W czerwcu 2026 roku Google złożył pozew przeciwko chińskiej grupie cyberprzestępczej, która wykorzystywała sztuczną inteligencję do oszukiwania setek tysięcy ofiar na całym świecie. Przestępcy używali narzędzi AI do generowania fałszywych reklam, tworzenia deepfake'ów celebrytów i budowania przekonujących stron phishingowych - wszystko w skali, która jeszcze kilka lat temu byłaby niemożliwa bez armii ludzi.
Dla wielu właścicieli małych i średnich firm w Polsce ta wiadomość może brzmieć jak odległy problem. Chińscy hakerzy, Google, międzynarodowe pozwy - co to ma wspólnego z moją firmą produkcyjną z Radomia albo sklepem internetowym z Poznania? Odpowiedź jest prosta: absolutnie wszystko. Narzędzia, które wykorzystywali ci przestępcy, są dostępne publicznie, a techniki ataku można skopiować i skierować na dowolny cel. W tym na polskie firmy, które często nie mają nawet podstawowych zabezpieczeń.
Przyjrzyjmy się, jak dokładnie działają te zagrożenia i - co ważniejsze - jak się przed nimi bronić, nie wydając fortuny na dział cyberbezpieczeństwa.
Jak przestępcy wykorzystują AI do ataków na firmy
Grupa opisana w pozwie Google'a - działająca pod różnymi nazwami, ale śledzona jako operacja powiązana z sieciami w prowincji Guangdong - stosowała AI na kilku poziomach. Po pierwsze, generowała tysiące fałszywych reklam w Google Ads i na platformach społecznościowych. Reklamy te prowadziły do stron imitujących znane marki, gdzie ofiary podawały dane osobowe, dane kart płatniczych lub pobierały złośliwe oprogramowanie.
Po drugie, przestępcy wykorzystywali modele generatywne do tworzenia deepfake'owych materiałów wideo z udziałem znanych osób - polityków, aktorów, influencerów. Te filmy promowały fałszywe inwestycje kryptowalutowe lub produkty zdrowotne. Według danych z pozwu, operacja dotknęła ponad 100 tysięcy osób w samych Stanach Zjednoczonych, a łączna skala strat szacowana jest na dziesiątki milionów dolarów.
Ale to nie jest wyłącznie problem amerykański. Raport CERT Polska za rok 2025 wskazuje, że liczba zgłoszonych incydentów phishingowych w Polsce wzrosła o 43% rok do roku, a coraz więcej z nich nosi ślady automatyzacji z użyciem AI. Polskojęzyczne wiadomości phishingowe są teraz gramatycznie poprawne, stylistycznie spójne i trudne do odróżnienia od prawdziwej korespondencji biznesowej. Jeszcze trzy lata temu typowy phishing po polsku można było rozpoznać po łamanej składni - te czasy minęły bezpowrotnie.
Trzeci poziom to tak zwany spear phishing wspomagany AI - ataki celowane w konkretne osoby w firmie. Przestępcy używają modeli językowych do analizy publicznych informacji o firmie (strona www, LinkedIn, KRS, media społecznościowe), a następnie generują spersonalizowane wiadomości e-mail. Taki mail może wyglądać jak wiadomość od kontrahenta z prośbą o zmianę numeru konta bankowego albo jak polecenie od prezesa do księgowej z żądaniem pilnego przelewu. Ten ostatni scenariusz - znany jako „CEO fraud" - według danych Komendy Głównej Policji kosztował polskie firmy w 2025 roku łącznie ponad 87 milionów złotych.
Dlaczego małe firmy są szczególnie narażone
Duże korporacje mają zespoły SOC (Security Operations Center), zaawansowane systemy wykrywania zagrożeń, regularne szkolenia pracowników i budżety liczone w milionach złotych rocznie. Mała firma zatrudniająca 15 osób nie ma nic z tego - i przestępcy o tym doskonale wiedzą.
Z mojego doświadczenia w konsultacjach z polskimi MŚP wynika, że typowa firma w tym segmencie ma trzy fundamentalne luki:
- Brak procedur weryfikacji - gdy księgowa dostaje maila z prośbą o przelew, nie ma ustalonego procesu potwierdzania takich zleceń innym kanałem (np. telefonicznie). W firmie, gdzie „wszyscy się znają", procedury wydają się zbędną biurokracją - do momentu, gdy ktoś przeleje 200 tysięcy złotych na konto oszustów.
- Brak szkoleń z cyberbezpieczeństwa - pracownicy nie wiedzą, jak rozpoznać phishing, co robić z podejrzanym załącznikiem ani jak weryfikować tożsamość rozmówcy. Według badania PwC Polska z 2025 roku, tylko 23% polskich MŚP przeprowadza regularne szkolenia z bezpieczeństwa cyfrowego.
- Przestarzała infrastruktura IT - brak uwierzytelniania wieloskładnikowego (MFA), nieaktualizowane oprogramowanie, współdzielone hasła do kont firmowych. To nie są egzotyczne problemy - to codzienność w tysiącach polskich firm.
AI dramatycznie obniża koszt i próg wejścia dla cyberprzestępców. Kiedyś atak na małą polską firmę nie był opłacalny - trzeba było znać język, zrozumieć kontekst biznesowy, poświęcić czas na przygotowanie. Dziś model językowy wygeneruje perfekcyjną wiadomość po polsku w sekundach, a automatyzacja pozwala atakować tysiące firm jednocześnie. Dla przestępców mała firma z Lublina jest teraz równie łatwym celem jak korporacja z Warszawy - a często łatwiejszym, bo gorzej chronionym.
Konkretne kroki obronne dla polskich firm
Dobra wiadomość jest taka, że skuteczna obrona nie wymaga milionowego budżetu. Wymaga natomiast systematyczności i zmiany podejścia. Oto działania, które polecam wdrożyć każdej firmie - niezależnie od wielkości.
1. Uwierzytelnianie wieloskładnikowe (MFA) na wszystkim. To absolutna podstawa i najlepsza inwestycja w bezpieczeństwo w przeliczeniu na złotówkę. Włącz MFA na poczcie firmowej, kontach bankowych, panelach administracyjnych, mediach społecznościowych firmy i wszędzie, gdzie to możliwe. Microsoft Authenticator, Google Authenticator czy klucze sprzętowe YubiKey - narzędzia są dostępne i często darmowe. Według danych Microsoftu, MFA blokuje 99,9% automatycznych ataków na konta.
2. Procedura weryfikacji przelewów i zmian danych kontrahentów. Ustal sztywną zasadę: każda prośba o przelew powyżej określonej kwoty (np. 5000 zł) lub zmiana numeru konta kontrahenta musi być potwierdzona telefonicznie - pod numer zapisany wcześniej w bazie, nie pod numer podany w mailu. To proste, nie kosztuje nic i eliminuje większość ataków typu CEO fraud.
3. Regularne szkolenia pracowników. Nie chodzi o jednorazową prezentację raz w roku. Chodzi o krótkie, powtarzalne ćwiczenia - na przykład symulowane ataki phishingowe, które testują czujność zespołu. Narzędzia takie jak KnowBe4 czy polski Cyberfolks oferują takie usługi w przystępnych cenach. Nawet 15-minutowe szkolenie raz w miesiącu robi ogromną różnicę. Z danych KnowBe4 wynika, że po roku regularnych symulacji odsetek pracowników klikających w phishingowe linki spada z około 30% do poniżej 5%.
4. Aktualizacje i kopie zapasowe. Brzmi banalnie, ale wciąż spotykam firmy pracujące na Windows 10 bez aktualizacji bezpieczeństwa, z danymi trzymanymi wyłącznie na jednym dysku. Zasada 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, jedna poza siedzibą firmy (np. w chmurze). W przypadku ataku ransomware - który również coraz częściej jest wspomagany przez AI - dobra kopia zapasowa to różnica między kilkudniową przerwą w pracy a bankructwem.
5. Weryfikacja tożsamości w komunikacji. Jeśli ktoś dzwoni, podając się za pracownika banku, dostawcę IT czy kontrahenta i prosi o pilne działanie - rozłącz się i zadzwoń sam pod oficjalny numer. To samo dotyczy wiadomości e-mail i SMS-ów. AI potrafi już klonować głos na podstawie kilku sekund nagrania, więc nawet znajomy głos w słuchawce nie jest gwarancją autentyczności rozmówcy.
AI jako narzędzie obrony - nie tylko ataku
Warto pamiętać, że AI działa w obie strony. Te same technologie, które wykorzystują przestępcy, mogą służyć do obrony. I tu jest szansa dla polskich firm, które chcą podnieść poziom bezpieczeństwa bez zatrudniania całego działu IT.
Nowoczesne systemy ochrony poczty - takie jak Microsoft Defender for Office 365, Proofpoint czy Barracuda - wykorzystują modele AI do analizy wiadomości e-mail w czasie rzeczywistym. Potrafią wykryć subtelne anomalie w stylu pisania, podejrzane wzorce w linkach i załącznikach oraz nietypowe zachowania nadawców. Dla firmy korzystającej z Microsoft 365 (a korzysta z niego ogromna część polskich MŚP) włączenie zaawansowanej ochrony to kwestia konfiguracji i niewielkiego dodatkowego kosztu - często kilka złotych miesięcznie na użytkownika.
Istnieją też narzędzia do monitorowania, czy dane firmowe nie wyciekły do sieci. Serwisy takie jak Have I Been Pwned (darmowy) czy komercyjne rozwiązania typu SpyCloud pozwalają sprawdzić, czy adresy e-mail i hasła pracowników nie pojawiły się w znanych wyciekach danych. Jeśli tak - natychmiastowa zmiana haseł i włączenie MFA to absolutne minimum.
Polskie firmy mogą też korzystać z usług CERT Polska (cert.pl), który oferuje darmowe narzędzia i poradniki. Lista ostrzeżeń przed niebezpiecznymi stronami, możliwość zgłaszania incydentów, baza wiedzy o aktualnych zagrożeniach - to zasoby, o których wielu przedsiębiorców nie wie, a które są finansowane z publicznych pieniędzy i dostępne dla każdego.
Jednocześnie trzeba uczciwie przyznać: żadne narzędzie nie daje stuprocentowej ochrony. Przestępcy stale adaptują swoje metody, a wyścig między atakiem a obroną trwa nieprzerwanie. Technologia pomaga, ale najsłabszym ogniwem pozostaje człowiek - zmęczony pracownik, który o 17:50 w piątek kliknie w link bez zastanowienia. Dlatego kultura bezpieczeństwa w firmie jest ważniejsza niż jakiekolwiek oprogramowanie.
Podsumowanie
Sprawa opisana przez Google'a to nie jest odległy problem z innego kontynentu. To zapowiedź tego, z czym polskie firmy będą się mierzyć coraz częściej. AI w rękach przestępców oznacza tańsze, szybsze i trudniejsze do wykrycia ataki - skierowane także (a może zwłaszcza) w małe i średnie firmy, które nie mają rozbudowanych zabezpieczeń.
Ale obrona nie musi być droga ani skomplikowana. MFA, procedury weryfikacji, regularne szkolenia, aktualizacje i kopie zapasowe - te pięć elementów eliminuje zdecydowaną większość zagrożeń. Nie potrzebujesz działu cyberbezpieczeństwa, żeby je wdrożyć. Potrzebujesz decyzji, że bezpieczeństwo cyfrowe jest tak samo ważne jak zamek w drzwiach biura.
Jeśli po przeczytaniu tego artykułu zrobisz tylko jedną rzecz - włącz MFA na firmowej poczcie. Dzisiaj. To zajmie 10 minut i może uchronić Twoją firmę przed stratą, z której trudno się podnieść.