Atak na łańcuch dostaw: czym jest i jak sprawdzać dostawców IT

Atak na łańcuch dostaw (ang. supply chain attack) polega na włamaniu do firmy, której ufasz, żeby przez nią dostać się do Ciebie. Przestępca nie forsuje Twoich zabezpieczeń, tylko infekuje dostawcę oprogramowania, usługę w chmurze, bibliotekę open source albo firmę serwisową, z której korzystasz. W 2026 roku to już nie wyjątek: według raportu Verizon DBIR 2026 strona trzecia brała udział w 48% potwierdzonych naruszeń, a rok wcześniej było to 30%. Poniżej wyjaśniamy, jak działa taki atak, które przypadki warto znać, co zmieniło się w polskich przepisach i jak krok po kroku sprawdzać dostawców IT, nawet jeśli prowadzisz małą firmę.

W skrócie:

• zaufany dostawca jest dla atakującego tańszą drogą niż frontalny atak na dobrze chronioną firmę,
• ryzyko dotyczy także małych firm, bo to one najczęściej są właśnie "dostawcą" większego klienta,
• większość zabezpieczeń da się wdrożyć bez budżetu korporacji: lista pytań do dostawcy, zapisy w umowie, 2FA, kontrola uprawnień i plan wyjścia.

Czym jest atak na łańcuch dostaw i dlaczego tak dobrze działa

Przeciętny użytkownik myśli o cyberbezpieczeństwie jak o murze wokół własnej firmy: antywirus, firewall, silne hasła. Tymczasem nowoczesna firma to sieć połączeń: system księgowy w chmurze, zewnętrzny hosting, narzędzie do wysyłki maili, agencja z dostępem do panelu, dziesiątki bibliotek w kodzie sklepu. Każde z tych ogniw ma własne hasła, własnych pracowników i własne luki.

Atakujący wykorzystuje to w prosty sposób: zamiast pokonywać dobrze strzeżony cel, szuka najsłabszego dostawcy, który ma do tego celu zaufany dostęp. Zaufanie działa tu jak przepustka. Zainfekowana aktualizacja jest podpisana prawdziwym certyfikatem, pochodzi z prawdziwego serwera i przechodzi przez filtry, bo przecież instalujesz ją z własnej woli.Można wyróżnić trzy typowe drogi ataku:

1. Oprogramowanie i aktualizacje. Przestępca podmienia kod w programie lub w jego aktualizacji (przykład: SolarWinds).
2. Biblioteki i zależności. Złośliwy kod trafia do pakietów, które programiści pobierają automatycznie (npm, PyPI i podobne).
3. Usługi i dostępy zewnętrzne. Haker przejmuje konto dostawcy, firmy serwisowej, agencji albo narzędzia połączonego z Twoimi systemami przez integrację lub klucz API.

Najgłośniejsze ataki na łańcuch dostaw: od Bit9 do Hertza

Ta technika nie jest nowa. Jeden z jej wcześniejszych, dobrze udokumentowanych przykładów to włamanie do firmy Bit9, dostawcy zabezpieczeń dla amerykańskich kontrahentów zbrojeniowych. Zamiast atakować chronione cele wprost, grupa Hidden Lynx, opisana przez analityków Symanteca, przejęła kontrolę nad zaufanym dostawcą. Dokładnie ten mechanizm, czyli atak watering hole, w którym napastnik czeka tam, gdzie ofiara i tak zagląda, stał się wzorem dla późniejszych kampanii. Wnioski z tamtej historii są nadal aktualne: im lepiej chroniony jest cel, tym bardziej opłaca się zaatakować jego dostawcę.

Poniżej przypadki, które warto znać, bo każdy pokazuje inny wariant tego samego schematu:

Przypadek Hertza jest o tyle pouczający, że klienci wypożyczalni nie mieli ani jednego zaniedbania po swojej stronie. Według relacji Computer Weekly wyciek mógł obejmować imię i nazwisko, datę urodzenia, dane prawa jazdy, a w niektórych przypadkach także dane kart płatniczych. Podobnie opisuje to analiza Wiz dla kampanii Shai-Hulud: wspólna cecha to wykorzystanie zaufania, a nie słabości końcowej ofiary.

Skala problemu w 2026 roku: co mówią dane

Udział stron trzecich w naruszeniach wzrósł z 30% do 48%. Tak wynika z raportu Verizon DBIR 2026 (ponad 22 tys. naruszeń ze 145 krajów), o którym pisze Expert Insights. Verizon rozróżnia trzy rodzaje zaangażowania dostawcy: w łańcuchu dostaw oprogramowania, jako firma hostująca dane oraz jako podmiot połączony z Twoim środowiskiem. Coraz częściej jedno naruszenie dotyczy dwóch lub trzech z nich naraz.

Podobny kierunek wskazuje europejska agencja ENISA. W raporcie ENISA Threat Landscape 2025, obejmującym 4875 incydentów z okresu od 1 lipca 2024 do 30 czerwca 2025, agencja zauważyła, że przestępcy nasilili wykorzystywanie krytycznych punktów zależności, w tym w cyfrowym łańcuchu dostaw. ENISA nie podaje osobnej liczby ataków na łańcuch dostaw, więc warto czytać ten wniosek jako trend, a nie jako dokładną statystykę.

Dlaczego tak się dzieje? Trzy mechanizmy działają jednocześnie:

• Ekonomia atakującego. Jedno udane włamanie do dostawcy daje dostęp do wielu klientów. Opłacalność rośnie z każdym kolejnym odbiorcą.
• Luka w odpowiedzialności. Klient myśli, że bezpieczeństwo jest po stronie dostawcy, a dostawca zakłada, że klient zadba o własne uprawnienia. Pomiędzy tymi założeniami powstaje luka, w której nikt nie patrzy.
• Zaufanie ponad weryfikacją. Raz nadany dostęp (klucz API, konto serwisowe, integracja) zwykle zostaje na lata, choć nikt już nie pamięta, po co powstał.

NIS2 i KSC: co zmieniły przepisy w Polsce

Od 3 kwietnia 2026 roku obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża w Polsce dyrektywę NIS2. Według serwisu Prawo.pl prezydent podpisał ustawę w lutym 2026 roku, a jednocześnie skierował do Trybunału Konstytucyjnego wniosek o kontrolę następczą przepisów o dostawcach wysokiego ryzyka. Ustawa została opublikowana w Dzienniku Ustaw 2 marca 2026 roku. Wniosek do TK nie wstrzymuje jej stosowania.Co to oznacza w praktyce dla kogoś, kto kupuje albo sprzedaje usługi IT?

• Podmioty kluczowe i ważne muszą zarządzać ryzykiem po stronie dostawców i partnerów. Kary dla podmiotów kluczowych mogą sięgać 10 mln euro lub 2% rocznego obrotu, a wstępne zgłoszenie incydentu ma nastąpić w ciągu 24 godzin od jego wykrycia (według Infor).
• Dostawcy wysokiego ryzyka. Podmioty kluczowe i ważne nie mogą wprowadzać do systemów produktów dostawcy uznanego za wysokiego ryzyka, a istniejące rozwiązania mają wycofać w ciągu 7 lat.
• Efekt domina na małe firmy. To najczęściej pomijana konsekwencja. Nawet jeśli Twoja firma nie jest podmiotem kluczowym ani ważnym, może być dostawcą takiego podmiotu. Wtedy klient zacznie wymagać ankiet bezpieczeństwa, zapisów w umowie i dowodów, że masz podstawową higienę cyfrową. Kto jest na to gotowy, wygrywa przetargi.

Zakres podmiotów i progi wielkości wymagają sprawdzenia w tekście ustawy lub u prawnika, bo materiały prasowe nie podają ich w pełni. Ten artykuł nie jest poradą prawną.

Jak sprawdzać dostawców IT: praktyczna checklista

Zacznij od inwentaryzacji i podziału dostawców według tego, do czego mają dostęp, a nie według tego, ile kosztują. Tani plugin z dostępem do bazy klientów jest groźniejszy niż drogi system bez dostępu do danych. Zrób listę wszystkich usług, integracji, agencji i freelancerów, a przy każdym zapisz: jakie dane widzi, czy ma dostęp do produkcji i kto po Twojej stronie za niego odpowiada.

Następnie dla dostawców o wysokim ryzyku zadaj te pytania i poproś o dowody, a nie o samo zapewnienie:

Jeśli dostawca przetwarza kluczowe dane, rozważ niezależny test jego integracji z Twoimi systemami. Wtedy przyda się wiedza, jak wybrać pentestera, zanim zlecisz taki test i podpiszesz umowę z wykonawcą.

Pamiętaj o własnej stronie relacji. Wiele incydentów przez dostawcę zaczyna się od nadmiernych uprawnień po Twojej stronie. Dlatego:

1. Nadawaj dostawcom minimalne uprawnienia i osobne konta, nigdy wspólne hasło.
2. Wymuś 2FA na wszystkich kontach z dostępem do panelu, poczty i hostingu.
3. Co kwartał przeglądaj listę kluczy API, integracji OAuth i kont serwisowych, a nieużywane usuń.
4. Odcinaj dostęp natychmiast po zakończeniu współpracy z agencją lub freelancerem.
5. Przechowuj kopie zapasowe poza środowiskiem, do którego dostęp ma dostawca.

Co wpisać do umowy z dostawcą IT

Umowa jest jedynym miejscem, w którym zapewnienia zamieniają się w zobowiązania. Zanim podpiszesz kontrakt z dostawcą mającym dostęp do danych, sprawdź, czy zawiera:

• termin zgłoszenia incydentu (np. do 24 godzin od wykrycia), zgodny z tempem, jakiego wymaga od Ciebie klient lub regulator,
• listę poddostawców i obowiązek informowania o zmianach,
• prawo do audytu albo do otrzymania raportów z niezależnych audytów,
• minimalne wymogi techniczne: 2FA, szyfrowanie, kopie zapasowe, zasady aktualizacji,
• zasady odpowiedzialności i ubezpieczenia (kto pokrywa koszty powiadomienia osób, obsługi prawnej i przestoju),
• plan wyjścia: w jakim formacie i w jakim terminie dostaniesz swoje dane, gdy zakończysz współpracę, oraz potwierdzenie ich usunięcia.

Jeśli dostawca przetwarza dane osobowe, potrzebna jest też umowa powierzenia zgodna z RODO. Przy bardziej złożonych kontraktach warto skonsultować zapisy z prawnikiem.

Co robić, gdy wyciek nastąpił u dostawcy

Wyciek u dostawcy dotyka też TwoicCo wpisać do umowy z dostawcą ITh klientów i Ciebie, więc reaguj od razu, nie czekaj na pełny raport. Działaj w tej kolejności:

1. Odetnij dostęp. Zmień hasła i unieważnij klucze API oraz tokeny związane z tym dostawcą. Wyłącz integracje, których nie potrzebujesz natychmiast.
2. Zabezpiecz dowody. Zachowaj maile od dostawcy, logi i treść powiadomienia. Będą potrzebne przy zgłoszeniu i ewentualnych roszczeniach.
3. Ustal, jakie dane wyciekły. Poproś dostawcę o listę kategorii danych i okres, którego dotyczy zdarzenie.
4. Oceń obowiązek zgłoszenia. Przy danych osobowych administrator ma 72 godziny od stwierdzenia naruszenia na zgłoszenie do UODO, jeśli występuje ryzyko naruszenia praw osób. Podmioty objęte KSC mają dodatkowo wcześniejszy termin wstępnego zgłoszenia.
5. Poinformuj poszkodowanych. Jasno napisz, co wyciekło i co mają zrobić.

Osoby, których dane trafiły do wycieku, powinny zadbać o własną tożsamość: zablokować karty, włączyć alerty w BIK i dowiedzieć się, jak zastrzec PESEL po wycieku danych. Warto dodać to do komunikatu dla klientów, bo zmniejsza ryzyko wyłudzeń na ich dane.

FAQ: atak na łańcuch dostaw

Czym różni się atak na łańcuch dostaw od zwykłego włamania? 

W zwykłym włamaniu przestępca atakuje Twoją firmę bezpośrednio. W ataku na łańcuch dostaw wchodzi przez zaufanego dostawcę, aktualizację albo bibliotekę, dlatego jego działania wyglądają jak normalny, dozwolony ruch.

Czy mała firma musi się tym przejmować? 

Tak. Mała firma korzysta z tych samych chmur, wtyczek i narzędzi co duże, a dodatkowo może być dostawcą większego klienta, od którego zacznie się wymagać dowodów bezpieczeństwa.

Co to jest SBOM? 

SBOM (Software Bill of Materials) to lista komponentów, z których zbudowane jest oprogramowanie. Pozwala szybko sprawdzić, czy ujawniona luka dotyczy Twojego produktu lub produktu dostawcy.

Jak często powinienem przeglądać dostawców? 

Przynajmniej raz w roku dla wszystkich ważnych dostawców, a dla tych z dostępem do danych klientów lub do produkcji co pół roku i po każdym incydencie.

Czy zwykły antywirus chroni przed takim atakiem? 

Nie w pełni. Zainfekowana aktualizacja bywa podpisana prawdziwym certyfikatem, więc skuteczniejsze są ograniczenie uprawnień, segmentacja, monitoring anomalii i szybkie reagowanie.

Czy NIS2 dotyczy każdej firmy w Polsce? 

Nie. Dotyczy podmiotów kluczowych i ważnych z wybranych sektorów, ale jej skutki odczują też ich dostawcy. Szczegóły zakresu sprawdź w tekście ustawy lub u prawnika.