Nie słychać wybuchu. Nie ma syren. Jest cisza. Zanim dziennikarz zada pierwsze pytanie. Zanim klient zauważy, że coś nie działa. Zanim prezes odbierze telefon z pytaniem: „Czy to prawda”?
Cyberatak to nie spektakularne włamanie z filmu. To cichy, pozbawiony efektów specjalnych moment, w którym wszystko się zmienia. Dane wypływają. Kod zostaje zaszyfrowany. Fałszywe wideo pojawia się w sieci. Firma – niezależnie od wielkości – nagle znajduje się w centrum wydarzeń, których nie kontroluje.
Właśnie wtedy reputacja przestaje być abstrakcją z prezentacji. Staje się realną walutą. Czasem jedyną, którą można jeszcze uratować.
Didaskalia
Dane nie pozostawiają złudzeń. Według Cybersecurity Ventures, światowe koszty cyberprzestępczości w 2025 roku osiągną 10,5 bln dolarów – to więcej niż roczne PKB Niemiec i Japonii razem wzięte. Średni koszt pojedynczego wycieku danych w 2024 r. wynosił 4,88 mln dolarów – o 10% więcej niż rok wcześniej (IBM Security, Cost of a Data Breach Report 2024). W sektorze ochrony zdrowia to już ponad 10,9 mln dolarów na incydent, a rosnąca liczba ataków ransomware, które uderzają co 11 sekund, tylko pogarsza tę statystykę. FBI odnotowuje miliardy dolarów rocznych strat wynikających z phishingu, BEC i socjotechniki.
I teraz najważniejsze: finanse można odzyskać. Dane można odbudować. Ale co z reputacją?
Dlatego dziś mówimy: cyberbezpieczeństwo to nie tylko firewalle – to także komunikacja. Dział PR musi zakładać, że naruszenie kiedyś wystąpi. A rolą komunikacji jest nie tylko przygotowanie organizacji na incydent, ale przede wszystkim niedopuszczenie do strat wizerunkowych w jego szerokim otoczeniu.
Czego uczą nas piloci myśliwców o współczesnych kryzysach?
Pułkownik John Boyd był pilotem, weteranem wojny koreańskiej, który stworzył słynny cykl decyzyjny OODA Loop (Obserwuj, Orientuj się, Decyduj, Działaj). Stał się on podstawą modelu zarządzania kryzysowego. Sprawdza się szczególnie w dynamicznym otoczeniu, w którym dochodzi do mnóstwa zwrotów akcji, zupełnie jak podczas pilotowania myśliwca w trakcie potyczki wojskowej. Poniżej znajdziecie analizę sytuacji kryzysowej według powyższych 4 punktów. Zapraszamy do lotu.
Etap I: Obserwacja – wszystko zaczyna się od sygnału
Czasem to alert systemu bezpieczeństwa. Czasem post na X. Albo informacja, którą ktoś wyciągnął z dark webu. Ta pierwsza chwila to nie „moment prawdy”. To moment przewagi – albo jej utraty.
Nie każdy incydent bezpieczeństwa kończy się w mediach. Ale każdy może. Dlatego kluczowe są pierwsze minuty po wykryciu nieprawidłowości. To wtedy decydujemy, czy zareagujemy zanim temat wymknie się spod kontroli. Problem w tym, że wiele firm nie patrzy we właściwą stronę.
Na potrzeby niniejszego longlettera przeprowadziliśmy badanie wśród specjalistek i specjalistów komunikacji i marketingu nt. postrzegania i przygotowania do kryzysu wynikającego z ryzyk cybernetycznych (dfusion communication, czerwiec 2025). Okazuje się, że 59% organizacji prowadzi stały monitoring reputacyjny pod kątem cyberzagrożeń. Zaledwie 28% respondentów regularnie ćwiczy scenariusze związane z tego typu kryzysami. Wynika z tego, że ponad 70% firm wciąż „uczy się w biegu”.
To zaskakujące, bo właśnie na tym etapie – zanim incydent ujrzy światło dzienne - można zatrzymać kryzys. Kluczowe są tu dwa słowa: czas i świadomość. PR-owiec nie musi rozumieć kodu źródłowego – musi rozpoznać sygnały. Skan z darknetu, opinia klienta, dziwny ruch w mediach, przeciek do redakcji – to wszystko można i trzeba wychwytywać.
Żródło: badanie "Cyberzagrożenia istotnym wyzwaniem dla wizerunku firm", dfusion communication, czerwiec 2025
Case study:
W marcu 2025 r. pojawiła się w darknecie baza rzekomo zawierająca dane 24 mln klientów Empiku, co wywołało falę nagłówków w największych mediach w Polsce. Empik szybko zareagował, analizując sprawę z CERT-em i jasno zakomunikował, że nie doszło do żadnego wycieku z jego systemów – ogłoszenie o sprzedaży „bazy Empiku” okazało się spreparowaną mieszanką starych i publicznych danych, a żadnego włamania do systemów nie było.
Etap II: Orientacja – czy to już kryzys?
Nie każdy incydent techniczny to kryzys medialny. Ale każdy kryzys medialny może się zacząć od incydentu technicznego. Kluczowe pytanie: jak rozpoznać moment, w którym sytuacja wymyka się komunikacyjnie spod kontroli?
Z badania wynika, że mamy do czynienia z organizacjami dwóch prędkości. 38% firm biorących udział w badaniuposiada szczegółowy plan komunikacji kryzysowej związanej z cyberatakami. Reszta działa na podstawie ogólnych schematów (23%), które – jak wiemy z praktyki – nie sprawdzają się w starciu z dynamicznym zagrożeniem. Co ciekawe, 38% zupełnie nie ma planu lub nie ma świadomości jego istnienia.
Faza orientacji w modelu OODA to czas analizy i klasyfikacji sytuacji. Co się wydarzyło? Jaka jest skala? Czy dane zostały skradzione? Czy media już wiedzą? Czy trzeba informować klientów, regulatorów, opinię publiczną? Tu nie ma miejsca na panikę – ale też nie ma przestrzeni na zwłokę. Najlepsze firmy podejmują decyzje w kilka minut – nie dni.
W tym miejscu wielu przegrywa. Brak decyzji to też decyzja – zwykle najgorsza.
Żródło: badanie "Cyberzagrożenia istotnym wyzwaniem dla wizerunku firm", dfusion communication, czerwiec 2025)
Case study:
W maju 2024 roku brytyjska firma inżynieryjna Arup padła ofiarą oszustwa z wykorzystaniem technologii deepfake. Pracownik biura w Hongkongu przekonany, że uczestniczy w wideokonferencji z członkami zarządu firmy, przelał łącznie 20 milionów funtów na konta przestępców. W rzeczywistości spotkanie zostało sfabrykowane – zarówno twarze, jak i głosy „uczestników” wygenerowano za pomocą sztucznej inteligencji. Arup zapewnia, że sytuacja nie wpłynęła na stabilność finansową firmy, a jej systemy informatyczne nie zostały naruszone. Mimo to przypadek ten wywołał ogromne poruszenie w branży – nie tylko ze względu na skalę strat, ale też zaawansowanie technologiczne przestępstwa.
Etap III: Decyzja – plan, który… jest
W kryzysie dobre decyzje rzadko zapadają ad hoc. Muszą być zakotwiczone we wcześniej przygotowanych scenariuszach, zasobach i zespołach.
A przecież decyzja to najważniejszy moment w całym cyklu. Bo nawet jeśli wszystko jest dobrze rozpoznane – trzeba jeszcze wiedzieć, co zrobić. A to często okazuje się piętą achillesową nawet dużych organizacji.
Z badania wynika, że największą barierą w skutecznym działaniu jest brak szybkiego dostępu do faktów (wskazało tak aż 60% badanych). Inne problemy? Brak jasnych procedur, obawa o panikę klientów, presja mediów (w szczególności społecznościowych) i konflikty między działami.
Kryzys to moment, w którym organizacja pokazuje, czy naprawdę współpracuje. Jeśli dział IT nie komunikuje się z PR-em, a compliance z działem prawnym – chaos jest nieunikniony. Dlatego właśnie tak ważne są scenariusze – wcześniej opracowane, zatwierdzone, przetestowane. W kryzysie nie ma czasu na tworzenie planu i akceptowanie go z różnymi komórkami organizacji. Można go tylko odpalić.
Żródło: badanie "Cyberzagrożenia istotnym wyzwaniem dla wizerunku firm", dfusion communication, czerwiec 2025)
Case study:
W styczniu 2025 r. EuroCert, dostawca usług zaufania, padł ofiarą ataku ransomware – cyberprzestępcy zaszyfrowali serwery i potencjalnie wykradli aż 65 GB danych klientów, pracowników i kontrahentów – w tym numery PESEL, numery dowodów tożsamości, adresy e-mail, numery telefonów, loginy i hasła. Chociaż EuroCert zapewnił, że sama infrastruktura certyfikatów oferowanych przez EuroCert nie została naruszona, musiał zmierzyć się przede wszystkim z utratą zaufania, czyli kapitału kluczowego w tej branży.
Etap IV: Działaj – komunikacja jako narzędzie
Na tym etapie marka ma już tylko dwie drogi: mówić własnym głosem albo stać się bohaterem cudzej narracji. To czas na działanie. W komunikacji nie liczy się perfekcja – liczy się prędkość, empatia i autentyczność. Nie „analizujemy sytuację”, tylko: „zostaliśmy zaatakowani, działamy, jesteśmy”. Na tym etapie organizacje zbyt często popełniają błędy: milczą (z nadzieją, że sytuacja „rozejdzie się po kościach”), posługują się zbyt technicznym żargonem, wypuszczają lakoniczne oświadczenia „dla inwestorów”.
Tymczasem właśnie teraz reputacja może zyskać – jeśli zareagujemy i zrobimy to dobrze. Analizując kluczowe aspekty komunikacji w kryzysie, 94,9% respondentów zwraca uwagę na konieczność zapewnienia wewnętrznej współpracy między różnymi działami organizacji. Transparentność i szybką reakcję podkreśla ponad 87% osób.
Żródło: badanie "Cyberzagrożenia istotnym wyzwaniem dla wizerunku firm", dfusion communication, czerwiec 2025)
Epilog
Reputacja jest fundamentem zaufania – wobec klientów, inwestorów i dziennikarzy. I jak pokazuje nasze badanie, w erze cyfrowej nie wystarczy mieć firewall – trzeba mieć również plan, zespół, czat i mikrofon do bieżącej komunikacji.
Wytyczne dla zespołów PR, komunikacji i marketingu:
- Wprowadź system wczesnego ostrzegania o cyberzagrożeniu, który obejmuje zarówno obszar wewnętrzny, jak i zewnętrzny. Zapewnij płynną współpracę zespołu IT/bezpieczeństwa i zespołu komunikacji. Wprowadź procedurę przekazywania informacji. Dzięki temu możesz wyprzedzić „rozlanie” się kryzysu do mediów i odpowiednio przygotować się, mając kontrolę nad przepływem informacji.
- W kryzysie zawsze szybkość reakcji ma znaczenie, więc bądź wcześniej przygotowany. Twórz i weryfikuj plany kryzysowe. Im prostsze i bardziej realne z punktu widzenia organizacji, tym lepiej. Nie pozwól, by „wielkie podręczniki kryzysowe” splątały Ci nogi.
- W związku z tym, że większość respondentów (94,9%) wskazuje na konieczność zapewnienia wewnętrznej współpracy w organizacji, niezbędnym elementem jest opracowanie konkretnych i potwierdzonych z interesariuszami planów oraz scenariuszy postępowania w przypadku pojawienia się niebezpieczeństwa cybernetycznego.
- Jako kluczowe utrudnienie w przypadku cyberkryzysu respondenci zwracają uwagę na brak dostępu do faktów (60%), dlatego istotne jest udrożnienie kanałów komunikacji wewnętrznej i testowanie ich w postaci symulacji kryzysowych.
- Precyzyjnie ustal i zweryfikuj skład zespołów kryzysowych (stanowiska) na wypadek cyberzagrożenia i zapewnij jasny podział odpowiedzialności. Nie poprzestawaj na samej procedurze, ale testuj ją i wyciągaj z niej wnioski, korygując zasady obiegu informacji i odpowiedzialność.
- Prowadź regularne działania prewencyjne obejmujące monitoring cyberzagrożeń i ryzyk z tym związanych, szkolenia i symulacje kryzysowe.
