Rozmowa rzuca światło na realia polskiego ekosystemu technologicznego, bezlitosną psychologię oszustw internetowych oraz systemowe zmiany wymuszane przez Europejską Dyrektywę NIS 2.
Lodówka na OLX i prymat ludzkiego czynnika
Historia stworzenia narzędzia Catfish – flagowej aplikacji rozwijanej przez zespół Spiree – nie zaczęła się w sterylnym laboratorium pentesterskim, lecz w szarej rzeczywistości zwykłego użytkownika sieci. Laura Lipska, mimo wieloletniego doświadczenia w branży bezpieczeństwa, sama stała się celem ataku socjotechnicznego podczas próby sprzedaży lodówki na platformie OLX.
– Będąc po drugiej stronie, tej osoby, która mogła zostać oszukana, pomyślałam sobie: 'Nie no, nie może tak być. Ja nie mam żadnego narzędzia, które może mnie uchronić przed socjotechniką, która potrafi mnie zaatakować’ — opowiada nasza rozmówczyni.
To jednostkowe doświadczenie ujawniło lukę rynkową: o ile firmowa poczta e-mail jest dziś chroniona przez zaawansowane wtyczki i filtry spamowe, o tyle telefony służbowe, prywatne komunikatory czy platformy e-commerce (OLX, Vinted, WhatsApp, Booking) pozostają niemal całkowicie pozbawione osłony. Własne badania ankietowe przeprowadzone przez Spiree na próbie ponad 200 osób wykazały niepokojące statystyki:
• 97% badanych zastanawia się nad bezpieczeństwem otrzymywanych linków.
• 80% deklaruje potrzebę posiadania narzędzia weryfikującego zagrożenia w czasie rzeczywistym.
Rozmówczyni zwraca uwagę na fundamentalną prawdę cyfrowego świata: niezależnie od klasy wdrożonych zabezpieczeń technicznych, na obu końcach komunikacji zawsze znajduje się człowiek. Im więcej danych osobistych wycieka do sieci – czego przykładem jest chociażby głośny wyciek z polskiej aplikacji medycznej My Doctor – tym bardziej spersonalizowany i skuteczny staje się phishing.
Catfish kontra ChatGPT
W obliczu popularyzacji modeli LLM, takich jak ChatGPT czy Gemini, pojawia się naturalne pytanie: po co instalować dedykowaną aplikację, skoro zrzut ekranu z podejrzaną wiadomością można wkleić do darmowego czatu? Laura Lipska precyzyjnie punktuje przewagi wyspecjalizowanego rozwiązania:
- wklejanie do publicznych modeli LLM wiadomości z danymi osobowymi, numerami telefonów czy fragmentami dokumentów medycznych stwarza ryzyko wykorzystania ich do treningu modelu. Catfish działa w zamkniętym, bezpiecznym środowisku;
- aplikacja integruje mechanizmy OCR oraz bezpośrednie połączenia z bazami danych zbierającymi potwierdzone wzorce atatków w czasie rzeczywistym;
- model został przetestowany w warunkach akceleracyjnych, osiągając 97% skuteczności w wykrywaniu phishingowych wiadomości.
Zasada działania aplikacji jest maksymalnie uproszczona: użytkownik wgrywa zrzut ekranu wiadomości z dowolnego komunikatora, a algorytm w połączeniu z analizą kontekstową w około 30 sekund wydaje jasną diagnozę – wiadomość jest bezpieczna, wymaga ostrożności lub stanowi ewidentny phishing.
Aby przełamać barierę psychologiczną i technologiczny lęk u użytkowników, Spiree wprowadziło postać czarnego kota jako maskotki marki. Ma on budować lekką, przystępną narrację edukacyjną.
Paradoks cyberbezpieczeństwa i unijna rewolucja prawna (UKSC / NIS 2)
W biznesowym wymiarze cyberbezpieczeństwo mierzy się z rynkowym paradoksem: „najlepiej działa wtedy, kiedy nic się nie wydarzyło”. Przekonanie dyrektora finansowego do wydatków na usługi, których sukcesem jest brak zdarzeń, wymaga zmiany perspektywy z abstrakcyjnej ochrony na wyliczenie realnych strat.
– Zazwyczaj siadamy do rozmów z zarządami i rozmawiamy o kosztach. W firmie produkcyjnej wyliczamy wprost, ile kosztuje jeden dzień przestoju. Koszt usługi cyber security jest zawsze niewspółmiernie niższy niż taki przestój — opowiada Laura Lipska,
Głównym motorem zmian na polskim rynku staje się obecnie nowelizacja Ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC), stanowiąca wdrożenie unijnej dyrektywy NIS 2. Nowe regulacje obejmują – według różnych szacunków – od 38 000 do nawet 50 000 podmiotów, nakładając na nie dodatkowo obowiązek weryfikacji całego łańcucha dostawców.
Co kluczowe, ustawodawca przestaje zadowalać się „papierowym compliance” czy samymi certyfikatami. Polskie ustawodawstwo kładzie nacisk na realną, procesową i operacyjną gotowość do reagowania na incydenty. Jednocześnie kluczowym pojęciem prawnym staje się „należyta staranność” – organ nadzorczy bada, czy podmiot podjął wszelkie uzasadnione kroki ochronne, a nie tylko nakłada automatyczne kary.
Od operowania strachem do „odkodowania” technologicznego żargonu
Ważnym wątkiem rozmowy jest krytyka dotychczasowych praktyk komunikacyjnych branży security. Przez lata rynek opierał się na budzeniu skrajnego strachu (wycieki danych, kary finansowe, atak ransomware) lub operował niezrozumiałym dla zarządów żargonem (EDR, firewalle, podatności). Ekspertka Spiree podkreśla, że jej doświadczenie z rynku FMCG pozwala na tłumaczenie skomplikowanych zagadnień technicznych na język biznesowych konsekwencji. Zamiast przedstawiać zarządowi 500-stronicowy raport z pentestu (czyli kontrolowanego, „legalnego włamania” testowego), komunikacja musi skupiać się na realnych skutkach operacyjnych: zablokowaniu rejestracji pacjentów w szpitalu, przestoju linii produkcyjnej czy unieruchomieniu konta bankowego.
Rozmowa z Laurą Lipską pokazuje, że skuteczne cyberbezpieczeństwo tworzy się na styku zaawansowanej technologii, znajomości ludzkiej psychiki i klarownej komunikacji. Zamiast ulegać paraliżującemu strachowi, warto budować nawyki weryfikacji i korzystać ze sprawdzonych narzędzi.
Zanim klikniecie, pokażcie to kotu! — tak brzmi złota zasada ekspertki Spiree przed kliknięciem w podejrzany link
Gdzie wysłuchasz pełnego nagrania?
