Dragos odnotował 1140 incydentów ransomware dotykających organizacje przemysłowe w drugim kwartale 2026 roku, co stanowi wzrost o 12% w porównaniu z pierwszym kwartalem. Odkrycie to wskazuje na zmianę, którą warto zrozumieć: ransomware wymierzony w przemysłowe systemy OT coraz częściej zaczyna się w systemach IT przedsiębiorstwa wspierających technologie operacyjne, a nie na hali fabrycznej czy w samej sterowni.

Artykuł źródłowy jest zwięzły, a ten wpis trzyma się tego, co stwierdza: liczby 1140, 12-procentowego wzrostu kwartalnego oraz obserwacji, że atakujący coraz częściej nadużywają systemów przedsiębiorstwa, które stanowią fundament OT. Tam, gdzie wykraczamy poza te ustalenia, opisujemy ogólną praktykę bezpieczeństwa, a nie nowe odkrycia.

Co Dragos ustalił w drugim kwartale 2026 roku

Według Dragos 1140 incydentów ransomware dotknęło organizacje przemysłowe w drugim kwartale 2026 roku. To o 12% więcej niż w pierwszym kwartale. Nagłówkowa liczba ma znaczenie, ale bardziej użytecznym szczegółem jest kierunek wysiłków atakujących: systemy przedsiębiorstwa wspierające OT coraz częściej stanowią punkt wejścia.

Więcej szczegółów na temat samych liczb znajdziesz w naszym towarzyszącym raporcie, Ransomware w Q2 2026 dotknął 1140 firm przemysłowych przez IT.

Jak ransomware przedostaje się z biurowego IT do OT

Technologia operacyjna to sprzęt i oprogramowanie obsługujące procesy fizyczne, takie jak linie produkcyjne, dystrybucja energii i uzdatnianie wody. IT to znany świat poczty e-mail, serwerów plików, aplikacji biznesowych i usług chmurowych. W większości organizacji przemysłowych oba światy są połączone, ponieważ menedżerowie potrzebują danych produkcyjnych, inżynierowie potrzebują plików projektowych, a dostawcy potrzebują dostępu.

To właśnie tych połączeń używają atakujący. Zamiast atakować sterowniki przemysłowe bezpośrednio, grupa ransomware może włamać się do systemu biznesowego, ukraść dane lub zaszyfrować serwery i wywołać wystarczające zakłócenia, by operacje zwolniły lub się zatrzymały. Nawet gdy systemy sterowania nigdy nie zostaną naruszone, firma może wstrzymać część produkcji jako środek ostrożności lub dlatego, że nie jest już w stanie planować, wysyłać ani wystawiać faktur.

Właśnie dlatego podział na IT i OT może być mylący. Zakład może mieć dobrze chronione sterowniki i mimo to zostać odcięty od sieci w wyniku kompromitacji otaczających je systemów.

Dlaczego oprogramowanie korporacyjne i eksponowane systemy są słabym ogniwem

Ustalenie Dragos podkreśla, że atakujący nadużywają systemów przedsiębiorstwa, które stanowią fundament OT. Zwykle są to duże aplikacje biznesowe przechowujące cenne dane, często osiągalne z internetu, aby mogli z nich korzystać partnerzy i pracownicy zdalni.

Konkretnym przykładem jest kampania Clop wymierzona w korporacyjne oprogramowanie do zarządzania cyklem życia produktu. Nasze omówienie ransomware Clop uderzającego w systemy PTC Windchill i FlexPLM opisuje kampanię wymuszenia opartą na kradzieży danych, wymierzoną w eksponowane w internecie instancje tych platform. Systemy te przechowują projekty produktów i informacje produkcyjne, co czyni je atrakcyjnymi dla grup wymuszających okup nawet wtedy, gdy żaden system produkcyjny nie zostanie zaszyfrowany.

Ekspozycja to także kwestia znanych luk, które pozostają niezałatane. Nasz raport o dodaniu czterech luk przez CISA do katalogu Known Exploited Vulnerabilities pokazuje, jak szybko luki w powszechnie używanych produktach korporacyjnych i przemysłowych mogą przejść od ujawnienia do aktywnego ataku.

Co to oznacza dla Ciebie

Większość czytelników nie prowadzi fabryki ani zakładu użyteczności publicznej, ale wielu od nich zależy. Gdy organizacja przemysłowa zostaje zaatakowana, skutki mogą objawić się jako opóźnione dostawy, niedobory w łańcuchu dostaw, przerwy w usługach lub ujawnienie danych osobowych. Dane klientów i pracowników przechowywane w systemach przedsiębiorstwa również mogą zostać skradzione podczas takich incydentów.

Nie możesz naprawić sieci operatora, ale możesz ograniczyć własną ekspozycję jako klient, pracownik lub dostawca:

  • Jeśli otrzymasz zawiadomienie o naruszeniu danych od producenta lub dostawcy usług, potraktuj je poważnie i postępuj zgodnie z jego wskazówkami.
  • Używaj unikalnych haseł i uwierzytelniania wieloskładnikowego na kontach powiązanych z jakimkolwiek dostawcą przemysłowym lub zakładem użyteczności publicznej.
  • Uważaj na phishing odwołujący się do niedawnego incydentu, ponieważ skradzione dane są często wykorzystywane w kolejnych oszustwach.

Co mogą zrobić organizacje: segmentacja, kopie zapasowe, MFA

Dla osób odpowiedzialnych za środowiska przemysłowe trend ten przemawia za wzmocnieniem punktów połączenia między IT a OT. To standardowe środki obronne, a nie nowe ustalenia z raportu Dragos:

  • Segmentacja: Oddziel sieci biznesowe od sieci sterowania i ogranicz to, co może między nimi przechodzić. Jeśli IT zostanie skompromitowane, segmentacja pomaga trzymać incydent z dala od operacji.
  • Kopie zapasowe: Przechowuj kopie zapasowe krytycznych systemów w trybie offline lub w inny sposób odizolowane i testuj ich przywracanie. Kopie zapasowe pomagają tylko wtedy, gdy działają pod presją.
  • Uwierzytelnianie wieloskładnikowe: Wymagaj go do dostępu zdalnego i dla kont administracyjnych, szczególnie w przypadku aplikacji korporacyjnych dostępnych z internetu.
  • Łatanie i przegląd ekspozycji: Zidentyfikuj, które systemy przedsiębiorstwa są osiągalne z internetu, i priorytetowo traktuj poprawki luk znanych z wykorzystywania.
  • Planowanie incydentów: Z góry zdecyduj, jak izolować dotknięte systemy i utrzymać działanie kluczowych operacji.

Wnioski

Liczba 1140 incydentów odnotowana przez Dragos w drugim kwartale 2026 roku pokazuje, że ransomware wymierzony w przemysłowe systemy OT rośnie, a droga do nich często prowadzi przez otaczające je oprogramowanie korporacyjne. Poświęć kilka minut na przegląd własnej ekspozycji: włącz MFA, sprawdź, czy kopie zapasowe są aktualne i możliwe do przywrócenia, oraz zainstaluj oczekujące aktualizacje. Konkretne przykłady tego, jak słabości IT stają się ryzykiem przemysłowym, znajdziesz w naszym omówieniu danych o przemysłowym ransomware w Q2 2026 oraz kampanii Clop wymierzonej w korporacyjne oprogramowanie PLM.