W poniedziałek rano dzwoni klient i zadaje pytanie, którego Grzegorz nigdy wcześniej nie słyszał.
„Panie Grzegorzu, a to na pewno pan do mnie wczoraj pisał?"
Grzegorz do nikogo w niedzielę nie pisał. Był na działce, kosił trawę, przy okazji zepsuł kosiarkę i cały dzień zeszedł mu na dzwonieniu po serwisach. Klient pokazał mu potem wiadomość. Zdjęcie profilowe się zgadzało — to samo, które Grzegorz ma na LinkedIn od czterech lat. Imię i nazwisko się zgadzało. Ton był może odrobinę zbyt uprzejmy, ale kto by to zauważył.
I teraz najważniejsze, drogi czytelniku. Klient nie zadzwonił, bo coś wykrył. Zadzwonił, bo akurat miał chwilę i akurat mu się nie spieszyło.
Gdyby się spieszyło, nie zadzwoniłby wcale.
Nadzór napisał list. Nie do Ciebie
Dwudziestego drugiego lipca 2026 Urząd Komisji Nadzoru Finansowego opublikował razem z zespołem CSIRT KNF dokument o nazwie „Rekomendacje dla podmiotów rynku finansowego dotyczące wpływu modeli Frontier AI na cyberbezpieczeństwo". Pisze w nim wprost o znaczącym zwiększeniu intensywności i skali wykorzystania zaawansowanych modeli AI przez cyberprzestępców.
Zalecenia idą mniej więcej w tę stronę: przyspieszyć identyfikację i łatanie podatności, zweryfikować zarządzanie ryzykiem dostawców, ograniczyć dostęp do systemów krytycznych i je odizolować, stosować zasadę secure-by-design, opracować plany reagowania na incydenty i przetestować je, przeszkolić zespoły.
Rozsądne. Każdy punkt sensowny.
A teraz przeczytaj tę listę jeszcze raz oczami człowieka, który pracuje sam.
Nie masz systemów krytycznych do odizolowania. Nie masz dostawców ICT do zweryfikowania, chyba że liczyć operatora komórkowego. Nie masz zespołu do przeszkolenia, bo zespół to Ty i telefon. Z całej listy nie ma ani jednej pozycji, którą mógłbyś w poniedziałek wykonać.
Ryzyko dostajesz to samo. Pisma nie dostajesz żadnego.
Bank ma CSIRT, budżet i człowieka, którego jedyną robotą jest czytanie takich dokumentów. Doradca, agent, księgowa z własną działalnością i pośrednik kredytowy mają dokładnie to samo zagrożenie i zero infrastruktury. Nadzór nie jest niczemu winien — on pilnuje instytucji, bo to jest jego zadanie. Po prostu ta połowa rynku, która ma jednoosobową działalność i telefon, wypada poza kadr.
Podszycie zrobiło się tanie, weryfikacja została droga
Mechanizm jest prosty i dlatego niewygodny. Podrobienie tego, jak ktoś wygląda, brzmi i pisze, stało się w ciągu dwóch lat czynnością na kilka minut. Sprawdzenie, czy to naprawdę on, zajmuje tyle samo co dziesięć lat temu — trzeba zadzwonić i zapytać.
Koszt ataku spadł. Koszt weryfikacji stoi w miejscu.
Z takiego rozjazdu zawsze wynika to samo: ciężar przesuwa się na tego, kto ma najmniej narzędzi. Czyli na Twojego klienta, który w niedzielę wieczorem patrzy na wiadomość ze zdjęciem, jakie widuje od czterech lat, i nie ma żadnego sposobu, żeby to rozstrzygnąć.
Tu jest zresztą rzecz, o której mało kto mówi, a która wywraca do góry nogami całą gadkę o tym, że dbanie o wizerunek to próżność. W świecie, w którym podszycie kosztuje grosze, wartość rośnie tam, gdzie jest ciągłość. Twarz, która od lat wygląda tak samo. Sposób pisania, który jest rozpoznawalny. Kanał, którym zawsze się odzywasz. To nie jest marketing. To jest dla klienta jedyny dostępny punkt odniesienia — a jeżeli Twój profil jest pusty albo wisi na nim zdjęcie z wesela sprzed ośmiu lat, nie dałeś mu żadnego.
AISkąd Twój klient wie, że rozmawia z Tobą
A teraz do Ciebie, i to jest pytanie z tych, które lepiej mieć odrobione przed poniedziałkiem. Skąd Twój klient wie, że rozmawia z Tobą?
Nie pytam, czy Ci ufa. Pytam o procedurę. Jaki ma sposób, konkretny i opisany, na sprawdzenie, że wiadomość z Twoim nazwiskiem i Twoim zdjęciem jest od Ciebie.
Jeżeli odpowiedź brzmi „no przecież mnie zna" — to jest dokładnie ta odpowiedź, którą mieli wszyscy, zanim ktoś do nich zadzwonił z takim pytaniem jak do Grzegorza.
Ja przez lata wysyłałem klientom numer konta SMS-em i byłem przekonany, że jestem ostrożny, bo najpierw dzwoniłem uprzedzić. To nie była ostrożność. To był rytuał, który dawał mnie samemu poczucie porządku i nie dawał drugiej stronie absolutnie żadnej możliwości sprawdzenia czegokolwiek. Zrozumiałem to stanowczo za późno i tylko dlatego, że nic się nie stało.
Trzy zdania do dziesięciu osób, dziś
Nie napiszę Ci, żebyś wdrożył secure-by-design, bo to byłoby śmieszne.
Napiszę coś, co da się zrobić przed obiadem. Wybierz dziesięciu klientów, którzy mają u Ciebie najwięcej do stracenia, i wyślij im trzy zdania: jakim jednym kanałem się z nimi kontaktujesz, czego nigdy od nich nie poprosisz przez ten kanał, i pod jaki numer mają zadzwonić, jeżeli dostaną cokolwiek innego. Numer podaj w tej samej wiadomości.
Potem zajrzyj na swój profil i sprawdź, czy Twoja twarz na zdjęciu to nadal Twoja twarz. To jest ta sama sprawa co powyżej, tylko z drugiej strony — zdjęcie biznesowe, które przestało być Tobą, nie jest już punktem odniesienia dla nikogo.
Zrób te dwie rzeczy w tym tygodniu, a nie po urlopie. Grzegorz miał szczęście, że tamten klient akurat się nie spieszył.
Czego i Tobie życzę.