To nie jest porada prawna. To kolejność pytań, żeby nie dzwonić wszędzie naraz i nie kasować śladów „dla spokoju”.
Najpierw u siebie
- Co się stało (objaw), od kiedy, które konto / host / usługa.
- Kto w firmie może zatwierdzić odcięcie dostępu albo izolację.
- Czy ktoś już restartował, czyścił logi albo płacił.
- Zachowaj materiał — checklista IR.
Kiedy wystarczy operator / bank / platforma
- Przejęta skrzynka u dostawcy poczty — oficjalna procedura odzyskania + karta przejęcia konta.
- Podejrzenie oszustwa płatniczego (BLIK, przelew, fałszywa bramka) — bank oficjalnym numerem, nie z SMS-a.
- Konto społecznościowe / marketplace — zgłoszenie do platformy i ostrzeżenie kontaktów.
Kiedy sensowna jest pomoc techniczna (np. tomek.st)
- Trzeba ułożyć fakty z logów, ograniczyć szkody i spisać następny krok bez niszczenia materiału.
- Podejrzenie dostępu do hosta / VPN / RDP, nie tylko do jednego konta WWW.
- Potrzebny spokojny triage przed rozmową z ubezpieczycielem albo organem.
Zgłoś zdarzenie — telefon chwilowo niedostępny; formularz zwykle 1 dzień roboczy. To nie jest dyżur SOC.
Kiedy angażować CERT / CSIRT
- Masowy atak, botnet, skanowanie Twojej infrastruktury w sposób, który wykracza poza jedną firmę.
- Chcesz przekazać IoC albo skorzystać z publicznej pomocy sektorowej.
- W Polsce punkt startowy informacji: struktury CSIRT (m.in. CERT Polska) — sprawdź aktualny kanał zgłoszeń na stronie właściwego CSIRT.
Nie zastępują one Twojej decyzji o izolacji ani rozmowy z bankiem.
Kiedy dzwonić na policję
- Jasna strata finansowa, szantaż, groźby, użytkowanie Twojej tożsamości do przestępstwa.
- Potrzebujesz numeru sprawy pod bank / ubezpieczyciela.
- Zachowujesz korespondencję i nie „dopracowujesz” dowodów samodzielnie.
Kiedy wchodzi ścieżka RODO / UODO
- Doszło (lub jest duże ryzyko) do naruszenia ochrony danych osobowych: wyciek bazy, skrzynka z danymi klientów, dostęp nieuprawniony do HR.
- Wtedy: ustal zakres danych, kategorie osób, prawdopodobne konsekwencje; w określonych przypadkach zgłoszenie do organu w krótkim terminie (często mówione „72 godziny” od ustalenia naruszenia — szczegóły u prawnika / IOD).
- To osobna decyzja od ticketu „alert w SIEM”.
Kogo nie mylić
| Sytuacja | Pierwszy ruch |
|---|---|
| Kod BLIK / przelew pod wpływem oszustwa | Bank |
| Fałszywy support AnyDesk | Odciąć sesję, bank jeśli były dane płatnicze |
| Ransomware na serwerze firmowym | Izolacja uzgodniona z właścicielem, backup offline, IR — nie płacić „bo szybko” |
| Wyciek listy klientów | Ocena RODO + techniczne ograniczenie dostępu |
| Podejrzenie luki w tomek.st | Zgłoszenie bezpieczeństwa |