Haker — niebezpieczny, lecz nie niezwyciężony przeciwnik
Ponad 682 tys. zgłoszeń do CSIRT oraz blisko 273 tys. potwierdzonych incydentów bezpieczeństwa w 2025 roku, co oznacza wzrost o 144,4 proc. r/r — ta ponura statystyka pokazuje, że polskie przedsiębiorstwa i instytucje publiczne znajdują się pod właściwie nieustanną presją ze strony hakerów. Zadajemy więc pytanie: czyli właściwie kogo? Kim jest ten enigmatyczny, a jednocześnie budzący grozę „cyberprzestępca”? Co nim kieruje, jakie ma motywy, jakimi narzędziami dysponuje, czy moglibyśmy go rozpoznać na ulicy? Wszak już starożytny strateg Sun Tzu przestrzegał, że "aby pokonać wroga, trzeba go poznać". A być może istnieją także… dobrzy hakerzy?
Z TEGO ARTYKUŁU DOWIESZ SIĘ:
|
Haker — jedno słowo, wiele definicji
W kulturze masowej postać hakera została utrwalona za sprawą kultowego serialu Mr. Robot, którego główny bohater, za dnia utalentowany programista pracujący dla wielkiej korporacji, nocami przemienia się w hakera, działającego jednak nie dla korzyści materialnych, ale z pobudek ideologicznych.
Jak w każdej produkcji filmowej — tak i w tej odnajdziemy wiele zgodnych z prawdą elementów. Rzeczywiście, hakerzy wiodą nieraz pozornie normalne życie. Często są szanowanymi, przykładnymi obywatelami, dalekimi od stereotypowego postrzegania ich jako zamkniętych w garażach, podejrzanie wyglądających, nieodchodzących sprzed ekranu introwertyków.
Bywają również hakerzy działający w słusznej, przynajmniej z ich punktu widzenia, sprawie. Tzw. haktywiści wykorzystują swoje umiejętności, podejmując działania motywowanie politycznie, społecznie, religijnie, walcząc z cenzurą czy nagłaśniając przypadki łamania praw człowieka.
Literatura określa nawet typy hakerów różnymi „kolorami kapelusza” (poprzez skojarzenie z amerykańskim westernami). Black hat to cyberprzestępcy, przełamujący zabezpieczenia m.in. w celu wyłudzenia okupu lub sparaliżowania organizacji czy nawet całego kraju (np. uderzenie cyfrowe w wodociągi, energetykę, koleje). To właśnie ta grupa stoi za atakami hakerskimi, gdzie ofiarami zazwyczaj są firmy lub organy państwowe — i to na nich skupiamy się w tym artykule.
Warto już teraz zauważyć, że współczesne grupy cyberprzestępcze działają często w oparciu o modele bliźniaczo podobne do tych znanych ze świata legalnego biznesu. Chodzi m.in. o jasno określone struktury organizacyjne, procesy rekrutacyjne, podział obowiązków. Istnieją wręcz zespoły odpowiedzialne za „rozwój produktu”, będącego np. złośliwym oprogramowaniem, sprzedaż, a nawet „obsługę klienta”, wspierającą innych przestępców i pomagającą nowicjuszom w pierwszych próbach przeprowadzania udanego ataku. Model ten demokratyzuje cyberprzestępczość, obniżając próg wejścia dla osób bez zaawansowanych umiejętności technicznych, jednocześnie umożliwiając doświadczonym przestępcom skalowanie i specjalizację.
Więcej na: Krajobraz cyberzagrożeń w polskim systemie finansowym, KNF
Istnieją jednak także tzw. grey hat, czyli wspomniani haktywiści, a także white hat, czyli hakerzy… działający legalnie i to na zlecenie danej firmy bądź instytucji, chcącej przetestować własną odporność — o nich z kolei opowiemy na samym końcu.
Zobacz na: Haker – przyjaciel czy wróg? White, grey i blackhat
Niezależnie jednak od tego, czy hakerem kierują ideały, adrenalina, legalna umowa, zwykła chciwość (wyłudzenia, szantaż, kradzież cyfrowa) bądź rozkazy płynące od rządów zwykle niedemokratycznych krajów — jest on zawsze rywalem, którego nie można lekceważyć.
Aktualnie średni czas między pierwszym dostępem atakującego do systemu, a przejściem na kolejny komputer w sieci, wynosi około 29 minut. W najszybszym odnotowanym przypadku było to 27 sekund. Do incydentów coraz częściej dochodzi już nie poprzez maila czy wiadomość SMS, ale na podstawie rozmowy z imitującym głos (przełożonego, przyjaciela lub członka rodziny) botem, a także z wykorzystaniem prywatnych, szyfrowanych komunikatorów, np. WhatsApp czy Signal.
Więcej na: Lawinowy wzrost liczby cyberataków. Szyfrowane komunikatory też nie są bezpieczne
Dodatkowo, cyberprzestępcy nie skupiają się dziś wyłącznie na bankach, urzędach, szpitalach czy wielkich korporacjach. Coraz częściej uderzają w małe i średnie przedsiębiorstwa, które dysponują zazwyczaj słabszymi zabezpieczeniami. Nie ma więc instytucji, firmy ani organizacji, która może czuć się stuprocentowo bezpieczna lub uchodzić za „niewidzialną” dla hakerów.
Problem dotyczy jednak nie tylko biznesu i sektora publicznego, ale także „przeciętnego Kowalskiego”. Kradzież danych, fałszywe przelewy czy włamanie się na prywatne konto w portalu społecznościowym — któryś z tych incydentów może w każdej chwili spotkać każdego użytkownika sieci. Tylko w obszarze finansów, według najnowszych danych Narodowego Banku Polskiego, liczba transakcji oszukańczych przy użyciu bezgotówkowych instrumentów płatniczych (kart płatniczych, polecenia przelewu i polecenia zapłaty) w I kwartale 2026 r. sięgnęła 123,9 tys. To wzrost w skali kwartału o 3,4 proc., a rok do roku o 11,8 proc.
Wyzwanie związane z cyberprzestępczością ma więc charakter wielowymiarowy: splatają się tutaj losy biznesu, instytucji publicznych, osób prywatnych i całego społeczeństwa.
Ewolucja metod i narzędzi w rękach cyberprzestępców
96 proc. polskich firm doświadczyło w minionym roku przynajmniej jednego incydentu bezpieczeństwa, co stanowi wzrost o 13 p.p. r/r — wynika z corocznego „Barometru cyberbezpieczeństwa” przygotowywanego przez firmę doradczą KPMG. Jest to rekordowy i rekordowy odczyt historii tego prestiżowego raportu.
„Zwiększyła się także liczba firm doświadczających wielokrotnych naruszeń bezpieczeństwa – szczególnie tych, które odnotowały od czterech do dziewięciu incydentów (+20 p.p. r/r). Jedynie jedna trzecia firm ocenia swój poziom cyberodporności jako adekwatny do aktualnego przekroju cyberzagrożeń, a 58 proc. organizacji wskazuje na potrzebę usprawnień w wybranych obszarach zabezpieczeń cyfrowych” – czytamy w dokumencie.
Więcej na: Cyberodporność w erze zmian. Barometr cyberbezpieczeństwa 2026
Aktywność cyberprzestępców ulega na naszych oczach bezprecedensowej transformacji, definiowanej z jednej strony przez „profesjonalizację” ich działań, a z drugiej — ich „automatyzację”.
Skuteczność cyberprzestępców opiera się na bardzo szerokiej palecie narzędzi oraz metod. Często podstawą są złośliwe oprogramowania (malware), takie jak wirusy, trojany, robaki, spyware czy ransomware. Są one rozpowszechniane za pomocą phishingu, złośliwych linków lub zainfekowanych załączników do wiadomości e-mail.
Jednak skokowy wzrost efektywności cyberataków także zasługa rewolucji w obszarze sztucznej inteligencji. Systemy agentowe AI mogą teraz wykonywać pracę całych zespołów doświadczonych hakerów, umożliwiając nawet mniej doświadczonym i zasobnym grupom przeprowadzanie skutecznych ataków. Sieć jest więc skanowana oraz bombardowana — na wzór nalotów dywanowych — złośliwymi programami czy wirusami, a przestępcy wykorzystują po prostu efekt skali: wśród tysięcy potencjalnych ofiar z pewnością znajdzie się kilka, które uda się złapać w pułapkę.
Co więcej — nie mówimy już o prymitywnych wiadomościach zawierających błędy czy nierealne obietnice szybkiego zarobku, które na pierwszy rzut musiałby wzbudzać podejrzenia. Dziś w arsenale cyfrowych przestępców dominuje zaawansowana socjotechnika, bardzo często wspierana właśnie przez rozwiązania AI.
Maile, SMS-y, telefony które otrzymuje pracownik, wyglądają i brzmią bardzo autentycznie, a do tego są projektowane w taki sposób, aby wykorzystać nieuwagę, pośpiech, słabości. Naszymi przeciwnikami nie są przypadkowi kombinatorzy czy dowcipnisie, ale profesjonaliści posiadający olbrzymią wiedzę psychologiczną i umiejący doskonale grać na ludzkich emocjach.
Oczywiście zdarzają się wśród cyberprzestępców „samotne wilki”, jednak coraz częściej mamy do czynienia z wyspecjalizowanymi grupami, dysponującymi nie tylko umiejętnościami, ale także pieniędzmi oraz wsparciem rządów wrogich państw. Mowa tu o tzw. grupach APT (Advanced Persistent Threat).
Nie bez znaczenia jest tutaj położenie geopolityczne naszego kraju — Polska znajduje się dziś w samym centrum wojny hybrydowej, jaką Rosja, Białoruś, a coraz częściej także Chiny i Korea Północna, toczą z Unią Europejską oraz szeroko pojętym „Zachodem”. Oznacza to, że rodzime instytucje i firmy są na celowniku cyberprzestępców, którzy przeprowadzają ataki nie dla korzyści materialnych — ale by dokonać jak największych zniszczeń i spustoszeń.
Zobacz na: Chińskie i rosyjskie grupy cyberprzestępcze na usługach państw. Polska na celowniku
Przykładem tego typu skoordynowanych działań są tzw. Grupy APT, czyli Advanced Persistent Threat — zorganizowane jednostki realizujące wyrafinowane ataki w cyberprzestrzeni. Często posiadają one wsparcie rządowe i dążą do destabilizacji infrastruktury, kradzieży danych lub wykonania innych celów na rzecz danego państwa.
APT jest wyrafinowanym, trwałym atakiem, podczas którego napastnik pozostaje niewykryty przez długi czas w środowisku informatycznym firmy lub instytucji. Długi okres może oznaczać miesiące, zaś w ekstremalnych przypadkach nawet lata. Napastnicy bardzo starannie planują i projektują atak, aby móc jak najdłużej pozostawać w sieci ofiary. Wśród najczęstszych celów ataków APT znajdują się: cyberszpiegostwo (w tym kradzież wartości intelektualnych, ważnych dokumentów lub tajemnic państwowych), zysk finansowy, haktywizm oraz destrukcja danych, sprzętu IT lub infrastruktury krytycznej.
Więcej na: W cieniu cyberwojny. Jak wyglądają operacje grup APT?
Firmy i instytucje publiczne nie muszą być bezbronne
W kontekście cyberbezpieczeństwa nie mamy do czynienia z sytuacją permanentnej przewagi hakerów nad „ofiarami”. Między nimi a firmami i instytucjami toczy się raczej swoisty „wyścig zbrojeń”, w którym obie strony sięgają po podobne narzędzia, chociaż z zupełnie różną intencją ich wykorzystania. W tym artykule skupimy się na dwóch z nich.
Tak jak hakerzy masowo skanują i bombardują sieć, tak przedsiębiorstwa mogą ją prześwietlać i analizować, poszukując realnych i potencjalnych zagrożeń, co znacząco ułatwia przygotowanie odpowiednich mechanizmów obronnych, identyfikowanie luk bezpieczeństwa, projektowanie kompleksowych strategii defensywnych. Mowa oczywiście o usłudze Cyber Threat Intelligence (CTI).
CTI, będąca skokowym rozwinięciem tradycyjnego monitoringu, oferuje swoiste usługi wywiadowcze, pozwalające ze znacznym wyprzedzeniem rozpoznawać zagrożenia pojawiające się poza daną organizacją. Szerokie, a jednocześnie bardzo dokładne gromadzenie, analizowanie i interpretowanie danych z całej sieci, a następnie przekuwanie ich w konkretne rekomendacje oraz działania, umożliwia firmom zminimalizować tak skutki, jak i samo ryzyko wystąpienia incydentów bezpieczeństwa. Dzięki CTI dokładnie monitorowane są nie tylko poszczególne przypadki, ale wręcz całe megatrendy.
Na początku artykułu wspominaliśmy o białych hakerach, czyli działających całkowicie legalnie i do tego na prośbę samych organizacji, chcących zidentyfikować podatności i słabości swoich systemów czy zabezpieczeń.
Ich umiejętności wykorzystywane są w ramach testów penetracyjnych przygotowywanych i przeprowadzanych przez doświadczone firmy technologiczne i telekomunikacyjne.
Więcej na: Czy testy penetracyjne infrastruktury, aplikacji i sieci zapewnią bezpieczeństwo przedsiębiorstwa?
Przygotowują one organizację do sytuacji kryzysowych pozwalając sprawdzić, w jaki sposób specjaliści od bezpieczeństwa i cała organizacja będą sobie radzić w „warunkach bojowych”. Umożliwiają one w sposób doświadczalny pokazać aktualne słabości systemu ochrony informacji w organizacji. Test przeprowadzany jest przez eksperta (pentestera), a jego celem jest włamanie się, czyli przeprowadzenie kontrolowanej próby złamania linii obrony systemów bezpieczeństwa.
Ze względu na sposób dostępu do systemu wyróżnić można zewnętrzne i wewnętrzne testy penetracyjne. W teście zewnętrznym działający na zlecenie klienta haker próbuje z zewnątrz, spoza firmy, przełamać linię obrony i technologię przedsiębiorstwa poddawanego testom. Weryfikacji podlegać mogą zarówno metody ochrony strony internetowej, jak i zewnętrznych serwerów. W takim przypadku ataków dokonuje się nie tyle z wewnątrz budynku biura, ile z odległej lokalizacji.
Test zewnętrzny może być przeprowadzony także z samochodu zaparkowanego w pobliżu firmy, by sprawdzić zabezpieczenia sieci bezprzewodowych klienta. W przypadku testów wewnętrznych weryfikowane są systemy wewnątrz firmowe. W tym przypadku haker wykonuje test bezpośrednio w sieci firmy.
W końcowej fazie weryfikacji zabezpieczeń przygotowywany jest przez testującego raport dla zespołu bezpieczeństwa firmy, której systemy IT poddawane były próbom. Informacje te powinny zostać następnie wykorzystane do wdrożenia aktualizacji zabezpieczeń i ewentualnego usunięcia luk wykrytych podczas testu.
Musimy pogodzić się z faktem, że wraz z postępującą cyfryzacją całego świata — w tym biznesu i usług publicznych — ekspozycja firm czy instytucji na działania hakerów będzie nie do uniknięcia. Na każde nowe zabezpieczenie znajdą oni nowy podstęp, sięgając po kolejne narzędzia wykraczające poza technologię czy programowanie — jak chociażby socjotechnikę. Ważne jest, aby nie chować głowy w piasek, nie ignorować zagrożenia, nie udawać, że problem nas nie dotyczy. Hakerzy dysponują różnymi umiejętnościami — ale nie są wszechpotężni i niepokonani. Czasami wystarczy po prostu nie ułatwiać im zadania, będąc świadomymi niebezpieczeństwa i na nie przygotowanymi.
Data publikacji: 04.08.2026
