Cyberprzestępczość stała się usługą. Ktoś, kto nie umie programować, może dziś zlecić atak, tak jak zamawia się reklamę czy transport. Specjaliści nazywają to modelem "as a service": ransomware, phishing i ataki DDoS są oferowane jak produkty z cennikiem, wsparciem i opiniami klientów. Dla firm oznacza to jedno: potencjalnych napastników jest znacznie więcej niż kiedyś. 

Jest też dobra wiadomość. Ta sama wiedza może pracować po Twojej stronie. Etyczni hakerzy do wynajęcia, czyli wyspecjalizowani testerzy bezpieczeństwa, na Twoje zlecenie i za Twoją zgodą atakują Twoje systemy, żeby znaleźć słabe punkty, zanim zrobią to przestępcy. 

Spis treści 

1. Czym są "hakerzy do wynajęcia" i dlaczego to problem  

2. Kto zamawia ataki i po co  

3. Skutki dla firm i dla samych przestępców  

4. Kim są etyczni hakerzy i czym jest test penetracyjny  

5. Pentest, skan podatności, red team i bug bounty – różnice  

6. Rodzaje testów penetracyjnych  

7. Jak wygląda pentest krok po kroku  

8. Co powinien zawierać raport  

9. Wymogi prawne: RODO, NIS2, DORA  

10. Ile kosztuje test penetracyjny  

11. Jak wybrać wykonawcę  

12. Jak często testować  

13. FAQ  

1. Czym są "hakerzy do wynajęcia" i dlaczego to problem 

Hakerzy do wynajęcia to przestępcy, którzy za opłatą wykonują ataki na zlecenie. Do najczęstszych usług należą: 

ransomware jako usługa (RaaS) – szyfrowanie danych i wymuszanie okupu,  

malware jako usługa (MaaS) – złośliwe oprogramowanie na zamówienie,  

phishing jako usługa (PhaaS) – gotowe kampanie wyłudzające dane,  

DDoS na zlecenie – zalewanie serwisu ruchem, aż przestanie działać.  

Takie oferty krążą w ukrytych częściach sieci, ale także w komunikatorach szyfrowanych. Zamawiający nie musi rozumieć techniki ataku. Wystarczy mu cel i płatność, zwykle w kryptowalutach. Anonimowość jest jednak mniejsza, niż się wydaje: analiza transakcji w blockchainie wielokrotnie pozwalała organom ścigania zidentyfikować sprawców. 

Wniosek dla firmy: bariera wejścia dla atakującego spadła, więc nie ma już "zbyt małych" celów. 

2. Kto zamawia ataki i po co 

Grupy powiązane z państwami – szpiegostwo, sabotaż, destabilizacja przeciwników. Dotyczy to zwłaszcza sektora energii, administracji i dostawców usług krytycznych.  

Konkurencja i podmioty komercyjne – kradzież tajemnic handlowych, receptur i dokumentacji, albo wyłączenie strony konkurenta.  

Osoby prywatne – zemsta, wymuszenie, chęć szybkiego zysku, np. były pracownik z żalem do firmy.  

Zlecanie takich działań jest w Polsce przestępstwem. Dotyczą go m.in. przepisy Kodeksu karnego o bezprawnym uzyskaniu dostępu do systemu (art. 267), niszczeniu danych (art. 268a) i zakłócaniu pracy systemu (art. 269a), a także o wytwarzaniu narzędzi do takich czynów (art. 269b). Zleceniodawca odpowiada tak samo poważnie jak wykonawca. 

3. Skutki dla firm i dla samych przestępców 

Dla firm: 

przestój i utrata przychodów,  

koszty reakcji na incydent, odtwarzania danych i ekspertyz,  

kary regulatorów (np. z tytułu RODO),  

utrata zaufania klientów i partnerów, która bywa droższa niż sam incydent.  

Duża część organizacji doświadcza więcej niż jednego naruszenia danych, a pierwsza luka rzadko jest ostatnią. 

Dla przestępców: ryzyko jest realne. W grudniu 2022 r. FBI przejęło około 48 domen oferujących ataki DDoS na zlecenie, a osoby za nimi stojące aresztowano. W styczniu 2023 r. międzynarodowa operacja zlikwidowała infrastrukturę grupy Hive, która dostarczała ransomware swoim afiliantom. Przestępczy rynek jest kruchy, ale zanim organy ścigania zareagują, ofiary i tak ponoszą straty. Dlatego nie warto na to czekać. 

4. Kim są etyczni hakerzy i czym jest test penetracyjny 

Etyczny haker (ang. ethical hacker, pentester) to specjalista od bezpieczeństwa, który stosuje techniki atakujących, ale wyłącznie za pisemną zgodą właściciela systemu, w ustalonym zakresie i w celu poprawy ochrony. To fundamentalna różnica: ta sama czynność jest przestępstwem bez zgody i legalną usługą ze zgodą. 

Test penetracyjny (pentest) to kontrolowana symulacja ataku. Testerzy sprawdzają m.in.: 

zewnętrzną infrastrukturę dostępną z internetu,  

sieć wewnętrzną,  

aplikacje webowe i mobilne oraz interfejsy API,  

segmentację sieci i konfigurację usług katalogowych (np. Active Directory),  

scenariusze socjotechniczne, w tym phishing,  

odporność na ransomware i inne złośliwe oprogramowanie.  

Efektem nie jest tylko lista błędów. Dostajesz dowód, co realnie dałoby się zrobić, i konkretne zalecenia naprawcze. 

5. Pentest, skan podatności, red team i bug bounty – różnice 

Usługa	Na czym polega	Kiedy ma sens
Skan podatności	Automatyczne wyszukiwanie znanych luk	Regularny przegląd, tani i szybki, ale bez weryfikacji, czy luka jest wykorzystywalna
Test penetracyjny	Ręczna weryfikacja i próba wykorzystania luk przez eksperta	Gdy chcesz wiedzieć, co naprawdę grozi
Red teaming	Długotrwała, ukierunkowana symulacja prawdziwego przeciwnika, często bez wiedzy zespołu obrony	Dojrzałe organizacje testujące też zdolność wykrywania i reakcji
Bug bounty	Otwarty program nagród za zgłaszanie błędów	Firmy z dojrzałym procesem obsługi zgłoszeń

Wiele firm myli skan podatności z pentestem. Skaner znajdzie brakującą łatkę, ale nie połączy trzech drobnych nieprawidłowości w jedną ścieżkę prowadzącą do przejęcia domeny. Robi to dopiero człowiek. 

6. Rodzaje testów penetracyjnych 

Według poziomu wiedzy testera: 

black box – tester działa jak obcy atakujący, bez informacji o systemie,  

grey box – ma ograniczone informacje i konto o niskich uprawnieniach,  

white box – ma pełny dostęp do dokumentacji i często kodu.  

Według obszaru: 

testy zewnętrzne i wewnętrzne,  

testy aplikacji webowych i mobilnych oraz API,  

testy infrastruktury chmurowej,  

testy sieci bezprzewodowych,  

testy socjotechniczne,  

testy fizyczne (np. próba wejścia do biura).  

7. Jak wygląda pentest krok po kroku 

1. Ustalenie zakresu i zasad (rules of engagement). Co wolno testować, kiedy, jakimi metodami i kto jest kontaktem awaryjnym. Podpisujecie umowę i zgodę na testy.  

2. Rozpoznanie. Zbieranie informacji o celu, w tym identyfikacja usług i otwartych portów.  

3. Wykrywanie podatności. Skany połączone z ręczną analizą.  

4. Weryfikacja i wykorzystanie luk. Dowód, że podatność da się wykorzystać (proof of concept), z zachowaniem bezpieczeństwa danych i ciągłości działania.  

5. Eskalacja uprawnień i ruch boczny. Sprawdzenie, jak daleko może zajść atakujący po pierwszym wejściu.  

6. Raportowanie. Opis ustaleń, ocena ryzyka i rekomendacje.  

7. Omówienie wyników i retest. Po wdrożeniu poprawek warto zweryfikować, czy luki rzeczywiście zniknęły.  

Profesjonalne zespoły opierają się na uznanych metodykach, takich jak OWASP (aplikacje webowe), PTES, OSSTMM czy zalecenia NIST SP 800-115. 

8. Co powinien zawierać raport 

Dobry raport ma dwie warstwy: 

streszczenie zarządcze – zrozumiałe dla zarządu, z oceną ogólnego ryzyka biznesowego,  

część techniczna – każde znalezisko z opisem, priorytetem, krokami do odtworzenia i konkretną rekomendacją naprawy.  

Typowe ustalenia to brak segmentacji sieci, słabe konfiguracje Active Directory, brakujące poprawki bezpieczeństwa, słabe hasła i nadmierne uprawnienia kont. 

9. Wymogi prawne: RODO, NIS2, DORA 

Testy bezpieczeństwa coraz częściej są obowiązkiem, a nie dobrą praktyką: 

RODO (art. 32) wymaga regularnego testowania i oceny skuteczności środków bezpieczeństwa.  

NIS2 rozszerza obowiązki w zakresie zarządzania ryzykiem cyberbezpieczeństwa na szerokie grono podmiotów ważnych i kluczowych. W Polsce wdrożenie odbywa się przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, więc sprawdź aktualny stan przepisów i swój status.  

DORA obowiązuje sektor finansowy i przewiduje m.in. zaawansowane testy odporności operacyjnej.  

To ogólny przegląd, a nie porada prawna. O zakresie obowiązków Twojej firmy powinien zdecydować prawnik lub inspektor ochrony danych. 

10. Ile kosztuje test penetracyjny 

Nie ma stałego cennika. Na cenę wpływają: 

liczba testowanych adresów, aplikacji lub endpointów,  

złożoność systemu i wybrana metodyka (black/grey/white box),  

czas pracy testerów, zwykle liczony w osobodniach,  

zakres usług dodatkowych: retest, socjotechnika, warsztat z zespołem IT,  

wymogi terminowe i certyfikacyjne.  

Skuteczne porównanie ofert wymaga sprawdzenia, czy wykonawcy wyceniają ten sam zakres. Tańsza oferta często oznacza w praktyce skan podatności opakowany jako pentest. Koszt testu warto zestawić z kosztem jednego incydentu: przestojem, odtwarzaniem danych i karami. 

11. Jak wybrać wykonawcę 

Zwróć uwagę na: 

kwalifikacje zespołu – certyfikaty takie jak OSCP, OSCE, GPEN, CREST, praktyczne doświadczenie w Twojej branży,  

metodykę i przykładowy, zanonimizowany raport,  

umowę z klauzulą poufności i jasnymi zasadami postępowania z danymi,  

ubezpieczenie odpowiedzialności wykonawcy,  

jasny zakres i harmonogram oraz plan komunikacji na wypadek wykrycia poważnej luki w trakcie testu,  

możliwość retestu po poprawkach.  

Czerwone flagi: obietnica "100% bezpieczeństwa", brak umowy, brak raportu, odmowa podania referencji i propozycja testu bez pisemnej zgody. 

12. Jak często testować 

Jednorazowy test to zdjęcie stanu na dziś. Najlepiej testować: 

co najmniej raz w roku,  

po większych zmianach w infrastrukturze lub aplikacji,  

przed wdrożeniem nowego systemu,  

po fuzjach i przejęciach,  

po poważnym incydencie.  

Pomiędzy testami warto prowadzić skany podatności i zarządzanie poprawkami. 

Podsumowanie 

Rynek usług przestępczych będzie rósł, a próg wejścia dla atakujących nadal spadał. Najskuteczniejszą odpowiedzią jest zrobienie tego samego, tylko legalnie i wcześniej. Etyczni hakerzy do wynajęcia pokażą, gdzie Twoja firma jest naprawdę podatna, zanim zobaczy to ktoś z gorszymi intencjami. Dotyczy to restauracji, sklepu internetowego, banku i korporacji.