85% polskich firm pod ostrzałem. Raport ESET ujawnia kryzys kompetencji i ryzyka AI

Krajobraz cyberbezpieczeństwa nad Wisłą w 2026 roku przypomina pole minowe, po którym polscy przedsiębiorcy stąpają z zawiązanymi oczami. Najnowsza edycja raportu „Cyberportret Polskiego Biznesu”, przygotowana przez ekspertów z ESET oraz DAGMA Bezpieczeństwo IT, dostarcza twardych dowodów na to, że cyfrowa transformacja wyprzedziła nasze zdolności do ochrony danych. Badanie przeprowadzone na grupie 1026 pracowników, w tym ponad 400 specjalistów odpowiedzialnych za bezpieczeństwo, kreśli obraz systemowej niewydolności: incydenty przestały być anomalią, a stały się statystyczną pewnością.

Analiza danych wskazuje na niepokojący paradoks. Choć świadomość istnienia zagrożeń teoretycznie rośnie, realne kompetencje pracowników drastycznie spadają. W dobie, gdy wektory ataków stają się coraz bardziej wyrafinowane dzięki wykorzystaniu generatywnej sztucznej inteligencji, polskie firmy zmagają się z podstawowymi problemami: brakiem czytelnych procedur, chaosem informacyjnym oraz ignorowaniem elementarnych zasad higieny cyfrowej. To nie tylko problem techniczny, to przede wszystkim potężne ryzyko operacyjne, które może kosztować polski PKB miliardy złotych w nadchodzących latach.

Krajobraz zagrożeń 2026 – incydenty jako nowa norma

Statystyki są bezlitosne: 85% badanych firm musiało zmierzyć się z naruszeniem bezpieczeństwa w ciągu ostatniego roku. Analizując te dane głębiej, widać wyraźną korelację między wielkością przedsiębiorstwa a częstotliwością ataków. W segmencie średnich firm (51-250 pracowników) odsetek ten wzrasta do rekordowych 88%, a w dużych organizacjach utrzymuje się na poziomie 85%. Nawet małe podmioty, zatrudniające do 50 osób, nie mogą czuć się bezpiecznie – 68% z nich potwierdziło wystąpienie incydentu. To pokazuje, że cyberprzestępcy zrezygnowali z selektywności na rzecz masowości, wykorzystując zautomatyzowane skanery podatności.

Złożoność współczesnych ataków sprawia, że ich wykrywanie staje się wyzwaniem ponad siły przeciętnego działu IT. Dwie trzecie firm przyznaje, że różnorodność zagrożeń paraliżuje ich systemy wczesnego ostrzegania. Warto przypomnieć, że zagrożenia nie dotyczą tylko komputerów biurowych – niedawno Google rozbiło gigantyczny botnet XCPE, który zainfekował ponad 1,3 miliona przystawek Android TV, co pokazuje skalę problemu z urządzeniami IoT w sieciach firmowych. Polskie firmy często zapominają o zabezpieczaniu peryferiów, skupiając się wyłącznie na serwerach, co otwiera hakerom szerokie pole do popisu.

Problem potęguje fakt, że ataki spowszedniały. Przedsiębiorcy zaczynają traktować incydenty jako „koszt prowadzenia biznesu”, co jest podejściem skrajnie niebezpiecznym. Brak wyciągania wniosków z mniejszych naruszeń prowadzi do ignorowania luk, które w przyszłości mogą zostać wykorzystane do przeprowadzenia niszczycielskiego ataku typu ransomware. W Polsce wciąż pokutuje przekonanie, że „jesteśmy za mali, by nas zaatakowano”, podczas gdy dane ESET jasno dowodzą, że automatyzacja ataków nie bierze pod uwagę obrotów firmy, a jedynie jej podatności techniczne.

Kryzys kompetencji w dobie cyfryzacji

Najbardziej alarmującym wnioskiem z raportu jest spadek deklarowanej wiedzy pracowników. Tylko 14% zatrudnionych uważa, że posiada kompetencje niezbędne do radzenia sobie z zagrożeniami cyfrowymi. Co gorsza, połowa badanych otwarcie przyznaje, że nie zna żadnych zasad bezpieczeństwa obowiązujących w ich miejscu pracy. Jest to regres względem poprzednich lat, co sugeruje, że tempo wprowadzania nowych technologii (w tym AI) całkowicie przytłoczyło programy szkoleniowe. Pracownicy czują się zagubieni w gąszczu skomplikowanych i często nieżyciowych regulacji.

Paweł Jurek z DAGMA Bezpieczeństwo IT słusznie zauważa, że firmy zamiast prostych wytycznych, serwują pracownikom opasłe tomy procedur pisanych językiem prawniczym. Efekt? Pracownik, zamiast stać się pierwszą linią obrony, staje się najsłabszym ogniwem, które boi się zgłosić błąd w obawie przed konsekwencjami. W środowisku, gdzie 2/3 incydentów ma swoje źródło w błędzie ludzkim (phishing, nieumyślne udostępnienie haseł), brak transparentnej komunikacji na linii IT-pracownik jest zaproszeniem dla grup przestępczych.

W dobie pracy hybrydowej, gdzie granica między siecią domową a firmową uległa zatarciu, brak edukacji jest krytyczny. Pracownicy często korzystają z tych samych urządzeń do celów prywatnych i służbowych, nieświadomie infekując infrastrukturę korporacyjną. Raport ESET pokazuje, że polski biznes pilnie potrzebuje zmiany paradygmatu: z „bezpieczeństwa opartego na zakazach” na „bezpieczeństwo oparte na zrozumieniu”. Bez tego, nawet najdroższe systemy klasy firewall pozostaną jedynie drogimi gadżetami, które można obejść jednym socjotechnicznym mailem.

AI to jeszcze więcej zamętu – nowe wektory ataku

Sztuczna inteligencja, która miała być wybawieniem dla produktywności, stała się nowym koszmarem dla oficerów bezpieczeństwa (CISO). Zaledwie 8% pracowników rozumie pojęcie „data poisoning”, a świadomość zagrożeń związanych z deepfake deklaruje tylko 43% ankietowanych. Tymczasem pęd do innowacji sprawia, że dane firmowe masowo trafiają do publicznych modeli LLM. Pracownicy, chcąc usprawnić swoją pracę, wklejają do czatbotów wrażliwe raporty finansowe, kody źródłowe czy dane osobowe klientów, nie zdając sobie sprawy, że te informacje mogą zostać wykorzystane do trenowania przyszłych wersji modeli lub wyciec w wyniku ataku na dostawcę AI.

Zagrożenie typu „data poisoning” jest szczególnie perfidne. Polega ono na celowym manipulowaniu danymi, na których uczą się algorytmy, co może prowadzić do błędnych decyzji biznesowych lub stworzenia ukrytych podatności w systemach automatyzacji. W polskich realiach, gdzie wiele firm wdraża AI „na skróty”, bez audytu bezpieczeństwa danych wejściowych, ryzyko to jest bagatelizowane. Hakerzy nie muszą już włamywać się do bazy danych – wystarczy, że subtelnie zmienią parametry, według których AI ocenia ryzyko kredytowe czy optymalizuje łańcuch dostaw.

Deepfake to kolejny front, na którym polskie firmy przegrywają. Ataki typu „Business Email Compromise” (BEC) ewoluują w stronę „Business Voice/Video Compromise”. Wykorzystanie syntetycznego głosu prezesa do zlecenia natychmiastowego przelewu nie jest już scenariuszem z filmu science-fiction, a realnym zagrożeniem, na które większość polskich MŚP nie jest przygotowana. Brak wieloskładnikowego uwierzytelniania (MFA) w procesach autoryzacji finansowej, w połączeniu z niską świadomością istnienia deepfake’ów, tworzy mieszankę wybuchową.

Architektura bezpieczeństwa vs. rzeczywistość

Analizując architekturę zabezpieczeń w polskich firmach, widać ogromną dysproporcję między deklarowanymi inwestycjami a realną skutecznością. Większość podmiotów posiada podstawowe systemy antywirusowe, jednak w starciu z nowoczesnymi zagrożeniami to zdecydowanie za mało. Brakuje zaawansowanych rozwiązań klasy EDR (Endpoint Detection and Response) oraz XDR, które pozwalają na korelację zdarzeń z wielu źródeł i wykrywanie anomalii w czasie rzeczywistym. Wiele firm wciąż polega na sygnaturowym wykrywaniu wirusów, które jest bezużyteczne przeciwko atakom typu Zero-Day.

Warto zwrócić uwagę na stosunek ceny do bezpieczeństwa. Inwestycja w nowoczesny stos technologiczny (np. rozwiązania ESET PROTECT Elite) może wydawać się kosztowna, ale w porównaniu do średniego kosztu przestoju po ataku ransomware, jest to wydatek w pełni uzasadniony. Polscy przedsiębiorcy muszą zacząć liczyć „ROI z bezpieczeństwa” nie przez pryzmat braku ataków, ale przez pryzmat minimalizacji strat w przypadku, gdy do ataku już dojdzie. Odporność cyfrowa (cyber resilience) to słowo klucz na rok 2026.

Dział: Cyberbezpieczeństwo i Prywatność

Maciej Kowalczyk

Redaktor działu Cyberbezpieczeństwo w TechTendency.com, absolwent teleinformatyki na Politechnice Wrocławskiej. Specjalizuje się w analizie podatności zero-day, bezpieczeństwie sieciowym, kryptografii oraz ochronie prywatności cyfrowej. Doświadczenie zdobywał podczas audytów bezpieczeństwa i szkoleń z zakresu reagowania na incydenty (SOC/Blue Team). W publikacjach skupia się na anatomii zagrożeń i praktycznych metodach ochrony danych.