ABW ujawnia skalę cyberataków. Polska pod ostrzałem

Dane są interesujące nie tylko ze względu na samą skalę problemu. Pokazują również, w jaki sposób zmienia się cyberwojna i dlaczego zabezpieczenie systemów komputerowych coraz częściej wymaga czegoś więcej niż tylko dobrego programu antywirusowego.

Raport Stan bezpieczeństwa cyberprzestrzeni RP w 2025 roku został opublikowany przez CSIRT GOV, czyli zespół reagowania na incydenty bezpieczeństwa komputerowego prowadzony przez szefa ABW. Odpowiada on m.in. za rozpoznawanie zagrożeń oraz reagowanie na incydenty dotyczące administracji publicznej i infrastruktury istotnej dla funkcjonowania państwa.

W 2025 r. do CSIRT GOV trafiło ponad 23 tys. zgłoszeń dotyczących potencjalnych incydentów. Ponad 5 tys. z nich zakwalifikowano ostatecznie jako rzeczywiste incydenty bezpieczeństwa. Trzynaście przypadków miało status incydentów poważnych.

Zgłoszenie potencjalnego incydentu nie oznacza automatycznie skutecznego włamania. Część sygnałów po analizie okazuje się zdarzeniami, które nie doprowadziły do naruszenia bezpieczeństwa.

Co więcej, wzrost liczby wykrywanych incydentów nie musi oznaczać wyłącznie tego, że atakujący stali się skuteczniejsi. CSIRT GOV zwraca uwagę również na poprawę procedur klasyfikowania zdarzeń, większe wykorzystanie narzędzi służących do aktywnego wykrywania zagrożeń oraz rosnącą świadomość instytucji.

Część wzrostu może więc wynikać z tego, że system coraz lepiej widzi to, co wcześniej pozostawało niezauważone.

Jednym z najbardziej widocznych trendów są podatności, czyli słabe punkty w systemach informatycznych, aplikacjach i usługach dostępnych z internetu.

W 2025 r. CSIRT GOV odnotował 1879 takich przypadków. Rok wcześniej było ich 1105. To wzrost o około 70 proc.

W tym miejscu warto rozdzielić dwie rzeczy, które często są ze sobą mylone. Wykrycie podatności nie oznacza, że ktoś włamał się do danego systemu. Oznacza natomiast, że znaleziono w nim miejsce, które może zostać wykorzystane przez atakującego.

System może działać prawidłowo przez lata, a jednocześnie posiadać lukę, która po znalezieniu przez odpowiednią osobę otworzy drogę do dalszych działań.

Wzrost liczby wykrywanych podatności CSIRT GOV wiąże przede wszystkim ze skuteczniejszym wyszukiwaniem luk w zasobach dostępnych z internetu.

Drugim ważnym elementem obrazu polskiego cyberbezpieczeństwa pozostaje socjotechnika. Metoda jest stara jak internet, ale narzędzia wykorzystywane przez atakujących zmieniają jej skuteczność.

Fałszywa wiadomość z prośbą o zalogowanie się na konto, dopłacenie do przesyłki czy potwierdzenie danych nie jest niczym nowym. Problem polega na tym, że przygotowanie takich kampanii jest dziś łatwiejsze niż wcześniej.

Dużą rolę odgrywa sztuczna inteligencja. Według CSIRT GOV atakujący wykorzystują ją między innymi do przygotowywania bardziej wiarygodnych wiadomości phishingowych. AI może pomóc stworzyć tekst poprawny językowo, dopasowany do konkretnej osoby i pozbawiony charakterystycznych błędów, które jeszcze kilka lat temu mogły zdradzić oszustwo.

Phishing przestaje być problemem wyłącznie związanym z tym, że ktoś dostaje wiadomość napisaną kiepską polszczyzną. Coraz częściej może wyglądać jak normalna korespondencja biznesowa albo komunikat od instytucji, z której usług użytkownik rzeczywiście korzysta.

Raport zwraca uwagę również na rosnące wykorzystanie kodów QR.

Mechanizm jest prosty. Zamiast klasycznego odnośnika ofiara otrzymuje kod, który trzeba zeskanować telefonem. Po wykonaniu tej czynności użytkownik może zostać przekierowany na fałszywą stronę logowania albo inną witrynę przygotowaną przez atakującego.

QR kody mają przy tym pewną przewagę nad tradycyjnymi linkami. Użytkownik nie zawsze widzi wcześniej adres strony, na którą zostanie przeniesiony. Dodatkowo atak przenosi się z komputera na smartfon, gdzie mechanizmy ochronne i sposób interakcji z użytkownikiem mogą wyglądać zupełnie inaczej.

Jest to kolejny przykład sytuacji, w której nie pojawia się żadna szczególnie nowa technologia ataku. Zmienia się natomiast sposób jej wykorzystania.

Osobnym problemem pozostaje aktywność grup haktywistycznych powiązanych z Rosją. Ich cele są związane m.in. z państwami wspierającymi Ukrainę, a Polska pozostaje jednym z istotnych celów takich działań.

ABW wskazuje na utrzymującą się wysoką aktywność grup powiązanych z Rosją i Białorusią oraz rozwój możliwości prorosyjskich grup haktywistycznych.

Najbardziej znanym narzędziem pozostają ataki DDoS, których celem jest przeciążenie serwera lub usługi tak dużą liczbą żądań, aby przestała ona prawidłowo działać.

Na tym jednak możliwości atakujących się nie kończą. Wśród obserwowanych działań pojawiają się również próby uzyskiwania dostępu do źle zabezpieczonych systemów wystawionych bezpośrednio do internetu. Szczególnie niebezpieczne są przypadki dotyczące urządzeń i systemów wykorzystywanych w środowiskach przemysłowych.

Najciekawszym elementem raportu jest jednak rosnąca rola sztucznej inteligencji. Nie chodzi przy tym o jeden konkretny rodzaj ataku.

AI może być wykorzystywana do przygotowania wiadomości phishingowej, tłumaczenia jej na inne języki, personalizowania treści pod konkretnego odbiorcę, tworzenia materiałów dezinformacyjnych czy wspomagania rozpoznania potencjalnych podatności.

To sprawia, że sztuczna inteligencja nie musi tworzyć zupełnie nowych metod ataku, aby zmienić sytuację. Wystarczy, że pozwoli szybciej i taniej stosować te, które są znane od lat.

Dla obrońców oznacza to coraz trudniejsze zadanie. Jeśli przygotowanie kampanii, wyszukiwanie potencjalnych celów i tworzenie przekonujących treści można częściowo automatyzować, atakujący mogą działać na znacznie większą skalę.

Raport CSIRT GOV pokazuje więc cyberbezpieczeństwo jako część szerszego problemu bezpieczeństwa państwa. Polska jest jednocześnie celem cyberataków, operacji cyberszpiegowskich oraz działań informacyjnych. Szczególne znaczenie mają administracja publiczna i podmioty strategiczne.

Autorzy raportu zwracają także uwagę na próby wykorzystywania podatności typu zero-day oraz problemy wynikające ze stosowania niewspieranego już oprogramowania i braku aktualizacji.

Wciąż pozostaje również czynnik ludzki. Nawet dobrze zabezpieczona infrastruktura może zostać zaatakowana przez pracownika, który kliknie odpowiedni link, zeskanuje kod QR albo poda dane na stronie łudząco podobnej do prawdziwej.

Raport przynosi również informację o szczególnym wydarzeniu z końca 2025 r. CSIRT GOV określa je jako pierwszy w cyberprzestrzeni RP atak o potencjale destrukcyjnym wymierzony w sektor energii.

Atak nie doprowadził do przerwania dostaw energii ani ciepła. Z punktu widzenia bezpieczeństwa państwa istotne jest jednak samo pojawienie się takiego scenariusza. Jak wskazują autorzy raportu, podobne działania mogą służyć sprawdzaniu odporności infrastruktury i w przyszłości pojawiać się częściej.

Wszystkie elementy mogą być częścią większego łańcucha. Najpierw ktoś rozpoznaje infrastrukturę, później znajduje jej słaby punkt albo próbuje zdobyć dane pracownika, a następnie wykorzystuje uzyskany dostęp do dalszych działań.

Najważniejszy wniosek z raportu jest bardziej złożony niż stwierdzenie, że cyberataków jest coraz więcej.

Rosnąca liczba zgłoszeń i wykrytych incydentów jest częściowo efektem tego, że administracja coraz sprawniej identyfikuje zagrożenia. Lepsze narzędzia monitorujące, skuteczniejsze procedury oraz większa świadomość pracowników sprawiają, że więcej zdarzeń trafia na radar służb.

Nie zmienia to jednak faktu, że po drugiej stronie również rosną możliwości. Sztuczna inteligencja obniża barierę wejścia i pozwala automatyzować zadania, które wcześniej wymagały znacznie większego nakładu czasu.

Dlatego przyszłość cyberbezpieczeństwa nie będzie polegała wyłącznie na wyścigu coraz lepszych programów zabezpieczających z coraz bardziej zaawansowanymi wirusami. Coraz większe znaczenie będzie miało szybkie wykrywanie podatności, aktualizowanie systemów, monitorowanie infrastruktury oraz świadomość ludzi, którzy z tych systemów korzystają.