7 września 2026 roku miałem przyjemność wystąpić w Warszawie podczas debaty Urzędu Zamówień Publicznych pt. „Obronność i bezpieczeństwo w zamówieniach publicznych”. W bloku poświęconym zagrożeniom cyfrowym wygłosiłem wystąpienie „Cyberpułapki w zamówieniach publicznych” – o tym, jak phishing, ransomware, Business Email Compromise, deepfake i nieostrożne użycie AI realnie uderzają w procesy przetargowe.
To nie była teoretyczna prelekcja „dla IT”. Rozmawialiśmy o zagrożeniach, które trafiają bezpośrednio do pracowników zamówień publicznych, księgowości i kierownictwa urzędów – czyli osób, które codziennie pracują na danych o ogromnej wartości dla cyberprzestępców.
Oficjalne informacje o wydarzeniu: Debata „Obronność i bezpieczeństwo w zamówieniach publicznych” – UZP.
Dlaczego zamówienia publiczne są atrakcyjnym celem ataków?
Urzędy i jednostki sektora finansów publicznych są celem nie dlatego, że „mają słabe hasła”. Są celem dlatego, że w jednym miejscu zbiegają się:
- dane przetargowe, oferty i informacje o cenach,
- kontakty do setek wykonawców oraz tajemnice przedsiębiorstwa oferentów,
- presja terminów – a pośpiech to jeden z najlepszych sprzymierzeńców atakującego,
- publiczna widoczność urzędu (BIP, rejestry, komunikaty), która ułatwia profilowanie pod spear phishing.
W zamówieniach publicznych jeden ludzki błąd może otworzyć drogę do skrzynki, dokumentów, a czasem całego urzędu. Dlatego cyberbezpieczeństwo w tym obszarze nie jest dodatkiem do procedury zakupowej – jest jej częścią.
O czym mówiłem na debacie UZP?
W wystąpieniu skupiłem się na zagrożeniach, które najczęściej widzę w praktyce pracy z administracją i organizacjami przetwarzającymi wrażliwe dane.
1. Phishing, spear phishing i ataki omijające MFA (AiTM)
Najtańszy i nadal najskuteczniejszy wektor to socjotechnika. W urzędach sprawdza się motyw „pilnych dokumentów przetargowych”, „odwołania” albo komunikatu rzekomo od działu IT. Link prowadzi do fałszywej strony logowania.
Szczególnie groźny jest model Adversary-in-the-Middle (AiTM): fałszywa strona działa jak proxy, przekazuje dane logowania w czasie rzeczywistym, wywołuje prośbę o kod SMS lub akceptację w aplikacji MFA, a następnie przechwytuje token sesyjny. Urzędnik ma wrażenie, że zalogował się poprawnie – tymczasem sprawca przejmuje dostęp do konta.
Po przejęciu skrzynki przestępcy często:
- eksfiltrują pocztę i załączniki (oferty, wyceny, korespondencję z wykonawcami),
- zakładają złośliwe reguły przekierowania, żeby długo działać niezauważeni.
Wniosek praktyczny: samo MFA oparte na SMS lub push nie wystarczy. W ochronie kont urzędników warto iść w kierunku silniejszych metod uwierzytelniania, odpornych na phishing – w tym sprzętowych kluczy zabezpieczeń.
2. Ransomware – paraliż urzędu i odpowiedzialność
Od października 2025 roku obserwujemy wzrost ataków na jednostki samorządu terytorialnego. Schemat jest powtarzalny: mail z załącznikiem, otwarcie zainfekowanego pliku, ruch boczny w sieci, a następnie szyfrowanie stacji i serwerów „w jednym momencie”.
Skutek? Zatrzymanie obsługi mieszkańców, ryzyko wycieku danych i poważne konsekwencje organizacyjne. Płatność okupu nie daje gwarancji odzyskania danych.
Kluczowe sygnały ostrzegawcze, o których mówiłem uczestnikom:
- ryzykowne rozszerzenia: .exe, .scr, .bat, .js, .vbs, .iso, .lnk,
- makra w plikach .docm / .xlsm,
- archiwa .zip / .rar z hasłem podanym w tej samej wiadomości – klasyczny wektor ransomware.
Zasada prosta: nieznane rozszerzenie albo archiwum z hasłem w mailu = nie otwieraj, przekaż do IT.
3. Pendrive w dokumentacji przetargowej
Nośnik USB „dorzucony” do dokumentów lub znaleziony „przypadkiem” to nadal realny wektor. Może zawierać malware, keylogger albo urządzenie typu Rubber Ducky. Akcja „tylko zobaczę, co tam jest” bywa najdroższą decyzją dnia.
4. Business Email Compromise (BEC) przy płatnościach przetargowych
W BEC sprawcy przejmują lub naśladują skrzynkę wykonawcy albo zamawiającego, monitorują korespondencję i w kluczowym momencie wstrzykują mail z nowym numerem konta. Przy wysokich kwotach zamówień publicznych skutki bywają natychmiastowe i trudne do odwrócenia.
Obrona, którą warto wdrożyć od razu:
- weryfikacja telefoniczna każdej zmiany numeru konta,
- numery rachunków wpisane w umowach,
- zasada ograniczonego zaufania: nietypowe polecenie finansowe zawsze drugim kanałem.
5. Deepfake i vishing – autorytet, którego „słyszysz”
Deepfake to syntetyczny obraz lub głos generowany przez AI. W urzędzie ryzyko dotyczy m.in. fałszywych poleceń finansowych „od przełożonego”, manipulacji decyzjami i dezinformacji wobec mieszkańców.
Obrona nie jest technologiczna w pierwszym kroku – jest proceduralna: weryfikacja innym kanałem i hasła bezpieczeństwa w organizacji.
6. Publiczne narzędzia AI a tajemnica przedsiębiorstwa
ChatGPT, Copilot czy Gemini coraz częściej pojawiają się w codziennej pracy administracji – do streszczeń, szkiców pism i tłumaczeń. Problem zaczyna się wtedy, gdy do publicznego modelu trafiają oferty, wyceny albo dane prawnie chronione.
Wklejenie oferty przetargowej do publicznego AI to potencjalny wyciek tajemnicy przedsiębiorstwa (m.in. w kontekście art. 11 ust. 2 ustawy o zwalczaniu nieuczciwej konkurencji oraz art. 18 ust. 3 Pzp). Do tego dochodzą halucynacje modeli: nieistniejące przepisy, zmyślone sygnatury, błędne interpretacje.
AI może być szkicem. Nie jest źródłem prawdy.
Co warto wdrożyć w urzędzie – perspektywa decydenta
Na zakończenie wystąpienia podałem konkretną checklistę dla kierownictwa:
- Polityka dwukanałowej weryfikacji każdej zmiany konta i płatności.
- Procedura incydentu – kto decyduje, kto informuje, całodobowy kontakt do IT.
- Szkolenia z cyberbezpieczeństwa co roku – nie tylko dla IT, ale dla zamówień publicznych, księgowości i całej administracji.
- Backup i test odtwarzania minimum raz w roku, z raportem dla kierownictwa.
- Polityka AI – tylko zatwierdzone narzędzia; zakaz wklejania danych wrażliwych i ofert bez anonimizacji.
- Współpraca z CERT – zgłaszanie phishingu i śledzenie alertów branżowych.
Jeśli coś pójdzie nie tak: nie panikuj i nie ukrywaj. Zgłoś do IT, zapisz nadawcę, treść, godzinę i to, co kliknąłeś. Przy podejrzeniu ransomware – odłącz sieć, nie wyłączaj komputera. Phishing zgłaszaj także na incydent.cert.pl.
Dlaczego ta debata jest ważna dla zamawiających?
Debata UZP odbyła się w ramach Akademii Zakupów Publicznych i projektu „Wsparcie beneficjentów polityki spójności w obszarze zamówień publicznych”, współfinansowanego ze środków UE. Uczestnikami byli przedstawiciele administracji publicznej oraz podległych jej jednostek.
To ważny sygnał: bezpieczeństwo zakupów publicznych to już nie tylko kontrola podwykonawców i zgodność z przepisami. To także odporność ludzi i procesów na phishing, oszustwa płatnicze i wycieki danych. Obok wątków obronności, ochrony ludności czy wpływu NIS2/KSC na procesy zakupowe, warstwa cyber stała się naturalną częścią rozmowy o zamówieniach.
Szkolenia z cyberbezpieczeństwa dla JST i administracji
Na co dzień pomagam urzędom, firmom i instytucjom budować praktyczną odporność pracowników – od rozpoznawania phishingu, przez procedury przy incydencie, po szkolenia dla kadry zarządzającej w kontekście świadomości i wymogów regulacyjnych.
Jeśli po tej debacie chcesz przełożyć wnioski na konkretne działania w swojej jednostce:
- Szkolenia cyberbezpieczeństwo dla administracji publicznej / JST
- Security Awareness dla firm
- Szkolenia NIS2 / KSC
Kontakt: +48 609 151 116 | bartosz.polak@szkoleniacyberbezpieczenstwo.pl
Najczęściej zadawane pytania (FAQ)
Czy cyberbezpieczeństwo dotyczy tylko działu IT w urzędzie?
Nie. W zamówieniach publicznych to właśnie pracownicy merytoryczni, księgowość i kierownictwo najczęściej stają się celem spear phishingu, BEC i deepfake’ów. IT wdraża techniczne zabezpieczenia, ale skuteczność zależy od świadomości całego urzędu.
Jakie zagrożenie jest dziś najgroźniejsze w procesach przetargowych?
Najczęściej łączy się kilka wektorów: spear phishing prowadzący do przejęcia skrzynki, a następnie BEC przy zmianie numeru konta albo wyciek danych ofertowych. Ransomware dodatkowo paraliżuje pracę całej jednostki.
Czy MFA w pełni chroni przed phishingiem?
Nie zawsze. Klasyczne MFA (SMS, push) może zostać ominięte w atakach AiTM. Warto rozważyć metody odporniejsze na phishing, w tym klucze sprzętowe, oraz procedury weryfikacji poza mailem.
Czy wolno wklejać oferty przetargowe do ChatGPT?
Nie – jeśli zawierają dane wrażliwe lub tajemnicę przedsiębiorstwa. Publiczne modele AI nie są bezpiecznym miejscem na dokumenty przetargowe. Potrzebna jest polityka AI i zatwierdzone narzędzia.
Jak często szkolić pracowników zamówień publicznych z cyberbezpieczeństwa?
Minimum raz w roku, a przy dużej rotacji lub rosnącej liczbie incydentów – częściej. Szkolenie powinno obejmować realne scenariusze: phishing, ransomware, BEC, USB, deepfake i odpowiedzialne korzystanie z AI.
Podsumowanie: udział w debacie UZP „Obronność i bezpieczeństwo w zamówieniach publicznych” był dla mnie potwierdzeniem tego, co od lat powtarzam na szkoleniach – w zamówieniach publicznych cyberpułapki nie są abstrakcją. Są częścią codziennej pracy zamawiających. Im szybciej urzędy połączą procedury zakupowe z higieną cyfrową i szkoleniami, tym trudniej będzie przestępcom wykorzystać pośpiech, autorytet i zaufanie.
Bartosz Polak – ekspert ds. cyberbezpieczeństwa, szkoleniacyberbezpieczenstwo.pl
