W październikowy poranek pracownicy francuskich supermarketów odkryli, że znajdujące się w sklepach urządzenia chłodnicze przestały prawidłowo działać. Nie chodziło jednak o zwykłą awarię techniczną. Ktoś zdalnie ingerował w systemy sterowania, uruchamiając niewłaściwe tryby pracy instalacji. W części sklepów temperatury osiągnęły nawet 50 stopni Celsjusza. Produkty spożywcze nadawały się do wyrzucenia, pojawiły się doniesienia o pożarach urządzeń, a sieci handlowe zaczęły liczyć straty.

Ataki, które rozpoczęły się w nocy z 11 na 12 października 2026 roku, dotknęły między innymi sklepy Intermarché, Carrefour, Monoprix i Coopérative U. Według informacji przedstawianych przez francuskie władze problemy zgłoszono w około 700 placówkach, choć nie oznacza to, że we wszystkich wystąpiły identyczne szkody. Początkowe szacunki były niższe, a ostateczna skala strat pozostaje przedmiotem ustaleń.

Atakujący nie musieli przełamywać zabezpieczeń central bankowych ani zdobywać dostępu do szczególnie chronionych rządowych serwerów. Wykorzystali słabości systemów odpowiedzialnych za sterowanie komercyjnymi instalacjami chłodniczymi. Wśród urządzeń wskazywanych przez ekspertów znalazły się sterowniki Danfoss, używane do zarządzania temperaturą i pracą urządzeń w handlu spożywczym.

Prawdopodobnym czynnikiem ułatwiającym atak były przestarzałe wersje oprogramowania i niewłaściwie zabezpieczony dostęp zdalny. Nie wszystkie szczegóły techniczne zostały jednak publicznie rozstrzygnięte. Nie ustalono również sprawców ani ich motywacji. Nie ma podstaw do twierdzenia, że operację przeprowadziły rosyjskie służby, choć sam sposób działania dobrze ilustruje zagrożenia, które mogą być wykorzystywane również do celów państwowego sabotażu.

Cała historia brzmi trochę absurdalnie. Hakerzy atakują lodówki. Jeszcze niedawno taki nagłówek mógłby być żartem o przesadnym podłączaniu wszystkiego do internetu. Dziś jest opisem rzeczywistego problemu gospodarczego.

I właśnie ten problem powinien zainteresować Polskę.

Przyszły sabotaż infrastruktury cywilnej nie musi polegać na wysadzeniu mostu, zniszczeniu elektrowni czy sparaliżowaniu banków. Może polegać na zakłóceniu działania tysięcy zwyczajnych urządzeń, od których zależy funkcjonowanie handlu, przemysłu i usług publicznych.

Przemysłowa automatyka w supermarkecie

Żeby zrozumieć znaczenie francuskich wydarzeń, trzeba najpierw przyjrzeć się temu, czym stał się współczesny supermarket.

Z perspektywy klienta jest sklepem z żywnością i produktami codziennego użytku. Z perspektywy technicznej przypomina jednak częściowo zautomatyzowany zakład przemysłowy. Znajdują się w nim systemy chłodzenia, wentylacji, klimatyzacji, zarządzania energią, instalacje przeciwpożarowe, urządzenia kontroli dostępu i rozbudowana infrastruktura teleinformatyczna.

Część tych systemów działa autonomicznie. Inne komunikują się z centralnym oprogramowaniem albo zewnętrznym dostawcą obsługującym urządzenia w wielu lokalizacjach.

Ma to oczywiste uzasadnienie ekonomiczne. Sieć handlowa posiadająca setki sklepów nie chce wysyłać serwisanta do każdej placówki tylko po to, żeby sprawdził parametry pracy agregatu. Zdalny monitoring pozwala ograniczać koszty, optymalizować zużycie energii i szybciej reagować na awarie.

Podobne rozwiązania są powszechne w magazynach żywności, zakładach przetwórczych, centrach logistycznych i przedsiębiorstwach farmaceutycznych.

Problem pojawia się wówczas, gdy wygoda zdalnego dostępu nie idzie w parze z odpowiednim zabezpieczeniem urządzeń.

Przemysłowe systemy sterowania projektowano przez wiele lat z myślą przede wszystkim o niezawodności procesu fizycznego. Ich producenci zakładali niekiedy, że będą funkcjonowały w sieciach odizolowanych od publicznego internetu albo dostępnych wyłącznie dla zaufanego personelu. Wraz z rozwojem usług zdalnych część tych urządzeń została jednak podłączona do znacznie bardziej otwartego środowiska.

W efekcie sterownik pracujący bezawaryjnie przez kilkanaście lat może stać się poważnym problemem bezpieczeństwa. Jego oprogramowanie nie jest aktualizowane, producent zakończył wsparcie techniczne, a przedsiębiorstwo nie posiada pełnej wiedzy o konfiguracji dostępu.

W przypadku francuskich sklepów konsekwencje były natychmiastowe i fizyczne. Nie trzeba było kraść pieniędzy, szyfrować baz danych ani wykradać informacji o klientach. Wystarczyło zakłócić parametry pracy instalacji chłodniczej.

Oczywiście nie każdy incydent kończy się tak spektakularnie. Nowoczesne urządzenia posiadają zabezpieczenia sprzętowe i procedury awaryjne. Jednak sam przypadek pokazuje, że cyberatak może wyrządzić szkody materialne nawet wtedy, gdy centralne systemy informatyczne przedsiębiorstwa nadal funkcjonują.

Atak, który nie potrzebuje okupu

W cyberprzestępczości przyzwyczailiśmy się do określonego modelu działania. Napastnik przejmuje dostęp do systemu, szyfruje dane i żąda pieniędzy za ich odblokowanie. Alternatywnie kradnie informacje, aby je sprzedać lub wykorzystać do szantażu.

Tymczasem ataki na automatykę przemysłową mogą mieć zupełnie inną logikę.

Celem może być zakłócenie procesu produkcyjnego, uszkodzenie sprzętu, zmarnowanie surowców lub wywołanie przestoju. W przypadku instalacji chłodniczych rezultatem jest utrata wartości produktów wymagających zachowania określonej temperatury. W wodociągach może to być ograniczenie dostaw. W energetyce utrata sterowalności instalacji lub zakłócenie komunikacji z operatorem sieci.

Sprawca nie musi uzyskiwać bezpośrednich korzyści finansowych. Może działać z pobudek politycznych, ideologicznych, dla rozgłosu albo w ramach operacji przygotowującej szerszy sabotaż.

Nie oznacza to, że brak żądania okupu automatycznie wskazuje na operację wywiadowczą. Motywację można ustalić dopiero na podstawie odpowiednich dowodów. Samo zjawisko zasługuje jednak na uwagę: fizyczny efekt cyberataku coraz częściej może stanowić jego główny cel.

Z punktu widzenia bezpieczeństwa państwa konsekwencje są poważne. Tradycyjna ochrona infrastruktury krytycznej koncentruje się na obiektach, których zniszczenie lub wyłączenie grozi dużymi stratami. Elektrownie, rafinerie, wodociągi, sieci przesyłowe i ważne węzły komunikacyjne są naturalnymi priorytetami.

Współczesna gospodarka jest jednak znacznie bardziej rozproszona.

Tysiąc niewielkich instalacji może mieć większe znaczenie dla codziennego życia niż jeden spektakularny obiekt. Co więcej, część z nich pozostaje poza systemem szczególnego nadzoru państwa, ponieważ pojedynczo nie spełniają kryteriów strategicznej infrastruktury.

To właśnie tutaj może rozwijać się nowy obszar zagrożeń.

Polska już miała podobne doświadczenia

Francuskie wydarzenia można potraktować jako ostrzeżenie przed przyszłością. Polska ma jednak własne przypadki pokazujące, że zagrożenie nie jest hipotetyczne.

W latach 2024–2025 pojawiały się doniesienia o cyberatakach na polskie stacje uzdatniania wody i oczyszczalnie ścieków. Wśród wskazywanych lokalizacji znalazły się między innymi Jabłonna Lacka, Tolkmicko, Małdyty, Sierakowo i Szczytno.

Napastnicy uzyskiwali dostęp do systemów sterowania i podejmowali próby manipulowania parametrami pracy urządzeń. W części przypadków publikowali materiały przedstawiające przejęte interfejsy operatorskie, co miało również znaczenie propagandowe.

Szczególnie niepokojący jest przypadek opisany przez CERT Polska, w którym zmiana ustawień pomp doprowadziła do wyczerpania zapasów wody w zbiorniku. Około 2,5 tysiąca mieszkańców przez mniej więcej sześć godzin pozostawało bez dostaw.

Nie doszło do katastrofy ani do udokumentowanego masowego skażenia wody. To ważne rozróżnienie. Jednak sam fakt, że ktoś mógł zdalnie ingerować w proces zaopatrywania mieszkańców w wodę pitną, pokazuje skalę problemu.

Tym bardziej że wiele podobnych instalacji działa na poziomie małych gmin i lokalnych przedsiębiorstw komunalnych. Dysponują one nieporównywalnie mniejszymi budżetami i zasobami kadrowymi niż duże koncerny energetyczne.

Zdalny dostęp do urządzeń często obsługuje zewnętrzna firma serwisowa. Część instalacji wykorzystuje starsze sterowniki i systemy komunikacji. W praktyce jeden słabo zabezpieczony element może otworzyć drogę do ingerencji w cały proces technologiczny.

Skalę zaniedbań ilustrują ustalenia CERT Polska dotyczące zdalnie dostępnych serwerów VNC. Podczas badania 7806 takich usług dostępnych z Polski wykryto 299 słabo zabezpieczonych przy użyciu zaledwie kilku typowych haseł.

To nie jest problem wymagający przełomowych zdolności wywiadowczych. Często wystarczą błędy administracyjne, stare oprogramowanie i brak odpowiedniej kontroli zdalnego dostępu.

W tym kontekście szczególnie niepokojąco brzmią informacje o aktywności prorosyjskich grup publikujących nagrania z przejętych paneli systemów przemysłowych. Nie każda taka grupa jest bezpośrednio kierowana przez rosyjskie służby, a poszczególne incydenty wymagają odrębnej atrybucji. Z punktu widzenia efektu znaczenie ma jednak również to, że nawet relatywnie proste operacje mogą wywoływać realne zakłócenia usług komunalnych.

Od wodociągu do elektrociepłowni

Jeszcze poważniejszy przykład przyniósł koniec 2025 roku.

29 grudnia doszło do skoordynowanych cyberataków na polski sektor energetyczny. Według raportu CERT Polska celem były co najmniej 30 farm wiatrowych i fotowoltaicznych, duża elektrociepłownia oraz przedsiębiorstwo produkcyjne.

Moment nie był obojętny. Polska zmagała się z niskimi temperaturami i trudnymi warunkami pogodowymi. Uderzenie w energetykę w takim okresie może mieć znacznie poważniejsze konsekwencje niż podobna operacja przeprowadzona w czasie mniejszego zapotrzebowania na energię i ciepło.

W przypadku odnawialnych źródeł energii napastnikom udało się zakłócić działanie urządzeń komunikacyjnych i automatyki wykorzystywanej do nadzoru nad instalacjami. Utracono część możliwości zdalnego monitorowania i sterowania, ale nie doszło do przerwania bieżącej produkcji energii elektrycznej.

W dużej elektrociepłowni celem było destrukcyjne uszkodzenie danych za pomocą złośliwego oprogramowania. Mechanizmy ochronne zablokowały jego uruchomienie, dzięki czemu atak nie spowodował zakładanych przez napastników przerw w dostawach ciepła.

Najciekawsze informacje pojawiły się jednak kilka miesięcy później.

W sierpniu 2026 roku CERT Polska opublikował raport uzupełniający, opisujący drugi incydent w elektrociepłowni obsługującej około 50 tysięcy mieszkańców. Tym razem atak doprowadził do zatrzymania turbiny parowej i systemu uzdatniania wody technologicznej, a w konsekwencji do czasowego przerwania procesu kogeneracji. Szybka reakcja operatorów zapobiegła zakłóceniom dostaw ciepła dla mieszkańców.

Kluczowym ustaleniem był sposób uzyskania dostępu.

Napastnicy wykorzystali niewłaściwie skonfigurowaną prywatną sieć APN, służącą do komunikacji urządzeń przemysłowych. Rozwiązania tego rodzaju są stosowane między innymi w energetyce, ponieważ pozwalają zestawiać połączenia między odległymi obiektami bez konieczności budowania własnej fizycznej infrastruktury transmisyjnej.

Sieć prywatna bywa postrzegana jako naturalnie bezpieczniejsza od publicznego internetu. W rzeczywistości jej odporność zależy od architektury, konfiguracji i zasad kontrolowania komunikacji.

CERT Polska wskazał, że sposób skonfigurowania sieci umożliwiał komunikację pomiędzy urządzeniami w zakresie, który nie powinien być dopuszczony. Był to pierwszy znany zespołowi rzeczywisty przypadek wykorzystania takiego wektora ataku.

Ta historia dobrze pokazuje kierunek zmian. Zagrożenie nie ogranicza się już do klasycznego włamania na komputer administratora. Może dotyczyć infrastruktury telekomunikacyjnej, urządzeń automatyki, zdalnych interfejsów i zależności między systemami, które były projektowane w innych czasach i według innych założeń.

CERT Polska wiązał grudniową kampanię z aktywnością klastra określanego między innymi jako Static Tundra lub Berserk Bear, znanego z zainteresowania energetyką. Tego rodzaju ustalenia wzmacniają ocenę, że mamy do czynienia nie tylko z przypadkowymi przestępstwami, ale również z realnym zagrożeniem sabotażowym.

Tysiące urządzeń, których nie traktujemy poważnie

Współczesna gospodarka jest w coraz większym stopniu zarządzana przez niewielkie komputery, sterowniki i urządzenia komunikacyjne. Wiele z nich pozostaje praktycznie niewidocznych dla zwykłego użytkownika.

Falowniki instalacji fotowoltaicznych, systemy zarządzania magazynami energii, sterowniki ogrzewania, pompy wodociągowe, urządzenia chłodnicze, automatyka kolejowa, systemy kontroli dostępu i kamery przemysłowe wykonują zadania, od których zależy funkcjonowanie całych organizacji.

Część z tych urządzeń należy do kategorii Internetu Rzeczy, czyli IoT. Inne zaliczają się do przemysłowych systemów sterowania, określanych jako OT lub ICS. Pod względem technicznym są to różne środowiska, ale coraz częściej łączy je możliwość komunikacji przez sieć i zdalnego zarządzania.

Z perspektywy przedsiębiorcy ma to same racjonalne uzasadnienia. Zdalna obsługa jest tańsza. Centralizacja pozwala lepiej zarządzać energią. Automatyzacja ogranicza koszty pracy. Dostęp do danych z urządzeń umożliwia przewidywanie awarii i prowadzenie serwisu zanim dojdzie do przestoju.

Jednocześnie powstaje nowa infrastruktura zależności.

Dobrym przykładem są falowniki fotowoltaiczne. Instalacja może być własnością polskiego przedsiębiorstwa, ale korzystać z zagranicznego oprogramowania i usług zdalnego zarządzania. W przypadku wielu urządzeń istotną rolę odgrywa możliwość aktualizacji firmware, zmiany nastaw i nadzorowania pracy za pośrednictwem platform producenta.

Nie oznacza to automatycznie, że zagraniczny dostawca prowadzi działalność szpiegowską lub przygotowuje sabotaż. Jest to jednak zależność technologiczna, którą należy rozumieć i kontrolować.

W 2025 roku Reuters informował o odkryciu nieudokumentowanych modułów komunikacyjnych w części urządzeń energetycznych pochodzących z Chin. Szczegółowa skala zjawiska i jego znaczenie pozostawały niejasne, ale sprawa wywołała debatę dotyczącą bezpieczeństwa infrastruktury OZE.

Dla Polski to szczególnie ważne. Wraz ze wzrostem liczby instalacji fotowoltaicznych, farm wiatrowych i magazynów energii zwiększa się liczba urządzeń wymagających zdalnego zarządzania. Rozproszona energetyka staje się potencjalnie bardziej elastyczna, ale jednocześnie tworzy ogromną liczbę nowych punktów, które muszą być odpowiednio chronione.

Warto przy tym pamiętać, że zdalne zakłócenie części instalacji nie oznacza automatycznie możliwości wywołania ogólnokrajowego blackoutu. System elektroenergetyczny posiada wiele mechanizmów stabilizacyjnych i zabezpieczających. Realna ocena zagrożenia wymaga analizy skali, jednoczesności i charakteru ingerencji.

Nie zmienia to faktu, że koncentracja zdalnego sterowania w rękach kilku dostawców oprogramowania może tworzyć istotne ryzyko systemowe.

Sabotaż bez spektakularnego celu

Przez lata wyobrażaliśmy sobie wojnę infrastrukturalną jako serię uderzeń w najważniejsze obiekty państwa. Mosty, elektrownie, rafinerie i węzły kolejowe były naturalnymi celami działań militarnych.

Współczesna automatyzacja pozwala rozważać inny scenariusz: zamiast atakować jeden wielki obiekt, przeciwnik zakłóca działanie wielu mniejszych.

Nie musi to oznaczać spektakularnej katastrofy. Kilkudniowe zakłócenia w dystrybucji żywności, problemy z dostawami wody w wybranych gminach, awarie automatyki magazynowej, ograniczenie pracy zakładów przemysłowych lub zakłócenia działania usług miejskich mogą wywoływać poważne koszty.

Każda taka awaria wymaga reakcji personelu, napraw, ponownego uruchomienia procesu i często dodatkowych kontroli. W przypadku produktów spożywczych oznacza utylizację towaru. W przedsiębiorstwach przemysłowych może prowadzić do utraty partii produkcyjnej. W usługach publicznych powoduje niezadowolenie mieszkańców i presję na lokalne władze.

Przy dużej skali pojawia się efekt kumulacji. Problemem staje się nie tylko koszt pojedynczego incydentu, ale również zdolność państwa i gospodarki do jednoczesnego reagowania na wiele zakłóceń.

Co więcej, rozproszony sabotaż może być trudny do szybkiego rozpoznania. Pojedyncza awaria chłodni wygląda początkowo jak problem serwisowy. Zakłócenie pracy pompy może przypominać usterkę techniczną. Dopiero analiza wielu incydentów może wykazać wspólne cechy i ewentualną koordynację.

Nie oznacza to, że takie działania są łatwe do przeprowadzenia na dużą skalę. Różnice pomiędzy systemami, niezależne zabezpieczenia sprzętowe, odmienna konfiguracja urządzeń i fizyczne ograniczenia procesów mogą skutecznie utrudniać atakującemu osiągnięcie zamierzonego efektu.

Jednak możliwość zakłócania procesów gospodarczych za pomocą infrastruktury cyfrowej staje się realnym elementem współczesnego konfliktu.

Z perspektywy rosyjskiej strategii oddziaływania na państwa europejskie taki kierunek potencjalnych działań zasługuje na uwagę. Sabotaż nie musi natychmiast prowadzić do przerwania funkcjonowania państwa. Może zwiększać koszty działalności przedsiębiorstw, obciążać administrację i utrzymywać społeczeństwo w poczuciu niepewności.

Nie należy oczywiście przedstawiać wszystkich znanych incydentów jako części jednego rosyjskiego planu. Dowodów takiej koordynacji nie ma. Można jednak wskazać, że technologie wykorzystywane w przestępstwach i działaniach propagandowych mają również potencjalną wartość w operacjach państwowych.

Kto odpowiada za bezpieczeństwo zwykłej infrastruktury?

Najważniejszy problem dla Polski nie jest wyłącznie technologiczny. Jest organizacyjny.

Za bezpieczeństwo dużej elektrowni odpowiada przedsiębiorstwo posiadające rozbudowane procedury, personel techniczny i określone obowiązki regulacyjne. Za bezpieczeństwo niewielkiej stacji uzdatniania wody odpowiada często lokalna organizacja, która musi jednocześnie utrzymywać infrastrukturę, obsługiwać mieszkańców i ograniczać koszty.

Podobnie wygląda sytuacja w handlu, rolnictwie i wielu przedsiębiorstwach przemysłowych.

Właściciel instalacji chłodniczej może zakładać, że za jej cyberbezpieczeństwo odpowiada producent sterownika. Producent może uważać, że odpowiada wyłącznie za urządzenie i aktualizacje. Firma serwisowa dba o ciągłość pracy, lecz nie zawsze posiada kompetencje z zakresu bezpieczeństwa teleinformatycznego. Dział IT przedsiębiorstwa może natomiast w ogóle nie obejmować swoim nadzorem automatyki przemysłowej.

W efekcie powstaje klasyczny problem rozproszonej odpowiedzialności.

Regulacje takie jak NIS2, krajowe przepisy dotyczące cyberbezpieczeństwa czy europejski Cyber Resilience Act mają stopniowo zmieniać ten stan rzeczy. Wymuszają większą odpowiedzialność organizacji i producentów za bezpieczeństwo systemów oraz zarządzanie podatnościami.

Nie rozwiążą jednak problemu automatycznie. W Polsce funkcjonują tysiące starszych instalacji, których modernizacja będzie kosztowna i organizacyjnie trudna.

Dlatego potrzebne jest podejście oparte na rzeczywistym ryzyku. Pierwszym zadaniem powinno być ustalenie, jakie urządzenia są połączone z siecią, kto posiada do nich zdalny dostęp oraz jakie procesy mogą zostać zakłócone w przypadku ich przejęcia.

Konieczne jest również ograniczanie bezpośredniej dostępności sterowników przemysłowych z internetu, stosowanie silnego uwierzytelniania, segmentowanie sieci i kontrolowanie połączeń serwisowych.

Równie ważne są zabezpieczenia fizyczne. Proces technologiczny nie powinien być całkowicie uzależniony od poprawnego działania oprogramowania. W określonych instalacjach konieczne są niezależne ograniczniki, możliwość lokalnego sterowania i procedury bezpiecznego zatrzymania urządzeń.

To zagadnienie szczególnie istotne dla sektora spożywczego, wodociągów, ciepłownictwa i rozproszonej energetyki. Tam skutki cyberataku mogą bezpośrednio przełożyć się na bezpieczeństwo ludzi oraz ciągłość podstawowych usług.

Polska potrzebuje także większej świadomości zagrożeń wśród zarządów przedsiębiorstw. Cyberbezpieczeństwo automatyki przemysłowej nie jest już wyłącznie sprawą informatyków. Dotyczy odpowiedzialności za ciągłość produkcji, bezpieczeństwo majątku i zdolność organizacji do przetrwania zakłóceń.

Gospodarka, którą można wyłączyć zdalnie

Francuskie chłodziarki są interesującym przypadkiem nie dlatego, że hakerom udało się podnieść temperaturę w sklepowych urządzeniach. Są interesujące dlatego, że pokazują, jak bardzo zwykłe procesy gospodarcze uzależniły się od infrastruktury cyfrowej.

Podobny mechanizm obserwowaliśmy w polskich wodociągach, a w znacznie poważniejszej postaci także w energetyce. W każdym przypadku komputerowy dostęp do urządzenia mógł przełożyć się na fizyczne funkcjonowanie instalacji.

To zmienia sposób myślenia o bezpieczeństwie państwa.

Nie wystarczy chronić central administracyjnych, dużych elektrowni i strategicznych baz danych. Trzeba rozumieć również bezpieczeństwo rozproszonej infrastruktury, która na co dzień nie przyciąga uwagi służb ani polityków, ale bez której życie gospodarcze szybko zaczyna się komplikować.

Polska znajduje się w szczególnym położeniu. Jest państwem frontowym NATO, ważnym zapleczem logistycznym wsparcia Ukrainy, a jednocześnie gospodarką szybko zwiększającą poziom automatyzacji. Rosnąca liczba urządzeń podłączanych do sieci poprawia efektywność, ale tworzy nowe zależności, które przeciwnik może próbować wykorzystać.

Nie chodzi o rezygnację z nowoczesnych technologii ani o odłączanie gospodarki od internetu. Byłoby to nieracjonalne i w wielu przypadkach niemożliwe. Chodzi o projektowanie odporności równolegle z cyfryzacją, a nie dopiero wtedy, gdy dojdzie do pierwszego poważnego incydentu.

Być może największym wyzwaniem następnych lat nie będzie ochrona pojedynczej, wielkiej infrastruktury przed spektakularnym atakiem. Będzie nim zapewnienie, aby tysiące małych, pozornie nieistotnych urządzeń nie stały się wspólnym punktem słabości całej gospodarki.

Bo współczesnego państwa nie trzeba całkowicie wyłączyć, żeby poważnie zakłócić jego funkcjonowanie. Czasami wystarczy, że przestaną działać urządzenia, o których istnieniu większość obywateli nigdy nawet nie myślała.