--- id: CP-365 slug: kontrola-dostepu-karty-wejsciowe-goscie lang: pl title: Karty dostępu, goście i drzwi przeciwpożarowe description: "Nieznajomy w stroju technika, drzwi przytrzymane z uprzejmości: jak socjotechnika dostaje się do biur i co wtedy robić." canonical_url: https://startbrain.io/cyberpedia/pl/articles/kontrola-dostepu-karty-wejsciowe-goscie/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/kontrola-dostepu-karty-wejsciowe-goscie.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Karty dostępu, goście i drzwi przeciwpożarowe”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/kontrola-dostepu-karty-wejsciowe-goscie/ (CC BY 4.0) wing: 5 theme: handle_scams reflex: cr-084 schema: G5 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/kontrola-dostepu-karty-wejsciowe-goscie/ fr: https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/ en: https://startbrain.io/cyberpedia/en/articles/physical-security-badges-visitors/ de: https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/ es: https://startbrain.io/cyberpedia/es/articles/seguridad-fisica-credenciales-visitantes/ it: https://startbrain.io/cyberpedia/it/articles/sicurezza-fisica-badge-visitatori/ nl: https://startbrain.io/cyberpedia/nl/articles/fysieke-beveiliging-toegangspassen-bezoekers/ pt: https://startbrain.io/cyberpedia/pt/articles/seguranca-fisica-cracas-visitantes/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: Physical Security | Cybersecurity and Infrastructure Security Agency CISA publisher: CISA url: https://www.cisa.gov/topics/physical-security accessed: "2026-11-03" - "n": 6 title: SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final accessed: "2026-11-03" --- # Karty dostępu, goście i drzwi przeciwpożarowe Włamanie nie zawsze zaczyna się przy ekranie. Może się zacząć przy wejściu do budynku, od osoby, która wygląda, jakby tu pracowała: strój technika, paczka w rękach, karta wyglądająca poprawnie. Drzwi otwiera nie luka techniczna, lecz zaufanie pracownika. Ta strona wyjaśnia, jak działa ten podstęp i co każdy może zrobić na swoim stanowisku, aby przyjąć gościa i nie wpuścić obcego. Cytowane tu źródła dotyczą głównie socjotechniki w ogóle oraz dostępu przez sprzęt podłączony na miejscu [3]. Opisane niżej zasady przyjmowania gości to zdroworozsądkowe reguły, które warto zestawić z wytycznymi Państwa firmy. ## W 30 sekund - Gdzie to się zdarza: przy wejściu do biur, przy drzwiach z kontrolą dostępu, w recepcji oraz w pokojach biurowych, gdy „wykonawca” chodzi sam. - Czego chce atakujący: wejść, obserwować, podłożyć urządzenie [3] albo zdobyć informacje [4], wykorzystując uprzejmość pracowników. - Odruch: nie wpuszczać nikogo, kogo się nie zna, sprawdzić u osoby, która go oczekuje, i zaprowadzić nieznajomego do recepcji. - Jeśli to już się stało: od razu powiadomić ochronę lub zespół bezpieczeństwa, nawet bez pewności. ## Pytania wprost ### Dlaczego włamanie fizyczne nazywa się socjotechniką? Ponieważ metoda jest ta sama co w przypadku podejrzanego e-maila: oszukanie człowieka. CISA opisuje atakującego, który wykorzystuje kontakt z ludźmi, aby zdobyć informacje o organizacji lub jej systemach [1]. Może sprawiać wrażenie „unassuming and respectable” (skromnego i szanowanego) i podawać się za nowego pracownika, serwisanta lub badacza, czasem okazując na poparcie dokumenty tożsamości [1]. ### Kto może pojawić się przy drzwiach? Na przykład wykonawcy. MITRE zauważa, że organizacje często dają zewnętrznym dostawcom szeroki dostęp, w tym podwykonawcom infrastruktury, takim jak ogrzewanie i klimatyzacja, windy czy ochrona fizyczna [2]. Gość w stroju roboczym to więc częsta sytuacja, przez co podstęp jest wiarygodny. ### Czego szuka osoba, która wchodzi bez zaproszenia? Według MITRE przeciwnik może fizycznie wprowadzić do systemu lub sieci akcesoria, sprzęt sieciowy albo inne urządzenia, aby wykorzystać je jako drogę dostępu [3]. MITRE opisuje też phishing w celu zdobycia informacji jako próbę nakłonienia do ujawnienia danych, często danych logowania [4]. Wśród jego metod wymienia wysyłanie kilku wiadomości sprawiających wrażenie pilnych [4]. ### Co zrobić, gdy nieznajoma osoba chodzi bez opiekuna? CISA zaleca ostrożność wobec niezamówionych telefonów, wizyt lub e-maili od osób, które pytają o pracowników albo o informacje wewnętrzne [1]. Jeśli nieznajomy powołuje się na prawdziwą organizację, CISA radzi sprawdzić jego tożsamość bezpośrednio w tej organizacji [1]. W praktyce uprzejmie odmawia się wpuszczenia, prowadzi osobę do recepcji i powiadamia ochronę. ### Czy zapomniana lub zgubiona karta naprawdę stanowi problem? Cytowane tu źródła nie omawiają zgubionych kart. Zasada pozostaje prosta: karta otwiera drzwi temu, kto ją nosi, kimkolwiek jest. Proszę natychmiast zgłosić zgubienie, aby można było zablokować dostęp. ## Jak to działa Włamanie metodą socjotechniczną opiera się na wiarygodności. CISA wyjaśnia, że jeśli atakujący nie zbierze dość informacji od jednej osoby, może zwrócić się do innej w tej samej organizacji i powołać się na to, co powiedziała pierwsza, by wypaść bardziej wiarygodnie [1]. Pracownik, który potwierdza „tak, jest oczekiwany”, nie sprawdziwszy tego, staje się więc gwarantem nieznajomego na dalszym etapie. CISA przypomina, że każdy członek społeczności, w tym współpracownicy, jest „the first line of defense” (pierwszą linią obrony) dla bezpieczeństwa [5]. NIST zalicza ochronę fizyczną i środowiskową do rodzin zabezpieczeń w katalogu SP 800-53, obok uświadamiania i szkoleń [6]. Innymi słowy, drzwi, karty dostępu i szkolenie ludzi należą do tego samego systemu bezpieczeństwa co hasła. ## Co Pan/Pani robi Poniższe działania to praktyki ostrożności. Tylko sprawdzenie tożsamości w danej organizacji znajduje poparcie w cytowanych tu źródłach [1]. - Proszę przyjąć gościa w recepcji, a nie na korytarzu, i towarzyszyć mu przez całą wizytę, aż do wyjścia. - Proszę sprawdzić jego tożsamość i kartę u osoby, która go oczekuje, pod numerem, który Pan/Pani już zna, a nie pod tym, który poda gość. - Nie należy przytrzymywać drzwi osobie, której Pan/Pani nie zna, nawet jeśli niesie kartony. Proszę zaproponować, że zaprowadzi ją Pan/Pani do recepcji. - Nigdy nie należy pożyczać swojej karty ani pozwalać współpracownikowi lub wykonawcy, by użył jej zamiast Pana/Pani. - Proszę natychmiast zgłosić zgubioną lub zapomnianą kartę, bez czekania do następnego dnia. - Nigdy nie należy blokować drzwi przeciwpożarowych w pozycji otwartej ani odblokowywać ich dla własnej wygody. Jeśli przeszkadzają, proszę powiedzieć o tym ochronie. - Jeśli nieznajoma osoba chodzi sama, proszę uprzejmie zapytać, do kogo przyszła, a potem zaprowadzić ją do recepcji lub zaalarmować ochronę. ## Pułapki W opisach socjotechniki wracają trzy mechanizmy. Cytowane tu źródła dokumentują dwa pierwsze dla innych kanałów niż drzwi wejściowe, ale obowiązują one także w recepcji. - Udawany pośpiech. MITRE wskazuje wysyłanie kilku wiadomości sprawiających wrażenie pilnych, aby skłonić cel do odpowiedzi [4]. Przy wejściu brzmi to: „Spóźniam się, zespół na mnie czeka”. - Fałszywa wiarygodność. CISA zauważa, że atakujący może podawać się za serwisanta i okazywać na poparcie dokumenty tożsamości [1]. Strój i karta niczego nie dowodzą, dopóki oczekująca osoba tego nie potwierdzi. - Uprzejmość. Cytowane tu źródła o niej nie wspominają. Mimo to skłania ona do wpuszczenia kogoś, żeby go nie urazić. Grzeczna odmowa nie jest uchybieniem. Inna pułapka kryje się w tym, czego nie widać: małe urządzenie pod biurkiem lub w gniazdku sieciowym. MITRE wymienia wśród możliwości takiego sprzętu bierne podsłuchiwanie sieci, modyfikowanie ruchu, wstrzykiwanie naciśnięć klawiszy i dodawanie bezprzewodowych punktów dostępu [3]. Nieznane urządzenie lub kabel, który nie powinien tam być, się zgłasza, a nie odłącza samodzielnie. ## Prawdziwe przypadki ### DarkVishnya, banki zaatakowane przez bezpośrednie podłączenie MITRE przytacza grupę DarkVishnya, która fizycznie podłączyła urządzenia (Bash Bunny, Raspberry Pi, tanie netbooki i laptopy) w środowisku atakowanej organizacji, aby uzyskać dostęp do jej sieci lokalnej [3]. MITRE odsyła do analizy z 6 grudnia 2018 roku, zatytułowanej „DarkVishnya: Banks attacked through direct connection to local network” [3]. Cytowane tu źródła nie podają, w jaki sposób urządzenia trafiły do pomieszczeń. MITRE zaznacza też, że publicznie udokumentowane użycia przez szkodliwych aktorów są rzadkie, natomiast wiele zespołów testów penetracyjnych wykorzystuje takie dodatki sprzętowe jako pierwszy dostęp [3]. ## Źródła 1. CISA, „Avoiding Social Engineering and Phishing Attacks”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1199/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (dostęp 3 listopada 2026) 5. CISA, „Physical Security | Cybersecurity and Infrastructure Security Agency CISA”. https://www.cisa.gov/topics/physical-security (dostęp 3 listopada 2026) 6. NIST, „SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC”. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/kontrola-dostepu-karty-wejsciowe-goscie/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.