Ataki na infrastrukturę krytyczną – 200 w rok według NCSC

Trzy czwarte cyberataków na brytyjską infrastrukturę krytyczną ma być powiązanych z działaniami państw. Nie wynika to z wycieku ani tajnego raportu, lecz z publicznej wypowiedzi szefa brytyjskiego NCSC. Richard Horne poinformował 17 czerwca 2026 roku podczas wystąpienia w Royal United Services Institute, że w ciągu roku do maja jego zespół odnotował ponad 200 poważnych cyberincydentów. Ataki dotyczyły między innymi elektrowni, szpitali, lotnisk oraz systemów związanych z brytyjskim odstraszaniem nuklearnym. Najczęściej wskazywanymi państwami były Rosja, Chiny i Iran. Pozostałe incydenty miały charakter typowo przestępczy, ale również pokazują, pod jak dużą presją znajdują się dziś systemy odpowiedzialne za energię, ochronę zdrowia i transport. Horne powiedział wprost, że Wielka Brytania pozostaje w ciągłej konfrontacji z dobrze przygotowanymi przeciwnikami. Dla polskich firm i instytucji najważniejsze pytanie brzmi więc nie “czy”, lecz “kiedy” podobna skala zagrożeń pojawi się również w naszych raportach.

Co dokładnie pokazuje raport NCSC z 17 czerwca 2026

NCSC to National Cyber Security Centre, czyli wyodrębniona część brytyjskiego wywiadu sygnałowego GCHQ. Agencja definiuje “cyberincydent” jako “próbę uszkodzenia, zakłócenia lub uzyskania nieautoryzowanego dostępu do systemów komputerowych, sieci lub urządzeń”. Pojęcie obejmuje zatem zarówno udany atak ransomware (oprogramowania szantażującego), jak i nieudaną kampanię phishingową wymierzoną w personel elektrowni. Dlatego wszystkie 200 z raportu mieści się w tej szerokiej kategorii. Co więcej, NCSC dolicza do tego również “ekosystem wspierający infrastrukturę krytyczną”. W rezultacie do statystyki wpadają również podwykonawcy, integratorzy i dostawcy oprogramowania.

Liczba 75 procent państwowych ataków jest natomiast jedną z wyższych, jakie pojawiały się dotąd w publicznych raportach zachodnich agencji. Horne nie podał wprawdzie podziału między Rosję, Chiny i Iran. Wymienił jednak te trzy państwa jako “coraz częściej celujące w systemy stojące za kluczowymi brytyjskimi usługami”. Pozostała ćwiartka to natomiast klasyczna cyberprzestępczość – ransomware, kradzież danych, oszustwa finansowe. Co więcej, Horne sięgnął po sportową przenośnię. Porównał sytuację do meczu piłki nożnej albo koszykówki rozgrywanego na dużym boisku. Sukces zależy tu od tego, jak działasz na całym polu, a nie tylko w jednym jego rogu. To z kolei ważny sygnał. Brytyjczycy odchodzą bowiem od retoryki “frontu” na rzecz obrazu rozproszonego, ciągłego konfliktu cyfrowego.

Rosja, Chiny i Iran – skąd faktycznie pochodzą ataki na infrastrukturę krytyczną

Trzy państwa wymienione przez Horne’a nie są zaskoczeniem dla nikogo, kto śledził brytyjską politykę bezpieczeństwa w ostatnich dwóch latach. Pat McFadden, w 2024 odpowiedzialny w rządzie za bezpieczeństwo narodowe, ostrzegał już wtedy publicznie. Rosja celuje w brytyjskie media, telekomunikację, instytucje polityczne i energetykę, a w skrajnym scenariuszu “może wyłączyć sieć energetyczną”. Z kolei szefowa wywiadu MI6 Blaise Metreweli określiła obecną sytuację jako “przestrzeń między pokojem a wojną”. To w niej Wielka Brytania toczy ciągły, niewypowiedziany konflikt z Moskwą. Raport Horne’a wpisuje te ostrzeżenia w konkretną liczbę incydentów.

Polski czytelnik powinien tu jednak natychmiast przerzucić obraz na naszą stronę kanału La Manche. Te same trzy państwa są w publicznych dokumentach polskich agencji – CSIRT GOV, CERT Polska i NASK. W efekcie wszystkie trzy są opisywane jako stałe źródła zagrożeń. Cele tych operacji to nasza energetyka, sektor finansowy, administracja publiczna i media. To, że brytyjska agencja podaje konkretną liczbę 200, nie oznacza, że nasz krajobraz jest spokojniejszy. Oznacza tylko, że Brytyjczycy mają dziś szerszy mandat polityczny do publicznego ujawniania tych danych. Polski wątek widać też w wojnie kognitywnej, w której Rosja używa deepfake’ów przeciwko polskim politykom. Ten sam ekosystem zagrożeń obejmuje Warszawę tak samo jak Londyn.

AI w cyberatakach – dlaczego Horne wskazuje 2028

Szef NCSC powiedział wyraźnie. Sztuczna inteligencja przyspieszy zagrożenie. Dlatego rok 2028 to czas, w którym ryzyko AI w atakach na infrastrukturę krytyczną prawdopodobnie się skrystalizuje. Horne nie przewiduje jednak cyfrowego sądu ostatniego. Nie maluje też obrazu autonomicznych agentów AI samodzielnie wyłączających brytyjskie elektrownie. Mówi raczej o przyspieszeniu istniejących problemów. Pierwszy z nich to szybsze znajdowanie podatności w niezałatanym oprogramowaniu. Drugi – błyskawiczne pisanie wiarygodnego phishingu w dziesiątkach języków. Trzeci dotyczy generowania wariantów złośliwego kodu omijających klasyczne detekcje.

W tym samym tygodniu, gdy Horne mówił w RUSI, opinia publiczna dowiedziała się o modelach Claude Mythos i Fable 5 od Anthropic. Według doniesień dziennikarskich rząd USA uznał oba modele za zbyt skuteczne w znajdowaniu podatności w popularnym oprogramowaniu. Dlatego nakazał ich odcięcie od cudzoziemców. To rodzaj zagrożenia, o którym mówi Horne. Z jednym niuansem. Frontier model AI – czyli najmocniejszy aktualnie dostępny – w rękach państwowej ekipy ofensywnej to dziś realna wartość. Jednak dla zwykłego brytyjskiego szpitala czy elektrowni nadal odleglejszy ze scenariuszy. Bezpośrednim ryzykiem są dziś ataki, które od lat są opłacalne i skuteczne mimo braku AI. Dlatego Horne nakazuje skupić uwagę na fundamentach, a nie na wyścigu z modelami.

Co ataki na infrastrukturę krytyczną UK oznaczają dla polskich sektorów

Polska infrastruktura krytyczna obejmuje te same kategorie, co lista NCSC. Mamy bowiem elektroenergetykę (PSE, PGE, Tauron, Enea) i sektor bankowy (PKO BP, Pekao, mBank, Santander). Dalej idą telekomunikacja, transport (PKP, lotniska w Warszawie, Krakowie i Gdańsku), opieka zdrowotna oraz sektor jądrowy w trakcie budowy. W rezultacie każdy z tych obszarów dostaje próby ataków podobne do tych, jakie liczy brytyjska agencja. Polski CSIRT GOV oraz CERT Polska publikują własne roczne raporty. Wymieniają w nich te same trzy państwa zagrożeń, a skala incydentów rośnie rok do roku.

Praktyczna konsekwencja dla polskiego CIO i dyrektora bezpieczeństwa jest natomiast prosta. Po pierwsze, raport Horne’a daje Ci publiczny argument w rozmowie z zarządem o budżecie na cyberbezpieczeństwo. Trzy czwarte ataków z państw oznacza, że ryzyko nie jest losowe – jest systematyczne i rośnie. Po drugie, daje też konkretną listę priorytetów. Brytyjczycy nie inwestują przede wszystkim w egzotyczne narzędzia AI defensywne, lecz w szybkie wykrywanie i szybkie odtwarzanie po ataku. Po trzecie, każda polska firma w łańcuchu dostaw dla sektora krytycznego jest dziś potencjalnym celem. Dotyczy to integratorów SCADA, software house’ów dla energetyki i dostawców ICT dla banków. Horne mówi wprost o “ekosystemie wspierającym infrastrukturę krytyczną”. Mythos i podobne nadchodzące modele pokazują, że łańcuch dostaw to jeden z najtańszych wektorów ataku.

Podstawy decydują – słabe hasła i niezałatane systemy nadal w czołówce

Najmocniejszy fragment wystąpienia Horne’a nie dotyczy natomiast wcale AI, lecz nudnych podstaw. “Wiele podatności, które organizacje dziś tolerują, zostanie wykorzystanych w przyszłym konflikcie. Jeśli są zbyt drogie albo trudne do usunięcia w czasie pokoju, to z pewnością będą takie również podczas wojny” – powiedział. To zdanie warto wytapetować w każdym serwerowni. Dlatego Brytyjczycy w kwietniu 2026 zarekomendowali, by konsumenci porzucili hasła na rzecz passkeys. To cyfrowe poświadczenia przechowywane na urządzeniach. Trudniej je wykraść socjotechniką. To samo zalecenie warto skopiować do polskich firm.

Pierwsza Misja AI · Kodożercy

Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.

Kurs Pierwsza Misja AI ma dedykowaną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać – zacznij rozumieć.

Poznaj pełny program

Niezałatane systemy to natomiast druga część równania. Czerwcowy Patch Tuesday Microsoftu z ponad 200 łatanymi lukami, w tym kilkoma aktywnie wykorzystywanymi zero-day, pokazał skalę powierzchni ataku. Dotyczy ona każdej firmy używającej Windowsa. Co więcej, brytyjski tekst Horne’a jest spójny z tym, co od miesięcy powtarzają CISA i CERT-y w całej Europie. Najwięcej włamań nadal zaczyna się bowiem od podstawowych zaniedbań – słabych haseł, braku uwierzytelniania wieloskładnikowego i niezałatanych systemów z CVE sprzed roku. AI ten obraz przyspieszy, jednak go nie zmieni. Państwa nie potrzebują dziś egzotycznych modeli, by włamać się do nieaktualizowanej elektrociepłowni. Wystarczy im to, co było skuteczne pięć lat temu.

Podsumowanie – co zostaje z raportu NCSC

Ponad 200 poważnych cyberincydentów w ciągu roku to dużo, a przecież mówimy tylko o przypadkach, które NCSC wykryło i którymi musiało się zająć. W praktyce prób uzyskania dostępu do brytyjskich elektrowni, szpitali czy lotnisk jest znacznie więcej. Większość z nich zatrzymują automatyczne zabezpieczenia, firewalle i systemy wykrywania zagrożeń. Fakt, że aż trzy czwarte najpoważniejszych incydentów wiąże się z działaniami państw, pokazuje jednak, że nie chodzi już tylko o zwykłą cyberprzestępczość. To stały element geopolitycznej rywalizacji, który dotyczy również Polski. Jak podkreśla Richard Horne, cyberbezpieczeństwo zaczyna się w salach zarządów i działach wsparcia, ale kończy również na urządzeniach, z których korzystamy w domach. Wniosek jest prosty: bezpieczeństwo nie może być jednorazowym projektem. To codzienna praca oparta na aktualizacjach, silnym uwierzytelnianiu, kopiach zapasowych i regularnie testowanych planach odtwarzania systemów. Najlepsze zabezpieczenia to te, które z czasem stają się zwykłą, konsekwentnie wykonywaną rutyną.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.