Bezpieczeństwo sieci IoT w firmie – jak chronić urządzenia?

Nowoczesne urządzenia podłączone do internetu – od kamer monitoringu po sterowniki chłodnicze – ułatwiają codzienne zarządzanie przedsiębiorstwem, ale tworzą też niewidoczne luki w cyfrowej tarczy firmy. W tym artykule wyjaśniamy, dlaczego brak separacji inteligentnego sprzętu od komputerów biurowych stanowi poważne ryzyko oraz jak skutecznie zabezpieczyć firmową infrastrukturę.

Czym jest sprzęt IoT w firmie i dlaczego trafia na celownik?

Internet Rzeczy (ang. Internet of Things – IoT) to pojęcie, które w wielu firmach kojarzy się z technologiczną nowinką, podczas gdy w rzeczywistości funkcjonuje w nich od lat. To wszystkie urządzenia wyposażone w interfejs sieciowy, które zbierają dane, komunikują się ze światem zewnętrznym lub pozwalają na zdalne sterowanie. W małych i średnich przedsiębiorstwach są to najczęściej kamery monitoringu IP, rejestratory wideo, inteligentne termostaty, centrale alarmowe, drukarki sieciowe, czytniki kontroli dostępu, a także wyspecjalizowane sterowniki klimatyzacji, pomp ciepła czy agregatów chłodniczych.

Z perspektywy codziennej pracy te rozwiązania zapewniają wygodę i automatyzację: serwisant może sprawdzić parametry pracy maszyny na odległość, a kierownik obiektu podgląda stan magazynu w aplikacji na telefonie. Niestety, bezpieczeństwo sieci IoT jest przez producentów takiego sprzętu traktowane po macoszemu. Wiele urządzeń IoT bazuje na uproszczonych, rzadko aktualizowanych wersjach oprogramowania, ma wbudowane domyślne hasła serwisowe lub zawiera podatności umożliwiające przejęcie nad nimi kontroli. Gdy urządzenie zostaje wpięte do tej samej sieci, w której pracują komputery księgowości, serwery bazodanowe i systemy ERP, staje się dla intruza otwartą furtką do całego majątku cyfrowego firmy.

Lekcja z Francji: jak sterowniki chłodnicze doprowadziły do milionowych strat

Przekonanie, że cyberataki dotyczą wyłącznie danych finansowych i komputerów biurowych, boleśnie zweryfikował incydent z października 2026 roku, odnotowany we Francji. Ofiarą zorganizowanego ataku padło kilkaset sklepów wielkopowierzchniowych znanych sieci handlowych, w tym Intermarche, Leclerc oraz Super U. Cyberprzestępcy nie wykradli danych osobowych klientów ani nie zablokowali kas fiskalnych. Ich celem stały się przemysłowe systemy sterowania lodówkami i zamrażarkami marki Danfoss.

W wyniku włamania napastnicy zdalnie zmanipulowali temperaturę pracy urządzeń chłodniczych – uruchomili w pętli procedurę odmrażania, wymuszając docelową temperaturę na poziomie aż 50 stopni Celsjusza powyżej zera. Zanim obsługa sklepów i technicy zdołali opanować sytuację, tony głęboko mrożonej żywności uległy zepsuciu, a straty finansowe oszacowano na kilka milionów euro.

Analiza tego zdarzenia obnażyła dwa krytyczne błędy architektoniczne, które powszechnie powtarzają się również w mniejszych przedsiębiorstwach:

1. Podatności w mechanizmach uwierzytelniania: Badacze cyberbezpieczeństwa wskazali na podatność skatalogowaną jako CVE-2025-41451. W sterownikach zidentyfikowano mechanizm logowania oparty na ukrytym haśle administracyjnym, które było generowane automatycznie wyłącznie na podstawie bieżącej daty systemowej. Znając algorytm, każdy mógł bez trudu wyliczyć hasło na dany dzień i uzyskać pełen dostęp administracyjny do interfejsu webowego urządzenia.
2. Bezpośrednie wystawienie na publiczny Internet: Aby umożliwić zewnętrznym serwisantom wygodny podgląd stanu urządzeń, panele kontrolne lodówek zostały podłączone bezpośrednio do sieci publicznej. Za pomocą specjalistycznych wyszukiwarek, takich jak Shodan, badacze zlokalizowali ponad 2000 takich sterowników dostępnych publicznie z poziomu przeglądarki internetowej – w tym urządzenia zlokalizowane nie tylko we Francji, ale również w Polsce. Choć producent opracował odpowiednie łatki korygujące lukę, wielu zarządców infrastruktury po prostu ich nie wdrożyło.

Ten przypadek dobitnie dowodzi, że zaniedbane bezpieczeństwo sieci IoT może przynieść katastrofalne skutki w świecie fizycznym – prowadząc do zniszczenia towaru, przestojów operacyjnych i ogromnych strat materialnych.

Dwa światy w jednej sieci: dlaczego biuro i urządzenia techniczne nie powinny się widzieć?

Aby zrozumieć konieczność izolacji urządzeń technicznych, przyjrzyjmy się dwóm typowym scenariuszom z życia sektora MŚP.

Przykład 1: Zakład przetwórstwa spożywczego i hurtownia

Wyobraźmy sobie lokalny zakład produkcyjny posiadający magazyn chłodniczy i niewielkie zaplecze biurowe z sześcioma komputerami. Do monitorowania komór chłodniczych wykorzystywane są nowoczesne regulatory z kartami sieciowymi, które raportują temperaturę zgodnie z normami sanitarnymi. Całość podłączona jest do jednego, standardowego routera dostarczonego przez operatora telekomunikacyjnego.

Jeżeli sterownik chłodni zostanie przełamany przez błąd w oprogramowaniu lub podatność fabryczną, intruz natychmiast znajduje się wewnątrz firmowej sieci lokalnej. Z tego poziomu ma bezpośredni dostęp do stacji roboczych księgowości, programu magazynowego oraz dysków sieciowych. Co gorsza, scenariusz działa w obie strony: pracownik biurowy, który przypadkowo otworzy zainfekowany załącznik w wiadomości phishingowej, może mimowolnie stać się źródłem infekcji, która sparaliżuje systemy klimatyzacji lub zablokuje sterowniki chłodnicze.

Przykład 2: Firma usługowo-handlowa z systemem kamer IP

Drugi przykład to przedsiębiorstwo handlowe posiadające biuro i plac magazynowy. W celu ochrony mienia zamontowano zestaw ośmiu kamer IP podłączonych do lokalnego switcha. Instalator, chcąc umożliwić właścicielowi podgląd obrazu w smartfonie poza firmą, przekierował porty na routerze brzegowym, pozostawiając domyślne lub proste hasło dostępu.

W takiej sytuacji kamera staje się publicznie widocznym komputerem o słabych zabezpieczeniach. Cyberprzestępcy regularnie skanują przestrzeń adresową w poszukiwaniu takich urządzeń, aby dołączać je do sieci botnetów lub wykorzystywać jako punkt przeskoku (pivot) do dalszej penetracji sieci wewnętrznej. Napastnik, który przejmie kontrolę nad kamerą, może podsłuchiwać ruch w sieci lokalnej, wykradać poświadczenia użytkowników i przygotować grunt pod okupowe zablokowanie serwerów (ransomware).

Jak krok po kroku zadbać o bezpieczeństwo sieci IoT w przedsiębiorstwie?

Zabezpieczenie urządzeń brzegowych i automatyki budynkowej nie wymaga rezygnacji z ich funkcjonalności. Wymaga natomiast wdrożenia odpowiedniej higieny sieciowej i właściwej architektury. Poniższa lista kontrolna pozwala usystematyzować najważniejsze działania ochronne:

• Segmentacja sieci za pomocą sieci VLAN: To absolutny fundament. Inteligentne urządzenia, sterowniki i kamery powinny pracować w wydzielonej podsieci logicznej (VLAN), odseparowanej od komputerów pracowników, serwerów i sieci Wi-Fi dla gości. Jeśli szukasz szerszego kontekstu weryfikacji infrastruktury, sprawdź naszą checklistę bezpieczeństwa sieci firmowej.
• Koniec z bezpośrednim wystawianiem paneli do Internetu: Żaden panel administracyjny sterownika, rejestratora czy drukarki nie powinien być bezpośrednio dostępny pod publicznym adresem IP (poprzez przekierowanie portów na routerze). Zdalny dostęp dla serwisu lub kadry zarządzającej powinien odbywać się wyłącznie przez bezpieczny, szyfrowany tunel VPN z silnym uwierzytelnianiem.
• Wyłączenie protokołów UPnP i zbędnych usług: Wiele urządzeń automatycznie próbuje otworzyć sobie porty na routerze brzegowym za pośrednictwem protokołu UPnP (Universal Plug and Play). Funkcja ta w środowisku firmowym powinna być bezwzględnie zablokowana na firewallu.
• Zmiana fabrycznych poświadczeń i weryfikacja kont: Wszystkie domyślne loginy i hasła nadane przez producenta muszą zostać zmienione przed wdrożeniem sprzętu do eksploatacji. Warto upewnić się, czy w oprogramowaniu nie istnieją ukryte konta serwisowe.
• Rygorystyczna polityka aktualizacji (patch management): Producenci automatyki i urządzeń sieciowych regularnie publikują poprawki eliminujące krytyczne podatności. Aktualizowanie firmware'u powinno być stałym elementem harmonogramu prac technicznych w firmie.
• Reguły zapory sieciowej (Firewall): Podsieć IoT powinna mieć zablokowaną możliwość inicjowania połączeń z urządzeniami w głównej sieci firmowej. Sterownik powinien komunikować się jedynie z tymi adresami i serwerami, które są mu niezbędne do prawidłowej pracy.

Samodzielna konfiguracja a pomoc inżyniera: kiedy warto wezwać wsparcie?

Podstawowe zabiegi, takie jak zmiana fabrycznego hasła na unikalne i skomplikowane czy wyłączenie funkcji zdalnego dostępu w prostym urządzeniu, leżą w zasięgu każdego świadomego użytkownika i menedżera. Warto te kroki wykonać natychmiast po zakupie nowego sprzętu.

Granica samodzielnych działań pojawia się w momencie projektowania architektury sieciowej. Poprawna konfiguracja wirtualnych sieci LAN (VLAN), wdrożenie reguł filtrowania ruchu na zaporach sieciowych nowej generacji (NGFW) czy uruchomienie firmowego serwera VPN wymaga profesjonalnej wiedzy inżynierskiej. Niewłaściwie wdrożony VLAN może stwarzać jedynie pozorne poczucie bezpieczeństwa, jeśli reguły routingu pomiędzy podsieciami pozostaną otwarte.

Jeżeli w Twojej firmie przybywa urządzeń sieciowych, automatyki magazynowej lub kamer, a infrastruktura wciąż opiera się na jednym prostym przełączniku, warto powierzyć ten obszar specjalistom. W CSIT.pl pomagamy przedsiębiorcom projektować bezpieczne sieci komputerowe dla firm oraz przeprowadzamy kompleksowe audyty, w ramach których sprawdzamy cyberbezpieczeństwo całej infrastruktury teleinformatycznej.

Zadbaj o to, aby nowoczesne udogodnienia technologiczne pracowały na zysk Twojego biznesu, zamiast stanowić punkt wejścia dla cyberataku.

Artykuł przygotował zespół CSIT.pl – firmy informatycznej z Tarnowskich Gór, która od ponad 12 lat zajmuje się obsługą IT, sieciami i bezpieczeństwem w firmach i instytucjach. Treść ma charakter informacyjny i nie stanowi porady prawnej.