29 grudnia 2025 roku ktoś dostał się do sieci wewnętrznej dużej elektrociepłowni dostarczającej ciepło dla blisko pół miliona odbiorców w Polsce. Nie był to przypadkowy incydent. Atakujący prowadził w tej infrastrukturze długotrwałą infiltrację. Ukradł wrażliwe informacje i zdobył dostęp do kont uprzywilejowanych, czyli kont administracyjnych z uprawnieniami znacznie szerszymi niż ma zwykły użytkownik. Taki dostęp pozwala poruszać się po całej sieci bez większych ograniczeń. W końcu spróbował uruchomić oprogramowanie typu wiper, które miało trwale zniszczyć dane i zablokować pracę urządzeń przemysłowych. Próba się nie powiodła. Złośliwe oprogramowanie zatrzymał system EDR, czyli Endpoint Detection and Response, oprogramowanie zabezpieczające, które w czasie rzeczywistym monitoruje zachowanie urządzeń w sieci. W odróżnieniu od klasycznego antywirusa, opartego na bazie znanych sygnatur, EDR potrafi rozpoznać i zablokować nawet nieznane wcześniej zagrożenie, jeśli jego działanie wygląda na destrukcyjne, na przykład masowe usuwanie plików systemowych. Tego samego dnia ten sam sprawca zaatakował też co najmniej trzydzieści farm wiatrowych i fotowoltaicznych oraz spółkę z sektora produkcyjnego, uszkadzając oprogramowanie sterowników i usuwając pliki systemowe. Farmy straciły łączność z operatorem sieci dystrybucyjnej, ale produkcja energii nie ucierpiała. Według raportu CERT Polska z tego incydentu, techniczne ślady ataku, takie jak serwery sterujące złośliwym oprogramowaniem i sposób poruszania się w sieci ofiary, pokrywają się z aktywnością znaną w branży pod nazwami Static Tundra, Berserk Bear, Ghost Blizzard i Dragonfly. Tak właśnie badacze bezpieczeństwa ustalają, kto stoi za atakiem, porównując te ślady z wcześniej obserwowanymi kampaniami. Różne firmy nadały tej samej grupie różne nazwy: Cisco mówi o niej Static Tundra, CrowdStrike Berserk Bear, Microsoft Ghost Blizzard, a Symantec Dragonfly. To klaster, który badacze bezpieczeństwa od lat łączą z Rosją. Był to jego pierwszy publicznie opisany atak o charakterze destrukcyjnym.
Zespół CSIRT GOV, prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego, opisuje ten incydent we wstępie do swojego dorocznego Raportu o stanie bezpieczeństwa cyberprzestrzeni RP za 2025 rok jako pierwszy w historii obowiązywania stopni alarmowych CRP atak o potencjale destrukcyjnym. Przypomina przy tym o atakach na elektrownie na Ukrainie w latach 2015, 2016 i 2022 i formułuje ostrzeżenie wprost: to, co wydarzyło się pod koniec grudnia, mogło być tylko testem odporności polskiego sektora energetycznego, a podobne ataki mogą pojawiać się coraz częściej.
Czym jest CSIRT i ile mamy ich w Polsce
CSIRT to skrót od Computer Security Incident Response Team, po polsku Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego. To wyspecjalizowana jednostka, która przyjmuje zgłoszenia o możliwych atakach czy podatnościach, potwierdza, czy rzeczywiście doszło do incydentu, koordynuje reakcję i informuje o zagrożeniach podmioty, których mogą dotyczyć. Ustawa o krajowym systemie cyberbezpieczeństwa z 5 lipca 2018 roku powołała w Polsce trzy zespoły CSIRT poziomu krajowego, każdy odpowiedzialny za inny wycinek państwa. CSIRT GOV, prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego, zajmuje się administracją publiczną oraz systemami teleinformatycznymi objętymi jednolitym wykazem infrastruktury krytycznej, i to jego raport za 2025 rok jest podstawą tego artykułu. CSIRT MON, prowadzony przez Ministra Obrony Narodowej, odpowiada za sferę wojskową. CSIRT NASK, prowadzony przez Naukową i Akademicką Sieć Komputerową, Państwowy Instytut Badawczy, obejmuje sferę cywilną, czyli między innymi obywateli, przedsiębiorców i samorządy, i to w jego strukturach działa CERT Polska, zespół, którego raport o ataku na energetykę cytujemy w tym tekście. Poza tymi trzema istnieją też zespoły sektorowe, jak CSIRT KNF dla sektora bankowego, którego perspektywę CSIRT GOV przywołuje we własnym raporcie jako uzupełnienie własnych obserwacji.
Ponad 23 tysiące zgłoszeń rocznie
W całym 2025 roku Zespół CSIRT GOV zarejestrował 23 136 zgłoszeń o potencjalnym wystąpieniu incydentu teleinformatycznego w swoim obszarze kompetencyjnym. Spośród nich 5033 zakwalifikowano jako faktyczne incydenty bezpieczeństwa. Rok wcześniej te liczby wynosiły odpowiednio 17 439 zgłoszeń i 3991 incydentów, a w 2023 roku 19 888 zgłoszeń i 4676 incydentów. Oznacza to wzrost liczby potwierdzonych incydentów rok do roku o ponad jedną czwartą. CSIRT GOV tłumaczy ten wzrost kilkoma czynnikami naraz: udoskonaleniem procedur zgłaszania i klasyfikowania zdarzeń, proaktywnym wykorzystaniem narzędzi do identyfikacji zagrożeń, rosnącą świadomością podmiotów objętych właściwością zespołu oraz intensyfikacją aktywności grup haktywistycznych.
Liczba faktycznych incydentów utrzymywała się przez cały 2025 rok na zbliżonym poziomie w każdym kwartale, od 1202 w pierwszym, przez 1237 w drugim i 1286 w trzecim, po 1308 w czwartym. Wyraźnie wzrosła za to liczba samych zgłoszeń w czwartym kwartale, do 7459, podczas gdy w trzecim kwartale wynosiła 5464. Innymi słowy, pod koniec roku do CSIRT GOV trafiało znacznie więcej sygnałów o potencjalnych zagrożeniach, ale odsetek tych, które faktycznie okazywały się incydentem, spadł.
Największy wzrost liczby incydentów odnotowano w kategorii podatność, gdzie ich liczba wzrosła z 1105 w 2024 roku do 1879 w 2025, głównie za sprawą zwiększonej skuteczności detekcji luk bezpieczeństwa w usługach i zasobach opublikowanych w internecie. Drugą kategorią z wyraźnym wzrostem była socjotechnika, z 815 do 1054 incydentów, gdzie CSIRT GOV zwraca uwagę na nowy element w krajobrazie zagrożeń: kampanie phishingowe i spearphishingowe coraz częściej opierają się na narzędziach wykorzystujących sztuczną inteligencję, która generuje wiadomości brzmiące wiarygodnie dla odbiorcy, tłumaczy je z języków obcych, a czasem nawet generuje komendy wykorzystywane przez samo złośliwe oprogramowanie. W tej samej kategorii raport odnotowuje też rosnące wykorzystanie kodów QR jako alternatywy dla linków, bo przenoszą atak na prywatny telefon ofiary, który zwykle jest słabiej chroniony i nieobjęty nadzorem administratora. Kategoria niedostępność, obejmująca głównie ataki DoS i DDoS, wzrosła z 478 do 636 incydentów, co CSIRT GOV wiąże z aktywnością grup haktywistycznych atakujących państwa NATO i Unii Europejskiej zaangażowane w pomoc dla Ukrainy, często w okresach szczególnie wrażliwych, jak rozliczenia podatkowe PIT. Jedynie kategoria publikacja pozostała na zbliżonym poziomie, z 902 do 860 incydentów.
Cztery zjawiska, które określiły rok
Zespół CSIRT GOV podsumowuje 2025 rok czterema dominującymi zjawiskami w polskiej cyberprzestrzeni. Pierwsze to utrzymująca się wysoka aktywność grup powiązanych z Rosją i Białorusią, wymierzona zarówno w administrację państwową i podmioty strategiczne, jak i w działania o charakterze wpływu informacyjnego oraz, jak pokazuje grudniowy atak na energetykę, potencjalnie destrukcyjne. Drugie to rozwój zdolności tak zwanych haktywistów prorosyjskich, którzy poza atakami DDoS i włamaniami do słabo zabezpieczonych paneli przemysłowych zaczęli w 2025 roku próbować uzyskiwać dostęp do systemów monitoringu wizyjnego, wyszukując udostępnione w sieci urządzenia i testując ich zabezpieczenia, choć skutki tych włamań pozostają zwykle znacznie mniejsze niż propagandowe sukcesy ogłaszane przez same grupy. Trzecie to nasilenie kampanii phishingowych i socjotechnicznych, prowadzonych już nie tylko mailem, ale i przez komunikatory internetowe, z treścią dostosowywaną na bieżąco do wydarzeń społecznych, gospodarczych i politycznych. Czwarte, i najbardziej nowe w tej edycji raportu, to wyraźny wzrost wykorzystania sztucznej inteligencji przez samych atakujących, zarówno do przygotowywania treści phishingowych, jak i do automatyzacji rozpoznania oraz tworzenia materiałów dezinformacyjnych.
Rok 2025 to też rok wyborów w Polsce, a wraz z nimi program Parasol Wyborczy, uruchomiony w lutym z inicjatywy Ministerstwa Cyfryzacji we współpracy z Ministerstwem Spraw Wewnętrznych i Administracji. W jego ramach CSIRT GOV prowadził ocenę bezpieczeństwa systemów i sieci IT organów wyborczych oraz szkolenia kadr. Wrogą aktywność dezinformacyjną i hakerską wobec tego procesu podjęła grupa UNC1151, która, jak zaznacza raport, po raz kolejny próbowała wpłynąć na przebieg demokratycznych wyborów w Polsce.
Cały ten rok upłynął pod znakiem trwającego stopnia alarmowego BRAVO-CRP i podwyższonego zagrożenia działaniami hybrydowymi, co raport opisuje wprost jako kontynuację stanu, w którym Polska funkcjonuje od wybuchu wojny w Ukrainie.
Sam raport ma 136 stron i osobne rozdziały poświęcone atakom przypisanym konkretnym grupom hakerskim, kategoriom złośliwego oprogramowania, statystykom systemu wczesnego ostrzegania ARAKIS GOV, wynikom ocen bezpieczeństwa systemów administracji publicznej prowadzonych przez CSIRT GOV, nietypowemu wektorowi ataków na szyfrowane komunikatory oraz osobnym perspektywom CSIRT KNF i CSIRT NASK. Do tych wątków wrócimy osobno w kolejnych tekstach.
Raport dostępny jest tutaj: https://www.abw.gov.pl/pl/aktualnosci/2841,Raport-o-stanie-bezpieczenstwa-cyberprzestrzeni-RP-w-2025-roku.html