Co zrobić po otrzymaniu żądania lub groźby?

Pierwsza reakcja powinna być uporządkowana i adekwatna do rodzaju zagrożenia.

Szantaż w firmie nie zawsze dotyczy pieniędzy

Żądanie zapłaty jest tylko jednym ze scenariuszy.

Sprawca może próbować wymusić zmianę decyzji zarządu, podpisanie albo rozwiązanie umowy, wycofanie roszczenia, przekazanie informacji, udostępnienie systemu, pominięcie procedury bezpieczeństwa albo rezygnację z określonej kontroli.

Równie istotnym celem może być zaniechanie działania — niezgłoszenie incydentu, niewykonanie kontroli, przemilczenie nieprawidłowości czy pozostawienie procesu bez nadzoru.

Z punktu widzenia organizacji najważniejsze są cztery pytania:

W sprawach obejmujących kilka obszarów ryzyka wsparcie detektywistyczne dla firm i zarządów może uzupełniać działania prawne, techniczne i organizacyjne o niezależne ustalenia dotyczące faktów, osób i powiązań.

Gdy pracownik jest szantażowany, a rzeczywistym celem jest firma

Sprawca nie musi kontaktować się z zarządem.

Może wywierać presję na administratora systemu, osobę z działu finansowego, zakupów, ochrony, magazynu, handlowca albo innego pracownika posiadającego dostęp lub uprawnienia istotne dla funkcjonowania przedsiębiorstwa.

Źródłem nacisku może być informacja dotycząca życia prywatnego, zadłużenia, relacji osobistej, wcześniejszego zachowania albo inna okoliczność, której ujawnienia dana osoba się obawia.

Celem może być skłonienie pracownika do przekazania informacji, umożliwienia dostępu, pominięcia kontroli albo wykonania działania, którego normalnie by nie podjął.

Firma może początkowo dostrzegać wyłącznie skutki: nietypowe pobieranie dokumentów, próby uzyskiwania dostępu do dodatkowych informacji, odejście od procedury albo niewytłumaczalną decyzję.

Dlatego osoba, która z punktu widzenia systemu wygląda jak sprawca, sama może działać pod presją.

Pracownik widoczny w systemie jako źródło problemu nie musi być jego inicjatorem.

Jeżeli zdarzenie łączy się z kradzieżą, stratami, współdziałaniem osób wewnątrz i poza przedsiębiorstwem albo innymi nieprawidłowościami operacyjnymi, dodatkowym kontekstem może być wykrywanie nadużyć i kradzieży w firmie.

Groźba ujawnienia danych może być tylko częścią problemu

Sprawca może posiadać dane klientów lub pracowników, dokumentację finansową, korespondencję zarządu, projekty umów, informacje handlowe, dane dostępowe albo materiały objęte tajemnicą przedsiębiorstwa.

Pytanie:

„czy sprawca naprawdę je opublikuje?”

nie wystarcza.

Trzeba również ustalić:

skąd posiada te materiały, jak je uzyskał i do czego jeszcze mógł mieć dostęp.

Pojedynczy dokument przedstawiony w wiadomości może świadczyć o szerszym dostępie do systemu. Może też być materiałem historycznym, który nie potwierdza aktualnego dostępu.

Zakres zagrożenia powinien wynikać z ustaleń, a nie z deklaracji osoby wywierającej presję.

Szantaż a naruszenie ochrony danych osobowych

Jeżeli incydent dotyczy danych osobowych, organizacja powinna równolegle ocenić obowiązki wynikające z RODO.

Sama deklaracja sprawcy, że posiada dane, nie przesądza jeszcze o wystąpieniu naruszenia. Trzeba ustalić rzeczywisty zakres zdarzenia oraz potencjalne ryzyko dla osób fizycznych.

Jeżeli naruszenie podlega zgłoszeniu, administrator powinien zawiadomić Prezesa UODO bez zbędnej zwłoki — w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Nie trzeba przy tym czekać na zakończenie pełnego postępowania wyjaśniającego. Jeżeli wszystkich informacji nie można ustalić od razu, przepisy przewidują możliwość przekazywania ich sukcesywnie, bez zbędnej zwłoki.

Groźba sabotażu jako narzędzie nacisku

Sabotaż i szantaż nie są tym samym zjawiskiem.

Mogą jednak wystąpić w jednym scenariuszu, jeżeli sprawca grozi zakłóceniem działalności, uszkodzeniem infrastruktury, zablokowaniem systemu, usunięciem danych albo dezaktywacją zabezpieczeń, aby wymusić określone zachowanie organizacji.

Dla zarządu ważne jest wtedy nie tylko to, co sprawca zapowiada, ale także czy posiada realną możliwość wykonania groźby.

Czy miał dostęp? Czy zna sposób funkcjonowania systemu lub procedury? Czy przedstawione materiały mogą pochodzić z wnętrza organizacji? Czy zdarzenie poprzedzała nietypowa aktywność?

Groźba może być blefem. Może również wskazywać na już istniejący dostęp.

Nie zaczynaj automatycznie od konfrontacji — najpierw zabezpiecz sytuację

Jeżeli firma podejrzewa konkretną osobę, rozmowa może być jednym z właściwych działań. Nie zawsze jednak powinna być pierwszym.

Przedwczesna konfrontacja może prowadzić do usunięcia materiału, zmiany sposobu komunikacji albo utraty informacji potrzebnych do wyjaśnienia mechanizmu zdarzenia.

Nie oznacza to czekania z ochroną organizacji.

Jeżeli istnieje nieuprawniony dostęp albo zagrożenie dla ludzi, danych, infrastruktury czy procesów, należy je ograniczyć niezależnie od tego, czy zakończono już ustalanie źródła problemu.

Ograniczenie szkody i weryfikacja hipotezy powinny być prowadzone równolegle.

Termin wyznaczony przez sprawcę jest elementem ryzyka

Groźby często zawierają krótki termin: godzinę, kilka godzin albo jeden dzień.

Takiego terminu nie należy ignorować, ale nie powinien on automatycznie zastępować procesu decyzyjnego organizacji.

Zarząd powinien ustalić, co może wydarzyć się po jego upływie, czy sprawca ma możliwość wykonania groźby, jakie zabezpieczenia można uruchomić wcześniej i jak organizacja zareaguje, jeżeli groźba zostanie zrealizowana.

Presja czasu jest częścią incydentu, a nie metodą zarządzania nim.

Szantaż czy zgłoszenie sygnalisty?

Zapowiedź zgłoszenia nieprawidłowości nie oznacza automatycznie szantażu.

Ochrona przewidziana ustawą o ochronie sygnalistów zależy od spełnienia określonych warunków, w tym od tego, czy zgłaszający miał uzasadnione podstawy sądzić, że przekazywana informacja jest prawdziwa i dotyczy naruszenia prawa.

Przepisy przewidują również ochronę przed działaniami odwetowymi.

Firma powinna więc oddzielić treść potencjalnego zgłoszenia od ewentualnego żądania korzyści lub określonego zachowania w zamian za nieujawnienie informacji.

Nie każda niewygodna informacja jest szantażem.

Czego organizacja nie powinna robić?

Firma nie powinna usuwać wiadomości, publicznie oskarżać konkretnych osób przed potwierdzeniem faktów ani rozpowszechniać informacji o incydencie szerzej, niż jest to potrzebne.

Nie należy podejmować prób włamania do prywatnych urządzeń lub kont, instalować nielegalnych narzędzi ani prowadzić działań wykraczających poza obowiązujące przepisy.

Nie powinno się również automatycznie traktować zgłoszenia pracownika jako szantażu ani zakładać, że osoba wykonująca nietypowe działania musi być świadomym sprawcą.

Kiedy zgłosić sprawę Policji lub prokuraturze?

„Szantaż” jest określeniem potocznym i może obejmować różne zachowania.

Art. 191 Kodeksu karnego obejmuje m.in. zmuszanie innej osoby przy użyciu przemocy wobec osoby lub groźby bezprawnej do określonego działania, zaniechania lub znoszenia.

W określonych scenariuszach majątkowych znaczenie może mieć również art. 282 § 2 k.k. Przepis dotyczy działania w celu osiągnięcia korzyści majątkowej, gdy sprawca poprzez określoną w ustawie groźbę dotyczącą informacji naruszających cześć, prywatność albo zaufanie potrzebne dla stanowiska, zawodu lub rodzaju działalności doprowadza inną osobę do rozporządzenia mieniem albo do zaprzestania lub ograniczenia działalności gospodarczej.

Nie każdy przypadek potocznie określany jako szantaż spełnia znamiona tych przepisów.

Ostateczna kwalifikacja zależy od konkretnego stanu faktycznego i należy do właściwych organów oraz profesjonalnej oceny prawnej.

Jeżeli istnieje podejrzenie popełnienia przestępstwa, przedsiębiorstwo powinno rozważyć zawiadomienie Policji lub prokuratury.

W przypadku bezpośredniego zagrożenia życia, zdrowia lub bezpieczeństwa należy korzystać z numeru 112.

Kiedy standardowa reakcja firmy może nie wystarczyć?

Nie każdy incydent wymaga zewnętrznego dochodzenia.

W wielu przypadkach część odpowiedzi można znaleźć w logach, dokumentacji, kontroli wewnętrznej albo działaniach zespołu prawnego i bezpieczeństwa.

Niezależne ustalenia stają się szczególnie uzasadnione, gdy:

• podejrzenie dotyczy osoby posiadającej szerokie uprawnienia albo stanowisko kierownicze;
• relacje uczestników są wzajemnie sprzeczne;
• trzeba zweryfikować osoby lub powiązania poza organizacją;
• część zdarzeń występuje poza systemami informatycznymi firmy;
• istnieje konflikt interesów utrudniający obiektywne wyjaśnienie sprawy;
• nie wiadomo, czy pracownik działa samodzielnie, wspólnie z innymi osobami czy pod presją;
• zarząd lub pełnomocnik potrzebuje uporządkowanej dokumentacji faktów.

Warto rozważyć zewnętrzne wsparcie szczególnie wtedy, gdy organizacja musi podjąć decyzję, ale dostępne informacje są niepełne, wzajemnie sprzeczne albo pochodzą od osób bezpośrednio zaangażowanych w zdarzenie.

Co może sprawdzić ProDetektyw?

Zakres działań powinien wynikać z konkretnego problemu i informacji potrzebnej zarządowi lub pełnomocnikowi.

W zależności od sprawy może obejmować analizę informacji, OSINT, weryfikację osób i powiązań, odtworzenie chronologii zdarzeń, sprawdzenie konkretnych okoliczności poza organizacją oraz legalne działania terenowe.

Jeżeli problem dotyczy wewnętrznego mechanizmu nadużycia, konfliktu interesów albo współdziałania kilku osób, właściwym elementem projektu może być audyt śledczy i dochodzenie wewnętrzne.

ProDetektyw nie zastępuje Policji, prokuratury, kancelarii prawnej, IOD, IT ani zespołu cyberbezpieczeństwa.

Rolą zespołu jest uzupełnienie działań organizacji o niezależne ustalenia dotyczące faktów, osób, powiązań i okoliczności, których nie można wystarczająco wiarygodnie wyjaśnić wyłącznie przy użyciu standardowych narzędzi wewnętrznych.

Scenariusz decyzyjny: pracownik pod presją, firma jako rzeczywisty cel

Scenariusz przykładowy. Nie jest to opis konkretnej realizacji ProDetektyw.

01

Sytuacja

Organizacja zauważa nietypowe działania pracownika posiadającego dostęp do dokumentacji handlowej i informacji dotyczących klientów.

Pracownik zaczyna pobierać dokumenty wykraczające poza bieżące zadania i interesować się informacjami, do których wcześniej nie próbował uzyskiwać dostępu.

Naturalnym podejrzeniem może być świadome naruszenie procedur albo współpraca z podmiotem zewnętrznym.

Pojawia się jednak również druga możliwość: pracownik może sam znajdować się pod presją osoby trzeciej, która wykorzystuje informacje dotyczące jego życia prywatnego do wymuszenia określonego zachowania.

02

Problem decyzyjny zarządu

Czy pracownik świadomie współpracuje z innym podmiotem? Czy działa pod presją? Czy jego konto lub dane dostępowe zostały wykorzystane przez inną osobę? Czy informacje opuściły już organizację?

Każdy z tych scenariuszy oznacza inne ryzyko.

Zbyt szybkie przyjęcie jednej wersji może skierować działania firmy na niewłaściwy tor. Z drugiej strony pozostawienie szerokiego dostępu bez właściwych zabezpieczeń może zwiększać ryzyko.

Dlatego działania ochronne i ustalenia dotyczące mechanizmu zdarzenia powinny być prowadzone równolegle.

03

Zakres wyjaśnienia

Po stronie organizacji ograniczany jest zagrożony dostęp i zabezpieczane są dostępne ślady techniczne. Prawnik, IT oraz inne właściwe osoby oceniają obowiązki wynikające z charakteru incydentu.

Niezależne ustalenia mogą uzupełnić tę pracę o odtworzenie chronologii, weryfikację legalnie dostępnych informacji dotyczących osób i podmiotów pojawiających się w sprawie, analizę istotnych powiązań oraz sprawdzenie określonych okoliczności poza systemami przedsiębiorstwa.

Istotnym elementem jest oddzielenie informacji potwierdzonych od przypuszczeń i wskazanie, które hipotezy znajdują potwierdzenie w materiale, a które wymagają dalszej weryfikacji.

Kontakt z pracownikiem powinien uwzględniać możliwość, że sam jest osobą pokrzywdzoną.

04

Rezultat informacyjny

Celem nie jest stworzenie jednej wygodnej wersji wydarzeń, lecz uporządkowanie obrazu sprawy.

W zależności od zakresu możliwe jest ustalenie chronologii, osób i relacji istotnych dla dalszej oceny oraz wskazanie elementów, których na podstawie dostępnego materiału nie można jednoznacznie potwierdzić.

Dzięki temu zarząd może oddzielić fakty od hipotez i ograniczyć ryzyko podejmowania decyzji wyłącznie na podstawie pierwszego podejrzenia.

05

Wartość dla organizacji

Najważniejsze pytanie nie zawsze brzmi wyłącznie:

„Co zrobił pracownik?”

Równie istotne może być:

„Dlaczego to zrobił, kto mógł na niego oddziaływać i czy problem obejmuje osoby lub podmioty spoza organizacji?”

Uporządkowane ustalenia mogą wspierać zarząd, dział bezpieczeństwa i pełnomocnika przy wyborze dalszych działań dotyczących ochrony informacji, odpowiedzialności poszczególnych osób i ewentualnego zawiadomienia właściwych organów.

Z praktyki ProDetektyw: szantaż osoby zarządzającej przedsiębiorstwem

Co otrzymuje klient?

W zależności od uzgodnionego zakresu współpraca może obejmować następujące rezultaty:

Działania prowadzimy w uzgodnionym zakresie, z wykorzystaniem legalnych metod, ustalonymi zasadami poufności i raportowania. W dokumentacji wskazujemy zarówno potwierdzone fakty, jak i ograniczenia przeprowadzonych ustaleń.

Nie gwarantujemy identyfikacji każdego sprawcy, zatrzymania publikacji danych ani określonego wyniku postępowania.

Jak rozpoczynamy sprawę dotyczącą organizacji?

Takie podejście pozwala zachować kontrolę nad zakresem pracy, sposobem raportowania i kosztami projektu.

ProDetektyw – niezależne ustalenia dla firm

ProDetektyw działa od 2018 roku. Usługi detektywistyczne realizowane są w ramach działalności wpisanej do rejestru działalności regulowanej pod numerem RD-58/2020.

W sprawach biznesowych wspieramy przedsiębiorców, zarządy i kancelarie w ustalaniu faktów, analizie informacji i powiązań, wyjaśnianiu nieprawidłowości oraz prowadzeniu legalnych działań analitycznych i terenowych.

W zależności od charakteru sprawy współpracujemy ze sprawdzonymi specjalistami.

Zespołem kieruje Artur Idzikowski — licencjonowany detektyw i ekspert bezpieczeństwa z ponad 25-letnim doświadczeniem w działaniach operacyjnych, analizie ryzyka i sektorze prywatnym.

Nie każdą sprawę przyjmujemy. Najpierw oceniamy, czy zewnętrzne ustalenia mogą rzeczywiście dostarczyć informacji potrzebnych organizacji do ograniczenia ryzyka i podjęcia dalszej decyzji.

Więcej o doświadczeniu i standardzie pracy: zespół ProDetektyw.

FAQ

Źródła i metodologia

Odpowiedzialność merytoryczna