Rejestr kont użytkowników, moduł rozliczeń i kopia bazy danych z historią zgód oraz treścią wiadomości wysyłanych przez serwis. Wszystko to 2 października skopiowała osoba, która dostała się do wewnętrznych systemów spółki CloudFerro, dostawcy platformy NSIS Cloud. Z tej chmury, uruchomionej na zlecenie Polskiej Agencji Kosmicznej, korzystają urzędy, naukowcy i firmy przetwarzające dane satelitarne. Sprawca wyprowadził dane poza infrastrukturę dostawcy, zostawił żądanie okupu i zagroził ich publikacją.
Polska Agencja Kosmiczna (POLSA) poinformowała o incydencie w komunikacie skierowanym do użytkowników Krajowego Systemu Informacji Satelitarnej (NSIS). Jak podaje serwis CyberDefence24, komunikat nosi datę 29 października. Szersza opinia publiczna dowiedziała się o sprawie dopiero w piątek, gdy opisały ją serwisy branżowe.
Okup bez szyfrowania plików
Według agencji atak nie przypominał klasycznego ransomware. Sprawca nie zaszyfrował plików, a platforma przez cały czas działała bez zakłóceń. Dostawca zapewnia, że system logowania do NSIS nie został naruszony. Do chwili wydania komunikatu nie wykryto publikacji skradzionych danych.
Incydent zgłoszono prezesowi Urzędu Ochrony Danych Osobowych i właściwemu zespołowi reagowania na incydenty komputerowe CSIRT. CloudFerro odłączyło zaatakowaną część systemu. POLSA unieważniła dotychczasowe hasła i zakończyła wszystkie aktywne sesje użytkowników, więc każdy z nich musi ustawić hasło na nowo.
Adresy e-mail, gminy i rachunki za moc obliczeniową
Lista skopiowanych informacji jest długa. Z rejestru kont wyciekły adresy e-mail, które często zawierają imię i nazwisko, daty rejestracji i ostatniego logowania, język interfejsu, zadeklarowane obszary zainteresowań oraz lokalizacja z dokładnością do województwa, powiatu i gminy. Przy kontach instytucjonalnych sprawca przejął nazwę organizacji, miejscowość, województwo i kod pocztowy.
Dla firm najbardziej wrażliwy może być moduł rozliczeń. Zawierał on informacje o projektach prowadzonych w chmurze i o wykorzystaniu jej zasobów. W kopii bazy, z której korzystano do zarządzania kontami, były z kolei imiona i nazwiska, historia akceptacji regulaminów, powody ewentualnych blokad kont, uprawnienia do usług oraz treść powiadomień i wiadomości wysyłanych przez serwis. Serwis wnp.pl, relacjonując komunikat agencji, wymienia także adresy zamieszkania i numery telefonów.
| Rodzaj danych | Stan według POLSA |
|---|---|
| Adresy e-mail, daty rejestracji i logowania, lokalizacja | skopiowane |
| Nazwa, miejscowość i kod pocztowy organizacji | skopiowane |
| Rozliczenia projektów i zużycia zasobów chmury | skopiowane |
| Treść powiadomień i wiadomości z serwisu | skopiowane |
| Hasła | nienaruszone |
| Dane kart płatniczych i rachunków bankowych | nienaruszone |
| Dane satelitarne | nienaruszone |
Źródło: Polska Agencja Kosmiczna
Agencja ostrzega, że przejęte informacje mogą posłużyć do ataków phishingowych. Zaleca ostrożność wobec e-maili i SMS-ów podszywających się pod NSIS lub POLSA, niekorzystanie z linków i nieotwieranie zaszyfrowanych załączników. Rekomenduje też włączenie logowania dwuetapowego z kodami generowanymi w aplikacji uwierzytelniającej.
Zobacz również:
TECHNOLOGIE · 07.11.2026MON negocjuje z Palantirem umowę dla wojska. Kosiniak-Kamysz mówi o „ogromnym lobbingu”Kontrakt za 4,76 mln euro i prawie 4 petabajty zdjęć z orbity
NSIS Cloud to jeden z flagowych projektów cyfrowych agencji. CloudFerro podpisało z POLSA umowę wartą 4,76 mln euro w lutym 2025 roku, w konsorcjum ze spółką GISPartner. Kontrakt obejmuje budowę infrastruktury, integrację danych satelitarnych oraz 21 miesięcy utrzymania platformy i wsparcia użytkowników. Serwery znajdują się w Polsce.
Chcesz częściej widzieć treści BNBN w Google?Dodaj nas do ulubionych źródeł
Platforma ruszyła na początku listopada 2025 roku. Jak opisywał wtedy serwis ITwiz, udostępnia prawie 4 petabajty danych, w tym produkty satelitów Sentinel, kolekcje Landsat, krajowe mozaiki zdjęć oraz obrazy pasa 500 km poza granicami Polski. Użytkownicy dostają maszyny wirtualne, także z procesorami graficznymi, i mogą analizować dane bez pobierania ich na własne komputery. Odbiorcami są administracja, ośrodki badawcze i sektor prywatny.
CloudFerro przedstawia się jako największa firma polskiego sektora kosmicznego. Według ITwiz spółka odpowiada za segment naziemny CAMILA, pierwszej polskiej konstelacji satelitów, a prowadzone przez nią europejskie platformy obserwacji Ziemi mają łączną pojemność ponad 100 petabajtów. Włamanie uderza więc w firmę, która obsługuje jedne z kluczowych zasobów danych satelitarnych w Europie.
Agencje kosmiczne na celowniku
To nie pierwszy incydent w otoczeniu polskiej agencji. W marcu 2025 roku zaatakowana została sama POLSA. Jak przypomina CyberDefence24, raport CERT Polska za 2025 rok opisuje, że napastnik zarejestrował własne aplikacje w środowisku Microsoft Azure agencji i za pomocą interfejsu Graph API wyprowadzał dane. Wicepremier i minister cyfryzacji Krzysztof Gawkowski informował wówczas, że działania koordynowały zespoły CSIRT NASK i CSIRT MON.
Celem hakerów bywają też większe instytucje. Na przełomie 2025 i 2026 roku Europejska Agencja Kosmiczna poinformowała o ataku, który objął, jak to ujęła, „bardzo małą liczbę zewnętrznych serwerów”. W 2024 roku japońska JAXA ujawniła włamanie przez lukę w urządzeniu VPN.
W przypadku NSIS Cloud sprawca nie musiał przełamywać zabezpieczeń samej agencji. Wystarczył dostęp do systemów zewnętrznego dostawcy, który przechowywał dane kont i rozliczeń. Użytkownicy platformy, w tym firmy korzystające z niej komercyjnie, muszą teraz liczyć się z tym, że ich adresy i informacje o projektach znajdują się w rękach osoby żądającej okupu.