Spis treści
- Raport CSIRT GOV za 2025 rok odnotowuje rekordowy, ponad 25-procentowy wzrost incydentów cybernetycznych w Polsce, co jest efektem nasilonych napięć geopolitycznych i konfliktu na Ukrainie.
- Główne zagrożenia obejmowały intensyfikację phishingu i socjotechniki (często z użyciem kodów QR), ataki DDoS oraz działania grup APT powiązanych z Rosją (np. APT28), Białorusią (UNC1151) i Chinami.
- Hakerzy coraz częściej wykorzystywali sztuczną inteligencję do tworzenia bardziej zaawansowanych ataków, podczas gdy kluczowymi słabymi punktami pozostały nieaktualne oprogramowanie, słabe hasła i podatność czynnika ludzkiego.
- W grudniu 2025 roku doszło do pierwszego ataku o potencjale destrukcyjnym na polski sektor energii, a także zwiększone zagrożenia cybernetyczne podczas wyborów prezydenckich.
„Raport o stanie bezpieczeństwa cyberprzestrzeni RP w 2025 roku” jest opracowaniem przygotowanym przede wszystkim przez Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego CSIRT GOV, prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego. CSIRT GOV pełni funkcję zespołu CSIRT poziomu krajowego i odpowiada za koordynację reagowania na incydenty w obszarze określonym w ustawie o krajowym systemie cyberbezpieczeństwa.
Jak wyjaśniają autorzy, do podstawowych zadań zespołu należy „rozpoznawanie, zapobieganie i wykrywanie zagrożeń godzących w bezpieczeństwo” systemów teleinformatycznych organów administracji publicznej oraz infrastruktury krytycznej. Raport podsumowuje działalność CSIRT GOV w zakresie identyfikacji zagrożeń, analizy incydentów i reagowania na nie. W tegorocznej edycji po raz pierwszy zamieszczono także komentarze CSIRT NASK oraz CSIRT KNF, dotyczące odpowiednio cywilnej cyberprzestrzeni i sektora bankowego.
Dokument przedstawia sytuację bezpieczeństwa cyberprzestrzeni w szczególnym kontekście geopolitycznym. Autorzy podkreślają, że wojna na Ukrainie i towarzyszące jej działania hybrydowe oddziałują również na Polskę, która jest nie tylko państwem sąsiednim, lecz także członkiem NATO i Unii Europejskiej. Raport obejmuje ponadto okres obowiązywania stopnia alarmowego BRAVO-CRP oraz podwyższonego zagrożenia działaniami hybrydowymi.
Według raportu istotnym wydarzeniem 2025 roku były wybory prezydenckie. W ramach programu „Parasol Wyborczy”, uruchomionego w lutym 2025 roku z inicjatywy Ministerstwa Cyfryzacji we współpracy z Ministerstwem Spraw Wewnętrznych i Administracji, CSIRT GOV oceniał bezpieczeństwo systemów i sieci IT organów wyborczych, prowadził szkolenia oraz monitorował zagrożenia mogące wpływać na bezpieczeństwo procesu wyborczego. Raport wskazuje, że przejawy wrogiej aktywności dezinformacyjnej i hakerskiej wiązały się między innymi z działalnością grupy UNC1151.
Autorzy zwracają także uwagę na wydarzenie z końca roku. W grudniu doszło do pierwszego w cyberprzestrzeni RP ataku „o potencjale destrukcyjnym”, wymierzonego w sektor energii. Zaatakowany sektor obronił się przed przerwaniem dostaw energii i ciepła, jednak raport ocenia, że nieudana próba mogła być testem odporności państwa. W dokumencie stwierdzono, że podobne ataki „mogą pojawiać się w cyberprzestrzeni RP coraz częściej”.
Wzrost liczby incydentów
Najważniejszym ilościowym wnioskiem raportu jest zwiększenie skali obsługiwanych zdarzeń. W 2025 roku CSIRT GOV zarejestrował 23 136 zgłoszeń dotyczących potencjalnych incydentów teleinformatycznych. Spośród nich 5033 zakwalifikowano jako faktyczne incydenty bezpieczeństwa teleinformatycznego. Dla porównania, w 2024 roku odnotowano 17 439 zgłoszeń i 3991 incydentów, a w 2023 roku odpowiednio 19 888 zgłoszeń i 4676 incydentów.
Raport zastrzega, że statystyka nie obejmuje zgłoszeń pochodzących z systemu ARAKIS GOV. Autorzy wskazują kilka przyczyn wzrostu liczby zarejestrowanych incydentów: doskonalenie procedur zgłaszania i klasyfikowania zdarzeń, bardziej proaktywne wykorzystywanie narzędzi identyfikacji zagrożeń, rosnącą świadomość podmiotów oraz intensyfikację aktywności grup haktywistycznych. Najwięcej zgłoszeń wpłynęło w czwartym kwartale - 7459, z czego 1308 uznano za faktyczne incydenty. W pierwszym kwartale było 4694 zgłoszeń i 1202 incydenty, w drugim 5519 zgłoszeń i 1237 incydentów, a w trzecim 5464 zgłoszenia i 1286 incydentów. Oznacza to, że liczba rzeczywistych incydentów w poszczególnych kwartałach utrzymywała się na zbliżonym poziomie, przy jednoczesnym wzroście liczby zgłoszeń pod koniec roku.
Największy przyrost raport odnotowuje w kategorii „PODATNOŚĆ”. Był on związany przede wszystkim ze skuteczniejszym wykrywaniem luk w usługach i zasobach dostępnych w Internecie. Po zidentyfikowaniu podatności CSIRT GOV przekazywał informacje właściwym organizacjom, aby mogły podjąć działania ograniczające ryzyko. Drugą kategorią, w której odnotowano wzrost, była „SOCJOTECHNIKA”. Raport opisuje kampanie phishingowe i spearphishingowe wykorzystujące fałszywe panele logowania, podszywanie się pod administratorów IT oraz wiadomości dostosowywane do bieżących wydarzeń. W 2025 roku coraz częściej wykorzystywano też kody QR, które przenosiły ofiarę z zabezpieczonej sieci organizacji na prywatne lub słabiej chronione urządzenie mobilne.
Wzrosła również liczba incydentów w kategorii „NIEDOSTĘPNOŚĆ”, obejmującej między innymi ataki DoS i DDoS. CSIRT GOV wiąże tę tendencję z aktywnością grup haktywistycznych, które atakowały państwa NATO i Unii Europejskiej, zwłaszcza państwa wspierające Ukrainę. W raporcie podkreślono, że celem takich operacji było często wywołanie efektu propagandowego, a nie trwałe zniszczenie infrastruktury.
Phishing i socjotechnika
Znaczną część raportu poświęcono kampaniom socjotechnicznym. Autorzy wskazują, że w 2025 roku obserwowano zarówno kontynuację znanych schematów, jak i nowe warianty ataków. W ocenie CSIRT GOV zagrożenia te są przede wszystkim „ewolucją, a nie rewolucją” - wiele technik powtarza się z roku na rok, zmienia się natomiast ich intensywność, sposób dystrybucji oraz stopień dopasowania do potencjalnej ofiary.
Najczęściej wykorzystywanym mechanizmem pozostawały fałszywe panele logowania. Atakujący wysyłali wiadomości informujące między innymi o wygasającym haśle, konieczności autoryzacji, oczekujących dokumentach lub problemach z kontem pocztowym. Link prowadził do strony wykorzystującej identyfikację wizualną znanej firmy albo instytucji. Raport opisuje podszywanie się między innymi pod Microsoft Outlook, Microsoft Exchange, Roundcube Webmail, Zimbra Web Client oraz usługi Adobe.
W kampaniach wykorzystywano także typosquatting, czyli rejestrowanie domen o nazwach łudząco podobnych do prawdziwych adresów. Celem było zwiększenie wiarygodności wiadomości i utrudnienie rozpoznania oszustwa. Wyłudzone dane logowania były następnie przesyłane do atakujących za pośrednictwem serwerów pośredniczących, poczty elektronicznej lub botów w komunikatorach. Raport opisuje również kampanie wykorzystujące wizerunek polskiej administracji. Szczególnie często sprawcy podszywali się pod Ministerstwo Finansów, Krajową Administrację Skarbową i urzędy skarbowe. Wiadomości informowały o rzekomej niedopłacie podatku albo oczekiwanym zwrocie. W innych przypadkach przestępcy tworzyli kopie portali administracji państwowej i wykorzystywali je do kradzieży danych logowania.
W 2025 roku widoczny był także wzrost wykorzystania kodów QR i Aztec. Schemat ataku polegał na umieszczeniu kodu w wiadomości e-mail, załączniku lub na stronie internetowej. Po zeskanowaniu kodu telefonem użytkownik był przekierowywany do fałszywego panelu logowania. Raport podkreśla, że taki ruch często omijał zapory sieciowe i systemy monitoringu organizacji, ponieważ był wykonywany na urządzeniu prywatnym lub na urządzeniu mobilnym, które nie było objęte systemem zarządzania MDM
DDoS i podatności
CSIRT GOV odnotował w 2025 roku 374 incydenty DDoS, podczas gdy rok wcześniej było ich 348. Oznacza to wzrost o 7,5 proc. Ataki dotknęły 32 instytucje pozostające we właściwości zespołu. Największą aktywność odnotowano w drugim kwartale, kiedy atakujący koncentrowali się między innymi na elektronicznych usługach administracji rządowej związanych z rozliczeniami podatkowymi. Według raportu ataki te nie doprowadziły jednak do zakłócenia procesu rozliczeń podatkowych ani negatywnie nie wpłynęły na świadczone usługi.
Dominowały ataki DNS Flood oraz ataki aplikacyjne wykorzystujące dużą liczbę zapytań HTTP. Średni czas trwania ataku wyniósł 84,5 minuty, czyli o 21,6 proc. więcej niż w 2024 roku. Najdłuższe ataki występowały w pierwszym kwartale. Analiza geolokalizacji adresów IP wykorzystywanych w atakach wskazywała najczęściej na Stany Zjednoczone, Polskę i Rosję. Udział polskich adresów wzrósł z 9 do 15 proc., a rosyjskich z 6 do 9 proc. Raport zaznacza jednak, że część polskich adresów najprawdopodobniej należała do urządzeń zainfekowanych i wykorzystywanych w ramach botnetów. Ich użycie mogło pozwalać na omijanie zabezpieczeń opartych na geolokalizacji.
W dokumencie szczegółowo omówiono także podatności ujawnione w 2025 roku. Dotyczyły one między innymi urządzeń brzegowych, systemów VPN, platform CMS, serwerów pocztowych, systemów wirtualizacji i popularnego oprogramowania. Wśród wymienionych produktów znalazły się między innymi 7-Zip, Ivanti, Palo Alto Networks, Zimbra, Kubernetes, Apache Tomcat, VMware ESXi, Fortinet, NetScaler, Cisco, Google Chrome, Roundcube, Microsoft SharePoint, Oracle i React.
Raport zwraca uwagę, że część podatności miała charakter zero-day i była aktywnie wykorzystywana przez atakujących. Jednocześnie wiele opisanych problemów dotyczyło systemów powszechnie używanych i dostępnych z Internetu. Ich znaczenie wynikało nie tylko z technicznej krytyczności, ale także z możliwości wykorzystania do zdalnego wykonania kodu, obejścia uwierzytelniania, eskalacji uprawnień, kradzieży danych lub przejęcia urządzenia.
Grupy APT i haktywiści
W rozdziale poświęconym grupom sponsorowanym i haktywistycznym raport wskazuje, że w 2025 roku szczególnie wysokie zagrożenie wiązało się z aktorami powiązanymi z Rosją oraz - w mniejszym stopniu - z Chinami. Polska pozostawała atrakcyjnym celem ze względu na położenie geograficzne, członkostwo w NATO i Unii Europejskiej, wsparcie dla Ukrainy oraz znaczenie logistyczne i strategiczne w regionie.
Za dominujące źródło zagrożenia z kierunku rosyjskiego raport uznaje grupę APT28. Jej działania przeciwko polskiej administracji obejmowały kampanie spearphishingowe prowadzące do instalacji oprogramowania typu stealer. Wykorzystywano między innymi motywy zaproszeń na konferencje międzynarodowe oraz narzędzi opartych na sztucznej inteligencji. Jedna z opisanych kampanii dystrybuowała pliki wykonywalne ukryte pod nazwami dokumentów lub grafik. Po uruchomieniu stealer wykradał informacje o systemie, zapisane hasła, ciasteczka przeglądarek, historię przeglądania i wybrane pliki. CSIRT GOV wskazał, że narzędzie zostało przygotowane przy użyciu VENOM - konfigurowalnego, otwartoźródłowego generatora oprogramowania do kradzieży danych.
Jeśli chodzi o Białoruś to tutaj aktywna była grupa UNC1151. Aktor ten był szczególnie aktywny w okresie wyborów prezydenckich. Grupa prowadziła kampanie ukierunkowane na sektor rolniczy oraz próbowała wyłudzać poświadczenia do prywatnych skrzynek pocztowych polskich polityków i urzędników, wykorzystując do tego przejęte strony internetowe małych firm.
Zidentyfikowano także prorosyjskich haktywistów (m.in. NoName057(16)). Ich głównym narzędziem pozostają ataki DDoS, mające na celu wywołanie krótkotrwałej niedostępności usług i osiągnięcie efektu propagandowego. Coraz częściej jednak próbują oni ingerować w systemy sterowania przemysłowego (OT) i monitoring wizyjny.
Szczególne znaczenie przypisano kampanii z użyciem malware’u LAMEHUG. Był to pierwszy zarejestrowany przez CSIRT GOV przypadek, w którym sztuczna inteligencja została wykorzystana jako integralny element funkcjonowania złośliwego oprogramowania. Program łączył się z modelem językowym na platformie Hugging Face, uzyskiwał za jego pośrednictwem polecenia dotyczące rozpoznania systemu i wyszukiwania dokumentów, a następnie wykonywał je na zainfekowanej stacji. Według raportu technika ta utrudniała detekcję, ponieważ złośliwe polecenia nie były zapisane bezpośrednio w kodzie programu.
Według raportu grupy APT powiązane z Chinami, takie jak Mustang Panda, cechują się wysoką skutecznością i precyzją. Koncentrują się na długotrwałym dostępie do sieci wewnętrznych instytucji rządowych i strategicznych firm. W swoich działaniach często stosują technikę "Living-off-the-Land", czyli wykorzystują legalne narzędzia systemowe (np. PowerShell) i popularne oprogramowanie open-source (np. Impacket, Mimikatz), aby ukryć swoją aktywność. W 2025 roku aktywnie wykorzystywały nowo odkryte podatności w oprogramowaniu Microsoft SharePoint.
Opisano również aktywność aktora Laundry Bear, który wykorzystał zaproszenie na rzeczywistą konferencję dotyczącą bezpieczeństwa narodowego i obronności. Atakujący posłużył się domeną podobną do autentycznej, a następnie nakłaniał odbiorcę do otwarcia załącznika PDF i zeskanowania kodu QR prowadzącego do fałszywego panelu Microsoft 365.
Osobną grupę zagrożeń stanowiły ataki na komunikatory. Sprawcy podszywali się pod zespół wsparcia aplikacji Signal, informując o rzekomo podejrzanej aktywności na koncie i wyłudzając kod weryfikacyjny oraz PIN. Po ich uzyskaniu mogli przenieść konto na kontrolowane przez siebie urządzenie, zmienić przypisany numer telefonu i uzyskać dostęp do grupowych czatów ofiary. Raport opisuje również wykorzystanie komunikatora WhatsApp do uwiarygodnienia ataku na konto Microsoft 365. Ofiara była nakłaniana do przekazania kodu autoryzacyjnego OAuth, co umożliwiało uzyskanie tokenów dostępu i przejęcie sesji. CSIRT GOV klasyfikuje ten mechanizm jako token-based phishing, którego znaczenie rośnie wraz z upowszechnieniem usług chmurowych.
Złośliwe oprogramowanie i odporność systemów
Kolejna część dokumentu dotyczy złośliwego oprogramowania. Najczęściej wykorzystywanym kanałem jego dystrybucji pozostawała poczta elektroniczna. Atakujący posługiwali się załącznikami w formatach Office, ZIP, RAR, 7z, LNK, HTA, ISO, IMG i VBS. Wiadomości odwoływały się do faktur, zamówień, przesyłek kurierskich, dokumentów kadrowych lub komunikatów od działów IT.
W raporcie szeroko opisano także ataki na serwery Zimbra. Ich skuteczność wynikała z wykorzystania krytycznych, niezałatanych luk, w tym podatności opublikowanych już w 2022 roku. Atakujący mogli umieszczać na serwerach webshell oraz narzędzia służące do eksfiltracji danych, przechwytywać loginy i hasła, uzyskiwać dostęp do konta root oraz przeszukiwać korespondencję użytkowników. W jednym z przypadków stwierdzono również obecność narzędzia do wydobywania kryptowaluty.
Wnioskiem płynącym z tej części raportu jest znaczenie podstawowej higieny aktualizacyjnej. Autorzy podkreślają, że ujawnione podatności zostały wcześniej załatane przez producentów, jednak brak wdrożenia poprawek pozostawił środowiska na działanie kolejnych grup. Problem ten powraca także w części dotyczącej ocen bezpieczeństwa systemów teleinformatycznych, gdzie CSIRT GOV wskazuje na utrzymywanie oprogramowania bez wsparcia producenta i niewdrażanie dostępnych aktualizacji.
Raport przedstawia również wyniki testów socjotechnicznych. Ujawniły one, że człowiek nadal pozostaje jednym z najbardziej podatnych elementów systemu informacyjnego. Autorzy łączą ten problem z rosnącą skalą automatyzacji ataków, która skraca czas potrzebny do identyfikacji celów, przygotowania kampanii i wykorzystania dostępnych luk.
Słabe punkty polskiej infrastruktury: Wyniki ocen bezpieczeństwa
Zespół CSIRT GOV przeprowadził w 2025 roku oceny bezpieczeństwa w 14 kluczowych instytucjach. Wyniki, niestety, potwierdzają istnienie systemowych problemów. Do najpoważniejszych i najczęściej występujących podatności należy brak aktualizacji oprogramowania – wiele instytucji wciąż korzysta z oprogramowania, dla którego istnieją znane, krytyczne luki bezpieczeństwa, na przykład w serwerach Oracle, VMware czy urządzeniach sieciowych. Kolejnym istotnym zagrożeniem jest używanie niewspieranego oprogramowania: wciąż w użyciu pozostają systemy takie jak Microsoft Windows Server 2008 R2 czy nawet Windows XP, dla których producent od dawna nie wydaje poprawek bezpieczeństwa. Poważne ryzyko stwarzają także słabe hasła i błędy konfiguracyjne, w tym dostęp do usług z domyślnymi hasłami lub bez uwierzytelnienia, na przykład poprzez FTP czy Telnet. Nie bez znaczenia pozostaje czynnik ludzki – testy socjotechniczne przeprowadzone na pracownikach wykazały, że w każdej badanej instytucji część osób dała się nabrać na symulowany atak phishingowy, co potwierdza, że człowiek wciąż stanowi najsłabsze ogniwo systemu bezpieczeństwa.
Najważniejsze wnioski raportu
W podsumowaniu CSIRT GOV wskazuje cztery dominujące zjawiska. Pierwszym jest utrzymująca się wysoka aktywność grup powiązanych z Rosją i Białorusią. Polska pozostawała celem operacji szpiegowskich, działań wpływu informacyjnego oraz prób o potencjalnie destrukcyjnym charakterze. Drugim zjawiskiem był rozwój możliwości prorosyjskich haktywistów. Oprócz ataków DDoS i włamań do słabo zabezpieczonych paneli przemysłowych odnotowano próby uzyskiwania dostępu do systemów monitoringu wizyjnego. Raport podkreśla jednak, że skutki tych włamań były często mniejsze niż komunikaty propagandowe publikowane przez sprawców.
Trzecim trendem było nasilenie phishingu i socjotechniki. Atakujący wykorzystywali nie tylko pocztę elektroniczną, lecz także komunikatory, kody QR oraz motywy związane z aktualnymi wydarzeniami politycznymi, gospodarczymi i społecznymi. Czwartym zjawiskiem było wyraźne zwiększenie wykorzystania sztucznej inteligencji. AI służyła do tworzenia bardziej wiarygodnych wiadomości phishingowych, automatyzacji rozpoznania, generowania materiałów dezinformacyjnych oraz - w przypadku LAMEHUG - do pozyskiwania poleceń wykonywanych przez złośliwe oprogramowanie.
Raport o stanie bezpieczeństwa cyberprzestrzeni RP w 2025 roku przedstawia więc obraz środowiska, w którym nie pojawiła się jedna całkowicie nowa metoda ataku, lecz nastąpiło połączenie znanych technik z większą skalą, automatyzacją i lepszym dopasowaniem do ofiar. Polska cyberprzestrzeń pozostawała pod stałą presją aktorów państwowych, grup haktywistycznych i cyberprzestępców, a odporność instytucji zależała zarówno od zaawansowanych systemów detekcji, jak i od terminowego aktualizowania oprogramowania oraz świadomości użytkowników.
