Według ESET Threat Report H1 2026, opublikowanego 8 lipca, detekcje ClickFix w telemetrii ESET ponad dwukrotnie wzrosły względem H2 2025. Opisane przynęty obejmują strony pomocy dotyczące AI, rozszerzenia przeglądarek i scenariusze uwierzytelniania do chmury. Osoby odpowiedzialne za szkolenia powinny więc uwzględnić polecenia kopiowane z poradników oraz fałszywe naprawy błędów w scenariuszach codziennej pracy.

Czy polecenie znalezione na stronie pomocy dotyczącej AI zasługuje na zaufanie tylko dlatego, że obiecuje rozwiązać problem? Odpowiedź powinna znaleźć się w firmowym szkoleniu dotyczącym ClickFix. W krótkim ćwiczeniu postawmy uczestnikowi pytanie o decyzję: co sprawdzi przed skopiowaniem i wykonaniem instrukcji naprawy? Tę samą próbę zaproponujmy dla rozszerzenia przeglądarki i uwierzytelniania do chmury. Niech uczestnik wskaże, skąd wie, że zalecenie pochodzi z uznanego w firmie źródła, oraz do kogo zwróci się z wątpliwością. W ten sposób odnieśmy przynęty opisane przez ESET do własnych zasad pracy. Odpowiedzi wykorzystajmy do oceny instrukcji pomocy i wskazania miejsc wymagających doprecyzowania.

ClickFix wymaga sprawdzenia instrukcji naprawy

Strony pomocy dotyczące AI, rozszerzenia przeglądarek oraz uwierzytelnianie do chmury potraktujmy jako odrębne konteksty ćwiczeń. Nasz wniosek z opisu ESET dotyczy wspólnej zasady: obietnica usunięcia błędu powinna uruchamiać sprawdzenie pochodzenia i celu instrukcji. W materiale szkoleniowym nazwijmy moment decyzji, zanim uczestnik skopiuje polecenie z poradnika albo wykona wskazaną czynność.

Przy poleceniu kopiowanym z poradnika wymagajmy wyjaśnienia, do czego ma służyć, oraz potwierdzenia go przez firmową pomoc techniczną lub w zatwierdzonej instrukcji. W ćwiczeniu dotyczącym rozszerzenia przeglądarki sprawdźmy, gdzie uczestnik szuka takiego potwierdzenia. Przy uwierzytelnianiu do chmury zapytajmy, co zrobi, gdy przedstawione zalecenie wykracza poza znaną mu instrukcję dostępu. W każdym ćwiczeniu odnotujmy, czy uczestnik umiał wskazać źródło potwierdzenia.

Motyw AI w przynęcie nie daje podstaw do wskazania podatnego produktu ani do twierdzenia, że samo narzędzie AI wykonało atak. Zachowajmy zakres ustalenia ESET, które mówi o stronach pomocy dotyczących AI jako jednej z przynęt. W szkoleniu oceniajmy więc pochodzenie zalecenia, bez uznawania tematyki poradnika za potwierdzenie jego wiarygodności.

Instrukcja naprawy związana z AI powinna przejść taką samą weryfikację jak inne polecenie znalezione poza firmową dokumentacją.

Procedurę sprawdźmy na przynętach opisanych przez ESET

Przytoczone ustalenia ESET nie mówią, jakie procedury obowiązywały w zaatakowanych organizacjach ani jak zachowali się poszczególni pracownicy. Zderzenie dokumentu z praktyką przeprowadźmy zatem jako próbę własnej instrukcji. Wybierzmy fragment szkolenia o rozwiązywaniu problemów z przeglądarką i sprawdźmy, czy obejmuje polecenia pochodzące z zewnętrznych poradników.

Jeżeli instrukcja ogranicza się do zalecenia ostrożności, dopiszmy do niej decyzję możliwą do wykonania: wstrzymanie polecenia do czasu potwierdzenia jego pochodzenia i celu. Przy scenariuszu ClickFix poprośmy uczestnika, by znalazł wskazany kontakt do pomocy i wyjaśnił, jakie informacje przekaże. Jako wynik próby zapiszmy konkretny brak w instrukcji albo potwierdzenie, że potrzebną wskazówkę można odnaleźć.

W ćwiczeniu dotyczącym AI oddzielmy rozpoznanie podejrzanej instrukcji od umiejętności uzyskania pomocy. Uczestnik powinien móc wskazać dalszy krok także wtedy, gdy nie potrafi sam ocenić skopiowanego polecenia. Nie wymagajmy uruchamiania go podczas próby. Do sprawdzenia procedury wykorzystajmy opis sytuacji i odpowiedź uczestnika. Jeśli wskaże inny kontakt niż instrukcja, wyjaśnijmy rozbieżność z osobą odpowiedzialną za pomoc techniczną.

Wzrost detekcji ESET uzasadnia przegląd szkoleń

Ponad dwukrotny wzrost dotyczy porównania H1 2026 z H2 2025 w telemetrii ESET. To pomiar jednego dostawcy, nie reprezentatywna statystyka całego rynku. Nie przeliczajmy go na prawdopodobieństwo incydentu w konkretnej firmie, liczbę ataków, które się powiodły, ani oczekiwaną stratę finansową. Przytoczone fakty nie dają takich podstaw.

Dla zarządu proponujemy węższą decyzję: zlecenie przeglądu szkolenia pod kątem opisanych przynęt ClickFix. Osobie odpowiedzialnej za szkolenia powierzmy sprawdzenie przykładów, a osobie odpowiedzialnej za pomoc techniczną potwierdzenie ścieżki zgłoszenia wątpliwej naprawy. Wynik powinien wskazywać brakujące scenariusze i odpowiedzialność za ich dopisanie. Samo przytoczenie wzrostu detekcji nie zastąpi tej pracy.

Przy ocenie kosztów zmiany szkolenia poprośmy o zakres konkretnych poprawek: fragment o poradnikach AI, przykład dotyczący rozszerzenia i instrukcję postępowania przy uwierzytelnianiu do chmury. Oceniajmy propozycję na podstawie własnych materiałów oraz dostępnej pomocy technicznej. Z porównania półroczy ESET nie wyprowadzajmy obietnicy, że nowe szkolenie zadziała, ani uzasadnienia zakupu określonego produktu.

Wzrost detekcji ESET powinien prowadzić do sprawdzenia scenariuszy ClickFix w szkoleniu; nie określa skali strat we własnej organizacji.

W Polsce zakres ćwiczeń dobierzmy do własnych narzędzi

Przytoczone fakty ESET nie określają liczby polskich ofiar ani lokalnego tempa wzrostu ClickFix. Polski kontekst oprzyjmy więc na zastosowaniu wniosków do własnej organizacji. Jeżeli zespół pracuje w przeglądarce i korzysta z usług chmurowych, zaproponujmy sprawdzenie instrukcji pomocy dla tych czynności. Nie przedstawiajmy tego wyboru jako dowodu, że polskie firmy są zagrożone bardziej niż inne.

W polskim materiale szkoleniowym nazwijmy czynności wprost: kopiowanie polecenia z poradnika, korzystanie z rozszerzenia przeglądarki, uwierzytelnianie do chmury. Do każdego wybranego przykładu dopiszmy miejsce, w którym pracownik znajdzie obowiązującą instrukcję. Unikajmy wymagania, by samodzielnie rozstrzygał wiarygodność pomocy związanej z AI bez wskazania dostępnego wsparcia.

Do pierwszego przeglądu ClickFix wybierzmy instrukcję używaną przez konkretny zespół. Poprośmy jego przedstawiciela i osobę obsługującą zgłoszenia o sprawdzenie, czy opisany sposób kontaktu da się odnaleźć przed wykonaniem naprawy. Zapiszmy wynik jako ocenę tego dokumentu. Nie uogólniajmy pojedynczej próby na poziom przygotowania całej firmy ani na to, czy zabezpieczenia zatrzymają scenariusze opisane przez ESET.

Co z tym zrobić w poniedziałek

Każde z poniższych działań ogranicz do 30 minut i wskazanego materiału.

  1. Sprawdź fragment szkolenia o ClickFix. Zaznacz, czy uwzględnia poradniki dotyczące AI, rozszerzenia przeglądarek i uwierzytelnianie do chmury. Zapisz brakujące konteksty jako zakres aktualizacji oraz wskaż osobę odpowiedzialną za jej przygotowanie.
  2. Uzupełnij wybraną instrukcję pomocy przy błędzie przeglądarki. Dopisz, gdzie potwierdzić pochodzenie i cel polecenia skopiowanego z poradnika. Sprawdź kontakt do pomocy technicznej; jeśli go brakuje, zapisz to jako przeszkodę wymagającą usunięcia przez właściciela instrukcji.
  3. Przeprowadź krótką próbę decyzji dotyczącej AI. Zapytaj uczestnika szkolenia, co zrobi z niezweryfikowanym poleceniem naprawy znalezionym na stronie pomocy. Bez wykonywania polecenia sprawdź, czy wskaże sposób uzyskania potwierdzenia. Zapisz jedną poprawkę do materiału albo potwierdź czytelność istniejącej wskazówki.

Szkolenie o ClickFix powinno przygotować pracownika do oceny polecenia także wtedy, gdy pojawia się ono w poradniku dotyczącym AI albo podczas pracy z chmurą. Za kryterium aktualizacji przyjmijmy możliwość wskazania kolejnego kroku przed wykonaniem niezweryfikowanej instrukcji. Decyzję o naprawie oprzyjmy na potwierdzonym źródle i dostępnej pomocy, zamiast pozostawiać ją samej ocenie wyglądu poradnika.

Źródła

Redakcja cyberinsight.pl.