Polska w czołówce cyberataków, ESET ostrzega przed pierwszym złośliwym oprogramowaniem AI na Androida

Polska zajęła pierwsze miejsce na świecie pod względem liczby wykrywanych downloaderów, czyli programów pobierających kolejne elementy ataku, oraz narzędzia CloudEye służącego do maskowania złośliwego oprogramowania. Tak wynika z najnowszego raportu ESET Threat Report H1 2026, opublikowanego w lipcu 2026 roku i obejmującego okres od grudnia 2025 do maja 2026.

Raport ESET to jedno z najobszerniejszych półrocznych zestawień telemetrii cyberzagrożeń na świecie, oparte na danych zbieranych z systemów ochrony firmy zainstalowanych u milionów użytkowników i w tysiącach organizacji. Tegoroczna edycja H1 2026 poświęca szczególną uwagę temu, jak przestępcy wykorzystują rosnące zaufanie użytkowników do narzędzi sztucznej inteligencji.

Polska na celowniku

Wysokie pozycje Polski w niemal każdej kategorii zagrożeń nie są przypadkiem jednorazowym. Kraj od kilku kolejnych raportów ESET pojawia się w czołówce światowych statystyk cyberataków, co analitycy tłumaczą kombinacją dużej liczby aktywnych użytkowników internetu, rozwiniętej gospodarki cyfrowej oraz wciąż nierównomiernego poziomu inwestycji w zabezpieczenia w firmach różnej wielkości.

Szczególnie niepokojący jest wynik w kategorii downloaderów i narzędzia CloudEye, gdzie Polska wyprzedziła wszystkie inne monitorowane kraje. Downloadery są zwykle pierwszym etapem ataku wieloetapowego, otwierającym drogę do instalacji kolejnych, bardziej szkodliwych komponentów, w tym ransomware czy infostealerów.

Sztuczna inteligencja jako narzędzie ataku

Najważniejszym wątkiem raportu jest jednak rola generatywnej AI po stronie atakujących. ESET po raz pierwszy przeanalizował na dużą skalę ekosystem tak zwanych AI skills, czyli dodatków rozszerzających możliwości agentów sztucznej inteligencji. Wśród blisko 900 tysięcy przeanalizowanych komponentów ponad 25 tysięcy wzbudziło podejrzenia analityków, a ponad 3 tysiące zaklasyfikowano jako jednoznacznie złośliwe.

Badacze opisali też PromptSpy, określane jako pierwsze znane zagrożenie na Androida, które aktywnie i w czasie rzeczywistym wykorzystuje generatywny model AI, w tym przypadku Google Gemini, do dostosowywania sposobu działania do konkretnego zaatakowanego urządzenia. To krok dalej niż wcześniej opisywane przez ESET PromptLock, eksperymentalne ransomware korzystające z lokalnie uruchomionego modelu do generowania złośliwych skryptów Lua.

Atakujący szybko dostosowują sprawdzone techniki do nowych platform - Kamil Sadkowski, analityk cyberzagrożeń ESET

Kody QR i fałszywe komunikaty błędów

Raport zwraca uwagę na dwie techniki, które w ostatnim półroczu rozwijały się najszybciej. Pierwsza to quishing, czyli phishing z użyciem kodów QR, wykorzystujący fakt, że użytkownicy rzadziej weryfikują adres ukryty za graficznym kodem niż zwykły link tekstowy. Druga to ClickFix, polegająca na wyświetleniu fałszywego komunikatu o błędzie systemowym, który nakłania ofiarę do samodzielnego wklejenia i uruchomienia złośliwego polecenia we własnym systemie.

Detekcje ClickFix wzrosły o 108 procent rok do roku, co czyni tę technikę jedną z najszybciej rosnących kategorii zagrożeń w całym raporcie. ESET udokumentował też ponad 100 różnych narzędzi typu EDR killer, służących do wyłączania oprogramowania antywirusowego i systemów wykrywania zagrożeń przed uruchomieniem właściwego ataku.

Co to oznacza dla polskich firm

Eksperci komentujący raport w Polsce podkreślają, że wysokie miejsca kraju w statystykach ataków przekładają się bezpośrednio na potrzebę inwestycji w podstawowe zabezpieczenia, zanim organizacje zaczną wdrażać kosztowne rozwiązania klasy enterprise.

Brak inwestycji w cyberbezpieczeństwo można realnie wyliczyć, kluczowe jest zidentyfikowanie najcenniejszych zasobów - Dawid Zięcina, DAGMA Bezpieczeństwo IT

Dane o niskim odsetku firm płacących okup, między 14 a 28 procent ofiar, sugerują, że coraz więcej organizacji dysponuje kopiami zapasowymi i planami odzyskiwania danych pozwalającymi obejść żądania przestępców. To pozytywny sygnał, choć nie zmniejsza skali samych prób ataków, które według raportu rosną niezależnie od skuteczności okupu.

Dla polskich firm i instytucji publicznych raport jest kolejnym potwierdzeniem, że kraj pozostaje jednym z głównych celów cyberprzestępców w Europie, a rosnąca dostępność narzędzi AI obniża próg wejścia dla mniej zaawansowanych grup przestępczych, które wcześniej nie miały zasobów do budowy złożonego złośliwego oprogramowania.