I più gravi attacchi informatici in Polonia (2020–2026)

In breve: gli attacchi informatici contro le organizzazioni polacche (cyberataki w Polsce) stanno aumentando rapidamente e i dati sono di dominio pubblico. Il CERT Polska, il team nazionale di risposta agli incidenti gestito dal NASK, ha registrato 260.783 incidenti nel 2025, il 152% in più rispetto all’anno precedente. Dietro questi numeri si celano una serie di attacchi che hanno cambiato il modo in cui la Polonia concepisce la sicurezza: il ransomware ai danni di CD Projekt, la fuga di dati sanitari di ALAB, un falso comunicato di mobilitazione diffuso dall’agenzia di stampa statale PAP e un attacco distruttivo contro oltre 30 parchi eolici e solari nel dicembre 2025. Di seguito: i dodici casi meglio documentati, cosa hanno in comune e cosa significano alla luce della legge polacca NIS2.

I principali attacchi in sintesi

Cronologia: gli attacchi che hanno plasmato la sicurezza informatica polacca

2021: CD Projekt e la casella di posta del ministro

Il 9 febbraio 2021, CD Projekt, lo studio che ha realizzato The Witcher e Cyberpunk 2077, ha annunciato che parte della propria rete era stata crittografata e che gli autori dell’attacco sostenevano di essere in possesso del codice sorgente dei suoi giochi. L’azienda ha dichiarato che “non avrebbe ceduto alle richieste né negoziato” e ha ripristinato i dati da backup integri. Nel giugno 2021 i servizi di sicurezza ABW e SKW hanno dichiarato che il gruppo UNC1151 aveva preso di mira più di 4.000 account di posta elettronica polacchi con tecniche di ingegneria sociale, oltre 100 dei quali appartenenti a politici e funzionari. Uno di questi era l’account di Michał Dworczyk, allora capo della Cancelleria del Primo Ministro, le cui e-mail sono state successivamente pubblicate online.

2022 e 2023: un ospedale di Łódź, le ferrovie e l’ALAB

Alla fine di ottobre 2022 l’Instytut Centrum Zdrowia Matki Polki di Łódź ha disattivato parte dei propri sistemi informatici per contenere un attacco ed è tornato all’uso dei registri cartacei. Il 25 agosto 2023 un segnale di “radio-stop” non autorizzato, ovvero un comando di frenata di emergenza trasmesso via radio ferroviaria, ha causato il ritardo di circa 20 treni nella zona di Szczecin. Nessun computer è stato violato, ma l’episodio ha dimostrato quanto siano vulnerabili i sistemi ferroviari più datati. Il 19 novembre 2023 è stata colpita la catena di laboratori ALAB Laboratoria. Il gruppo RA World ha pubblicato i risultati degli esami di decine di migliaia di pazienti dal 2017 al 2023, completi di numeri PESEL e indirizzi. ALAB ha rifiutato di negoziare.

2024: una notizia falsa diffusa dall'agenzia di stampa statale

Il 31 maggio 2024 l’agenzia di stampa Polska Agencja Prasowa (PAP) ha diffuso due volte un dispaccio in cui si affermava che la Polonia avrebbe annunciato una mobilitazione parziale il 1° luglio e inviato 200.000 cittadini in Ucraina. La notizia era falsa ed è stata ritirata entrambe le volte. Secondo RMF FM, gli autori dell’attacco avevano preso il controllo dell’account di un dipendente della PAP tramite un malware. Il ministro per gli Affari digitali Krzysztof Gawkowski ha affermato che l’attacco era molto probabilmente opera della «parte russa». La procura di Varsavia ha avviato un’indagine e l’ha affidata all’ABW.

2025: EuroCert, l’agenzia spaziale, un ospedale di Cracovia e l’acquedotto della città

Nella notte del 12 gennaio 2025, un ransomware ha crittografato i server di EuroCert, uno dei pochi fornitori polacchi di firme elettroniche qualificate. Sono stati resi pubblici i numeri PESEL, i numeri delle carte d’identità e i dati di accesso di clienti e dipendenti, e il governo ha invitato i clienti di EuroCert a modificare le proprie credenziali. I media hanno attribuito l’attacco al gruppo RansomHub, che ha dichiarato di essere in possesso di 65 GB di dati. Il 2 marzo l’Agenzia spaziale polacca (Polska Agencja Kosmiczna, POLSA) ha disconnesso la propria rete da Internet a seguito di un’intrusione. L’8 marzo l’ospedale del Ministero dell’Interno a Cracovia (Szpital MSWiA) è stato colpito da un ransomware; il suo direttore ha parlato di un ripristino che richiederà «giorni e settimane, non ore». E il 13 agosto una grande città, di cui non è stato rivelato il nome, ha rischiato di rimanere senza acqua, ha dichiarato Gawkowski il giorno successivo. L’attacco è stato bloccato in tempo.

Dicembre 2025: tergicristalli contro i parchi eolici e solari

Il 29 dicembre 2025 un attacco coordinato ha colpito almeno 30 parchi eolici e fotovoltaici, una centrale di cogenerazione che fornisce riscaldamento a quasi mezzo milione di utenti e un’azienda manifatturiera. L’obiettivo era la distruzione, non il riscatto. Gli autori dell’attacco hanno cancellato i dati dai controller e resettato i dispositivi, interrompendo così il collegamento tra i parchi e gli operatori di rete, e hanno tentato di eseguire un malware di tipo “wiper” chiamato DynoWiper nella centrale, dove è stato bloccato dal software di sicurezza. Non si sono verificate interruzioni di elettricità o di riscaldamento. Il punto di ingresso, secondo il rapporto del CERT Polska riassunto da Help Net Security, era banale: dispositivi FortiGate esposti a Internet la cui VPN accettava accessi senza autenticazione a più fattori.

2026: ospedali e dati dei pazienti

Nel giro di 25 giorni nel marzo 2026, un attacco ransomware ha colpito l’ospedale regionale di Szczecin, il gruppo Bonifraterskie Centrum Medyczne – che gestisce ospedali a Katowice, Cracovia e Łódź – e due strutture sanitarie di minori dimensioni. Ad agosto, Gawkowski ha convocato il centro operativo nazionale per la sicurezza informatica in merito a una possibile fuga di dati presso MyDr, azienda che fornisce software agli studi medici. I media hanno parlato di dati relativi a un massimo di 19 milioni di persone, una cifra che non è stata confermata. A ottobre, gli autori dell’attacco hanno sfruttato una vulnerabilità nel sistema di richiesta di sovvenzioni del Ministero della Cultura, che contava circa 24.000 utenti registrati. All’inizio di novembre 2026 il ministero stava ancora valutando se i dati fossero stati copiati.

Cosa hanno in comune i casi polacchi

• Il punto di accesso è un login, non una vulnerabilità zero-day. Nel caso di PAP si trattava dell’account di un dipendente, nella campagna del 2021 si è ricorso all’ingegneria sociale, mentre nell’attacco al settore energetico sono stati utilizzati account VPN privi di autenticazione a due fattori. Ecco perché la formazione e l’autenticazione a più fattori (MFA) sono fondamentali.
• Il settore sanitario è quello più colpito. Łódź nel 2022, ALAB nel 2023, Cracovia nel 2025, quattro organizzazioni in un solo mese nel 2026. Il team di risposta del settore, il CSIRT CeZ, ha registrato 1.441 incidenti nel 2025, oltre il 60% in più rispetto al 2024.
• I fornitori aggravano il danno. EuroCert, MyDr e il gestore che ospita il sistema del Ministero della Cultura hanno esposto, ciascuno a proprio modo, clienti che non avevano commesso alcuna colpa.
• Rifiutarsi di pagare è la norma diffusa. Sia CD Projekt che ALAB hanno risposto di no. CD Projekt poteva farlo, perché le sue copie di backup erano intatte.

CERT Polska e i numeri dietro i titoli dei giornali

CERT Polska fa parte dell’istituto di ricerca NASK e opera come CSIRT NASK, uno dei tre team nazionali di risposta agli incidenti insieme al CSIRT GOV (gestito dal servizio di sicurezza ABW) e al CSIRT MON (delle forze armate). Nel 2025 ha ricevuto 658.320 segnalazioni e registrato 260.783 incidenti, contro i 103.449 del 2024. Le frodi informatiche, per lo più casi di phishing e siti di investimento fasulli, hanno rappresentato il 97% del totale. Sono stati inoltre registrati 179 incidenti legati al ransomware, circa uno ogni due giorni. Secondo il rapporto annuale del Ministero degli Affari Digitali, nel 2025 tutte le squadre nazionali insieme hanno gestito quasi 273.000 incidenti.

Il contesto geopolitico, così come lo descrivono le autorità polacche

I funzionari polacchi collegano apertamente parte di questa attività alla Russia e alla Bielorussia. L’ABW e lo SKW hanno attribuito la campagna di email del 2021 al gruppo UNC1151, collegandolo ai servizi segreti russi. Dopo il comunicato della PAP, la Procura ha parlato di persone che agivano per conto di un servizio di intelligence straniero. La sintesi del governo relativa al rapporto del CERT Polska definisce l’attacco al settore energetico come pianificato da tempo e legato allo Stato, collegandolo ai cluster noti come Static Tundra, Berserk Bear, Ghost Blizzard e Dragonfly. Due precisazioni: l’attribuzione è una valutazione dei servizi e degli analisti, non una sentenza del tribunale. Inoltre, il ransomware che ha colpito gli ospedali nel 2026 è considerato dalla polizia come opera di un gruppo criminale a scopo di lucro.

Cosa comporta per le imprese polacche la nuova legge KSC

Dal 3 aprile 2026 la Polonia dispone della propria normativa NIS2: la legge modificata sul sistema nazionale di sicurezza informatica (ustawa o krajowym systemie cyberbezpieczeństwa, KSC). Tale normativa traduce gli insegnamenti sopra riportati in obblighi per i soggetti chiave e importanti in settori che vanno dall’energia alla sanità, dall’industria manifatturiera al settore alimentare: gestione dei rischi, sicurezza della catena di approvvigionamento, autenticazione a più fattori, segnalazione degli incidenti entro 24 e 72 ore, formazione del personale e formazione annuale per il management. Gli obblighi completi entreranno in vigore il 3 aprile 2027. La nostra guida NIS2 illustra l’ambito di applicazione, le scadenze e le sanzioni. Gli attacchi più gravi verificatisi in Germania, nei Paesi Bassi e in Spagna presentano gli stessi schemi ricorrenti.

Il fattore umano: su cosa preparare le squadre polacche

1. Phishing in polacco impeccabile. Il rapporto annuale del ministero descrive attacchi di phishing redatti con l’intelligenza artificiale, senza errori ortografici e con voci deepfake dei dirigenti. Esercitatevi con i tipi di attacchi di phishing che devono effettivamente affrontare.
2. Testare invece di dare per scontato. Le simulazioni di phishing rivelano chi cliccherebbe prima ancora che un hacker lo scopra. Guardey le combina con una sfida settimanale e una competizione a squadre, disponibili in molte lingue, con report accettati dai revisori per le normative NIS2 e ISO 27001.
3. Un secondo fattore che riguarda tutto ciò che è connesso a Internet. Gli autori dell'attacco del dicembre 2025 hanno effettuato l'accesso tramite una VPN senza autenticazione a più fattori.

Domande frequenti

Qual è stato il più grave attacco informatico (cyberatak) in Polonia?

Per impatto potenziale, l’attacco del 29 dicembre 2025 contro oltre 30 parchi eolici e solari e una centrale termoelettrica. Per sensibilità dei dati, la fuga di notizie dall’ALAB del 2023. Per peso politico, il falso dispaccio di mobilitazione sul PAP nel maggio 2024.

Quanti attacchi informatici si verificano ogni anno in Polonia?

Nel 2025 il CERT Polska ha registrato 260.783 incidenti, il 152% in più rispetto al 2024. Tutte le squadre di risposta nazionali, nel loro insieme, ne hanno gestiti quasi 273.000.

Chi c'è dietro gli attacchi hacker (ataki hakerskie) contro la Polonia?

Per lo più criminali: il 97% dei casi registrati dal CERT Polska riguarda frodi informatiche come il phishing. Le autorità polacche attribuiscono diversi attacchi di grande risonanza, tra cui quello al settore energetico del dicembre 2025, a gruppi legati allo Stato e indicano come responsabili la Russia e la Bielorussia.

A chi si deve segnalare un attacco informatico in Polonia?

Le aziende e i cittadini segnalano i casi al CERT Polska (CSIRT NASK), mentre i messaggi di testo sospetti possono essere inoltrati al numero 8080. I soggetti chiave e di rilievo ai sensi della legge KSC segnalano gli incidenti gravi tramite il sistema governativo S46.