De grootste cyberaanvallen in Polen (2020–2026)

In het kort: Het aantal cyberaanvallen op Poolse organisaties (cyberataki w Polsce) groeit hard, en de cijfers zijn openbaar. CERT Polska, het nationale responsteam van onderzoeksinstituut NASK, registreerde in 2025 260.783 incidenten. Dat is 152% meer dan een jaar eerder. Achter die cijfers zit een handvol aanvallen die hebben veranderd hoe Polen over beveiliging denkt: de ransomware bij CD Projekt, het lek met medische gegevens bij ALAB, een vals bericht over mobilisatie bij persbureau PAP en een vernietigende aanval op meer dan 30 wind- en zonneparken in december 2025. Hieronder: de twaalf best gedocumenteerde zaken, wat ze gemeen hebben en wat ze betekenen onder de Poolse NIS2 wet.

De grootste aanvallen in één oogopslag

Tijdlijn: de aanvallen die de Poolse cybersecurity hebben gevormd

2021: CD Projekt en de mailbox van de minister

Op 9 februari 2021 maakte CD Projekt, de studio achter The Witcher en Cyberpunk 2077, bekend dat een deel van het netwerk was versleuteld en dat de aanvallers zeiden de broncode van de games in handen te hebben. Het bedrijf liet weten dat het "niet zou toegeven aan de eisen en niet zou onderhandelen" en herstelde vanaf intacte back-ups. In juni 2021 verklaarden de veiligheidsdiensten ABW en SKW dat de groep UNC1151 met social engineering meer dan 4.000 Poolse e-mailaccounts had bestookt, waarvan ruim 100 van politici en ambtenaren. Eén daarvan was de mailbox van Michał Dworczyk, toen hoofd van de kanselarij van de premier. Zijn mails verschenen later online.

2022 en 2023: een ziekenhuis in Łódź, het spoor en ALAB

Eind oktober 2022 zette het Instytut Centrum Zdrowia Matki Polki in Łódź een deel van zijn IT systemen uit om een aanval in te dammen en ging het terug naar papieren dossiers. Op 25 augustus 2023 vertraagde een onbevoegd "radio-stop" signaal, een noodremcommando via de spoorwegradio, ongeveer 20 treinen rond Szczecin. Er werd geen computer gehackt, maar het liet zien hoe kwetsbaar oudere spoorsystemen zijn. Op 19 november 2023 was laboratoriumketen ALAB Laboratoria aan de beurt. De groep RA World publiceerde testuitslagen van tienduizenden patiënten uit 2017 tot en met 2023, met PESEL nummers en adressen. ALAB weigerde te onderhandelen.

2024: een vals bericht bij het staatspersbureau

Op 31 mei 2024 verscheen op de nieuwsdienst van de Polska Agencja Prasowa (PAP) twee keer een bericht dat Polen op 1 juli een gedeeltelijke mobilisatie zou afkondigen en 200.000 burgers naar Oekraïne zou sturen. Het was vals en werd beide keren ingetrokken. Volgens RMF FM hadden de aanvallers met malware het account van een PAP medewerker overgenomen. Minister van Digitale Zaken Krzysztof Gawkowski zei dat de aanval hoogstwaarschijnlijk het werk was van "de Russische kant". Het Openbaar Ministerie in Warschau opende een onderzoek en droeg het over aan de ABW.

2025: EuroCert, het ruimtevaartagentschap, een ziekenhuis in Kraków en het water van een stad

In de nacht van 12 januari 2025 versleutelde ransomware de servers van EuroCert, een van de weinige Poolse aanbieders van gekwalificeerde elektronische handtekeningen. PESEL nummers, nummers van identiteitskaarten en inloggegevens van klanten en medewerkers kwamen op straat te liggen, en de regering riep klanten van EuroCert op hun inloggegevens te wijzigen. Media schreven de aanval toe aan de groep RansomHub, die zei 65 GB aan data te hebben. Op 2 maart koppelde het Poolse ruimtevaartagentschap (Polska Agencja Kosmiczna, POLSA) na een inbraak zijn netwerk los van internet. Op 8 maart werd het ziekenhuis van het ministerie van Binnenlandse Zaken in Kraków (Szpital MSWiA) getroffen door ransomware; de directeur sprak over herstel in "dagen en weken, niet uren". En op 13 augustus zat een grote stad, die niet bij naam werd genoemd, bijna zonder water, zei Gawkowski een dag later. De aanval werd op tijd gestopt.

December 2025: wipers tegen wind- en zonneparken

Op 29 december 2025 trof een gecoördineerde aanval minstens 30 wind- en zonneparken, een warmtekrachtcentrale die bijna een half miljoen afnemers verwarmt en een productiebedrijf. Het doel was vernietiging, geen losgeld. De aanvallers wisten controllers en zetten apparaten terug naar fabrieksinstellingen, waardoor de verbinding tussen de parken en de netbeheerders wegviel, en probeerden in de centrale wiper malware met de naam DynoWiper te starten, die door beveiligingssoftware werd tegengehouden. Er viel geen stroom of warmte uit. De ingang in het rapport van CERT Polska, samengevat door Help Net Security, was alledaags: FortiGate apparaten aan internet, met een VPN die logins zonder multifactorauthenticatie accepteerde.

2026: ziekenhuizen en patiëntgegevens

Binnen 25 dagen in maart 2026 trof ransomware het regionale ziekenhuis in Szczecin, de groep Bonifraterskie Centrum Medyczne met ziekenhuizen in Katowice, Kraków en Łódź, en twee kleinere zorgaanbieders. In augustus riep Gawkowski het nationale operationele centrum voor cybersecurity bijeen vanwege een mogelijk lek bij MyDr, een softwareleverancier voor artsenpraktijken. Media noemden gegevens van tot wel 19 miljoen mensen, een getal dat niet is bevestigd. In oktober misbruikten aanvallers een kwetsbaarheid in een subsidiesysteem van het ministerie van Cultuur met ongeveer 24.000 geregistreerde gebruikers. Begin november 2026 onderzocht het ministerie nog of er data was gekopieerd.

Wat de Poolse zaken gemeen hebben

• De ingang is een login, geen zero-day. Bij PAP was het het account van een medewerker, bij de campagne van 2021 social engineering, bij de energie aanval VPN accounts zonder tweede factor. Daarom komen training en MFA eerst.
• De zorg krijgt de hardste klappen. Łódź in 2022, ALAB in 2023, Kraków in 2025, vier organisaties in één maand in 2026. Het eigen responsteam van de sector, CSIRT CeZ, telde in 2025 1.441 incidenten, ruim 60% meer dan in 2024.
• Leveranciers vermenigvuldigen de schade. EuroCert, MyDr en de verwerker die het systeem van het ministerie van Cultuur hostte, brachten elk klanten in de problemen die zelf niets fout hadden gedaan.
• Niet betalen is in het openbaar de norm. CD Projekt en ALAB zeiden allebei nee. CD Projekt kon dat, omdat de back-ups intact waren.

CERT Polska en de cijfers achter de krantenkoppen

CERT Polska is onderdeel van onderzoeksinstituut NASK en treedt op als CSIRT NASK, een van de drie nationale responsteams naast CSIRT GOV (van veiligheidsdienst ABW) en CSIRT MON (defensie). In 2025 kreeg het team 658.320 meldingen binnen en registreerde het 260.783 incidenten, tegen 103.449 in 2024. Computerfraude, vooral phishing en nepsites voor beleggingen, was goed voor 97%. Het team telde ook 179 ransomware incidenten, grofweg één per twee dagen. Alle nationale teams samen handelden in 2025 bijna 273.000 incidenten af, staat in het jaarverslag van het ministerie van Digitale Zaken.

De geopolitieke context, zoals de Poolse autoriteiten die beschrijven

Poolse functionarissen leggen bij een deel van deze activiteit openlijk een verband met Rusland en Belarus. ABW en SKW schreven de mailcampagne van 2021 toe aan UNC1151 en koppelden de groep aan Russische geheime diensten. Na het valse PAP bericht sprak het Openbaar Ministerie over mensen die voor een buitenlandse inlichtingendienst werkten. De samenvatting van de regering bij het rapport van CERT Polska noemt de energie aanval lang voorbereid en statelijk, en verbindt haar met de clusters die bekendstaan als Static Tundra, Berserk Bear, Ghost Blizzard en Dragonfly. Twee kanttekeningen. Toeschrijving is een inschatting van diensten en analisten, geen uitspraak van een rechter. En de ransomware bij ziekenhuizen in 2026 ziet de politie als het werk van een criminele groep die op geld uit is.

Wat dit betekent voor Poolse bedrijven onder de nieuwe KSC wet

Sinds 3 april 2026 heeft Polen zijn NIS2 wet: de gewijzigde wet op het nationale cybersecuritysysteem (ustawa o krajowym systemie cyberbezpieczeństwa, KSC). Die maakt van de lessen hierboven plichten voor essentiële en belangrijke entiteiten in sectoren van energie en zorg tot maakindustrie en voeding: risicobeheer, beveiliging van de toeleveringsketen, multifactorauthenticatie, incidentmeldingen binnen 24 en 72 uur, scholing voor medewerkers en jaarlijkse training voor het bestuur. De volledige verplichtingen gelden vanaf 3 april 2027. Onze NIS2 gids legt reikwijdte, deadlines en boetes uit. De grootste aanvallen in Duitsland, Nederland en Spanje laten dezelfde patronen zien.

De menselijke factor: waar je Poolse teams op traint

1. Phishing in foutloos Pools. Het jaarverslag van het ministerie beschrijft phishing die met AI is geschreven, zonder spelfouten, en deepfake stemmen van leidinggevenden. Oefen met de soorten phishing aanvallen die ze echt tegenkomen.
2. Testen in plaats van aannemen. Phishing simulaties laten zien wie zou klikken, voordat een aanvaller daarachter komt. Guardey combineert ze met een wekelijkse challenge en een teamcompetitie, in veel talen, met rapportages die auditors accepteren voor NIS2 en ISO 27001.
3. Een tweede factor op alles wat aan internet hangt. De aanvallers van december 2025 logden in via een VPN zonder multifactorauthenticatie.

Veelgestelde vragen

Wat was de grootste cyberaanval (cyberatak) in Polen?

Qua mogelijke impact de aanval van 29 december 2025 op meer dan 30 wind- en zonneparken en een warmtekrachtcentrale. Qua gevoeligheid van de gegevens het ALAB lek van 2023. Qua politiek gewicht het valse bericht over mobilisatie bij PAP in mei 2024.

Hoeveel cyberaanvallen zijn er per jaar in Polen?

CERT Polska registreerde in 2025 260.783 incidenten, 152% meer dan in 2024. Alle nationale responsteams samen handelden er bijna 273.000 af.

Wie zit er achter de hackeraanvallen (ataki hakerskie) op Polen?

Vooral criminelen: 97% van wat CERT Polska registreert is computerfraude zoals phishing. Een aantal spraakmakende aanvallen, waaronder de energie aanval van december 2025, schrijven de Poolse autoriteiten toe aan statelijke groepen. Ze wijzen daarbij naar Rusland en Belarus.

Waar meld je een cyberaanval in Polen?

Bedrijven en burgers melden bij CERT Polska (CSIRT NASK), en verdachte sms'jes kun je doorsturen naar 8080. Essentiële en belangrijke entiteiten onder de KSC wet melden ernstige incidenten via het S46 systeem van de overheid.