Les cyberattaques les plus importantes en Pologne (2020-2026)

En bref : les cyberattaques visant des organisations polonaises (cyberataki w Polsce) connaissent une forte augmentation, et les chiffres sont publics. Le CERT Polska, l’équipe nationale d’intervention en cas d’incident gérée par le NASK, a enregistré 260 783 incidents en 2025, soit une hausse de 152 % par rapport à l’année précédente. Derrière ces chiffres se cachent plusieurs attaques qui ont bouleversé la perception de la sécurité en Pologne : le ransomware visant CD Projekt, la fuite de données médicales chez ALAB, la diffusion d’un faux avis de mobilisation par l’agence de presse nationale PAP et une attaque destructrice contre plus de 30 parcs éoliens et solaires en décembre 2025. Ci-dessous : les douze cas les mieux documentés, leurs points communs et leur portée au regard de la loi polonaise NIS2.

Aperçu des attaques les plus importantes

Chronologie : les attaques qui ont marqué l'histoire de la cybersécurité en Pologne

2021 : CD Projekt et la boîte aux lettres du ministre

Le 9 février 2021, CD Projekt, le studio à l’origine de The Witcher et de Cyberpunk 2077, a annoncé qu’une partie de son réseau avait été cryptée et que les pirates affirmaient détenir le code source de ses jeux. La société a déclaré qu’elle « ne céderait pas à leurs exigences et ne négocierait pas » et a restauré ses données à partir de sauvegardes intactes. En juin 2021, les services de sécurité ABW et SKW ont déclaré que le groupe UNC1151 avait ciblé plus de 4 000 comptes de messagerie polonais à l’aide de techniques d’ingénierie sociale, dont plus de 100 appartenaient à des responsables politiques et à des fonctionnaires. Parmi ceux-ci figurait la boîte mail de Michał Dworczyk, alors chef de la Chancellerie du Premier ministre, dont les e-mails ont par la suite été publiés en ligne.

2022 et 2023 : un hôpital à Łódź, les chemins de fer et l'ALAB

Fin octobre 2022, l’Instytut Centrum Zdrowia Matki Polki de Łódź a mis hors service une partie de ses systèmes informatiques pour endiguer une cyberattaque et est revenu à des dossiers papier. Le 25 août 2023, un signal de « radio-stop » non autorisé, c’est-à-dire une commande de freinage d’urgence transmise par la radio ferroviaire, a retardé une vingtaine de trains dans la région de Szczecin. Aucun ordinateur n’a été piraté, mais cet incident a montré à quel point les anciens systèmes ferroviaires sont vulnérables. Le 19 novembre 2023, la chaîne de laboratoires ALAB Laboratoria a été victime d’une cyberattaque. Le groupe RA World a publié les résultats d’analyses de dizaines de milliers de patients datant de 2017 à 2023, accompagnés de leurs numéros PESEL et de leurs adresses. ALAB a refusé de négocier.

2024 : une fausse dépêche diffusée par l'agence de presse nationale

Le 31 mai 2024, l’agence de presse Polska Agencja Prasowa (PAP) a diffusé à deux reprises un communiqué affirmant que la Pologne allait annoncer une mobilisation partielle le 1er juillet et envoyer 200 000 citoyens en Ukraine. Cette information était fausse et a été retirée à chaque fois. Selon RMF FM, les pirates avaient pris le contrôle du compte d’un employé de la PAP à l’aide d’un logiciel malveillant. Le ministre chargé des affaires numériques, Krzysztof Gawkowski, a déclaré que cette attaque était très probablement l’œuvre de « la partie russe ». Le parquet de Varsovie a ouvert une enquête et l’a confiée à l’ABW.

2025 : EuroCert, l'agence spatiale, un hôpital de Cracovie et le réseau d'eau d'une ville

Dans la nuit du 12 janvier 2025, un ransomware a chiffré les serveurs d’EuroCert, l’un des rares fournisseurs polonais de signatures électroniques qualifiées. Les numéros PESEL, les numéros de carte d’identité et les identifiants de connexion des clients et des employés ont été exposés, et le gouvernement a demandé aux clients d’EuroCert de modifier leurs identifiants. Selon les médias, l’attaque aurait été perpétrée par le groupe RansomHub, qui affirmait détenir 65 Go de données. Le 2 mars, l’Agence spatiale polonaise (Polska Agencja Kosmiczna, POLSA) a déconnecté son réseau d’Internet à la suite d’une intrusion. Le 8 mars, l’hôpital du ministère de l’Intérieur à Cracovie (Szpital MSWiA) a été victime d’un rançongiciel ; son directeur a évoqué une remise en état qui prendrait « des jours et des semaines, et non des heures ». Et le 13 août, une grande ville dont le nom n’a pas été divulgué a failli perdre son approvisionnement en eau, a déclaré M. Gawkowski le lendemain. L’attaque a été stoppée à temps.

Décembre 2025 : les essuie-glaces face aux parcs éoliens et solaires

Le 29 décembre 2025, une attaque coordonnée a frappé au moins 30 parcs éoliens et photovoltaïques, une centrale de cogénération qui alimente en chauffage près d’un demi-million de clients, ainsi qu’une entreprise industrielle. L’objectif était la destruction, et non le rançonnage. Les attaquants ont effacé les contrôleurs et réinitialisé les appareils, ce qui a coupé la liaison entre les parcs et les gestionnaires de réseau, et ont tenté d’exécuter un logiciel malveillant de type « wiper » appelé DynoWiper dans la centrale, où il a été bloqué par un logiciel de sécurité. Il n’y a eu aucune perte d’électricité ni de chaleur. Le point d’entrée, tel que décrit dans le rapport du CERT Polska et résumé par Help Net Security, était banal : des appareils FortiGate exposés à Internet dont le VPN acceptait les connexions sans authentification multifactorielle.

2026 : hôpitaux et données des patients

En l’espace de 25 jours en mars 2026, un ransomware a frappé l’hôpital régional de Szczecin, le groupe Bonifraterskie Centrum Medyczne – qui compte des hôpitaux à Katowice, Cracovie et Łódź – ainsi que deux établissements de soins de moindre envergure. En août, M. Gawkowski a convoqué le centre national des opérations de cybersécurité au sujet d’une fuite potentielle chez MyDr, un fournisseur de logiciels destinés aux cabinets médicaux. Les médias ont évoqué des données concernant jusqu’à 19 millions de personnes, un chiffre qui n’a pas été confirmé. En octobre, des pirates ont exploité une faille dans un système de demande de subventions du ministère de la Culture comptant environ 24 000 utilisateurs enregistrés. Début novembre 2026, le ministère cherchait toujours à déterminer si des données avaient été copiées.

Ce que les affaires polonaises ont en commun

• L'accès s'est fait via une connexion, et non par une faille « zero-day ». Chez PAP, il s'agissait du compte d'un employé ; lors de la campagne de 2021, d'une attaque par ingénierie sociale ; et dans le cas de l'attaque contre le secteur de l'énergie, de comptes VPN dépourvus d'authentification à deux facteurs. C'est pourquoi la formation et l'authentification multifactorielle (MFA) sont prioritaires.
• Le secteur de la santé est le plus durement touché. Łódź en 2022, ALAB en 2023, Cracovie en 2025, quatre organisations en un mois en 2026. L’équipe d’intervention du secteur, le CSIRT CeZ, a recensé 1 441 incidents en 2025, soit plus de 60 % de plus qu’en 2024.
• Les prestataires aggravent encore la situation. EuroCert, MyDr et le prestataire chargé de l'hébergement du système du ministère de la Culture ont chacun exposé des clients qui n'avaient pourtant rien fait de mal.
• Le refus de payer est la norme chez le grand public. CD Projekt et ALAB ont tous deux refusé. CD Projekt pouvait se le permettre, car ses sauvegardes étaient intactes.

CERT Polska et les chiffres qui se cachent derrière les gros titres

Le CERT Polska fait partie de l’institut de recherche NASK et fait office de CSIRT NASK, l’une des trois équipes nationales d’intervention en cas d’incident, aux côtés du CSIRT GOV (géré par les services de sécurité ABW) et du CSIRT MON (l’armée). En 2025, il a reçu 658 320 signalements et enregistré 260 783 incidents, contre 103 449 en 2024. La cyberfraude, principalement le phishing et les faux sites d'investissement, représentait 97 % de ces incidents. Elle a également recensé 179 incidents liés à des ransomwares, soit environ un tous les deux jours. Au total, l'ensemble des équipes nationales a traité près de 273 000 incidents en 2025, selon le rapport annuel du ministère des Affaires numériques.

Le contexte géopolitique, tel que le décrivent les autorités polonaises

Les autorités polonaises attribuent ouvertement une partie de ces activités à la Russie et à la Biélorussie. L’ABW et le SKW ont attribué la campagne de boîtes aux lettres de 2021 au groupe UNC1151 et ont établi un lien entre ce dernier et les services secrets russes. À la suite de la dépêche de la PAP, le parquet a évoqué des personnes agissant pour le compte d’un service de renseignement étranger. Le résumé par le gouvernement du rapport du CERT Polska qualifie cette cyberattaque contre le secteur énergétique de « préparée de longue date » et « liée à l’État », et la relie aux groupes connus sous les noms de Static Tundra, Berserk Bear, Ghost Blizzard et Dragonfly. Deux précisions s’imposent. L’attribution est une évaluation des services de renseignement et des analystes, et non un verdict judiciaire. Par ailleurs, l’attaque par ransomware contre les hôpitaux de 2026 est considérée par la police comme l’œuvre d’un groupe criminel motivé par l’appât du gain.

Conséquences pour les entreprises polonaises de la nouvelle loi KSC

Depuis le 3 avril 2026, la Pologne dispose de sa loi NIS2 : la loi modifiée sur le système national de cybersécurité (ustawa o krajowym systemie cyberbezpieczeństwa, KSC). Elle transpose les enseignements tirés ci-dessus en obligations pour les entités clés et importantes dans des secteurs allant de l’énergie et de la santé à l’industrie manufacturière et à l’agroalimentaire : gestion des risques, sécurité de la chaîne d’approvisionnement, authentification multifactorielle, signalement des incidents dans un délai de 24 et 72 heures, sensibilisation du personnel et formation annuelle des dirigeants. L'ensemble de ces obligations s'appliquera à compter du 3 avril 2027. Notre guide NIS2 explique le champ d'application, les délais et les amendes. Les attaques les plus importantes survenues en Allemagne, aux Pays-Bas et en Espagne présentent les mêmes caractéristiques.

Le facteur humain : à quoi former les équipes polonaises ?

1. Du phishing en polonais irréprochable. Le rapport annuel du ministère décrit des tentatives de phishing rédigées à l’aide de l’IA, sans aucune faute d’orthographe, et accompagnées de voix de dirigeants générées par deepfake. Entraînez-vous à repérer les types d’attaques de phishing auxquels ils sont réellement confrontés.
2. Tester plutôt que supposer. Les simulations de hameçonnage permettent d'identifier les personnes susceptibles de cliquer avant même qu'un pirate ne le découvre. Guardey les associe à un défi hebdomadaire et à une compétition par équipe, disponibles dans de nombreuses langues, avec des rapports reconnus par les auditeurs dans le cadre des normes NIS2 et ISO 27001.
3. Un deuxième facteur qui concerne tout ce qui est exposé à Internet. Les pirates de décembre 2025 se sont connectés via un VPN sans authentification multifactorielle.

Questions fréquentes

Quelle a été la plus grande cyberattaque (cyberatak) en Pologne ?

En termes d'impact potentiel : l'attaque du 29 décembre 2025 contre plus de 30 parcs éoliens et solaires ainsi qu'une centrale de cogénération. En termes de sensibilité des données : la fuite ALAB de 2023. En termes de poids politique : la fausse alerte de mobilisation concernant le PAP en mai 2024.

Combien y a-t-il de cyberattaques par an en Pologne ?

Le CERT Polska a recensé 260 783 incidents en 2025, soit 152 % de plus qu'en 2024. L'ensemble des équipes nationales d'intervention a traité près de 273 000 incidents.

Qui se cache derrière les cyberattaques (ataki hakerskie) contre la Pologne ?

Principalement des criminels : 97 % des incidents recensés par le CERT Polska sont des fraudes informatiques, telles que le hameçonnage. Les autorités polonaises attribuent plusieurs attaques très médiatisées, notamment celle visant le secteur énergétique en décembre 2025, à des groupes liés à des États et désignent la Russie et la Biélorussie comme responsables.

À qui faut-il signaler une cyberattaque en Pologne ?

Les entreprises et les particuliers signalent les incidents au CERT Polska (CSIRT NASK), et les SMS suspects peuvent être transférés au 8080. Les entités clés et importantes relevant de la loi KSC signalent les incidents graves via le système S46 du gouvernement.