Co widać z internetu — bez żargonu

Wyobraź sobie firmę jako budynek. Strona internetowa to szyld. Panel do logowania księgowości albo poczty to drzwi. Zdalny pulpit to tylne wejście dla serwisanta. Stara strona „tymczasowa” z 2018 roku to okno, o którym nikt nie pamięta — a z ulicy nadal widać światło.

Ekspozycja to po prostu to, co z ulicy (z internetu) da się zauważyć albo spróbować otworzyć — bez wchodzenia „na złodzieja” i bez skanowania cudzych sieci. Ten tekst jest dla właściciela, który nie chce kursu z bezpieczeństwa, tylko krótką listę: co sprawdzić w godzinę przy kawie.

Dlaczego to w ogóle ważne

Większość problemów zaczyna się nie od „genialnego hakerstwa”, tylko od rzeczy zapomnianych: panelu testowego, konta byłego pracownika, WordPressa bez aktualizacji, RDP „na chwilę” zostawionego na stałe. Atakujący szuka łatwego wejścia. Ty szukasz listy drzwi, które nadal istnieją.

Nie musisz znać portów. Musisz wiedzieć: co firma wystawia na świat i kto ma klucz.

Co możesz sprawdzić sam (5–7 kroków)

1. Sporządź listę domen i „stron firmy”.
   Nie tylko główna witryna. Landing z kampanii, sklep, panel B2B, stary blog, subdomena test. albo old.. Zapisz je w notatce albo w arkuszu ekspozycji.

2. Wejdź do panelu hostingu / domen.
   U dostawcy (home.pl, OVH, Cloudflare, Microsoft 365, Google Workspace — cokolwiek używasz) zobacz: które domeny są aktywne, które przekierowania jeszcze działają, czy jest „parking” albo stara instalacja.

3. Sprawdź, kto ma zdalny dostęp.
   RDP, TeamViewer, AnyDesk, VPN „dla księgowej”, dostęp software house’u. Dla każdej pozycji: kto, po co, do kiedy. Jeśli nie ma daty końca — to już decyzja do podjęcia. Pomaga drzewo decyzji o zdalnym dostępie.

4. Znajdź panele logowania.
   Poczta webowa, panel sklepu, WordPress /wp-admin, panel faktur. Nie testuj haseł „na ślepo”. Zapisz adres i właściciela (firma / dostawca). Pytanie na później: czy da się wejść tylko z biura albo przez VPN.

5. Stare WordPressy i „tymczasowe” strony.
   Jeśli ktoś postawił stronę na event sprzed trzech lat i nikt jej nie aktualizuje, to nadal jest drzwi z szyldem firmy. Albo zamknij (zdejmij z hostingu), albo przekaż komuś utrzymanie z aktualizacjami.

6. Konta ludzi, których już nie ma.
   Były pracownik, były księgowy, „znajomy, który pomógł z komputerem”. Lista w panelu Microsoft 365 / Google / hostingu: kto ma skrzynkę, kto jest administratorem.

7. Jedna decyzja na pozycję.
   Dla każdego drzwi/okna: zostawiam / zamykam / przenoszę za VPN / oddaję dostawcy z umową. Bez decyzji lista nic nie daje.

Czego nie rób w tej godzinie

• Nie proś „kogoś z internetu”, żeby przeskanował firmę „dla pewności” bez umowy i zakresu.
• Nie wklejaj haseł administratora do czatu z pomocą.
• Nie kasuj wszystkiego w panice — najpierw lista, potem decyzje.

Jeśli chcesz głębszy, bardziej techniczny opis mentalności ataku i ekspozycji, jest osobny tekst: Black hat nie zaczyna od exploita. Ten artykuł ma być checklistą właściciela, nie kursem OPSEC.

Co dalej

Sam arkusz i godzina przeglądu często wystarczą, żeby zobaczyć dziury. Gdy lista jest długa albo nie wiesz, co zamknąć najpierw — opisz środowisko na ścieżce startowej albo poproś o wycenę zakresu. Formularz zwykle wraca w 1 dzień roboczy; telefon jest chwilowo niedostępny.