Cyberatak zamiast fizycznego sabotażu. Nowe zagrożenie dla przemysłu

Czym z punktu widzenia właściciela supermarketu różni się cyberatak na instalację chłodniczą od fizycznego sabotażu, na przykład podłożenia ładunku wybuchowego? Sposób działania jest zupełnie inny, ale konsekwencje ekonomiczne mogą być porównywalne: zniszczony towar, uszkodzone urządzenia, zamknięty obiekt i straty liczone w milionach. Różnica polega na tym, że cyberprzestępca nie musi nawet pojawić się w pobliżu sklepu.

W październiku 2026 roku przekonali się o tym właściciele i operatorzy francuskich supermarketów. Napastnicy przejęli kontrolę nad systemami chłodniczymi w setkach placówek, zmieniając parametry pracy urządzeń. Temperatura w części instalacji wzrosła do 50°C. Doprowadziło to do zniszczenia dużych ilości żywności, zakłóceń działalności handlowej, a w niektórych obiektach odnotowano również pożary.

Według Reutersa przedstawiciele branży szacowali łączne straty na dziesiątki milionów euro. Skutki dotknęły m.in. placówki sieci Intermarché, Carrefour i Monoprix. Nie była to więc sytuacja, w której cyberatak zakończył się utratą danych albo czasową niedostępnością strony internetowej. Przestępcy ingerowali w sposób działania fizycznych urządzeń, a konsekwencją były realne szkody w majątku przedsiębiorstw. Z kolei cyberatak na holenderską sieć supermarketów Albert Heijn doprowadził do zakłócenia pracy centrów dystrybucyjnych, wstrzymania dostaw zakupów internetowych i problemów z zaopatrzeniem sklepów. Według ustaleń holenderskiego nadawcy NOS napastnicy wykorzystywali przy tym m.in. serwery zlokalizowane w Polsce.

Aby zniszczyć towar za miliony euro, nie trzeba było wysadzać chłodni ani przecinać przewodów zasilających. Wystarczyło uzyskać dostęp do systemu sterowania.

To zasadnicza zmiana w ocenie zagrożeń, szczególnie dla przedsiębiorstw korzystających z automatyki przemysłowej, systemów zarządzania budynkami (BMS), urządzeń IoT i infrastruktury OT. Cyberatak może prowadzić do skutków, które dotychczas kojarzyliśmy przede wszystkim z awarią technologiczną lub fizycznym sabotażem.

To nie jest wyłącznie problem Francji. W Polsce próbowano tego samego

29 grudnia 2025 roku doszło do skoordynowanych cyberataków na polską infrastrukturę energetyczną. Według raportu CERT Polska celem było co najmniej 30 farm wiatrowych i fotowoltaicznych, przedsiębiorstwo produkcyjne oraz elektrociepłownia dostarczająca ciepło dla blisko pół miliona odbiorców.

Napastnicy uzyskali dostęp do środowisk informatycznych i urządzeń automatyki przemysłowej. W przypadku instalacji OZE podejmowali działania zmierzające do uszkodzenia oprogramowania sterowników RTU, usuwania plików systemowych i niszczenia danych. Doprowadziło to do utraty łączności części obiektów z systemami operatorów sieci dystrybucyjnych oraz braku możliwości zdalnego sterowania. W dużej elektrociepłowni atakujący próbowali uruchomić złośliwe oprogramowanie niszczące dane. Próba została zablokowana przez system ochrony klasy EDR zainstalowane na urządzeniach końcowych.

Dalsze dochodzenie ujawniło jednak jeszcze jeden incydent, opisany przez CERT Polska w sierpniu 2026 roku. W mniejszej elektrociepłowni dostarczającej ciepło dla około 50 tys. mieszkańców atak doprowadził do zatrzymania turbiny parowej i stacji uzdatniania wody, a w konsekwencji do przerwania procesu kogeneracji. Atakujący wykorzystał m.in. błędną konfigurację prywatnej sieci APN, umożliwiającą komunikację między urządzeniami, które nie powinny mieć takiej swobody dostępu. Dzięki szybkiej reakcji personelu przestój był krótkotrwały i nie doszło do przerw w dostarczaniu ciepła mieszkańcom.

Nie był to identyczny technicznie atak jak we Francji. W supermarketach manipulowano parametrami chłodzenia, w Polsce wykorzystano inne techniki ingerencji w systemy sterowania i ich otoczenie. Wspólne jest jednak to, że celem nie było samo pozyskanie informacji, lecz zakłócenie rzeczywistego procesu technologicznego.

CERT Polska w swoim raporcie określił cel grudniowych działań jako destrukcyjny i porównał ich charakter do celowego podpalenia. To bardzo trafne porównanie. Jeżeli ktoś próbuje zdalnie zatrzymać elektrociepłownię w środku zimy, trudno traktować taki incydent jak zwykłe włamanie do systemu komputerowego.

Przestępczość cyfrowa to również ogromne pieniądze i zorganizowane zaplecze

Polski CERT zarejestrował w 2025 roku 260 783 incydenty cyberbezpieczeństwa, to o 152% więcej niż rok wcześniej. Zespół otrzymał ponad 658 tys. zgłoszeń. Zdecydowaną większość incydentów stanowiły oszustwa komputerowe, w tym phishing i oszustwa inwestycyjne.

Wzrost rejestrowanej liczby incydentów wynika częściowo z lepszego wykrywania i większej liczby zgłoszeń. Jednak skala działalności przestępczej i obsługiwanych zagrożeń jest już bardzo duża. Dobrym przykładem jest operacja Centralnego Biura Zwalczania Cyberprzestępczości, Straży Granicznej i ABW, o której poinformowano 19 października 2026 roku. Służby rozbiły międzynarodową grupę podejrzaną o pranie pieniędzy pochodzących z oszustw inwestycyjnych. Wartość transakcji objętych procederem przekroczyła 337 mln zł. Środki przepływały m.in. przez kantory, były ukrywane przy wykorzystaniu fikcyjnych zakupów złota i transferowane poza granice kraju.

Nie oznacza to, że pieniądze te finansowały działania sabotażowe przeciwko infrastrukturze OT. To odrębny rodzaj przestępczości. Jednak zestawienie tych wydarzeń pokazuje dwie niepokojące tendencje: profesjonalizację przestępstw finansowych w sieci oraz rosnące możliwości przeprowadzania ataków destrukcyjnych na fizyczną infrastrukturę.

Cyberprzestępczość obejmuje już zarówno wielomilionowe operacje finansowe, jak i działania, których celem może być uszkodzenie urządzeń lub zatrzymanie procesów technologicznych. Przedsiębiorstwa muszą uwzględniać oba rodzaje zagrożeń, choć wymagają one odmiennego podejścia do ochrony.

Dlaczego takie ataki są możliwe?

Problem nie polega wyłącznie na rosnących umiejętnościach napastników. Istotna część ryzyka wynika z tego, jak eksploatowane są urządzenia techniczne. Systemy automatyki budynkowej i przemysłowej często pozostają w użyciu przez kilkanaście lat. Urządzenie może być w pełni sprawne mechanicznie, a jednocześnie korzystać z niewspieranego oprogramowania. Zmienia się też jego otoczenie: do sterownika dodawane są nowe połączenia sieciowe, możliwość zdalnego serwisowania lub integracja z centralnym systemem zarządzania.

Z ustaleń dotyczących francuskiego incydentu wynika, że wśród zaatakowanych systemów znajdowały się starsze urządzenia wykorzystujące oprogramowanie dostawców takich jak Danfoss, Copeland i Dixell. Część nie otrzymywała już poprawek bezpieczeństwa. Badacze wcześniej identyfikowali też podatności w wybranych platformach zarządzania chłodzeniem. Oznacza to, że podatność była znana, lecz nic z nią nie zrobiono. To podejście, z którym walczymy od lat. Firmy wciąż myślą, że cyberatak ich nie dotyczy, a jak widać, nic bardziej mylnego.

To rodzi pytanie, kto w przedsiębiorstwie odpowiada za bezpieczeństwo takich urządzeń. Producent dostarcza sterownik, integrator go konfiguruje, firma zewnętrzna zapewnia serwis, dział IT utrzymuje łączność, a dyrektor obiektu odpowiada za nieprzerwaną działalność. Jeżeli nie określono jednoznacznie odpowiedzialności za aktualizacje, konfigurację połączeń i zarządzanie dostępem, urządzenie może pozostawać podatne przez lata.

Problem potęguje przekonanie, że sprawna instalacja jest instalacją bezpieczną. Chłodnia może utrzymywać właściwą temperaturę, a system BMS poprawnie wyświetlać parametry. To jednak niczego nie mówi o odporności sterowników na przejęcie przez nieuprawnioną osobę.

Co powinien zrobić dyrektor sklepu, magazynu czy zakładu produkcyjnego?

Z perspektywy zarządzania infrastrukturą pierwszym krokiem nie powinien być zakup kolejnego systemu bezpieczeństwa. Najpierw trzeba wiedzieć, nad czym faktycznie mamy kontrolę.

Gdybym odpowiadał za sieć sklepów, oczekiwałbym od działów technicznych i dostawców konkretnych informacji: jakie urządzenia mają dostęp do sieci, kto może zdalnie zmienić ich parametry, kiedy ostatnio aktualizowano oprogramowanie i jakie są konsekwencje przejęcia sterowania.

Działania podzieliłbym na kilka obszarów i ustalił priorytety.

1. Ustalenie, które urządzenia mogą spowodować największe straty

Nie wszystkie urządzenia wymagają takiego samego poziomu ochrony. Należy zacząć od instalacji chłodniczych, zasilających, systemów bezpieczeństwa, automatyki procesów produkcyjnych oraz pozostałych urządzeń, których awaria może spowodować znaczne straty materialne lub zagrożenie dla ludzi.

Dla każdego istotnego systemu potrzebna jest aktualna ewidencja urządzeń, oprogramowania, dostawców i dostępów zdalnych. Bez niej nie sposób racjonalnie ocenić ryzyka.

2. Ograniczenie możliwości zdalnego sterowania

Systemy OT i BMS powinny funkcjonować w odpowiednio wydzielonych strefach sieciowych. Dostęp z Internetu należy ograniczyć do niezbędnego minimum, a dostęp serwisowy realizować przez kontrolowane, szyfrowane połączenia z MFA i rejestrowaniem sesji.

Podstawę takiej architektury opisuje seria norm ISA/IEC 62443, m.in. poprzez koncepcję Zones & Conduits. Nie chodzi o całkowite wyłączenie komunikacji między IT i OT, lecz o ograniczenie jej do ściśle zdefiniowanych potrzeb.

3. Aktualizacja sterowników i kontrola ich konfiguracji

Należy zweryfikować wersje firmware, dostępność poprawek oraz okres wsparcia producenta. Jeśli urządzenia nie da się zaktualizować bez zatrzymania instalacji, trzeba zastosować zabezpieczenia kompensujące, zaplanować okno serwisowe albo rozważyć wymianę sterownika.

Konieczne jest także wyłączenie zbędnych usług i interfejsów, zmiana haseł fabrycznych oraz ograniczenie uprawnień administracyjnych.

4. Monitoring anomalii i realna reakcja na alarm

Sam system alarmowy nie wystarczy, jeżeli nie wiadomo, kto ma zareagować. We Francji wczesny alarm dotyczący temperatury pozwolił w jednym ze sklepów uratować część świeżych produktów, ale nie zapobiegł stratom w mrożonkach. To pokazuje, jak ważne są czas reakcji i ustalone procedury.

W systemach OT warto wdrażać również pasywny monitoring sieci IDS/NDR, wykrywający nietypowe komendy i zmiany konfiguracji. Informacje z niego powinny być powiązane z monitoringiem parametrów technologicznych.

5. Niezależne mechanizmy bezpieczeństwa

W krytycznych instalacjach sterownik cyfrowy nie powinien być jedynym elementem decydującym o bezpieczeństwie urządzeń. Odpowiednio zaprojektowane ograniczniki temperatury, zabezpieczenia ciśnieniowe, blokady czy niezależne systemy awaryjnego wyłączenia mogą zmniejszyć skutki nieprawidłowego sterowania.

Trzeba jednak pamiętać, że bezpieczny stan instalacji nie zawsze oznacza jej wyłączenie. Mechanizmy zabezpieczające powinny wynikać z analizy konkretnego procesu technologicznego.

6. Stwórz plan działania, zanim dojdzie do incydentu

Dyrektor obiektu powinien wiedzieć, kto podejmuje decyzję o odłączeniu zdalnego sterowania, jak uruchomić tryb awaryjny, gdzie znajdują się kopie konfiguracji urządzeń i jak długo można bezpiecznie pracować przy ograniczonej funkcjonalności systemów.

Takie procedury trzeba ćwiczyć. Szczególnie ważne jest sprawdzenie, czy można odtworzyć konfigurację i przywrócić pracę urządzeń bez uzależnienia od potencjalnie skompromitowanego środowiska informatycznego.

Wytyczne NIST SP 800-82 Rev. 3 oraz rekomendacje CERT Polska dotyczące systemów OT wskazują właśnie na takie połączenie zabezpieczeń technicznych, zarządzania konfiguracją i przygotowania do reagowania na incydenty.

Koszty mogą być jeszcze większe, niż pokazują pierwsze szacunki

Francuski incydent ujawnił jeszcze jeden problem, często pomijany przy szacowaniu ryzyka: ubezpieczenia. Według ustaleń Reutersa standardowe polisy cybernetyczne nie zawsze obejmują fizyczne straty spowodowane cyberatakiem. Ubezpieczenie może pokrywać część kosztów analizy incydentu lub odzyskiwania systemów, ale niekoniecznie wartość zniszczonej żywności, uszkodzonego wyposażenia czy utraconych przychodów.

Dodatkowo znaczenie może mieć stan aktualizacji oprogramowania i warunki konkretnej polisy. To sprawia, że analiza ryzyka powinna obejmować nie tylko możliwość wystąpienia incydentu, lecz także finansowe konsekwencje jego skutków. Dyrektor operacyjny wraz z działem finansowym powinien sprawdzić, czy umowy ubezpieczeniowe pokrywają szkody fizyczne wywołane atakiem na systemy cyfrowe oraz jakie obowiązki wynikają z umów z dostawcami automatyki.

W przeciwnym razie przedsiębiorstwo może odkryć dopiero po incydencie, że wielomilionowe straty musi pokryć z własnych środków.

NIS2, nowelizacja KSC i „Cyber Piątka”. Regulacje nie naprawią źle skonfigurowanych sterowników

Od 3 kwietnia 2026 roku w Polsce obowiązuje nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. Rozszerza ona obowiązki podmiotów kluczowych i ważnych w zakresie zarządzania ryzykiem, zabezpieczenia systemów, kontroli dostawców, ciągłości działania i zgłaszania poważnych incydentów.

Dla podmiotów objętych odpowiednimi przepisami przejściowymi termin samorejestracji w wykazie KSC upłynął 3 października 2026 roku, a wdrożenie zasadniczych obowiązków ma nastąpić do 3 kwietnia 2027 roku. Pierwszy audyt dla nowych podmiotów kluczowych przewidziano do kwietnia 2028 roku.

Przepisy wprowadzają również określone obowiązki kierownictwa oraz kary administracyjne. Podstawowe maksymalne pułapy wynoszą 10 mln euro lub 2% przychodów dla podmiotów kluczowych i 7 mln euro lub 1,4% przychodów dla podmiotów ważnych, według szczegółowych zasad ustawowych.

Równolegle Ministerstwo Cyfryzacji ogłosiło pakiet propozycji legislacyjnych „Cyber Piątka”, koncentrujący się przede wszystkim na ochronie danych obywateli, w szczególności informacji medycznych oraz zwiększeniu wymagań wobec podmiotów przetwarzających dane na dużą skalę.

Obie inicjatywy dotyczą różnych części problemu, ale wskazują na zwiększające się wymagania wobec przedsiębiorstw i ich dostawców. Z punktu widzenia zarządzania infrastrukturą trzeba jednak oddzielić dwa zagadnienia: zgodność z prawem oraz rzeczywisty stan zabezpieczeń technicznych.

Podmiot może przygotować dokumentację, wyznaczyć osoby odpowiedzialne i wdrożyć formalne procedury, ale wciąż eksploatować sterownik z niewspieranym firmware albo niekontrolowanym dostępem serwisowym. Nie każde przedsiębiorstwo podlega wszystkim obowiązkom KSC. Natomiast podatność sterownika nie zależy od tego, czy firma została zakwalifikowana jako podmiot kluczowy lub ważny.

Dlatego termin wdrożenia regulacji nie powinien być traktowany jako termin rozpoczęcia usuwania zagrożeń. W przypadku infrastruktury technicznej, której awaria może spowodować fizyczne szkody, część działań należy podejmować niezależnie od harmonogramu legislacyjnego.

Co z tego wynika dla przedsiębiorstw?

W grudniu 2025 roku polscy operatorzy infrastruktury energetycznej musieli reagować na próby sabotażu systemów przemysłowych. W październiku 2026 roku francuscy handlowcy liczyli straty po zdalnym przejęciu systemów chłodniczych. Te zdarzenia różnią się skalą, metodami i skutkami. Pokazują jednak, że ryzyko fizycznego sabotażu za pośrednictwem sieci przestało być wyłącznie rozważanym scenariuszem technicznym.

Przejęcie sterownika może być dla przedsiębiorstwa równie kosztowne jak fizyczne zniszczenie instalacji. Do spowodowania strat nie trzeba już dostępu do samego urządzenia. Wystarczy dostęp do systemu, który wydaje mu polecenia. Gdybym miał wskazać jedną rzecz, którą przedsiębiorstwa powinny zrobić po zapoznaniu się z tymi incydentami, byłby to rzeczywisty przegląd instalacji technicznych, a nie wyłącznie dokumentacji cyberbezpieczeństwa.

Dyrektor zakładu, magazynu czy sieci handlowej powinien otrzymać od swoich zespołów i dostawców odpowiedź na trzy pytania: co można w naszej infrastrukturze przejąć zdalnie, jakie fizyczne szkody może to spowodować i co dokładnie zrobimy w pierwszych minutach takiego incydentu? Jeżeli nie potrafimy na nie odpowiedzieć, nie wiemy również, jak duże straty może spowodować atak.

Przedsiębiorstwa inwestują znaczne środki w fizyczną ochronę obiektów, kontrolę dostępu, systemy przeciwpożarowe i zabezpieczenia antywłamaniowe. To uzasadnione wydatki. Trudno jednak zaakceptować sytuację, w której ten sam obiekt ma rozbudowaną ochronę fizyczną, a dostęp do urządzeń sterujących jego kluczowymi instalacjami pozostaje niewystarczająco zabezpieczony.

Można zainstalować kamery, czujniki i zabezpieczyć wszystkie drzwi. Jeżeli jednak ktoś z drugiego końca świata może zmienić parametry pracy urządzeń i doprowadzić do milionowych strat, ochrona obiektu ma poważną lukę.

Źródła

Atak na supermarkety we Francji: Reuters, 15.10.2026, French supermarkets' cyber insurance unlikely to cover food losses, insurers say; Associated Press, październik 2026.

Atak na supermarkety w Holandii: Biznes Interia, 14.10.2026, Cyberatak sparaliżował sieć sklepów. Hakerzy wykorzystali serwery w Polsce

Ataki na polską energetykę: CERT Polska, 30.01.2026, Raport z incydentu w sektorze energii z 29 grudnia 2025 roku; CERT Polska, 08.08.2026, Uzupełnienie raportu z incydentu w sektorze energii.

Skala zagrożeń: NASK, Raport roczny CERT Polska 2025; CBZC, komunikat z 19.10.2026 dotyczący prania pieniędzy.

Prawo: Ministerstwo Cyfryzacji – harmonogram KSC; Ministerstwo Cyfryzacji – „Cyber Piątka”.

Rekomendacje techniczne: CERT Polska – Rekomendacje dla wzmocnienia ochrony systemów OT; NIST SP 800-82 Rev. 3; ISA/IEC 62443.