Cyberatak na CloudFerro, dostawcę platformy NSIS Cloud dla Polskiej Agencji Kosmicznej

Wewnętrzne systemy spółki CloudFerro, dostawcy platformy NSIS Cloud dla Polskiej Agencji Kosmicznej, zostały naruszone przez nieuprawnioną osobę. Sprawca skopiował rejestry użytkowników oraz informacje rozliczeniowe, po czym zażądał okupu pod groźbą publikacji pozyskanych materiałów. Sama infrastruktura chmurowa nie uległa zaszyfrowaniu i przez cały czas działała bez zakłóceń.

Dostęp do zasobów i żądanie okupu

Polska Agencja Kosmiczna podała w oficjalnym komunikacie:

Osoba nieuprawniona uzyskała dostęp do wewnętrznych systemów dostawcy usługi NSIS Cloud, CloudFerro S.A., i 2 października 2026 r. skopiowała dane z rejestru kont użytkowników NSIS oraz z modułu rozliczeniowego usługi

Sprawca po pobraniu plików z infrastruktury dostawcy pozostawił żądanie finansowe oraz zagroził upublicznieniem informacji. Mimo wtargnięcia nie stwierdzono zaszyfrowania zasobów, a środowisko Narodowego Systemu Informacji Satelitarnej, uruchomione w ramach projektu o wartości przekraczającej 20 mln zł, funkcjonowało bez przestojów.

Szczegółowy zakres naruszenia

Włamywacz pozyskał zestaw informacji powiązanych z profilami użytkowników, obejmujący adresy e-mail, daty rejestracji oraz ostatniego logowania, ustawienia języka interfejsu, deklarowane obszary zainteresowań, a także lokalizację na poziomie województwa, powiatu i gminy. Osoba nieuprawniona dotarła także do serwera, na którym znajdowała się kopia bazy danych używanej do zarządzania kontami i rozliczeniami usługi, zawierająca m.in. imiona i nazwiska czy historię akceptacji regulaminów. Przedstawiciele CloudFerro przekazali jednak, że w odniesieniu do tej kopii nie ma śladów skopiowania ani wyniesienia danych. Atak nie objął haseł, danych kart płatniczych, rachunków bankowych ani zasobów satelitarnych. POLSA ostrzegła zarazem, że zdobyte rekordy mogą posłużyć przestępcom do uwiarygodnienia ataków phishingowych.

Wdrożone procedury naprawcze

Bezpośrednio po wykryciu incydentu zaatakowany system odłączono od sieci. Sprawa trafiła do Prezesa Urzędu Ochrony Danych Osobowych oraz właściwego Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego. W ramach podjętych kroków unieważniono dotychczasowe hasła oraz przerwano aktywne sesje osób korzystających z platformy. Agencja zaleciła również włączenie w ustawieniach konta uwierzytelniania dwuskładnikowego, wskazując ten mechanizm jako podstawową barierę ochronną. Polskie środowisko kosmiczne mierzyło się z podobnymi problemami już wcześniej – w marcu 2025 roku cyberprzestępcy zaatakowali bezpośrednio Polską Agencję Kosmiczną poprzez środowisko Microsoft Azure, co wymagało interwencji zespołów CSIRT NASK i CSIRT MON.