Cyberataki na polskie szpitale rosną najszybciej od lat, AI przyspiesza automatyzację włamań

Liczba cyberataków na polskie szpitale i przychodnie rośnie w tempie, jakiego sektor ochrony zdrowia jeszcze nie notował. Według danych CSIRT CeZ, sektorowego zespołu cyberbezpieczeństwa Centrum e-Zdrowia, w 2025 roku odnotowano 1441 incydentów bezpieczeństwa w placówkach medycznych wobec 1028 rok wcześniej. To wzrost o ponad 40 procent, a eksperci ostrzegają, że rozwój sztucznej inteligencji dodatkowo przyspiesza i automatyzuje ataki, podczas gdy same szpitale wciąż w większości nie mają nowoczesnych narzędzi obrony.

Skala problemu w liczbach

Dane CSIRT CeZ, czyli oficjalnego zespołu reagowania na incydenty bezpieczeństwa dla sektora zdrowia, pokazują trend, który trudno zignorować. W ciągu roku liczba zgłoszonych incydentów wzrosła z 1028 do 1441, a już pierwszy kwartał 2025 roku przekroczył wolumen całego 2023 roku. Odrębny raport firmy AMP S.A. podaje z kolei, że tylko od stycznia do sierpnia 2025 roku doszło do 946 cyberataków na placówki medyczne, wobec 632 w analogicznym okresie 2024 roku i niespełna 400 w 2021 roku. Choć metodologie obu zestawień się różnią, kierunek jest ten sam: ataków przybywa z roku na rok w tempie dwucyfrowym.

Jeremi Olechnowicz, kierownik CSIRT CeZ, ujął to wprost, komentując rosnącą liczbę zgłoszeń z placówek medycznych.

To nie jest pytanie czy, lecz kiedy nastąpi kolejna próba ataku - Jeremi Olechnowicz, kierownik CSIRT CeZ

Szczecin i seria marcowych ataków

Konkretne przypadki pokazują, jak długo placówki wychodzą z takich incydentów. Samodzielny Publiczny Wojewódzki Szpital Zespolony w Szczecinie padł ofiarą poważnego ataku, po którym jeszcze trzy tygodnie później szpital funkcjonował w trybie awaryjnym. Nie prowadzono rejestracji do poradni specjalistycznych, a personel miał problemy z wystawianiem recept i zwolnień lekarskich. Rzecznik placówki przyznał, że pełny powrót do równowagi operacyjnej potrwa jeszcze długie tygodnie.

Był to jeden z czterech ataków ransomware, które w marcu 2026 roku dotknęły polską ochronę zdrowia. Wcześniej ofiarami padły między innymi Bonifraterskie Centrum Medyczne, gdzie systemy przywrócono w ciągu kilku godzin, oraz Medyczne Centrum "Eskulap" w Raciborzu. Podobny scenariusz powtórzył się także w Krakowie, gdzie cyberatak sparaliżował system szpitalny na tyle, że placówka musiała odwołać planowe operacje.

Sztuczna inteligencja po obu stronach

Rozwój sztucznej inteligencji zmienia charakter zagrożenia. Modele generatywne coraz częściej wspierają tworzenie pełnych łańcuchów ataku, łącząc analizę podatności systemów z automatycznym wykorzystaniem luk, co skraca czas między wykryciem błędu a jego wykorzystaniem przez przestępców. AI ułatwia też tworzenie spersonalizowanych wiadomości phishingowych, które trudniej odróżnić od legalnej korespondencji biznesowej, a eksperci ostrzegają, że kolejnym etapem mogą być w pełni autonomiczne modele zdolne samodzielnie prowadzić cały atak bez udziału człowieka.

Po stronie obrony sztuczna inteligencja pozostaje jednak rzadkością. Z ponad 1200 szpitali działających w Polsce jedynie kilkadziesiąt dysponuje nowoczesnymi systemami bezpieczeństwa wspieranymi przez AI, zdolnymi na przykład na bieżąco analizować zachowanie podłączonych do sieci urządzeń medycznych. Przestępcy zdają sobie sprawę, że placówki pod presją paraliżu systemów są bardziej skłonne zapłacić okup, co czyni szpitale szczególnie atrakcyjnym celem.

Czynnik ludzki wciąż najsłabszym ogniwem

Mimo rosnącej roli technologii w atakach, eksperci podkreślają, że największym problemem pozostają ludzie, nie infrastruktura. Krzysztof Brud, prezes Soflab Technology, ocenia, że aż 80 procent incydentów w sektorze zdrowia wynika z błędów pracowników, a nie awarii technicznych czy luk w oprogramowaniu.

Największym wyzwaniem nie jest dziś technologia, lecz świadomość i kompetencje pracowników oraz kadry zarządzającej - Krzysztof Brud, prezes Soflab Technology

Brud apeluje o obowiązkowe szkolenia z cyberbezpieczeństwa dla personelu medycznego i menedżerów placówek, argumentując, że nawet najlepsze systemy ochrony nie pomogą, jeśli pracownik otworzy zainfekowany załącznik lub użyje słabego hasła. To wniosek zbieżny z danymi CSIRT CeZ, według których ataki ransomware odpowiadają za ponad połowę zgłaszanych incydentów, a ich skutkiem bywa całkowite zablokowanie dostępu do dokumentacji medycznej, wyników badań i systemów diagnostycznych.

Co to oznacza dla pacjentów i placówek

Dla polskich szpitali rosnąca skala ataków oznacza rosnące koszty, nie tylko okupów, ale przede wszystkim przestojów operacyjnych, odwoływanych zabiegów i tygodni pracy w trybie awaryjnym. Dla pacjentów stawką jest bezpieczeństwo danych medycznych, które na czarnym rynku należą do najdroższych i najbardziej poszukiwanych, bo łączą informacje o stanie zdrowia z numerem PESEL i danymi ubezpieczeniowymi.

Rządowe zapowiedzi wsparcia finansowego i nowych standardów bezpieczeństwa dla sektora ochrony zdrowia wciąż czekają na pełne wdrożenie, a tempo inwestycji w cyberbezpieczeństwo nie nadąża za tempem wzrostu liczby ataków. Kolejne miesiące pokażą, czy placówki zdążą zbudować realną odporność, zanim AI po stronie przestępców zrówna się skutecznością z tempem obrony po stronie szpitali.