W 2025 roku przestało liczyć się to, ile wydałeś na licencje najdroższego antywirusa. Liczyło się to, czy potrafisz odizolować zainfekowany segment sieci w mniej niż piętnaście minut. Jeśli Twoim planem na 2026 rok jest dalsze kupowanie spokoju przez samo podpisywanie faktur dla dostawców oprogramowania, to masz przed sobą bardzo kosztowny czas. Atakujący zmienili reguły gry, podczas gdy większość polskich firm wciąż próbuje grać w szachy, kiedy przeciwnik przyniósł na spotkanie miotacz ognia.
Autonomiczne boty i agenty AI zamiast hakerów w bluzach
Miniony rok był momentem, w którym sztuczna inteligencja przestała być tematem konferencyjnych prezentacji, a stała się narzędziem masowego rażenia. Grupy takie jak Scattered Spider zaczęły wykorzystywać autonomiczne agenty do prowadzenia rekonesansu. To już nie jest jeden człowiek skanujący porty. To setki skryptów, które analizują profile Twoich pracowników na LinkedIn, znajdują ich prywatne adresy mailowe i tworzą kampanie phishingowe tak wiarygodne, że sam miałbym problem z ich odróżnieniem.
W jednym z przypadków, który ratowałem w lipcu, atakujący wykorzystali deepfake audio podczas calla na Teamsach. Księgowa była przekonana, że rozmawia z dyrektorem operacyjnym. Głos, akcent, a nawet specyficzne dla niego pauzy w wypowiedziach były odwzorowane idealnie. To doprowadziło do przelewu na sześćset tysięcy złotych, zanim ktokolwiek podniósł brew. W 2026 roku każda Twoja procedura weryfikacji tożsamości, która opiera się na „zaufaniu do głosu” lub „znajomej twarzy”, jest do wyrzucenia.
Ransomware 3.0 to koniec zabawy w szyfrowanie
Model biznesowy grup ransomware przeszedł ewolucję. Szyfrowanie plików stało się zbyt ryzykowne i czasochłonne dla napastników. Teraz liczy się kradzież danych i publiczny szantaż. Widziałem to przy ataku na dostawcę usług medycznych jesienią 2025. Napastnicy nie zaszyfrowali ani jednego serwera. Po prostu wyciągnęli czterdzieści gigabajtów danych pacjentów i zagrozili, że jeśli nie dostaną okupu, wyślą maile do każdego pacjenta z osobna.
Zapłata okupu w takich realiach jest absurdem. Raz skradzione dane zostaną sprzedane ponownie za pół roku. W 2025 roku średni czas wykrycia włamania (MTTD) wciąż oscylował wokół stu dni, co dawało przestępcom miesiące na spokojne kopiowanie Twojej własności intelektualnej. Jeśli nie masz wdrożonych mechanizmów wykrywania anomalii w ruchu wychodzącym, to jesteś ślepy. Skupianie się wyłącznie na „wejściu” do sieci to błąd początkującego, który w 2026 roku może kosztować firmę istnienie.
Regulacyjna pętla NIS2 i DORA zaciska się na dobre
Styczeń 2025 przyniósł wejście w życie rozporządzenia DORA, a wdrożenie NIS2 w Polsce wymusiło na zarządach realną odpowiedzialność. To już nie są czasy, w których CISO mógł zrzucić winę na „nieprzewidziane okoliczności”. Teraz brak raportowania incydentu w ciągu dwudziestu czterech godzin skutkuje karami liczonymi w milionach euro lub procentach obrotu. Największym problemem, jaki widzę u moich klientów, jest totalny rozdźwięk między działem prawnym a działem IT.
Prawnicy przygotowują piękne dokumenty o ciągłości działania, ale gdy pytam admina, kiedy ostatnio robił tzw. bare-metal recovery, zapada cisza. W 2026 roku organy nadzorcze przestaną pytać o papiery. Zaczną pytać o logi i dowody z testów penetracyjnych. Jeśli Twoja infrastruktura opiera się na przestarzałym oprogramowaniu, na które nie ma już poprawek, żadna polisa ubezpieczeniowa Cię nie uratuje. Zarządy muszą zrozumieć, że cyberbezpieczeństwo to nie jest koszt IT, tylko podstawa utrzymania ciągłości operacyjnej.
Tożsamość to nowa linia frontu, którą oddajemy bez walki
Największym błędem 2025 roku było przekonanie, że MFA oparte na powiadomieniach push jest bezpieczne. Ataki typu MFA Fatigue i powszechny session hijacking stały się plagą. Atakujący przejmują tokeny sesji z przeglądarek i wchodzą do systemów CRM czy ERP bez wpisywania hasła i bez dotykania telefonu ofiary. Widziałem, jak jeden przejęty token pracownika marketingu pozwolił napastnikom na dostęp do całego środowiska chmurowego firmy, bo konta nie miały odpowiedniej segmentacji.
W 2026 roku musisz przejść na rozwiązania odporne na phishing, takie jak klucze FIDO2. Każde inne rozwiązanie to tylko utrudnienie dla niedzielnego włamywacza, a nie dla profesjonalnych grup takich jak APT29 czy Lazarus. Jeśli Twoi administratorzy nadal logują się do serwerów z uprawnieniami roota przy użyciu prostych haseł, to sam prosisz się o tragedię. Tożsamość użytkownika jest dzisiaj jedynym realnym obwodem Twojej sieci, którego musisz pilnować bardziej niż fizycznego dostępu do serwerowni.
Cień nad chmurą i zapomniane API
Chmura miała być bezpieczniejsza, ale stała się miejscem, gdzie najłatwiej o błąd. Shadow IT w 2025 roku urosło do rozmiarów, których nikt nie kontroluje. Pracownicy sami podpinają narzędzia AI do firmowych baz danych, żeby „usprawnić sobie pracę”, nieświadomie wystawiając wrażliwe informacje na zewnątrz. Innym problemem są niezabezpieczone API. Pamiętam audyt, w którym znaleźliśmy otwarte, nieudokumentowane API, które pozwalało na pobranie całej bazy klientów bez żadnej autoryzacji. Deweloper zapomniał je wyłączyć dwa lata temu. W 2026 roku inwentaryzacja zasobów cyfrowych będzie ważniejsza niż zakup kolejnego firewalla. Jeśli nie wiesz, co masz w sieci, nie możesz tego chronić.
Gdy skończy się czas na wymówki
Rok 2026 będzie momentem brutalnej selekcji rynkowej. Firmy, które traktują security jako „zło konieczne” i ograniczają się do minimum wymaganego przez prawo, zaczną znikać. Przetrwają ci, którzy zainwestują w rezyliencję – czyli zdolność do szybkiego powrotu do pracy po incydencie. Przestań wierzyć w marketingowe bajki o systemach, które blokują 100% ataków. Takie systemy nie istnieją. Skup się na tym, żeby Twoje backupy były odizolowane (air-gapped), Twoi ludzie wiedzieli, co robić, gdy padnie Active Directory, a Twój zarząd rozumiał, że jedna udana kampania phishingowa może wymazać zyski z całego kwartału. To nie jest czarnowidztwo, to lekcje wyciągnięte z logów, które analizowałem przez ostatnie dwanaście miesięcy.
Bibliografia:
ENISA Threat Landscape 2025 – Comprehensive analysis of AI-driven threats.
Mandiant M-Trends 2025: Global insights into attack dwell times and vectors.
Verizon 2025 DBIR: Statistical breakdown of session hijacking and MFA bypass.
Raport CERT Polska 2025: Analiza incydentów w krajowej infrastrukturze krytycznej.
