Nie „czy”, lecz „kiedy”. Wyciek danych pracowników staje się powszechniejszy

Departamenty HR oraz systemy zarządzające płacami stają się coraz częstszym celem ataków cyfrowych. Specjaliści zauważają, że dla wielu organizacji kluczowe zagadnienie to już nie pytanie, czy pojawi się incydent wycieku danych, lecz kiedy to nastąpi.

Z badania „Potencjał płac 2026” zleconego przez ADP wynika, że w ostatnich dwóch latach 70% firm przeżyło przynajmniej jeden przypadek związany z cyberbezpieczeństwem w sektorze płac – to znaczący wzrost w porównaniu do edycji badania z 2025 roku, kiedy to podobne problemy występowały w 57% firm. Równocześnie jedna trzecia organizacji wskazuje na bezpieczeństwo danych jako kluczowy obszar inwestycji w zbliżającej się przyszłości. Mimo zwiększonej świadomości zagrożeń, wiele przedsiębiorstw nadal nie jest odpowiednio wyposażonych do radzenia sobie z poważnymi incydentami. Tylko 41% firm przeprowadza kompleksowe przygotowania awaryjne w razie cyberataku, które obejmują całość organizacji, a dla 49% są one wdrożone jedynie w niektórych krajach działalności.

Dane zgromadzone w działach HR oraz systemach płacowych przyciągają uwagę cyberprzestępców. To tam przechowywane są informacje, które można łatwo wykorzystać w procederze oszustw finansowych. Wśród wrażliwych danych znajdują się na przykład numery PESEL, dane z dokumentów tożsamości, adresy zamieszkania oraz numery kont bankowych pracowników. W rękach przestępców mogą one służyć do prób wyłudzeń kredytów, przejęcia kont bankowych czy dokonywania oszustw polegających na zmianie danych rachunków do wypłaty wynagrodzeń.

Skutki wycieku danych mogą być dotkliwe zarówno dla pracowników, jak i dla samych firm. Osoby, których informacje zostały ujawnione, mogą być narażone na próby oszustw finansowych, intensywny kontakt telefoniczny ze strony oszustów, a także fałszywe wiadomości SMS czy próby przejęcia kont na platformach internetowych. Z perspektywy organizacji, incydenty tego rodzaju wiążą się z wysokim ryzykiem finansowych kar oraz poważnych szkód wizerunkowych. Zgodnie z regulacjami dotyczącymi ochrony danych osobowych, przedsiębiorstwa, które nie stosują odpowiednich zabezpieczeń, mogą być obciążone karą administracyjną wynoszącą do 20 milionów euro lub 4% rocznych przychodów. Należy również brać pod uwagę ewentualne roszczenia odszkodowawcze ze strony osób poszkodowanych.

Skutki ataków cybernetycznych to także realne koszty operacyjne. Jak zauważają specjaliści ADP, firmy muszą realizować audyty bezpieczeństwa swoich systemów informatycznych, informować dziesiątki tysięcy osób o naruszeniach ochrony danych, korzystać z usług wyspecjalizowanych podmiotów zajmujących się cyberbezpieczeństwem i stawić czoła wyższym kosztom ubezpieczeń. W niektórych sytuacjach atak może również prowadzić do czasowego paraliżu działalności przedsiębiorstwa, na przykład wstrzymując realizację przelewów.

Wyciek danych często następuje na skutek pozornie niewielkich błędów lub skutecznych strategii socjotechnicznych. Jednym z najczęściej występujących scenariuszy jest phishing, który obejmuje wiadomości e-mail podszywające się pod korespondencję od współpracowników, firm kurierskich lub instytucji bankowych. Kliknięcie w zainfekowany link lub otwarcie załącznika może doprowadzić do zainstalowania złośliwego oprogramowania, dającego przestępcom dostęp do danych logowania do systemów firmowych. Zdarzają się także przypadki, gdy pracownicy nieumyślnie przesyłają pliki z wrażliwymi informacjami do niewłaściwych osób lub gubią nośniki danych. Problematyczne bywa również przechowywanie danych w publicznych chmurach bez odpowiednich zabezpieczeń dostępu.

Mariusz Koczwara, dyrektor sprzedaży w ADP Polska, podkreśla, że cyberprzestępcy coraz bardziej skupiają się na organizacjach przechowujących dane dużej liczby pracowników, gdyż potencjalne zyski z takich ataków są znacznie wyższe. – Firmy działające na rynku od dłuższego czasu, zatrudniające wielu pracowników, chociaż często unikają podstawowych błędów, wciąż padają ofiarą wyłudzeń danych. Hakerzy szukają nowych metod, zakładając, że atak na organizację z danymi przynajmniej kilkudziesięciu osób jest bardziej opłacalny niż na mniejszą. Ułatwieniem dla nich jest fakt, że dane przechowywane i przetwarzane są w różnych, rozproszonych systemach. Konsolidacja danych w jednej, szyfrowanej platformie znacząco obniża tzw. powierzchnię ataku. Umożliwia to zespołom IT szybkie wychwytywanie anomalii, na przykład logowanie z nietypowej lokalizacji czy masowe pobieranie danych. W rozproszonych lokalnych systemach to prawie niemożliwe do wykrycia w czasie rzeczywistym – dodaje.

fot.
oprac. /kp/