Cyberatak na Polskę i Europę. Jest ostrzeżenie przed sabotażem, szpiegostwem i AI

Grupy hakerskie powiązane z państwami coraz częściej łączą cyberwywiad z działaniami, których celem jest niszczenie danych i zakłócanie pracy infrastruktury.

Uderzono w ukraińskie przedsiębiorstwo istotne dla sektora transportowego. Raport przypomina też o atakach na polską energetykę pod koniec 2025 roku, kampanii wykradania technologii dronowych prowadzonej przez grupę północnokoreańską oraz próbach wykorzystywania sztucznej inteligencji do wspierania operacji cybernetycznych.

Najnowszy raport ESET APT Activity Report, obejmujący okres od kwietnia do września 2026 roku, opisuje pierwszy udokumentowany przez firmę destrukcyjny cyberatak grupy powiązanej z Białorusią.

Białoruska grupa po raz pierwszy użyła narzędzi do niszczenia danych

Według analityków ESET pod koniec maja 2026 roku grupa FrostyNeighbor, znana także jako UNC1151 i powiązana z Białorusią, zaatakowała ukraińskie przedsiębiorstwo produkcyjne odgrywające ważną rolę w sektorze transportowym. Sprawcy wykorzystali narzędzia umożliwiające zdalny dostęp do infrastruktury informatycznej, a następnie uruchomili oprogramowanie typu wiper, służące do usuwania danych z zaatakowanych urządzeń.

ESET określa ten incydent jako pierwszy udokumentowany przypadek destrukcyjnego cyberataku przeprowadzonego przez grupę powiązaną z Białorusią. Wcześniej jej działania koncentrowały się przede wszystkim na cyberwywiadzie i wykradaniu informacji. Motywacja atakujących nie została jednoznacznie ustalona. Analitycy nie wykluczają, że usuwanie danych miało zatrzeć ślady wcześniejszej operacji szpiegowskiej. Jednocześnie wybór celu wskazuje na zbieżność z rosyjskimi priorytetami wojskowymi i wywiadowczymi.

Według ESET białoruskie grupy mogą coraz ściślej współpracować z rosyjskimi służbami i pełnić funkcję dodatkowego zaplecza operacyjnego. To ocena analityków, a nie potwierdzenie, że każdy atak tych grup jest bezpośrednio kierowany przez Rosję.

Polska energetyka już była celem cyberataków

Zagrożenie atakami destrukcyjnymi nie jest dla Polski wyłącznie scenariuszem hipotetycznym. Jak przypomina materiał, według CERT Polska 29 grudnia 2025 roku doszło do skoordynowanych ataków na krajowy sektor energetyczny. Objęły one co najmniej 30 farm wiatrowych i fotowoltaicznych, przedsiębiorstwo produkcyjne oraz elektrociepłownie. W jednym z zaatakowanych obiektów ciepło dostarczano do niemal pół miliona odbiorców.

Celem sprawców było zakłócenie działania infrastruktury i uszkodzenie systemów. Ataki na instalacje odnawialnych źródeł energii doprowadziły do zerwania komunikacji z operatorami sieci dystrybucyjnej, ale nie przerwały produkcji energii. Nie doszło również do zakłócenia dostaw ciepła. Incydenty pokazały jednak, że cyberatak może uderzać bezpośrednio w systemy ważne dla funkcjonowania gospodarki i codziennego życia mieszkańców.

Raport ESET nie wskazuje, by grupa FrostyNeighbor przeprowadziła destrukcyjny atak w Polsce. Jej działania są jednak sygnałem ostrzegawczym dla państw regionu, w tym Polski, która odgrywa istotną rolę we wspieraniu Ukrainy. Organizacje powinny brać pod uwagę nie tylko kradzież danych, lecz także możliwość ich usunięcia, uszkodzenia systemów lub zakłócenia działania usług.

Fałszywa oferta pracy jako droga do technologii dronowych

ESET odnotował również wznowienie kampanii Operation DreamJob, prowadzonej przez północnokoreańską grupę Lazarus. Celem są przedsiębiorstwa rozwijające technologie dronowe oraz rozwiązania wykorzystywane w przemyśle obronnym.

W opisanym przypadku celem był pracownik firmy zbrojeniowej w Europie Środkowej. Atakujący podszyli się pod rekruterów i przedstawili atrakcyjną ofertę zatrudnienia. Następnie przesłali archiwum ZIP zawierające spreparowany dokument PDF oraz zmodyfikowany program do jego otwierania. Uruchomienie zainfekowanego oprogramowania mogło dać przestępcom możliwość przejęcia kontroli nad komputerem.

Zdaniem ESET zainteresowanie Korei Północnej technologiami bezzałogowymi może mieć związek z pogłębiającą się współpracą wojskową z Rosją. Zdobyta wiedza mogłaby wesprzeć rozwój północnokoreańskich zdolności produkcyjnych i militarnych. Incydent pokazuje również, że nawet organizacje dysponujące zaawansowanymi zabezpieczeniami mogą zostać zaatakowane przez wykorzystanie pojedynczego pracownika.

Cyberprzestępcy eksperymentują z ograniczeniami sztucznej inteligencji

Raport opisuje także wykorzystanie narzędzi AI przez grupy zaawansowanych zagrożeń, określane jako APT. Modele językowe mogą przyspieszać tworzenie złośliwego oprogramowania, przygotowywanie fałszywych stron internetowych i automatyzowanie powtarzalnych czynności.

Szczególny przypadek dotyczy grupy UAC-0099, powiązanej z Rosją. Atakujący umieścili w komentarzu do złośliwego skryptu pozorne pytanie o instrukcję budowy broni jądrowej. Według analityków ESET mogła to być próba uruchomienia mechanizmów bezpieczeństwa modeli językowych używanych do analizy kodu. Jeśli system uznałby fragment za treść niedozwoloną, mógłby odmówić dalszej analizy i potencjalnie pozostawić złośliwy kod niewykryty. ESET nie potwierdził, że próba zakończyła się powodzeniem.

Jednocześnie firma studzi obawy dotyczące całkowicie autonomicznych cyberataków. W analizowanym okresie AI nie zmieniła zasadniczo sposobu działania zaawansowanych grup APT. Nadal pełniła przede wszystkim funkcję narzędzia przyspieszającego pracę ludzi.

Cyberbezpieczeństwo coraz mocniej związane z geopolityką

ESET wskazuje, że aktywność grup APT coraz wyraźniej odzwierciedla konflikty zbrojne i strategiczne interesy państw. Grupy powiązane z Rosją koncentrują się na Ukrainie, atakując administrację, wojsko i sektor obronny. Na Bliskim Wschodzie wzrosła aktywność grup związanych z Iranem, wymierzona przede wszystkim w organizacje izraelskie. Z kolei grupy powiązane z Chinami kontynuują cyberwywiad, w tym operacje przeciwko tajwańskiemu sektorowi półprzewodników.

Dla przedsiębiorstw oznacza to, że ryzyko cyberataku nie wynika wyłącznie z wielkości firmy, wartości przechowywanych danych czy potencjalnych korzyści finansowych. Organizacja może stać się celem ze względu na swoją rolę w łańcuchu dostaw, rozwijane technologie albo znaczenie dla infrastruktury i bezpieczeństwa państwa.

W praktyce warto sprawdzić, czy organizacja ma aktualne kopie zapasowe i czy można je odtworzyć, ogranicza uprawnienia użytkowników, monitoruje zdalny dostęp oraz szkoli pracowników w rozpoznawaniu prób podszywania się pod rekruterów i partnerów biznesowych. Firmy związane z energetyką, transportem, produkcją i technologiami powinny również ocenić, które systemy są krytyczne dla ciągłości działania i jak można je odizolować w razie incydentu.

ESET APT Activity Report pokazuje, że cyberzagrożenia w Europie Środkowo-Wschodniej coraz częściej łączą szpiegostwo, próby kradzieży technologii i działania destrukcyjne. Nie każdy incydent prowadzi do przerwania usług lub utraty danych, ale sama możliwość takiego scenariusza sprawia, że przygotowanie na cyberatak powinno obejmować nie tylko ochronę informacji, lecz także ciągłość działania organizacji.

Źródło: mat. prasowy Linkleaders/Dagma Bezpieczeństwo

Pobierz ebook "Książka "Obłęd w Breslau. Zbrodnia w imię czystości rasy" Tomasza Bonka już w księgarniach"