Atak na energetykę i DDoS-y — infrastruktura pod ostrzałem

Przełom 2025 i 2026 roku przypomniał, że cyberatak nie zawsze celuje w pieniądze na koncie — czasem celem jest sama dostępność usług i zaufanie do państwa. Destrukcyjny incydent w polskim sektorze energetycznym oraz nieustające prorosyjskie kampanie DDoS pokazują drugą twarz zagrożeń: haktywizm i działania na styku geopolityki.

Dwa różne rodzaje zagrożeń

Atak destrukcyjny na infrastrukturę. 29 grudnia 2025 roku doszło do incydentu wymierzonego w podmioty sektora energii — szczegółową analizę opublikował 30 stycznia 2026 roku CERT Polska. Charakter był destrukcyjny, a wśród celów znalazły się m.in. instalacje OZE i zakład przemysłowy. To klasa ataków, w której chodzi o zakłócenie działania, nie o okup.

DDoS jako narzędzie nacisku. Prorosyjskie grupy, takie jak NoName057(16), od dawna prowadzą kampanie DDoS wymierzone w kraje wspierające Ukrainę — w tym Polskę. Cele to strony instytucji publicznych, transportu, banków. Same w sobie DDoS-y rzadko powodują wyciek danych, ale paraliżują usługi i budują wrażenie chaosu — i o to w nich chodzi.

Dlaczego to dotyczy także zwykłych firm

Łatwo pomyśleć „to sprawa państwa i wielkich operatorów”. Błąd. Po pierwsze, wiele firm to element łańcucha dostaw infrastruktury krytycznej — dostawcy, integratorzy, podwykonawcy — i przez nich prowadzą realne wektory ataku. Po drugie, DDoS może uderzyć w dowolny biznes zależny od dostępności online. Po trzecie, otoczenie regulacyjne (dyrektywa NIS2 i jej wdrożenie w Polsce) rozszerza obowiązki bezpieczeństwa na znacznie szerszą grupę podmiotów niż dotąd.

Jak się przygotować

Na DDoS:

• Ochrona anty-DDoS na brzegu (dostawca / CDN), z przećwiczonym trybem podwyższonego zagrożenia.
• Nadmiarowość i skalowanie usług krytycznych oraz plan komunikacji na czas niedostępności.

Na ataki ukierunkowane i destrukcyjne:

• Oddzielenie IT od OT (systemów sterowania) i ścisła kontrola dostępu między nimi.
• MFA i segmentacja, monitoring anomalii, aktualne systemy brzegowe.
• Kopie zapasowe odporne i przećwiczone odtwarzanie — także dla systemów przemysłowych.
• Bezpieczeństwo łańcucha dostaw — wymagania wobec dostawców, ograniczanie ich dostępów do minimum.

Organizacyjnie:

• Przećwiczony plan reagowania i jasne role, mapa zależności („co przestanie działać, gdy padnie X”).
• Przygotowanie do obowiązków NIS2 — zgłaszanie incydentów, zarządzanie ryzykiem, odpowiedzialność zarządu.

Wniosek z tych wydarzeń jest strategiczny: odporność (resilience) to nie luksus, lecz wymóg. Nie chodzi już tylko o to, by nie dać się okraść, ale by usługi działały — także wtedy, gdy ktoś celowo próbuje je zatrzymać. To perspektywa, z której warto patrzeć również na priorytetyzację podatności i codzienne decyzje o bezpieczeństwie.

Jeśli Twoja organizacja działa w sektorze krytycznym lub podlega NIS2, warto sprawdzić odporność infrastruktury, zanim zrobi to ktoś inny — zobacz nasze usługi audytów i testów bezpieczeństwa lub umów bezpłatną konsultację.

Co potwierdził raport CERT Polska

Raport opublikowany 30 stycznia 2026 r. dotyczy skoordynowanych ataków z 29 grudnia 2025 r. na ponad 30 farm wiatrowych i fotowoltaicznych, firmę produkcyjną oraz elektrociepłownię. W obiektach OZE uszkodzenie RTU zerwało zdalną komunikację i sterowanie, ale nie zatrzymało bieżącej produkcji energii. W elektrociepłowni próbę uruchomienia wipera zablokował EDR, a dostawy ciepła nie zostały przerwane.

To istotne rozróżnienie: DDoS, infiltracja IT i destrukcyjne działania wobec OT mają inne skutki i wymagają innych zabezpieczeń. Priorytetem są inwentaryzacja urządzeń, separacja zdalnego dostępu, indywidualne konta, kopie konfiguracji sterowników oraz możliwość bezpiecznej pracy lokalnej. Detekcję trzeba oprzeć także na zmianach konfiguracji i nietypowych komendach, nie tylko na wolumenie ruchu.

Źródło pierwotne: CERT Polska — raport z incydentu w sektorze energii z 29 grudnia 2025 r..