Nieoczekiwana ofiara cyberwojny w Polsce. Władze muszą szybko działać

Polska od kilku lat znajduje się na froncie cyberwojny między Wschodem a Zachodem. Ofiarami padają nie tylko firmy, ministerstwa, czy państwowe bazy danych. Ten problem zaczął ciążyć przede wszystkim uczelniom. Skala zjawiska poraża i każe całkowicie zrewidować nasze myślenie o bezpieczeństwie narodowym. Według danych Check Point Research zebranych w III kw 2024 r., sektor edukacji i badań stał się najczęściej atakowaną branżą na świecie, deklasując pod tym względem wszystkich pozostałych.

Statystyki nie pozostawiają złudzeń. Organizacje z tego sektora doświadczały średnio 3828 cyberataków tygodniowo. Dla porównania, sektor rządowy i wojskowy notował w tym samym czasie średnio 2553 ataki, a ochrona zdrowia 2434.

Zjawisko to przybiera na sile zwłaszcza w naszym regionie. W 2025 r. w Polsce odnotowano ponad 272 tysiące incydentów cyberbezpieczeństwa. Oznacza to wzrost o 144,4 proc. rok do roku, a krajowe zespoły CSIRT musiały codziennie wręcz pracować na najwyższych obrotach.

Co więcej, dane z pierwszej połowy 2025 r. jednoznacznie wskazują, że Polska znalazła się na pierwszym miejscu na świecie pod względem liczby wykrytych ataków typu ransomware (polegających na blokowaniu systemów i żądaniu okupu), odpowiadając za 6 proc. wszystkich globalnych incydentów i wyprzedzając w tej ponurej statystyce nawet Stany Zjednoczone.

Wśród nich aż 36 proc. incydentów uderzało bezpośrednio w placówki edukacyjne. Udział oprogramowania ransomware w strukturze cyberataków na sektor edukacji i badań wyniósł 37,4 proc., wyprzedzając wycieki danych (27 proc.) oraz ataki DoS/DDoS (26,1 proc.). Słowem, problem nabrzmiewa i nie da się już obok niego przejść obojętnie.

Polskie uczelnie na niewidzialnym froncie cyberwojny. Druzgocąca diagnoza infrastruktury

Jak bardzo nieszczelne są polskie uczelnie? Precyzyjnej i bolesnej odpowiedzi na to pytanie dostarcza nam badanie przeprowadzone przez Grant Thornton oraz firmę ResilientX, które objęło 50 najważniejszych uczelni wyższych w Polsce. Wyniki monitoringu powinny wstrząsnąć każdym rządem i ministerstwem odpowiedzialnym za edukację.

Analitycy bowiem zidentyfikowali w sieci niemal 25 tysięcy (dokładnie 24 996) wycieków danych uwierzytelniających powiązanych bezpośrednio z domenami badanych uczelni. Najwięcej wycieków (11 202) dotyczyło tzw. uczelni wielkich, posiadających powyżej 25 tysięcy studentów, choć mniejsze ośrodki wcale nie były bezpiecznejsze. Zdecydowana większość incydentów (24 925) charakteryzowała się niską wagą ryzyka, jednak 71 z nich oznaczono jako stwarzające ryzyko średnie lub wysokie.

Jeden z największych publicznych uniwersytetów okazał się niechlubnym rekordzistą, notując ponad 1400 zidentyfikowanych wycieków. Poważnym ostrzeżeniem jest to, że nawet dane powiązane z rektorami polskich uczelni trafiały do dark webu.

„Nawet najważniejsze osoby na uczelniach są podatne na kradzież danych lub łamią zasady cyberhigieny” – czytamy w raporcie sprzed kilku miesięcy.

Jeszcze gorzej wygląda sytuacja w obszarze samej infrastruktury IT. W systemach 50 zbadanych uczelni wykryto łącznie 59 499 podatności, czyli potencjalnych luk bezpieczeństwa, przez które hakerzy mogą przeniknąć do wewnętrznych sieci.

Zdecydowana większość problemów (58 650) leży w warstwie infrastrukturalnej, obejmującej serwery, środowiska dla studentów i systemy sieciowe. Szczególne ryzyko zidentyfikowano w uczelniach medycznych, gdzie ataki mogą zagrażać nie tylko danym akademickim, ale i informacjom klinicznym z obszaru ochrony zdrowia.

Kiedy wojna w sieci zamienia się w realny problem

Konsekwencje tych zaniedbań przestały być wirtualne. Polskie i europejskie uczelnie boleśnie odczuwają skutki ataków na własnej skórze. Spektakularny atak na Uniwersytet Warszawski doprowadził do wyprowadzenia z uczelnianych serwerów około 850 GB poufnych danych osobowych oraz tych dokumentujących rekrutację studentów. Co istotne, w tym przypadku przestępcy wykorzystali przejęte dane logowania nie po to, by zażądać okupu (ransomware), lecz wyłącznie w celu kradzieży i upublicznienia informacji.

W Bydgoszczy z kolei ofiarą ataku padła Wyższa Szkoła Gospodarki, a poważne incydenty odnotował także Uniwersytet Zielonogórski. W skali europejskiej paraliżu doświadczył Uniwersytet Techniczny w Eindhoven, Uniwersytet Bundeswehry, a także gigantyczny rzymski Uniwersytet La Sapienza, zrzeszający 120 tysięcy studentów, którego kluczowe systemy zostały całkowicie zablokowane przez oprogramowanie ransomware w 2026 roku.

Prawdziwa stawka to technologie podwójnego zastosowania

Tak więc, jeśli komukolwiek wydaje się, że cyberprzestępcy atakują uniwersytety wyłącznie z powodu słabych zabezpieczeń i w poszukiwaniu danych osobowych niezbędnych do wyłudzenia kredytu bankowego, ten nie rozumie istoty współczesnego szpiegostwa. Za wyrafinowanymi atakami często stoją grupy hakerskie APT (Advanced Persistent Threat), hojnie finansowane i koordynowane przez aparaty wywiadowcze wrogich nam państw. Szukają one czegoś znacznie cenniejszego niż numery PESEL studentów – polują na wiedzę.

Sektor akademicki to dziś tętniące życiem inkubatory tak zwanych technologii podwójnego zastosowania (dual-use). Są to innowacje tworzone na potrzeby cywilne, które przy relatywnie niewielkich modyfikacjach mogą stać się potężnym narzędziem wojskowym lub wywiadowczym.

Przykłady? Prace nad nowymi materiałami, biotechnologią, systemami komunikacji, technologiami kosmicznymi i satelitarnymi, a także zaawansowaną robotyką, dronami i autonomią. Algorytmy sztucznej inteligencji szkolone do optymalizacji łańcuchów dostaw mogą zostać wykorzystane do analizy pola walki. System satelitarny monitorujący zmiany klimatu sprawdza się równie dobrze jako instrument precyzyjnego rozpoznania wojskowego. Uczelnie pracują nad technologiami kwantowymi i energetyką jądrową.

SOCCER, czyli systemowa odpowiedź Europy Środkowo-Wschodniej

Odpowiedzią sytuację, w której się znaleźliśmy jako kraj, jest projekt SOCCER (Security Operation Centre in Central-Eastern Europe Region). To strategiczna, wielonarodowa inicjatywa, koordynowana przez krakowską Akademię Górniczo-Hutniczą (AGH), wspierana z funduszy unijnych w ramach Digital Europe Programme, a także przez Ministerstwo Nauki i Szkolnictwa Wyższego.

W realizację projektu zaangażowanych jest aż dziewięciu partnerów reprezentujących pięć państw naszego regionu: Polskę, Czechy, Słowację, Litwę i Estonię. Pierwszy etap projektu zaplanowano od października 2023 do września 2026 r.

Misją inicjatywy SOCCER jest wyprowadzenie sektora naukowego z defensywy. Innymi słowy chodzi o „podnoszenie odporności uczelni na rosnącą liczbę cyberataków”, jak mówi Izabela Albrycht, dyrektorka Centrum Cyberbezpieczeństwa AGH, która zainicjowała projekt.

Wpisuje się to także w wysiłki na rzecz budowania cyberbezpieczeństwa krajów wschodniej flanki NATO i starań Unii Europejskiej, która postuje aktywne działania w obszarze cyberobrony kluczowych obiektów infrastrukturalnych, ochrony danych osobnych i przemysłowych, a także własności intelektualnej i krytycznych technologii.
Izabela Albrycht, dyrektorka Centrum Cyberbezpieczeństwa AGH

Ekspertka zwraca uwagę, że budowanie cyberodporności wymaga oprócz działań prewencyjnych, ciągłej uważności i adaptacji do zagrożeń. Bez świadomości sytuacyjnej budowanej w oparciu o stały monitoring anomalii i podatności nie da się błyskawicznie reagować na cyberataki. Ośrodkiem takiej zdolności jest SOC – Security Operations Centre, czyli serce koordynacji działań przeciwko cyberzagrożeniom w organizacjach. Niestety, wiele uczelni wciąż ma nie tylko problem z ustanowieniem SOCów, ale nawet z wdrożeniem podstawowych procedur.

W badaniu ankietowym przeprowadzonym pod egidą projektu SOCCER w latach 2024-2025, na reprezentatywnej próbie 22 uczelni, aż 73 proc. zadeklarowało brak dedykowanego zespołu SOC, CERT lub CSIRT. Co więcej, 22,7 proc. badanych placówek nie posiadało systemu klasy SIEM, EDR czy XDR, a jedynie 36,4 proc. deklarowało jego częściowe lub pełne posiadanie.

SOC4Academia Toolbox. Co to jest?

W tym kontekście warto wymienić również SOC4Academia Toolbox. Jest to kompleksowy i bezpłatny przewodnik pomagający uczelniom w kilku kluczowych kwestiach. Dzięki doświadczeniu ekspertów uczelnie mogą ocenić dojrzałość zarządzania incydentami w renomowanym modelu SIM3 (organizacja, ludzie, narzędzia i procesy).

Ale nie tylko. Możliwe jest też wybranie optymalnego modelu świadczenia usług SOC, dostosowanego do wielkości i profilu uczelni. Począwszy od budowy wewnętrznych struktur, poprzez outsourcing do podmiotów zewnętrznych, aż po modele hybrydowe, wirtualne czy współdzielone (federacyjne).

Narzędzie pomaga zrozumieć także wymagania prawne i regulacyjne (m.in. w kontekście zaostrzających się rygorów unijnej dyrektywy NIS2) i zorganizować skuteczną wymianę informacji o zagrożeniach (Cyber Threat Intelligence) we współpracy z zewnętrznymi CERT-ami.

Polska adaptacja tego narzędzia stanowi dziś absolutny kanon dla rektoratów uczelni. Należy wdrożyć jak najszybciej odpowiednie procedury reagowania na incydenty – przekonują eksperci projektu SOCCER.

Co ważne, zabezpieczenie przed cyberatakami to nie jest problem wyłącznie techniczny. Chodzi też o potężne wyzwanie menedżerskie, wymagające bezpośredniego wsparcia ze strony szczebla rektorskiego. Niezbędne jest rozwijanie kompetencji, prowadzenie symulacji phishingowych oraz szkolenia personelu, ponieważ, jak pokazują dane międzysektorowe ESET i DAGMA, aż 52 proc. pracowników w Polsce nie wzięło udziału w żadnym szkoleniu z bezpieczeństwa przez pięć lat. To przepaść, którą trzeba szybko zasypać.

Wyścig z czasem, który może nas kosztować krocie

Budowa trwałego ekosystemu ochrony badań w Europie, wspierana przez takie inicjatywy jak SOCCER, nie może polegać na jednorazowym zakupie serwerów i oprogramowania. Konieczna jest zmiana kultury organizacyjnej.

Rachunek za zaniedbania na cyberfroncie na rodzimych uczelniach zapłacimy my wszyscy jako społeczeństwo, tracąc bezpowrotnie innowacyjność gospodarki i własność intelektualną wypracowywaną latami przez najzdolniejszych Polaków., ale także coraz istotniejszą we współczesnych czasach suwerenność technologiczną państwa, która z kolei jest kluczowym elementem budowania rozwiązań dla bezpieczeństwa i obronności naszego kraju.

Pora, by cyberbezpieczeństwo przestało być traktowane po macoszemu, a stało się kluczowym filarem zarządczym polskich uniwersytetów. W tej globalnej wojnie o dane i wpływy żaden kompromis nie wchodzi już w grę.