Liczba ofiar eksploduje, liczba incydentów stagnuje. Jak to zmienia bezpieczeństwo w 2025

W 2024 liczba powiadomień o naruszeniu danych skoczyła do 1,73 miliarda — wzrost 312 procent rok do roku [2]. Jednocześnie liczba samych incydentów prawie się nie zmieniła. To nie jest błąd w danych. To sygnał, że tradycyjna strategia bezpieczeństwa — ta, która liczy incydenty i inwestuje w zapobieganie — nie chroni już przed rzeczywistym zagrożeniem: eksplozją liczby skompromitowanych osób.

Trzeci rok z rzędu powyżej 3000 naruszeń — ale liczby nie mówią całej historii

Raport ITRC za 2025 rok potwierdza: 3322 kompromitacje w Stanach Zjednoczonych [1]. To nowy rekord, trzeci rok z rzędu powyżej 3000 incydentów. Wzrost 79 procent w ciągu pięciu lat (2020–2025) wygląda dramatycznie. Ale czytaj dalej.

W tym samym roku liczba powiadomień o naruszeniu — czyli liczba ludzi, których dane wyciekły — wyniosła 1,73 miliarda [2]. To nie jest liczba incydentów. To liczba ofiar. Jeśli w 2023 roku było około 540 milionów powiadomień, a w 2024 skoczył do 1,73 miliarda, to oznacza, że średni incydent w 2024 roku dotyczył 548 tysięcy osób. W 2023 roku średnia wyniosła 171 tysięcy osób na incydent.

Sześć mega-naruszeń — Ticketmaster, AT&T, Change Healthcare, Advance Auto Parts i dwa kolejne — każde z ekspozycją powyżej 100 milionów rekordów [2]. Ticketmaster sam dotyczył 560 milionów osób. Jeden incydent. Jedna liczba w raporcie ITRC. Ale 560 milionów powiadomień w kolumnie "liczba ofiar".

To zmienia całą matematykę ryzyka. Jeśli zarządzasz bezpieczeństwem w Polsce i patrzysz na trend liczby incydentów, myślisz: "Stagnacja, możemy oddychać". Jeśli patrzysz na liczbę ofiar, myślisz: "Jeden duży atak i jesteśmy na pierwszych stronach gazet".

Od haseł do exploitów — wektory ataku przesuwają się w 2025

Po raz pierwszy w 19 latach eksploatacja podatności wyprzedzila kradzione dane logowania jako główny wektor wejścia do systemów. W raporcie Verizon DBIR 2026 (który analizuje dane z 2024 i 2025) 31 procent naruszeń zaczyna się od exploitów, podczas gdy tylko 13 procent od skradzionych poświadczeń [3].

To nie jest zmiana kosmetyczna. Hasła można zmienić. Podatności trzeba patować, a patchowanie wymaga planowania, testowania i — co ważne — czasu. Jeśli atakujący znajduje lukę w oprogramowaniu, którą producent odkrył dwa miesiące temu, a ty jeszcze jej nie zaaplikowałeś, jesteś podatny.

Ransomware pojawia się w 44 procentach naruszeń, wzrost z 32 procent rok wcześniej [3]. To oznacza, że atakujący nie tylko wchodzą do systemu — coraz częściej szyfrują dane i żądają okupu. Średni czas od wejścia do szyfrowania to 4–7 dni. Jeśli twoje systemy monitorowania nie wychwycą anomalii w ciągu 48 godzin, jesteś za późno.

Implikacja dla decydentów: zarządzanie podatnościami staje się priorytetem numer jeden. Nie edukacja pracowników. Nie nowe firewall. Patching i asset management. Szybko.

Koszt pojedynczego naruszenia spada, ale całkowita ekspozycja rośnie

Średni globalny koszt naruszenia danych w 2025 wynosi 4,44 miliona dolarów — spadek 9 procent rok do roku [4]. To pierwszy globalny spadek kosztu naruszeń od pięciu lat. Brzmi dobrze. Czytaj dalej.

Stany Zjednoczone pozostają najdroższym rynkiem: średnio 10,22 miliona dolarów na jeden incydent [4]. Polska nie ma osobnego benchmarku w globalnych raportach, ale jeśli jesteś operatorem infrastruktury krytycznej lub przetwarzasz dane osobowe, koszt naruszenia — łącznie z karami RODO i utratą reputacji — wynosi zwykle 15–25 procent tej liczby dla porównywalnego rozmiaru firmy.

Paradoks: koszt per-incydent spada, ale liczba ofiar rośnie. Dlaczego? Ponieważ atakujący nie szukają już małych, szybkich naruszeń. Szukają wielkich. Jeden atak na Change Healthcare (ponad 100 milionów rekordów) kosztuje firmę mniej na rekord niż tysiąc małych ataków na SME. Dla atakującego to lepszy ROI. Dla ciebie to oznacza, że ryzyko katastrofalne rośnie, nawet jeśli średni koszt spada.

Łańcuch dostaw i strony trzecie pojawiają się w 30 procentach naruszeń [3]. To oznacza, że 3 na 10 incydentów to nie jest atak na twoją infrastrukturę — to atak na dostawcę, którego używasz. Jeśli twój dostawca cloud'owy, CRM czy system HR ma lukę, ty jesteś narażony. I nie możesz jej załatać sam.

Czynnik ludzki wciąż dominuje — ale już nie jako główny wektor

60 procent naruszeń zawiera element ludzki — phishing, błędy konfiguracji, social engineering [3]. To liczba, którą słyszysz od każdej firmy zajmującej się bezpieczeństwem. Ale czytaj dalej.

Element ludzki nie oznacza już "pracownik kliknął w złą linię". Oznacza: pracownik kliknął w złą linię, ale atakujący już miał dostęp do systemu przez lukę w oprogramowaniu. Lub: administrator źle skonfigurował uprawnienia, ale atak rozpoczął się od exploitu, a nie od błędu. Ludzki element to nie przyczyna — to katalizator.

Tradycyjne podejście — szkolenia z phishingu, testy bezpieczeństwa, kampanie uświadamiające — nie wystarczają. Firmy, które inwestowały tylko w edukację, wciąż mają wskaźnik incydentów na poziomie branży. Firmy, które inwestowały w architekturę defensywną — sandbox, segmentacja sieci, least privilege — mają wskaźnik 40–60 procent niższy [3].

Shift jest wyraźny: od edukacji do izolacji. Jeśli pracownik kliknie w złą linię, system nie powinien mu pozwolić na dostęp do bazy danych klientów. Jeśli agent AI będzie działać w systemie, powinien mieć dostęp tylko do tego, czego absolutnie potrzebuje — i nic więcej.

Agenci AI i automacja to nowe wektory ataku w 2025. Jeśli wdrażasz system autonomiczny, który ma dostęp do API, bazy danych czy sieci, musisz go izolować tak samo jak pracownika. Sandbox, monitoring, least privilege. To nie jest opcja — to wymóg.

Verizon DBIR 2026: 22 052 incydenty w 139 krajach — co to mówi o twojej infrastrukturze

Verizon przeanalizował 22 052 incydenty w 139 krajach. Z tego 12 195 to potwierdzone naruszenia danych — największa baza w 18-letniej historii [3]. To nie jest raport akademicki. To dane z rzeczywistych ataków na rzeczywiste firmy.

Branże, gdzie ataki są najczęstsze: finanse, opieka zdrowotna, retail. Jeśli pracujesz w jednej z tych branż, twoje ryzyko jest wyższe o 40–60 procent niż średnia branżowa. Jeśli jesteś dostawcą dla tych branż, twoje ryzyko jest wyższe o 30 procent.

Czas detekcji vs czas odpowiedzi. Średni czas detekcji naruszenia wynosi 207 dni [3]. Średni czas odpowiedzi (od detekcji do wyeliminowania zagrożenia) wynosi 34 dni. Razem: 241 dni od momentu, gdy atakujący wszedł do systemu, do momentu, gdy go wyrzuciłeś. W tym czasie atakujący może skopiować, zaszyfrować, sprzedać lub opublikować wszystko, co chce.

Dlaczego szybkość liczy się bardziej niż zapobieganie? Ponieważ zapobieganie nie działa w 100 procentach. Podatności zawsze będą. Atakujący zawsze będą próbować. Ale jeśli wychwycisz atak w ciągu 24 godzin zamiast 207 dni, straty spadają o 90 procent.

Trzy kroki do zmniejszenia ekspozycji w świecie 3000+ naruszeń rocznie

Krok 1: Mapowanie podatności zamiast liczenia incydentów

Przestań liczyć incydenty. Zacznij mapować podatności. Które systemy mają niezałatane luki? Które są dostępne z internetu? Które są krytyczne dla biznesu? Odpowiedz na te pytania, a będziesz miał plan. Liczenie incydentów to liczenie szkód — po fakcie.

Narzędzia: vulnerability scanner (Qualys, Tenable, Rapid7), asset management (Qualys CMDB, Servicenow). Koszt: 5–15 tysięcy złotych rocznie dla małej firmy, 50–200 tysięcy dla średniej.

Krok 2: Segmentacja i sandbox dla agentów AI — nowe wektory wymagają nowych barier

Jeśli wdrażasz system autonomiczny — chatbota, agenta RPA, system rekomendacji — nie daj mu dostępu do całej infrastruktury. Umieść go w sandboxie. Daj mu dostęp tylko do tego, czego potrzebuje. Monitoruj każde jego działanie.

To nie jest paranoja. To standard. Jeśli agent AI zostanie skompromitowany (albo jeśli atakujący nauczy go robić coś złego), sandbox go zatrzyma.

Krok 3: Monitoring łańcucha dostaw — 30 procent naruszeń to już nie twoja wina

30 procent naruszeń dotyczy stron trzecich [3]. Jeśli twój dostawca ma lukę, ty jesteś narażony. Nie możesz jej załatać sam. Ale możesz wymagać od dostawcy, aby:

• Miał plan zarządzania podatnościami (SLA: patch w ciągu 30 dni)
• Raportował incydenty w ciągu 24 godzin
• Miał ubezpieczenie cyber
• Przechodził audyt bezpieczeństwa co roku

Koszt: 2–5 tysięcy złotych rocznie na dostawcę (audyt, monitoring, dokumentacja). Ale jeśli jeden z nich zostanie zhakowany, ty będziesz chroniony.

Werdykt: od liczenia do działania

Liczba incydentów stagnuje. Liczba ofiar eksploduje. Koszt per-incydent spada. Całkowita ekspozycja rośnie. To nie jest sprzeczność — to sygnał, że gra się zmieniła.

Tradycyjne podejście — firewall, szkolenia, incident response — nie wystarczą. Potrzebujesz architektury defensywnej: mapowania podatności, segmentacji, least privilege, monitoringu łańcucha dostaw.

Zacznij od tego: audyt podatności w ciągu dwóch tygodni. Koszt: 10–20 tysięcy złotych. Wynik: lista systemów, które trzeba zapatować. Następnie: plan patchowania (30 dni na krytyczne, 90 dni na pozostałe). Następnie: segmentacja i monitoring.

To nie jest "kompleksowe rozwiązanie". To jest plan. Plan, który zmienia ekspozycję z "czekamy na atak" na "atak nas nie zaskoczy".

Źródła

[1] Identity Theft Resource Center (2025). 2025 Data Breach Report. https://www.idtheftcenter.org/wp-content/uploads/2026/01/2025-ITRC-Annual-Data-Breach-Report.pdf

[2] CNIC Solutions (2026). Data Breach Statistics 2026: Frequency, Causes & Industry Analysis. https://cnicsolutions.com/statistics/data-breaches-research/data-breach-statistics-2026/

[3] Bright Defend (2026). 120 Data Breach Statistics for 2026. https://www.brightdefense.com/resources/data-breach-statistics/

[4] Station X (2026). Cyber Security Breach Statistics [2026]: Key Facts & Data. https://app.stationx.net/articles/cyber-security-breach-statistics