CrowdStrike OverWatch analizuje około 7 bilionów zdarzeń dziennie pochodzących z endpointów, systemów tożsamości, chmury oraz rozwiązań Next-Gen SIEM. Z tej skali danych wyłanianych jest około 14 milionów dziennych leadów detekcyjnych, które następnie podlegają dalszej analizie.
W ciągu 12 miesięcy, aktywność zespołów threat huntingowych przełożyła się na ponad 1 milion nowych detekcji i możliwości prewencyjnych, które zostały następnie przekazane do platformy Falcon.
CrowdStrike śledzi obecnie ponad 290 nazwanych adwersarzy oraz ponad 150 aktywnych klastrów złośliwej aktywności i rozwijających się grup zagrożeń. W 2026 roku nazwano ponad 10 nowych adwersarzy.
Liczba włamań nadal rośnie
Raport wskazuje na około 4-procentowy wzrost liczby incydentów typu intrusion rok do roku. Choć jest to wyraźnie mniej niż 27% odnotowane w poprzednim okresie, CrowdStrike podkreśla, że nie oznacza to osłabienia aktywności cyberprzestępców.
Mniejsza dynamika wzrostu odzwierciedla raczej zmianę sposobu działania atakujących. Coraz częściej koncentrują się oni na bardziej dojrzałych i złożonych kampaniach, łączących wiele wektorów ataku, technologii i środowisk. Oznacza to, że skala zagrożenia nie powinna być oceniana wyłącznie przez pryzmat liczby incydentów, ale również ich rosnącej złożoności.
W analizowanym okresie 56% wykrytych włamań było związanych z działalnością eCrime, podczas gdy 44% przypisano aktorom państwowym.
Sektor technologiczny pozostaje najczęściej atakowaną branżą
Sektor technologiczny kolejny rok utrzymał pozycję branży najczęściej atakowanej przez adwersarzy, notując 5-procentowy wzrost aktywności intrusion.
CrowdStrike zwraca uwagę, że firmy technologiczne są atrakcyjnym celem nie tylko ze względu na własne dane i infrastrukturę. Są również częścią rozbudowanych ekosystemów cyfrowych obejmujących m.in. klientów, dostawców usług chmurowych, społeczności deweloperskie i systemy dostępu do kolejnych organizacji.
W raporcie podkreślono też wzrost aktywności wobec innych sektorów. Usługi finansowe odnotowały wzrost o 11% rok do roku, natomiast sektor akademicki o 17%.
Rys.1 Struktura wykrytych incydentów typu intrusion w okresie od 1 lipca 2025 r. do 30 czerwca 2026
AI jest wykorzystywana nie tylko przez obrońców
Jednym z kluczowych trendów opisanych w raporcie jest rosnące znaczenie sztucznej inteligencji w działaniach prowadzonych przez adwersarzy. CrowdStrike zaobserwował wykorzystywanie generatywnej AI m.in. do tworzenia skryptów, stron internetowych, infrastruktury, wiadomości e-mail oraz innych elementów wspierających działania ofensywne. Dotyczy to zarówno grup eCrime, jak i aktorów powiązanych z państwami.
Raport opisuje również działania wymierzone bezpośrednio w środowiska i infrastrukturę AI. Atakujący próbują zdobywać dostęp do modeli, narzędzi i środowisk programistycznych związanych ze sztuczną inteligencją, a następnie wykorzystywać je do dalszych etapów kampanii.
Jednocześnie CrowdStrike podkreśla, że wykorzystanie AI pozwala atakującym ograniczyć czas i zasoby potrzebne do przygotowania części działań ofensywnych. W praktyce może to przekładać się na prowadzenie kampanii na większą skalę oraz szybsze dostosowywanie ich do konkretnych celów i środowisk.
Okno pomiędzy ujawnieniem podatności a jej wykorzystaniem szybko się kurczy
Raport wskazuje na 42-procentowy wzrost wykorzystania podatności typu zero-day rok do roku w okresie 2024–2025. Szczególnie istotna jest szybkość reakcji cyberprzestępców. W okresie od stycznia do czerwca 2026 roku 88% obserwowanych przez CrowdStrike przypadków wykorzystania podatności, dla których opublikowano publiczny Proof of Concept (PoC), nastąpiło w ciągu zaledwie 48 godzin od jego udostępnienia.
To bardzo ważna obserwacja z perspektywy zarządzania podatnościami. Tradycyjny model polegający wyłącznie na wykrywaniu podatności i późniejszym wdrażaniu aktualizacji może nie być wystarczający w sytuacji, gdy adwersarz zaczyna działać praktycznie natychmiast.
Przykład opisany w raporcie dotyczy podatności React2Shell (CVE-2025-55182). CrowdStrike wskazuje, że w pierwszych czterech dniach po publicznym ujawnieniu podatności, zespół OverWatch odpowiedział na ponad 800 leadów huntingowych związanych z podejrzeniem wykorzystania React2Shell w ponad 80 różnych organizacjach.
Łańcuch dostaw oprogramowania staje się jednym z kluczowych pól walki
CrowdStrike poświęca znaczną część raportu atakom na software supply chain. W przeciwieństwie do klasycznego modelu, w którym atakujący próbował przejąć jednego konkretnego dostawcę, obecnie coraz częściej wykorzystywane są publiczne repozytoria pakietów i ekosystemy deweloperskie.
W raporcie eksperci CrowdStrike wskazują kilka kluczowych trendów związanych z atakami na łańcuch dostaw oprogramowania:
- Ekosystemy deweloperskie stają się coraz ważniejszym celem ataków. Adwersarze kierują swoją uwagę na repozytoria kodu, pakiety open source, rejestry zależności oraz narzędzia wykorzystywane przez programistów. Przejęcie jednego z tych elementów może umożliwić dotarcie do znacznie większej liczby potencjalnych ofiar.
- Ataki są coraz bardziej zautomatyzowane i skalowalne. CrowdStrike opisuje m.in. działania ALTERED SPIDER, pokazujące, w jaki sposób złośliwe pakiety mogą być rozpowszechniane na dużą skalę w ramach ekosystemów deweloperskich.
- Tożsamość pozostaje jednym z kluczowych punktów wejścia. Przejęcie danych uwierzytelniających programisty lub konta z uprawnieniami do publikowania pakietów może dać atakującym dostęp do kolejnych elementów łańcucha dostaw i stworzyć podstawę do dalszego rozwoju ataku.
- Pipeline’y CI/CD stają się atrakcyjnym celem. Ze względu na posiadane uprawnienia mogą zapewniać dostęp do procesów publikowania artefaktów, wdrażania oprogramowania czy infrastruktury produkcyjnej. Ich przejęcie może więc znacząco zwiększyć możliwości działania napastników.
- Atak może przenieść się z łańcucha dostaw do środowiska chmurowego. CrowdStrike wskazuje, że przeciwnicy wykorzystują przejęte dane uwierzytelniające i dostęp uzyskany w ramach software supply chain do rozszerzenia swojej aktywności na zasoby chmurowe.
Vishing staje się jednym z najważniejszych wektorów uzyskiwania dostępu
Jednym z najbardziej zauważalnych trendów opisanych w raporcie jest rosnąca popularność vishingu, czyli phishingu głosowego, jako metody wykorzystywanej przez cyberprzestępców. Pomiędzy 2024 a 2025 rokiem CrowdStrike OverWatch wykrył 134-procentowy wzrost liczby incydentów intrusion, w których vishing był początkowym wektorem dostępu.
Raport wskazuje, że w pierwszej połowie 2026 roku liczba takich incydentów była już dwukrotnie wyższa niż w pierwszej połowie 2025 roku.
Vishing jest skuteczny między innymi dlatego, że pozwala omijać część tradycyjnych zabezpieczeń technicznych. Atakujący wykorzystują bezpośrednią interakcję z użytkownikiem, podszywają się pod dział IT lub inne zaufane osoby i nakłaniają ofiary do wykonania działań umożliwiających przejęcie konta.
CrowdStrike opisuje działania takich grup jak CORDIAL SPIDER i SNARKY SPIDER, które wykorzystują vishing m.in. do pozyskiwania danych logowania, kodów MFA i dostępu do aplikacji SaaS.
Rys. 2 Wykryte przez CrowdStrike OverWatch incydenty, w których vishing był prawdopodobnym początkowym wektorem dostępu – liczba incydentów miesięcznie w okresie od stycznia 2024 r. do czerwca 2026 r.
Tożsamość i SaaS są centralnymi elementami współczesnego ataku
Autorzy raportu wielokrotnie podkreślają, że tożsamość stała się jednym z głównych obszarów ataku. Po zdobyciu prawidłowych danych uwierzytelniających adwersarz nie musi od razu instalować złośliwego oprogramowania na urządzeniu końcowym. Może korzystać z legalnych mechanizmów logowania, usług SaaS oraz dostępu do chmury.
Raport wskazuje również, że część cyberprzestępców wykorzystuje autoryzację OAuth 2.0. CrowdStrike opisuje m.in. phishing typu device-code, w którym użytkownik zostaje nakłoniony do autoryzacji sesji kontrolowanej przez atakującego. W efekcie organizacje muszą analizować nie tylko klasyczne sygnały związane z endpointami, ale również nietypową aktywność kont, anomalie logowania, rejestrację urządzeń MFA czy dostęp do danych w usługach SaaS.
Aktywność w chmurze staje się coraz bardziej świadoma biznesowo
W analizowanym okresie CrowdStrike odnotował 171-procentowy wzrost aktywności cloud-conscious eCrime.
Adwersarze nie traktują już chmury wyłącznie jako kolejnego miejsca, w którym można uruchomić malware. Coraz częściej rozumieją architekturę środowisk chmurowych, mechanizmy dostępu, role i uprawnienia oraz wartość przechowywanych tam danych.
Raport opisuje m.in. kradzież danych uwierzytelniających, przejmowanie zasobów obliczeniowych, wykorzystywanie środowisk do kopania kryptowalut oraz ataki ukierunkowane na aktywa finansowe. CrowdStrike zauważa również, że tradycyjne mechanizmy bezpieczeństwa skoncentrowane na infrastrukturze mogą nie wystarczyć. Do wykrywania części kampanii potrzebne jest analizowanie zachowania użytkowników i kont także po poprawnym uwierzytelnieniu.
Atakujący coraz częściej łączą różne domeny bezpieczeństwa
Jednym z głównych przekazów całego raportu jest zanikanie granic pomiędzy poszczególnymi obszarami ataku. Jedna kampania może rozpocząć się od phishingu lub wykorzystania podatności, następnie przejść przez kradzież tożsamości, SaaS, środowisko deweloperskie, endpoint i chmurę.
CrowdStrike określa brak widoczności pomiędzy takimi obszarami jako istotne ryzyko. Autorzy raportu wskazują, że najbardziej destrukcyjne współczesne intruzje często wykorzystują właśnie luki pomiędzy narzędziami i zespołami odpowiedzialnymi za różne domeny bezpieczeństwa.
