brak „pilnych” przelewów na kont zewnętrznych — przykład wskaźnika ataku
- Drugi podpis na przelewach > określonej kwoty (zależy od skali firmy)
Warstwa 7: Monitoring i reakcja
Co miesiąc przegląd:
- Lista nietypowych logowań (z innych krajów, w nocy, po wielu nieudanych próbach)
- Statystyki spam/phishing w skrzynkach firmowych
- Status patchowania endpointów
- Raport z EDR — co zablokowano
To 1–2h pracy administratora. Wykrywa atak nim się rozprzestrzeni.
Co robisz, jeśli phishing się udał
- NATYCHMIAST zmień hasła zaatakowanego konta i wszystkich powiązanych
- Wymuszanie wylogowania na wszystkich urządzeniach (M365: Sign-out everywhere)
- Audit log — co zostało zmienione/wysłane w ostatnich godzinach
- Jeśli incydent dotyczy danych osobowych — zgłoszenie do UODO w 72h
- Klientom potencjalnie dotkniętym — proaktywna informacja (regulamin RODO)
- Zgłoszenie do CERT Polska (cert.pl) — gratis, pomagają z analizą
- Post-mortem w zespole — co zawiodło, co poprawić
Pakiet ochrony przed phishingiem Solverte
Dla firm z Katowic i GZM oferujemy pakiet 7 warstw w jednej cenie abonamentu — od 800 zł/mc dla firm do 20 osób. Wdrożenie 2–3 tygodnie, potem ciągła opieka i monitoring. Łączy się z audytem bezpieczeństwa IT i checklistą RODO.
Zapytaj o szczegółową ofertę: +48 796 605 100 lub napisz.
Najczęściej zadawane pytania (FAQ)
Jaki procent ataków na firmy zaczyna się od phishingu?
W 2025 r. 91% udanych ataków cybernetycznych na polskie firmy zaczęło się od phishingu (CERT Polska, raport roczny). Średni koszt udanego ataku to 87 000 zł.
Co to jest SPF, DKIM i DMARC?
To trzy rekordy DNS które mówią innym serwerom pocztowym „te maile naprawdę pochodzą od nas, odrzucaj podszywanie”. W 2026 r. Google i Microsoft automatycznie odrzucają maile z domen bez DMARC ustawionego na p=reject.
Czy SMS jako MFA jest bezpieczny?
Nie. SMS można przechwycić w 10 minut przez SIM-swap. Używaj Microsoft Authenticator, Google Authenticator lub fizycznych kluczy YubiKey (~250 zł sztuka) dla użytkowników krytycznych.
Co robić jeśli pracownik kliknął link phishingowy?
Natychmiast: 1) Zmień hasła zaatakowanego konta, 2) Wyloguj na wszystkich urządzeniach, 3) Sprawdź audit log co zostało zmienione, 4) Jeśli wyciekły dane osobowe — zgłoszenie do UODO w 72h, 5) Powiadom dotkniętych klientów, 6) Zgłoś do CERT Polska.