Bezpieczeństwo w banku
Bezpieczeństwo rachunku firmowego: MFA, phishing i kontrola dostępu
Jak chronić rachunek firmowy: uwierzytelnianie wieloskładnikowe, hasła, rozpoznawanie phishingu, weryfikacja płatności, kontrola dostępu i reakcja na incydenty.
Bezpieczeństwo rachunku firmowego to nie tylko kwestia IT
Dostęp do rachunku firmowego obejmuje też pocztę, systemy księgowe, platformy workflow i panele bankowe. Login i hasło nie wystarczają. Bezpieczeństwo tworzą warstwy: MFA, higiena poświadczeń, weryfikacja transakcji i zmian danych płatniczych, kontrola dostępu do systemów i świadomość zespołu. Żadne pojedyncze narzędzie nie zastąpi pozostałych.
Tytułowy podział na trzy obszary to: uwierzytelnianie (MFA/2FA, hasła), oszustwa (phishing i weryfikacja płatności) oraz kontrola dostępu (SSO, Zero Trust, uprawnienia). Uwierzytelnianie chroni panel bankowy, oszustwa dotyczą płatności i zmian danych kontrahentów, a kontrola dostępu ogranicza, kto może zlecać przelewy.
Polskie zasady porządkują dwa dokumenty: „Dobre praktyki bezpieczeństwa poświadczeń” (CSIRT, 25 lutego 2025) oraz Standard Cyberbezpieczeństwa PPBW. Pierwszy określa reguły haseł, MFA i zgłaszania podejrzanych sytuacji, drugi opisuje rodzaje uwierzytelniania i przykładowe narzędzia.
Skalę pokazują dane: 62 proc. przedsiębiorstw w Polsce doświadczyło w ciągu ostatniego roku przynajmniej jednej próby włamania do systemu (CERT Polska). Globalnie 90 proc. cyberataków zaczyna się od wiadomości phishingowej (Verizon, 2023), a 70 proc. firm padło ofiarą ataków ransomware (Sophos, 2023).
Średni koszt incydentu to 4,45 mln USD (Ponemon Institute, 2023). Osobno idą luki: 60 proc. wycieków danych wynika z niezałatanych podatności (IBM, 2022).
Struktura zagrożeń od lat wygląda podobnie: phishing to niemal połowa incydentów (ponad 47 proc.), DDoS ok. 16 proc., a złośliwe oprogramowanie ponad 13 proc. (CERT Orange Polska, 2025). Metody przestępców zmieniają się szybciej niż statystyki: rośnie automatyzacja, użycie sztucznej inteligencji i skala zorganizowanej cyberprzestępczości.
Bezpieczeństwo to proces, nie jednorazowe wdrożenie. Wymaga technologii, edukacji pracowników i konsekwencji: przeglądów uprawnień, aktualizacji, kopii zapasowych oraz procedur weryfikacji niestandardowych sytuacji.
Lista kontrolna wdrożenia dla firmy: włącz MFA do panelu bankowego, poczty i systemów finansowych. Ustaw unikalne hasła min. 16 znaków i menedżer haseł. Potwierdzaj zmiany numeru rachunku i pilne płatności drugim kanałem.
Ogranicz samodzielne zatwierdzanie przelewów większej wartości i wprowadź zasadę dwóch osób. Dostęp do panelu bankowego ogranicz do niezbędnych osób i odbieraj uprawnienia przy zmianie zadań lub odejściu. Ćwicz zgłaszanie podejrzanych wiadomości do działu IT.
Uwierzytelnianie wieloskładnikowe: dodatkowa bariera, gdy hasło wycieknie
Uwierzytelnianie wieloskładnikowe (MFA) wymaga co najmniej dwóch rodzajów uwierzytelnienia. Są trzy typy: coś, co użytkownik zna (np. hasło), coś, co posiada (np. urządzenie mobilne, konto e-mail, sprzętowy klucz bezpieczeństwa) oraz coś, czym jest (np. linie papilarne).
Dwa etapy weryfikacji to uwierzytelnianie dwuetapowe (2FA). Najczęstsze warianty: hasło plus kod e-mailem lub SMS-em, hasło plus kod z aplikacji na telefonie albo hasło plus sprzętowy klucz podłączany np. do portu USB.
MFA chroni konto, gdy dane logowania zostaną skradzione lub upublicznione. Atakujący znający login i hasło nie zaloguje się bez drugiego składnika. Działa też, gdy ktoś samodzielnie udostępni komuś swoje dane logowania.
Nie każdy drugi składnik jest równie bezpieczny. Dobre praktyki bezpieczeństwa poświadczeń (25 lutego 2025) mówią wprost, by nie polegać na kodach SMS, jeśli dostępne są bezpieczniejsze rozwiązania: aplikacje autoryzacyjne (Google Authenticator, Microsoft Authenticator) lub sprzętowe klucze U2F. Standard Cyberbezpieczeństwa PPBW wymienia też FreeOTP, Authy, YubiKey i Thetis Fido.
W firmie włącz MFA wszędzie, gdzie to możliwe. Chodzi o pocztę służbową, systemy finansowo-księgowe, narzędzia do pracy zdalnej oraz miejsca, gdzie są dane klientów lub dostępne płatności.
W rachunku firmowym MFA/2FA chroni panel bankowy, gdy hasło wycieknie. Drugi składnik wybierz spośród aplikacji autoryzacyjnych lub klucza U2F, a nie wyłącznie SMS, jeśli dostępne są bezpieczniejsze opcje.
Hasła, menedżery i odpowiedzialność za poświadczenia
Poświadczenia do systemów, poczty i innych zasobów są informacją poufną. Dokument „Dobre praktyki bezpieczeństwa poświadczeń” (25 lutego 2025) wskazuje, że hasło powinno mieć minimum 16 znaków, wielkie i małe litery oraz co najmniej jeden znak specjalny. Do każdej usługi trzeba tworzyć oddzielne, unikalne hasło.
Standard Cyberbezpieczeństwa PPBW zaleca hasła długie — najlepiej ponad 12 znaków — bez danych użytkownika i jego bliskich (imienia, nazwiska, daty urodzenia) i bez znanych powiedzeń, które łatwo złamać metodą słownikową. Sprawdza się zlepek kilku słów: łatwy do zapamiętania, trudny do odgadnięcia, np. „na czerwonym drzewie siedzi biała krowa”.
Hasła nie wolno udostępniać nikomu. Loginu i hasła nie podawaj współpracownikom — do nadania uprawnień służą bezpieczne sposoby. Nie wpisuj ich w e-mailach ani komunikatorach, nie zapisuj na kartkach ani w plikach tekstowych na komputerze lub smartfonie. Nigdy nie podawaj danych logowania przez telefon, e-mail czy czat — administratorzy nigdy o nie nie proszą.
Przy wielu kontach trudno utrzymać unikalne hasła wyłącznie z pamięci — dlatego przydaje się menedżer haseł. Bezpiecznie przechowuje hasła i generuje silne, unikalne kombinacje dla poszczególnych usług. Warto korzystać z menedżerów haseł, takich jak 1Password, LastPass czy Bitwarden.
Hasła bywają też łamane siłowo i poza samym zgadywaniem. Do przejmowania haseł i manipulowania bazami danych służą m.in. brute force (atak siłowy) i SQL Injection. Silne, unikalne hasła oraz menedżer haseł utrudniają takie ataki.
Jeśli pojawi się podejrzenie naruszenia bezpieczeństwa, hasło zmień natychmiast. Osoba, której udostępniono dane, może zmienić hasło i zablokować dostęp do konta. Cyberprzestępcy mogą wejść do poczty, plików i systemów firmowych, co prowadzi do wycieku informacji i oszustw.
Hasła do panelu bankowego powinny być unikalne i silne. Nie używaj tego samego hasła, którego używasz w innych usługach. Ustaw je zgodnie z zasadami: min. 16 znaków, wielkie i małe litery oraz znak specjalny.
Fałszywy klient, fałszywy pracownik: jak dziś działa phishing
Phishing to oszustwo, w którym przestępca podszywa się pod osobę lub organizację, której odbiorca ufa — bank, dostawcę usług, klienta, współpracownika albo przełożonego. Celem jest nakłonienie ofiary do kliknięcia w fałszywy link, podania danych logowania, otwarcia zainfekowanego pliku, przekazania poufnych informacji albo wykonania przelewu.
Współczesny phishing coraz mniej przypomina masowe wiadomości pełne błędów. Przestępcy wykorzystują informacje o firmach i pracownikach, kopiują sposób komunikacji, tworzą fałszywe strony logowania i podszywają się pod znane marki. Atak potrafi wyglądać jak prośba klienta o zmianę danych na fakturze, wiadomość od pracownika działu finansowego albo pilne polecenie przełożonego.
Jak ocenia Paweł Kulpa, ekspert ds. cyberbezpieczeństwa z Safesqr, phishing jest dziś skuteczny, bo atakujący wykorzystują zaufanie, na którym opiera się codzienna komunikacja biznesowa. Dlatego rozstrzyga procedura weryfikacji, a nie samo wyłapywanie literówek.
BEC (Business Email Compromise) to atak, w którym oszuści podszywają się pod osoby na wysokich stanowiskach, np. CEO, i próbują wyłudzić informacje finansowe, takie jak dane do przelewów. Spear-phishing jest wymierzony w konkretną osobę i wykorzystuje informacje na jej temat. Whaling przypomina spear-phishing, ale celuje w osoby o wyższym statusie w organizacji — dyrektorów czy prezesów.
Z danych APWG (Anti-Phishing Working Group) wynika, że w I kwartale 2026 r. odnotowano ponad 971 tys. ataków phishingowych na świecie, o 13,8 proc. więcej niż kwartał wcześniej. W II kwartale 2026 r. w 23 proc. wykrytych prób phishingu wykorzystujących wizerunek marki podszywano się pod Microsoft.
Fałszywe inwestycje odpowiadają już za blisko 70 proc. tego typu oszustw. Dwa lata wcześniej było to niespełna 30 proc. (CERT Orange Polska, 2025).
Kluczowym narzędziem przestępców jest presja czasu. Wiadomości budują wrażenie pośpiechu, ryzyka utraty szansy albo pilnej sprawy — ofiara działa wtedy szybciej i rzadziej się zastanawia. Dlatego rada „uważaj na literówki w mailu” jest dziś niewystarczająca.
Przestępca może podszywać się pod bank. Atakujący potrafią podrobić stronę logowania banku i innych organizacji, dlatego adres strony logowania sprawdzaj za każdym razem, zanim wpiszesz dane. Nie klikaj w podejrzane linki w e-mailach i wiadomościach.
Weryfikacja adresu strony logowania banku należy do obszaru oszustw. Phishing może podszywać się pod bank, klienta, kontrahenta lub przełożonego.
Weryfikacja płatności i zmian danych kontrahentów
Najskuteczniej przed oszustwem płatniczym chronią procedury działające niezależnie od tego, jak wiarygodnie wygląda wiadomość. Podstawowa zasada: sytuacje potencjalnie ryzykowne lub niestandardowe potwierdzaj drugim kanałem, najlepiej telefonicznie, i to na wcześniej znany numer — nie na numer z podejrzanej wiadomości.
Dotyczy to zwłaszcza zmiany numeru rachunku kontrahenta, pilnej płatności, prośby o dane logowania czy przesłania poufnego pliku. Właśnie takie prośby najczęściej pojawiają się w phishingowych atakach i próbach podszywania się pod klienta, kontrahenta lub przełożonego.
Drugi filar to ograniczenia w systemie bankowym i obiegu dokumentów: ogranicz samodzielne zatwierdzanie przelewów o większej wartości i wprowadź zasadę dwóch osób przy zmianach danych płatniczych. Nawet jeśli jeden pracownik da się przekonać, druga osoba ma szansę wychwycić nieprawidłowość.
Porównuj dane z faktury lub zlecenia z danymi w firmowym systemie i wcześniejszą korespondencją. Zwłaszcza gdy zmiana dotyczy numeru konta, a wiadomości towarzyszy presja czasu.
Prośbę o zmianę danych, przelew lub przesłanie dokumentu potwierdź u źródła — u kontrahenta albo w banku — telefonicznie lub osobiście. Nie odpowiadaj na wiadomość, która zawiera prośbę; wybierz niezależny kanał kontaktu.
Weryfikacja płatności to drugi z trzech obszarów bezpieczeństwa rachunku firmowego. Zmianę numeru rachunku, pilną płatność lub prośbę o dane logowania potwierdź drugim kanałem.
Dostęp do systemów firmowych: SSO, Zero Trust i kontrola uprawnień
SSO (single sign-on, jednokrotne logowanie) pozwala uwierzytelnić się raz i korzystać z wielu aplikacji bez ponownego podawania hasła. Bezpieczeństwo ma dwie strony: ogranicza liczbę haseł i zachęca do MFA w jednym, dobrze chronionym punkcie, ale konto SSO staje się kluczem do wielu systemów naraz. Jego ochrona jest więc krytyczna.
Coraz częściej stosuje się model Zero Trust, opisywany zasadą „nie ufaj, zawsze weryfikuj”. Zakłada, że żadnemu użytkownikowi ani urządzeniu nie wolno ufać domyślnie — nawet w sieci firmowej. To odejście od tradycyjnego podejścia z granicą między „wewnątrz” i „na zewnątrz”, bo dziś ataki coraz częściej wykorzystują także zasoby wewnętrzne.
W praktyce chodzi o porządkowanie uprawnień: dostęp tylko w zakresie niezbędnym do pracy, przeglądany i odbierany przy zmianie zadań oraz usuwany niezwłocznie przy odejściu z firmy. Konta współdzielone i logowanie „na cudze konto” to jeden z najprostszych sposobów utraty kontroli nad tym, kto wykonał daną operację.
Bezpieczna platforma procesowa powinna zapewniać szyfrowanie danych podczas przesyłu i przechowywania, kontrolę dostępu do informacji i procesów, ochronę przed nieautoryzowanymi zmianami oraz pełną audytowalność działań użytkowników. Rejestr zdarzeń pozwala rozliczyć operacje i wcześnie zauważyć nietypową aktywność.
Przykładem środowiska łączącego te cechy — szyfrowanie, kontrolę dostępu, audytowalność i zgodność z RODO — jest platforma workflow i automatyzacji procesów JobRouter®, dostępna w modelu on-premise i w chmurze.
W bankowości firmowej dostęp do panelu bankowego powinien być ograniczony do niezbędnych osób. Uprawnienia przeglądaj i odbieraj przy zmianie zadań oraz niezwłocznie przy odejściu z firmy.
Kontrola dostępu do rachunku firmowego to trzeci obszar. SSO, Zero Trust i uprawnienia mają ograniczyć, kto może zlecać przelewy i zmieniać dane płatnicze.
Bezpieczne logowanie, urządzenia i codzienna higiena
Do kont służbowych nie loguj się z czyjegoś komputera — korzystaj wyłącznie z zaufanych urządzeń. Dotyczy to także prywatnych komputerów, na których może być niezaktualizowane lub nieznane oprogramowanie.
Unikaj publicznych sieci Wi-Fi. Jeśli w konkretnej sytuacji musisz się zalogować, bezpieczniej zrobić to przez VPN. Publiczne sieci są wygodne, ale trudno zweryfikować, kto jeszcze ma dostęp do ruchu.
Codzienna higiena obejmuje regularne aktualizacje systemów i oprogramowania — eliminują luki wykorzystywane do przejęcia kontroli nad urządzeniem. Obejmuje też kopie zapasowe, które chronią przed utratą danych w wyniku ataku, w tym ransomware szyfrującego pliki.
Prostym nawykiem ograniczającym skutki kradzieży pojedynczego urządzenia jest ostrożność w zapisywaniu haseł w przeglądarkach i aplikacjach na urządzeniach współdzielonych. Korzystaj z menedżera haseł zamiast plików tekstowych czy kartek.
Zainstaluj i regularnie aktualizuj oprogramowanie antywirusowe. Korzystaj też z narzędzi do ochrony przed phishingiem dostępnych w przeglądarkach internetowych i usługach pocztowych.
Szybka reakcja i zgłaszanie podejrzanych sytuacji
Jeśli otrzymasz podejrzany e-mail, telefon lub wiadomość, natychmiast skontaktuj się z działem IT — to jedna z podstawowych rekomendacji polskich dobrych praktyk bezpieczeństwa poświadczeń. Pracownicy powinni zgłaszać nietypową aktywność na kontach i sprzęcie: niezrozumiałe komunikaty przy logowaniu, wiadomości, których nie wysłali, czy zmiany, których nie wprowadzali.
W razie podejrzenia naruszenia bezpieczeństwa hasło zmień natychmiast. Jeśli dane logowania podano przez pomyłkę lub w wyniku oszustwa, załóż, że konto może być zagrożone. Po zmianie hasła sprawdź aktywność konta, w tym wysłane wiadomości i historię operacji, a przy podejrzeniu nieautoryzowanej transakcji niezwłocznie poinformuj bank.
Zatrzymaj dalsze skutki: ostrzeż osoby, które mogą dostać podobne wiadomości, i zachowaj dowody — adres nadawcy, treść, nagłówki, zrzuty ekranu. Przyspiesza to reakcję działu IT i zgłoszenie do zespołów reagowania na incydenty.
Wpisz procedurę w firmowy obieg dokumentów. Dzięki temu każdy wie, do kogo się zgłosić i co zrobić w pierwszych minutach, bez szukania kontaktów pod presją czasu.
Naruszenie danych osobowych może oznaczać kary finansowe za naruszenie przepisów RODO. Bezpieczna platforma procesowa powinna zapewniać zgodność z wymaganiami RODO i politykami bezpieczeństwa organizacji.
Świadomy zespół jako pierwsza linia obrony rachunku firmowego
Nawet najlepsze zabezpieczenia technologiczne nie wystarczą, jeśli pracownicy nie znają zagrożeń. To oni są pierwszą linią obrony przed phishingiem, złośliwym oprogramowaniem i atakami socjotechnicznymi, które manipulują człowiekiem, by zdobyć poufne informacje.
Szkolenia powinny uczyć rozpoznawania phishingu i nowych wariantów oszustw: BEC, spear-phishingu i whalingu. Warto ćwiczyć nawyki: sprawdzanie adresu nadawcy, ostrożność przy załącznikach od nieznanych lub niespodziewanych nadawców oraz weryfikację próśb o dane czy wykonanie czynności u źródła, innym kanałem — telefonicznie lub osobiście.
Zawsze sprawdzaj adres e-mail nadawcy — nawet jeśli wygląda na autentyczny, analizuj podejrzane znaki czy błędy ortograficzne. Nie otwieraj plików od nieznanych nadawców lub gdy nie spodziewasz się ich otrzymać.
Kluczowa jest kultura organizacyjna, w której weryfikacja niestandardowej i pilnej prośby jest normalna, a nie wyrazem braku zaufania do kolegi czy kontrahenta. Ofiary najczęściej dają się złowić z powodu pośpiechu i presji czasu. Powiedz zespołowi, że każde odstępstwo od procedury wymaga potwierdzenia, niezależnie od tego, kto o nie prosi.
Szkolenia powinny obejmować praktyczne ćwiczenia z weryfikacji zmian numeru rachunku kontrahenta i pilnych płatności. Zespół powinien wiedzieć, że każdą niestandardową prośbę potwierdza się drugim kanałem.
