Co to jest malware? Rodzaje i ochrona przed złośliwym oprogramowaniem

Malware to złośliwe oprogramowanie stworzone w celu wyrządzenia szkód – kradzieży danych, blokady systemu, przejęcia kontroli nad urządzeniem lub wyłudzenia pieniędzy. Termin pochodzi od angielskiego malicious software i obejmuje kilkanaście typów zagrożeń: wirusy, ransomware, spyware, infostealery i wiele innych.

W 2025 roku CERT Polska zarejestrował 3438 incydentów związanych bezpośrednio ze szkodliwym oprogramowaniem, ale rzeczywista skala infekcji jest wielokrotnie większa – nie każdy zainfekowany użytkownik zgłasza incydent. Złośliwe oprogramowanie atakuje komputery z systemem Windows, macOS, urządzenia z Androidem i iOS. Żaden system nie jest odporny na wszystko, ale większość infekcji da się uniknąć.

Co to jest malware?

Malware to każdy program lub fragment kodu stworzony po to, żeby zaszkodzić użytkownikowi, jego urządzeniu lub danym. Słowo powstało z połączenia angielskich słów malicious (złośliwy) i software (oprogramowanie). Polski Komitet Normalizacyjny przyjął termin „program złośliwy” jako oficjalny odpowiednik.

Malware to sam szkodliwy program, nie sposób jego dostarczenia. Phishing, socjotechnika czy zainfekowany pendrive to metody, którymi przestępcy dostarczają malware na urządzenie ofiary – ale same w sobie malware nie są. Podobnie błędy w oprogramowaniu (bugi), które mogą powodować problemy, nie kwalifikują się jako malware, bo nie powstały z zamiarem wyrządzenia szkody.

Złośliwe oprogramowanie może mieć formę pliku wykonywalnego (.exe), skryptu uruchamianego w przeglądarce, makra w dokumencie Office, a nawet wpisu w rejestrze systemu Windows. Niektóre rodzaje malware aktywują się natychmiast po uruchomieniu. Inne tygodniami pozostają w uśpieniu, czekając na sygnał od swojego twórcy.

Rodzaje złośliwego oprogramowania

Złośliwe oprogramowanie dzieli się na kilkanaście głównych typów, które różnią się sposobem działania, celem ataku i szkodami, jakie mogą wyrządzić. Poniżej opisujemy zarówno klasyczne zagrożenia, jak i typy dominujące w 2025 roku.

Wirusy komputerowe

Wirus komputerowy to kod, który infekuje pliki i programy na komputerze – uruchamia się razem z nimi, bez wiedzy użytkownika. Od innych typów malware wirus różni się tym, że sam się powiela – zainfekowany plik „zaraża” kolejne pliki na tym samym komputerze. Wirus Melissa z 1999 roku rozsyłał się przez Microsoft Outlook i w ciągu kilku dni zainfekował setki tysięcy komputerów na całym świecie. Współcześnie klasyczne wirusy stanowią mniejszy odsetek zagrożeń niż 10-15 lat temu, ale nadal krążą w pirackim oprogramowaniu i plikach pobieranych z nieoficjalnych źródeł.

Robaki

Robaki (ang. worms) rozprzestrzeniają się samodzielnie przez sieć, bez potrzeby dołączania się do innych plików. Nie wymagają uruchomienia przez użytkownika – wystarczy, że komputer jest podłączony do sieci i ma niezałataną lukę w systemie. Robak WannaCry z maja 2017 roku wykorzystał lukę w protokole SMB systemu Windows i w ciągu jednego dnia zainfekował ponad 200 000 komputerów w 150 krajach. Zaatakował szpitale, firmy transportowe i instytucje publiczne, szyfrując dane i żądając okupu w bitcoinach.

Trojany

Trojany (konie trojańskie) podszywają się pod zwykłe, pożądane oprogramowanie. Użytkownik instaluje je dobrowolnie, nie wiedząc, że oprócz deklarowanej funkcji program wykonuje ukryte, szkodliwe działania. Trojany nie powielają się samodzielnie – do rozprzestrzeniania potrzebują aktywnego udziału ofiary (pobrania i uruchomienia pliku).

Trojany dzielą się na kilka podtypów. Trojany RAT (Remote Access Trojan) dają atakującemu zdalną kontrolę nad komputerem ofiary – dostęp do kamery, mikrofonu, plików i ekranu. Trojany bankowe przechwytują dane logowania do bankowości elektronicznej, np. trojan Zeus (aktywny od 2007 roku) wykradł dane milionów kont bankowych na całym świecie. Backdoory tworzą ukryte „tylne drzwi” w systemie, przez które atakujący może wracać na zainfekowany komputer nawet po usunięciu pierwotnego zagrożenia.

Ransomware

Ransomware szyfruje pliki na dysku ofiary i żąda okupu (najczęściej w kryptowalutach) za klucz deszyfrujący. To jedno z najpoważniejszych współczesnych cyberzagrożeń, groźne przede wszystkim dla firm i instytucji publicznych. CERT Polska w 2025 roku odnotował rekordowe 179 ataków ransomware (wobec 147 rok wcześniej) – 129 wymierzonych w firmy, 30 w podmioty publiczne (głównie samorządy i uczelnie) i 20 w osoby fizyczne.

Ransomware funkcjonuje dziś jako zorganizowany biznes. Model Ransomware-as-a-Service (RaaS) polega na tym, że grupy przestępcze sprzedają gotowe narzędzia do ataków. Kupujący nie musi mieć wiedzy technicznej – płaci za „usługę” i oddaje twórcom 20-30% uzyskanego okupu. Z danych Europejskiej Agencji ds. Cyberbezpieczeństwa (ENISA) wynika, że grupy RaaS przeprowadziły blisko 1500 skutecznych ataków na przedsiębiorstwa w UE między lipcem 2023 a czerwcem 2024.

Spyware

Spyware (oprogramowanie szpiegujące) zbiera informacje o użytkowniku bez jego wiedzy i przesyła je atakującemu. Monitorowane mogą być odwiedzane strony, wpisywane hasła, zawartość schowka, a nawet rozmowy prowadzone przez mikrofon urządzenia. Spyware Pegasus, wykryty w 2016 roku i rozwijany przez izraelską firmę NSO Group, dawał pełną kontrolę nad smartfonami z iOS i Android – włącznie z dostępem do zaszyfrowanych wiadomości w komunikatorach.

Adware

Adware wyświetla niechciane reklamy – wyskakujące okienka, dodatkowe paski narzędzi w przeglądarce, przekierowania na strony reklamowe. Choć adware bywa traktowane jako mniej groźne niż np. ransomware, utrudnia korzystanie z komputera i otwiera drogę do poważniejszych infekcji. Kliknięcie w reklamę wyświetlaną przez adware może prowadzić do pobrania trojana lub infostealera. Adware trafia na komputery najczęściej w pakiecie z darmowym oprogramowaniem – instalując bezpłatny program, użytkownik nieświadomie zgadza się na instalację dodatkowych komponentów reklamowych.

Rootkity

Rootkit to zaawansowane złośliwe oprogramowanie, które ukrywa swoją obecność w systemie operacyjnym, modyfikując jego podstawowe mechanizmy. Dla menedżera zadań, antywirusa, a nawet systemu plików rootkit jest niewidoczny – bo kontroluje te narzędzia na najniższym poziomie. Usunięcie rootkita bywa skrajnie trudne. W niektórych przypadkach jedynym pewnym rozwiązaniem jest pełna reinstalacja systemu operacyjnego. Rootkity często współpracują z innym malware, np. ukrywają działającego w tle trojana lub keyloggera.

Keyloggery

Keylogger rejestruje każde naciśnięcie klawisza i przesyła te dane atakującemu. Przechwycone mogą zostać hasła, numery kart płatniczych, treści wiadomości – wszystko, co użytkownik wpisze na klawiaturze. Keyloggery występują w wersji programowej (jako malware) i sprzętowej (fizyczne urządzenie podłączane między klawiaturę a komputer). Programowe keyloggery bywają instalowane razem z trojanami lub spyware i działają jako ukryty proces systemowy.

Infostealery

Infostealery to najczęstszy typ malware atakujący zwykłych użytkowników w ostatnich dwóch latach. Infostealer po uruchomieniu w ciągu kilkudziesięciu sekund skanuje komputer i wykrada zapisane hasła z przeglądarek, ciasteczka sesyjne (umożliwiające przejęcie zalogowanych kont bez znajomości hasła), dane portfeli kryptowalutowych, tokeny dostępowe do komunikatorów i zapisane numery kart płatniczych. Lumma Stealer i RedLine to dwa najczęściej spotykane warianty w ostatnich latach. Infostealery rozprzestrzeniają się głównie przez pirackie oprogramowanie, fałszywe generatory kluczy (keygeny) i złośliwe załączniki e-mail.

Wipery

Wipery (ang. wipers) to malware, którego jedynym celem jest nieodwracalne zniszczenie danych. W przeciwieństwie do ransomware, wipery nie żądają okupu – po prostu kasują lub nadpisują pliki tak, że odzyskanie ich jest niemożliwe. Wipery nabrały szczególnego znaczenia od 2022 roku w kontekście wojny w Ukrainie. HermeticWiper i CaddyWiper zostały użyte w atakach na ukraińską infrastrukturę krytyczną tuż przed i w trakcie rosyjskiej inwazji. Polska, jako kraj graniczący z Ukrainą i aktywnie ją wspierający, jest narażona na podobne ataki – pod koniec 2025 roku CERT Polska raportował o skoordynowanych atakach wymierzonych w wiele podmiotów polskiego sektora energetycznego.

Cryptojacking

Cryptojacking to złośliwe oprogramowanie, które wykorzystuje moc obliczeniową zainfekowanego komputera lub telefonu do wydobywania kryptowalut na rzecz atakującego. Użytkownik zauważa głównie spowolnienie urządzenia, głośną pracę wentylatora i szybsze rozładowywanie baterii w laptopie. Cryptojacking może działać jako zainstalowany program lub jako skrypt uruchamiany w przeglądarce po wejściu na zainfekowaną stronę internetową. Choć pojedyncze zainfekowane urządzenie generuje minimalny zysk, botnety złożone z tysięcy maszyn przynoszą przestępcom realne dochody.

Fileless malware

Fileless malware (malware bezplikowe) nie zapisuje się na dysku komputera, przez co jest trudne do wykrycia przez tradycyjne programy antywirusowe skanujące pliki. Zamiast tego działa wyłącznie w pamięci operacyjnej (RAM) i wykorzystuje wbudowane narzędzia systemu operacyjnego – np. PowerShell w Windows – do wykonywania szkodliwych operacji. Po restarcie komputera malware bezplikowe znika z pamięci, ale wcześniej może zdążyć pobrać i uruchomić inne złośliwe oprogramowanie lub wykraść dane. Według szacunków branżowych, fileless malware odpowiada za rosnący odsetek skutecznych ataków, ponieważ omija wiele warstw tradycyjnej ochrony.

Jak malware trafia na komputer lub telefon?

Złośliwe oprogramowanie nie pojawia się na urządzeniu samoistnie. Prawie zawsze potrzebuje wektora ataku – sposobu, w jaki dotrze do ofiary i zostanie uruchomione.

Phishing e-mailowy i SMS-owy (smishing) pozostaje najskuteczniejszą metodą dostarczania malware. W 2025 roku CERT Polska odnotował 78 391 incydentów phishingowych – 30% wszystkich zarejestrowanych zdarzeń. Przestępcy podszywają się pod znane firmy i instytucje – InPost, banki (PKO BP, mBank), platformy zakupowe (Allegro, OLX), serwisy streamingowe. Samo podszywanie się pod OLX wygenerowało ponad 28 000 incydentów, pod Allegro – ponad 22 000. Fałszywa wiadomość zawiera link do strony wyłudzającej dane lub załącznik ze złośliwym kodem. Podejrzane SMS-y można zgłaszać na numer 8080, obsługiwany przez CERT Polska.

Fałszywe CAPTCHA to schemat, który zyskał na popularności w 2024 roku i nadal jest aktywny. Użytkownik trafia na stronę z prośbą o weryfikację „czy jesteś robotem”. Strona instruuje go, żeby nacisnął kombinację klawiszy (Ctrl+C, potem Win+R, Ctrl+V, Enter), co w rzeczywistości uruchamia polecenie systemowe pobierające malware na komputer.

Pirackie oprogramowanie i fałszywe generatory kluczy to jeden z głównych kanałów dystrybucji infostealerów. Użytkownik pobiera „crack” do gry lub programu, a wraz z nim instaluje złośliwe oprogramowanie, które w tle wykrada zapisane hasła i dane płatnicze.

Zainfekowane strony internetowe (drive-by download) potrafią zainstalować malware bez żadnej interakcji ze strony użytkownika – wystarczy otworzyć stronę w przeglądarce mając niezałataną luką bezpieczeństwa w systemie operacyjnym. Przestępcy infekują zarówno własne strony, jak i normalne witryny, do których uzyskają nieuprawniony dostęp.

Złośliwe aplikacje mobilne trafiają na telefony głównie ze źródeł spoza oficjalnych sklepów (Google Play, App Store), choć pojedyncze zagrożenia przedostają się również do oficjalnych repozytoriów. Aplikacja może udawać latarkę, kalkulator czy grę, a w tle przechwytywać SMS-y, kontakty i dane logowania. CERT Polska uznał malware NGate za najgroźniejszą kampanię mobilną w 2025 roku – przekazywał on dane NFC z karty zbliżeniowej ofiary do telefonu przestępcy stojącego przy bankomacie, umożliwiając wypłatę gotówki bez fizycznej kradzieży karty.

Złośliwe reklamy (malvertising) to reklamy wyświetlane na zwykłych stronach internetowych, które po kliknięciu przekierowują na strony z malware. Przestępcy wykupują powierzchnię reklamową w standardowych sieciach reklamowych, a treść wyświetla się obok normalnych reklam.

Po czym poznać, że komputer lub telefon ma malware

Część złośliwego oprogramowania celowo ukrywa swoją obecność – infostealery wykonują zadanie w kilkadziesiąt sekund i znikają, a rootkity działają poniżej poziomu widoczności standardowych narzędzi systemowych. Mimo to wiele typów malware pozostawia widoczne ślady.

Na komputerze:

• System działa wyraźnie wolniej niż zwykle, programy uruchamiają się z opóźnieniem, a wentylator pracuje głośno nawet przy prostych zadaniach – to może wskazywać na cryptojacking lub inny rodzaj malware, które zużywaja zasoby procesora.
• W przeglądarce pojawiają się niechciane reklamy, nowe paski narzędzi lub przekierowania na strony, których nie próbujesz odwiedzić. Strona startowa lub domyślna wyszukiwarka zmienia się bez wiedzy użytkownika.
• System niespodziewanie się zawiesza, wyświetla błędy (w tym „niebieski ekran śmierci” na Windowsie) lub uruchamia się ponownie bez powodu.
• Na pasku zadań lub w menedżerze zadań widoczne są nieznane procesy. W zainstalowanych programach pojawiają się aplikacje, których nikt nie instalował.
• Kontakty z listy otrzymują od nas wiadomości e-mail lub komunikaty, których nie wysyłaliśmy.

Na telefonie:

• Bateria rozładowuje się szybciej niż zwykle, a transfer danych mobilnych rośnie bez wyraźnej przyczyny.
• Pojawiają się wyskakujące reklamy nawet poza przeglądarką.
• Na ekranie widoczne są aplikacje, których użytkownik nie instalował.
• Telefon nagrzewa się bez obciążenia.

Samo wystąpienie jednego z tych objawów nie oznacza automatycznie infekcji – spowolnienie komputera może mieć wiele przyczyn. Jeśli jednak zauważysz kilka z tych sygnałów jednocześnie, przeprowadź skanowanie programem antywirusowym.

Jak usunąć malware?

Szybka reakcja ogranicza szkody. Jeśli podejrzewasz, że Twoje urządzenie jest zainfekowane, wykonaj poniższe kroki:

• 1. Odłącz urządzenie od internetu. Wyłącz Wi-Fi i odłącz kabel sieciowy. To uniemożliwi malware komunikację z serwerem atakującego i przesyłanie wykradzionych danych. Jeśli podejrzewasz infekcję telefonu – włącz tryb samolotowy.
• 2. Uruchom komputer w trybie awaryjnym. W trybie awaryjnym system ładuje tylko podstawowe sterowniki i usługi, co uniemożliwia działanie większości malware. W Windows 10/11: przytrzymaj Shift i kliknij „Uruchom ponownie”, następnie wybierz Rozwiązywanie problemów > Opcje zaawansowane > Ustawienia uruchamiania > Tryb awaryjny z obsługą sieci.
• 3. Uruchom pełne skanowanie programem antywirusowym. Użyj sprawdzonego antywirusa lub wbudowanego Windows Defender (Zabezpieczenia Windows > Ochrona przed wirusami i zagrożeniami > Opcje skanowania > Pełne skanowanie). Jeśli standardowy antywirus nie wykryje zagrożenia, zainstaluj inny program i przeprowadź drugie skanowanie. Dwa niezależne silniki antywirusowe zwiększają szansę wykrycia złośliwego oprogramowania.
• 4. Usuń wykryte zagrożenia lub przenieś je do kwarantanny. Kwarantanna izoluje podejrzane pliki, uniemożliwiając im działanie, ale nie usuwa ich trwale. Po zakończeniu skanowania możesz sam zdecydować, czy usunąć pliki z kwarantanny, czy przywrócić te, które antywirus błędnie zaklasyfikował jako zagrożenie.
• 5. Sprawdź przeglądarkę. Usuń nieznane rozszerzenia, zresetuj stronę startową i domyślną wyszukiwarkę, wyczyść pamięć podręczną i ciasteczka. Część malware (szczególnie adware) modyfikuje ustawienia przeglądarki i przetrwa skanowanie dysku przez antywirusa.
• 6. Zmień hasła. Po usunięciu malware zmień hasła do najważniejszych kont – poczty e-mail, bankowości elektronicznej, mediów społecznościowych. Rób to z innego, czystego urządzenia lub po upewnieniu się, że komputer jest już bezpieczny. Włącz uwierzytelnianie dwuskładnikowe tam, gdzie jeszcze go nie masz.

W przypadku infekcji telefonu z Androidem lub iOS instrukcję krok po kroku znajdziesz w osobnym artykule o usuwaniu wirusów z telefonu.

Jeśli powyższe kroki nie pomogą – np. przy infekcji rootkitem – może być konieczna pełna reinstalacja systemu operacyjnego. Przed reinstalacją zabezpiecz ważne pliki (zdjęcia, dokumenty), ale tylko po ich uprzednim przeskanowaniu, żeby nie przenosić infekcji na nowy system.

Jak chronić się przed malware?

Skuteczna ochrona przed złośliwym oprogramowaniem to połączenie odpowiednich narzędzi i nawyków. Żaden program antywirusowy nie zastąpi ostrożnego korzystania z internetu, ale świadomy użytkownik bez antywirusa też nie jest w pełni bezpieczny.

Aktualizuj system operacyjny i aplikacje. Większość ataków wykorzystuje znane luki bezpieczeństwa, na które producent już wydał poprawkę. Robak WannaCry zainfekował setki tysięcy komputerów, mimo że Microsoft opublikował łatkę na wykorzystywaną lukę dwa miesiące wcześniej. Włącz automatyczne aktualizacje w Windows, macOS, Androidzie i iOS.

Korzystaj z wbudowanej ochrony systemu. Windows 10 i 11 mają wbudowany Microsoft Defender, który w niezależnych testach (AV-Test, AV-Comparatives) regularnie uzyskuje oceny porównywalne z płatnymi antywirusami. macOS korzysta z XProtect, a Android z Google Play Protect, który skanuje aplikacje przed instalacją i po niej. Te narzędzia nie wymagają żadnej konfiguracji – działają domyślnie. Jeśli potrzebujesz zaawansowanych funkcji (ochrona przed ransomware, skanowanie poczty, menedżer haseł, monitoring dark webu), rozważ płatny program antywirusowy.

Nie pobieraj oprogramowania z nieoficjalnych źródeł. Pirackie gry, programy, „cracki” i generatory kluczy to jeden z głównych kanałów dystrybucji infostealerów. Korzystaj z oficjalnych sklepów (Microsoft Store, App Store, Google Play) i stron producentów oprogramowania.

Nie klikaj w podejrzane linki. Zanim klikniesz link w e-mailu lub SMS-ie, sprawdź nadawcę i adres URL. InPost nie wysyła SMS-ów z prośbą o dopłatę 1,50 zł za paczkę. Bank nie prosi o podanie hasła przez e-mail. Jeśli nie masz pewności – wejdź na stronę usługi bezpośrednio przez przeglądarkę, zamiast klikać w link. Podejrzane SMS-y możesz przekazać na numer 8080, obsługiwany przez CERT Polska. Więcej o tym, jak sprawdzić, czy link jest bezpieczny, opisujemy w osobnym artykule.

Używaj silnych, unikalnych haseł. Jedno hasło do wielu kont oznacza, że wyciek z jednego serwisu daje przestępcom dostęp do wszystkich pozostałych. Menedżer haseł pozwala przechowywać setki haseł bez konieczności ich zapamiętywania. Dzięki temu możesz wygenerować bezpieczne hasła do każdej usługi online.

Włącz zaporę sieciową (firewall). Zapora blokuje nieautoryzowane połączenia przychodzące i wychodzące. W Windows i macOS firewall jest wbudowany i domyślnie włączony – upewnij się, że ktoś go nie wyłączył.

Rób kopie zapasowe ważnych plików. Kopia zapasowa na zewnętrznym dysku (odłączonym od komputera po wykonaniu kopii) lub w chmurze to jedyna pewna ochrona przed ransomware. Jeśli malware zaszyfruje pliki na komputerze, przywrócisz je z kopii bez płacenia okupu.

Korzystaj z narzędzi CERT Polska. Lista Ostrzeżeń CERT Polska (hole.cert.pl) blokuje dostęp do znanych złośliwych stron – od początku istnienia trafiło na nią ponad 500 000 domen, z czego 100 000 tylko w 2025 roku.

FAQ