Polska kronika cyber kryminalna. Zagrożenia w cyfryzacji

Cyber zagrożenia, przeszłe przyszłe i obecne. Sektor finansowy, instytucje publiczne i małe firmy. Nikt nie może czuć się bezpieczny

Urząd Komisji Nadzoru Finansowego ostrzega sektor finansowy przed skutkami rozwoju najbardziej zaawansowanych modeli Frontier AI. Potrafią one przyspieszać wyszukiwanie podatności i automatyzować część działań ofensywnych, więc czas między wykryciem luki a gotowym atakiem się skraca. UKNF, odwołując się do ostrzeżenia Europejskiej Rady ds. Ryzyka Systemowego z 25 czerwca 2026 r. oraz raportu CSIRT KNF o krajobrazie cyberzagrożeń w polskim sektorze finansowym, zaleca bankom i innym podmiotom ponowną ocenę ryzyka ICT, szybsze zarządzanie podatnościami, wzmocnienie ochrony infrastruktury i uwzględnienie ataków z użyciem AI w testach odporności cyfrowej. Do tego przypomnienie o obowiązkach z rozporządzenia DORA: ryzyka związane z AI mają wejść do zarządzania ryzykiem ICT, oceny dostawców i analizy incydentów. Najważniejsze zdanie w tym komunikacie nie jest techniczne: nadzór mówi wprost, że cyberbezpieczeństwo to dziś fundamentalne ryzyko biznesowe, a nie sprawa działu IT. I że sama aktualizacja dokumentacji nie wystarczy, potrzebne są zasoby, odpowiedzialności i harmonogram. Jeśli jesteś podwykonawcą albo dostawcą dla instytucji finansowej, te pytania prędzej czy później trafią do Ciebie w ankiecie.

Tego samego dnia teorię zilustrowała praktyka. Od poniedziałkowego poranka nie działały strona zus.pl, aplikacja mobilna i system PUE/eZUS. ZUS potwierdził, że to nie zwykła awaria, tylko ataki wolumetryczne, czyli zalanie serwisu sztucznym ruchem aż do przeciążenia. Po godzinie 10 pojawił się komunikat o utrudnieniach, później doprecyzowanie przyczyny, po południu sytuacja zaczęła się poprawiać, choć użytkownicy nadal zgłaszali powolne działanie. Dla firmy, która ma w tym dniu termin na złożenie dokumentów, to konkretny problem operacyjny, wart wpisania do planu ciągłości działania.

Trzeci wątek tłumaczy, dlaczego takie rzeczy się udają. Z badania Mastercard, zrealizowanego metodą CATI na 300 podmiotach (125 małych do 50 osób, 125 średnich, 50 dużych), wynika, że większość MŚP czuje się bezpiecznie, mimo że co czwarta firma już padła ofiarą ataku. Małe firmy najbardziej boją się o dane klientów i informacje finansowe, większe o własną infrastrukturę IT. Jeden wskaźnik: wśród firm, które kiedykolwiek zlecały cyberbezpieczeństwo na zewnątrz, zagrożenie dla danych klientów widzi 59 procent, wobec 46 procent ogółu.

Wygląda na to, że najskuteczniejszym szkoleniem z cyberbezpieczeństwa wciąż pozostaje własny incydent.