O cyberbezpieczeństwie napisano już wszystko. Że trzeba aktualizować systemy, stosować MFA, szkolić pracowników, robić kopie zapasowe, segmentować sieci i nie wystawiać paneli administracyjnych do internetu. Można więc uznać, że temat jest już trochę zużyty. Problem w tym, że w tym samym czasie cyberbezpieczeństwo przestało być wyłącznie problemem informatyków.
Liczby są wystarczająco wymowne. W 2025 roku CERT Polska otrzymał 658 320 zgłoszeń i na ich podstawie zarejestrował 260 783 unikalne incydenty bezpieczeństwa. To aż o 152 proc. więcej niż rok wcześniej. Zdecydowaną większość, bo 97 proc., stanowiły oszustwa komputerowe: phishing, fałszywe sklepy, wyłudzenia czy próby przejęcia danych logowania. Dodatkowo, CERT Polska poinformował, że jego specjaliści zidentyfikowali sześć podatności RouterOS, a dwie z nich można połączyć w sposób pozwalający na przejęcie pełnej kontroli nad urządzeniem bez uwierzytelnienia, jeżeli z internetu dostępna jest usługa SSH. Co jeszcze ważniejsze, potwierdzono, że ataki wykorzystujące te błędy są już obserwowane w internecie.
Nie oznacza to oczywiście, że co dwie minuty rosyjscy hakerzy atakują polską elektrownię. Mieszanie cyberprzestępczości z operacjami prowadzonymi przez państwa byłoby równie efektowne, co nieprawdziwe. Pokazuje jednak skalę środowiska, w którym funkcjonujemy. Cyberatak nie jest dzisiaj wydarzeniem nadzwyczajnym. Jest stałym elementem krajobrazu.
I na tym tle szczególnego znaczenia nabierają zdarzenia, których celem nie jest już zarobienie pieniędzy.
Kiedy nie chodzi o okup
29 grudnia 2025 roku zaatakowano co najmniej 30 farm wiatrowych i fotowoltaicznych, przedsiębiorstwo produkcyjne oraz dużą elektrociepłownię dostarczającą ciepło dla niemal pół miliona odbiorców. CERT Polska ocenił, że celem atakujących było zniszczenie systemów, a nie wymuszenie okupu. W raporcie specjaliści porównali taki rodzaj działania do celowego podpalenia.
Ransomware jest przestępstwem nastawionym najczęściej na pieniądze. Atak, którego celem jest skasowanie danych, unieruchomienie urządzeń albo pozbawienie operatora możliwości sterowania instalacją, zaczyna przypominać sabotaż.
Co więcej, sierpniowe uzupełnienie raportu CERT Polska pokazało, że grudniowa operacja była większa, niż początkowo sądzono. W drugiej elektrociepłowni, obsługującej około 50 tys. mieszkańców, napastnikom udało się zatrzymać turbinę parową oraz stację uzdatniania wody wykorzystywanej do celów technicznych. Kogeneracja została przerwana. Dopiero szybka reakcja pracowników sprawiła, że nie doszło do przerw w dostawach ciepła.
Jeszcze ciekawszy z punktu widzenia naszej branży jest sposób wejścia do infrastruktury. Atakujący wykorzystali dostęp do sieci OT poprzez prywatny APN. Błędna konfiguracja pozwalała urządzeniom znajdującym się w tej sieci komunikować się między sobą w sposób, który umożliwił przeprowadzenie ataku. CERT Polska zwrócił uwagę, że podobna konfiguracja była często spotykana również w innych polskich organizacjach.
To nie jest już tylko działalność cyberprzestępców
W styczniu CERT Polska wskazywał na istotne podobieństwa infrastruktury wykorzystanej podczas grudniowego ataku do działalności grupy znanej m.in. jako Static Tundra, Berserk Bear czy Dragonfly. ESET z umiarkowanym poziomem pewności przypisał użycie niszczącego malware DynoWiper grupie Sandworm powiązanej z Rosją.
W lipcu sytuacja stała się jeszcze bardziej jednoznaczna na poziomie politycznym. Unia Europejska oficjalnie wskazała 16. Centrum rosyjskiej Federalnej Służby Bezpieczeństwa jako podmiot odpowiedzialny za szeroko zakrojone działania w cyberprzestrzeni. W unijnym oświadczeniu wprost wymieniono Polskę oraz sabotaż infrastruktury krytycznej, w tym elektrociepłowni. UE nałożyła jednocześnie sankcje na dziewięć osób i cztery podmioty związane z rosyjskim ekosystemem cyberataków. I chyba tutaj dochodzimy do sedna.
Rosyjska wojna hybrydowa nie musi wyglądać jak scena z filmu, w której ktoś wciska czerwony przycisk i pół kraju nagle pogrąża się w ciemności. Jej skuteczność może polegać właśnie na czymś innym: ciągłym testowaniu zabezpieczeń, rekonesansie, pozyskiwaniu dostępów, wywoływaniu lokalnych zakłóceń, działaniach dezinformacyjnych, sabotażu i sprawdzaniu, jak zareagują państwo oraz operatorzy infrastruktury.
Polskie władze wymieniają obok niego akty sabotażu, uszkadzanie infrastruktury na Bałtyku, operacje dezinformacyjne czy prowokacje związane z naruszaniem przestrzeni powietrznej. Jeszcze 10 września premier Donald Tusk mówił o obawach dotyczących rosyjskich działań wymierzonych w przejścia graniczne między Polską a Ukrainą.
Nie chodzi więc o to, żeby za każdym niedziałającym routerem szukać FSB. Chodzi o zrozumienie, że część infrastruktury telekomunikacyjnej, energetycznej, wodociągowej czy transportowej znajduje się dziś w zupełnie innym środowisku zagrożeń niż pięć czy dziesięć lat temu.
Problem polega na tym, że ciągle mamy otwarte drzwi
Pod koniec sierpnia Najwyższa Izba Kontroli opublikowała wyniki kontroli zabezpieczeń operatorów usług kluczowych odpowiedzialnych m.in. za transport oraz dostawy energii i wody. Ocena nie była szczególnie optymistyczna. NIK uznała stosowane przez ośmiu skontrolowanych operatorów środki cyberbezpieczeństwa za niewystarczające i nieadekwatne do obecnego charakteru zagrożeń. Krytycznie oceniono również nadzór państwa nad częścią tych sektorów.
Jednocześnie w lipcu pełnomocnik rządu ds. cyberbezpieczeństwa musiał przypominać rzeczy absolutnie podstawowe: aktualizujcie urządzenia brzegowe, wyłączajcie dostęp do paneli administracyjnych z internetu, stosujcie VPN z MFA, ograniczajcie zarządzanie do zaufanych adresów IP, segmentujcie sieci i monitorujcie logi.
To może być najbardziej niepokojący fragment całej historii. Bo rosyjska cyberarmia, sztuczna inteligencja i nieznane podatności brzmią groźnie. Tymczasem czasami największym sprzymierzeńcem atakującego jest stary router, nieaktualny firmware, konto pozostawione po byłym pracowniku albo usługa wystawiona do internetu tylko na chwilę.
Ta chwila trwa siedem lat.
Czytaj także:
