Lekcje bezpieczeństwa bez bezpieczeństwa: jak dwie panie ze świata notatników online i ulotek reklamowych zbudowały globalny teatr „ochrony”

Przewija się stronę TradingView do samego dołu i tuż pod linijką „© 2026 TradingView, Inc.” w oczy rzucają się dwa ogromne przyciski w surowych ramkach: SOC 2 Compliant z okrągłą pieczęcią i GDPR Compliant otoczony gwiazdkami Unii Europejskiej. Wygląda to monumentalnie — od razu czuje się respekt dla surowych speców od bezpieczeństwa platformy. Klika się w te plakietki czysto z ciekawości, żeby zobaczyć, jak dokładnie wykuwano ten nieprzenikniony pancerz, i trafia się na stronę trust.tradingview.com.

I właśnie tutaj, jeśli zacząć się w to wgryzać, otwiera się taki absurd, że ręce opadają.

W witrynie prężą się odznaki SOC 2, PCI DSS 4.0.1, GDPR i DORA, a obok raźno tyka zielony wskaźnik: „Updated 4 minutes ago” — niby cztery minuty temu sprawdzono wszystkie zamki, granica na kłódkę. Niżej ustawiono dwadzieścia solidnych punktów ochrony infrastruktury: dostęp do serwerów wyłącznie przez klucze kryptograficzne, sieci rozdzielone, szyfrowanie działa, system wykrywania włamań nie śpi.

Zaczyna się przyglądać szczegółom — a kolumna z faktycznymi statusami kontroli jest po prostu pusta. Same raporty schowano za przyciskiem „Poproś o dostęp”, przez który nikt nie wpuści człowieka z ulicy. Ale najśmieszniejsze nie jest nawet to: żadnego z tych dwudziestu groźnych punktów na stronie nie napisali w ogóle inżynierowie TradingView. Cała ta „twierdza” została w całości wygenerowana z gotowego szablonu przez zewnętrzną amerykańską firemkę o nazwie Vanta.

Żeby udowodnić, że w domu nie ma złodziei, proszę wpuścić obcych do każdej sypialni

Jak działa ten biznes? W świecie korporacyjnym od serwisów wymaga się papierka od audytora — tego słynnego certyfikatu SOC 2. Kiedyś trzeba było dla niego miesiącami znosić w biurze żywych kontrolerów, którzy nudno grzebali w ustawieniach serwerów. Ale wtedy pojawiła się Vanta i zaproponowała branży genialny cheat code: „Nie trzeba niczego zbierać ręcznie. Proszę podłączyć nasz program do swojej firmy, my sami w tle postawimy ptaszki dla audytora, a przy okazji namalujemy Państwu na stronie ładną witrynę z odznaczkami”.

A teraz proszę patrzeć na ręce. Żeby powiesić w stopce strony dumny przycisk „Nikogo nie dopuszczamy do Państwa danych”, firma dobrowolnie wpuszcza sobie pod maskę obcą firmę. Daje serwerom Vanty dostęp do swojej infrastruktury chmurowej (AWS, Google Cloud), do kodu źródłowego na GitHubie, do firmowej poczty i do kadrowej bazy z listami wszystkich pracowników. Mało tego: na służbowym laptopie każdego programisty i admina obowiązkowo instaluje się program szpiegowski od Vanty, który całą dobę sprawdza, czy komputer ma włączone hasło, czy działa antywirus i czy pobrano aktualizację.

Formalnie dostęp jest „tylko do odczytu” — obcy skrypt sam nie skasuje bazy. Za to na serwerach zewnętrznej firemki starannie składa się kompletna rentgenowska mapa firmy: plany całej sieci, nazwiska i maile wszystkich inżynierów, modele ich laptopów i żywa lista wszystkich niezałatanych podatności.

Formularzowi klepacze u steru światowego bezpieczeństwa

Któż to taki, wydawałoby się, ci surowi geniusze kryptografii i weterani cyberwojsk, którym tysiące firm na całym świecie powierzają klucze do swojej wewnętrznej kuchni?

Otwieramy biografie kierownictwa Vanty i wyciągamy popcorn.

Założycielką i niezmienną szefową firmy jest Christina Cacioppo. Gdzie wykuwała swoje legendarne doświadczenie w ochronie informacji? W tajnych laboratoriach Pentagonu? Przy budowie zabezpieczeń dla systemów bankowych? Nie. Dziewczyna poszła uczyć się programowania, przez parę lat dłubała jakieś drobne projekty, które nigdy nie wystartowały, po czym zatrudniła się jako product managerka w Dropboxie. I odpowiadała tam nawet nie za przechowywanie plików ani za szyfrowanie dysków. Szczytem jej kariery był Dropbox Paper — drugorzędny notesik online do wspólnego pisania notatek wewnątrz usługi do wymiany plików, o którego istnieniu dziewięciu na dziesięciu użytkowników Dropboxa nawet nie miało pojęcia. Kiedy sklecała ten notesik, kazano jej wypełniać nudne tabelki dla audytorów — i uznała, że o wiele bardziej opłaca się sprzedawać innym firmom webowe formularzyki do automatycznego zbierania dokładnie takich tabelek.

Patrzymy dalej: kto jest drugą najważniejszą kobietą na tym statku? Dyrektorka marketingu Sarah Scharf. Ta pani przyszła z Google'a, gdzie przez siedem lat zajmowała się „marketingiem prywatności, bezpieczeństwa i Androida”. Proszę się zastanowić nad samym stanowiskiem: ten człowiek nie pisał kodu i nie łapał hakerów, tylko przez siedem lat układał reklamowe bajki o tym, jak korporacja Google dba o Państwa prywatność, podczas gdy sama zbierała teczkę na każdego mieszkańca planety.

Reszta zespołu dobrana do kompletu: dyrektor techniczny ds. produktu wcześniej zarządzał drugorzędnymi nakładkami i witrynami w GitHubie, a dyrektor finansowy przyszedł z serwisu Calendly — strony, która robi formularzyki do umawiania rozmów w kalendarzu.

I właśnie ten dream team — twórczyni chmurowego notesika, googlowska PR-owczyni „prywatności” i rachmistrz z kalendarza online — rozdaje dziś standardy bezpieczeństwa światowemu fintechowi.

Stróż w kapciach i paradoks biurowych handlowców

Ale prawdziwa komedia zaczyna się, kiedy się popatrzy, jak wygląda wewnętrzna kuchnia samych „kontrolerów”. Firma, która trzyma u siebie odciski podatności tysięcy cudzych biznesów, oficjalnie pracuje w trybie „remote-first”. Już wiosną 2022 roku radośnie pisali na stronie: „Z powodzeniem pracujemy z dowolnego miejsca”.

Jeśli zajrzeć teraz na ich tablicę ogłoszeń o pracę, z 83 stanowisk 52 to czysta praca zdalna w USA, Kanadzie, Wielkiej Brytanii i Irlandii. I z kanapy pracują u nich wcale nie projektanci ikonek:

• Sr. Manager, Security Operations (zdalnie). Ten człowiek konfiguruje własną ochronę Vanty i dowodzi analizą ataków hakerskich. W ogłoszeniu troskliwie obiecują mu „zwrot kosztów urządzenia domowego stanowiska pracy, domowego internetu i komórki”. Główny od odpierania cyberataków steruje obroną przez domowy router, na koszt firmy.
• Inżynier rządowej chmury GovCloud (zdalnie, z dyżurami awaryjnymi). Jedyny wymóg bezpieczeństwa przy pracy dla sektora państwowego — logować się do systemu „fizycznie z terytorium USA”. Z którego dokładnie przydrożnego baru czy wynajętego mieszkania — nikogo to nie obchodzi.
• Senior Engineer, Enterprise Resilience i Senior Security Engineer (zdalnie). Ludzie, którzy odpowiadają za odporność produkcji i w treści ogłoszenia przysięgają być „zaufanymi strażnikami wrażliwych danych”, też siedzą po domach.
• Staff Engineer, Program Structure & Trust (zdalnie). A to stanowisko proszę zapamiętać szczególnie: ten zdalny specjalista odpowiada za to, żeby tajne dane różnych klientów nie mieszały się ze sobą.

Wiedzą Państwo, na czym polega tu główny absurd? Zwykłych handlowców w Londynie i Dublinie szefostwo Vanty zmusza do chodzenia do biura trzy dni w tygodniu. Czyli ludzie, którzy tylko dzwonią do klientów i pokazują prezentacje, muszą siedzieć pod nadzorem w biurowcu. Za to inżynierowie, u których leżą klucze do produkcji i mapy infrastruktury tysięcy firm, siedzą w kapciach w domowych kuchniach w otoczeniu krewnych, sąsiadów, kurierów i hydraulików. I to w czasach, gdy amerykańskie firmy IT łapią fałszywych zdalnych pracowników hurtowo — gdy rozmowę kwalifikacyjną przez wideo przechodzi podstawiony aktor, a służbowy laptop jedzie pocztą prosto na farmę północnokoreańskich hakerów.

Cztery dni z rozpiętym rozporkiem

Do czego prowadzi bezpieczeństwo od twórczyń notesików i zdalniaków na domowym Wi-Fi, nie trzeba było długo zgadywać.

Pamiętają Państwo ogłoszenie zdalnego inżyniera, który ma pilnować, żeby bazy różnych firm się nie mieszały? W maju 2025 roku formularzowi klepacze z Vanty wypuścili krzywą aktualizację i tajne dane jednych klientów po prostu zapisały się na kontach innych (raport z incydentu INC-868).

Sekrety setek firm po prostu wysypały się na cudze ekrany. Do obcych ludzi wyciekły listy cudzych pracowników, ich stanowiska i — wisienka na torcie — ustawienia ich uwierzytelniania dwuskładnikowego (MFA). Czyli gotowa ściąga do włamania: kto jest kim i kto nie ma podpiętej ochrony konta.

Ale całą skalę tej klaunady odsłaniają dwa szczegóły:

1. Dziura stała otworem przez cztery dni. Wychwalany automatyczny monitoring Vanty, który co cztery minuty maluje zielone ptaszki na stronach klientów, przez cztery dni uparcie nie zauważał, że rozdaje cudze bazy przypadkowym sąsiadom. Błąd znaleziono dopiero wtedy, gdy jeden z osłupiałych klientów sam zobaczył na swoim koncie cudzą wewnętrzną kuchnię i napisał do wsparcia technicznego.
2. Podręcznikowa chucpa. Kiedy wstyd wyszedł na jaw, marketingowcy Vanty wydali raport i z niewinną miną nazwali wyciek danych setek firm w obce ręce incydentem „niezwiązanym z bezpieczeństwem” (non-security related). No i co z tego, pomyliły się bazy — grunt, że ptaszki w raportach są zielone!

Papierowa tarcza

Tyle właśnie są warte groźne przyciski SOC 2 Compliant i GDPR Compliant w stopce strony.

Zwykły człowiek patrzy na te odznaki i myśli, że jego serwis jest chroniony jak atomowa walizka. A w rzeczywistości firmy dla biurokratycznego papierka same wyrąbują dziurę we własnym murze, zlewają cały schemat swojej ochrony do jednego wspólnego koryta byłym menedżerkom od notatek i reklamy, a do pilnowania tego koryta sadzają ludzi na domowym routerze, których oprogramowanie nie jest nawet w stanie zauważyć, że przez cztery dni z rzędu rozdaje cudze sekrety na prawo i lewo.

Lekcje bezpieczeństwa bez bezpieczeństwa przyswojone na piątkę: plakietka na stronie błyszczy, a co jest za drzwiami — lepiej, żeby nikt nie wiedział.

Zamiast epilogu: kim jest „zdalny spec od bezpieczeństwa” w prawdziwym życiu

Kiedy korporacje wypisują w prezentacjach hasło Remote Security Engineer, w głowie klienta pojawia się obraz skupionego profesjonalisty w zalanym słońcem gabinecie, który przez zabezpieczone łącze satelitarne strzeże cudzych sekretów.

W rzeczywistości zdalny pracownik to czarna skrzynka, której zawartości pracodawca nie kontroluje w żaden sposób. Firmy nie mają pojęcia, co się dzieje po drugiej stronie kamerki, gdy tylko kończy się piętnastominutowy poranny call. A dzieje się tam prawdziwe życie w całej okazałości.

1. Psychika we mgle, SSRI i grzybowy mikrodozing W biurze przynajmniej widać człowieka na żywo: czy trzęsą mu się ręce, czy ma przytomne spojrzenie, czy mył się w tym tygodniu i czy nie rozmawia ze ścianami. Na zdalnej cały kontakt z człowiekiem, który trzyma w rękach dostępy root do serwerów tysięcy firm, sprowadza się do kwadracika w Zoomie z rozmytym tłem.

Piętnaście minut dziennie na stand-upie ten facet z trudem wyciska z siebie dyżurny uśmiech i raźno melduje: „Blockerów brak, puszczam update na produkcję”. Po czym wyłącza kamerę — i nikt w centrali nie ma pojęcia, w jakim jest stanie. Może od trzech miesięcy jedzie na końskich dawkach ciężkich antydepresantów (SSRI), od których kompletnie zanikło mu poczucie zagrożenia i jest mu zupełnie wszystko jedno, gdzie i jakie bazy właśnie wyleje. Może, zgodnie z modą Doliny Krzemowej, z samego rana łyknął mikrodawkę grzybów psylocybinowych albo jedzie na adderallu na zmianę z terapią ketaminą, próbując wygrzebać się z depresji po rozwodzie. Dla firmy to zielone kółeczko w Slacku. A w praktyce za pulpitem reaktora jądrowego siedzi człowiek w głębokim poznawczym rozkojarzeniu.

2. Napad w kawiarni i otwarty MacBook Amerykańskie technohuby w rodzaju San Francisco, Seattle czy Austin dawno zamieniły się w kryminalne parki rozrywki. W samym San Francisco istnieje całe uliczne rzemiosło — laptop snatching: rabusie wpadają do modnych kawiarni, wyrywają informatykom prosto z rąk otwarte, odblokowane MacBooki z już zestawionymi sesjami VPN i otwartymi terminalami i wynoszą je do auta czekającego przy wejściu.

Albo jeszcze prościej: wieczorem po pracy ten „strażnik wrażliwych danych” wychodzi na ulicę po burrito, ze służbowym telefonem i laptopem w plecaku. Parę przecznic od domu podchodzi do niego dwóch chłopaków z pistoletem, dają mu w głowę i przystępnie tłumaczą, że teraz nie tylko odda im cały sprzęt, ale też przyłoży palec do Touch ID i podyktuje PIN. Żadne chmurowe firewalle ani plakietki SOC 2 Compliant nikogo jeszcze nie uratowały przed rurą w ciemnym zaułku.

3. Żony, kochankowie i dostępy kradzione prosto z poduszki Nawet jeśli inżynier w ogóle nie wychodzi z domu, jego mieszkanie to istny dworzec. Za jego plecami chodzą żony, byłe i obecne dziewczyny, współlokatorzy z wynajmu, sprzątaczki, kurierzy i goście z piątkowych imprez.

W USA to już nie teoria, tylko akta spraw sądowych. W 2024 roku Komisja Papierów Wartościowych (SEC) nakryła piękny rodzinny schemat: mąż zdalnej pracownicy naftowego giganta BP po prostu chodził po domu i siedział z nią w jednym pokoju hotelowym podczas wyjazdów, gdy ona z domu pracowała nad poufnymi fuzjami firm. Podsłuchiwał jej rozmowy, zaglądał w otwarty ekran służbowego laptopa, kiedy odchodziła do kuchni, wykupił akcje właściwej sieci i zarobił na informacjach poufnych prawie dwa miliony dolarów.

A teraz proszę sobie wyobrazić bardziej przyziemny scenariusz: zdalny spec od bezpieczeństwa w trakcie ciężkiego rozwodu albo kłótni z drugą połówką. Urażona żona albo przedsiębiorczy współlokator po prostu czekają, aż „strażnik infrastruktury” pójdzie pod prysznic albo zaśnie, fotografują telefonem otwarty ekran z kluczami dostępu, tokenami i rozmowami w Slacku — albo po prostu wtykają pendrive'a do jego laptopa, którego hasło dawno podpatrzyli przez ramię.

4. Zmęczenie o trzeciej w nocy I wreszcie klasyka, na której w ostatnich latach przejechali się giganci od Ubera po usługę uwierzytelniania Okta. Gdy włamywacze kupują skradzione hasło zdalnego pracownika, zostaje im obejść uwierzytelnianie dwuskładnikowe (MFA). Co robią? Czekają, aż zdalniak położy się spać u siebie w domu, i o trzeciej w nocy zaczynają bombardować jego telefon dziesiątkami powiadomień push: „Potwierdź logowanie”. A zaraz potem piszą do niego na prywatnym komunikatorze w imieniu „wsparcia technicznego firmy”: że niby to błąd systemu, niech kliknie „Potwierdź”, żeby powiadomienia przestały dzwonić. I zaspany człowiek w gaciach, byle tylko telefon wreszcie się zamknął i dał mu spać, własnym palcem wpuszcza hakerów do świętego świętych.

Właśnie z tego ludzkiego chaosu — tabletek, rodzinnych dramatów, ulicznej przestępczości i nocnego lenistwa — tak naprawdę składa się fundament, na którym trzyma się cała współczesna branża „chmurowego zaufania”. I następnym razem, gdy zobaczą Państwo na dole ładnej strony finansowej surowe odznaki SOC 2 Compliant i GDPR Compliant, proszę po prostu przypomnieć sobie, że gdzieś za oceanem właśnie teraz zmęczony człowiek na antydepresantach odszedł od otwartego laptopa nalać sobie kawy, a jego dziewczyna w zamyśleniu przegląda na jego monitorze listy cudzych serwerów.