Os maiores ataques cibernéticos na Polônia (2020–2026)

Em resumo: os ataques cibernéticos a organizações polonesas (cyberataki w Polsce) estão aumentando rapidamente, e os números são públicos. O CERT Polska, a equipe nacional de resposta a incidentes administrada pela NASK, registrou 260.783 incidentes em 2025, o que representa um aumento de 152% em relação ao ano anterior. Por trás desses números estão alguns ataques que mudaram a forma como a Polônia encara a segurança: o ransomware contra a CD Projekt, o vazamento de dados médicos da ALAB, uma notícia falsa sobre mobilização divulgada pela agência de notícias estatal PAP e um ataque destrutivo a mais de 30 parques eólicos e solares em dezembro de 2025. A seguir: os doze casos mais bem documentados, o que eles têm em comum e o que significam no âmbito da lei NIS2 da Polônia.

Os maiores ataques em resumo

Linha do tempo: os ataques que marcaram a história da segurança cibernética na Polônia

2021: A CD Projekt e a caixa de correio do ministro

Em 9 de fevereiro de 2021, a CD Projekt, estúdio responsável por The Witcher e Cyberpunk 2077, anunciou que parte de sua rede havia sido criptografada e que os invasores alegavam estar de posse do código-fonte de seus jogos. A empresa afirmou que “não cederia às exigências nem negociaria” e restaurou os dados a partir de backups intactos. Em junho de 2021, os serviços de segurança ABW e SKW declararam que o grupo UNC1151 havia atacado mais de 4.000 contas de e-mail polonesas por meio de engenharia social, sendo que mais de 100 delas pertenciam a políticos e autoridades. Uma delas era a caixa de e-mail de Michał Dworczyk, então chefe da Chancelaria do Primeiro-Ministro, cujos e-mails foram posteriormente publicados na internet.

2022 e 2023: um hospital em Łódź, as ferrovias e a ALAB

No final de outubro de 2022, o Instytut Centrum Zdrowia Matki Polki, em Łódź, desativou parte de seus sistemas de TI para conter um ataque e voltou a utilizar registros em papel. Em 25 de agosto de 2023, um sinal não autorizado de “parada por rádio” — um comando de frenagem de emergência enviado pelo rádio ferroviário — atrasou cerca de 20 trens na região de Szczecin. Nenhum computador foi invadido, mas o incidente demonstrou o quanto os sistemas ferroviários mais antigos estão vulneráveis. Em 19 de novembro de 2023, a rede de laboratórios ALAB Laboratoria foi atacada. O grupo RA World divulgou resultados de exames de dezenas de milhares de pacientes entre 2017 e 2023, incluindo números PESEL e endereços. A ALAB se recusou a negociar.

2024: uma notícia falsa divulgada pela agência de notícias estatal

Em 31 de maio de 2024, a agência de notícias Polska Agencja Prasowa (PAP) divulgou duas vezes uma notícia alegando que a Polônia anunciaria uma mobilização parcial em 1º de julho e enviaria 200 mil cidadãos para a Ucrânia. A notícia era falsa e foi retirada das duas vezes. De acordo com a RMF FM, os invasores haviam assumido o controle da conta de um funcionário da PAP por meio de malware. O ministro de Assuntos Digitais, Krzysztof Gawkowski, afirmou que o ataque foi, muito provavelmente, obra do “lado russo”. O Ministério Público de Varsóvia abriu uma investigação e a encaminhou à ABW.

2025: a EuroCert, a agência espacial, um hospital de Cracóvia e o abastecimento de água da cidade

Na noite de 12 de janeiro de 2025, um ransomware criptografou os servidores da EuroCert, uma das poucas provedoras polonesas de assinaturas eletrônicas qualificadas. Números PESEL, números de carteiras de identidade e dados de login de clientes e funcionários foram expostos, e o governo orientou os clientes da EuroCert a alterarem suas credenciais. Reportagens da mídia atribuíram o ataque ao grupo RansomHub, que alegou estar de posse de 65 GB de dados. Em 2 de março, a Agência Espacial Polonesa (Polska Agencja Kosmiczna, POLSA) desconectou sua rede da internet após uma invasão. Em 8 de março, o hospital do Ministério do Interior em Cracóvia (Szpital MSWiA) foi atingido por um ransomware; seu diretor falou em uma recuperação em “dias e semanas, não em horas”. E, em 13 de agosto, uma grande cidade não identificada quase ficou sem abastecimento de água, disse Gawkowski um dia depois. O ataque foi contido a tempo.

Dezembro de 2025: limpadores de para-brisa contra parques eólicos e solares

Em 29 de dezembro de 2025, um ataque coordenado atingiu pelo menos 30 parques eólicos e fotovoltaicos, uma usina de cogeração que fornece aquecimento a quase meio milhão de clientes e uma empresa de manufatura. O objetivo era a destruição, não o resgate. Os invasores apagaram os controladores e reiniciaram os dispositivos, o que interrompeu a conexão entre os parques e os operadores da rede elétrica, e tentaram executar um malware de apagamento chamado DynoWiper na usina, onde o software de segurança o bloqueou. Não houve perda de eletricidade nem de aquecimento. O ponto de entrada, conforme relatado pelo CERT Polska e resumido pela Help Net Security, era bastante comum: dispositivos FortiGate conectados à internet cuja VPN aceitava logins sem autenticação multifatorial.

2026: hospitais e dados de pacientes

Em um período de 25 dias em março de 2026, um ransomware atingiu o hospital regional de Szczecin, o grupo Bonifraterskie Centrum Medyczne — com hospitais em Katowice, Cracóvia e Łódź — e duas instituições de saúde menores. Em agosto, Gawkowski convocou o centro nacional de operações de segurança cibernética devido a um possível vazamento na MyDr, empresa que fornece software para consultórios médicos. A mídia mencionou dados de até 19 milhões de pessoas, um número que não foi confirmado. Em outubro, os invasores exploraram uma falha no sistema de solicitação de subsídios do Ministério da Cultura, que contava com cerca de 24 mil usuários registrados. No início de novembro de 2026, o ministério ainda estava analisando se os dados haviam sido copiados.

O que os casos poloneses têm em comum

• O ponto de entrada é um login, não uma vulnerabilidade de dia zero. No caso da PAP, foi a conta de um funcionário; na campanha de 2021, foi engenharia social; e no ataque ao setor de energia, foram contas de VPN sem autenticação de dois fatores. É por isso que o treinamento e a autenticação multifatorial (MFA) vêm em primeiro lugar.
• O setor de saúde é o mais afetado. Łódź em 2022, ALAB em 2023, Cracóvia em 2025 e quatro organizações em um mês em 2026. A equipe de resposta do próprio setor, a CSIRT CeZ, registrou 1.441 incidentes em 2025, mais de 60% a mais do que em 2024.
• Os fornecedores agravam ainda mais o dano. A EuroCert, a MyDr e a empresa de processamento que hospeda o sistema do Ministério da Cultura expuseram, cada uma delas, clientes que, por si só, não haviam cometido nenhuma falha.
• Recusar-se a pagar é a norma entre o público. Tanto a CD Projekt quanto a ALAB se recusaram. A CD Projekt pôde fazê-lo porque suas cópias de segurança estavam intactas.

A CERT Polska e os números por trás das manchetes

O CERT Polska faz parte do instituto de pesquisa NASK e atua como CSIRT NASK, uma das três equipes nacionais de resposta a incidentes, ao lado do CSIRT GOV (administrado pelo serviço de segurança ABW) e do CSIRT MON (das Forças Armadas). Em 2025, recebeu 658.320 denúncias e registrou 260.783 incidentes, contra 103.449 em 2024. As fraudes informáticas, principalmente phishing e sites falsos de investimento, representaram 97%. Também foram registrados 179 incidentes de ransomware, aproximadamente um a cada dois dias. Todas as equipes nacionais, juntas, lidaram com quase 273.000 incidentes em 2025, de acordo com o relatório anual do Ministério dos Assuntos Digitais.

O contexto geopolítico, conforme descrito pelas autoridades polonesas

Autoridades polonesas associam abertamente parte dessa atividade à Rússia e à Bielorrússia. A ABW e a SKW atribuíram a campanha de caixas de correio de 2021 ao UNC1151 e vincularam o grupo aos serviços secretos russos. Após a nota da PAP, o Ministério Público falou de pessoas agindo em nome de um serviço de inteligência estrangeiro. O resumo do governo sobre o relatório da CERT Polska classifica o ataque ao setor energético como algo preparado há muito tempo e vinculado ao Estado, e o associa aos grupos conhecidos como Static Tundra, Berserk Bear, Ghost Blizzard e Dragonfly. Duas ressalvas: a atribuição é uma avaliação feita por órgãos de inteligência e analistas, não um veredicto judicial. E o ataque com ransomware aos hospitais em 2026 é tratado pela polícia como obra de um grupo criminoso que busca dinheiro.

O que isso significa para as empresas polonesas no âmbito da nova Lei KSC

Desde 3 de abril de 2026, a Polônia possui sua lei NIS2: a Lei do Sistema Nacional de Cibersegurança (ustawa o krajowym systemie cyberbezpieczeństwa, KSC), em sua versão alterada. Ela transforma as lições acima em obrigações para entidades-chave e importantes em setores que vão da energia e saúde à indústria e ao setor alimentício: gestão de riscos, segurança da cadeia de suprimentos, autenticação multifatorial, notificação de incidentes em até 24 e 72 horas, educação dos funcionários e treinamento anual para a gestão. As obrigações completas entram em vigor a partir de 3 de abril de 2027. Nosso guia sobre a NIS2 explica o escopo, os prazos e as multas. Os maiores ataques na Alemanha, na Holanda e na Espanha apresentam os mesmos padrões.

O fator humano: para que treinar as equipes polonesas

1. Phishing em polonês impecável. O relatório anual do ministério descreve casos de phishing criados por IA, sem erros ortográficos e com vozes deepfake de gerentes. Pratique com os tipos de ataques de phishing que eles realmente enfrentam.
2. Testar em vez de presumir. Simulações de phishing revelam quem clicaria antes que um invasor descubra. A Guardey combina essas simulações com um desafio semanal e uma competição entre equipes, em vários idiomas, com relatórios aceitos pelos auditores para as normas NIS2 e ISO 27001.
3. Um segundo fator que afeta tudo o que está conectado à internet. Os invasores de dezembro de 2025 fizeram login por meio de uma VPN sem autenticação multifatorial.

Perguntas frequentes

Qual foi o maior ataque cibernético (cyberatak) na Polônia?

Pelo impacto potencial, o ataque de 29 de dezembro de 2025 a mais de 30 parques eólicos e solares e a uma usina de cogeração. Pela sensibilidade dos dados, o vazamento da ALAB em 2023. Pelo peso político, o comunicado falso de mobilização sobre o PAP em maio de 2024.

Quantos ataques cibernéticos ocorrem na Polônia por ano?

O CERT Polska registrou 260.783 incidentes em 2025, 152% a mais do que em 2024. Todas as equipes nacionais de resposta, juntas, lidaram com quase 273.000 incidentes.

Quem está por trás dos ataques de hackers (ataki hakerskie) contra a Polônia?

Na maioria, criminosos: 97% dos casos registrados pelo CERT Polska são fraudes cibernéticas, como o phishing. As autoridades polonesas atribuem vários ataques de grande repercussão, incluindo o ataque ao setor energético de dezembro de 2025, a grupos ligados ao Estado e apontam a Rússia e a Bielorrússia como responsáveis.

Onde se deve denunciar um ataque cibernético na Polônia?

Empresas e cidadãos devem comunicar-se ao CERT Polska (CSIRT NASK), e mensagens de texto suspeitas podem ser encaminhadas para o número 8080. As entidades-chave e importantes, nos termos da Lei KSC, comunicam incidentes graves por meio do sistema S46 do governo.