Polen heeft in 2025 te maken gehad met 2,5 keer meer cyberaanvallen dan het jaar daarvoor, en het aantal incidenten blijft stijgen, aldus een overheidsfunctionaris. Onder deze aanvallen bevond zich in december een destructieve cyberaanval op het energiesysteem van het land, die als ongekend wordt beschouwd binnen NAVO- en EU-landen en vermoedelijk vanuit Rusland afkomstig is.

Volgens Paweł Olszewski, plaatsvervangend minister van Digitale Zaken, was Polen het afgelopen jaar het doelwit van 270.000 cyberaanvallen. Hij benadrukte dat het land al jaren een digitale oorlog voert en dat het aantal incidenten en aanvallen jaarlijks sterk toeneemt. Sinds het begin van de Russische invasie in Oekraïne in februari 2022 heeft de Poolse regering onder leiding van premier Donald Tusk haar cyberverdediging versterkt vanwege de toenemende dreiging vanuit Rusland.

De aanval op het energiesysteem vond plaats op 29 december en richtte zich op een gecombineerde warmte- en elektriciteitscentrale die warmte levert aan bijna 500.000 klanten, evenals op meerdere wind- en zonneparken. Poolse autoriteiten vermoeden dat één enkele dreigingsactor verantwoordelijk is, met meerdere experts die wijzen op Russische geheime diensten. Hoewel de elektriciteitsvoorziening niet werd verstoord, was de aard van de sabotage reden tot grote bezorgdheid. CERT Polska, het Poolse Computer Emergency Response Team, publiceerde eind januari een rapport met technische details en vroeg de cybercommunity om input.

Marcin Dudek, hoofd van CERT Polska, noemde de aanval een significante escalatie. Eerdere incidenten betroffen vooral ransomware met financiële motieven, terwijl deze aanval puur destructief was. Dergelijke destructieve aanvallen in de energiesector zijn volgens Dudek zeldzaam en mogelijk uniek binnen NAVO- en EU-landen. Had de aanval grotere energie-eenheden getroffen, dan had dit de stabiliteit van het Poolse energienetwerk ernstig kunnen bedreigen.

De Poolse geheime diensten hebben nog geen verdachte publiekelijk geïdentificeerd. CERT Polska analyseerde de gebruikte internetinfrastructuur en vond verbanden met de Russische dreigingsactor “Dragonfly”, ook bekend als “Static Tundra” of “Berserk Bear”, die bekendstaat om aanvallen op de energiesector, maar tot nu toe niet destructief. Daarnaast concludeerde cybersecuritybedrijf ESET dat de malware waarschijnlijk afkomstig is van “Sandworm”, een andere Russische actor die eerder destructieve aanvallen in Oekraïne uitvoerde. De Amerikaanse overheid koppelt Sandworm aan de Russische militaire inlichtingendienst GRU.