Los mayores ciberataques en Polonia (2020-2026)

En resumen: los ciberataques contra organizaciones polacas (cyberataki w Polsce) están aumentando rápidamente, y las cifras son públicas. CERT Polska, el equipo nacional de respuesta a incidentes gestionado por NASK, registró 260 783 incidentes en 2025, lo que supone un 152 % más que el año anterior. Detrás de esas cifras se esconden varios ataques que han cambiado la forma en que Polonia concibe la seguridad: el ransomware de CD Projekt, la filtración de datos médicos de ALAB, una noticia falsa sobre una movilización difundida por la agencia estatal de noticias PAP y un ataque destructivo contra más de 30 parques eólicos y solares en diciembre de 2025. A continuación: los doce casos mejor documentados, lo que tienen en común y lo que significan en el marco de la ley NIS2 de Polonia.

Resumen de los ataques más importantes

Cronología: los ataques que marcaron la evolución de la ciberseguridad en Polonia

2021: CD Projekt y el buzón del ministro

El 9 de febrero de 2021, CD Projekt, el estudio creador de The Witcher y Cyberpunk 2077, anunció que parte de su red había sido cifrada y que los atacantes afirmaban tener en su poder el código fuente de sus juegos. La empresa afirmó que «no cedería a las exigencias ni negociaría» y restauró los datos a partir de copias de seguridad intactas. En junio de 2021, los servicios de seguridad ABW y SKW afirmaron que el grupo UNC1151 había atacado más de 4.000 cuentas de correo electrónico polacas mediante ingeniería social, de las cuales más de 100 pertenecían a políticos y funcionarios. Una de ellas era el buzón de Michał Dworczyk, entonces jefe de la Cancillería del Primer Ministro, cuyos correos electrónicos se publicaron posteriormente en Internet.

2022 y 2023: un hospital de Łódź, los ferrocarriles y ALAB

A finales de octubre de 2022, el Instytut Centrum Zdrowia Matki Polki de Łódź desconectó parte de sus sistemas informáticos para contener un ataque y volvió a utilizar registros en papel. El 25 de agosto de 2023, una señal no autorizada de «radio-stop» —un comando de frenado de emergencia enviado a través de la radio ferroviaria— provocó el retraso de unos 20 trenes en los alrededores de Szczecin. No se pirateó ningún ordenador, pero el incidente puso de manifiesto lo vulnerables que son los sistemas ferroviarios más antiguos. El 19 de noviembre de 2023, la cadena de laboratorios ALAB Laboratoria sufrió un ataque. El grupo RA World publicó los resultados de las pruebas de decenas de miles de pacientes entre 2017 y 2023, junto con sus números PESEL y direcciones. ALAB se negó a negociar.

2024: una noticia falsa difundida por la agencia de noticias estatal

El 31 de mayo de 2024, la agencia de noticias Polska Agencja Prasowa (PAP) publicó en dos ocasiones una noticia en la que se afirmaba que Polonia anunciaría una movilización parcial el 1 de julio y enviaría a 200 000 ciudadanos a Ucrania. La noticia era falsa y fue retirada en ambas ocasiones. Según RMF FM, los atacantes se habían hecho con el control de la cuenta de un empleado de la PAP mediante un programa malicioso. El ministro de Asuntos Digitales, Krzysztof Gawkowski, afirmó que el ataque era, con toda probabilidad, obra de «la parte rusa». La fiscalía de Varsovia abrió una investigación y la remitió a la ABW.

2025: EuroCert, la agencia espacial, un hospital de Cracovia y el agua de una ciudad

En la noche del 12 de enero de 2025, un ransomware cifró los servidores de EuroCert, uno de los pocos proveedores polacos de firmas electrónicas cualificadas. Quedaron expuestos los números PESEL, los números de documento de identidad y los datos de acceso de clientes y empleados, y el Gobierno instó a los clientes de EuroCert a cambiar sus credenciales. Los medios de comunicación atribuyeron el ataque al grupo RansomHub, que afirmó tener en su poder 65 GB de datos. El 2 de marzo, la Agencia Espacial Polaca (Polska Agencja Kosmiczna, POLSA) desconectó su red de Internet tras sufrir una intrusión. El 8 de marzo, el hospital del Ministerio del Interior en Cracovia (Szpital MSWiA) fue víctima de un ataque de ransomware; su director habló de una recuperación en «días y semanas, no en horas». Y el 13 de agosto, una gran ciudad cuyo nombre no se ha revelado estuvo a punto de quedarse sin suministro de agua, según declaró Gawkowski al día siguiente. El ataque se detuvo a tiempo.

Diciembre de 2025: limpiaparabrisas contra los parques eólicos y solares

El 29 de diciembre de 2025, un ataque coordinado afectó al menos a 30 parques eólicos y fotovoltaicos, a una central de cogeneración que abastece de calefacción a casi medio millón de clientes y a una empresa manufacturera. El objetivo era la destrucción, no el rescate. Los atacantes borraron los controladores y reiniciaron los dispositivos, lo que cortó la conexión entre los parques y los operadores de la red eléctrica, e intentaron ejecutar un malware de borrado llamado DynoWiper en la central, donde el software de seguridad lo bloqueó. No se produjo ninguna pérdida de electricidad ni de calefacción. El punto de entrada, según el informe de CERT Polska resumido por Help Net Security, fue algo trivial: dispositivos FortiGate conectados a Internet cuya VPN aceptaba inicios de sesión sin autenticación multifactorial.

2026: hospitales y datos de pacientes

En un plazo de 25 días en marzo de 2026, un ataque de ransomware afectó al hospital regional de Szczecin, al grupo Bonifraterskie Centrum Medyczne —con hospitales en Katowice, Cracovia y Łódź— y a dos centros sanitarios más pequeños. En agosto, Gawkowski convocó al centro nacional de operaciones de ciberseguridad ante una posible filtración en MyDr, empresa que suministra software a consultas médicas. Los medios de comunicación mencionaron datos de hasta 19 millones de personas, una cifra que no se ha confirmado. En octubre, los atacantes aprovecharon una vulnerabilidad en un sistema de solicitud de subvenciones del Ministerio de Cultura, que contaba con unos 24 000 usuarios registrados. A principios de noviembre de 2026, el ministerio seguía analizando si se habían copiado los datos.

Lo que tienen en común los casos polacos

• El punto de entrada es un inicio de sesión, no una vulnerabilidad de día cero. En el caso de PAP se trató de la cuenta de un empleado; en la campaña de 2021, de ingeniería social; y en el ataque al sector energético, de cuentas de VPN sin autenticación de dos factores. Por eso la formación y la autenticación multifactorial (MFA) son lo primero.
• El sector sanitario es el más afectado. Łódź en 2022, ALAB en 2023, Cracovia en 2025 y cuatro organizaciones en un mes en 2026. El equipo de respuesta del propio sector, el CSIRT CeZ, registró 1.441 incidentes en 2025, más del 60 % que en 2024.
• Los proveedores agravan el daño. EuroCert, MyDr y el proveedor de servicios informáticos que aloja el sistema del Ministerio de Cultura han puesto en riesgo a clientes que, por su parte, no habían hecho nada malo.
• Negarse a pagar es lo habitual. Tanto CD Projekt como ALAB se negaron. CD Projekt pudo hacerlo porque sus copias de seguridad estaban intactas.

CERT Polska y las cifras que se esconden tras los titulares

CERT Polska forma parte del instituto de investigación NASK y actúa como CSIRT NASK, uno de los tres equipos nacionales de respuesta a incidentes, junto con el CSIRT GOV (dirigido por el servicio de seguridad ABW) y el CSIRT MON (del ejército). En 2025 recibió 658.320 notificaciones y registró 260.783 incidentes, frente a los 103.449 de 2024. El fraude informático, principalmente phishing y sitios web falsos de inversión, representó el 97 %. También se contabilizaron 179 incidentes de ransomware, aproximadamente uno cada dos días. Todos los equipos nacionales juntos gestionaron casi 273 000 incidentes en 2025, según el informe anual del Ministerio de Asuntos Digitales.

El contexto geopolítico, tal y como lo describen las autoridades polacas

Las autoridades polacas vinculan abiertamente parte de esta actividad con Rusia y Bielorrusia. La ABW y la SKW atribuyeron la campaña de buzones de correo de 2021 al grupo UNC1151 y relacionaron a este con los servicios secretos rusos. Tras la nota de la PAP, la Fiscalía se refirió a personas que actuaban en nombre de un servicio de inteligencia extranjero. El resumen del Gobierno sobre el informe de CERT Polska califica el ataque al sector energético de «preparado desde hace tiempo y vinculado al Estado», y lo relaciona con los grupos conocidos como Static Tundra, Berserk Bear, Ghost Blizzard y Dragonfly. Dos matizaciones: la atribución es una valoración de los servicios y analistas, no una sentencia judicial. Y el ataque con ransomware a los hospitales de 2026 es considerado por la policía como obra de un grupo delictivo que busca dinero.

Qué supone esto para las empresas polacas en virtud de la nueva Ley del Código de Sociedades Mercantiles (KSC)

Desde el 3 de abril de 2026, Polonia cuenta con su ley NIS2: la Ley del Sistema Nacional de Ciberseguridad modificada (ustawa o krajowym systemie cyberbezpieczeństwa, KSC). Esta ley convierte las lecciones mencionadas anteriormente en obligaciones para las entidades clave e importantes de sectores que van desde la energía y la sanidad hasta la industria manufacturera y la alimentación: gestión de riesgos, seguridad de la cadena de suministro, autenticación multifactorial, notificación de incidentes en un plazo de 24 y 72 horas, formación del personal y formación anual para la dirección. Las obligaciones completas entrarán en vigor a partir del 3 de abril de 2027. Nuestra guía sobre la NIS2 explica el ámbito de aplicación, los plazos y las multas. Los ataques más graves en Alemania, los Países Bajos y España siguen los mismos patrones.

El factor humano: para qué hay que formar a los equipos polacos

1. Phishing en un polaco impecable. El informe anual del ministerio describe casos de phishing redactados con inteligencia artificial, sin errores ortográficos y con voces «deepfake» de los directivos. Practica con los tipos de ataques de phishing a los que se enfrentan realmente.
2. Probar en lugar de dar cosas por sentadas. Las simulaciones de phishing revelan quién haría clic antes de que un atacante lo descubra. Guardey las combina con un reto semanal y una competición por equipos, en varios idiomas, con informes que los auditores aceptan para las normas NIS2 e ISO 27001.
3. Un segundo factor que afecta a todo lo que está conectado a Internet. Los atacantes de diciembre de 2025 iniciaron sesión a través de una VPN sin autenticación multifactorial.

Preguntas más frecuentes

¿Cuál fue el mayor ciberataque (cyberatak) que se ha producido en Polonia?

Por su impacto potencial, el ataque del 29 de diciembre de 2025 contra más de 30 parques eólicos y solares y una central de cogeneración. Por la sensibilidad de los datos, la filtración de ALAB de 2023. Por su relevancia política, el falso aviso de movilización sobre el PAP en mayo de 2024.

¿Cuántos ciberataques se producen al año en Polonia?

CERT Polska registró 260.783 incidentes en 2025, un 152 % más que en 2024. Todos los equipos de respuesta nacionales, en conjunto, gestionaron casi 273.000.

¿Quién está detrás de los ataques informáticos (ataki hakerskie) contra Polonia?

En su mayoría delincuentes: el 97 % de los casos registrados por CERT Polska son fraudes informáticos, como el phishing. Las autoridades polacas atribuyen varios ataques de gran repercusión, entre ellos el ataque al sector energético de diciembre de 2025, a grupos vinculados al Estado y señalan a Rusia y Bielorrusia.

¿Dónde se denuncia un ciberataque en Polonia?

Las empresas y los ciudadanos deben informar a CERT Polska (CSIRT NASK), y los mensajes de texto sospechosos pueden reenviarse al 8080. Las entidades clave e importantes, en virtud de la Ley KSC, notifican los incidentes graves a través del sistema S46 del Gobierno.