Ataki na kancelarie prawne i biura rachunkowe — dlaczego są na celowniku hakerów i jak się chronić

Dlaczego akurat kancelaria i biuro rachunkowe?

17% biur rachunkowych i działów finansowych w Polsce doświadczyło incydentu naruszającego cyberbezpieczeństwo w ciągu ostatnich 12 miesięcy, a kolejne 21% nie potrafi powiedzieć, czy padło ofiarą ataku (Barometr nastrojów polskich księgowych 2026, fillup k24, próba 578 księgowych). To druga liczba jest groźniejsza. Firma, która nie wie, czy została zaatakowana, nie ma logów — a bez logów nie da się ani odtworzyć incydentu, ani obronić przed UODO.

Kancelaria prawna i biuro rachunkowe to dla atakującego coś więcej niż kolejna mała firma. To węzeł. W jednym miejscu leżą dane dziesiątek albo setek podmiotów: umowy, pełnomocnictwa, strategie procesowe, listy płac, numery kont, PESEL-e pracowników klientów, dokumenty rozwodowe, wyceny transakcji. Włamanie do jednej pięcioosobowej kancelarii daje dostęp do materiału, który normalnie trzeba by zbierać z trzydziestu osobnych włamań.

Najważniejsze wnioski

• Usługi profesjonalne (kancelarie, biura rachunkowe, doradcy) znalazły się w pierwszej trójce najczęściej atakowanych branż w pierwszym półroczu 2025 roku z udziałem 17% wszystkich ataków ransomware (zestawienia branżowe za I poł. 2025 r.).
• 60% poszkodowanych biur rachunkowych wskazało atak socjotechniczny — czyli phishing, a nie „włamanie przez serwer".
• UODO karze nie za sam wyciek, lecz za brak analizy ryzyka, testów zabezpieczeń i logów. Kara przychodzi nawet wtedy, gdy nie ma dowodu, że dane wypłynęły.
• Trzy rzeczy zamykają większość realnych scenariuszy: MFA na poczcie, kopia zapasowa offline i pisemna procedura weryfikacji numeru konta.

Co dokładnie kradną hakerzy z kancelarii i biur rachunkowych?

W 2025 roku kancelarie stały się jednym z głównych celów przestępców — według branżowych zestawień co dziesiąta padła już ofiarą kradzieży danych. W skali kraju CERT Polska zarejestrował w tym samym czasie blisko 260,8 tys. incydentów cyberbezpieczeństwa, o 152% więcej niż rok wcześniej (CERT Polska, raport roczny 2025). Rośnie nie wyrafinowanie ataków, tylko ich skala i automatyzacja.

Wartość łupu jest inna niż w typowej firmie handlowej. Sklep traci bazę klientów i cennik. Kancelaria traci materiał, którym można kogoś szantażować.

• Dane objęte tajemnicą zawodową — korespondencja z klientem, linia obrony, dokumenty w toczących się sprawach. Ich publikacja to nie tylko naruszenie RODO, ale i odpowiedzialność dyscyplinarna.
• Dane finansowe klientów biura rachunkowego — obroty, marże, zaległości wobec ZUS i US, listy płac. Materiał idealny do szantażu i do przygotowania kolejnego ataku na klienta biura.
• Numery rachunków bankowych i wzory faktur — najprostsza droga do wyłudzenia przelewu.
• Tożsamości pracowników i kontrahentów — PESEL, dowody, adresy. Stąd bierze się później kredyt wzięty na czyjeś dane.
• Dostępy do systemów klientów — bankowość, portale ZUS/US, zdalne pulpity. Atakujący coraz częściej włamuje się do mniejszej, słabiej zabezpieczonej firmy, żeby wejść do sieci większego podmiotu.

Ten ostatni punkt jest kluczowy i najczęściej pomijany. Biuro rachunkowe bywa dla przestępcy nie celem, lecz korytarzem. Dlatego coraz więcej większych firm pyta swoje biuro o zabezpieczenia, zanim podpisze umowę — i dlatego solidne bezpieczeństwo IT dla firm w Częstochowie przestało być kosztem, a stało się argumentem sprzedażowym.

Jak wygląda atak krok po kroku?

Wśród biur rachunkowych, które zgłosiły incydent, 60% wskazało ataki socjotechniczne — phishing i wyłudzenia — a 45,7% wirusy i trojany (fillup k24, 2026). Nikt nie „hakuje serwera". Ktoś klika w link. Poniżej realny, powtarzalny scenariusz, który obsługujemy najczęściej.

1. Wiadomość, która pasuje do kalendarza. Rzekomy klient przysyła „skan umowy" albo powiadomienie z KSeF. W kancelarii — wezwanie z sądu. Nadawca wygląda znajomo, bo adres różni się jedną literą.
2. Przejęcie skrzynki. Ofiara loguje się na podrobionej stronie Microsoft 365. Bez drugiego składnika przestępca ma pełny dostęp do poczty w kilkanaście sekund.
3. Cisza i obserwacja. Przez dwa–trzy tygodnie nikt nic nie zauważa. Atakujący czyta korespondencję, uczy się stylu, poznaje klientów i terminy płatności. Zakłada regułę, która ukrywa jego odpowiedzi w folderze „Archiwum".
4. Uderzenie finansowe. Z prawdziwej skrzynki kancelarii wychodzi prawdziwie wyglądająca faktura ze zmienionym numerem konta. Albo klient dostaje mail: „zmieniliśmy bank, prosimy o przelew zaliczki na nowy rachunek".
5. Ransomware na deser. Jeśli w sieci są udostępnione dyski, przychodzi szyfrowanie. 68% ataków to dziś podwójne wymuszenie — dane są jednocześnie szyfrowane i wykradane, a okup dotyczy także nieupublicznienia (SecIQ, 2026, na podstawie ENISA i Sophos).

Warto zapamiętać jedną liczbę: 76% ataków ransomware startuje nocą, w weekend albo w święto, a od włamania do zaszyfrowania mija 4–24 godziny. Piątek po 16:00 to nie przypadek — to wybór atakującego, który wie, że nikt nie zareaguje przed poniedziałkiem. Mechanikę samego szyfrowania rozbieramy szczegółowo w tekście o tym, jak wygląda atak ransomware w małej firmie.

Dlaczego terminy podatkowe są bronią atakującego?

Aż 97% incydentów zarejestrowanych w 2025 roku przez CERT Polska stanowiły oszustwa komputerowe — phishing, oszustwa inwestycyjne i inne formy wyłudzania danych lub pieniędzy (CERT Polska, raport roczny 2025). Skuteczność bierze się z wyczucia czasu, nie z technologii. A żadna branża nie ma tak przewidywalnego kalendarza jak księgowość.

20. dzień miesiąca. 25. dzień miesiąca. 31 marca. 30 kwietnia. Do tego JPK i obowiązkowy KSeF, który dla wielu biur oznacza nowe integracje, nowe loginy i nową rutynę klikania w powiadomienia o fakturach. Księgowa pod presją terminu klienta zweryfikuje mniej niż ta sama księgowa w drugim tygodniu miesiąca. Przestępcy to wiedzą i pod te daty synchronizują kampanie.

Czy da się to obejść? Tak, ale nie szkoleniem raz w roku. Trzeba wyjąć decyzję z rąk zmęczonego człowieka i przenieść ją do procedury: żadna zmiana numeru rachunku nie jest realizowana na podstawie maila — tylko po telefonie na numer z umowy, nie z podpisu w wiadomości. To jedno zdanie w regulaminie ratuje przelewy o wartości kilkudziesięciu tysięcy złotych. Kampanie podszywające się pod e-faktury opisaliśmy osobno w artykule o phishingu wykorzystującym KSeF.

Ile naprawdę kosztuje incydent w małej kancelarii?

Średni czas przestoju po ataku ransomware to 21 dni, a 30% ofiar nie odzyskało pełni danych mimo zapłaty okupu (SecIQ, 2026). Dla firmy produkcyjnej trzy tygodnie to opóźnione zlecenia. Dla kancelarii i biura rachunkowego to zerwane terminy ustawowe i procesowe, których nikt nie przesunie.

Rachunek warto liczyć w czterech kolumnach, nie w jednej:

• Przestój operacyjny. Szacunki dla polskich MŚP mówią o 500 tys.–2 mln zł strat na samym przestoju, nawet bez zapłaty okupu. W kilkuosobowym biurze skala jest mniejsza, ale trzy tygodnie bez dostępu do dokumentacji w środku sezonu bilansowego oznaczają realne odsetki, korekty i kary za nieterminowe rozliczenia — płacone przez klientów, ale reklamowane u Ciebie.
• Odtworzenie środowiska. Odzysk danych, przeinstalowanie stacji, analiza powłamaniowa, nowe licencje. Tu mówimy o kwotach rzędu kilkunastu–kilkudziesięciu tysięcy złotych, jeśli w ogóle jest z czego odtwarzać.
• Odpowiedzialność prawna. Zgłoszenie do UODO w 72 godziny, zawiadomienie osób, których dane wyciekły, potencjalna kara administracyjna i roszczenia cywilne. W kancelarii dochodzi wątek tajemnicy zawodowej i postępowania dyscyplinarnego.
• Utrata zaufania. Najdroższa i najtrudniejsza do wyceny pozycja. Klient, który dowiaduje się, że jego lista płac krąży po sieci, nie zostaje na kolejny rok. A w tej branży klienci rozmawiają ze sobą.

Z drugiej strony jest sygnał, który powinien ucieszyć każdego właściciela: 37% klientów usług prawnych deklaruje gotowość zapłacenia więcej kancelarii z lepszymi zabezpieczeniami (Integris, 2025). Bezpieczeństwo daje się sprzedać — pod warunkiem, że faktycznie jest.

Za co naprawdę karze UODO?

6 lipca 2026 roku Prezes UODO nałożył karę 11 594 zł na kancelarię podatkową po tym, jak nieuprawniona osoba uzyskała dostęp do skrzynki e-mail pracownika z danymi 111 osób — klientów, ich pracowników i dzieci zgłoszonych do ubezpieczenia. Administrator twierdził, że nie ma dowodu pobrania danych. UODO odpowiedział, że brak dowodu na pozyskanie danych nie oznacza, że nie doszło do naruszenia.

To jest sedno i najważniejsza rzecz do zapamiętania z całego artykułu. Organ nie ukarał kancelarii za to, że ktoś się włamał. Ukarał za to, czego przed włamaniem nie było:

• braku analizy ryzyka dla przetwarzania danych w poczcie elektronicznej,
• braku procedur chroniących dane w tym obszarze,
• tego, że wdrożone zabezpieczenia nigdy nie były testowane ani oceniane pod kątem skuteczności,
• braku logów i narzędzi pozwalających ustalić, jak długo skrzynka była pod kontrolą obcej osoby i czy dane skopiowano.

Analizę ryzyka, politykę bezpieczeństwa informacji i audyt infrastruktury administrator wdrożył dopiero po wszczęciu postępowania. Dla porównania — w 2025 roku UODO wydał 32 decyzje o karach na łączną kwotę ok. 64,5 mln zł, pięciokrotnie więcej niż rok wcześniej. Kwoty rosną, a logika pozostaje ta sama: udokumentowany brak działania kosztuje więcej niż sam incydent.

Praktyczny wniosek: jeśli dziś nie potrafisz odpowiedzieć na pytanie „kto i kiedy logował się do tej skrzynki w ostatnich 90 dniach", masz problem niezależnie od tego, czy ktoś Cię zaatakował.

Jak zabezpieczyć kancelarię i biuro rachunkowe? Konkretna lista

Mniej niż połowa kancelarii (43%) wykonuje kopie zapasowe online, a tylko 34% ma przygotowany plan reagowania na incydent (American Bar Association, TechReport). Dobra wiadomość: w małej firmie nie potrzeba budżetu korporacji. Potrzeba kolejności — od rzeczy, które blokują najwięcej scenariuszy przy najmniejszym koszcie.

Poziom 1 — zrób to w tym tygodniu

• MFA na wszystkich skrzynkach, bez wyjątków dla „pana mecenasa". Drugi składnik unieważnia przejęcie hasła, czyli scenariusz z decyzji UODO opisanej wyżej. Szczegóły w tekście o uwierzytelnianiu dwuskładnikowym w firmie.
• Menedżer haseł zamiast kartki pod klawiaturą. Jedno hasło do poczty użyte ponownie w portalu, który wyciekł trzy lata temu, to najczęstsza przyczyna „niewyjaśnionego" logowania.
• Kopia zapasowa w schemacie 3-2-1, z jedną wersją offline. Ransomware szyfruje też dysk sieciowy podpięty na stałe. Kopia, do której nie da się dostać z zaatakowanego komputera, jest jedyną, która przetrwa.
• Backup poczty w Microsoft 365. Microsoft odpowiada za działanie usługi, nie za Twoje dane — usunięte lub zaszyfrowane maile po okresie retencji przepadają. Rozwijamy ten wątek w artykule o kopiach zapasowych Microsoft 365.

Poziom 2 — zrób to w tym miesiącu

• Pisemna procedura zmiany numeru rachunku — weryfikacja telefoniczna na numer z umowy, zawsze, bez wyjątków przy pilnych przelewach.
• Ochrona antywirusowa klasy biznesowej z centralną konsolą. Darmowy antywirus nie da Ci informacji, że na stacji księgowej coś się dzieje.
• Włączone i przechowywane logi — logowań do poczty, dostępu do dysku sieciowego, zdalnych pulpitów. Minimum 90 dni. To Twój materiał dowodowy przed UODO.
• Aktualizacje systemów i programów księgowych w ustalonym oknie serwisowym, nie „kiedyś, jak będzie czas".
• Osobne konto administratora. Codzienna praca na koncie z pełnymi uprawnieniami zamienia jedno kliknięcie w awarię całej sieci.

Poziom 3 — zrób to w tym kwartale

• Analiza ryzyka i polityka bezpieczeństwa informacji — dokumenty, o które zapyta UODO. Lepiej mieć je przed incydentem niż po.
• Test odtworzenia kopii. Kopia, której nigdy nie przywracano, jest hipotezą, nie zabezpieczeniem. Raz na kwartał, z zapisem wyniku.
• Segmentacja sieci i kontrola dostępu zdalnego — otwarty RDP „bo księgowa pracuje z domu" to zaproszenie. Zamiast tego VPN plus MFA.
• Szkolenie zespołu z symulacją phishingu. Kwadrans raz na kwartał daje więcej niż godzinna prezentacja raz na rok.
• Plan reagowania na incydent — kto dzwoni do informatyka, kto do klientów, kto liczy 72 godziny na zgłoszenie do UODO. Na kartce, dostępnej także wtedy, gdy sieć nie działa.

Jeśli prowadzisz kancelarię lub biuro w regionie i wolisz mieć to poukładane raz a porządnie, wdrożenie backupu danych dla firm w Częstochowie jest najlepszym punktem startu — bo naprawia skutki wszystkich pozostałych zaniedbań.

Od czego zacząć, jeśli masz na to jedno popołudnie?

Ponad 21% księgowych nie wie, czy ich firma padła ofiarą ataku (fillup k24, 2026). Pierwszym krokiem nie jest więc zakup narzędzia, tylko odzyskanie widoczności. Zrób te cztery rzeczy po kolei i będziesz wiedzieć więcej niż większość firm w branży.

1. Sprawdź reguły przekazywania w każdej skrzynce. Reguła wysyłająca kopie na zewnętrzny adres albo przenosząca odpowiedzi do „Archiwum" to klasyczny ślad przejętego konta.
2. Przejrzyj historię logowań za 30 dni. Logowania z nietypowych krajów lub o trzeciej w nocy wymagają wyjaśnienia dziś, nie w przyszłym tygodniu.
3. Spróbuj odtworzyć jeden losowy plik sprzed miesiąca z kopii zapasowej. Jeśli się nie uda, masz odpowiedź na pytanie o priorytety.
4. Wypisz na kartce, kto ma dostęp do czego. Zwykle okazuje się, że stażysta sprzed dwóch lat wciąż ma aktywne konto.

Jeśli któryś z tych kroków skończy się niepewnością — to nie jest powód do wstydu, tylko normalna sytuacja w firmie, w której nikt nie zajmuje się IT na etacie. Wtedy warto oddać temat komuś, kto robi to na co dzień: informatyk w Częstochowie od ITFast przeprowadzi audyt poczty, kopii zapasowych i dostępów, a potem zostawi Ci listę rzeczy do zrobienia posortowaną według ryzyka, nie według ceny.

Podsumowanie

Kancelarie prawne i biura rachunkowe są atakowane nie dlatego, że są duże, tylko dlatego, że przechowują cudze tajemnice i mają przewidywalny kalendarz. Ochrona nie zaczyna się od drogiego firewalla — zaczyna się od MFA na poczcie, działającej kopii offline i jednej procedury, która zabrania zmieniać numer konta na podstawie maila.

I najważniejsze: UODO nie karze za to, że ktoś Cię zaatakował. Karze za to, że nie potrafisz udowodnić, co zrobiłeś, żeby temu zapobiec. Ta dokumentacja powstaje przed incydentem albo nie powstaje wcale.

Chcesz sprawdzić, jak Twoja kancelaria lub biuro wypada na tle tej listy? Napisz do nas — bezpłatnie przejrzymy konfigurację poczty i kopii zapasowych i powiemy wprost, co wymaga naprawy w pierwszej kolejności.