Cyberatak na dostawcę Polskiej Agencji Kosmicznej. Skradziono dane i zażądano okupu

„Osoba nieuprawniona uzyskała dostęp do wewnętrznych systemów dostawcy usługi NSIS Cloud, CloudFerro S.A., i 2 października 2026 r. skopiowała dane z rejestru kont użytkowników NSIS oraz z modułu rozliczeniowego usługi” – czytamy w komunikacie POLSA z 29 października br.

Atakujący wykradł dane z infrastruktury dostawcy. Co ciekawe, miał pozostawić również żądanie okupu oraz „zagroził publikacją danych” – jednocześnie nie wskazano, aby doszło do zaszyfrowania plików, zaś sama platforma „działała bez zakłóceń”.

Według ustaleń Agencji, skradzione informacje dotychczas nie zostały upublicznione (na dzień publikacji zawiadomienia).

Zakres skradzionych danych

W komunikacie wskazano kategorie informacji, które zostały pozyskane przez nieuprawnioną osobę. Mowa m.in. o poniższych rodzajach danych:

• adres e-mail (często zawierający imię i nazwisko);
•  daty rejestracji i ostatniego logowania;
•  język interfejsu;
•  obszary zainteresowań;
•  lokalizacja (województwo, powiat, gmina).

„Naruszenie objęło również dane organizacji użytkowników (nazwa, miejscowość, województwo, kod pocztowy) oraz informacje rozliczeniowe dotyczące projektów i wykorzystania zasobów chmurowych” – stwierdzono w zawiadomieniu.

Kopia danych

Atakujący uzyskał też dostęp do serwera, na którym znajdowała się „kopia bazy danych używanej do zarządzania kontami i rozliczeniami usługi”.

Baza ta zawierała ponadto imię i nazwisko użytkownika, historię zmian zgód i akceptacji regulaminów, informację o powodzie ewentualnej blokady konta, uprawnienia w usłudze oraz treść powiadomień i wiadomości wysłanych do użytkownika przez usługę.
Komunikat POLSA

Dostawca usługi przekazał, że nie ma śladów „skopiowania ani wyniesienia” danych z omawianej kopii. Wiadomo przy tym, że naruszenie nie objęło m.in. haseł, kart płatnicznych, rachunków bankowych ani danych satelitarnych.

Polska Agencja Kosmiczna podkreśla, że skradzione dane mogą być wykorzystywane w atakach phishingowych – informacje pozwalają na uwiarygodnienie swoich działań przez cyberprzestępców.

Działania naprawcze

Sprawa została zgłoszona Prezesowi Urzędu Ochrony Danych Osobowych oraz właściwemu CSIRT-owi (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego).

Zaatakowany system został odłączony. POLSA miała unieważnić hasła oraz zakończyć wszystkie aktywne sesje użytkowników NSIS.

Agencja zaleca również „włączenie w ustawieniach konta uwierzytelniania dwuskładnikowego (kody jednorazowe z aplikacji uwierzytelniającej)” – warto podkreślić, że 2FA to podstawa zabezpieczenia naszych kont i warto je wdrożyć wszędzie tam, gdzie to możliwe.

Nie pierwszy atak

W marcu 2025 roku informowaliśmy o cyberataku na Polską Agencję Kosmiczną.

„Atakujący zarejestrował własne aplikacje w tenancie Microsoft Azure, z którymi komunikował się poprzez Graph API w celu eksfiltracji danych” – dowiedzieliśmy się z Raportu CERT Polska z działalności w 2025 roku.

Wicepremier i minister cyfryzacji Krzysztof Gawkowski podkreślał, że incydent był koordynowany wspólnie przez CSIRT NASK i CSIRT MON.

Na przełomie 2025 i 2026 roku informowaliśmy o cyberataku na Europejską Agencję Kosmiczną (ESA), który miał objąć _„bardzo małą liczbę zewnętrznych serwerów”.

W 2024 roku Japońska Agencja Eksploracji Aerokosmicznej (JAXA) ujawniła szczegóły włamania do swojej infrastruktury wskutek podatności w urządzeniu umożliwiającym połączenia VPN.

Platforma „NSIS Cloud” została uruchomiona w listopadzie 2025 roku. „Wartość projektu przekracza 20 mln zł” – czytamy w komunikacie z lutego ubiegłego roku odnośnie świadczenia usług platformy chmurowej Narodowego Systemu Informacji Satelitarnej NSIS-Cloud przez CloudFerro dla POLSA.