W ostatnim czasie opublikowano dwa interesujące raporty dotyczące aktualnych zagrożeń i trendów w obszarze cyberbezpieczeństwa. „Raport z incydentu w sektorze energii 29.12” przygotowany przez CERT Polska oraz „IOCTA 2026 – The Evolving Threat Landscape” opublikowany przez Europol pokazują, jak dynamicznie zmienia się krajobraz cyberzagrożeń i z jakimi wyzwaniami mierzą się dziś organizacje.
Od luk w zabezpieczeniach do cyberzagrożeń
Raport CERT Polska pokazuje, że atak na infrastrukturę krytyczną nie musi zaczynać się od „zaawansowanego malware’u” – wystarczy zdalny dostęp VPN bez MFA, współdzielone lub domyślne hasła, brak kontroli zmian, słaba segmentacja i niewystarczające monitorowanie działań administracyjnych. W opisanym incydencie z 29 grudnia 2025 r. ataki objęły farmy OZE, przedsiębiorstwo produkcyjne oraz elektrociepłownię, a ich cel był destrukcyjny — uszkodzenie systemów IT/OT i utrudnienie odtworzenia działania infrastruktury.
Raport Europolu IOCTA 2026 pokazuje z kolei szerszy kontekst: cyberprzestępczość przyspiesza dzięki AI, szyfrowanej komunikacji, proxy, usługom crime-as-a-service, ransomware-as-a-service, infostealerom i coraz trudniejszej do śledzenia infrastrukturze przestępczej.
Co konkretnie wydarzyło się według CERT Polska?
CERT Polska opisuje skoordynowane ataki w polskiej cyberprzestrzeni wymierzone m.in. w co najmniej 30 farm wiatrowych i fotowoltaicznych, elektrociepłownię dostarczającą ciepło dla prawie pół miliona odbiorców oraz podmiot z sektora produkcyjnego.
W przypadku farm OZE atakujący uzyskali dostęp do urządzeń Fortigate pełniących rolę koncentratora VPN i firewalla; interfejs VPN był dostępny z Internetu, a logowanie odbywało się bez wieloskładnikowego uwierzytelniania.
Raport wskazuje też na praktykę wykorzystywania tych samych kont i haseł w wielu obiektach, co oznacza, że przejęcie jednego zestawu poświadczeń mogło ułatwić dostęp do kolejnych lokalizacji.
W części OT wykorzystano domyślne poświadczenia do sterowników RTU, serwerów portów Moxa oraz systemów HMI, a działania obejmowały m.in. wgrywanie uszkodzonego firmware’u, usuwanie plików systemowych, resetowanie urządzeń do ustawień fabrycznych i zmianę konfiguracji w sposób utrudniający odtworzenie pracy.
W elektrociepłowni atak był poprzedzony długotrwałą infiltracją, rekonesansem, kradzieżą poświadczeń i uzyskaniem dostępu do uprzywilejowanych kont Active Directory, a dystrybucję wipera próbowano przeprowadzić przez polityki GPO.
W efekcie nie mieliśmy do czynienia z pojedynczym błędem technicznym, lecz z łańcuchem zaniedbań, które wzajemnie zwiększały ryzyko – od braku MFA i słabego zarządzania kontami, przez niewystarczający monitoring Active Directory i kontrolę zmian, aż po opóźnione wykrycie rekonesansu oraz brak pełnej widoczności między środowiskami IT i OT.
Co dodaje raport Europolu IOCTA 2026?
Europol wskazuje, że cyberprzestępcy coraz częściej wykorzystują AI do zwiększania skali, szybkości i personalizacji ataków, co skraca czas potrzebny do uruchomienia kampanii i zwiększa presję na zespoły bezpieczeństwa.
Raport opisuje też rosnącą rolę dark webu, komunikatorów szyfrowanych, residential proxy, bullet-proof hostingu i kryptowalut jako elementów infrastruktury przestępczej, która utrudnia wykrywanie, atrybucję i ściganie atakujących.
Europol podkreśla, że ransomware pozostaje dominującym zagrożeniem w UE, a w 2025 r. obserwowano ponad 120 aktywnych marek ransomware; model wymuszeń przesuwa się z samego szyfrowania danych w stronę kradzieży danych, presji psychologicznej, DDoS i wieloetapowej eskalacji.
Raport wskazuje również, że infostealery nadal zasilają rynek cyberprzestępczy, dostarczając skradzione dane uwierzytelniające, które później mogą być używane do VPN, RDP, chmury, poczty lub systemów administracyjnych.
Współczesny cyberatak coraz rzadziej wymaga od przestępcy tworzenia wszystkiego od podstaw. Gotowy dostęp, skradzione dane uwierzytelniające, proxy czy narzędzia wykorzystujące AI pozwalają szybciej przeprowadzić rekonesans i atak, często zanim organizacja zdąży odpowiednio zareagować.
Wykrywanie zagrożeń zaczyna się od widoczności
W opisanym przez CERT Polska incydencie atakujący wykorzystywali m.in. VPN/RDP, PsExec, SMB, PowerShell, certutil i Rubeus, a także podejmowali próbę dystrybucji wipera za pomocą GPO. Tego typu aktywność pozostawia w środowisku wiele śladów, których połączenie może pozwolić na wcześniejsze wykrycie ataku.
Jakie widzimy rozwiązanie?
Rozwiązania takie jak ManageEngine Log360 centralizują logi i korelują zdarzenia z różnych źródeł – m.in. Active Directory, stacji roboczych, serwerów, urządzeń sieciowych, Microsoft 365 i środowisk chmurowych – wspierając również analizę behawioralną UEBA. W praktyce oznacza to lepszą widoczność takich sygnałów jak nietypowe logowania VPN/RDP, zmiany w GPO, eskalacja uprawnień czy podejrzana aktywność na kontrolerach domeny, co może przełożyć się na szybsze wykrycie i reakcję na zagrożenie.
Uprzywilejowany dostęp pod kontrolą
CERT Polska zwraca uwagę na wykorzystanie domyślnych poświadczeń w urządzeniach OT oraz współdzielonych kont i haseł w wielu obiektach. W środowiskach, w których te same dane dostępowe funkcjonują w wielu lokalizacjach, przejęcie jednego konta może znacząco zwiększyć skalę ataku.
Jakie widzimy rozwiązanie?
ManageEngine PAM360 pozwala centralnie zarządzać kontami uprzywilejowanymi i danymi dostępowymi, kontrolować dostęp oraz monitorować i audytować sesje administratorów, pracowników i dostawców zewnętrznych. Dzięki temu organizacja może ograniczyć ryzyko ponownego wykorzystania tych samych poświadczeń, wymuszać ich regularną rotację i zachować pełną rozliczalność działań związanych z dostępem uprzywilejowanym
Bezpieczny dostęp zdalny do krytycznych systemów
W analizowanym incydencie urządzenia VPN były dostępne z Internetu i umożliwiały logowanie bez wieloskładnikowego uwierzytelniania. To pokazuje, jak istotne jest nie tylko zabezpieczenie samego dostępu zdalnego, ale również kontrolowanie tego, kto, kiedy i w jaki sposób uzyskuje dostęp do krytycznych zasobów.
Jakie widzimy rozwiązanie?
Rozwiązania ManageEngine z obszaru IAM i PAM wspierają organizacje w zarządzaniu dostępem, kontami uprzywilejowanymi i sesjami zdalnymi, a także w audytowaniu aktywności użytkowników. Ma to szczególne znaczenie w środowiskach, w których zdalny dostęp jest wykorzystywany przez integratorów, serwisantów, operatorów czy zespoły utrzymaniowe – ograniczając ryzyko przejęcia dostępu i ułatwiając szybką identyfikację niepożądanej aktywności.
Podatności wymagają stałej kontroli
CERT Polska wskazuje, że część urządzeń była w przeszłości podatna na zdalne wykonanie kodu, a w środowisku występowały również słabe konfiguracje i domyślne ustawienia. To pokazuje, że samo reagowanie na znane podatności nie wystarcza – bezpieczeństwo wymaga stałego monitorowania stanu urządzeń, systemów i aplikacji.
Jakie widzimy rozwiązanie?
ManageEngine Vulnerability Manager Plus wspiera ten proces, umożliwiając wykrywanie i priorytetyzowanie podatności, automatyzację aktualizacji systemów Windows, macOS, Linux i aplikacji firm trzecich oraz kontrolę konfiguracji bezpieczeństwa i zgodności z benchmarkami CIS. W praktyce pozwala to odejść od modelu „łatamy, gdy pojawi się problem” na rzecz ciągłego zarządzania podatnościami i konfiguracją.
Endpoint jako miejsce wykonania ataku
W raporcie CERT Polska opisano wykorzystanie m.in. systemów Windows HMI, PowerShell, SMB, RDP i PsExec, a także wipera DynoWiper do niszczenia danych. W takim scenariuszu kluczowa jest możliwość szybkiego połączenia informacji o stanie urządzeń z aktywnością użytkowników i zdarzeniami bezpieczeństwa.
Jakie widzimy rozwiązanie?
Takie narzędzia, jak Endpoint Central w połączeniu z Log360 zapewniają szerszą widoczność środowiska – od podatności i błędnych konfiguracji po podejrzaną aktywność na endpointach. Pozwala to szybciej identyfikować niepożądane działania, reagować na incydenty i ograniczać ich rozprzestrzenianie się między stacjami roboczymi, serwerami i systemami administracyjnymi.
Co te incydenty mówią o bezpieczeństwie organizacji?
Analiza opisanych zagrożeń pokazuje, że skuteczna ochrona nie opiera się na jednym rozwiązaniu ani pojedynczym mechanizmie bezpieczeństwa. Potrzebne jest podejście, które łączy ochronę tożsamości, kontrolę dostępu, zarządzanie podatnościami, monitoring oraz szybką reakcję na podejrzaną aktywność.
- Incydenty zaczynają się od poświadczeń
Raport CERT Polska pokazuje, że brak MFA, domyślne hasła i współdzielone konta mogą doprowadzić do realnych skutków operacyjnych w infrastrukturze krytycznej.
- Atakujący działają długo przed „dniem zero”
W elektrociepłowni obserwowano wcześniejszy rekonesans, dostęp do kontrolera domeny, próby kradzieży poświadczeń i rozpoznanie systemów automatyki przemysłowej.
- SIEM bez kontekstu endpointów i tożsamości to za mało
Integracja Log360 z Endpoint Central pozwala łączyć dane endpointowe, podatności, błędne konfiguracje i aktywność użytkowników w jednej analizie bezpieczeństwa.
- Ransomware i destrukcyjne ataki są coraz bardziej przemysłowe
Europol wskazuje na rozwój ransomware-as-a-service, crime-as-a-service, infostealerów, DDoS i presji wielokanałowej wobec ofiar.
- Zgodność regulacyjna wymaga dowodów, nie deklaracji
PAM360 wspiera audyt, raportowanie, kontrolę dostępu uprzywilejowanego i zgodność m.in. z NIS2 oraz DORA, a Log360 dostarcza raportowanie i archiwizację logów potrzebną do audytów.
Raporty CERT Polska i Europolu pokazują, że największym ryzykiem nie jest dziś pojedyncza luka, ale brak widoczności i kontroli nad tożsamościami, dostępem zdalnym, konfiguracją, podatnościami i logami. ManageEngine pozwala zbudować warstwę odporności: od zarządzania podatnościami, przez kontrolę kont uprzywilejowanych, po SIEM, audyt Active Directory i monitoring endpointów. To inwestycja, która pomaga wykryć atak wcześniej, ograniczyć jego skutki i udokumentować działania przed audytem, zarządem oraz regulatorem.
