Cyberbezpieczeństwo po ludzku

Szósta rano. Automatyk widzi na panelu HMI komunikat, którego nigdy wcześniej nie widział. Ma 90 sekund, żeby zdecydować: zatrzymać całą linię produkcyjną, czy czekać na potwierdzenie.
W tym odcinku pokazuję krok po kroku, jak ransomware może przejść z sieci biurowej (IT) do sieci produkcyjnej (OT) — przez zaniedbane konto serwisowe i hasło, które nie zmieniło się od lat. To historia złożona z sytuacji, które znam z pracy z firmami produkcyjnymi — nie chodzi o jedną konkretną firmę, tylko o mechanizm, który powtarza się w wielu polskich zakładach.
Wyjaśniam prostym językiem, czym jest HMI, PLC, SCADA i OT — ale przede wszystkim pokazuję cztery pytania, które powinien sobie zadać każdy zarząd firmy produkcyjnej, zanim zada je kryzys:
- Czy automatycy i operatorzy wiedzą, że wolno im zatrzymać produkcję, gdy widzą coś niepokojącego — i czy ktokolwiek powiedział im to wprost, na piśmie?
- Czy sieć biurowa (IT) jest realnie oddzielona od sieci produkcyjnej (OT), czy to jedna płaska sieć?
- Ile kont serwisowych z dostępem do produkcji istnieje w Twojej firmie i które z nich faktycznie są jeszcze potrzebne?
- Czy istnieje playbook — prosty dokument opisujący pierwszą godzinę incydentu: kto dzwoni do kogo, kto ma prawo zatrzymać linię?
Ten odcinek jest dla zarządów, dyrektorów produkcji, automatyków, inżynierów OT i wszystkich, którzy chcą rozumieć cyberbezpieczeństwo przemysłowe bez żargonu.
Rozdziały:
00:00 Intro — 6 rano, komunikat na HMI
01:08 Co dzieje się, gdy fabryka staje
01:46 Dlaczego to historia o mechanizmie, nie o jednej firmie
02:21 Jak IT łączy się z OT w zakładzie produkcyjnym
03:31 Faktura, załącznik i cichy początek ataku
04:38 Konto serwisowe jako furtka do produkcji
05:00 Automatyk widzi dziwny komunikat na HMI
06:09 Decyzja: zatrzymać linię czy czekać
06:49 Ransomware w biurze i ryzyko dla sterowników
08:19 Czy pracownicy wiedzą, że wolno im zatrzymać produkcję
09:05 Segmentacja IT i OT oraz konta serwisowe
10:10 Playbook na pierwszą godzinę incydentu
11:14 Co sprawdzić, zanim wydarzy się prawdziwy atak
Chcesz sprawdzić, jak to wygląda u Was? Link do bezpłatnej 15-minutowej rozmowy znajdziecie w przypiętym komentarzu pod tym odcinkiem.
#cyberbezpieczeństwo #ransomware #OT #ICS #SCADA #cyberbezpieczeństwoprzemysłowe #NIS2
Obserwuj mnie również tutaj:
LinkedIn: https://www.linkedin.com/in/joanna-wziatek/Instagram: https://www.instagram.com/paniodcyberFacebook: https://www.facebook.com/paniodcyber

Sierpień 2022, 1:00 w nocy. Szpital pod Paryżem zostaje sparaliżowany przez ransomware — systemy gasną jeden po drugim, a personel medyczny zostaje z telefonem i kartką papieru.
W tym odcinku "Cyberbezpieczeństwa po ludzku" pokazuję, krok po kroku, co naprawdę wydarzyło się tamtej nocy, jak działa grupa LockBit i model podwójnego wymuszenia — oraz dlaczego dokładnie ten sam mechanizm zagraża fabrykom i firmom produkcyjnym, nie tylko placówkom medycznym.
Dowiesz się m.in.:
dlaczego decyzja o odcięciu systemów od sieci to decyzja zarządu, a nie tylko działu IT,
dlaczego "płacić czy nie płacić okupu" trzeba ustalić, zanim wybuchnie kryzys,
co ta historia mówi o sytuacji w Polsce (ALAB, szpital MSWiA w Krakowie, dane CSIRT KZ),
5 pytań, które warto zadać swojemu zespołowi OT już dziś.
Chcesz sprawdzić, czy u Was jest podobna luka? 15-minutowa rozmowa: https://calendly.com/kontakt-joannawziatek/30minNewsletter dla zarządów i menadżerów OT: joannawziatek.pl

Rozdziały:
0:00 Nocna zmiana w szpitalu, która zmieniła się w koszmar
2:46 O czym jest ten odcinek
3:24 Skąd znam tę historię (źródła)
3:50 Szpital CHSF pod Paryżem — fakty
4:39 Atak zaczyna się o 1:00 w nocy
5:07 Jak działa LockBit i "podwójne wymuszenie"
6:38 Powrót do pracy na papierze
7:18 Decyzja #1: odciąć zainfekowane systemy
8:01 Żądanie okupu: 10 milionów dolarów
8:24 Szpital odmawia zapłaty
9:07 Miesiąc później: wyciek danych pacjentów
9:26 Dwie różne szkody — fizyczna i wyciek
10:35 Düsseldorf 2020: śmierć pacjentki
12:28 Polska: MyDoctor, ALAB, szpital MSWiA w Krakowie
13:40 CSIRT KZ: Polska na szczycie rankingów ataków ransomware
14:40 Dlaczego to dotyczy też fabryk, nie tylko szpitali
15:36 Dwie decyzje zarządu pod presją czasu
18:39 5 lekcji dla zarządu i menadżerów OT
23:03 Jak sprawdzić, czy macie tę lukę

Poniedziałek, trzecia nad ranem. W globalnej firmie przemysłowej pojawia się ransomware, komputery są zablokowane, pliki zaszyfrowane, a produkcja zaczyna tracić dostęp do systemów. To już nie jest „problem IT”. To pytanie o to, ile kosztuje jedna godzina, w której fabryka nie produkuje.
W tym odcinku opowiadam historię ataku ransomware LockerGoga na Norsk Hydro, globalnego producenta aluminium. Pokazuję, dlaczego ta historia powinna interesować zarządy, dyrektorów produkcji, osoby odpowiedzialne za OT, logistykę, finanse i ciągłość działania.
Mówię o pierwszych godzinach po ataku, decyzji o niezapłaceniu okupu, odbudowie środowiska, komunikacji kryzysowej i przejściu części zakładów na tryb ręczny. Wyjaśniam też, dlaczego cyberodporność fabryki nie polega wyłącznie na dobrych narzędziach bezpieczeństwa.
W odcinku znajdziesz pytania, które warto zadać, zanim zrobi to kryzys: ile kosztuje godzina przestoju, które systemy muszą wrócić jako pierwsze, czy backup był naprawdę testowany i czy IT wie, czego nie wolno dotykać w OT.
Chaptery:
00:00:00 Intro
00:00:54 Historia ataku na Norsk Hydro
00:01:46 Globalna firma i systemy zablokowane w nocy
00:02:32 Pierwsze godziny po ataku ransomware
00:03:16 Trzy decyzje, które podjął zarząd
00:04:15 Tryb ręczny i procedury awaryjne w produkcji
00:05:03 Czym naprawdę jest cyberodporność fabryki
00:06:02 Okup, backupy i pytania, które trzeba zadać wcześniej
00:07:10 Ransomware jako test przywództwa
00:07:43 3 pytania dla zarządu i produkcji
00:08:20 Checklista dla prezesa i zespołu OT
💬 Napisz w komentarzu: czy w Twojej firmie ktoś zna koszt jednej godziny przestoju najważniejszej linii produkcyjnej?
📌 Pobierz checklistę z opisu i przejdź przez 5 pytań z osobami odpowiedzialnymi za produkcję, OT, IT i zarządzanie kryzysowe.
Obserwuj mnie również tutaj:
LinkedIn: https://www.linkedin.com/in/joanna-wziatek/
Instagram: https://www.instagram.com/paniodcyber
Facebook: https://www.facebook.com/paniodcyber

Księgowa dostaje wiadomość od prezesa. Pilne. Poufne. Przelew trzeba zrobić dzisiaj. Wszystko wygląda normalnie, ale jest jeden problem: prezes nigdy tego maila nie napisał.
W tym odcinku opowiadam o BEC, czyli Business Email Compromise. Po polsku często mówi się o tym „oszustwo na prezesa”, ale ten problem jest większy niż jeden fałszywy mail. To atak na hierarchię, pośpiech, lojalność i kulturę organizacyjną, w której pracownik boi się zadać niewygodne pytanie.
Wyjaśniam, dlaczego taki atak nie musi zawierać wirusa, podejrzanego linku ani załącznika. Pokazuję, jak przestępcy budują presję, izolują pracownika i wykorzystują normalne firmowe procesy. Mówię też o tym, dlaczego największe ryzyko nie zawsze leży w technologii, ale w sytuacji, w której jedna osoba zostaje sama z decyzją wartą miliony.
W odcinku usłyszysz, co firma może zrobić praktycznie: ustalić progi przelewów, wprowadzić weryfikację drugim kanałem, szkolić na scenariuszach i dać pracownikom jasne prawo do powiedzenia: „Stop. Sprawdzam”.
Chaptery:
00:00:00 Wprowadzenie
00:01:18 Czym jest BEC i dlaczego „oszustwo na prezesa” to za mało
00:02:34 Zwykły dzień w firmie i mail, który wygląda normalnie
00:03:38 Jak przestępca buduje presję i izoluje pracownika
00:05:18 Dlaczego BEC działa na dobre cechy ludzi
00:06:33 Historia FACC i przelewy na ogromne kwoty
00:07:43 Kultura firmy jako luka bezpieczeństwa
00:09:10 Dlaczego BEC nie musi mieć linku ani załącznika
00:10:55 Jakie pytania powinien zadać pracownik
00:12:31 Prawo do zatrzymania przelewu i powiedzenia „Stop. Sprawdzam”
00:14:30 Co konkretnie wdrożyć w firmie
00:16:19 Dlaczego jednorazowe szkolenie nie wystarczy
00:18:12 Lekcja dla zarządu i program Cyber Awareness
💬 Napisz w komentarzu: czy w Twojej firmie pracownik z finansów może zatrzymać nietypowy przelew, nawet jeśli prośba wygląda jak polecenie od prezesa?
📌 Prześlij ten odcinek osobie z zarządu, finansów lub HR i sprawdźcie wspólnie, czy macie procedurę na sytuację: pilne, poufne, niestandardowe.

Jedno stare konto VPN. Brak MFA. Tyle wystarczyło, aby atak ransomware na Colonial Pipeline wywołał kryzys, kolejki po paliwo i ogromną presję na zarząd firmy.
W tym odcinku opowiadam historię cyberataku z maja 2021 roku, ale nie po to, żeby mówić o rurociągach w Stanach Zjednoczonych. Pokazuję, dlaczego ta sytuacja dotyczy także firm, które nie są elementem infrastruktury krytycznej.
Bo każda organizacja ma swój „rurociąg”. Dla sklepu internetowego może to być system zamówień. Dla firmy logistycznej system planowania tras. Dla kancelarii dostęp do dokumentów klientów. Dla fabryki linia produkcyjna.
W odcinku wyjaśniam:
👉dlaczego firma zdecydowała się zatrzymać część działalności,
👉jak problem techniczny może szybko stać się kryzysem operacyjnym, finansowym i reputacyjnym,
👉dlaczego decyzja o zapłaceniu okupu zaczyna się dużo wcześniej niż w dniu ataku,
👉jak stare konta VPN, dostępy dostawców i wyjątki od zasad stają się realnym ryzykiem,
👉dlaczego MFA nie jest tylko zadaniem dla działu IT,
👉jakie pytania zarząd powinien zadać, zanim zrobi to kryzys.
Na końcu dostaniesz 5 prostych pytań, które warto zadać w swojej firmie już dziś: o zdalne dostępy, konta VPN, MFA, backupy i plan działania po ransomware.
CHAPTERY
00:00:00 Intro
00:01:25 Colonial Pipeline: historia jednego konta VPN
00:03:16 Ransomware i decyzja o zatrzymaniu rurociągu
00:05:19 Jak cyberatak wywołał kolejki po paliwo
00:07:06 Czy firma powinna zapłacić okup?00:09:06 Stare konto VPN i brak MFA
00:10:52 Zapomniane dostępy, wyjątki i konta dostawców
00:12:28 Każda firma ma swój „rurociąg”
00:13:24 3 lekcje dla zarządu po ataku ransomware
00:15:18 5 pytań o odporność Twojej firmy
00:16:18 Dlaczego największe kryzysy zaczynają się od drobiazgów
00:17:05 Podsumowanie i zaproszenie do subskrypcji

💬 Napisz w komentarzu: czy w Twojej firmie ktoś potrafi dziś pokazać pełną listę aktywnych dostępów VPN, kont dostawców i wyjątków od MFA?
📌 Prześlij ten odcinek osobie z zarządu, IT lub operacji i wspólnie sprawdźcie, czy testowaliście odtwarzanie po ransomware oraz kto podejmuje decyzje w pierwszych godzinach kryzysu.