Gdy miliony uczniów, studentów i nauczycieli wraca do szkół, uczelni i do platform e-learningowych, cyberprzestępcy przygotowują się do nowego roku akademickiego. Wykorzystują wzrost aktywności w Internecie oraz intensywniejszą wymianę dokumentów i wiadomości, aby zwiększyć skuteczność swoich kampanii.
Z najnowszych danych Check Point Research wynika, że sektor edukacyjny pozostaje najczęściej atakowaną branżą na świecie. Między styczniem a lipcem 2026 roku szkoły, uczelnie i instytuty badawcze doświadczały średnio 4696 cyberataków tygodniowo na jedną organizację. To o 8% więcej niż w analogicznym okresie 2025 roku i ponad dwukrotnie więcej niż średnia dla wszystkich monitorowanych sektorów, wynosząca 2150 ataków tygodniowo. Edukacja zajęła pierwsze miejsce wśród 23 analizowanych branż, a liczba ataków była o około 70% wyższa niż w drugim najbardziej atakowanym sektorze, czyli administracji rządowej.
W Polsce w 2026 roku polskie uczelnie wyższe stały się częstym celem poważnych cyberataków, w tym głośnego uderzenia na Uniwersytet Warszawski (gdzie wyciekły tysiące poufnych plików) oraz incydentów m.in. w Akademii Leona Koźmińskiego i WSB-NLU. Ataki te prowadzą do wycieków danych osobowych i nasilają presję na zmianę przepisów o cyberbezpieczeństwie.
Wzrost o 14% r/r. Europa pod presją
Presja na sektor edukacyjny dodatkowo wzrosła wraz ze zbliżaniem się nowego roku szkolnego. W lipcu 2026 roku organizacje edukacyjne odnotowywały średnio 4848 ataków tygodniowo, czyli o 14% więcej niż rok wcześniej. Problem nie ogranicza się przy tym do pojedynczych szkół czy uniwersytetów. Edukacja coraz mocniej opiera się na usługach chmurowych, cyfrowych platformach edukacyjnych i narzędziach do współpracy online. Udany atak może więc dotknąć nie tylko samej placówki, lecz także studentów, rodziców, partnerów badawczych, instytucji publicznych i zewnętrznych dostawców usług powiązanych z akademickim ekosystemem.
Największą liczbę ataków odnotowano w regionie Azji i Pacyfiku (APAC) – średnio 7452 ataki tygodniowo na jedną organizację między styczniem a lipcem 2026 roku. Największą dynamikę wzrostu zanotowały jednak Europa i Ameryka Łacińska. W Europie liczba ataków wzrosła rok do roku o 18%, do 4759 tygodniowo na organizację, natomiast w Ameryce Łacińskiej – o 42%, do 4299 ataków tygodniowo.
Fabryka domen. Hakerzy przygotowują pułapki na uczniów i studentów
Cyberprzestępcy nie czekają na rozpoczęcie zajęć. Przygotowania do kampanii phishingowych zaczynają się znacznie wcześniej – między innymi poprzez masową rejestrację domen nawiązujących do edukacji.
Tylko w jednym miesiącu – lipcu ‘26 eksperci Check Point Research zidentyfikowali 18 954 nowo zarejestrowanych domen zawierających słowa związane z edukacją, takie jak „school”, „university”, „college” czy „student”. Było ich o 5% więcej niż miesiąc wcześniej i o 3% więcej niż rok wcześniej. Jeszcze bardziej niepokojący jest wzrost udziału domen uznanych za złośliwe. W czerwcu jedna na 305 nowo zarejestrowanych domen związanych z edukacją była oznaczona jako złośliwa. W lipcu proporcja wzrosła do jednej na 226 domen.
Wśród wykrytych przykładów znalazły się domeny takie jak education-gov[.]com, students-portal[.]com czy checkmyschool[.]org – adresy zaprojektowane tak, aby sprawiać wrażenie powiązanych z prawdziwymi instytucjami edukacyjnymi lub rządowymi. Badacze wykryli również skoordynowane kampanie automatycznej rejestracji domen. Jedna z nich obejmowała 10 domen związanych z kredytami studenckimi, wykorzystujących warianty studentloansYYYY.com i obejmujących lata 2026–2035. Inna składała się z 48 domen skierowanych do studentów i uczestników bootcampów.
Anatomia manipulacji: od fałszywych nagród po kradzież haseł do Microsoft 365
Cyberprzestępcy wykorzystują sezonowy wzrost aktywności i sięgają po dobrze znane mechanizmy socjotechniczne. W centrum ich zainteresowania znajdują się dane osobowe i finansowe, a także dane uwierzytelniające do popularnych usług.
Fałszywe nagrody i promocje: jedna z kampanii wykorzystywała domenę studentdiscount[.]online, podszywając się pod promocję studencką amerykańskiej sieci Target. Ofiarom obiecywano fikcyjną nagrodę w wysokości 750 dolarów, a następnie przekierowywano je na fałszywe oferty i treści związane z hazardem.
Fałszywe dokumenty i strony logowania: analitycy wykryli również złośliwe kampanie wykorzystujące pliki PDF podszywające się pod materiały prawdziwych instytucji edukacyjnych. Użytkownicy byli przekierowywani przez kilka przejętych stron internetowych na podrobione strony logowania Microsoft 365 i OneDrive, których celem była kradzież danych uwierzytelniających.
Przejęte strony internetowe: w jednym z przypadków złośliwy adres został umieszczony na przejętej stronie bangladeskiej Cambrian School. Witryna była wykorzystywana do dystrybucji złośliwego oprogramowania i narzędzi kradnących informacje. Wcześniej odwiedzających witała fałszywa weryfikacja CAPTCHA wykorzystująca markę Spotify – technika stosowana m.in. do dostarczania malware lub utrudniania analizy zabezpieczeń.
Przykłady te pokazują, że cyberprzestępcy coraz częściej wykorzystują nie tylko fałszywe wiadomości e-mail, ale również zaufanie do prawdziwych marek, legalnych stron internetowych i codziennych procesów związanych z edukacją.
