Największe cyberataki w Polsce (2020–2026)

W skrócie: Liczba cyberataków na polskie organizacje (cyberataki w Polsce) szybko rośnie, a dane są jawne. CERT Polska, krajowy zespół reagowania na incydenty prowadzony przez NASK, zarejestrował w 2025 roku 260 783 incydentów, czyli o 152% więcej niż rok wcześniej. Za tymi liczbami kryje się kilka ataków, które zmieniły sposób, w jaki Polska postrzega bezpieczeństwo: atak ransomware na CD Projekt, wyciek danych medycznych z ALAB, fałszywa informacja o mobilizacji opublikowana przez państwową agencję informacyjną PAP oraz niszczycielski atak na ponad 30 farm wiatrowych i słonecznych w grudniu 2025 roku. Poniżej: dwanaście najlepiej udokumentowanych przypadków, co je łączy i co oznaczają w świetle polskiej ustawy NIS2.

Największe ataki w skrócie

Kalendarium: ataki, które wpłynęły na rozwój polskiego cyberbezpieczeństwa

2021: CD Projekt i skrzynka pocztowa ministra

9 lutego 2021 roku CD Projekt, studio odpowiedzialne za „Wiedźmina” i „Cyberpunk 2077”, ogłosiło, że część jego sieci została zaszyfrowana, a atakujący twierdzili, że mają kod źródłowy ich gier. Firma oświadczyła, że „nie ulegnie żądaniom ani nie będzie negocjować” i przywróciła dane z nienaruszonych kopii zapasowych. W czerwcu 2021 r. służby bezpieczeństwa ABW i SKW poinformowały, że grupa UNC1151 za pomocą socjotechniki zaatakowała ponad 4000 polskich kont e-mailowych, z czego ponad 100 należało do polityków i urzędników. Jednym z nich była skrzynka pocztowa Michała Dworczyka, ówczesnego szefa Kancelarii Prezesa Rady Ministrów, którego e-maile zostały później opublikowane w sieci.

2022 i 2023: szpital w Łodzi, koleje i ALAB

Pod koniec października 2022 roku Instytut Centrum Zdrowia Matki Polki w Łodzi wyłączył część swoich systemów informatycznych, żeby powstrzymać atak, i wrócił do dokumentacji papierowej. 25 sierpnia 2023 roku nieautoryzowany sygnał „radio-stop” – polecenie hamowania awaryjnego wysłane przez radiostację kolejową – opóźnił około 20 pociągów w okolicach Szczecina. Żaden komputer nie został zhakowany, ale pokazało to, jak bardzo narażone są starsze systemy kolejowe. 19 listopada 2023 r. atak dotknął sieć laboratoriów ALAB Laboratoria. Grupa RA World opublikowała wyniki badań dziesiątek tysięcy pacjentów z lat 2017–2023, wraz z numerami PESEL i adresami. ALAB odmówił negocjacji.

2024: fałszywa wiadomość w państwowej agencji informacyjnej

31 maja 2024 r. serwis Polskiej Agencji Prasowej (PAP) dwukrotnie opublikował depeszę, w której twierdzono, że Polska ogłosi 1 lipca częściową mobilizację i wyśle 200 000 obywateli na Ukrainę. Informacja ta była fałszywa i za każdym razem została wycofana. Według RMF FM hakerzy przejęli konto pracownika PAP za pomocą złośliwego oprogramowania. Minister ds. cyfryzacji Krzysztof Gawkowski stwierdził, że atak był najprawdopodobniej dziełem „strony rosyjskiej”. Prokuratura w Warszawie wszczęła śledztwo i przekazała sprawę do ABW.

2025: EuroCert, agencja kosmiczna, krakowski szpital i miejska woda

W nocy z 12 stycznia 2025 r. oprogramowanie ransomware zaszyfrowało serwery EuroCertu, jednego z nielicznych polskich dostawców kwalifikowanych podpisów elektronicznych. Do sieci wyciekły numery PESEL, numery dowodów osobistych oraz dane logowania klientów i pracowników, a rząd zalecił klientom EuroCertu zmianę danych logowania. W mediach podawano, że za atakiem stała grupa RansomHub, która twierdziła, że ma w posiadaniu 65 GB danych. 2 marca Polska Agencja Kosmiczna (POLSA) odłączyła swoją sieć od internetu po włamaniu. 8 marca szpital Ministerstwa Spraw Wewnętrznych i Administracji w Krakowie (Szpital MSWiA) padł ofiarą ataku ransomware; jego dyrektor mówił o przywróceniu normalnego funkcjonowania w ciągu „dni i tygodni, a nie godzin”. A 13 sierpnia pewne duże miasto, którego nazwy nie podano, prawie straciło dostęp do wody – powiedział dzień później Gawkowski. Atak udało się powstrzymać na czas.

Grudzień 2025 r.: wycieraczki przeciwko farmom wiatrowym i słonecznym

29 grudnia 2025 r. skoordynowany atak dotknął co najmniej 30 farm wiatrowych i fotowoltaicznych, elektrociepłownię ogrzewającą prawie pół miliona odbiorców oraz zakład produkcyjny. Celem było zniszczenie, a nie okup. Atakujący wyczyścili kontrolery i zresetowali urządzenia, co przerwało połączenie między farmami a operatorami sieci, a także próbowali uruchomić złośliwe oprogramowanie typu „wiper” o nazwie DynoWiper w elektrociepłowni, gdzie oprogramowanie zabezpieczające je zablokowało. Nie doszło do żadnych strat w dostawach prądu ani ciepła. Punktem wejścia, jak podaje raport CERT Polska podsumowany przez Help Net Security, były zwyczajne urządzenia FortiGate podłączone do internetu, których VPN akceptował logowanie bez uwierzytelniania wieloskładnikowego.

2026: szpitale i dane pacjentów

W ciągu 25 dni w marcu 2026 r. atak ransomware dotknął szpital regionalny w Szczecinie, grupę Bonifraterskie Centrum Medyczne z placówkami w Katowicach, Krakowie i Łodzi oraz dwóch mniejszych podmiotów świadczących usługi opieki zdrowotnej. W sierpniu Gawkowski zwołał posiedzenie krajowego centrum operacyjnego ds. cyberbezpieczeństwa w związku z możliwym wyciekiem danych w firmie MyDr, która dostarcza oprogramowanie do gabinetów lekarskich. Media mówiły o danych nawet 19 milionów osób, ale ta liczba nie została potwierdzona. W październiku hakerzy wykorzystali lukę w systemie składania wniosków o dotacje Ministerstwa Kultury, z którego korzystało około 24 000 zarejestrowanych użytkowników. Na początku listopada 2026 roku ministerstwo wciąż sprawdzało, czy dane zostały skopiowane.

Co łączy te polskie przypadki

• Dostęp uzyskano poprzez logowanie, a nie lukę typu zero-day. W przypadku PAP było to konto pracownika, w kampanii z 2021 roku – socjotechnika, a w ataku na sektor energetyczny – konta VPN bez uwierzytelniania dwuskładnikowego. Dlatego szkolenia i uwierzytelnianie wieloskładnikowe są najważniejsze.
• Najbardziej ucierpiała służba zdrowia. Łódź w 2022 r., ALAB w 2023 r., Kraków w 2025 r., a w 2026 r. aż cztery organizacje w ciągu jednego miesiąca. CSIRT CeZ, czyli zespół reagowania tego sektora, odnotował w 2025 r. 1 441 incydentów, czyli o ponad 60% więcej niż w 2024 r.
• Dostawcy tylko pogłębiają szkody. EuroCert, MyDr i operator obsługujący system Ministerstwa Kultury – każdy z nich naraził klientów, którzy sami nie zrobili nic złego.
• Odmowa zapłaty to powszechna praktyka. Zarówno CD Projekt, jak i ALAB odmówili. CD Projekt mógł sobie na to pozwolić, bo miał nienaruszone kopie zapasowe.

CERT Polska i liczby kryjące się za nagłówkami

CERT Polska jest częścią instytutu badawczego NASK i działa jako CSIRT NASK – jeden z trzech krajowych zespołów reagowania na incydenty, obok CSIRT GOV (prowadzonego przez służbę bezpieczeństwa ABW) i CSIRT MON (wojsko). W 2025 roku otrzymał 658 320 zgłoszeń i zarejestrował 260 783 incydentów, w porównaniu z 103 449 w 2024 roku. Oszustwa komputerowe, głównie phishing i fałszywe strony inwestycyjne, stanowiły 97% wszystkich zgłoszeń. Odnotowano też 179 incydentów związanych z oprogramowaniem ransomware, czyli mniej więcej jeden co dwa dni. Według rocznego raportu Ministerstwa Cyfryzacji wszystkie krajowe zespoły razem zajęły się w 2025 roku prawie 273 000 incydentów.

Kontekst geopolityczny, tak jak opisują go polskie władze

Polscy urzędnicy otwarcie łączą część tych działań z Rosją i Białorusią. ABW i SKW przypisały kampanię skrzynek pocztowych z 2021 roku grupie UNC1151 i powiązały ją z rosyjskimi służbami specjalnymi. Po depeszy PAP prokuratura wspomniała o osobach działających na zlecenie zagranicznej służby wywiadowczej. W rządowym podsumowaniu raportu CERT Polska atak na sektor energetyczny określono jako długo przygotowywany i powiązany z państwem, a także powiązano go z klastrami znanymi jako Static Tundra, Berserk Bear, Ghost Blizzard i Dragonfly. Dwa zastrzeżenia. Przypisanie odpowiedzialności to ocena służb i analityków, a nie wyrok sądowy. A atak ransomware na szpitale z 2026 roku jest traktowany przez policję jako dzieło grupy przestępczej, której chodzi o pieniądze.

Co to oznacza dla polskich firm w świetle nowej ustawy o KSC

Od 3 kwietnia 2026 r. w Polsce obowiązuje ustawa NIS2: znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC). Przekształca ona powyższe wnioski w obowiązki dla kluczowych i ważnych podmiotów w sektorach od energetyki i opieki zdrowotnej po produkcję i przemysł spożywczy: zarządzanie ryzykiem, bezpieczeństwo łańcucha dostaw, uwierzytelnianie wieloskładnikowe, zgłaszanie incydentów w ciągu 24 i 72 godzin, edukacja pracowników oraz coroczne szkolenia kadry kierowniczej. Pełne obowiązki zaczną obowiązywać od 3 kwietnia 2027 r. W naszym przewodniku po NIS2 wyjaśniamy zakres obowiązków, terminy i kary. Największe ataki w Niemczech, Holandii i Hiszpanii wykazują te same schematy.

Czynnik ludzki: do czego warto szkolić polskie zespoły

1. Phishing w bezbłędnym polskim. W rocznym raporcie ministerstwa opisano ataki phishingowe stworzone przez sztuczną inteligencję, bez błędów ortograficznych, z wykorzystaniem głosów menedżerów wygenerowanych techniką deepfake. Poćwicz z przykładami ataków phishingowych, z którymi faktycznie mają do czynienia.
2. Testuj, zamiast zakładać. Symulacje phishingu pokazują, kto by kliknął, zanim atakujący się o tym dowie. Guardey łączy je z cotygodniowym wyzwaniem i rywalizacją zespołową, dostępnymi w wielu językach, a raporty z tych testów są akceptowane przez audytorów w ramach norm NIS2 i ISO 27001.
3. Kolejny czynnik, który ma wpływ na wszystko, co dzieje się w sieci. Sprawcy ataku z grudnia 2025 roku zalogowali się przez VPN bez uwierzytelniania wieloskładnikowego.

Często zadawane pytania

Jaki był największy cyberatak w Polsce?

Pod względem potencjalnych skutków – atak z 29 grudnia 2025 r. na ponad 30 farm wiatrowych i słonecznych oraz elektrownię cieplną. Pod względem wrażliwości danych – wyciek z ALAB z 2023 r. Pod względem znaczenia politycznego – fałszywy komunikat o mobilizacji opublikowany w PAP w maju 2024 r.

Ile cyberataków ma miejsce w Polsce rocznie?

W 2025 roku CERT Polska odnotował 260 783 incydenty, czyli o 152% więcej niż w 2024 roku. Wszystkie krajowe zespoły reagowania zajęły się łącznie prawie 273 000 incydentów.

Kto stoi za atakami hakerskimi na Polskę?

Głównie przestępcy: 97% zgłoszeń rejestrowanych przez CERT Polska to oszustwa komputerowe, takie jak phishing. Polskie władze przypisują kilka głośnych ataków, w tym atak na sektor energetyczny z grudnia 2025 r., grupom powiązanym z państwem i wskazują na Rosję oraz Białoruś.

Gdzie w Polsce można zgłosić cyberatak?

Firmy i obywatele zgłaszają się do CERT Polska (CSIRT NASK), a podejrzane SMS-y można przesyłać na numer 8080. Kluczowe i ważne podmioty objęte ustawą o KSC zgłaszają poważne incydenty za pośrednictwem rządowego systemu S46.