Faktura wyglądała jak każda inna. Ten sam dostawca, ta sama kwota, to samo logo. Różnił się tylko numer rachunku, a w mailu ktoś uprzejmie wyjaśnił, że firma zmieniła bank. Polski przedsiębiorca zapłacił 14 108,50 euro. Pieniądze trafiły na konto na Słowacji, którego prawdziwy dostawca nigdy nie miał.
Sąd Rejonowy w Kaliszu nie miał wątpliwości, kto za to odpowiada. W wyroku z 30 listopada 2022 roku (V GC 460/18) nakazał kupującemu zapłacić dostawcy jeszcze raz, całą kwotę z odsetkami. Zapłata na rachunek osoby trzeciej nie zwalnia z długu, „nawet jeżeli dokonując przelewu był w błędzie”. Nie pomógł argument, że dostawca za późno ostrzegł klientów przed oszustami. Sprawa toczyła się według prawa niemieckiego, ale zasada jest taka sama jak w polskim: zapłata komuś nieuprawnionemu nie zwalnia z długu.
Bank zleceniodawcy zwykle nie pomoże. Ustawa o usługach płatniczych mówi wprost, że przelew wykonany zgodnie z numerem rachunku jest wykonany na rzecz właściwego odbiorcy, „bez względu na dostarczone przez użytkownika inne informacje dodatkowe” (art. 143). Nazwisko czy nazwa firmy wpisane w przelewie nie mają znaczenia. Bank musi tylko spróbować odzyskać pieniądze i, jeśli to się nie uda, przekazać dane odbiorcy, żeby można go było pozwać. Odbiorcą jest zwykle słup, a pieniądze dawno zniknęły.
Skala, której nie widać z biura
Według raportu CERT Polska w 2025 roku zespół obsłużył 260 783 incydenty bezpieczeństwa, o 152 proc. więcej niż rok wcześniej. Siedem lat wcześniej było ich niespełna 4 tysiące. 97 proc. to oszustwa komputerowe, głównie wymierzone w osoby prywatne, ale nie tylko. CERT odnotował też rekordowe 179 ataków ransomware, czyli takich, w których przestępcy szyfrują dane i żądają okupu. 129 z nich dotknęło firmy i inne podmioty prywatne.
Raport opisuje, jak przestępcy najczęściej wchodzili do środka, tam gdzie dało się to ustalić: „W znacznej większości zdarzeń (…) doszło do nieuprawnionego dostępu poprzez usługi dostępu zdalnego, które nie były zabezpieczone dwuskładnikowym uwierzytelnieniem”. W dwóch opisanych przypadkach od wystawienia pulpitu zdalnego do internetu do zaszyfrowania danych minęły niecałe dwa tygodnie.
CERT nie dzieli ofiar według wielkości firm. Robią to badania ankietowe. Według badania ESET i DAGMA „Cyberportret polskiego biznesu 2026” w ciągu ostatniego roku ataku doświadczyło ponad dwie trzecie firm zatrudniających do 50 osób. W sierpniu 2026 roku Centralne Biuro Zwalczania Cyberprzestępczości zatrzymało członków grupy, która przejmowała firmowe skrzynki pocztowe i podmieniała numery rachunków na fakturach. Straty przekroczyły 4 mln zł, a kolejne próby wyłudzeń opiewały na 5,5 mln zł.
Kiedy bank odpowiada, a kiedy nie
Jest jedna furtka i warto ją znać. W sprawie rozstrzygniętej przez Sąd Apelacyjny w Warszawie 8 października 2021 roku (VII AGa 228/20) oszuści założyli domenę różniącą się od prawdziwej jedną literą: „q” zamiast „g”. Poprosili o zapłatę „duplikatu faktury” na nowe konto. Firma przelała 235 500 zł.
Sąd uznał, że odpowiada bank, ale nie bank płacącego, tylko bank odbiorcy. Wypłacił dużą kwotę z konta założonego półtora miesiąca wcześniej przez cudzoziemca, którego wzór podpisu składał się z samego imienia, a tytuł przelewu wskazywał zupełnie inną firmę. To naruszenie szczególnej staranności, której prawo bankowe wymaga od banków. Poszkodowani też jednak zawinili. Dostawca miał słabo zabezpieczoną pocztę, a klient zapłacił, choć zmiana konta budziła wątpliwości. Próbował ją potwierdzić telefonicznie, ale się nie dodzwonił, i mimo to wysłał pieniądze. Sąd uznał przyczynienie się poszkodowanych do szkody w połowie i zasądził mniej więcej połowę straty.
Pomoc w tej sprawie przyjdzie, ale nie od razu. Od 9 lipca 2027 roku polskie banki będą musiały sprawdzać przed wysłaniem przelewu w euro, czy nazwa odbiorcy zgadza się z numerem rachunku. To wymóg unijnego rozporządzenia o przelewach natychmiastowych. Dla przelewów w złotych takiego obowiązku na razie nie ma. Gdy weryfikacja zacznie działać, ostrzeżenie „nazwa nie pasuje” zignorowane przez księgowość będzie mocnym argumentem przeciwko firmie, która mimo to zapłaciła.
RODO nie pyta o wielkość firmy
Druga strona incydentu to dane osobowe. Kto wysyła faktury, prowadzi kadry, umawia pacjentów albo sprzedaje w internecie, jest administratorem danych. Od stwierdzenia naruszenia ma 72 godziny na zgłoszenie go do Urzędu Ochrony Danych Osobowych, chyba że jest mało prawdopodobne, by powodowało ono ryzyko dla ludzi (art. 33 RODO). Gdy ryzyko jest wysokie, trzeba zawiadomić także same osoby, których dane dotyczą (art. 34).
W 2024 roku UODO dostał 14 842 zgłoszenia naruszeń. W czerwcu 2026 roku prezes urzędu mówił już o około 22 tysiącach zgłoszeń za 2025 rok. Kary bywają rekordowe: nałożone w 2025 roku przekroczyły łącznie 64 mln zł (nie wszystkie są prawomocne), z czego większość przypadła na Pocztę Polską i ING. Ale z oficjalnego sprawozdania za 2024 rok wynika coś, co powinno zainteresować każdego przedsiębiorcę. Wśród 22 ukaranych podmiotów prywatnych 9 to przedsiębiorcy będący osobami fizycznymi lub wspólnikami spółek cywilnych.
Przykłady są bardzo zwyczajne. Kancelaria podatkowa zapłaciła 11 594 zł, bo ktoś przejął skrzynkę e-mail pracownika z danymi 111 osób, w tym dzieci zgłoszonych do ubezpieczenia zdrowotnego. Firma nie miała analizy ryzyka i nie testowała zabezpieczeń. Tłumaczyła, że nie ma dowodu wycieku. UODO odpowiedział, że brak dowodu nie oznacza, że do naruszenia nie doszło (DKN.5131.34.2023, komunikat z lipca 2026 roku). Właściciel kliniki stomatologicznej dostał karę 85 588 zł za to, że nie zawiadomił pacjentów o naruszeniu, choć urząd mu to nakazał. Naczelny Sąd Administracyjny oddalił jego skargę kasacyjną w listopadzie 2025 roku. Placówka medyczna, w której ransomware zaszyfrował dane około 30 tysięcy pacjentów, zapłaciła 40 000 zł, m.in. za brak analizy ryzyka i niezawiadomienie pacjentów.
Kara to jedno. Osoby, których dane wyciekły, mogą też żądać odszkodowania i zadośćuczynienia (art. 82 RODO). Trybunał Sprawiedliwości UE orzekł w grudniu 2023 roku (C-340/21), że sam atak hakerski nie dowodzi jeszcze, że zabezpieczenia były złe. Ale to administrator musi udowodnić, że były odpowiednie. Szkodą może być nawet uzasadniona obawa, że dane zostaną wykorzystane. Polskie sądy zasądzają w takich sprawach na razie niewielkie kwoty, zwykle od 1 000 do kilku tysięcy złotych na osobę, przy żądaniach rzędu 20–30 tys. zł. Przy wycieku danych kilkuset klientów nawet małe kwoty szybko się sumują, a do nich dochodzą koszty prawników.
Za dane odpowiadają też firmy, które przetwarzają je dla innych: biura rachunkowe, software house'y, firmy hostingowe. Najlepiej pokazuje to sprawa spółki informatycznej, która testowała system na prawdziwych, niezanonimizowanych danych klientów swojego zleceniodawcy. Zleceniodawca dostał karę 4,9 mln zł, a sam podwykonawca IT 250 tys. zł. W maju 2026 roku Wojewódzki Sąd Administracyjny w Warszawie nieprawomocnie oddalił skargi obu spółek.
Co płaci polisa cyber
Ubezpieczenie cyber składa się zwykle z trzech części.
Pomoc po incydencie. Infolinia czynna całą dobę, informatycy śledczy, którzy ustalają, co się stało, prawnik, który ocenia, czy trzeba zgłosić naruszenie do UODO, i specjaliści od komunikacji. Dla małej firmy to często najcenniejsza część polisy, bo w pierwszych godzinach po ataku mało kto wie, co robić. W części polis ta pomoc ma osobny limit i nie pomniejsza głównej sumy ubezpieczenia.
Szkody własne firmy. Odtworzenie danych i systemów, utracony zysk z przestoju, czasem okup. Według jednego z dużych ubezpieczycieli przestój i utracone przychody mogą stanowić 40–60 proc. kosztów typowego incydentu w małej firmie. Polisa płaci za przestój dopiero po okresie oczekiwania, zwykle od kilku do kilkudziesięciu godzin, np. 12, a utracony zysk tylko przez określony czas, np. 180 dni. Okup, jeśli w ogóle jest objęty, ubezpieczyciel płaci wyłącznie za swoją wcześniejszą zgodą.
Odpowiedzialność wobec innych. Roszczenia klientów i kontrahentów po wycieku danych lub zainfekowaniu ich systemów, koszty postępowania przed UODO, czasem same kary. W polskich warunkach ubezpieczenia kary pokrywają je tylko „w zakresie prawnie dopuszczalnym”. To ostrożna formuła, bo w Polsce nie rozstrzygnięto, czy karę administracyjną za naruszenie RODO w ogóle można ubezpieczyć. Nie jest nam znane ani orzeczenie sądu, ani oficjalne stanowisko UODO czy KNF w tej sprawie.
Największa luka
Tu wracamy do faktury z Kalisza. W sierpniu 2026 roku w kwartalniku Polskiej Izby Ubezpieczeń „Wiadomości Ubezpieczeniowe” ukazała się analiza produktów cyber krajowych ubezpieczycieli. Autorzy przeanalizowali warunki pięciu towarzystw i doszli do wniosku, który każdy przedsiębiorca powinien przeczytać dwa razy: „W żadnym z analizowanych OWU ochrona nie obejmuje strat finansowych wynikających wyłącznie z manipulacji socjotechnicznej, jeżeli nie doszło jednocześnie do naruszenia systemów IT lub danych”.
Mówiąc prościej: jeśli przestępca nie włamał się do twojej skrzynki, tylko napisał z podobnego adresu, a pracownik uwierzył i zrobił przelew, typowa polisa cyber tego nie pokryje. Phishing autorzy nazywają wprost „największą luką w ochronie ubezpieczeniowej”.
Są wyjątki. Na rynku działają produkty z osobnym modułem obejmującym oszustwa przy przelewach, w tym podmianę numeru rachunku. Warunek bywa jednak taki, że firma musiała potwierdzić nowy numer inną drogą niż ta, którą przyszła prośba o zmianę, np. telefonicznie pod znany wcześniej numer. Kto tego nie zrobił, nie dostanie odszkodowania. Paradoksalnie ten sam telefon, którego wymaga ubezpieczyciel, w większości przypadków zatrzymałby oszustwo.
Widzieliśmy to w naszej agencji. Firma zapłaciła fakturę stałego dostawcy na numer konta podmieniony w mailu. Miała polisę, która w nazwie obiecywała ochronę przed zagrożeniami w sieci, i była pewna, że to wystarczy. Nie wystarczyło. Nikt nie włamał się do jej systemów, pracownik sam zlecił przelew, a takiej sytuacji warunki nie obejmowały.
Warunki, na których się przegrywa
Polisa cyber jest w Polsce rzadkością. Według szacunków ubezpieczycieli i brokerów ma ją 1–2 proc. firm. Ci, którzy ją mają, często nie czytają warunków, od których zależy wypłata. W warunkach, które przeczytałem, powtarzają się te same punkty.
Kopie zapasowe. Jeden z ubezpieczycieli wymaga zapory sieciowej, programu antywirusowego klasy biznesowej i kopii danych co najmniej raz na 7 dni. Bez nich nie odpowiada za szkody, które się z tym wiążą. Inny nie płaci za szkody własne firmy wynikające z braku procedur tworzenia kopii albo z ich nieprzestrzegania.
Laptopy i telefony. Zgubiony lub skradziony laptop, telefon czy pendrive bez hasła lub zabezpieczenia biometrycznego to w części polis szkoda wyłączona. UODO patrzy na to podobnie. Wójt gminy, której pracownikowi ukradziono z domu służbowy laptop zabezpieczony tylko hasłem, dostał 8 000 zł kary, bo dysk nie był zaszyfrowany. Laptop się odnalazł i od kradzieży nikt go nie włączał. Kara została.
Dwuskładnikowe logowanie. Przy wycenie ubezpieczyciele pytają o nie coraz częściej, zwłaszcza przy dostępie zdalnym i kontach administratorów. Brak może skończyć się odmową zawarcia umowy, wyższą składką albo dodatkowym warunkiem w polisie. Po lekturze raportu CERT trudno się dziwić.
Awaria, której firma nie kontroluje. Przerwa w dostawie prądu czy internetu albo awaria infrastruktury, nad którą firma nie ma kontroli, są w polisach cyber zwykle wyłączone. Przestój po ataku na dostawcę usług IT bywa objęty, ale zwykle z niższym limitem i tylko wtedy, gdy polisa to przewiduje.
Czas. Szkodę trzeba zgłosić szybko, w niektórych warunkach w ciągu 7 dni od dowiedzenia się o niej. Część dotycząca odpowiedzialności cywilnej działa zwykle na zasadzie claims made, czyli liczy się moment zgłoszenia roszczenia. Zdarzenia znane przed zawarciem umowy są wyłączone.
Cyber to nie to samo co OC zawodowe
Programiści i firmy IT często myślą, że skoro mają OC zawodowe, są chronieni także przed atakiem. Tak nie jest. OC zawodowe płaci za błąd w usłudze dla klienta, np. za wadliwy kod, który spowodował jego stratę. Nie płaci za odtworzenie własnych danych, przestój własnej firmy ani okup. Z kolei polisa cyber zwykle wyłącza odpowiedzialność za usługi profesjonalne i zobowiązania z umów. To dwa różne produkty i u wielu firm potrzebne są oba.
Dobrze pokazuje to inna sprawa z naszej praktyki. U klienta firmy programistycznej doszło do wycieku danych, a klient zażądał od niej odszkodowania. Pierwsze pytanie nie brzmiało „ile”, tylko „z której polisy”. Jeśli wyciek wynika z błędu w wykonanej usłudze, na przykład w kodzie albo konfiguracji, to sprawa dla OC zawodowego. Jeśli przestępcy weszli do systemów klienta przez zainfekowany komputer samego wykonawcy, potrzebna jest polisa cyber z odpowiedzialnością za bezpieczeństwo sieci. Najgorzej, gdy firma ma tylko jedną z nich i okazuje się, że to ta druga.
Podobnie jest z „ochroną cyber” dodawaną do pakietów dla małych firm. W warunkach jednego z popularnych pakietów (wersja z 2021 roku) pomoc przy odzyskaniu danych ma limit 2 000 zł, zwrot nieautoryzowanej transakcji 3 000 zł, a pomoc prawnika 10 000 zł. To przydatny dodatek, ale nie ubezpieczenie cyber.
Od kwietnia 2026 roku dochodzi jeszcze jeden powód, dla którego mniejsze firmy będą o tym rozmawiać. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obejmuje głównie średnie i duże firmy z wybranych sektorów. Nakłada jednak na nie obowiązek dbania o bezpieczeństwo łańcucha dostaw usług i produktów informatycznych. W praktyce oznacza to ankiety bezpieczeństwa, audyty i zapisy w umowach, którymi duzi klienci obejmują swoich małych dostawców. Zdarza się, że pojawia się w nich także wymóg posiadania ubezpieczenia.
Ile to kosztuje
Ubezpieczyciele nie publikują cenników cyber dla małych firm. Jeden z największych z nich szacował w sierpniu 2026 roku koszt polisy dla małej lub średniej firmy na 1,5–3 tys. zł rocznie. Brokerzy podają, że najtańsze warianty dla mikrofirm zaczynają się od kilkuset złotych, a przy przychodzie do kilku milionów złotych składka mieści się zwykle w przedziale 1,5–4 tys. zł. Cena zależy od branży, przychodu, liczby przetwarzanych danych i od odpowiedzi na pytania o zabezpieczenia.
Pięć pytań przed podpisaniem
- Czy polisa obejmuje przelew wyłudzony podstępem, bez włamania do systemów? Jeśli tak, z jakim limitem i pod jakim warunkiem weryfikacji?
- Jakie zabezpieczenia muszę mieć, żeby polisa wypłaciła? Kopie zapasowe, antywirus, szyfrowanie laptopów, dwuskładnikowe logowanie. Czy dziś je mam?
- Po ilu godzinach przestoju zaczyna się ochrona i przez ile dni polisa płaci utracony zysk?
- Czy polisa pokrywa koszty postępowania przed UODO i roszczenia osób, których dane wyciekły? A kary w zakresie, w jakim prawo pozwala je ubezpieczyć?
- Czy moje OC zawodowe i polisa cyber się uzupełniają, czy zostawiają lukę pomiędzy?
Większość małych firm nie padnie ofiarą hakerów z filmu. Padnie ofiarą maila, który wygląda jak setka poprzednich. Dobra polisa cyber pomoże po ataku, zapłaci za informatyków, prawnika i przestój. Ale przed fakturą z podmienionym numerem najlepiej chroni prosta zasada, którą warto wpisać do procedur jeszcze dziś: każdą zmianę numeru konta potwierdzamy telefonicznie, pod numer, który znamy od lat.