Świadomość zagrożeń cybernetycznych w firmach wciąż niska

Polskie firmy wciąż nie doszacowują ryzyka cyberataków, choć skala zagrożenia gwałtownie rośnie. Z danych CERT Polska wynika, iż w 2025 roku zarejestrowano 260,8 tys. incydentów cyberbezpieczeństwa, a badanie Mastercard pokazuje, iż szczególnie małe firmy przez cały czas zbyt często uznają to ryzyko za niewielkie. Według badania cyberatak lub naruszenie bezpieczeństwa cyfrowego miała już za sobą co czwarta mała firma i co druga duża organizacja w Polsce.

– Przeprowadziliśmy badanie wśród polskich przedsiębiorców – małych, średnich i dużych, aby ocenić, jak wygląda ich świadomość związana z cyberprzestępczością i potrzebą ochrony przed cyberatakami. To, co nas zaskoczyło, to brak świadomości na temat zagrożeń – podkreśla w rozmowie z agencją Newseria Małgorzata Domagała, VP, dyrektorka ds. produktów i rozwiązań Mastercard na Polskę, Czechy i Słowację. – Wśród małych firm tylko 5 proc. obawia się cyberataków.

Tylko w ubiegłym roku CERT Polska obsłużył ponad 260 tys. incydentów – o 152 proc. więcej niż rok wcześniej. Mimo to, jak wynika z badania Mastercard, 71 proc. ankietowanych reprezentantów małych firm ocenia ryzyko ataku cybernetycznego na swoje przedsiębiorstwo jako niskie lub raczej niskie. Tylko 5 proc. zauważa bardzo wysokie cyberzagrożenie dla swojej organizacji. Duże firmy pod tym kątem wykazują zdecydowanie mniej optymizmu – 18 proc. dostrzega bardzo wysokie lub wysokie ryzyko ataku.

– Świadomość zagrożeń skorelowana jest nie tylko z wielkością organizacji, ale również z doświadczeniami firmy. Organizacje, które mają już atak za sobą, częściej dostrzegają potencjalne ryzyka na przyszłość. W Polsce 1/4 małych firm, 44 proc. średnich firm i ponad 50 proc. dużych firm już doświadczyło takiego cyberataku – wskazuje Małgorzata Domagała.

Według małych firm obszary uznawane za najbardziej podatne na działania cyberprzestępców to dane klientów (46 proc.) oraz dane finansowe i księgowe (41 proc.). Średnie i duże organizacje częściej wskazują natomiast na wewnętrzne systemy IT, bazy danych, dane pracowników i dokumenty strategiczne.

– Widzimy na podstawie analiz i informacji od wyspecjalizowanych organizacji zajmujących się cyberbezpieczeństwem, iż najczęściej atakowane są zasoby związane z danymi klientów i danymi pracowników – ocenia dyrektorka ds. produktów i rozwiązań Mastercard na Polskę, Czechy i Słowację.

Najczęściej ofiarami cyberprzestępców padają podmioty z branży produkcyjnej (49 proc.), handlowej (38 proc.) oraz e-commerce (34 proc.).

– Przedsiębiorcy nie doceniają skali ataków. Zagrożeń jest więcej niż te, z których zdają oni sobie sprawę, a jednocześnie firmy deklarują większą gotowość i lepsze zabezpieczenia organizacji niż te, którymi dysponują w rzeczywistości – ocenia ekspertka.

Największe niedoszacowanie zagrożeń dotyczy najmniejszych podmiotów. Z badania wynika, iż wiele z nich zakłada, iż cyberprzestępcy koncentrują się przede wszystkim na dużych organizacjach. Dane z badania wskazują, iż mniejsze firmy również są częstym celem ataków, m.in. ze względu na niższy poziom zabezpieczeń oraz dostęp do danych klientów lub partnerów biznesowych.

– Cyberprzestępczość to jest w tej chwili trzecia gospodarka na świecie – jej wartość to 10,5 bln dol. rocznie. W związku z tym, o ile mała firma ma odpowiednio atrakcyjne zasoby związane czy z bazą klientów, czy swoimi danymi, to może zostać zaatakowana – przekonuje Małgorzata Domagała.

Najczęstsze formy ataków to ransomware oraz działania z wykorzystaniem socjotechniki. W pierwszym przypadku cyberprzestępcy blokują dostęp do systemów i żądają okupu, w drugim – wykorzystują manipulację, aby uzyskać dostęp do danych lub infrastruktury. Skala tego typu zagrożeń widoczna jest także w danych CERT Polska – tylko w 2025 roku zablokowano ponad 140 mln prób wejścia na złośliwe strony, które często podszywają się pod banki, firmy kurierskie czy usługi publiczne.

– Czasami cyberprzestępcy podszywają się pod przełożonych i wywołują poczucie, iż „coś” trzeba zrobić nagle i konieczne jest szybkie działanie. Powodują, iż u pracownika włącza się mechanizm strachu i instynktownego reagowania, który sprawia, iż dana osoba nie myśli racjonalnie – tłumaczy ekspertka Mastercard.

Badanie Mastercard pokazuje, iż to właśnie czynnik ludzki pozostaje jednym z kluczowych elementów ryzyka. Jednocześnie działania firm po incydentach koncentrują się głównie na usuwaniu skutków ataku. Rzadziej wdrażane są rozwiązania o charakterze długofalowym, takie jak systemowe zarządzanie ryzykiem czy regularna edukacja pracowników.

Duże i średnie firmy oraz te, które w przeszłości doświadczyły cyberataku, częściej mają plan reagowania na incydenty cyberprzestępcze. W przypadku małych firm tylko 18 proc. posiada tego typu dokument. Podobnie jest w podejściu do szkolenia pracowników – 64 proc. dużych podmiotów szkoli pracowników w obszarze cyberbezpieczeństwa przynajmniej raz w roku, a ponad połowa małych jeszcze nigdy nie przeprowadziła tego typu szkoleń.

– Jeżeli pomyślimy, iż manipulacja jest jednym z kluczowych elementów związanych z atakami, to można sobie wyobrazić, iż głównym i najlepszym rozwiązaniem jest edukacja pracowników. Natomiast niewielki odsetek firm zaatakowanych informuje o tym pracowników oraz przekazuje im instrukcje, co należałoby zrobić i jak się przed takim cyberatakiem chronić. Dostrzegamy ogromną lukę edukacyjną, a w naszej ocenie właśnie świadomość i edukacja pracowników mogłyby w dużej mierze wesprzeć budowanie odporności cyfrowej firm – podkreśla Małgorzata Domagała.