Większość porad dotyczących zapobiegania naruszeniom bezpieczeństwa, w tym nasz własny przewodnik po zapobieganiu wyciekom danych, koncentruje się na powstrzymywaniu cyberprzestępców przed wniknięciem do sieci Twojej firmy. Silniejsze dane logowania, odporność na próby wyłudzenia informacji, zaktualizowane systemy oraz zweryfikowani dostawcy to kluczowe elementy tej praktyki. Są one niezbędne, ale nie mogą być jedynymi taktykami ochrony przed naruszeniem danych: nie pomogą Ci, jeśli atakującemu uda się sforsować Twoją sieć.
Uzyskanie dostępu i kradzież danych to dwie różne kwestie. Atakujący, który przejmie jedną skrzynkę odbiorczą, jeden laptop lub połączenie z jednym dostawcą, jeszcze niczego nie ukradł. Zyskał jedynie punkt zaczepienia, a to, co dzieje się między uzyskaniem dostępu a momentem opuszczenia danych poza firmę, to faza całkowicie pomijana w większości poradników bezpieczeństwa dla MŚP. Ochrona polega bowiem nie tylko na zabezpieczeniu sieci, ale także na zauważeniu, że dane są z niej wynoszone.
Ta faza nazywana jest eksfiltracją i zazwyczaj trwa niezauważona przez całe dnie, a nawet miesiące. Jest możliwa dzięki narzędziom i kanałom, które dla kogoś, kto nie obserwuje ich celowo, wyglądają zupełnie zwyczajnie. Powiadomienia o naruszeniach często docierają późno nie dlatego, że organizacje zlekceważyły początkowe zagrożenie, ale dlatego, że obecność atakującego w sieci firmowej nie została wykryta.
Faza eksfiltracji: co dzieje się między uzyskaniem dostępu a kradzieżą
Jak wygląda eksfiltracja danych
Dlaczego eksfiltracja jest trudna do zauważenia?
Na co firmy powinny zwracać uwagę
Jak wczesne wykrycie może zmienić Twoją sytuację prawną
Co dzieje się z wykradzionymi danymi firmowymi?
Ogranicz zasięg działania atakującego
Faza eksfiltracji: co dzieje się między uzyskaniem dostępu a kradzieżą
Gdy atakujący uzyska początkowy dostęp — poprzez wiadomość wyłudzającą dane, skradzione dane logowania czy przejęte połączenie z dostawcą — rzadko od razu przechodzi do kradzieży danych. Natychmiastowe działanie grozi wywołaniem alertu, zanim znajdzie cokolwiek wartościowego, dlatego znacznie częściej wykazuje się cierpliwością.
Atakujący poświęca czas na zmapowanie środowiska, w tym:
- Gdzie przechowywane są dane finansowe
- Które narzędzia SaaS zawierają dane klientów
- Konta z najszerszym dostępem
- Czy wdrożono monitoring aktywności.
Ten etap rekonesansu może przebiegać powoli. Niektórzy napastnicy podejmują działania w ciągu kilku godzin, szczególnie w przypadkach oportunistycznych ataków ransomware, gdzie szybkość liczy się bardziej niż dyskrecja. Inni, zwłaszcza w przypadkach długofalowej kradzieży danych lub szpiegostwa, pozostają ukryci przez tygodnie lub miesiące, poznając typowe wzorce aktywności na tyle dobrze, by się w nie wtopić.
Tak czy inaczej, w momencie, gdy napastnik zaczyna wyprowadzać dane na zewnątrz, zwykle dokładnie wie, czego szuka i które konto lub system pozwoli mu to zabrać bez uruchamiania alarmu.
Jak wygląda eksfiltracja danych
Złośliwa eksfiltracja jest trudna do wykrycia, ponieważ przypomina codzienną aktywność. Administratorzy IT zazwyczaj nie wypatrują nieznacznie większych niż zwykle transferów plików ani folderów synchronizowanych w nieodpowiednie miejsca.
Duże lub nietypowe transfery danych
To najbardziej bezpośrednia forma eksfiltracji. Na przykład konto może nagle pobrać gigabajty z serwera plików lub bazy danych, z których normalnie korzysta sporadycznie, albo wykonać masowy eksport z platformy CRM bądź HR.
W środowiskach intensywnie korzystających z SaaS eksfiltracja często odbywa się za pomocą standardowych funkcji eksportu platformy: masowego pobierania plików CSV, eksportowania rekordów klientów do formatu PDF lub serii zrzutów ekranu pulpitu niemającego przycisku eksportu.
Typowy przypadek może wyglądać następująco: przejęte konto pracownika działu HR jest używane przez kilka tygodni do wykonywania małych, rozłożonych w czasie operacji eksportu rekordów pracowników zamiast jednego widocznego pobierania zbiorczego. Każdy pojedynczy eksport wygląda zupełnie niewinnie i w pełni mieści się w granicach tego, czego platforma HR oczekuje od osoby na tym stanowisku.
Jedynie schemat powtarzający się przez tygodnie — to samo konto eksportujące podobne dane w nietypowych odstępach czasu — zdradza, co się dzieje. Taki wzorzec staje się jednak widoczny tylko dla firmy, która go aktywnie szuka.
Przejęcie skrzynki odbiorczej
Atakujący, który przejmie firmową skrzynkę pocztową, może skonfigurować regułę, która po cichu przekazuje każdą wiadomość lub wiadomości zawierające określone słowa kluczowe na zewnętrzny adres, dając mu stały dostęp do poufnej korespondencji długo po tym, jak pierwotna próba wyłudzenia informacji zostanie zapomniana.
Przejęcie przestrzeni dyskowej w chmurze
Prywatna przestrzeń dyskowa w chmurze to kolejna częsta ścieżka. Zainfekowany laptop pracownika lub przejęte konto z dostępem do plików firmowych mogą posłużyć do skopiowania dokumentów na prywatny dysk Dropbox, Google Drive lub do podobnej usługi. Taki transfer często wygląda identycznie jak legalna kopia zapasowa plików, chyba że ktoś sprawdza, dokąd ostatecznie trafiły dane.
Dlaczego eksfiltracja jest trudna do zauważenia?
Niewygodna prawda o eksfiltracji jest taka, że zazwyczaj wcale nie wymaga ona złośliwego oprogramowania(nowe okno). Atakujący używający przejętego konta do wyeksportowania raportu, przekazania dalej kilku wiadomości czy przesłania plików na dysk w chmurze korzysta z tych samych narzędzi i uprawnień, których uprawniony pracownik używa każdego dnia.
Nie ma tu podejrzanego pliku wykonywalnego, który mógłby oznaczyć program antywirusowy, ani nietypowych procesów do wykrycia w punkcie końcowym, ponieważ pod względem technicznym w tej aktywności nie ma nic niezwykłego. Wygląda ona podejrzanie dopiero w szerszym kontekście — a kontekst to dokładnie to, do czego oceny większość narzędzi bezpieczeństwa dla MŚP nie została stworzona.
Dlatego zabezpieczenia skupione na obwodzie sieci, bez względu na jakość ich wdrożenia, same w sobie nie wystarczą. Firma może zrobić wszystko poprawnie w punkcie wejścia — wymusić silne dane logowania, przeszkolić pracowników w zakresie rozpoznawania prób wyłudzenia informacji, załatać każdy system — i nadal nie mieć pojęcia, że przejęte konto systematycznie przenosi pliki do zewnętrznej lokalizacji, ponieważ takie działanie z założenia nie wygląda podejrzanie.
Badacze bezpieczeństwa określają to czasem jako „living off the land”: wykorzystywanie legalnego oprogramowania, integracji chmurowych i narzędzi administracyjnych ofiary zamiast używania narzędzi, które program antywirusowy rozpoznałby jako niepożądane.
Aplikacja do synchronizacji plików, wbudowana funkcja eksportu czy standardowa reguła pocztowa same w sobie nie są złośliwymi narzędziami. Dlatego atakujący, który na nich polega, może działać przez tak długi czas, nie uruchamiając zabezpieczeń zaprojektowanych do wykrywania złośliwego oprogramowania.
Na co firmy powinny zwracać uwagę
Wczesne wykrycie eksfiltracji sprowadza się do obserwowania niewielkiej liczby konkretnych sygnałów, zamiast ogólnego skanowania w poszukiwaniu podejrzanej aktywności.
Ruch sieciowy i operacje eksportu
Nietypowe wolumeny transferu danych lub nieznane miejsca docelowe zasługują na największą uwagę. Twoja organizacja powinna monitorować nagłe skoki ruchu wychodzącego, masowy eksport z systemów, w których normalnie to nie występuje, oraz wszelkie transfery kierowane do nierozpoznanych lokalizacji.
Wytyczne NCSC dotyczące bezpieczeństwa danych(nowe okno) wyraźnie zalecają rejestrowanie logów dostępu do wrażliwych danych i monitorowanie nietypowych zapytań lub prób masowego eksportu — właśnie dlatego, że taki wzorzec wskazuje na wyjście poza standardowe użytkowanie.
Reguły przekierowywania wiadomości
Reguły przekazywania wiadomości e-mail warto bezpośrednio audytować, zwłaszcza w przypadku każdego konta, które mogło paść ofiarą próby wyłudzenia informacji. Reguła po cichu przesyłająca wiadomości na nieznany adres może pozostawać niezauważona przez miesiące, a jej sprawdzenie to jedna z najprostszych rzeczy, gdy wiesz, czego szukać.
Nietypowe logowania
Logowania z nieoczekiwanych lokalizacji lub o nietypowych porach to sygnał, który należy traktować poważnie. Logowanie o 3 nad ranem z kraju, w którym firma nie prowadzi działalności, samo w sobie nie jest jeszcze dowodem, ale zestawione z transferem danych o podobnej porze staje się szczegółem mogącym potwierdzić incydent.
Aktywność na kontach administratorów poza godzinami pracy wymaga szczególnej uwagi, ponieważ konta administratorów mają zazwyczaj najszerszy dostęp do systemu i właśnie ze względu na ten zasięg są głównym celem ataków.
Działania na tych kontach późno w nocy, w weekendy lub w czasie, gdy rzeczywisty administrator przebywa poza biurem, to jedne z najbardziej wiarygodnych wskaźników, że doszło do przejęcia konta, a nie tylko urządzenia.
Jak wczesne wykrycie może zmienić Twoją sytuację prawną
Zarówno w unijnym GDPR, jak i brytyjskim UK GDPR, artykuł 33(nowe okno) daje organizacjom 72 godziny na powiadomienie właściwego organu nadzorczego od momentu stwierdzenia naruszenia ochrony danych osobowych; ICO w Wielkiej Brytanii(nowe okno) lub krajowego organu ochrony danych w odpowiednim państwie członkowskim UE.
Wymóg ten jest zasadniczo taki sam we wszystkich jurysdykcjach: zegar dla Twojej organizacji zaczyna bić w momencie powzięcia wiedzy o zdarzeniu, a nie w chwili, gdy faktycznie doszło do naruszenia. Właśnie dlatego dokładny monitoring eksfiltracji ma tak duże znaczenie nie tylko dla bezpieczeństwa, ale i dla zgodności z przepisami.
Firma, która wcześnie wykryje eksfiltrację — dzięki audytom reguł przekierowań, monitorowaniu transferów czy alertom o nietypowych logowaniach — może powiadomić organy proaktywnie, według własnego harmonogramu i z dość jasnym obrazem tego, co zostało skradzione.
Firma, która dowiaduje się o naruszeniu dopiero po tygodniach lub miesiącach, często dlatego, że klient złożył skargę lub skradzione dane pojawiły się na forum przestępczym, reaguje pod presją, często mając niepełny obraz sytuacji i mierząc się z pytaniami organu regulacyjnego o powody tak późnego zauważenia incydentu.
Różnica ta wykracza poza sam wpływ na Twoją reputację. Kształtuje ona sposób oceny całego incydentu i wpływa na to, na jak dużą wyrozumiałość organ regulacyjny będzie skłonny sobie pozwolić.
Co dzieje się z wykradzionymi danymi firmowymi?
Prowadzone przez Proton narzędzie Data Breach Observatory śledzi informacje pojawiające się w darknecie po naruszeniach, a widoczne tam tendencje są cenną wskazówką pokazującą, co tak naprawdę jest celem eksfiltracji.
Według aktualizacji raportu Data Breach Observatory 2026 imiona, nazwiska i adresy e-mail pojawiają się w prawie dziewięciu na dziesięć monitorowanych naruszeń, szczegóły kontaktu, takie jak numery telefonów i adresy fizyczne, w około trzech czwartych z nich, a hasła zostają ujawnione w niemal połowie przypadków.
Bardziej wrażliwe kategorie — dokumenty tożsamości wydawane przez instytucje państwowe, dokumentacja medyczna oraz inne dane umożliwiające identyfikację osoby — pojawiają się w nieco ponad jednej trzeciej naruszeń, podczas gdy bezpośrednie informacje finansowe stanowią mniejszy odsetek, pojawiając się w około jednym na dwadzieścia przypadków.
Sektor MŚP odpowiada za większość naruszeń śledzonych przez Observatory i jest nieproporcjonalnie mocno reprezentowany w incydentach dotyczących najbardziej wrażliwych kategorii danych.
To połączenie — częste obieranie za cel i wysoki wskaźnik ujawniania poufnych danych — jest spójne z rodzajem eksfiltracji opisanym w tym artykule: ataki trwające przez długi czas w systemach mniejszej organizacji przynoszą większe korzyści, ponieważ nikt nie wiedział o wycieku danych, a przestępcy mogli zabrać wszystko.
Ogranicz zasięg działania atakującego
Monitoring eksfiltracji pozwala wyłapać dane w trakcie ich wyprowadzania, jednak o skali problemu decyduje wcześniejszy etap — to, do czego przejęte konto miało w ogóle dostęp. Cyberprzestępca, który uzyska dostęp do konta o szerokich, nieograniczonych uprawnieniach, może pobrać dane ze znacznie większej liczby systemów niż ten, który przejmie konto ściśle ograniczone do potrzeb danego stanowiska.
Unikalne dane logowania dla każdego konta w połączeniu z dostępem ograniczonym do rzeczywistych wymagań stanowiska bezpośrednio zmniejszają powierzchnię eksfiltracji. Jeśli przejęte konto marketingowe ma dostęp wyłącznie do systemów marketingowych, najgorszy możliwy scenariusz jest z góry ograniczony, a bezpieczeństwo nie zależy od powściągliwości atakującego ani od tego, czy system monitoringu wykryje go na czas.
Jest to ta sama logika izolowania zagrożeń, która generalnie ogranicza promień rażenia przy naruszeniach związanych z danymi logowania: przejęte konto powinno mieć możliwość wycieku tylko tych danych, do których miało w pełni legalny dostęp.
Menedżer haseł dla firm, taki jak Proton Pass for Business, sprawia, że takie zawężanie uprawnień staje się realne do utrzymania, eliminując pokusę wielokrotnego używania tego samego zestawu szerokich danych logowania w różnych narzędziach tylko dlatego, że ręczne zarządzanie unikalnymi hasłami jest nieefektywne.
Gdy każde konto posiada własne dane logowania, a dostęp jest weryfikowany pod kątem rzeczywistych potrzeb danego stanowiska, pojedyncze przejęte konto przestaje być furtką do danych całej organizacji i staje się w najgorszym razie odizolowanym incydentem.
Proton Pass for Business może wesprzeć Twoją firmę poprzez:
- Konfigurowalne zasady zespołowe, które pomagają egzekwować politykę haseł za pomocą wymagań dotyczących haseł, obowiązkowego uwierzytelniania dwustopniowego (2FA) oraz unieważnionych reguł udostępniania danych
- Logi użytkowania pozwalające śledzić aktywność w Twojej sieci, z dodatkowym wsparciem w ramach naszego zaawansowanego programu wysokiego poziomu bezpieczeństwa Proton Sentinel
- Grupy zorganizowane według stanowisk, projektów lub poziomów uprawnień, upraszczające zarządzanie dostępem i zapewniające każdemu członkowi zespołu dostęp wyłącznie do tego, czego potrzebuje.
Zatrzymaj eksfiltrację danych opartą na przejęciu danych logowania dzięki menedżerowi haseł dla firm.
