1 godzina temu
Granica firmowej infrastruktury przestała być granicą firmowego ryzyka. Im trudniej włamać się do korporacyjnej poczty czy przejąć służbowy laptop, tym większą wartość zyskują prywatny telefon prezesa, konto jego partnera, publiczny profil dziecka czy informacje pozwalające odtworzyć codzienny rytm całej rodziny.
Nie oznacza to, iż cyberprzestępcy masowo porzucili techniczne metody ataku. Wręcz przeciwnie. Verizon w raporcie DBIR 2026 wskazuje wykorzystywanie podatności jako najczęstszy punkt wejścia do organizacji, odpowiadający za 31 proc. naruszeń. Jednocześnie skuteczność socjotechniki prowadzonej przez urządzenia mobilne wzrosła o 40 proc. Atak przesuwa się więc tam, gdzie korporacyjne zabezpieczenia są słabsze albo w ogóle ich nie ma.
Zamiast atakować konto, można zaatakować zaufanie
Google Mandiant odnotował w 2025 r. gwałtowny wzrost znaczenia vishingu. Phishing głosowy odpowiadał za 11 proc. obserwowanych przypadków początkowego dostępu, podczas gdy udział tradycyjnego phishingu e-mailowego spadł do 6 proc. Szczególnie skuteczne okazało się podszywanie pod pracowników podczas rozmów z działami wsparcia IT, aby resetować hasła lub uzyskiwać dostęp do usług SaaS.
Mechanizm jest ważniejszy niż sama statystyka. Ochrona konta może być bardzo dobra, ale proces odzyskiwania dostępu przez cały czas opiera się na przekonaniu drugiej osoby, iż po drugiej stronie znajduje się adekwatny człowiek.
Generatywna AI dodatkowo obniżyła koszt takiego oszustwa. FBI ostrzegało przed kampanią, w której napastnicy podszywali się pod wysokich rangą amerykańskich urzędników dzięki SMS-ów i generowanych przez AI wiadomości głosowych. Celem byli nie tylko sami urzędnicy, ale także członkowie ich rodzin i prywatni znajomi. Zdobycie dostępu do osobistego konta służyło następnie budowaniu wiarygodności wobec kolejnych osób.
To dobrze pokazuje, dlaczego podział na bezpieczeństwo „firmowe” i „prywatne” zaczyna tracić praktyczne znaczenie. Atakujący nie musi przełamywać infrastruktury przedsiębiorstwa, jeżeli może wykorzystać prawdziwe relacje, kontekst i historię komunikacji.
Rodzina jest źródłem kontekstu
Najbardziej użyteczne informacje często nie wyglądają jak dane wrażliwe. Zdjęcie z wakacji pokazuje nieobecność w domu. Aplikacja sportowa ujawnia trasę biegania. Profil społecznościowy pozwala ustalić imiona bliskich, szkołę dzieci, miejsca regularnych wizyt czy planowaną podróż.
Nisos, analizując przeprowadzone przez siebie oceny podatności kadry zarządzającej, stwierdził w raporcie na 2026 r., iż 94 proc. badanych menedżerów miało publicznie dostępny adres domu, a 69 proc. ujawniało informacje osobiste za pośrednictwem publicznych kont. Firma zwraca również uwagę, iż konta członków rodzin pozostawiają jeszcze większy ślad cyfrowy. Są to dane pochodzące z własnych audytów dostawcy usług bezpieczeństwa, nie reprezentatywne badanie populacji menedżerów, ale dobrze pokazują skalę informacji możliwych do zebrania bez włamywania się do czegokolwiek.
W badaniu z 2025 r. Nisos ustalił, iż bliscy menedżerów mieli średnio sześć publicznych kont społecznościowych, a około 30 proc. ujawniało publicznie informacje pozwalające określić lokalizację lub wzorce codziennego zachowania.
Bezpieczeństwo wychodzi poza dział IT
Problem organizacyjny jest bardziej skomplikowany niż techniczny. Firma może wymusić MFA na służbowym koncie, zablokować nieautoryzowaną aplikację i monitorować firmowy komputer. Nie może w ten sam sposób zarządzać telefonem partnera członka zarządu, kontem jego dziecka czy prywatnym routerem.
Dlatego klasyczne executive protection zaczyna zbliżać się do cyberbezpieczeństwa. W badaniu ASIS International 82 proc. organizacji posiadających program ochrony kadry kierowniczej wykorzystywało OSINT do identyfikacji zagrożeń, a 79 proc. monitoring mediów społecznościowych. Jednocześnie specjalistyczne narzędzia cyberbezpieczeństwa stosowało zaledwie 39 proc.
Zmienia się również percepcja ryzyka na poziomie zarządów. W Global Cybersecurity Outlook 2026 World Economic Forum 73 proc. respondentów deklarowało, iż oni sami lub ktoś z ich otoczenia zetknął się w 2025 r. z cyberoszustwem. CEO uznali oszustwa i phishing za większe zagrożenie niż ransomware.
Najbardziej interesująca zmiana nie dotyczy więc kolejnego rodzaju malware. Dotyczy architektury zaufania. Chroniona osoba nie kończy się dziś na służbowym koncie i urządzeniu. Towarzyszy jej sieć prywatnych relacji, danych i cyfrowych śladów, z których można zbudować znacznie skuteczniejszy atak niż z przypadkowego maila phishingowego.
Firma nie jest właścicielem tej przestrzeni. Coraz częściej ponosi jednak konsekwencje tego, co się w niej wydarzy.
