Od jakiego ryzyka chcesz się naprawdę ochronić? Krótkie spojrzenie na zagrożenia
Najczęstsze scenariusze w małych firmach
Bezpieczeństwo służbowego smartfona nie psuje się od skomplikowanych ataków „hakerów”, tylko od prostych sytuacji z życia. Telefon zostaje w taksówce. Ktoś go zabiera z kawiarnianego stolika, gdy idziesz po kawę. Pracownik zgubi urządzenie w terenie i zgłasza to dopiero po kilku godzinach. W każdym z tych przypadków na telefonie często są:
- firmowe maile – z historią korespondencji z klientami,
- dostęp do dysku w chmurze (Google Drive, OneDrive, Dropbox),
- komunikatory z rozmowami o ofertach, rabatach, umowach,
- aplikacja banku lub przynajmniej SMS-y autoryzacyjne,
- kontakty klientów, notatki z rozmów, zdjęcia dokumentów.
Utrata samego sprzętu to koszt kilkuset czy kilku tysięcy złotych. Utrata danych lub dostępu do systemów firmy może oznaczać wyciek danych klientów, utratę zaufania, a przy niektórych branżach także problemy prawne. Dlatego celem nie jest tylko „nie dać się okraść”, ale ograniczyć skutki kradzieży czy nieuważnego kliknięcia.
Fizyczny dostęp: zgubiony lub skradziony telefon
Najprostszy wektor ataku to fizyczny dostęp do urządzenia. Z punktu widzenia osoby, która znalazła lub ukradła telefon, najważniejsze jest, czy:
- ekran jest dobrze zablokowany (PIN/hasło/biometria, krótka autoblokada),
- po podłączeniu do komputera dane są dostępne, czy pamięć jest szyfrowana,
- na ekranie blokady widać treść maili, SMS-ów, kodów weryfikacyjnych,
- można zresetować hasło do poczty lub chmury bazując na SMS-ach/wiadomościach.
Przykładowo: smartfon bez blokady ekranu, podłączony do służbowej poczty i dysku w chmurze, pozwala nowemu „właścicielowi” przeczytać całą historię korespondencji i pobrać dokumenty. Często wystarczy kilka minut z odblokowanym urządzeniem, aby zmienić hasła do usług i zablokować prawowitego użytkownika.
Phishing, smishing i złośliwe linki
Druga kategoria zagrożeń to ataki, w których użytkownik sam „wpuszcza” kłopoty na telefon. Najczęściej wygląda to niewinnie:
- SMS z rzekomego banku lub kuriera z linkiem do dopłaty,
- mail od „klienta” z załącznikiem, który wymaga instalacji dodatkowej aplikacji lub podania hasła,
- wiadomość na komunikatorze z linkiem do „faktury” lub „nagrania rozmowy”.
Na telefonach ataki phishingowe są skuteczniejsze niż na komputerach, bo:
- interfejs mobilny gorzej pokazuje pełne adresy URL,
- użytkownik częściej działa w pośpiechu (w terenie, między spotkaniami),
- wiele aplikacji automatycznie otwiera linki w wbudowanej przeglądarce, maskując szczegóły.
Efekt? Podszyta pod bank strona wyłudza login i hasło, złośliwa aplikacja dostaje dostęp do SMS-ów, kontaktów lub plików. To bezpośrednio zagraża bezpieczeństwu firmowego maila i danych klientów.
Złośliwe i nadmiernie ciekawskie aplikacje
Nie każda złośliwa aplikacja jest od razu wirusem niszczącym dane. Często problemem są programy, które proszą o zbyt szerokie uprawnienia:
- prosta latarka chcąca dostępu do kontaktów i SMS-ów,
- edytor zdjęć żądający pełnego dostępu do plików i aparatu,
- gra instalowana spoza oficjalnego sklepu, która „przy okazji” wysyła dane do zewnętrznego serwera.
Jeśli na tym samym telefonie są dane klientów, połączenie niepozornej aplikacji z szerokimi uprawnieniami i brakiem nadzoru nad tym, dokąd trafiają dane, tworzy realne ryzyko wycieku. Zwłaszcza gdy kopie zapasowe robi się na prywatne konto, do którego nikt w firmie nie ma wglądu.