„Mnie się to nie przytrafi, moi ludzie są zbyt czujni, żeby dali się nabrać na takie rzeczy."
Słyszymy to w rozmowach z właścicielami firm regularnie. Zwykle po trzeciej kawie, kiedy opowiadamy o tym, co dzieje się z polskimi MŚP w obszarze phishingu w 2026 roku. Ta pewność siebie nie wzięła się znikąd — rzeczywiście, jeszcze kilka lat temu ataki wyglądały tak, jak wszyscy je pamiętamy. Słaba polszczyzna. Dziwny adres nadawcy. Absurdalna historia o nigeryjskim księciu.
Dzisiaj wygląda to inaczej. Tak inaczej, że większość mechanizmów obronnych, na które liczą małe i średnie firmy — w tym te, z którymi rozmawiamy — pochodzi z zupełnie innej epoki.
Zanim zastanowisz się nad narzędziami — warto zobaczyć, jak wygląda mapa zagrożeń z 2026 roku. Bo dopóki nie wiesz, na co Twoja firma powinna być odporna, każda rozmowa o bezpieczeństwie skręca w kierunku produktu zamiast w kierunku ryzyka.
Co się zmieniło między 2022 a 2026
Kluczowa zmiana nie dotyczy ataków. Dotyczy kosztu ataków. Kilka lat temu zaawansowany phishing wymagał czasu, pieniędzy i specjalistów. Był narzędziem grup, które polowały wyłącznie na duże korporacje. Mała firma miała statystyczne szczęście — nie opłacało się do niej strzelać.
W 2026 roku ten próg opłacalności spadł do zera. Narzędzia generatywne robią tę samą robotę, co kiedyś zespół operacyjny — tyle że w sekundę, w tysiącach kopii, pod konkretne cele. Jednocześnie polska firma o obrocie rzędu kilku milionów rocznie — taka, jak Twoja — to dla przestępcy z zagranicy wciąż atrakcyjny cel, nawet jeśli łup z jednego ataku to „tylko" sześciocyfrowa kwota. Bo kosztował go kilka kliknięć.
Efekt: ataki, które jeszcze niedawno widywaliśmy w nagłówkach o Ferrari czy Arup, dzisiaj dzieją się w Warszawie, Poznaniu i Bielsku-Białej — tylko bez nagłówków, bo żadna mała firma nie chwali się publicznie, że została oszukana na milion.
Cztery scenariusze, na które warto być gotowym
To nie są wszystkie typy ataków. To cztery, które najczęściej kończą się realną stratą w polskich MŚP, z jakimi pracujemy.
1. Spersonalizowany mail, który zna Twój świat
Kiedyś phishing wyglądał jednakowo dla wszystkich. Dzisiaj atakujący — zanim napisze pierwszy mail — spędza minutę na Twoim LinkedIn, profilu firmy w KRS-ie i kilku publicznych źródłach. W tej minucie system generatywny wyciąga informacje o Twoim zarządzie, ostatnich wydarzeniach branżowych, w których uczestniczyliście, strukturze firmy, nazwach działów.
Mail, który dostaje Twoja księgowa, nawiązuje do konkretnej konferencji, na której była dwa tygodnie temu. Wspomina imię Twojego dyrektora. Prosi o pilne sprawdzenie załącznika z „nową wersją umowy z klientem X". Klient X istnieje naprawdę i faktycznie rozmawialiście z nim w zeszłym tygodniu.
Pytanie: kto w Twojej firmie zauważyłby, że coś jest nie tak?
2. Telefon, w którym słyszysz swój głos
To najtrudniejszy do obrony scenariusz.
Księgowa odbiera telefon w piątek o 15:45. Słyszy Twój głos. Twoje tempo mówienia. Twoje charakterystyczne wtrącenia. „Kasia, muszę puścić zadatek na tę maszynę z Niemiec w ciągu godziny, bo oferta przepadnie. Wyślę Ci dane na komunikator." Pytań kontrolnych nie ma, bo nigdy nie ustaliliście, że trzeba je zadawać.
Próbka Twojego głosu — wystarczająca, żeby przestępca mógł prowadzić rozmowę na żywo — powstaje z jednego filmu, który nagrałeś do mediów społecznościowych, albo z wypowiedzi w podcaście branżowym. Już 30 sekund wystarczy.
Obrona przeciw temu scenariuszowi nie jest techniczna. Jest proceduralna. I właśnie dlatego tak wiele firm jej nie ma.
3. Kod QR na fakturze lub w mailu
QR-y są wszędzie. Na fakturach papierowych, w mailach od dostawców, w korespondencji z bankiem. Naturalną reakcją jest zeskanowanie telefonem — to szybsze niż przepisywanie linku.
Problem: telefon pracownika często nie podlega tym samym firmowym filtrom bezpieczeństwa co służbowy komputer. Zeskanowany kod może prowadzić do perfekcyjnej kopii strony logowania do bankowości, systemu księgowego albo poczty służbowej. Oszustwo wychodzi na jaw kiedy pieniądze już wyszły albo skrzynka pracownika już wysyła faktury do klientów z „poprawionym" numerem konta.
4. Cichy podmiot w trwającej korespondencji
Najbardziej wyrafinowany i najtrudniejszy do zauważenia atak.
Przestępca przejmuje dostęp do skrzynki jednego z Twoich dostawców — często w sposób, którego ten dostawca sam nawet nie zauważa. Nie wysyła z niej spamu. Tylko czyta. Czeka, aż zobaczy wątek mailowy, w którym macie domknąć dużą płatność. W idealnym momencie odpowiada w tym samym wątku — z tego samego adresu albo łudząco podobnego: „Przepraszam za zmianę, ale bank zamknął nam konto na czas przeksięgowania. Prośba o przelew na nowy numer: […]. Dokument aktualizujący w załączniku."
Twoja księgowa widzi ciągłość korespondencji. Podpis się zgadza. Styl pisania się zgadza. Pieniądze idą gdzie nie powinny.
Trzy pytania, które możesz zadać w tym tygodniu
Zamiast listy produktów do kupienia — trzy pytania, które od razu pokażą, gdzie Twoja firma stoi:
1. Czy w naszej firmie obowiązuje zasada, że żadna zmiana numeru konta u dostawcy nie wchodzi w życie bez potwierdzenia innym kanałem? Czyli: jeżeli dostaliśmy maila z nowym numerem, ktoś dzwoni pod stary, znany numer, żeby potwierdzić. Nie pisze maila zwrotnego. Nie dzwoni pod numer podany w tym mailu. Inny kanał.
2. Czy mamy ustalone, co ktoś z zespołu finansowego ma zrobić, jeżeli dzwoni do niego „szef" z pilną prośbą o przelew? Idealnie: jest hasło kontrolne, które obie strony znają, i bez którego rozmowa się nie kończy sukcesem. W języku branżowym nazywa się to safe word — ale w praktyce to jedno zdanie ustalone z zarządem, np. „ile kosztuje kawa w naszej kuchni" (odpowiedź znają tylko pracownicy).
3. Kiedy ostatnio ktoś w firmie przeszedł szkolenie z rozpoznawania phishingu — i czy było to szkolenie z aktualnymi scenariuszami, czy nagranie sprzed trzech lat? Bo świat AI porusza się co kwartał, nie co trzy lata.
Jeżeli na którekolwiek z tych pytań odpowiedź brzmi „nie wiem" albo „chyba nie" — masz konkretny, bezkosztowy pierwszy krok na poniedziałek rano.
Dlaczego to nie jest problem technologiczny
Można mieć w firmie najlepsze filtry antyspamowe na rynku i dalej dać się oszukać na deepfake głosowy. Można zainwestować w najdroższe klucze sprzętowe do logowania i dalej wykonać przelew na błędny numer, jeśli nie ma procedury weryfikacji.
Dzisiejszy phishing atakuje procesy w firmie, a nie komputery. Obrona musi być tam, gdzie jest atak — w procedurach, w kulturze pracy, w szkoleniach. Technologia jest dodatkiem, nie fundamentem.
Dlatego w Ai Pulse Security, kiedy firma przychodzi do nas z „Boimy się tych AI-owych oszustw, co zrobić?" — nie zaczynamy od propozycji sprzętu. Zaczynamy od rozmowy o tym, jak dzisiaj wygląda w firmie proces zatwierdzania płatności, kto komu ufa na słowo, i jakiego rodzaju sytuacje mogłyby obejść dotychczasowe zabezpieczenia.
Z tego wychodzi raport zrozumiały dla właściciela firmy — nie tylko dla IT, z konkretnymi rekomendacjami: co zmienić w procesie finansowym, gdzie wzmocnić uwierzytelnianie, i jakich szkoleń potrzebuje konkretny zespół — nie cała firma naraz.
Często pierwsza rekomendacja jest tańsza niż jeden klucz sprzętowy. Bo jest proceduralna.
Jak sprawdzić odporność swojej firmy
Jeżeli chcesz zacząć sam — bezpłatna samoocena bezpieczeństwa zawiera sekcję o phishingu i szkoleniach pracowników. 15 minut, natychmiastowy wynik, zero wysyłania danych.
Jeżeli chcesz, żeby ktoś przeszedł z Tobą przez konkretne procesy w Twojej firmie — Audyt Podstawowy trwa 3–5 dni roboczych i obejmuje ten obszar razem z resztą firmowego bezpieczeństwa. Zaczyna się od bezpłatnej 30-minutowej rozmowy, z której wyjdziesz z trzema najważniejszymi rekomendacjami — nawet jeśli nie zdecydujesz się na audyt.
Jeżeli Twoja diagnoza brzmi „nasz zespół finansowy regularnie obsługuje nietypowe żądania z zewnątrz" — to jest sygnał, żeby rozważyć szkolenie Security Awareness lub wariant z symulacją phishingu, który jest częścią pakietu rozszerzonego. Szkolenia robimy po polsku, z aktualnymi scenariuszami z polskich MŚP, nie z amerykańskim wideo sprzed pięciu lat.
Pewność siebie, że „mnie to nie dotyczy", kosztowała firmy w naszym portfelu audytowym już kilka bolesnych lekcji. W 2026 roku próg wejścia dla atakujących jest tak niski, że Twoja kolej zawsze kiedyś przyjdzie. Pytanie brzmi tylko, czy wtedy Twój zespół będzie wiedział, co zrobić.
Autor: Maciej Konieczny Ai Pulse Security