Faza 1: Rekonesans — zbieranie informacji o fundacji
Atakujący zaczyna od rekonesansu wykorzystując publiczne źródła. Analizuje stronę internetową fundacji, identyfikując pracowników, partnerów i grantodawców. Sprawdza Krajowy Rejestr Sądowy w poszukiwaniu danych członków zarządu. Przeszukuje media społecznościowe w poszukiwaniu informacji o bieżących projektach i wydarzeniach. Sprawdza technologie używane przez organizację. Skanuje domenę w poszukiwaniu brakujących rekordów SPF/DKIM/DMARC, co umożliwi podszywanie się pod adres organizacji. Cały ten rekonesans zajmuje atakującemu kilka godzin i korzysta wyłącznie z publicznie dostępnych informacji.
Faza 2: Atak — phishing i przejęcie konta
Na podstawie zebranych informacji atakujący przygotowuje spersonalizowany e-mail phishingowy. Wiadomość wygląda jak powiadomienie od platformy grantowej, z którą fundacja współpracuje. Informuje o konieczności zalogowania się w celu potwierdzenia danych do rozliczenia grantu — termin mija w ciągu 24 godzin. Link prowadzi do fałszywej strony logowania będącej kopią prawdziwego portalu. Pracownik odpowiedzialny za granty, pod presją terminu, wprowadza dane logowania. Atakujący natychmiast loguje się na prawdziwe konto, zmienia hasło i tworzy regułę przekierowania poczty.
Faza 3: Eksfiltracja danych i wymuszenie
Atakujący eksportuje bazę darczyńców z CRM — imiona, nazwiska, adresy, e-maile, historię wpłat i dane płatnicze. Pobiera dokumentację finansową, sprawozdania i umowy grantowe. Następnie szyfruje dostępne systemy ransomware i zostawia żądanie okupu. Fundacja traci dostęp do poczty, CRM, dokumentów i systemów finansowych. Jednocześnie atakujący grozi opublikowaniem danych darczyńców, co oznacza podwójne wymuszenie.
Jak przerwać łańcuch ataku — obrona na każdym etapie
Na etapie rekonesansu: ogranicz publicznie dostępne informacje, skonfiguruj DMARC. Na etapie phishingu: szkolenia pracowników z rozpoznawania fałszywych wiadomości, MFA na wszystkich kontach — nawet po podaniu hasła atakujący nie uzyska dostępu bez drugiego składnika. Na etapie przejęcia konta: monitoring nietypowych logowań, ograniczenie uprawnień. Na etapie eksfiltracji: brak możliwości masowego eksportu danych bez akceptacji administratora, kopie zapasowe offline pozwalające na odtworzenie systemów bez płacenia okupu. nFlo oferuje audyty bezpieczeństwa identyfikujące luki w każdym ogniwie tego łańcucha.
Dlaczego to ważne dla organizacji
Jak przebiega typowy cyberatak na fundację? Analiza scenariusza krok po kroku — od rekonesansu przez włamanie do wycieku danych darczyńców — i jak się bronić. W kontekście rosnących zagrożeń cybernetycznych i zaostrzających się regulacji (NIS2, DORA, UKSC), organizacje muszą proaktywnie zarządzać tym obszarem bezpieczeństwa. Brak odpowiednich zabezpieczeń może prowadzić do naruszenia danych, kar finansowych i utraty reputacji.
Dobre praktyki wdrożenia
Skuteczne wdrożenie wymaga kilku kluczowych kroków:
- Inwentaryzacja i ocena ryzyka — zidentyfikuj zasoby, zagrożenia i podatności w kontekście specyfiki Twojej organizacji.
- Opracowanie polityk i procedur — udokumentuj wymagania, role i odpowiedzialności.
- Wdrożenie zabezpieczeń technicznych — dobierz narzędzia i konfiguracje adekwatne do zidentyfikowanych ryzyk.
- Szkolenia i świadomość — zaangażuj pracowników w ochronę bezpieczeństwa organizacji.
- Monitoring i ciągłe doskonalenie — regularnie weryfikuj skuteczność i adaptuj zabezpieczenia do zmieniającego się krajobrazu zagrożeń.
Najczęściej zadawane pytania
Czy taki scenariusz ataku jest realistyczny?
Tak — to typowy przebieg ataku na organizację z sektora pozarządowego. Warianty tego scenariusza dotknęły m.in. International Committee of the Red Cross (515 tys. rekordów) i wiele mniejszych organizacji.
Które zabezpieczenie zatrzymałoby atak najszybciej?
MFA na koncie pocztowym — nawet po przejęciu hasła atakujący nie mógłby się zalogować. To pojedyncze zabezpieczenie przerywa cały łańcuch ataku w fazie 2.
Ile kosztuje odbudowa po takim ataku?
Dla średniej fundacji koszty obejmują: odtworzenie systemów (10-50 tys. zł), obsługę prawną naruszenia RODO (10-30 tys. zł), komunikację kryzysową i utratę darczyńców (trudną do oszacowania). Prewencja kosztuje ułamek tej kwoty.
