Firma miała antywirusa i straciła dane.
Co poszło nie tak?

"Przecież mieliśmy antywirusa."

To jedno z najczęściej słyszanych zdań po ataku ransomware, wycieku danych lub przejęciu firmowej poczty. Dla wielu właścicieli firm obecność programu antywirusowego oznacza poczucie bezpieczeństwa. Problem polega na tym, że współczesne cyberataki wyglądają zupełnie inaczej niż jeszcze kilka czy kilkanaście lat temu.

Dawniej wirus próbował zainfekować komputer. Dzisiaj atakujący przejmują konta Microsoft 365, wykorzystują błędy konfiguracyjne, kradną sesje przeglądarek, wyłączają backupy i tygodniami pozostają niezauważeni w sieci. W efekcie firma może posiadać renomowany program antywirusowy, a mimo to stracić dane, zostać zaszyfrowana przez ransomware lub paść ofiarą wycieku informacji.

Dlaczego firmy nadal ufają samemu antywirusowi?

Przez wiele lat antywirus był podstawowym elementem ochrony komputerów. Jego zadaniem było wykrywanie znanych wirusów, blokowanie złośliwych plików i usuwanie malware. I rzeczywiście działało to całkiem skutecznie.

Problem w tym, że cyberprzestępcy zmienili sposób działania szybciej niż większość firm zmieniła swoje podejście do bezpieczeństwa. Dzisiaj ogromna część skutecznych ataków nie wykorzystuje klasycznych wirusów. Zamiast tego atakujący korzystają z legalnych narzędzi systemowych, przejętych kont użytkowników oraz błędów konfiguracyjnych. Antywirus często nie ma czego wykryć.

Jak wygląda współczesny atak krok po kroku?

W praktyce wiele incydentów przebiega według podobnego schematu:

1. 1 Pracownik otrzymuje wiadomość phishingową.
2. 2 Loguje się na fałszywej stronie Microsoft 365.
3. 3 Atakujący przejmuje konto pocztowe.
4. 4 Zdobywa dostęp do dokumentów i komunikacji.
5. 5 Rozpoznaje infrastrukturę firmy.
6. 6 Przejmuje kolejne konta.
7. 7 Wyłącza lub usuwa backupy.
8. 8 Uruchamia ransomware.

Przez cały ten czas antywirus może nie zgłosić żadnego alarmu. Dlaczego? Ponieważ większość działań wykonywana jest przy użyciu prawidłowych kont użytkowników oraz legalnych narzędzi administracyjnych. Więcej o tym, jak rozpoznać takie działania, piszemy w artykule o sygnałach wskazujących na włamanie do firmy.

Najczęstsze powody, dla których firmy tracą dane mimo antywirusa

1. Atakujący obchodzą klasyczne mechanizmy wykrywania

Tradycyjne programy antywirusowe opierają się głównie na sygnaturach znanych zagrożeń. Tymczasem współczesne grupy ransomware wykorzystują malware tworzony specjalnie pod konkretny atak, techniki fileless malware, PowerShell, Windows Management Instrumentation (WMI) oraz legalne narzędzia administracyjne. W efekcie złośliwe działania mogą wyglądać jak normalna praca administratora.

2. Atak zaczyna się od człowieka, a nie od wirusa

Najczęstszym punktem wejścia jest dziś phishing, przejęcie hasła, brak MFA lub fałszywa strona logowania. Antywirus nie jest w stanie zatrzymać użytkownika, który sam poda swoje dane logowania przestępcom. Dlatego ochrona kont pocztowych i wymuszenie MFA ma dziś większe znaczenie niż sam program antywirusowy.

3. Brak ochrony kont Microsoft 365 i Google Workspace

Coraz więcej firm przenosi swoje dane do chmury. Jeżeli konto administratora Microsoft 365 zostanie przejęte, atakujący może czytać pocztę, usuwać wiadomości, tworzyć nowe konta, przejmować dokumenty i rozsyłać phishing z firmowej domeny. Żaden antywirus zainstalowany na komputerze nie zatrzyma takiego scenariusza.

4. Brak segmentacji sieci

W wielu małych firmach wszystkie urządzenia działają w jednej sieci. Jeżeli jeden komputer zostanie przejęty, atakujący może poruszać się dalej po całej infrastrukturze. Dobrze zaprojektowana segmentacja VLAN znacząco ogranicza skutki incydentu.

5. Backup nie był przygotowany na ransomware

To jeden z najczęstszych problemów. Firma wykonuje backup, ale znajduje się on w tej samej sieci, nie posiada ochrony immutability, nigdy nie był testowany lub można go usunąć z poziomu przejętego konta administratora. W efekcie ransomware szyfruje nie tylko dane produkcyjne, ale również kopie zapasowe.

EDR kontra klasyczny antywirus

EDR nie zastępuje antywirusa - działa jako dodatkowa warstwa, która widzi to, czego antywirus nie widzi. Wykrywa masowe szyfrowanie plików, wyłączanie zabezpieczeń, ruch charakterystyczny dla ransomware i wiele innych anomalii wskazujących na aktywny atak.

5 rzeczy ważniejszych od samego antywirusa

1. Backup odporny na ransomware

Najlepszą ochroną przed utratą danych pozostaje dobrze zaprojektowany backup spełniający regułę 3-2-1-1-0:

• -3 kopie danych
• -2 różne nośniki
• -1 kopia poza firmą
• -1 kopia niemodyfikowalna (immutable)
• -0 błędów podczas testów odtwarzania

2. MFA dla wszystkich użytkowników

Jeżeli miałbyś wdrożyć tylko jedną rzecz jeszcze dziś, powinno to być MFA - w szczególności dla Microsoft 365, Google Workspace, VPN, systemów ERP i paneli administracyjnych.

3. Monitoring i alerty

Firma nie powinna dowiadywać się o problemach od użytkowników. Monitoring infrastruktury IT powinien obejmować serwery, backupy, urządzenia sieciowe, certyfikaty SSL i logowania użytkowników. Anomalie powinny generować alerty, zanim spowodują realne szkody.

4. Aktualizacje i zarządzanie podatnościami

Ogromna liczba włamań wykorzystuje luki, które zostały naprawione wiele miesięcy wcześniej. Regularne aktualizacje systemów operacyjnych, oprogramowania i firmware urządzeń sieciowych są jedną z najtańszych form ochrony.

5. Szkolenia pracowników

Najdroższe rozwiązania bezpieczeństwa nie pomogą, jeśli pracownik poda hasło na fałszywej stronie, zaakceptuje podejrzane logowanie lub otworzy niebezpieczny załącznik. Dlatego edukacja użytkowników jest równie ważna jak technologia.

Jak wygląda skuteczna ochrona firmy w 2026 roku?

Nowoczesne bezpieczeństwo opiera się na wielu warstwach ochrony - strategia ta nazywana jest Defense in Depth i jest dziś standardem w organizacjach, które poważnie traktują cyberbezpieczeństwo.

Jak sprawdzić, czy Twoja firma jest odpowiednio chroniona?

Odpowiedz sobie na kilka pytań:

• -Czy wszystkie konta mają włączone MFA?
• -Czy backup jest regularnie testowany?
• -Czy ktoś monitoruje logowania i alerty?
• -Czy wiesz, kto posiada uprawnienia administratora?
• -Czy pracownicy przechodzą szkolenia z phishingu?
• -Czy firma posiada procedurę działania na wypadek ransomware?

Jeżeli na część z tych pytań odpowiedź brzmi "nie wiem", warto przeprowadzić audyt bezpieczeństwa infrastruktury IT.

Podsumowanie

Antywirus nadal pozostaje ważnym elementem ochrony firmowej infrastruktury, ale nie powinien być traktowany jako główna linia obrony.

Firmy, które tracą dane mimo posiadania antywirusa, najczęściej nie padają ofiarą samego malware. Problemem są przejęte konta, brak MFA, źle zabezpieczone backupy, nieaktualne systemy oraz brak monitoringu infrastruktury.

W 2026 roku skuteczne bezpieczeństwo wymaga wielowarstwowego podejścia. Antywirus jest jedynie jednym z elementów większej układanki. Znacznie lepiej wykryć słabe punkty podczas audytu niż dowiedzieć się o nich dopiero wtedy, gdy na ekranie pojawi się komunikat z żądaniem okupu.