Cyberataki w Polsce. Jesteśmy w światowej czołówce wykryć ransomware, phishingu i złośliwego oprogramowania

Polska znalazła się na pierwszym miejscu pod względem liczby wykryć downloaderów i zagrożenia CloudEye, na drugim w statystykach zagrożeń e-mailowych i webowych, a na trzecim w przypadku ransomware oraz ataków na usługi zdalnego pulpitu.

Tak wynika z danych telemetrycznych ESET za okres od grudnia 2025 do maja 2026 roku. Raport pokazuje również nowy kierunek zmian: sztuczna inteligencja staje się nie tylko narzędziem obrony, lecz także elementem złośliwego oprogramowania i socjotechniki.

Zestawienie wymaga jednak precyzyjnego odczytania. Nie jest pełnym rankingiem wszystkich cyberataków przeprowadzonych na świecie. Pokazuje detekcje zarejestrowane przez rozwiązania ESET, a na wynik wpływają między innymi liczba chronionych urządzeń, popularność produktów producenta w poszczególnych państwach oraz charakter lokalnych kampanii. Wysokie pozycje Polski pozostają sygnałem ostrzegawczym, ale nie oznaczają automatycznie, że żaden inny kraj nie doświadcza większej liczby incydentów.

Polska pierwsza w wykryciach downloaderów i CloudEye

Najwyższą pozycję Polska zajęła w kategorii downloaderów. Są to programy, których podstawowym zadaniem nie musi być natychmiastowe szyfrowanie plików ani kradzież haseł. Najpierw dostają się na urządzenie, a następnie pobierają dalsze składniki ataku: infostealery, ransomware, narzędzia zdalnego dostępu albo moduły pozwalające przejąć kontrolę nad systemem.

Downloader bywa więc początkiem dłuższego łańcucha infekcji. Samo jego wykrycie nie przesądza, że wszystkie kolejne etapy zostały wykonane. Pokazuje jednak, że napastnicy próbują przygotować urządzenie do instalacji następnych komponentów.

Polska była pierwsza także w liczbie detekcji CloudEye, przed Turcją i Hiszpanią. Narzędzie jest wykorzystywane do ukrywania i dostarczania szkodliwego oprogramowania. Wysoka pozycja w obu kategoriach wskazuje, że krajowi użytkownicy i firmy są intensywnie obejmowani kampaniami, których celem jest dopiero otwarcie drogi do właściwego ataku.

Drugie miejsce w zagrożeniach e-mailowych i webowych

W telemetryce ESET Polska zajęła drugie miejsce wśród państw z największą liczbą wykrytych zagrożeń rozsyłanych pocztą elektroniczną. Wyżej znalazła się Japonia. Taka sama kolejność dotyczyła celów zagrożeń webowych.

Poczta i strony internetowe pozostają podstawowymi kanałami prowadzącymi do infekcji, kradzieży danych logowania oraz przejęcia kont. Wiadomość może zawierać złośliwy załącznik, odsyłać do fałszywego panelu logowania albo przekonywać odbiorcę do wykonania polecenia na własnym komputerze.

Właśnie na tym mechanizmie opiera się ClickFix. Użytkownik widzi komunikat o błędzie, niedziałającej stronie, problemie z przeglądarką albo konieczności potwierdzenia, że nie jest robotem. Następnie otrzymuje instrukcję rzekomej naprawy. Jeżeli ją wykona, sam uruchamia złośliwe polecenie.

Liczba detekcji ClickFix wzrosła o 108 proc. pomiędzy drugą połową 2025 roku a pierwszą połową 2026 roku. Technika przeniosła się z fałszywych komunikatów CAPTCHA do rozszerzeń przeglądarek, stron stylizowanych na poradniki generowane przez AI oraz procesów logowania do chmury.

Jednym z wariantów jest ConsentFix. Atakujący próbują w nim przejąć token autoryzacyjny wykorzystywany przez usługę chmurową. W określonych warunkach daje to dostęp do konta bez ponownego wpisywania hasła i bez typowego komunikatu o dodatkowym potwierdzeniu logowania.

Polska trzecia w przypadku ransomware

Polska znalazła się na trzecim miejscu pod względem detekcji ransomware, za Turcją i Stanami Zjednoczonymi. Było to kolejne półrocze, w którym nasz kraj znalazł się w pierwszej trójce zestawienia ESET.

Zagrożenie potwierdzają dane CERT Polska, choć pochodzą z innego systemu raportowania i nie można ich porównywać wprost z telemetryką producenta oprogramowania. W 2025 roku CERT Polska odnotował 179 ataków ransomware. Rok wcześniej było ich 147.

Ransomware nie sprowadza się już do zaszyfrowania plików i żądania opłaty za klucz. Przestępcy wcześniej wykradają dane, grożą ich publikacją, naciskają na klientów zaatakowanej firmy albo próbują sparaliżować jej działalność. Coraz częściej korzystają także z narzędzi typu EDR killer, których zadaniem jest wyłączenie lub oślepienie oprogramowania ochronnego przed uruchomieniem głównego ładunku.

ESET udokumentował ponad 100 takich narzędzi używanych podczas rzeczywistych ataków. Ponad 60 wykorzystywało podatne sterowniki, aby zakłócać działanie ochrony na poziomie systemu operacyjnego.

Jednocześnie spada odsetek organizacji decydujących się zapłacić okup. Z raportów analizowanych przez ESET wynika, że zrobiło to od 14 do 28 proc. ofiar. Nie oznacza to słabnięcia ransomware. Pokazuje raczej, że więcej firm przygotowuje kopie zapasowe, procedury odtworzeniowe i plany reagowania albo nie wierzy, że przestępcy po otrzymaniu pieniędzy dotrzymają obietnic.

Ataki na zdalny pulpit nadal groźne

Polska zajęła trzecie miejsce wśród celów ataków na usługi RDP, po Hiszpanii i Stanach Zjednoczonych. Remote Desktop Protocol pozwala zdalnie połączyć się z komputerem pracującym w systemie Windows. Jest powszechnie używany przez administratorów, serwisy techniczne i pracowników korzystających z firmowych zasobów poza biurem.

Źle skonfigurowany zdalny pulpit, słabe hasło albo brak dodatkowego uwierzytelnienia mogą otworzyć napastnikowi bezpośrednią drogę do sieci przedsiębiorstwa. Atakujący próbują automatycznie odgadywać hasła, wykorzystują dane pochodzące z wcześniejszych wycieków lub szukają niezałatanych podatności.

Polska znalazła się również na czwartym miejscu pod względem wykryć infostealerów, za Turcją, Japonią i Hiszpanią. Oprogramowanie tego rodzaju kradnie zapisane hasła, pliki cookie, dane kart płatniczych, zawartość portfeli kryptowalutowych i informacje z przeglądarek. Przejęte sesje mogą pozwolić na wejście na konto nawet wtedy, gdy użytkownik stosuje silne hasło.

Sztuczna inteligencja zwiększa powierzchnię ataku

Najbardziej nowym elementem raportu jest analiza dodatków i zestawów instrukcji przeznaczonych dla agentów AI. ESET zbadał niemal 900 tys. takich komponentów pochodzących z popularnych repozytoriów. Około 25 tys. uznano za podejrzane, a ponad 3 tys. za jednoznacznie złośliwe.

Tak zwane AI skills określają, jakie zadania agent może wykonywać, z jakich narzędzi korzysta i do których danych otrzymuje dostęp. Mogą automatyzować pracę z plikami, pocztą, kodem, bazami danych i aplikacjami firmowymi. Ta użyteczność ma drugą stronę: szkodliwy komponent może przejąć uprawnienia agenta albo nakłonić go do wykonania polecenia, którego użytkownik nie zamierzał wydać.

W analizowanym zbiorze znajdowały się dodatki korzystające z narzędzi ofensywnych, takich jak Mimikatz i Impacket, oraz skrypty zdolne do samodzielnej modyfikacji po instalacji. Badacze wykryli również pozornie bezpieczne skanery, które wykonywały jedynie powierzchowne kontrole, tworząc fałszywe poczucie ochrony.

Nie oznacza to, że każdy dodatek niewiadomego pochodzenia jest złośliwy ani że agenci AI stali się głównym kanałem włamań. Skala analizowanego zbioru pokazuje jednak, że rozwija się nowy ekosystem zależności podobny do wtyczek przeglądarek, paczek programistycznych i aplikacji mobilnych. Firmy powinny kontrolować nie tylko sam model AI, ale również podłączone narzędzia, zakres uprawnień i źródło instalowanych komponentów.

PromptSpy: malware na Androida korzysta z Gemini

ESET opisał również PromptSpy, który według badaczy jest pierwszym znanym złośliwym programem na Androida aktywnie wykorzystującym generatywną sztuczną inteligencję podczas działania.

Malware korzysta z modelu Gemini do interpretowania elementów interfejsu i dostosowywania czynności do różnych urządzeń oraz środowisk. Zamiast opierać wszystkie kroki na sztywno zapisanych regułach, może analizować to, co pojawia się na ekranie.

Przypadki tego rodzaju pozostają rzadkie. Sam raport wskazuje, że mechanizmy ograniczające nadużycia w dużych modelach językowych utrudniają ich szersze stosowanie przez cyberprzestępców. PromptSpy pokazuje jednak kierunek rozwoju: złośliwe oprogramowanie może stawać się bardziej elastyczne i lepiej radzić sobie ze zmianami interfejsu.

Quishing: kod QR może prowadzić do fałszywego logowania

Rekordowy poziom osiągnął phishing wykorzystujący kody QR. W pierwszej połowie 2026 roku około 11 proc. wykrytych przez ESET wiadomości phishingowych zawierało taki kod. Systemy firmy rejestrowały średnio około 100 tys. detekcji miesięcznie.

Kod QR ukrywa adres strony przed wzrokiem odbiorcy i przenosi atak na smartfon. Na mniejszym ekranie trudniej sprawdzić pełny adres witryny, a urządzenie może znajdować się poza ochroną stosowaną na firmowym komputerze.

Przestępcy wykorzystują przyzwyczajenia powstałe wokół płatności, menu restauracyjnych, biletów, parkingów i logowania do usług. Użytkownik skanuje znak bez zastanowienia, ponieważ kojarzy go z szybką i wygodną czynnością. W danych ESET Polska odpowiadała za około 3 proc. detekcji phishingu z użyciem kodów QR.

Dlaczego Polska jest tak wysoko

Na podstawie samego raportu nie da się wskazać jednej przyczyny wysokich pozycji Polski. Wpływ mogą mieć intensywne kampanie prowadzone w języku polskim, duża liczba firm korzystających z usług cyfrowych, popularność zdalnego dostępu, kradzione wcześniej dane logowania oraz poziom zabezpieczeń poszczególnych organizacji.

Znaczenie ma również metodologia. ESET nie mierzy wszystkich udanych włamań. Rejestruje zagrożenia rozpoznane przez własne rozwiązania, dlatego dane opisują fragment globalnego rynku. W kraju, w którym producent ma dużo klientów, liczba widocznych detekcji może być wyższa niż w państwie o słabszej reprezentacji produktów tej marki.

Nie unieważnia to ostrzeżenia. Polska występuje wysoko w wielu niezależnych kategoriach: od poczty, stron internetowych i downloaderów po ransomware, infostealery oraz próby przejęcia usług zdalnych. Nie jest to pojedynczy skok wywołany jedną kampanią.

Wiedza pracowników pozostaje słabym punktem

Z badania „Cyberportret polskiego biznesu 2026”, przeprowadzonego przez ARC Rynek i Opinia dla ESET i DAGMA Bezpieczeństwo IT, wynika, że tylko 14 proc. pracowników ocenia swoje kompetencje z zakresu cyberbezpieczeństwa jako wysokie. W badaniu uczestniczyło 1026 osób pracujących przy komputerze co najmniej trzy dni w tygodniu.

Materiał towarzyszący raportowi ESET wskazuje także, że jedynie 17 proc. pracowników wie, czym jest ransomware, a połowa nie uczestniczyła w szkoleniu z cyberbezpieczeństwa od pięciu lat.

Techniczne zabezpieczenia pozostają konieczne, ale wiele opisanych kampanii próbuje ominąć je przez człowieka. ClickFix przekonuje użytkownika, aby sam wkleił polecenie. Quishing korzysta z odruchowego skanowania kodu. Phishing podszywa się pod fakturę, bank, przełożonego albo administratora usługi.

Dawid Zięcina z DAGMA Bezpieczeństwo IT zwraca uwagę, że decyzje o wydatkach na ochronę powinny wynikać z analizy ryzyka i możliwych kosztów udanego ataku. Firma nie zabezpieczy wszystkiego jednocześnie. Musi najpierw ustalić, które systemy, dane i procesy są najcenniejsze dla jej ciągłości działania.

Co firmy powinny sprawdzić po raporcie ESET

Pierwszym krokiem powinno być ograniczenie publicznego dostępu do usług zdalnych oraz wprowadzenie wieloskładnikowego uwierzytelniania. Konta administracyjne nie powinny służyć do zwykłej pracy, a uprawnienia użytkowników należy ograniczać do niezbędnego minimum.

Kopie zapasowe muszą być odseparowane od podstawowej sieci i regularnie testowane. Backup, którego nie można odtworzyć, nie chroni przed ransomware. Aktualizacje systemów, aplikacji i sterowników powinny trafiać na urządzenia zgodnie z określonym harmonogramem, a nie dopiero po incydencie.

Firmy wdrażające agentów AI powinny prowadzić listę dozwolonych dodatków, sprawdzać ich pochodzenie i ograniczać dostęp do poczty, chmury, kodu źródłowego oraz danych klientów. Warto także rejestrować działania wykonywane przez agentów i wymagać potwierdzenia przy operacjach wysokiego ryzyka.

Szkolenia nie mogą ograniczać się do corocznego pokazu slajdów. Pracownik powinien wiedzieć, że administrator nie prosi go o wklejenie nieznanego polecenia do terminala, kod QR w wiadomości wymaga takiej samej ostrożności jak link, a zgłoszenie podejrzanego zdarzenia nie powinno prowadzić do kary za pomyłkę.

Cyberataki w Polsce: alarm, ale nie pełny ranking świata

„ESET Threat Report H1 2026” pokazuje Polskę jako jeden z najczęściej pojawiających się celów w telemetryce producenta. Najwyższe pozycje dotyczą zarówno początkowych etapów infekcji, jak i zagrożeń zdolnych sparaliżować przedsiębiorstwo albo wykraść dostęp do jego systemów.

Najbardziej niepokojące nie jest jedno miejsce w rankingu. Jest nim powtarzalność: Polska trafia do ścisłej czołówki w wielu kategoriach jednocześnie. Do znanych metod dochodzą komponenty agentów AI, malware korzystający z modeli generatywnych, phishing w kodach QR i socjotechnika podszywająca się pod pomoc techniczną.

Nowe narzędzia nie zastępują starych ataków. Zwiększają ich tempo, skalę i zdolność dostosowania do zachowania ofiary. Dla przedsiębiorstw oznacza to konieczność łączenia ochrony technicznej, kontroli dostępu, sprawdzonych kopii zapasowych i wiedzy pracowników. Zaniedbanie jednego z tych elementów może wystarczyć, aby przestępca przeszedł do kolejnego etapu.

Źródła:

1. ESET, „ESET Threat Report H1 2026”, raport obejmujący okres grudzień 2025 - maj 2026, 2026.

2. ESET i DAGMA Bezpieczeństwo IT, „ESET publikuje Raport Zagrożeń: Sztuczna inteligencja zwiększa skuteczność cyberprzestępców. Polska w niechlubnej czołówce najczęściej atakowanych państw na świecie”, informacja prasowa, 17 lipca 2026.

3. CERT Polska, „Raport roczny z działalności CERT Polska w 2025 roku”, Warszawa 2026.

4. European Union Agency for Cybersecurity, „ENISA Threat Landscape 2025”, Heraklion 2025.

5. ESET i DAGMA Bezpieczeństwo IT, „Cyberportret polskiego biznesu 2026”, badanie ARC Rynek i Opinia, marzec 2026.

Pobierz ebook "Książka o Egipcie, jakiego nie pokazują wycieczki. Śladami starożytnych królowych i polskich archeologów"