## Cyberataki na polskie szpitale – eskalacja w 2026 roku i jak się bronić
### Eskalacja zagrożeń: liczby, które niepokoją
Rok 2025 przyniósł Polsce gwałtowny wzrost cyberzagrożeń. Krajowe zespoły CSIRT (CSIRT NASK, CSIRT MON i CSIRT GOV) — według Sprawozdania Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa za 2025 rok — odnotowały łącznie ponad 682 tysiące zgłoszeń oraz 272 941 obsłużonych incydentów, co oznacza wzrost o 144,4% rok do roku. Średnia dzienna liczba incydentów obsługiwanych przez CSIRT NASK wzrosła z 283 do 714, czyli ponad dwuipółkrotnie (ITwiz, dane ze Sprawozdania Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa za 2025 rok).
Sektor ochrony zdrowia znajduje się na pierwszej linii frontu. W 2024 roku CSIRT CeZ zarejestrował 1028 zdarzeń, a w 2025 już 1441 — co wskazuje na utrzymującą się tendencję wzrostową (dane na moment publikacji artykułu) (Prawo.pl, wypowiedź Jeremiego Olechnowicza, kierownika CSIRT CeZ).
### Marzec 2026: doniesienia o atakach na szpitale
Według artykułu opublikowanego na Prawo.pl przez Ingę Stawicką („Nasilone cyberataki na ochronę zdrowia w 2026 r.”), w marcu 2026 roku doszło do kilku incydentów w polskich placówkach medycznych. Poniższy opis opiera się wyłącznie na tym pojedynczym źródle prasowym.
**Szpital Wojewódzki w Szczecinie** — według relacji rzecznika szpitala Tomasza Owsika-Kozłowskiego, cytowanego przez Prawo.pl, trzy tygodnie po ataku placówka nadal działała w trybie awaryjnym. Rzecznik informował o wstrzymaniu rejestracji do poradni specjalistycznych (z wyjątkiem pacjentów onkologicznych z kartą DILO), trudnościach części lekarzy z wystawianiem recept i zwolnień oraz braku dostępu do znacznej części danych medycznych pacjentów. W działania naprawcze zaangażowani byli m.in. CSIRT CeZ oraz żołnierze Wojsk Obrony Terytorialnej (Prawo.pl).
**Bonifraterskie Centrum Medyczne (BCM)** — Prawo.pl donosi, że placówka padła ofiarą ataku w marcu 2026 roku. Według oficjalnego komunikatu BCM, cytowanego przez serwis, systemy przywrócono w ciągu kilku godzin, a atak nie był wynikiem nieostrożności pracownika. Postępowanie w tej sprawie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości (CBZC) (Prawo.pl).
### Dlaczego szpitale?
Placówki medyczne są szczególnie atrakcyjnym celem dla cyberprzestępców z kilku powodów:
– Przetwarzają ogromne ilości wrażliwych danych osobowych i medycznych.
– Ciągłość działania jest krytyczna — przestój może bezpośrednio zagrażać życiu i zdrowiu pacjentów, co zwiększa presję na zapłacenie okupu.
Jak podkreśla Jeremi Olechnowicz, kierownik Sektorowego Zespołu Cyberbezpieczeństwa CSIRT CeZ: „To nie jest pytanie »czy«, lecz »kiedy« nastąpi kolejna próba ataku i jak dobrze organizacja będzie na nią przygotowana” (Prawo.pl).
### Odpowiedź państwa: komunikat i checklista
W reakcji na eskalację ataków Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa (Krzysztof Gawkowski, minister cyfryzacji) wydał specjalny komunikat, przygotowany we współpracy z CSIRT CeZ, CSIRT NASK i CSIRT GOV. Dokument zawiera konkretne wskaźniki kompromitacji (IOC) oraz szczegółowe zalecenia prewencyjne dla placówek medycznych (gov.pl, komunikat Pełnomocnika; omówienie: Prawo.pl).
### Kluczowe zalecenia dla placówek medycznych
Poniższe punkty opierają się na komunikacie Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa. Resort zaznacza, że realizacja nawet części działań może pozwolić znacząco ograniczyć ryzyko incydentu, zachęcając jednocześnie do jak najszerszego wdrażania rozwiązań.
1. **Aktualizacja systemów** — warto upewnić się, że wszystkie systemy i urządzenia działają na najnowszych, stabilnych wersjach oprogramowania. Aktualizacja systemów to jeden z podstawowych postulatów komunikatu Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa, wydanego w reakcji na eskalację ataków na sektor zdrowia.
2. **Segregacja sieci** — dostęp administracyjny do urządzeń zaleca się realizować wyłącznie z wydzielonej sieci zarządzającej (tzw. management VLAN).
3. **Przegląd kont uprzywilejowanych** — zaleca się regularną weryfikację kont o podwyższonych uprawnieniach. Należy niezwłocznie usuwać konta byłych pracowników i konta nieużywane.
4. **Ograniczenie ruchu sieciowego** — warto rozważyć blokowanie stron internetowych, które nie są niezbędne do pracy. Pomocne może być także wdrożenie geo-blockingu — ograniczenia ruchu przychodzącego wyłącznie do regionu Polski lub Europy.
5. **Monitorowanie logowań** — zaleca się weryfikację logowań w niestandardowych godzinach, odbiegających od typowego harmonogramu pracy placówki.
6. **Kopie zapasowe** — zaleca się regularne tworzenie i testowanie kopii zapasowych. W przypadku ataku ransomware kopie zapasowe mogą stanowić kluczową linię obrony.
### Trendy: podwójne wymuszenie, AI i ataki na łańcuch dostaw
Współczesny krajobraz zagrożeń ewoluuje w niepokojących kierunkach. Poniższe trendy zostały omówione w analizie ITwiz (ITwiz, omówienie Sprawozdania Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa za 2025 rok), powołującej się na dane ze Sprawozdania (gov.pl):
– **Ransomware 2.0** — atakujący nie tylko szyfrują dane, ale najpierw je kradną, a następnie grożą ich publicznym ujawnieniem (tzw. podwójne wymuszenie — *double extortion*).
– **AI w służbie atakujących** — według omówienia ITwiz, sztuczna inteligencja umożliwia masową automatyzację phishingu oraz tworzenie deepfake’ów wykorzystywanych w atakach socjotechnicznych.
– **Ataki na łańcuch dostaw** — kompromitacja jednego dostawcy oprogramowania może dać dostęp do wielu organizacji jednocześnie.
– **Ewolucja w kierunku modelu Ransomware-as-a-Service (RaaS)** — gotowe narzędzia ransomware są wynajmowane mniej zaawansowanym grupom przestępczym, co poszerza skalę zagrożenia.
### Dodatkowe kierunki działań — przykłady zależne od środowiska
Poniższe praktyki są często przywoływane w literaturze branżowej jako elementy dojrzałego programu cyberbezpieczeństwa. Ich skuteczność i sposób wdrożenia zależą od konkretnego środowiska, zasobów i profilu ryzyka organizacji — nie stanowią uniwersalnej gwarancji ochrony.
1. **Strategia backupu 3-2-1**: trzy kopie danych, na dwóch różnych nośnikach, jedna kopia poza siedzibą (off-site). Koncepcja opisana m.in. w wytycznych CISA — Data Backup Options.
2. **Zasada najmniejszych uprawnień (least privilege)**: każdy użytkownik i system powinien mieć tylko te uprawnienia, które są niezbędne do pracy. Szerzej omówiona w NIST SP 800-12 Rev. 1.
3. **Segmentacja sieci**: oddzielenie sieci gościnnej, sieci urządzeń medycznych (IoT/OT) i sieci korporacyjnej — szczegółowe wytyczne zależą od architektury i stosowanych systemów.
4. **Regularne testowanie odporności**: testy penetracyjne, ćwiczenia z reagowania na incydenty i symulacje ataków ransomware (tabletop exercises) — ich zakres i częstotliwość powinny być dostosowane do wielkości organizacji i poziomu ryzyka.
5. **Świadomość pracowników**: regularne szkolenia z rozpoznawania phishingu i socjotechniki. Efektywność szkoleń zależy od ich regularności, formy i kultury organizacyjnej.
### Podsumowanie
Ataki na szpitale w marcu 2026 roku wpisują się w szerszy trend eskalacji cyberzagrożeń w Polsce. Dane ze Sprawozdania Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa za 2025 rok wskazują na +144% incydentów rok do roku (ITwiz).
Komunikat Ministerstwa Cyfryzacji z checklistą zabezpieczeń to konkretne, praktyczne narzędzie — ale jego skuteczność zależy od tego, czy placówki medyczne i inne organizacje faktycznie wdrożą zalecenia. Jak pokazuje przykład szpitala w Szczecinie, skutki cyberataku mogą być odczuwalne nie w godzinach, ale w tygodniach — a powrót do pełnej sprawności operacyjnej to długi i kosztowny proces (Prawo.pl).
—
### Źródła
– Prawo.pl – „Nasilone cyberataki na ochronę zdrowia w 2026 r.” (Inga Stawicka, dostęp: 14.07.2026)
– ITwiz – „Cyberataki w Polsce eksplodowały: +144% w rok, a co drugi to realne uderzenie” (Mikołaj Marszycki, 16.04.2026)
– NASK – „Raport CERT Polska za 2025 rok”
– gov.pl — Sprawozdanie o stanie cyberbezpieczeństwa Polski za 2025 rok (Ministerstwo Cyfryzacji)
– gov.pl — Komunikat Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa: zalecenia dla sektora ochrony zdrowia i innych podmiotów KSC (2026)