- Polska zajęła pierwsze miejsce na świecie pod względem liczby detekcji wykryć downloaderów, które pobierają kolejne zagrożenia, oraz CloudEye, służącego do ukrywania złośliwego oprogramowania
- Nasz kraj znalazł się także na drugim miejscu w statystykach zagrożeń rozsyłanych za pomocą e-mail i wśród celów zagrożeń webowych.
- ESET przeanalizował niemal 900 tys. dodatków i zestawów instrukcji dla agentów AI. Ponad 25 tys. uznano za podejrzane, a przeszło 3 tys. za złośliwe.
Polska w pierwszej połowie roku znalazła się w światowej czołówce państw pod względem liczby detekcji wielu rodzajów cyberzagrożeń rejestrowanych przez systemy ESET. Zajęła pierwsze miejsce liczby wykrytych downloaderów, czyli złośliwych programów służących do pobierania na urządzenie kolejnych zagrożeń oraz detekcji CloudEye – narzędzia wykorzystywanego przez cyberprzestępców do ukrywania i dostarczania szkodliwego oprogramowania, drugie miejsce w statystykach zagrożeń e-mailowych oraz wśród celów zagrożeń webowych, a także trzecie miejsce w przypadku ransomware i ataków na usługi zdalnego pulpitu. Jednocześnie najnowszy „ESET Threat Report H1 2026” pokazuje, że cyberprzestępcy coraz częściej zwiększają skuteczność znanych metod, dostosowując je do nowych platform, usług chmurowych oraz rosnącego zaufania użytkowników do sztucznej inteligencji.
Raport obejmuje okres od grudnia 2025 do maja 2026 roku. Jednym z jego najważniejszych wniosków jest rosnąca rola AI zarówno po stronie użytkowników i firm, jak i atakujących. ESET przeanalizował niemal 900 tys. tzw. AI skills, czyli niewielkich dodatków lub zestawów instrukcji określających, jakie zadania agent AI może wykonać, z jakich narzędzi powinien korzystać i do jakich danych może uzyskać dostęp. Ponad 25 tys. z nich uznano za podejrzane, a przeszło 3 tys. za jednoznacznie złośliwe.
Polska na celowniku. Jesteśmy w ścisłej światowej czołówce
Z danych telemetrycznych ESET wynika, że *Polska zajęła:
- Pierwsze miejsce pod względem liczby detekcji downloaderów, przed Turcją i Włochami,
- Pierwsze miejsce w przypadku zagrożenia CloudEye, przed Turcją i Hiszpanią,
- Drugie miejsce w kategorii zagrożeń e-mailowych, za Japonią,
- Drugie miejsce pod względem liczby celów zagrożeń webowych, za Japonią,
- Trzecie miejsce w przypadku ransomware, za Turcją i Stanami Zjednoczonymi,
- Trzecie miejsce wśród celów ataków na usługi RDP, za Hiszpanią i Stanami Zjednoczonymi,
- Czwarte miejsce w kategorii infostealerów, za Turcją, Japonią i Hiszpanią.
Wysoka pozycja Polski nie dotyczy więc jednego rodzaju incydentów, lecz szerokiego przekroju zagrożeń – od ataków rozpoczynających się w poczcie elektronicznej i na stronach internetowych po kradzież informacji, ransomware oraz próby wykorzystania usług zdalnego dostępu.
Szczególne znaczenie ma pierwsze miejsce w kategorii downloaderów. Są to programy, których zadaniem jest pobranie na urządzenie kolejnych elementów ataku, np. narzędzi wykradających dane, ransomware lub oprogramowania umożliwiającego przejęcie kontroli nad systemem. Ich wykrycie może więc oznaczać początek bardziej rozbudowanego łańcucha infekcji.
W przypadku ransomware to kolejne półrocze, w którym Polska znajduje się wśród trzech najczęściej atakowanych państw na świecie. Złośliwe oprogramowanie szyfrujące dane i wymuszające okup za ich odblokowanie, od lat należy do najgroźniejszych zagrożeń w cyberprzestrzeni. Wysoka pozycja Polski w rankingach wykryć ransomware nie jest wyłącznie efektem zagrożeń zewnętrznych – w dużej mierze również kwestia wewnętrznych słabości rodzimych przedsiębiorstw. Z raportu „Cyberportret polskiego biznesu 2026” ESET i DAGMA Bezpieczeństwo IT wynika, że jedynie 17% pracowników wie czym jest ransomware, a połowa pracujących z komputerem Polaków nie miała żadnego szkolenia z cyberbezpieczeństwa od 5 lat.
– Brak inwestycji w cyberbezpieczeństwo można realnie wyliczyć i wystarczy do tego oszacowanie kosztu udanego ataku. Dlatego budowanie strategii ochrony powinno zaczynać się od analizy ryzyka: jakie ataki są najbardziej prawdopodobne i ile firma straci, jeśli do nich dojdzie. Prosta kalkulacja prawdopodobieństwa wystąpienia danego zagrożenia, powiązana z szacunkowymi kosztami jego skutków, dostarcza twardych argumentów w rozmowach o budżecie znacznie skuteczniej niż odwoływanie się do regulacji czy ogólnych statystyk. Znając skalę ryzyka, organizacja może racjonalnie ustalać priorytety, ponieważ nie da się zabezpieczyć wszystkiego jednocześnie. Kluczowe jest zidentyfikowanie najcenniejszych zasobów i od nich rozpoczynanie inwestycji – tłumaczy Dawid Zięcina z DAGMA Bezpieczeństwo IT.
Sztuczna inteligencja otwiera nowe możliwości także przed cyberprzestępcami
Wśród analizowanych dodatków dla agentów AI znalazły się m.in. komponenty wykorzystujące narzędzia ofensywne, takie jak Mimikatz czy Impacket, a także samomodyfikujące się skrypty, których zachowanie może zmieniać się już po instalacji. Badacze wskazują również na pozornie bezpieczne dodatki reklamowane jako skanery zabezpieczeń. W praktyce niektóre z nich stosują jedynie bardzo podstawowe metody analizy, tworząc u użytkownika fałszywe poczucie ochrony.
AI pojawia się także bezpośrednio w złośliwym oprogramowaniu. ESET zidentyfikował PromptSpy – pierwsze znane zagrożenie na Androida, które aktywnie wykorzystuje generatywną sztuczną inteligencję podczas działania. Malware korzysta z modelu Gemini do interpretowania elementów interfejsu i dostosowywania swoich działań do różnych urządzeń i środowisk. Przypadki tego rodzaju są na razie rzadkie, ale pokazują, w jaki sposób AI może zwiększać elastyczność przyszłych zagrożeń.
– Zamiast polegać na całkowicie nowych metodach i narzędziach, atakujący szybko dostosowują sprawdzone techniki do nowych platform, technologii i zachowań użytkowników. Liczba dodatków dla agentów AI rośnie bardzo szybko, zwiększając jednocześnie powierzchnię potencjalnego ataku – dodaje Kamil Sadkowski.
Fałszywe komunikaty, prawdziwe ataki. Socjotechnika w nowej odsłonie
W pierwszej połowie 2026 roku rozwijała się także technika ClickFix. Atakujący wyświetlają użytkownikowi fałszywy komunikat o błędzie lub problemie technicznym, a następnie podają rzekomo prostą instrukcję naprawy. W rzeczywistości ofiara zostaje nakłoniona do samodzielnego uruchomienia złośliwego polecenia.
Liczba detekcji ClickFix wzrosła o 108 proc. między drugą połową 2025 roku a pierwszą połową 2026 roku. Nowe warianty wykorzystują m.in. strony z instrukcjami przedstawianymi jako treści wygenerowane przez AI, rozszerzenia przeglądarek oraz procesy logowania do usług chmurowych. W wariancie ConsentFix przestępcy próbują przejąć token autoryzacyjny, co w określonych scenariuszach może umożliwić dostęp do konta bez ponownego wpisywania hasła i bez wywołania dodatkowego potwierdzenia logowania.
Kody QR coraz częściej prowadzą do pułapki
Rekordowe poziomy osiągnął również phishing wykorzystujący kody QR, czyli quishing. W pierwszej połowie 2026 roku około 11 proc. wykrytych wiadomości phishingowych zawierało kod QR, a systemy ESET rejestrowały średnio około 100 tys. takich detekcji miesięcznie.
Atakujący wykorzystują kody QR, aby ukryć docelowy adres strony i przenieść interakcję na smartfon, gdzie użytkownikowi trudniej zweryfikować pełny adres witryny. Popularność kodów QR w płatnościach, menu restauracyjnych czy systemach logowania sprawia, że wiele osób skanuje je automatycznie, bez wcześniejszego sprawdzenia źródła.
Ransomware nie zwalnia, choć coraz mniej ofiar płaci okup
ESET udokumentował ponad 100 narzędzi typu EDR killer, służących do wyłączania, zamrażania lub oślepiania oprogramowania zabezpieczającego przed uruchomieniem właściwego elementu ataku ransomware. Ponad 60 z nich wykorzystuje podatne sterowniki do zakłócania działania ochrony na poziomie systemu.
Jednocześnie, mimo dalszego wzrostu liczby ataków ransomware, odsetek ofiar decydujących się na zapłatę okupu osiągnął historycznie niski poziom. Analizowane raporty branżowe wskazują, że okup zapłaciło od 14 do 28 proc. zaatakowanych organizacji.
*Pozycje państw odnoszą się do detekcji rejestrowanych przez rozwiązania ESET i nie stanowią pełnego rankingu wszystkich cyberataków występujących na świecie.
Pełny „ESET Threat Report H1 2026” zawiera szczegółowe dane telemetryczne, analizę nowych technik ataków oraz opis najważniejszych zagrożeń zarejestrowanych od grudnia 2025 do maja 2026 roku.