Analiza 2026 Global Threat Report pokazuje wyraźnie, że zagrożenia koncentrują się wokół kilku strategicznych obszarów, które w 2025 roku definiowały skuteczność adwersarzy – i które w 2026 roku będą kluczowe dla budowania odporności organizacji.
- Prędkość operacyjna adwersarzy (Adversary Speed)
Skrócenie średniego eCrime breakout time do zaledwie 29 minut (to o 65% szybciej niż w 2024 roku). Najszybszy zarejestrowany atak to zaledwie 27 sekund. Czas reakcji stał się czynnikiem krytycznym. Ataki rozwijają się szybciej niż tradycyjne procesy decyzyjne w SOC, a organizacje, które nie posiadają automatyzacji reakcji i korelacji w czasie rzeczywistym, operują z istotnym opóźnieniem.
Jednocześnie raport pokazuje, że skala przeciwników rośnie – CrowdStrike śledzi obecnie 281 aktywnych grup adwersarzy, a tylko w 2025 roku zidentyfikowano 24 nowe ugrupowania. Ekosystem zagrożeń nie tylko przyspiesza, ale również się rozszerza.
- Włamania bez użycia malware i nadużycie tożsamości
82% detekcji w 2025 roku dotyczyło działań bez użycia klasycznego malware (podczas gdy w 2020 roku było to 51%). Dominowały techniki oparte na:
- przejętych poświadczeniach,
- nadużyciu legalnych narzędzi administracyjnych,
- manipulacji politykami dostępu,
- operacjach w SaaS i chmurze przy użyciu prawidłowych mechanizmów uwierzytelniania.
Tożsamość stała się głównym polem walki, a model „identity-first security” staje się fundamentem.
- AI jako mnożnik skuteczności ataku
Rok 2025 przyniósł 89% wzrost liczby ataków prowadzonych z wykorzystaniem sztucznej inteligencji. AI jest wykorzystywana do:
- generowania wiarygodnych kampanii phishingowych i vishingowych,
- automatyzacji rekonesansu,
- tworzenia i modyfikacji kodu,
- wsparcia działań post-exploitation.
CrowdStrike Services oraz CrowdStrike OverWatch zareagowały w przypadku ponad 90 klientów, których systemy uruchamiały złośliwy kod pochodzący od atakującego, wykorzystujący lokalne narzędzia AI (np. Claude i Gemini) do generowania poleceń służących do kradzieży materiałów uwierzytelniających i kryptowalut. AI pełni dziś podwójną rolę: przyspiesza działania napastników oraz tworzy nową powierzchnię ataku. Bez odpowiedniego monitoringu, AI staje się niekontrolowanym wektorem ryzyka.
- Chmura pod presją – szczególnie w operacjach państwowych
35% incydentów chmurowych było związanych z nadużyciem prawidłowych kont (valid account abuse). Raport wskazuje na 37% wzrost ukierunkowanych ataków na środowiska chmurowe rok do roku, przy czym w przypadku grup cyberprzestępczych powiązanych z państwami wzrost wyniósł aż 266%. To ogromna dysproporcja i jasny sygnał, że operacje państwowe koncentrują się na:
- środowiskach tożsamości,
- federacjach i relacjach między tenantami,
- danych w SaaS,
- strategicznych sektorach infrastruktury.
- China-nexus i sektor logistyczny
Aktywność podmiotów powiązanych z Chinami wzrosła w 2025 roku o 38%, a w sektorze logistycznym aż o 85%. Spośród wykorzystywanych przez nie podatności, 40% dotyczyło urządzeń brzegowych wystawionych do Internetu. Atakujący konsekwentnie atakowali m.in. urządzenia VPN, firewalle, bramy i inne systemy perymetryczne, traktując je jako preferowany wektor początkowego dostępu.
- Wykorzystanie podatności typu Zero-day i kurczące się „okno bezpieczeństwa”
Raport wskazuje na 42% wzrost wykorzystania podatności typu zero-day jeszcze przed ich publicznym ujawnieniem, co skróciło czas między odkryciem luki a jej aktywną eksploatacją. W praktyce oznacza to, że organizacje mogą znaleźć się w sytuacji, w której exploit funkcjonuje w środowisku produkcyjnym jeszcze przed wdrożeniem oficjalnej poprawki.
Skraca się więc nie tylko czas reakcji, ale samo „okno bezpieczeństwa” między odkryciem podatności a jej operacyjnym wykorzystaniem przez adwersarza. W tej rzeczywistości zarządzanie poprawkami musi być uzupełnione o segmentację, ograniczanie uprawnień oraz zaawansowaną detekcję, które pozwalają ograniczyć skutki ataku nawet w sytuacji, gdy podatność jest już aktywnie wykorzystywana.
