Myślisz, że Twoja firma jest bezpieczna, bo zainwestowałeś w firewall, masz antywirusa i przeszkoliłeś pracowników z phishingu? To błąd. Największe zagrożenie nie musi pukać do Twoich cyfrowych drzwi. Ono już tam jest. Siedzi wewnątrz Twoich systemów, ukryte w tysiącach linii kodu, za które nikt nie zapłacił, a od których zależy przetrwanie Twojego biznesu.
Większość polskich przedsiębiorców z sektora MŚP żyje w błędnym przekonaniu, że cyberataki to domena gigantów albo efekt kliknięcia w podejrzany link przez panią z księgowości. Tymczasem nowoczesny cyberprzestępca nie atakuje frontowych drzwi. On zatruwa wodociąg, z którego piją wszyscy. To jest właśnie atak na łańcuch dostaw (Supply Chain Attack).
Jako właściciel firmy nie musisz być programistą. Musisz jednak rozumieć, że oprogramowanie, którego używasz — od sklepu internetowego po system CRM — nie jest monolitem. To wieża z klocków LEGO, gdzie 80-90% elementów to darmowy kod open source, napisany przez ludzi, których nie znasz, a którzy często pracują za darmo w wolnym czasie. Jeśli jeden z tych klocków okaże się „zgniły”, cała Twoja firma runie.
Jak to działa? (Bez technicznego bełkotu)
Wyobraź sobie, że prowadzisz restaurację. Masz świetnych kucharzy i czystą kuchnię. Ale Twoim dostawcą przypraw jest firma, której nikt nie kontroluje. Pewnego dnia ktoś w fabryce tej firmy celowo dodaje do soli środek wywołujący paraliż u gości. Ty o tym nie wiesz. Twoi kucharze o tym nie wiedzą. Dania wyjeżdżają na salę, goście padają, a Ty tracisz biznes, reputację i lądujesz w sądzie.
W świecie IT Twoim „dostawcą przypraw” są repozytoria kodu (np. npm dla JavaScriptu czy PyPI dla Pythona). Programiści, tworząc Twoją aplikację, pobierają „gotowce”, żeby nie pisać wszystkiego od zera. To oszczędza czas i Twoje pieniądze. Problem polega na tym, że hakerzy nauczyli się te „gotowce” przejmować lub podmieniać.
Atak na łańcuch dostaw polega na zainfekowaniu jednego małego elementu, który jest używany przez tysiące innych programów. Kiedy Twój system automatycznie pobiera aktualizację, pobiera też „konia trojańskiego”. Bez walki, bez alarmu, prosto do serca Twojej firmy.
Prawdziwe przypadki: To nie jest teoria
Jeśli myślisz, że to czarny scenariusz z filmu sci-fi, spójrz na fakty z ostatnich lat. To wydarzyło się naprawdę i dotknęło setki tysięcy firm na całym świecie.
1. xz-utils (2024): Cierpliwość mordercy To przypadek, który wstrząsnął światem IT zaledwie dwa lata temu. Haker (prawdopodobnie działający na zlecenie obcego państwa) przez dwa lata budował zaufanie jako programista-wolontariusz przy darmowym narzędziu xz, używanym niemal w każdym serwerze z systemem Linux. Pomagał, naprawiał błędy, aż w końcu przemycił „tylne drzwi” (backdoor). Gdyby nie przypadek i czujność jednego inżyniera z Microsoftu, hakerzy mieliby klucz do większości serwerów na planecie. Twoje serwery też tam były.
2. event-stream: Skok na portfel Mały moduł używany do przetwarzania danych. Haker zaproponował pomoc przemęczonemu twórcy tego modułu. Twórca oddał mu uprawnienia, a haker dodał kod, który kradł kryptowaluty z portfeli użytkowników korzystających z aplikacji zbudowanych na tym module. Celne, chirurgiczne uderzenie w finanse.
3. polyfill.io: Masowe przejęcie stron W 2024 roku chińska firma kupiła popularną usługę dostarczającą kod pomocniczy dla starszych przeglądarek. Z dnia na dzień, ponad 100 000 stron internetowych (w tym strony dużych marek i małych sklepów) zaczęło serwować złośliwy kod użytkownikom. Jeśli Twoja strona z tego korzystała, mogła nieświadomie infekować Twoich klientów.
4. ua-parser-js: Szpieg w przeglądarce Narzędzie używane przez miliony aplikacji do rozpoznawania, z jakiego urządzenia korzysta użytkownik. Hakerzy przejęli konto autora i podmienili kod na taki, który instalował koparki kryptowalut i oprogramowanie kradnące hasła. Każda firma, która w tym czasie budowała lub aktualizowała swoją aplikację, dostała „prezent” od hakerów.
Co to dla Ciebie oznacza jako dla klienta software-u?
Dla właściciela polskiego MŚP te nazwy brzmią egzotycznie, ale skutki są brutalnie proste:
- Paraliż operacyjny: Jeśli Twoja aplikacja sprzedażowa przestanie działać z powodu złośliwego kodu, tracisz przychody co minutę.
- Kradzież danych (RODO): Jeśli haker przejmie bazę klientów przez lukę w kodzie open source, to Ty odpowiadasz przed UODO. Kara może wynieść do 4% globalnego obrotu.
- Utrata zaufania: Klienci wybaczą Ci przerwę techniczną. Nie wybaczą Ci, że przez Twoją stronę ich konta bankowe zostały wyczyszczone.
- Koszty ratunkowe: Godzina pracy eksperta od cyberbezpieczeństwa w trybie awaryjnym kosztuje więcej niż miesięczna pensja juniora.
5 konkretnych działań dla właściciela firmy
Nie musisz czytać kodu, żeby zabezpieczyć swój biznes. Musisz zacząć wymagać. Oto 5 kroków, które powinieneś podjąć już dziś:
1. Inwentaryzacja (SBOM) Zapytaj swojego dostawcę oprogramowania (lub dział IT): „Czy mamy SBOM (Software Bill of Materials)?”. To cyfrowy spis składników Twojego oprogramowania. Jeśli nie wiedzą, co to jest albo nie potrafią go wygenerować, masz problem. Nie możesz chronić czegoś, czego nie znasz.
2. Audyt dostawcy (Vendor Assessment) Przestań kupować oprogramowanie tylko na podstawie ceny i wyglądu interfejsu. Pytaj o procesy bezpieczeństwa. Jak sprawdzają biblioteki zewnętrzne? Czy używają narzędzi do skanowania podatności (SCA)? Jeśli odpowiedź brzmi „nie martw się, wszystko jest bezpieczne”, zacznij się martwić.
3. Polityka aktualizacji (nie za szybko, nie za wolno) Bezmyślne klikanie „aktualizuj wszystko” od razu po premierze to ryzyko (patrz: polyfill.io). Z kolei nieaktualizowanie systemu przez lata to pewne samobójstwo. Wprowadź zasadę: krytyczne łaty bezpieczeństwa — natychmiast, inne aktualizacje — po sprawdzeniu przez IT na środowisku testowym.
4. Monitoring i alerty Twój system powinien krzyczeć, gdy dzieje się coś nietypowego. Istnieją narzędzia (często darmowe dla małych projektów), które powiadamiają, gdy w używanym przez Ciebie kodzie open source wykryto dziurę. Wymagaj ich stosowania.
5. Zabezpieczenie prawne (Kontrakty) W umowach z software house’ami wpisuj klauzule dotyczące odpowiedzialności za bezpieczeństwo kodu i obowiązek regularnych audytów komponentów trzecich. Nie daj sobie wmówić, że „open source to nie ich wina”. Oni go wybrali i oni go wdrożyli do Twojej firmy.
NIS2 i łańcuch dostaw — to już nie jest opcja
Jeśli prowadzisz firmę średniej wielkości w sektorze energetyki, transportu, bankowości, ochrony zdrowia czy infrastruktury cyfrowej, dyrektywa NIS2 dotyczy Cię bezpośrednio. Jednym z jej fundamentów jest właśnie bezpieczeństwo łańcucha dostaw.
Unia Europejska zrozumiała, że nie da się zabezpieczyć kraju, jeśli jego firmy korzystają z dziurawego kodu od niesprawdzonych dostawców. Zgodnie z NIS2, zarząd firmy odpowiada osobiście za uchybienia w cyberbezpieczeństwie. Jeśli dojdzie do incydentu, bo „zapomnieliście" sprawdzić dostawcy, kary będą boleć bardziej niż jakikolwiek okup dla hakera.
W Ai Pulse Security zgodność z NIS2/KSC razem z audytem łańcucha dostaw jest dokładnie tym, co robimy w pakiecie ROZSZERZONYM — to nasz standardowy zakres dla średniej wielkości polskich MŚP, które wchodzą w nowe regulacje. Więcej o tym, co dokładnie obejmuje zgodność, piszemy w sekcji compliance na stronie Security.
Czas przestać udawać, że to nas nie dotyczy
Ataki na łańcuch dostaw są skuteczne, bo są niewidoczne. Wykorzystują zaufanie do technologii i presję czasu wywieraną na deweloperów. Ale w 2026 roku brak kontroli nad tym obszarem nie jest już tylko ryzykiem operacyjnym — jest ryzykiem zarządczym.
Twoja firma opiera się na kodzie, którego nie jesteś właścicielem. Warto zacząć kontrolować ten fundament, zanim ktoś inny postanowi go wyciągnąć spod Twoich nóg.
Jak sprawdzić, czy Twoja firma jest podatna
Jeżeli chcesz zorientować się samemu, gdzie stoi Twoja firma — bezpłatna samoocena bezpieczeństwa obejmuje pytania o dostawców i procesy aktualizacji. 15 minut, natychmiastowy wynik.
Jeżeli wolisz, żebyśmy przeszli przez to razem z Tobą — zaczynamy od bezpłatnej 30-minutowej rozmowy, z której wyjdziesz z trzema najważniejszymi rekomendacjami — nawet jeśli nie zdecydujesz się na audyt. Dostaniesz raport zrozumiały dla właściciela firmy, a nie dwudziestostronicowy dokument, który zrozumie tylko Twój informatyk.
Autor: Maciej Konieczny, Ai Pulse Security