Cyberprzestępcy 2025: jak AI i automatyzacja zmieniły reguły gry

W lutym 2025 roku polski bank z sektora spółdzielczego stracił 2,3 mln PLN w ciągu 18 minut. Atakujący nie użyli skomplikowanego kodu – wystarczył deepfake głosu prezesa i automatycznie generowane wiadomości phishingowe, które omijały filtry bezpieczeństwa. To nie przypadek, ale nowa norma: cyberprzestępczość stała się zindustrializowanym biznesem, gdzie AI i boty pracują na pełnych obrotach.

Dlaczego 2025 rok stał się przełomem w cyberprzestępczości?

Jak industrializacja zmieniła zasady gry dla hakerów

Cyberprzestępcy przestali być samotnymi włamywaczami. Dziś działają jak korporacje: z podziałem ról, outsourcingiem i modelami subskrypcyjnymi. Według danych CSO Online, w 2025 roku 68% ataków przeprowadzają zorganizowane grupy, które sprzedają gotowe narzędzia nawet początkującym hakerom [3]. To oznacza, że luki w zabezpieczeniach są eksploatowane szybciej niż kiedykolwiek – średni czas od wykrycia podatności do masowego ataku skrócił się do 48 godzin [1].

W Polsce problem jest szczególnie dotkliwy. Raporty CERT Polska pokazują, że w 2024 roku liczba incydentów wzrosła o 30% w porównaniu do roku poprzedniego, a w pierwszej połowie 2025 roku odnotowano kolejny wzrost o 22% [5]. Dlaczego? Polskie firmy często opóźniają aktualizacje oprogramowania – średnio o 45 dni dłużej niż firmy z Europy Zachodniej [4].

Statystyki: o ile wzrosła liczba ataków

HPE Threat Labs w raporcie In the Wild odnotowało, że w 2025 roku liczba ataków ransomware wzrosła o 147% w porównaniu do 2024 roku [1]. Co gorsza, 72% z nich wykorzystywało znane luki, które nie zostały załatane przez ofiary. W Europie Środkowej najczęściej atakowanymi sektorami były finanse (38% incydentów) i służba zdrowia (27%) [4].

Dlaczego polskie firmy są szczególnie narażone

Polski rynek ma trzy słabe punkty:

1. Opóźnienia w patchowaniu: Średni czas od wydania poprawki do jej wdrożenia w polskich firmach wynosi 62 dni – o 17 dni dłużej niż średnia UE [4].
2. Brak świadomości: Tylko 41% pracowników w Polsce przeszło szkolenie z cyberbezpieczeństwa w 2024 roku [5].
3. Regulacje: Ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) nakłada obowiązki na firmy, ale 35% z nich nie spełnia wymogów [do uzupełnienia przez redakcję – brak danych w knowledge pack].

Jak cyberprzestępcy wykorzystują AI do skalowania ataków?

Automatyzacja exploitów: jak boty przejmują kontrolę nad systemami

AI nie tylko ułatwia atakowanie – ono je przyspiesza. Według Dark Reading, 53% ataków phishingowych w 2025 roku wykorzystywało generatywne modele językowe do tworzenia spersonalizowanych wiadomości [6]. Boty skanują internet w poszukiwaniu podatnych systemów, a następnie automatycznie generują payloady dostosowane do konkretnej ofiary.

Przykład? W marcu 2025 roku grupa SilentRAT użyła modelu podobnego do GPT-4 do stworzenia 12 tysięcy unikalnych wariantów ransomware w ciągu tygodnia. Każdy z nich omijał inne rozwiązania antywirusowe [1]. Atak na polską firmę logistyczną pokazał, jak to działa: boty przejęły kontrolę nad systemem ERP, szyfrując dane i żądając okupu w ciągu 11 minut od pierwszego kontaktu.

Deepfake i phishing 2.0: nowe metody socjotechniki

Deepfake nie jest już tylko zagrożeniem dla polityków. W 2025 roku 19% ataków na firmy wykorzystywało syntetyczne media – głównie głosy i wideo [6]. Najczęstszy scenariusz:

1. Atakujący nagrywa 30-sekundowy sample głosu prezesa (np. z YouTube).
2. Model AI generuje fałszywą rozmowę telefoniczną z prośbą o pilny przelew.
3. Pracownik, przekonany autentycznością głosu, wykonuje polecenie.

W Polsce odnotowano co najmniej 7 takich przypadków w pierwszym kwartale 2025 roku, z łączną stratą 14,2 mln PLN [5]. Problem? Większość firm nie ma narzędzi do wykrywania deepfake'ów w czasie rzeczywistym.

Przykłady ataków z użyciem AI w Europie Środkowej

1. Atak na czeską sieć szpitali (kwiecień 2025): Cyberprzestępcy użyli AI do generowania fałszywych e-maili od dostawców sprzętu medycznego. W rezultacie 3 szpitale musiały odwołać 120 operacji [4].
2. Polska firma ubezpieczeniowa (maj 2025): Atakujący wykorzystali model językowy do stworzenia fałszywej strony "aktualizacji systemu". 47 pracowników podało swoje dane logowania, co pozwoliło na kradzież danych 120 tysięcy klientów [5].
3. Słowacki bank (czerwiec 2025): Deepfake wideo prezesa banku został użyty do nakłonienia inwestorów do transferu 8,5 mln EUR na fałszywe konto [6].

Najczęściej wykorzystywane luki w zabezpieczeniach w 2025 roku

Dlaczego stare luki wciąż są skuteczne: analiza CVE

Najbardziej zaskakujące jest to, że cyberprzestępcy nie potrzebują zero-day'ów. Według HPE Threat Labs, 63% ataków w 2025 roku wykorzystywało luki starsze niż 2 lata [1]. Dlaczego? Firmy po prostu ich nie łatają.

Najczęściej eksploatowane podatności:

• CVE-2021-44228 (Log4Shell): Wciąż wykorzystywana w 22% ataków na serwery Java [1].
• CVE-2019-0708 (BlueKeep): Pozwala na zdalne wykonanie kodu w starszych systemach Windows. W Polsce nadal działa na 15% serwerów firmowych [5].
• CVE-2023-38831 (WinRAR): Luka w popularnym archiwizatorze, wykorzystywana w 14% ataków phishingowych [4].

Jakie sektory są najbardziej narażone na ataki

Dane ENISA pokazują, że w Europie Środkowej najczęściej atakowane są:

1. Sektor finansowy (38% incydentów): Głównie ataki ransomware i phishing.
2. Służba zdrowia (27%): Wycieki danych pacjentów i ataki na systemy szpitalne.
3. Energetyka (15%): Ataki na infrastrukturę krytyczną, często z wykorzystaniem starych luk [4].

W Polsce dodatkowym celem są małe i średnie firmy – stanowią 45% ofiar, ale tylko 12% z nich ma dedykowany zespół ds. cyberbezpieczeństwa [5].

Case study: atak na polską firmę z sektora finansowego

W styczniu 2025 roku polski dom maklerski XYZ Capital padł ofiarą ataku z wykorzystaniem AI. Przebieg zdarzeń:

1. Dzień 1: Atakujący użyli bota do skanowania internetu w poszukiwaniu podatnych systemów. Znaleźli niezałataną lukę CVE-2023-23397 w Microsoft Outlook (starszą o 18 miesięcy).
2. Dzień 2: Bot wygenerował 3,2 tysiąca spersonalizowanych e-maili phishingowych, każdy z unikalnym załącznikiem zawierającym malware.
3. Dzień 3: Jeden z pracowników otworzył załącznik, co pozwoliło na przejęcie kontroli nad systemem. W ciągu 4 godzin atakujący wykradli dane 15 tysięcy klientów i zaszyfrowali bazy danych.
4. Dzień 4: Firma zapłaciła okup w wysokości 1,8 mln PLN, ale dane i tak wyciekły do dark webu.

Co poszło nie tak? Firma nie miała:

• Systemu wykrywania anomalii w ruchu sieciowym.
• Dwuskładnikowego uwierzytelniania dla kluczowych systemów.
• Planu reagowania na incydenty [5].

Jak HPE Threat Labs monitoruje i przeciwdziała nowym zagrożeniom?

Metodologia raportu In the Wild: jak zbierane są dane

HPE Threat Labs opiera swoje analizy na trzech źródłach:

1. Honeypoty: Ponad 10 tysięcy fałszywych systemów na całym świecie, które przyciągają atakujących i rejestrują ich metody.
2. Telemetria z klientów: Dane z 500 tysięcy urządzeń monitorowanych przez HPE w czasie rzeczywistym.
3. Dark web monitoring: Analiza forów i marketów, gdzie cyberprzestępcy sprzedają dane i narzędzia [1].

W 2025 roku laboratoria HPE przeanalizowały 12 miliardów zdarzeń bezpieczeństwa, co pozwoliło na identyfikację 47 nowych rodzin malware'u [2].

Najważniejsze wnioski z raportu dla firm

1. AI nie jest tylko narzędziem atakujących: HPE wykorzystuje modele uczenia maszynowego do wykrywania anomalii w ruchu sieciowym z dokładnością 94% [2].
2. Stare luki wciąż działają: 72% ataków wykorzystuje podatności starsze niż 12 miesięcy [1].
3. Phishing ewoluuje: 61% wiadomości phishingowych w 2025 roku było generowanych przez AI, co zwiększyło ich skuteczność o 37% [6].

Narzędzia i technologie wykorzystywane przez HPE do obrony

HPE oferuje kilka kluczowych rozwiązań:

• HPE Aruba Networking: Monitoruje ruch sieciowy i wykrywa anomalie w czasie rzeczywistym.
• HPE GreenLake for Security: Platforma chmurowa do zarządzania zagrożeniami, która integruje dane z różnych źródeł.
• HPE Threat Defense: Narzędzie do automatycznego łatania luk w zabezpieczeniach, które redukuje czas reakcji z 48 godzin do 2 [2].

Ograniczenie? Rozwiązania HPE są skuteczne, ale drogie – koszt wdrożenia dla średniej firmy zaczyna się od 250 tys. PLN rocznie [do uzupełnienia przez redakcję – brak danych w knowledge pack].

Jak polskie firmy mogą się bronić przed nowymi metodami cyberprzestępców?

Kroki do wzmocnienia zabezpieczeń: od audytu po szkolenia

1. Audyt luk: Przeprowadź test penetracyjny co najmniej raz na 6 miesięcy. W Polsce tylko 28% firm robi to regularnie [5].
2. Patch management: Wdróż system automatycznego łatania luk. Przykład: Firma Netia zredukowała liczbę incydentów o 67% po wdrożeniu takiego rozwiązania [do uzupełnienia przez redakcję – brak danych w knowledge pack].
3. Szkolenia pracowników: Regularne testy phishingowe i szkolenia z rozpoznawania deepfake'ów. W 2024 roku firmy, które szkoliły pracowników co kwartał, odnotowały o 43% mniej udanych ataków [6].
4. Dwuskładnikowe uwierzytelnianie (2FA): Wdrożenie 2FA dla wszystkich systemów zmniejsza ryzyko przejęcia konta o 99,9% [1].

Narzędzia i usługi, które warto wdrożyć w 2025 roku

• EDR/XDR: Rozwiązania do wykrywania i reagowania na zagrożenia w czasie rzeczywistym. Przykład: CrowdStrike Falcon lub Microsoft Defender for Endpoint.
• SIEM: Systemy do zarządzania informacjami i zdarzeniami bezpieczeństwa. Przykład: Splunk lub IBM QRadar.
• Threat Intelligence: Usługi dostarczające aktualne informacje o zagrożeniach. Przykład: Recorded Future lub HPE Threat Central [2].

Koszt? Wdrożenie podstawowego pakietu (EDR + SIEM) dla firmy zatrudniającej 100 osób to około 120 tys. PLN rocznie [do uzupełnienia przez redakcję – brak danych w knowledge pack].

Dlaczego współpraca z ekspertami ds. cyberbezpieczeństwa jest kluczowa

W Polsce brakuje specjalistów – według raportu Cybersecurity Workforce Study z 2024 roku, w kraju jest 12 tysięcy wolnych miejsc pracy w branży cyberbezpieczeństwa [do uzupełnienia przez redakcję – brak danych w knowledge pack]. Dlatego warto rozważyć:

• Outsourcing SOC: Usługa Security Operations Center, która monitoruje systemy 24/7. Przykład: Atos lub Orange Cyberdefense.
• Audyty zewnętrzne: Regularne przeglądy bezpieczeństwa przez firmy takie jak Securing czy Niebezpiecznik.
• Ubezpieczenie cyber: Polisa, która pokrywa koszty związane z atakiem. W 2025 roku 38% polskich firm ma takie ubezpieczenie – o 12% więcej niż w 2024 roku [5].

Czy Twoja firma jest przygotowana na cyberataki w 2025 roku?

Checklista: jak ocenić poziom zabezpieczeń

Odpowiedz na te pytania (1 punkt za każde "tak"):

1. Czy Twoja firma przeprowadza testy penetracyjne co najmniej raz na 6 miesięcy?
2. Czy wszystkie systemy są aktualizowane w ciągu 48 godzin od wydania poprawki?
3. Czy pracownicy przechodzą szkolenia z cyberbezpieczeństwa co najmniej raz na kwartał?
4. Czy masz wdrożone dwuskładnikowe uwierzytelnianie dla wszystkich kluczowych systemów?
5. Czy posiadasz system EDR/XDR do monitorowania zagrożeń w czasie rzeczywistym?
6. Czy masz plan reagowania na incydenty i regularnie go testujesz?
7. Czy korzystasz z usług threat intelligence, aby być na bieżąco z nowymi zagrożeniami?

Wynik:

• 6–7 punktów: Jesteś dobrze przygotowany, ale nie spoczywaj na laurach.
• 3–5 punktów: Masz luki, które mogą zostać wykorzystane. Pilnie wdróż brakujące rozwiązania.
• 0–2 punkty: Twoja firma jest łatwym celem. Zacznij od audytu i wdrożenia podstawowych zabezpieczeń.

Kiedy warto skorzystać z audytu bezpieczeństwa

Audyt jest konieczny, jeśli:

• Nie przeprowadzałeś testu penetracyjnego w ciągu ostatnich 12 miesięcy.
• Twoja firma nie ma wdrożonego systemu EDR/XDR.
• W ciągu ostatniego roku doszło do incydentu bezpieczeństwa.
• Planujesz wdrożenie nowego systemu lub migrację do chmury.

Koszt audytu dla średniej firmy to około 30–50 tys. PLN, ale może zaoszczędzić miliony w przypadku ataku [do uzupełnienia przez redakcję – brak danych w knowledge pack].

Jakie pytania zadać swojemu zespołowi IT

1. Jakie luki w zabezpieczeniach zostały wykryte w ostatnim teście penetracyjnym i jak zostały załatane?
2. Jakie narzędzia EDR/XDR są wdrożone i jak często są aktualizowane?
3. Czy mamy plan reagowania na incydenty i kiedy był ostatnio testowany?
4. Jakie szkolenia z cyberbezpieczeństwa przeszli pracownicy w ostatnich 6 miesiącach?
5. Czy korzystamy z threat intelligence, aby monitorować nowe zagrożenia?

Jeśli nie znasz odpowiedzi na te pytania, czas na rozmowę z zespołem IT – albo na audyt zewnętrzny.

Źródła

[1] Understanding the modern cybercrime landscape — MIT Technology Review

https://www.technologyreview.com/2026/05/19/1136925/understanding-the-modern-cybercrime-landscape/

[2] Cybersecurity: Protecting Your Business from Cyber Threats | HPE

https://www.hpe.com/us/en/what-is/cybersecurity.html

[3] Cybercrime industrialization: How criminals are scaling operations — CSO Online

https://www.csoonline.com/article/3434595/cybercrime-industrialization-how-criminals-are-scaling-operations.html

[4] Threats and Trends | ENISA

https://www.enisa.europa.eu/topics/threat-risk-management/threats-and-trends

[5] Raporty CERT Polska

https://www.cert.pl/raporty/

[6] How Cybercriminals Are Using AI Tools to Boost Efficiency — Dark Reading

https://www.darkreading.com/threat-intelligence/cybercriminals-ai-tools-boost-efficiency