Przegląd cyberbezpieczeństwa listopad 2025: AI i rekordowy ransomware
Zespół Cyberlord Profil autora
Ostatni tydzień listopada 2025 roku był jednym z najbardziej intensywnych okresów w tegorocznym kalendarzu zagrożeń. Sztuczna inteligencja przestała być tematem prognoz i stała się narzędziem pracy przestępców: kampanie phishingowe przygotowane z jej pomocą rosły w tempie, którego nie widzieliśmy wcześniej, a równolegle padły kolejne rekordy w liczbie ataków ransomware.
Poniższy przegląd zbiera to, co w tym tygodniu naprawdę zmienia obraz ryzyka: liczby, incydenty i — najważniejsze — wnioski dla zespołów, które muszą podejmować decyzje bez budżetu na wszystko naraz. Dane pochodzą z raportów badaczy, komunikatów firm i publikacji ofiar; tam, gdzie zakres incydentu nie został potwierdzony, zaznaczamy to wprost.
Najważniejsze w skrócie
- Kampanie phishingowe wspierane przez generatywną AI wzrosły o 620 procent przed Czarnym Piątkiem i sezonem świątecznych zakupów.
- Globalna liczba ataków ransomware osiągnęła 4701 incydentów między styczniem a wrześniem 2025 roku, o 34 procent więcej niż rok wcześniej.
- Odsetek ofiar płacących okup spadł do 23–37 procent, podczas gdy w 2024 roku wynosił około połowy.
- Kilka dużych wycieków danych objęło łącznie ponad trzy miliony osób w samej Europie i USA.
- Urządzenia IoT ponownie stały się paliwem dla botnetów wykorzystywanych do ataków DDoS.
Phishing wspierany przez AI: skok o 620 procent
Najbardziej wymowna zmiana tego tygodnia nie dotyczy nowej podatności, a jakości komunikacji przestępców. Generatywne modele językowe usunęły z fałszywych wiadomości to, co przez lata było najlepszym sygnałem ostrzegawczym: błędy gramatyczne, dziwny szyk zdań i niepasujący ton. Wiadomość napisana przez model wygląda dziś jak tekst kolegi z działu finansowego.
Do tego doszły narzędzia głosowe. W kilku zgłoszonych przypadkach przestępcy użyli syntetyzowanych nagrań głosu kadry zarządzającej, aby autoryzować przelewy w schemacie określanym jako business email compromise. Nie jest to scenariusz science fiction — wystarczy kilkanaście sekund materiału audio z konferencji, by uzyskać przekonującą imitację.
Równolegle rosną narzędzia automatyzujące samą rozmowę z ofiarą. Badacze odnotowali wzrost dyskusji o agentach AI przeznaczonych do prowadzenia wiarygodnych, wieloetapowych rozmów z pracownikami — narzędzia te potrafią dostosowywać argumentację w trakcie kontaktu. Mechanizm i skalę tego zjawiska opisujemy szerzej w analizie phishingu napędzanego przez AI.
Osobny wątek to „shadow AI”, czyli niezatwierdzone modele i narzędzia wdrażane przez pracowników bez wiedzy działu bezpieczeństwa. Każde takie wdrożenie to dodatkowa powierzchnia ataku i dodatkowy kanał wycieku danych, którego nikt nie monitoruje.
Ransomware: rekordowa liczba ataków, mniej wypłaconych okupów
Liczby są bezlitosne: 4701 ataków w dziewięć miesięcy to wzrost o 34 procent rok do roku. W tym samym okresie spadła jednak skłonność ofiar do płacenia — z około 50 procent w 2024 roku do 23–37 procent w 2025. To jeden z niewielu wskaźników idących w dobrym kierunku i zasługa przede wszystkim lepszych kopii zapasowych oraz ćwiczonych planów reakcji.
Wśród incydentów z tego tygodnia warto wymienić trzy. Grupa Qilin przypisała sobie atak na Habib Bank AG Zurich, twierdząc, że wykradła ponad 2,5 terabajta danych finansowych — bank nie potwierdził pełnego zakresu. Japoński detalista ASKUL potwierdził atak grupy RansomHouse i współpracuje z organami ścigania. Ubezpieczyciel Allianz w Wielkiej Brytanii odnotował incydent powiązany z grupą Clop, która wykorzystała podatność w Oracle E-Business Suite.
Model biznesowy przestępców również dojrzewa. Coraz więcej grup działa w formule usługi, oferując mniej technicznym przestępcom infrastrukturę, narzędzia i wsparcie operacyjne. Konsekwencje tego modelu dla małych i średnich firm opisujemy w tekście o ransomware jako usłudze. Zmienia się też taktyka: obok szyfrowania danych rośnie liczba ataków bez szyfrowania, opartych wyłącznie na kradzieży i groźbie publikacji. Dodatkowo pojawiają się nowe grupy — ChickenKiller, Meow, KillSec, DragonForce czy Cicada3301 — z agresywnym stylem działania i wymuszaniem wielowarstwowym: szyfrowanie, groźba publikacji, a na końcu atak DDoS.
Duże wycieki danych: handel, zdrowie i finanse
Tydzień przyniósł kilka incydentów, które pokazują, jak różne bywają drogi do wycieku. W sektorze handlowym sieć Macy’s znalazła się wśród ofiar grupy Clop, która miała wykorzystać lukę w Oracle E-Business Suite do dostępu do systemów wewnętrznych, a koncern Kering (Gucci, Balenciaga, Alexander McQueen) potwierdził naruszenie obejmujące dane klientów, w tym adresy i historię zakupów.
W ochronie zdrowia skala jest jeszcze większa. Organizacja Healthcare Therapy Services poinformowała o nieautoryzowanym dostępie do sieci, w wyniku którego ujawniono dane identyfikacyjne i medyczne pacjentów. Firma Episource zgłosiła naruszenie dotyczące ponad 351 tysięcy osób, a Doctor Alliance — około 1,2 miliona. Szwedzki dostawca systemów IT, Miljödata, potwierdził jedno z największych naruszeń w Europie w tym roku, obejmujące do 1,5 miliona osób i dane takie jak numery dokumentów oraz daty urodzenia.
Ciekawe jest też to, co łączy te przypadki. Większość nie zaczęła się od egzotycznego exploita zero-day, a od skradzionych danych logowania, niezałatanej znanej podatności albo dostępu przez system zewnętrznego dostawcy. Japoński wydawca Nikkei potwierdził na przykład, że przestępcy dostali się do firmowej platformy komunikacyjnej Slack po przejęciu danych logowania pracownika. To wzorzec, który warto zestawić z materiałem o bezpieczeństwie socjotechnicznym — kradzież tożsamości pracownika jest dziś tańsza i szybsza niż szukanie luki w aplikacji.
Szpiegostwo sponsorowane przez państwa
Działania państwowe w tym tygodniu koncentrowały się na tożsamości, nie na złośliwym oprogramowaniu. Grupy powiązane z Chinami, w tym Silk Typhoon, miały wykorzystywać techniki adversary-in-the-middle: ofiara loguje się do prawdziwego serwisu, ale przez serwer pośredniczący, który przechwytuje token sesji i pozwala obejść nawet MFA. Jedna z takich kampanii została przypisana atakowi na Hyundai AutoEver America.
Grupy powiązane z Rosją rozszerzyły operacje przeciwko Ukrainie i państwom UE, celując w energetykę, logistykę i technologie. Widoczna zmiana polega na przejściu od klasycznego spear-phishingu do przejmowania kont i uprawnień. Równolegle rośnie użycie komercyjnego oprogramowania szpiegującego przeciw użytkownikom komunikatorów mobilnych, ze szczególnym naciskiem na osoby pełniące funkcje publiczne.
Wniosek dla organizacji jest jeden: jeśli MFA opiera się wyłącznie na kodzie wpisywanym na tej samej stronie, warto rozważyć klucze sprzętowe i uwierzytelnianie odporniejsze na przechwycenie sesji.
IoT: urządzenia, o których nikt nie pamięta
Dwa botnety oparte na kodzie Mirai wróciły do gry. ShadowV2 infekuje urządzenia IoT w wielu branżach i na kilku kontynentach, werbując je do ataków DDoS, a RondoDox wykorzystuje znane podatności w urządzeniach podłączonych do internetu. Problem nie polega na wyrafinowaniu tych kampanii, a na tym, że tysiące organizacji nadal nie wie, ile takich urządzeń ma w swojej sieci.
Kamery, drukarki, sterowniki klimatyzacji, czujniki produkcyjne — każde z nich to pełnoprawny komputer z domyślnym hasłem i oprogramowaniem, którego nikt nie aktualizuje. Najskuteczniejszym remedium pozostaje inwentaryzacja: jeśli nie potrafisz wymienić wszystkich urządzeń podłączonych do twojej sieci, nie możesz ich chronić.
Tydzień w liczbach
| Wskaźnik | Wartość |
|---|---|
| Wzrost kampanii phishingowych z AI przed Czarnym Piątkiem | 620% |
| Ataki ransomware na świecie (styczeń–wrzesień 2025) | 4701 |
| Wzrost liczby ataków ransomware rok do roku | 34% |
| Wzrost wzmianek o agentach AI do socjotechniki | 477% |
| Wykryte ataki phishingowe w pierwszych 10 miesiącach 2025 | 6,4 mln |
| Straty z tytułu przejęć kont według FBI | 262 mln USD |
| Osoby dotknięte naruszeniem w Miljödata | 1,5 mln |
| Odsetek ofiar płacących okup | 23–37% |
Co powinna zrobić Twoja organizacja
Priorytet pierwszy: weryfikacja żądań finansowych poza kanałem, w którym przyszły. Jeśli przelew „od zarządu” przychodzi mailem, potwierdź go telefonem pod znany numer, nie pod numer z wiadomości. To jedna procedura, która neutralizuje dużą część ataków z użyciem deepfake i przejętych kont.
Priorytet drugi: MFA wszędzie tam, gdzie dane są wrażliwe, najlepiej w formie odpornej na przechwycenie sesji. Priorytet trzeci: aktualizacje. Podatność w Oracle E-Business Suite pokazuje, że łatka z opóźnieniem to nie „dług techniczny”, a otwarte drzwi.
Do tego dochodzi higiena operacyjna: zasada 3-2-1 dla kopii zapasowych, test odtworzenia z kopii co najmniej raz na kwartał, segmentacja sieci ograniczająca ruch boczny, EDR na endpointach oraz plan reakcji, który został przećwiczony przy stole, a nie tylko zapisany w pliku. Warto też objąć monitoringiem niezatwierdzone narzędzia AI i przejrzeć uprawnienia w platformach współpracy — takich jak Slack czy Teams — bo to właśnie tam przestępcy najczęściej znajdują dane logowania i historię rozmów.
Jeśli nie masz pewności, gdzie zacząć, zamów ocenę podatności i testy penetracyjne w ustalonym, pisemnym zakresie. Skontaktuj się z Cyberlord, aby omówić priorytety na najbliższy kwartał — bez zobowiązań i bez obietnic, że „wszystko będzie bezpieczne”.
Najczęściej zadawane pytania
Czy wzrost phishingu z AI oznacza, że szkolenia pracowników są już bezużyteczne?
Nie, ale zmieniają zakres. Nauka rozpoznawania literówek i złej gramatyki jest dziś niewiele warta. Skuteczniejsze są procedury: weryfikacja poza kanałem, zasada ograniczonego zaufania do pilnych próśb i zgłaszanie podejrzanych wiadomości jednym kliknięciem.
Dlaczego ofiary rzadziej płacą okup, a ataków jest więcej?
Bo kalkulacja przestępców też się zmieniła. Wielu graczy przeszło na model kradzieży danych z groźbą publikacji, który jest tańszy i szybszy niż szyfrowanie całej infrastruktury. Jednocześnie organizacje z przetestowanymi kopiami zapasowymi odzyskują dane bez negocjacji, co obniża skuteczność wymuszenia.
Co zrobić, jeśli dane logowania pracownika wyciekły w naruszeniu u dostawcy?
Natychmiast zresetuj hasło, unieważnij wszystkie aktywne sesje i tokeny odświeżania, sprawdź reguły przekazywania w skrzynce oraz historię logowań. Jeśli konto miało dostęp do systemów krytycznych, potraktuj to jak incydent i uruchom procedurę reakcji, a nie tylko zmianę hasła.