Os maiores ciberataques na Polónia (2020–2026)

Resumindo: os ciberataques a organizações polacas (cyberataki w Polsce) estão a aumentar rapidamente, e os números são públicos. A CERT Polska, a equipa nacional de resposta a incidentes gerida pela NASK, registou 260 783 incidentes em 2025, o que representa um aumento de 152% em relação ao ano anterior. Por trás desses números estão alguns ataques que mudaram a forma como a Polónia encara a segurança: o ransomware da CD Projekt, a fuga de dados médicos da ALAB, uma notícia falsa sobre mobilização na agência noticiosa estatal PAP e um ataque destrutivo a mais de 30 parques eólicos e solares em dezembro de 2025. A seguir: os doze casos mais bem documentados, o que têm em comum e o que significam ao abrigo da lei NIS2 da Polónia.

Os maiores ataques num relance

Cronologia: os ataques que marcaram a cibersegurança polaca

2021: A CD Projekt e a caixa de correio do ministro

A 9 de fevereiro de 2021, a CD Projekt, o estúdio por trás de The Witcher e Cyberpunk 2077, anunciou que parte da sua rede tinha sido encriptada e que os atacantes alegavam ter o código-fonte dos seus jogos. A empresa disse que «não cederia às exigências nem negociaria» e restaurou tudo a partir de cópias de segurança intactas. Em junho de 2021, os serviços de segurança ABW e SKW afirmaram que o grupo UNC1151 tinha atacado mais de 4 000 contas de e-mail polacas com engenharia social, sendo que mais de 100 delas pertenciam a políticos e funcionários públicos. Uma delas era a caixa de correio de Michał Dworczyk, na altura chefe da Chancelaria do Primeiro-Ministro, cujos e-mails foram posteriormente publicados online.

2022 e 2023: um hospital em Łódź, os caminhos-de-ferro e a ALAB

No final de outubro de 2022, o Instytut Centrum Zdrowia Matki Polki, em Łódź, desligou parte dos seus sistemas informáticos para conter um ataque e voltou a usar registos em papel. A 25 de agosto de 2023, um sinal não autorizado de «paragem por rádio» — um comando de travagem de emergência enviado pela rádio ferroviária — atrasou cerca de 20 comboios na zona de Szczecin. Nenhum computador foi pirateado, mas isto mostrou o quão vulneráveis são os sistemas ferroviários mais antigos. A 19 de novembro de 2023, a rede de laboratórios ALAB Laboratoria foi alvo de um ataque. O grupo RA World publicou os resultados de análises de dezenas de milhares de doentes, de 2017 a 2023, incluindo números PESEL e moradas. A ALAB recusou-se a negociar.

2024: uma notícia falsa na agência de notícias estatal

A 31 de maio de 2024, a agência de notícias Polska Agencja Prasowa (PAP) publicou duas vezes uma notícia a afirmar que a Polónia iria anunciar uma mobilização parcial a 1 de julho e enviar 200 000 cidadãos para a Ucrânia. A notícia era falsa e foi retirada nas duas ocasiões. Segundo a RMF FM, os atacantes tinham assumido o controlo da conta de um funcionário da PAP através de malware. O ministro dos Assuntos Digitais, Krzysztof Gawkowski, disse que o ataque foi, muito provavelmente, obra do «lado russo». O Ministério Público de Varsóvia abriu uma investigação e remeteu-a para a ABW.

2025: a EuroCert, a agência espacial, um hospital de Cracóvia e a água da cidade

Na noite de 12 de janeiro de 2025, um ransomware encriptou os servidores da EuroCert, um dos poucos fornecedores polacos de assinaturas eletrónicas qualificadas. Foram expostos números PESEL, números de cartões de identidade e dados de acesso de clientes e funcionários, e o governo pediu aos clientes da EuroCert para alterarem as suas credenciais. A imprensa atribuiu o ataque ao grupo RansomHub, que afirmou ter 65 GB de dados em seu poder. A 2 de março, a Agência Espacial Polaca (Polska Agencja Kosmiczna, POLSA) desligou a sua rede da Internet após uma intrusão. A 8 de março, o hospital do Ministério do Interior em Cracóvia (Szpital MSWiA) foi alvo de um ataque de ransomware; o seu diretor falou de uma recuperação em «dias e semanas, não em horas». E a 13 de agosto, uma grande cidade cujo nome não foi revelado quase ficou sem abastecimento de água, disse Gawkowski no dia seguinte. O ataque foi travado a tempo.

Dezembro de 2025: limpa-vidros contra parques eólicos e solares

A 29 de dezembro de 2025, um ataque coordenado atingiu pelo menos 30 parques eólicos e fotovoltaicos, uma central de cogeração que aquece quase meio milhão de clientes e uma empresa industrial. O objetivo era a destruição, não o resgate. Os atacantes apagaram os controladores e reiniciaram os dispositivos, o que cortou a ligação entre os parques e os operadores da rede, e tentaram executar um malware de apagamento chamado DynoWiper na central, onde o software de segurança o bloqueou. Não houve perda de eletricidade nem de aquecimento. O ponto de entrada, segundo o relatório do CERT Polska, tal como resumido pela Help Net Security, era bastante comum: dispositivos FortiGate ligados à Internet cuja VPN aceitava inícios de sessão sem autenticação multifator.

2026: hospitais e dados dos doentes

Em 25 dias, em março de 2026, um ransomware atacou o hospital regional de Szczecin, o grupo Bonifraterskie Centrum Medyczne — com hospitais em Katowice, Cracóvia e Łódź — e duas instituições de saúde mais pequenas. Em agosto, o Gawkowski convocou o centro nacional de operações de cibersegurança devido a uma possível fuga de dados na MyDr, que fornece software a consultórios médicos. A imprensa falou de dados de até 19 milhões de pessoas, um número que ainda não foi confirmado. Em outubro, os atacantes aproveitaram uma falha num sistema de candidatura a subsídios do Ministério da Cultura, que tinha cerca de 24 000 utilizadores registados. No início de novembro de 2026, o ministério ainda estava a analisar se os dados tinham sido copiados.

O que os casos polacos têm em comum

• A forma de acesso é através de um login, não de uma vulnerabilidade «zero-day». No caso da PAP, foi a conta de um funcionário; na campanha de 2021, foi engenharia social; e no ataque ao setor energético, foram contas VPN sem autenticação de dois fatores. É por isso que a formação e a autenticação multifator (MFA) vêm em primeiro lugar.
• O setor da saúde é o que mais sofre os impactos. Łódź em 2022, a ALAB em 2023, Cracóvia em 2025 e quatro organizações num só mês em 2026. A equipa de resposta do próprio setor, a CSIRT CeZ, registou 1 441 incidentes em 2025, mais de 60 % do que em 2024.
• Os fornecedores agravam ainda mais a situação. A EuroCert, a MyDr e o operador que aloja o sistema do Ministério da Cultura expuseram, cada um à sua maneira, clientes que, por si só, não tinham feito nada de errado.
• Recusar-se a pagar é a norma entre o público. Tanto a CD Projekt como a ALAB disseram que não. A CD Projekt pôde fazê-lo, porque as suas cópias de segurança estavam intactas.

A CERT Polska e os números por trás das notícias

A CERT Polska faz parte do instituto de investigação NASK e funciona como CSIRT NASK, uma das três equipas nacionais de resposta a incidentes, juntamente com a CSIRT GOV (gerida pelo serviço de segurança ABW) e a CSIRT MON (das forças armadas). Em 2025, recebeu 658 320 denúncias e registou 260 783 incidentes, contra 103 449 em 2024. A fraude informática, principalmente phishing e sites falsos de investimento, representou 97%. Também registou 179 incidentes de ransomware, cerca de um a cada dois dias. Todas as equipas nacionais, no seu conjunto, lidaram com quase 273 000 incidentes em 2025, de acordo com o relatório anual do Ministério dos Assuntos Digitais.

O contexto geopolítico, tal como o descrevem as autoridades polacas

As autoridades polacas associam abertamente parte desta atividade à Rússia e à Bielorrússia. A ABW e a SKW atribuíram a campanha de caixas de correio de 2021 ao UNC1151 e ligaram o grupo aos serviços secretos russos. Depois da notícia da PAP, o Ministério Público falou de pessoas a agir em nome de um serviço de informações estrangeiro. O resumo do governo sobre o relatório da CERT Polska descreve o ataque ao setor energético como tendo sido preparado há muito tempo e ligado ao Estado, e associa-o aos grupos conhecidos como Static Tundra, Berserk Bear, Ghost Blizzard e Dragonfly. Duas ressalvas. A atribuição é uma avaliação feita pelos serviços secretos e analistas, não um veredicto judicial. E o ataque de ransomware aos hospitais de 2026 é tratado pela polícia como obra de um grupo criminoso que está atrás de dinheiro.

O que isto significa para as empresas polacas ao abrigo da nova Lei KSC

Desde 3 de abril de 2026 que a Polónia tem a sua lei NIS2: a Lei do Sistema Nacional de Cibersegurança alterada (ustawa o krajowym systemie cyberbezpieczeństwa, KSC). Esta lei transforma as lições acima referidas em obrigações para entidades-chave e importantes em setores que vão desde a energia e os cuidados de saúde até à indústria transformadora e ao setor alimentar: gestão de riscos, segurança da cadeia de abastecimento, autenticação multifatorial, comunicação de incidentes no prazo de 24 e 72 horas, formação para o pessoal e formação anual para a gestão. As obrigações na íntegra entram em vigor a partir de 3 de abril de 2027. O nosso guia sobre a NIS2 explica o âmbito de aplicação, os prazos e as multas. Os maiores ataques na Alemanha, nos Países Baixos e em Espanha seguem os mesmos padrões.

O fator humano: para que é que se deve treinar as equipas polacas

1. Phishing em polaco impecável. O relatório anual do ministério descreve ataques de phishing criados com IA, sem erros ortográficos e com vozes deepfake de gestores. Treina com os tipos de ataques de phishing com que eles se deparam na realidade.
2. Testar em vez de dar coisas por certas. As simulações de phishing mostram quem clicaria antes que um atacante descubra. A Guardey combina-as com um desafio semanal e uma competição por equipas, em várias línguas, com relatórios que os auditores aceitam para a NIS2 e a ISO 27001.
3. Um segundo fator que afeta tudo o que está ligado à Internet. Os atacantes de dezembro de 2025 entraram através de uma VPN sem autenticação multifator.

Perguntas mais frequentes

Qual foi o maior ciberataque (cyberatak) na Polónia?

Pelo impacto potencial, o ataque de 29 de dezembro de 2025 a mais de 30 parques eólicos e solares e a uma central de cogeração. Pela sensibilidade dos dados, a fuga de informação da ALAB em 2023. Pelo peso político, o falso comunicado de mobilização sobre o PAP em maio de 2024.

Quantos ataques cibernéticos ocorrem na Polónia por ano?

A CERT Polska registou 260 783 incidentes em 2025, mais 152% do que em 2024. Todas as equipas de resposta nacionais, no seu conjunto, trataram de quase 273 000.

Quem está por trás dos ataques de hackers (ataki hakerskie) à Polónia?

Na sua maioria, criminosos: 97% dos casos registados pela CERT Polska são fraudes informáticas, como o phishing. As autoridades polacas atribuem vários ataques de grande repercussão, incluindo o ataque ao setor energético de dezembro de 2025, a grupos ligados ao Estado e apontam o dedo à Rússia e à Bielorrússia.

Onde é que se comunica um ciberataque na Polónia?

As empresas e os cidadãos comunicam os incidentes ao CERT Polska (CSIRT NASK), e as mensagens de texto suspeitas podem ser reencaminhadas para o 8080. As entidades-chave e importantes ao abrigo da Lei KSC comunicam os incidentes graves através do sistema S46 do governo.