Polscy badacze znaleźli ponad 10 000 instytucji publicznych z krytycznymi lukami – w tym sądy, szpitale i lotniska

Trzy systemowe zaniedbania

Kruczek i Szczurowski wskazali na trzy powiązane ze sobą problemy, które umożliwiły powstanie tych zagrożeń:

1. Nieaktualne, nieobsługiwane oprogramowanie – Pad CMS i inne niełatane platformy nadal działały w krytycznych usługach publicznych długo po zakończeniu wsparcia producenta .

2. Brak programów „bug bounty” i ustrukturyzowanych kanałów zgłaszania błędów – brak oficjalnych programów nagradzania za znajdowanie błędów i bezpiecznych sposobów zgłaszania luk oznaczał, że badacze nie mieli jasnej ścieżki ujawniania problemów .

3. Odrzucanie zgłoszeń o błędach – gdy badacze zgłaszali znalezione problemy bezpośrednio producentom, ich raporty były często ignorowane lub opisywane jako drobne niedogodności, a nie krytyczne zagrożenia .

Te same błędy są wykorzystywane w krytycznej infrastrukturze

Badanie to zostało zaprezentowane na tle eskalacji podejrzewanych rosyjskich cyberataków na polską infrastrukturę krytyczną. Wzorce słabości, które Kruczek i Szczurowski znaleźli w publicznej infrastrukturze internetowej, są tymi samymi słabościami aktywnie używanymi w atakach:

Ataki na sektor energetyczny (grudzień 2025)

Skoordynowane ataki wymierzone w polską infrastrukturę energetyczną, w tym 30 instalacji wiatrowych i słonecznych oraz dużą elektrociepłownię. Zostały przypisane rosyjskiej grupie APT Sandworm i obejmowały złośliwe oprogramowanie typu wiper. Był to pierwszy cyberatak na polski sektor energetyczny o czysto destrukcyjnym celu .

Równoległy, wcześniej nieujawniony atak uderzył w mniejszą elektrociepłownię obsługującą 50 000 mieszkańców. Atakujący zastosowali nowatorską technikę pivotu przez prywatną sieć APN (pierwsze udokumentowane użycie tego wektora w rzeczywistym ataku), uzyskali dostęp do sterownika WAGO PLC chronionego jedynie domyślnymi danymi logowania administratora oraz wyłączyli turbinę parową i system uzdatniania wody. Następnie sabotowali urządzenia sieciowe i niszczyli logi, aby utrudnić odzyskanie systemów .

Ataki na zakłady uzdatniania wody (2025)

Hakerzy włamali się do co najmniej pięciu polskich zakładów uzdatniania wody w 2025 roku, uzyskując dostęp do systemów sterowania przemysłowego (ICS) regulujących pompy, filtry i dozowanie chemikaliów. Atakujący zmieniali parametry operacyjne i upubliczniali nagrania w mediach społecznościowych .

Wektor ataku w każdym przypadku był banalny: domyślne hasła i systemy sterowania podłączone bezpośrednio do internetu . Agencja Bezpieczeństwa Wewnętrznego (ABW) formalnie oskarżyła dwóch obywateli Rosji o kampanię 17 cyberataków na polską infrastrukturę krytyczną, w tym siedem zakładów uzdatniania wody i ścieków .

Najważniejszy wniosek

Odkrycia Kruczka i Szczurowskiego pokazują, że ten sam schemat słabych zabezpieczeń – nieaktualne oprogramowanie, brak mechanizmów zgłaszania i ignorowanie raportów o błędach – który naraził polską publiczną infrastrukturę internetową na ataki, odzwierciedla podatności aktywnie wykorzystywane w podejrzewanych rosyjskich atakach na polską energetykę i wodociągi. Słabe domyślne hasła, nieaktualizowane systemy i niesegmentowane sieci były bezpośrednimi wektorami ataków zarówno w przypadku luk w infrastrukturze internetowej, jak i destrukcyjnych ataków na elektrownie i stacje uzdatniania wody.