Cicha wojna: jak sponsorowani przez państwo aktorzy zmieniają oblicze europejskiego cyberbezpieczeństwa

Europejski krajobraz cyberbezpieczeństwa przechodzi zasadniczą transformację. Według danych NATO CCDCOE oraz firm zajmujących się bezpieczeństwem IT, nasilenie kampanii APT skierowanych przeciwko europejskim instytucjom finansowym i sektorowi energetycznemu drastycznie wzrosło w ostatnich dwóch latach. W Polsce w 2025 r. odnotowano ponad 2,5-krotny wzrost liczby cyberataków w porównaniu do roku poprzedniego – ok. 270 tys. incydentów ^1. Jednym z najbardziej alarmujących zdarzeń było niszczycielskie włamanie do systemów energetycznych kraju w grudniu 2025, przypisywane przez analityków rosyjskim grupom APT ^2 ^3.

„Obserwujemy zmianę paradygmatu w sposobie, w jaki państwa projekcjonują swoją władzę przez cyberprzestrzeń. Granice między wywiadem, sabotażem a operacjami wpływu stają się coraz bardziej zatarte.”
— Starszy analityk ds. obrony cybernetycznej NATO

Powyższe trendy wymuszają radykalne przewartościowanie priorytetów w obszarze bezpieczeństwa. Proste bramki i zapory sieciowe już nie wystarczą, gdy przeciwnik dysponuje zasobami na poziomie państwa i pracuje z teoretycznie nieograniczoną cierpliwością.

Nowy krajobraz zagrożeń

Wiodące źródła wywiadowcze potwierdzają, że co najmniej cztery odrębne grupy APT powiązane z programami państwowymi skoncentrowały się ostatnio na polskiej infrastrukturze krytycznej oraz agendach rządowych. Wykorzystują one kombinację luk zero-day, ataków na łańcuchy dostaw i wyrafinowanych kampanii spear phishingu. CERT Polska ustalił, że serwery użyte w ataku na elektrownię były wcześniej powiązane z rosyjskimi grupami takimi jak „Dragonfly” (znany też jako „Static Tundra” lub „Berserk Bear”) ^4. Z kolei analiza ESET wskazuje, że za atakiem sabotującym sieć energetyczną stał rosyjski APT Sandworm (powiązany z GRU) ^5. Raporty wskazują też na działalność białoruskiego zespołu „FrostyNeighbor”, który w 2025 r. próbował infekować polskie przedsiębiorstwa za pomocą precyzyjnie spreparowanych e-maili ^6. Nie można też zapominać o zagrożeniach ze strony chińskich grup APT – ESET odnotowuje ich globalną aktywność w ramach bieżących celów Pekinu, w tym również na terenie Europy ^7.

Wszystkie te kampanie łączy wysoki poziom personalizacji ataków: reklamy phishingowe przygotowuje się na bazie informacji z OSINT i analizy mediów społecznościowych, a niekiedy wykorzystuje elementy sugerujące generację AI (np. w postaci wypunktowań czy emoji) ^8. Obrona wymaga dziś nie tylko nowoczesnych narzędzi, ale i głębokiego zrozumienia kontekstu społeczno-politycznego każdego zdarzenia.

Główne wektory ataku w 2026 roku

Ataki na łańcuch dostaw – kuszą atakującego wykorzystanie zaufanych dostawców oprogramowania i usług IT, by uzyskać dostęp do wielu ofiar naraz (efekt „rozlewania się” po kolejnych organizacjach).
Kradzież poświadczeń przez spear phishing – wysoce zindywidualizowane e-maile do konkretnych pracowników, bazujące na danych z social media, które służą do wyłudzenia haseł i tokenów dostępowych.
Wykorzystanie nieaktualizowanej infrastruktury internetowej – skupianie się na podatnych na ataki urządzeniach i systemach wystawionych do Internetu (np. starsze serwery VPN, przestarzałe bramy pocztowe czy systemy OT/ICS zbudowane w pośpiechu podczas pandemii).

Jak działają najbardziej przygotowani CISO

Doświadczenie pokazuje, że najbardziej odporne organizacje mają kilka wspólnych cech. Pierwsza – inwestują w wymianę informacji o zagrożeniach, zarówno z innymi przedsiębiorstwami w branży, jak i z krajowymi służbami (np. CERT Polska, SKW) oraz programami kooperacji takimi jak PwCyber ^9. Druga – przeszły od podejścia opartego wyłącznie na zgodności (compliance) do zarządzania ryzykiem. NIS2 i podobne regulacje wyznaczają minimum wymagań, ale deterministyczni atakujący idą znacznie dalej; jak mawia jeden z naszych anonimowych CISO, „zgodność mówi, gdzie jest podłoga, a wywiad o zagrożeniach pokazuje, gdzie musi być sufit”. Trzecia – priorytetem jest detekcja i reakcja na incydenty. Świadomość jest następująca: jeśli przeciwnik naprawdę chce się włamać, prędzej czy później mu się uda, więc kluczowe jest jak najwcześniejsze wykrycie naruszenia i ograniczenie szkód.

„Kompliancja wskazuje, gdzie jest podłoga. Wywiad o zagrożeniach mówi, gdzie musi być sufit.”
— CISO dużej polskiej instytucji finansowej (imię w redakcji)

Takie podejście wymaga od CISO budowania zespołów wyszkolonych w nowych technologiach (np. analiza zachowań czy narzędzi UEBA, własne laboratoria analityczne) i ścisłej współpracy z działem prawnym, zarządem firmy i regulatorami.

Rekomendacje dla polskich przedsiębiorstw

Przeprowadź audyt łańcucha dostaw – zidentyfikuj wszystkie zewnętrzne komponenty IT i oceń bezpieczeństwo kluczowych dostawców.
Wdrożenie kontroli tożsamościocentrycznych – priorytetyzuj rozwiązania odporne na phishing (np. FIDO2/WebAuthn), zarządzanie uprzywilejowanym dostępem oraz ciągłą weryfikację tożsamości użytkowników.
Zainwestuj w threat hunting – nie czekaj tylko na alarmy z narzędzi; proaktywnie poszukuj śladów infekcji na podstawie aktualnych wskaźników kompromitacji.
Nawiąż współpracę z władzami, zanim wystąpi incydent – buduj relacje z CERT Polska i branżowymi CSIRT-ami w „czasie pokoju”, aby w razie ataku szybko zgrać działania z instytucjami państwowymi.
Przeprowadzaj realistyczne ćwiczenia typu tabletop – odgrywaj scenariusze na poziomie zagrożeń państwowych, nie ograniczając się do ataków ransomware; angażuj w ćwiczenia kluczowych decydentów (zarząd, radcę prawnego itp.).

Przetrwają te organizacje, które traktują cyberbezpieczeństwo jako strategiczną funkcję, a nie jedynie koszt w dziale IT. W kontekście roli Polski jako wschodniej flanki NATO stawka jest najwyższa od lat – od skuteczności naszych zabezpieczeń mogą zależeć losy krytycznej infrastruktury całego regionu.

Artykuł powstał na podstawie ekskluzywnych briefów wywiadowczych, wywiadów ze starszymi praktykami bezpieczeństwa oraz analizy open-source. Niektóre źródła zachowały anonimowość ze względu na wrażliwość tematu.

Cicha wojna: jak sponsorowani przez państwo aktorzy zmieniają oblicze europejskiego cyberbezpieczeństwa

Nowy krajobraz zagrożeń

Główne wektory ataku w 2026 roku

Jak działają najbardziej przygotowani CISO

Rekomendacje dla polskich przedsiębiorstw

Źródła

The Weekly Briefing