Najpoważniejszym incydentem cyberbezpieczeństwa 2025 r. w Polsce był skoordynowany atak na sektor energetyczny w dniach 29–30 grudnia 2025 r. Uderzył w co najmniej 30 farm wiatrowych i fotowoltaicznych, elektrociepłownię obsługującą około 500 tys. odbiorców oraz firmę produkcyjną. Napastnicy nie chcieli pieniędzy — chcieli zniszczyć. Użyli wipera, oprogramowania, którego jedynym celem jest destrukcja danych.
Ten artykuł wyjaśnia, czym wiper różni się od ransomware, co wiadomo o ataku na polską energetykę i — co najważniejsze — jak chronić infrastrukturę OT/ICS przed tą klasą zagrożeń. Szerszy kontekst znajdziesz w raporcie o krajobrazie cyberzagrożeń 2026.
Wiper kontra ransomware — kluczowa różnica
To rozróżnienie decyduje o całej strategii obrony.
- Ransomware szyfruje dane i wymusza okup w zamian za klucz deszyfrujący. Celem jest zysk, a odzyskanie danych jest — przynajmniej w teorii — możliwe. Istnieje druga strona, z którą (niestety) można negocjować.
- Wiper niszczy dane, często udając ransomware, ale bez jakiegokolwiek zamiaru ich przywrócenia. Celem jest destrukcja, paraliż operacyjny lub zatarcie śladów, nie pieniądze. Nie ma klucza, nie ma negocjacji.
Konsekwencja jest fundamentalna: wobec wipera klasyczne kalkulacje „płacić czy nie płacić” tracą sens. Jedyną realną obroną pozostaje zdolność do szybkiego odtworzenia środowiska z kopii, których atakujący nie mógł zniszczyć. To dlatego niezmienne, offline’owe kopie zapasowe są w OT nie luksusem, lecz warunkiem przetrwania.
Co wiadomo o ataku na polską energetykę
Do ataku użyto wipera nazwanego przez ESET DynoWiper (sygnatura Win32/KillFiles.NMO). Premier Donald Tusk wskazał, że gdyby atak się powiódł, ciepło mogło stracić ponad 500 tys. osób. Symboliczny jest też moment: atak nastąpił w 10. rocznicę ataku grupy Sandworm na ukraińską sieć energetyczną (BlackEnergy, grudzień 2015 r.), który pozbawił prądu około 225 tys. osób.
Atrybucja — ostrożnie
Przypisanie ataku nie jest jednoznaczne i różni się między źródłami:
- ESET przypisał atak grupie Sandworm (GRU Unit 74455) z umiarkowaną pewnością.
- CERT Polska wskazał na nakładanie się infrastruktury z klastrem Static Tundra/Berserk Bear (Dragonfly, powiązanym z FSB), bez jednoznacznego przypisania.
Taka rozbieżność jest typowa dla atrybucji w cyberprzestrzeni i nie powinna przesłaniać wniosku praktycznego: niezależnie od tego, który aktor stał za atakiem, wektor wejścia był ten sam i banalny — brak MFA na bramach VPN.
Wektor wejścia: brak MFA na VPN
Najważniejsza lekcja techniczna z tego incydentu jest zarazem najprostsza: napastnicy weszli przez bramy VPN pozbawione uwierzytelniania wieloskładnikowego. Skradzione lub odgadnięte poświadczenia wystarczyły, by uzyskać przyczółek, z którego można było sięgnąć do środowiska OT.
To nie jest wyrafinowany 0-day — to higiena, której zabrakło. W krajobrazie 2026 r. skradzione poświadczenia są głównym wektorem wejścia (22% naruszeń wg Verizon DBIR 2025), a infostealery zalewają rynek miliardami loginów. Brama bez MFA jest w tych warunkach otwartymi drzwiami.
Szerszy obraz: nie tylko energetyka
Atak na energetykę nie był odosobniony. W 2025 r. odnotowano incydenty w pięciu polskich obiektach wodno-kanalizacyjnych (m.in. Tolkmicko, Małdyty, Sierakowo, Wydminy, Kuźnica). Napastnicy (grupy powiązane z rosyjskim wywiadem wojskowym) uzyskiwali dostęp do systemów SCADA przez wystawione do internetu interfejsy i słabe hasła. ENISA wskazuje grupy haktywistyczne jako wiodące w atakach na OT w UE, koncentrujące się na energetyce i gospodarce wodnej. Według ENISA zagrożenia OT to 18,2% wszystkich kategorii.
Wzorzec się powtarza: ekspozycja interfejsów zarządzających do internetu + słaba kontrola dostępu = przyczółek w infrastrukturze krytycznej. Zobacz też: ataki APT na infrastrukturę energetyczną oraz cyberbezpieczeństwo sektora wodno-kanalizacyjnego w NIS2/CER.
Jak chronić OT/ICS przed wiperami
Obrona przed wiperem to połączenie redukcji powierzchni ataku, kontroli dostępu i zdolności do odtworzenia.
1. Domknij dostęp zdalny
- Wdróż phishing-resistant MFA na wszystkich bramach VPN, urządzeniach brzegowych i kontach uprzywilejowanych — to bezpośrednia odpowiedź na wektor ataku.
- Ogranicz i monitoruj dostęp serwisowy oraz konta dostawców.
2. Odetnij i posegmentuj OT
- Odetnij interfejsy zarządzające SCADA/HMI od internetu; jeśli zdalny dostęp jest konieczny, prowadź go przez kontrolowane, uwierzytelnione kanały.
- Wprowadź segmentację IT/OT, by przyczółek w sieci biurowej nie dawał automatycznie dostępu do sterowania procesem.
- Sprawdź widoczność swoich urządzeń w wyszukiwarkach typu Shodan — to, co widzisz, widzi też napastnik. Pomocny będzie audyt bezpieczeństwa OT w przemyśle.
3. Załóż, że atak się powiedzie — i przygotuj odtworzenie
- Utrzymuj niezmienne (immutable), offline’owe kopie zapasowe konfiguracji i danych krytycznych — wobec wipera to jedyna realna polisa.
- Regularnie testuj odtwarzanie, nie tylko tworzenie kopii — kopia, której nie da się odtworzyć, nie istnieje. Zobacz backup i odtwarzanie OT/SCADA/PLC.
- Przećwicz scenariusz destrukcji (tabletop) i włącz go do planów ciągłości działania; pomocna jest też analiza powłamaniowa OT po ransomware.
4. Wykorzystaj NIS2 jako dźwignię
Dla operatorów infrastruktury energetycznej te działania nie są opcją — to wprost wymogi reżimu NIS2/KSC dla podmiotów kluczowych. Zobacz NIS2 dla energetyki — wymagania i wdrożenie.
Podsumowanie
Atak DynoWiper na polską energetykę to przypomnienie dwóch prawd. Po pierwsze, najgroźniejsze ataki na infrastrukturę krytyczną nie zawsze są wyrafinowane technicznie — tu wystarczyła brama VPN bez MFA. Po drugie, wobec wipera nie chroni okup ani negocjacje, lecz zdolność do odtworzenia z kopii, których atakujący nie sięgnął. Domknięcie dostępu zdalnego, segmentacja IT/OT i sprawdzone, niezmienne backupy to dziś minimum dla każdego operatora.
Powyższe treści mają charakter edukacyjny, a atrybucja opisanego ataku pozostaje sporna między źródłami. Jeśli chcesz ocenić ekspozycję swojej infrastruktury OT/ICS i przetestować zdolność odtworzenia, zespół nFlo przeprowadzi audyt i pomoże domknąć luki.
Źródła i materiały referencyjne
- ESET — analiza i nazewnictwo wipera (DynoWiper / Win32/KillFiles.NMO)
- CERT Polska (NASK) — komunikaty dot. ataku na sektor energetyczny i atrybucji
- ENISA Threat Landscape 2025 — zagrożenia OT i grupy haktywistyczne
- Verizon Data Breach Investigations Report (DBIR) 2025 — wektory wejścia
