Polska już doświadczyła cyberataków, których celem było niszczenie systemów i zakłócanie działania infrastruktury krytycznej. Pod koniec 2025 roku zaatakowano co najmniej 30 farm wiatrowych i fotowoltaicznych oraz elektrociepłownie. Teraz ESET ujawnia kolejny niepokojący sygnał z naszego regionu: po raz pierwszy udokumentował destrukcyjny cyberatak przeprowadzony przez grupę powiązaną z Białorusią. Jej celem było ukraińskie przedsiębiorstwo ważne dla sektora transportowego. Coraz większa zbieżność działań białoruskich i rosyjskich grup wskazuje na możliwą eskalację cyberzagrożeń w Europie Środkowo-Wschodniej. Najnowszy raport ESET APT Activity Report opisuje również próby wykradania technologii dronowych przez Koreę Północną oraz nowe sposoby wykorzystywania sztucznej inteligencji przez grupy cyberprzestępcze.
Białoruscy hakerzy już nie tylko szpiegują. Teraz także niszczą dane
Jednym z najważniejszych odkryć ESET jest zmiana charakteru działań grup hakerskich powiązanych z Białorusią. Dotychczas koncentrowały się one przede wszystkim na cyberwywiadzie i wykradaniu informacji. Najnowsze ustalenia pokazują jednak, iż mogą coraz częściej sięgać po narzędzia służące do niszczenia danych. Pod koniec maja 2026 roku grupa FrostyNeighbor, znana również jako UNC1151, przeprowadziła atak na ukraińskie przedsiębiorstwo produkcyjne odgrywające istotną rolę w sektorze transportowym. Cyberprzestępcy wykorzystali narzędzia umożliwiające zdalny dostęp do infrastruktury informatycznej, a następnie uruchomili oprogramowanie typu wiper, którego zadaniem jest usuwanie danych z zaatakowanych urządzeń.
Według ESET to pierwszy udokumentowany przypadek destrukcyjnego cyberataku przeprowadzonego przez grupę powiązaną z Białorusią. Dotychczas tego rodzaju operacje wymierzone w ukraińskie organizacje były przede wszystkim domeną grup związanych z Rosją. Motywacja sprawców nie została jednoznacznie ustalona. Niewykluczone, iż usuwanie danych miało służyć zatarciu śladów wcześniejszej operacji szpiegowskiej. Jednak wybór celu wskazuje na zbieżność z rosyjskimi priorytetami wojskowymi i wywiadowczymi. Analitycy ESET oceniają, iż białoruskie grupy mogą coraz ściślej współpracować z rosyjskimi służbami, pełniąc funkcję ich dodatkowego zaplecza operacyjnego.
Polska już znalazła się na celowniku. Ataki na energetykę pokazują skalę zagrożenia
Zagrożenia związane z cyberatakami destrukcyjnymi nie są dla Polski wyłącznie hipotetyczne. Według CERT Polska 29 grudnia 2025 roku doszło do skoordynowanych ataków na krajowy sektor energetyczny. Objęły one co najmniej 30 farm wiatrowych i fotowoltaicznych, przedsiębiorstwo produkcyjne oraz elektrociepłownie. W jednym z zaatakowanych obiektów ciepło dostarczano do niemal pół miliona odbiorców.
Celem sprawców było zakłócenie działania infrastruktury i uszkodzenie systemów. Ataki na instalacje OZE doprowadziły do zerwania komunikacji z operatorami sieci dystrybucyjnej, ale nie przerwały produkcji energii. Nie doszło również do zakłócenia dostaw ciepła. Sam charakter operacji pokazał jednak, iż cyberataki mogą być wymierzone bezpośrednio w funkcjonowanie infrastruktury istotnej dla mieszkańców i gospodarki.
Najnowsze ustalenia ESET dotyczące grupy FrostyNeighbor wpisują się w szerszy obraz zagrożeń dla regionu. Choć raport nie wskazuje, aby grupa ta przeprowadziła destrukcyjny atak w Polsce, jej działania pokazują, iż podobnymi możliwościami mogą dysponować kolejne podmioty realizujące cele zbieżne z interesami Rosji. Szczególnego znaczenia nabiera to dla państw wschodniej flanki NATO, w tym Polski, która odgrywa istotną rolę we wspieraniu Ukrainy.
Fałszywa oferta pracy drogą do technologii wojskowych
Na tym jednak nie kończą się niepokojące ustalenia raportu. ESET zaobserwował również wznowienie kampanii Operation DreamJob, prowadzonej przez północnokoreańską grupę Lazarus. Jej celem są przedsiębiorstwa rozwijające technologie dronowe i rozwiązania wykorzystywane w przemyśle obronnym.
W jednym z opisanych przypadków zaatakowano pracownika firmy zbrojeniowej w Europie Środkowej. Cyberprzestępcy podszyli się pod rekruterów oferujących atrakcyjne zatrudnienie. Ofiara otrzymała archiwum ZIP zawierające spreparowany dokument PDF oraz zmodyfikowaną wersję programu do jego otwierania. Uruchomienie zainfekowanego systemu mogło umożliwić przestępcom przejęcie kontroli nad komputerem. Zdaniem ESET zainteresowanie Korei Północnej technologiami bezzałogowymi może wynikać z pogłębiającej się współpracy wojskowej z Rosją. Zdobyta wiedza mogłaby wesprzeć rozwój północnokoreańskich zdolności produkcyjnych i militarnych. Operacja pokazuje również, iż choćby przedsiębiorstwa dysponujące zaawansowanymi zabezpieczeniami mogą być atakowane za pośrednictwem pojedynczych pracowników.
AI przeciwko AI. Cyberprzestępcy próbują oszukać systemy bezpieczeństwa
Raport ESET opisuje również coraz szersze wykorzystanie sztucznej inteligencji w działalności grup APT. Cyberprzestępcy używają modeli językowych m.in. do przyspieszania tworzenia złośliwego oprogramowania, przygotowywania fałszywych stron internetowych i automatyzowania powtarzalnych czynności.
Szczególnie interesujący przypadek dotyczy grupy UAC-0099, powiązanej z Rosją. Atakujący umieścili w komentarzu do złośliwego skryptu pozorne pytanie o instrukcję budowy broni jądrowej. Według analityków ESET mogła to być próba uruchomienia mechanizmów bezpieczeństwa modeli językowych wykorzystywanych do analizy kodu. o ile system AI uznałby taki fragment za niedozwoloną treść, mógłby odmówić dalszej analizy, pozostawiając złośliwy kod niewykryty. ESET nie potwierdza, iż próba zakończyła się powodzeniem. Pokazuje ona jednak, iż cyberprzestępcy zaczynają eksperymentować nie tylko z możliwościami AI, ale również z jej ograniczeniami. Jednocześnie ESET studzi obawy związane z całkowicie autonomicznymi cyberatakami. W analizowanym okresie sztuczna inteligencja nie zmieniła zasadniczo sposobu działania zaawansowanych grup APT. przez cały czas pełni przede wszystkim funkcję narzędzia przyspieszającego pracę ludzi.
Cyberataki coraz ściślej związane z geopolityką
Raport obejmujący okres od kwietnia do września 2026 roku pokazuje, iż działalność grup APT coraz silniej odzwierciedla konflikty zbrojne i strategiczne interesy państw. Grupy powiązane z Rosją przez cały czas koncentrują się na Ukrainie, atakując administrację, wojsko i sektor obronny. Na Bliskim Wschodzie wzrosła aktywność grup związanych z Iranem, wymierzona przede wszystkim w organizacje izraelskie. Z kolei grupy powiązane z Chinami kontynuują cyberwywiad, w tym operacje przeciwko tajwańskiemu sektorowi półprzewodników.
Wspólnym mianownikiem tych działań jest rosnące znaczenie cyberprzestrzeni jako obszaru rywalizacji między państwami. Dla przedsiębiorstw oznacza to, iż mogą stać się celem nie tylko ze względu na przechowywane dane czy zasoby finansowe, ale także z powodu swojej roli w łańcuchach dostaw, rozwijanych technologii lub znaczenia dla bezpieczeństwa państwa.
Pełny raport dostępny jest tutaj: ESET APT Activity Report
