Zespół CSIRT GOV co roku publikuje Raport o stanie bezpieczeństwa cyberprzestrzeni RP. W edycji za 2025 rok jeden z rozdziałów opisuje zagrożenia ze strony grup sponsorowanych i haktywistycznych. Zaczyna się od kampanii, która brzmi jak żart. Tyle że była prawdziwa. Na skrzynki pocztowe polskiej administracji rządowej trafiały w 2025 roku wiadomości z dwoma pozornie niewinnymi motywami. Pierwszy to zaproszenie na międzynarodową konferencję. Drugi to informacja o nowym programie wykorzystującym sztuczną inteligencję do modyfikowania zdjęć, z nazwą, która nie pozostawiała wątpliwości co do zamierzonego efektu: UndressAI. Wiadomości były sformatowane tak, żeby wyglądały na przekazaną dalej, zaufaną korespondencję, co miało uśpić czujność odbiorcy. Kto otworzył załączony plik, w rzeczywistości uruchamiał program, który tylko podszywał się pod dokument albo zdjęcie, a naprawdę był złośliwym oprogramowaniem wykradającym hasła, ciasteczka przeglądarki i historię przeglądania, wysyłane później na serwer atakującego. Za kampanią stała grupa APT28, według Zespołu CSIRT GOV od lat dominujące źródło zagrożenia o atrybucji rosyjskiej w polskiej cyberprzestrzeni.
To był jednak dopiero wstęp. Kolejna kampania tej samej grupy poszła o krok dalej. Złośliwe oprogramowanie o nazwie LAMEHUG, rozsyłane pod pretekstem tego samego motywu z generowaniem obrazów przez AI, po uruchomieniu łączyło się z modelem językowym hostowanym na platformie Hugging Face. Nie miało w swoim kodzie zaszytych złośliwych poleceń. Zamiast tego wysyłało zapytanie do sztucznej inteligencji i na bieżąco otrzymywało od niej komendy: jakie informacje zebrać o stacji roboczej, jakie pliki skopiować, dokąd je przenieść. Żeby uśpić czujność ofiary, w tle wyświetlał się obrazek faktycznie wygenerowany przez AI, zgodnie z obietnicą z maila. Zespół CSIRT GOV odnotował to jako pierwszy zarejestrowany przez siebie przypadek, w którym sztuczna inteligencja stała się integralnym elementem działania złośliwego oprogramowania, nie tylko jego marketingowym pretekstem.
Fałszywy zespół wsparcia Signal
Osobną kategorią zagrożeń w 2025 roku były ataki wymierzone bezpośrednio w konta w komunikatorach internetowych, coraz cenniejsze źródło informacji dla każdego, kto prowadzi działania szpiegowskie. Najbardziej rozpowszechniony schemat polegał na podszywaniu się pod zespół wsparcia aplikacji Signal. Ofiara dostawała wiadomość informującą rzekomo o wykrytej podejrzanej aktywności na jej koncie i proszona była o podanie kodu weryfikacyjnego SMS oraz kodu PIN w celu weryfikacji. Kto podał oba kody, tracił konto: atakujący przenosił je na własne urządzenie, zmieniał przypisany numer telefonu i skutecznie odcinał ofierze możliwość odzyskania dostępu. Dla osób z listy kontaktów ofiary pojawiał się tylko lakoniczny komunikat o zmianie numeru bezpieczeństwa, a rozmowa toczyła się dalej, tyle że już z atakującym po drugiej stronie.
Podobny mechanizm, tylko bardziej wyrafinowany, wykorzystano w ataku łączącym WhatsApp z Microsoft Teams. Atakujący, podszywając się pod przedstawiciela dyplomacji innego państwa, rozpoczynał na WhatsAppie rozmowę o rzekomym spotkaniu z ambasadorem, a link do spotkania przesyłał zarówno w czacie, jak i na służbową skrzynkę mailową ofiary. Cała operacja zmierzała do jednego celu: nakłonienia ofiary do zalogowania się do usługi Microsoft 365 i przekazania atakującemu wygenerowanego kodu autoryzacyjnego. Ten kod dawał dostęp do konta bez potrzeby znajomości hasła, technika znana jako token-based phishing, coraz istotniejsza w miarę jak firmy i instytucje przenoszą pocztę i dokumenty do chmury.
Poczta na Zimbrze jako słabe ogniwo
W 2025 roku odnotowano też serię incydentów wymierzonych w serwery poczty elektronicznej oparte na oprogramowaniu Zimbra, dotykających zarówno administrację publiczną, jak i firmy prywatne z sektora badawczo-rozwojowego, które bywają słabym ogniwem łańcucha dostaw dla instytucji kluczowych dla państwa. Atakujący wykorzystywali kombinację kilku podatności ujawnionych jeszcze w 2022 roku, w tym lukę pozwalającą na zdalne wykonanie kodu bez uwierzytelnienia, do umieszczania na serwerach narzędzi zdalnego dostępu i modyfikowania kodu panelu logowania tak, by przechwytywał loginy i hasła użytkowników w locie. Zidentyfikowano też oprogramowanie do wydobywania kryptowaluty zainstalowane na skompromitowanych serwerach. Ślady wskazują, że za tymi atakami mogły stać dwie różne rosyjskojęzyczne grupy APT, a także grupy przestępcze działające dla zysku. Wspólnym mianownikiem wszystkich udanych włamań był jeden fakt: łaty na wykorzystane podatności producent opublikował krótko po ich ujawnieniu w 2022 roku, ale nikt ich nie wdrożył.
Kocioł grzewczy jako trofeum propagandowe
Obok grup powiązanych bezpośrednio z rosyjskim państwem, w polskiej cyberprzestrzeni działały w 2025 roku prorosyjskie kolektywy haktywistyczne, najaktywniejsze pod szyldami NoName057(16) i Z-Pentest, koordynujące swoje działania między innymi pod wspólnym tagiem OpPoland. Ich głównym narzędziem pozostawały ataki DDoS na strony administracji publicznej, infrastruktury krytycznej i firm prywatnych, o ograniczonym realnym wpływie, ale intensywnie nagłaśniane jako dowód rzekomej skuteczności.
Bardziej niepokojący był inny wątek: próby uzyskania dostępu do przemysłowych paneli sterowania HMI, dostępnych bezpośrednio z internetu, zwykle bez zaawansowanych technik, tylko dzięki błędom konfiguracyjnym albo domyślnym hasłom, których nikt nie zmienił. Szczególnie narażone były systemy w infrastrukturze komunalnej: oczyszczalnie ścieków, stacje uzdatniania wody, instalacje grzewcze. Zespół CSIRT GOV odnotował przypadek opublikowania przez jedną z grup zrzutu ekranu z panelu sterowania kotłem grzewczym, do którego uzyskała dostęp, obok podobnych publikacji z kamer monitoringu wizyjnego znalezionych w sieci bez zabezpieczeń. W większości przypadków realny wpływ operacyjny tych włamań pozostawał ograniczony, liczyła się przede wszystkim demonstracja i propaganda, ale sam fakt, że infrastruktura komunalna bywa dostępna z otwartego internetu bez podstawowej ochrony, zostaje niezależnie od tego, czy akurat ktoś to wykorzysta w złych zamiarach, czy tylko na pokaz.
Białoruski UNC1151 i wybory prezydenckie
Białoruska grupa UNC1151 prowadziła w 2025 roku własne, równoległe kampanie, w tym jedną wycelowaną konkretnie w małe przedsiębiorstwa z sektora rolniczego, pod pretekstem rzekomych zmian w umowie ubezpieczeniowej albo w procedurach administracyjnych, z fałszywymi komunikatami podszywającymi się pod Generali Agro i ePUAP. Grupa prowadziła też stałe kampanie wymierzone w konta pocztowe Wirtualnej Polski i Onetu, umieszczając fałszywe panele logowania na przejętych stronach drobnych polskich przedsiębiorców i rozsyłając je do osób pełniących funkcje publiczne, żeby przejąć ich prywatną korespondencję. Osobno wykorzystywano podatność w oprogramowaniu Roundcube, pozwalającą wykraść dane logowania do poczty przez samo otwarcie odpowiednio spreparowanej wiadomości.
Najpoważniejszy test przypadł jednak na okres wyborów prezydenckich, które odbyły się na przełomie maja i czerwca 2025 roku. W ramach programu Parasol Wyborczy Zespół CSIRT GOV oceniał bezpieczeństwo systemów Krajowego Biura Wyborczego oraz systemu eWybory prowadzonego przez Ministerstwo Spraw Zagranicznych, identyfikując podatności, o których poinformowano odpowiedzialne za nie instytucje. Równolegle odnotowano nasilenie kampanii dezinformacyjnych wykorzystujących wizerunki kandydatów na prezydenta oraz partii politycznych, ze szczególnym naciskiem na fałszywe przekazy dotyczące wsparcia dla Ukrainy, obliczone na pogłębianie podziałów społecznych. Osoby sprawujące funkcje publiczne i kierownicze w państwie stały się celem kolejnej fali kampanii socjotechnicznych, zarówno dystrybuujących złośliwe oprogramowanie, jak i wyłudzających poświadczenia do poczty, a odpowiedzialność za te kampanie CSIRT GOV przypisuje właśnie grupie UNC1151. Infrastrukturę kluczową dla przebiegu wyborów uderzały też fale ataków DDoS, na bieżąco mitygowane. Ostatecznie, jak podaje raport, nie zidentyfikowano żadnego incydentu, który miałby istotny wpływ na bezpieczeństwo cybernetyczne przeprowadzonych wyborów.
Jedna grupa próbowała więc jednocześnie okraść rolników z danych do konta bankowego przez fałszywe ubezpieczenie, wyłudzić maile urzędnikom i wpłynąć na wybór prezydenta kraju. Czy to wciąż jest ta sama, pojedyncza kampania, czy trzy osobne fronty tej samej wojny prowadzonej innymi środkami?
Raport dostępny jest tutaj: https://www.abw.gov.pl/pl/aktualnosci/2841,Raport-o-stanie-bezpieczenstwa-cyberprzestrzeni-RP-w-2025-roku.html