W pierwszej połowie 2025 roku Polska stała się globalnym epicentrum ataków typu ransomware, wyprzedzając nawet Stany Zjednoczone i odpowiadając za 6% wszystkich incydentów wykrytych przez systemy telemetryczne ESET. W obliczu gwałtownie rosnącej skali zagrożeń oraz coraz bardziej wyrafinowanych metod działania cyberprzestępców, krajowe przedsiębiorstwa stoją przed kluczowym wyzwaniem: albo zainwestują w cyberodporność, albo zostaną bezbronne wobec cyfrowych szantażystów.
Cyberprzestępcze El Dorado nad Wisłą
Ransomware, czyli złośliwe oprogramowanie szyfrujące dane i żądające okupu za ich odszyfrowanie, od lat pozostaje jednym z najgroźniejszych narzędzi w arsenale cyberprzestępców. Według raportu ESET Threat Report H1 2025, liczba ataków ransomware na świecie wzrosła o 30% w porównaniu z rokiem ubiegłym, jednak całkowita kwota okupów spadła aż o 35%. Zmiana ta wynika między innymi z coraz skuteczniejszych działań organów ścigania, ale też z utraty wiarygodności przez grupy przestępcze, które coraz częściej nie dotrzymują obietnic dotyczących odszyfrowania danych po zapłacie.
Nie zmienia to faktu, że Polska znalazła się na pierwszym miejscu w rankingu krajów najbardziej dotkniętych ransomware. Dlaczego akurat tutaj przestępcy tak chętnie kierują swoje działania?
Najsłabsze ogniwa: ludzie i technologia
Jednym z głównych powodów jest słabe przygotowanie wielu polskich firm do odpierania zaawansowanych ataków. Zgodnie z danymi ESET, jedynie 59% przedsiębiorstw w Polsce stosuje jakiekolwiek oprogramowanie zabezpieczające. Co więcej, aż 88% organizacji doświadczyło w ostatnich latach cyberataku lub wycieku danych. To nie tylko statystyka – to realna luka w bezpieczeństwie, która zachęca przestępców do działania.
Kluczowym czynnikiem pogłębiającym zagrożenie jest również niski poziom świadomości wśród pracowników. Choć większość zatrudnionych potrafi rozpoznać phishing czy kradzież tożsamości, jedynie 19% rozumie, czym jest ransomware. Tylko 26% pracowników uczestniczyło w więcej niż jednym szkoleniu z cyberbezpieczeństwa w ciągu ostatnich pięciu lat, a ponad połowa – w żadnym.
– Budżetowanie i wydatkowanie w obszarze cyberbezpieczeństwa to temat często stymulowany czynnikami innymi niż strategia biznesowa. W odróżnieniu od wydatków na infrastrukturę IT, gdzie po latach cyfryzacji osoby zarządzające firmami widzą korelację pomiędzy rozwojem biznesu, a dobrze działającym środowiskiem informatycznym, tak inwestycje w cyberbezpieczeństwo zyskują na znaczeniu poprzez wpływ czynników zewnętrznych jak np. regulacje na poziomie państwa czy wymagania partnerów biznesowych. Wzrost wydatków na cyberbezpieczeństwo potwierdzają firmy, w których dochodzi do incydentów. Powyższe scenariusze pokazują, że zarządzającym z jednej strony brakuje nadal przekonania o wpływie cyberodporności na rozwój organizacji, a decyzje o podniesieniu wydatków w tym obszarze podejmują często na podstawie poniesionych strat w wyniku cyberataków. Jest to działanie responsywne, pokazujące niską świadomość o istotności cyberbezpieczeństwa dla danego przedsiębiorstwa czy organizacji – mówi Dawid Zięcina, dyrektor działu technicznego w DAGMA Bezpieczeństwo IT.
ClickFix – nowe oblicze socjotechniki
Jednym z najgroźniejszych trendów w pierwszym półroczu 2025 roku stał się gwałtowny wzrost wykorzystania techniki ClickFix – zaledwie rok temu niemal nieznanej. Metoda ta polega na podszywaniu się pod znane mechanizmy weryfikacyjne (takie jak reCAPTCHA) i nakłanianiu ofiary do ręcznego wklejenia złośliwego kodu w terminalu.
Tylko między drugą połową 2024 a pierwszą połową 2025 roku liczba wykryć ClickFix wzrosła o 517%. W Polsce zarejestrowano jeden z najwyższych wskaźników ataków tego typu w Europie. Technika ta stała się tak skuteczna, że przestępcy zaczęli oferować gotowe narzędzia do jej wdrażania na forach cyberprzestępczych.
– Mechanizm ten opiera się na spreparowanym komunikacie o błędzie, który przypomina użytkownikom znane okna weryfikacyjne, takie jak reCAPTCHA — gdzie zwykle prosi się o zaznaczenie obrazków czy przepisanie tekstu, aby udowodnić, że nie jest się robotem. Cyberprzestępcy wykorzystują ten znajomy schemat, by skłonić ofiarę do skopiowania i uruchomienia złośliwego skryptu na swoim urządzeniu pod pretekstem naprawienia rzekomego problemu lub dokończenia weryfikacji. W ten sposób nieświadomi użytkownicy sami uruchamiają niebezpieczny kod, który może prowadzić do zainfekowania ransomware, trojanami czy programami kradnącymi dane – wyjaśnia Kamil Sadkowski, analityk laboratorium antywirusowego ESET.
ClickFix służy dziś nie tylko do infekowania trojanami czy oprogramowaniem szpiegującym. W kampaniach prowadzonych w 2025 roku obserwowano jego bezpośrednie wykorzystanie do infekcji ransomware, m.in. Interlock, który podszywał się pod instalatory Microsoft Teams.
Wojna gangów: cyberprzestępczy świat pogrążony w chaosie
Rok 2025 upływa pod znakiem brutalnych przetasowań w podziemiu ransomware. To już nie tylko gra z organami ścigania i firmami-ofiarami — coraz częściej mamy do czynienia z konfliktem wewnętrznym w samym środowisku cyberprzestępców. Najgłośniejszym incydentem tego typu był bezprecedensowy atak grupy DragonForce na największą platformę ransomware-as-a-service — RansomHub.
W marcu, DragonForce, znana z prowokacyjnych i często chaotycznych działań, przeprowadziła udany atak deface’ujący infrastrukturę RansomHub w darknecie. Zamiast danych wyciekowych pojawił się komunikat o rzekomym „dobrowolnym” dołączeniu RansomHub do „kartelu” DragonForce. Informacja ta szybko została obalona przez samych operatorów RansomHub w publicznej wymianie zdań na forum RAMP, jednej z głównych platform komunikacji w cyberpodziemiu.
W terminologii cyberbezpieczeństwa defacement (czyli deface) oznacza atak polegający na nieautoryzowanej zmianie wyglądu lub treści strony internetowej — najczęściej w celu jej ośmieszenia, upokorzenia właściciela lub zademonstrowania dominacji. W przypadku ataku DragonForce, defacement polegał na przejęciu witryny RansomHub w darknecie i zastąpieniu jej zawartości własnym komunikatem, co skutecznie sparaliżowało działalność tej grupy.
Najważniejsze jest jednak to, co wydarzyło się później — mimo zaprzeczeń i prób ratowania wizerunku, RansomHub praktycznie zamilkł. Witryna przestała publikować nowe materiały, a aktywność współpracowników grupy nagle wygasła. Jak zauważyli eksperci ESET, do dziś nie udało się przywrócić pełnej funkcjonalności usługi, co postawiło wielu cyberprzestępczych „partnerów” w sytuacji bez centralnego operatora.
Skutki tego ciosu były dalekosiężne. Część podwykonawców cybergangu zaczęła szukać alternatywnych platform, inni porzucili działalność związaną z RansomHub całkowicie, obawiając się utraty danych, reputacji lub… kolejnego ataku. O ile sama grupa DragonForce nie zyskała na wiarygodności (jej działania uważane są za impulsywne, a komunikaty za niewiarygodne), o tyle udało jej się zdestabilizować jeden z filarów cyberprzestępczego rynku.
Eksperci porównują tę sytuację do upadku znanych gangów z poprzednich lat, takich jak REvil czy DarkSide – ale z tą różnicą, że tym razem inicjatorem nie była policja ani FBI, lecz konkurencyjna grupa przestępcza. W efekcie, krajobraz ransomware uległ gwałtownej fragmentacji, a pole gry zostało otwarte dla nowych graczy.
Cyberpranie brudów: kompromitacja LockBit i Black Basta
Tuż po deface’ie witryn RansomHub doszło do kolejnej sensacyjnej sytuacji: nieznani sprawcy przejęli i opublikowali wewnętrzne dane kolejnych dwóch gigantów cyberprzestępczości — LockBit i Black Basta. Do incydentów doszło niezależnie od siebie, ale łączy je wspólny mianownik: kompromitacja i utrata zaufania wśród członków i współpracowników tych gangów.
W przypadku LockBit, na nowo uruchomionej stronie wyciekowej (po wcześniejszym zablokowaniu w ramach jednej z operacji organów ścigania), zamiast listy ofiar pojawił się sarkastyczny komunikat: „Nie popełniaj przestępstw. PRZESTĘPSTWA SĄ ZŁE. Pozdrawiamy z Pragi”. Pod nim zamieszczono link do pełnej bazy danych użytkowników systemu LockBit, obejmującej m.in.:
- nazwiska i pseudonimy ponad 60 administratorów i podwykonawców,
- loginy i hasła w formie jawnej,
- historię negocjacji z ofiarami (ponad 4400 wiadomości),
- konfiguracje kampanii i schematy płatności bitcoinowych.
Tego typu wyciek to nie tylko potężny cios reputacyjny. To również gotowa mapa do identyfikacji podejrzanych przez służby — co, jak podaje niemieckie BKA (Bundeskriminalamt – Federalny Urząd Kryminalny), już doprowadziło do potwierdzenia tożsamości przynajmniej jednego lidera grupy.
Jeszcze większym zaskoczeniem był wyciek danych Black Basta – jednego z bardziej hermetycznych i technicznie zaawansowanych gangów ransomware. W tym przypadku upubliczniono logi wewnętrznych komunikatorów, szablony phishingowe, dane wyciekowe, a także adresy portfeli kryptowalutowych. Eksperci są podzieleni w ocenie, czy za wyciekiem stał rozłam w grupie, czy może dobrze przeprowadzony atak z zewnątrz.
Dodatkowym wstrząsem dla przestępczego podziemia był powrót na platformę X (dawniej Twitter) konta @GangExposed — spadkobiercy wcześniejszych kanałów specjalizujących się w ujawnianiu kulisów działania gangów Conti i TrickBot. W 2025 roku konto to wykorzystało stare i nowe materiały do upublicznienia tożsamości osób powiązanych z gangami ransomware i botnetami, m.in. o pseudonimach Stern, Tramp i Target. Ich powiązania z LockBitem, Royalem i TrickBotem zostały potwierdzone przez organy ścigania w Niemczech.
Te incydenty potwierdzają, że coraz częściej zagrożeniem dla cyberprzestępców stają się nie tylko agencje bezpieczeństwa, ale także… oni sami.
– Choć pierwszy kwartał 2025 roku przyniósł gwałtowny wzrost liczby zgłaszanych ataków, nagłe zakończenie działalności RansomHub wyraźnie ten trend zatrzymało. Kiedy RansomHub pojawił się w 2024 roku i przejął współpracowników LockBit oraz BlackCat, jego odpowiednie wyczucie czasu i atrakcyjne warunki sprawiły, że błyskawicznie urósł w siłę. Teraz jednak krajobraz ransomware pogrążony jest w chaosie — a za tą destabilizacją nie stoi żadna agencja ścigania, lecz konkurencja.
Spodziewamy się, że z czasem na scenie pojawi się nowy dominujący gracz, ale jednocześnie obecne konflikty wewnętrzne raczej szybko się nie skończą. DragonForce być może zdobyło chwilową uwagę, ale z pewnością nie zdobyło zaufania. Ich fałszywe twierdzenia o rzekomym „dobrowolnym” dołączeniu RansomHub do ich kartelu jedynie potęgują brak wiarygodności – komentuje Jakub Souček, starszy analityk oprogramowania typu malware w ESET.
Polska w ogniu kampanii infostealerów
Oprócz ransomware, szczególną aktywność w Polsce wykazały także kampanie z wykorzystaniem infostealerów – oprogramowania kradnącego dane uwierzytelniające i pliki. W pierwszym półroczu odnotowano ponad 18 000 prób infekcji przy użyciu SnakeStealer, co czyni Polskę jednym z najczęściej atakowanych krajów w Europie Środkowej.
Infostealery są często wykorzystywane jako pierwszy etap ataku. Coraz częściej są dostarczane za pomocą techniki ClickFix, a ich zadaniem jest przygotowanie gruntu pod późniejsze działania — na przykład infekcję ransomware. Tego typu schemat działania, w którym jedna grupa przestępcza odpowiada za uzyskanie dostępu do systemu, a inna za końcowy atak, nazywany jest modelem „initial access broker” i staje się standardem w świecie cyberprzestępczości.
Recepta na cyber-odporność: strategia wielowarstwowa
Odpowiedzią na dynamicznie ewoluujące zagrożenia musi być kompleksowe podejście do cyberochrony. ESET rekomenduje działania w trzech kluczowych obszarach:
- Szkolenia i polityki bezpieczeństwa
Obowiązkowe, regularne szkolenia z zakresu phishingu, inżynierii społecznej oraz reagowania na incydenty. Warto również wprowadzać realistyczne ćwiczenia, np. symulowane ataki. - Technologie detekcji i reakcji
Narzędzia klasy EDR/XDR, zintegrowane z systemami telemetrycznymi, pozwalają na szybką identyfikację nieprawidłowości i automatyczną izolację zagrożeń. - Zarządzanie danymi i dostępami
Obowiązkowe stosowanie MFA, regularne backupy przechowywane offline, segmentacja sieci i nadawanie uprawnień zgodnie z zasadą minimalnego dostępu.
– Uwierzytelnianie wieloskładnikowe (MFA) powinno być dziś standardem, bo znacząco utrudnia przejęcie kont nawet w przypadku wycieku danych. Równie istotne jest regularne wykonywanie kopii zapasowych i przechowywanie ich w odizolowanych, bezpiecznych lokalizacjach. Dopełnieniem całości musi być korzystanie wyłącznie z zaufanych źródeł oprogramowania oraz rozsądne nadawanie uprawnień, co minimalizuje ryzyko zainfekowania firmowych systemów – podkreśla Kamil Sadkowski.
Niepewna cyber-przyszłość – ale wszystko w naszych rękach
Wszystko wskazuje na to, że Polska pozostanie w centrum zainteresowania cyberprzestępców jeszcze przez długi czas. Niestety, jest to wynik słabej infrastruktury, niedostatecznej edukacji cyfrowej i wysokiej aktywności operatorów ransomware.
Tym bardziej konieczne jest, by firmy i instytucje przestały traktować cyberbezpieczeństwo jako koszt, a zaczęły postrzegać je jako inwestycję w stabilność operacyjną i zaufanie klientów. Świadome zarządzanie ryzykiem, przygotowanie na incydenty i wdrażanie aktualnych technologii obronnych to dziś nie tyle „dobre praktyki”, co konieczność.
Bo choć cyberprzestępcy będą zawsze szukać nowego sposobu na przełamanie zabezpieczeń, to dobrze przygotowane organizacje mogą skutecznie stawić im czoła – zanim stracą pieniądze, dane, pieniądze, reputację i więcej pieniędzy…
źródła: ESET, informacja prasowa
Dodaj komentarz