Zaufana Trzecia Strona

Weekendowa Lektura: odcinek 692 [2026-09-05]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Sat, 05 Sep 2026 11:58:11 GMT

Zapraszamy do nowego wydania Weekendowej Lektury, zawierającego najciekawsze informacje na temat ataków, wycieków, podatności i szkodników, które zaobserwowali ostatnio eksperci. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej materiał o zatrzymaniu przez CBZC oszustów wyłudzających kody BLIK (pkt 1) oraz artykuł o stronie oferującej skany 153 mln praw jazdy, która trafiła pod lupę FBI (pkt 10). W części technicznej zapoznajcie się ze świeżo uruchomioną bazą wiedzy CERT Polska (pkt 1), poczytajcie też o nowej odmianie techniki ClickFix, noszącej nazwę TerminalFix (pkt 11). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – September 5, 2026

Część bardziej fabularna

Część bardziej techniczna

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

Weekendowa Lektura: odcinek 691 [2026-08-28]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Fri, 28 Aug 2026 16:30:59 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Wróciliście już z urlopów? Przed Wami garść świeżych wiadomości na temat najciekawszych wydarzeń na polu walki z zagrożeniami. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej opis nowej usługi DecryptAds, która ujawnia firmy zbierające dane użytkowników stron i aplikacji (pkt 17), poczytajcie też o tym, jak Microsoft przyczynił się do utraty danych przez ponad 170 tys. organizacji non-profit (pkt 19). W części technicznej zapoznajcie się z badaniem, które wykazało, że wygasłe karty kredytowe można wykorzystać do nowych transakcji (pkt 11), zajrzyjcie też do artykułów, które pokazują, jak przestępcy używają legalnych narzędzi RMM w zastępstwie trojanów zdalnego dostępu (pkt 23-24). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – August 28, 2026

Część bardziej fabularna

Część bardziej techniczna

Weekendowa Lektura: odcinek 690 [2026-08-21]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Fri, 21 Aug 2026 18:07:10 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Upał jakby zelżał, zbliża się koniec sezonu urlopowego, zebraliśmy więc dla Was całkiem sporo linków, które pozwolą się zorientować w aktualnym krajobrazie zagrożeń. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej artykuły o tym, dlaczego Rafał Brzoska, właściciel InPostu, wciąż przegrywa z Metą (pkt 1-2) oraz opowieść, jak francuskie organy ścigania zhakowały EncroChat, wykorzystując publicznie ujawnioną lukę (pkt 8). W części technicznej poczytajcie o niestandardowej tylnej furtce o rozmiarze 12 KB odkrytej na komputerze z systemem Windows 7 SP1 (pkt 10), zapoznajcie się z analizą nowej usługi phishingowej Mirage2FA, która umożliwia omijanie wieloskładnikowego uwierzytelniania (pkt 12), sprawdźcie też, jak działa Ransom Busters, który bierze na celownik inne rodziny ransomware'u (pkt 20). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – August 21, 2026

Część bardziej fabularna

Część bardziej techniczna

Weekendowa Lektura: odcinek 689 [2026-08-14]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Fri, 14 Aug 2026 13:00:00 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Przestępcy – jak można się było spodziewać – ani myślą o wakacyjnej przerwie, stąd całkiem sporo artykułów, które mieliśmy okazję przejrzeć i dla Was wybrać. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej komentarz Fundacji Panoptykon do przyjętej przez Sejm ustawy „wzmacniającej nadzór sądowy nad stosowaniem kontroli operacyjnej” (pkt 1). W części technicznej zapoznajcie się z przygotowanym przez CERT Polska uzupełnieniem raportu z incydentu w sektorze energii, do którego doszło w grudniu 2025 r. (pkt 1), zerknijcie na analizę phishingowego frameworka JWR, który imituje strony logowania i płatności (pkt 9), poczytajcie też o botnecie Kimwolf v7, który utrudnia odróżnienie ataku od zwykłego ruchu (pkt 19). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – August 14, 2026

Część bardziej fabularna

Część bardziej techniczna

Największy wyciek danych osobowych w historii Polski i co możemy z nim zrobić

Adam Haertle — Thu, 13 Aug 2026 04:00:00 GMT

Trzy dni temu jako pierwsi ujawniliśmy, że włamywacze ukradli z firmy MyDr dane prawie 19 milionów Polaków. Dzisiaj tę liczbę kilkakrotnie potwierdził premier Krzysztof Gawkowski. Co ciekawe, sama poszkodowana firma nadal w swoim stanowisku podkreśla, że nie zna dokładnej skali incydentu. Porzućmy jednak rozważania o tym, czy danych było 19 mln, a skupmy się na skutkach tego zdarzenia.

Co może zrobić zwykły obywatel po wycieku

Zwykły obywatel na razie nie może zrobić nic ani nie może niczego się dowiedzieć. Brzmi brutalnie, ale to prawda. Zastrzeżenie numeru PESEL to podstawowa czynność, którą każdy dorosły Polak powinien był zrobić przynajmniej dwa lata temu. Jeśli jeszcze wam się nie udało, zróbcie to dzisiaj. Przy okazji zadbajcie o to, by zrobił to każdy dorosły w waszej rodzinie. Szczególnie duży nacisk połóżcie na potencjalnych spadkodawców - może to brzmi brutalnie, ale w ten sposób troszczycie się także o siebie.

Warto także zauważyć, że wartość numeru PESEL jest mocno przeceniana. W publicznych rejestrach, dostępnych online (głównie KRS, ale nie tylko), znajdują się numery PESEL około trzech milionów Polaków. Na dokładkę mówimy o osobach często dość zamożnych, pełniących funkcje kierownicze w różnych spółkach. I gdzie ten armagedon? Nie martmy się więc tak bardzo tymi PESEl-ami.

Przykładowe dane jednej z ofiar wycieku

No dobrze, ale czy byłem w wycieku?

Z prawdopodobieństwem przekraczającym 50% odpowiedź brzmi TAK. Ale nie wiemy na 100%. I przez jakiś czas pewnie się jeszcze nie dowiemy. Po pierwsze firma, która padła ofiarą włamywaczy ma problem z precyzyjnym ustaleniem, jakie konkretnie dane zostały skradzione. Dzisiaj pojawiła się informacja, że pewnie były to dane nie nowsze niż z roku 2024, ale które konkretnie - tego nie wiemy. Nikt oprócz włamywaczy nie widział też wykradzionej bazy, a fragmenty, które ujawnili, nie pokazują całego obrazu sytuacji.

Na dokładkę firma nie może (zgodnie z RODO) przekazać danych NASK, który to prowadzi serwis bezpiecznedane.gov.pl. Gdyby przekazać mogła, to każdy mógłby pewnie już wkrótce do serwisu zajrzeć i (zakładając, że może tym razem nie padnie pod obciążeniem, którego nie sposób przewidzieć) sprawdzić, czy był w bazie. Ale firma danych przekazać nie może, prezes UODO nie pozwoli, a nikt mu nie każe pozwolić. Przepis to przepis i basta.

Jest pewna furtka - danych może zażądać na podstawie Kodeksu Postępowania Karnego prokuratura prowadząca postępowanie, a gdy je otrzyma, może je przekazać, gdzie uzna za stosowne. Jest więc szansa, że kiedyś w bezpiecznedane.gov.pl się pojawią.

O incydencie formalnie powinien was powiadomić gabinet, który wasze dane zebrał i do systemu wprowadził. Ale gabinet najpierw musi być poinformowany o tym przez zaatakowaną firmę, która ciągle nie wie, jakie dane wyciekły i kółko się zamyka. To zatem potrwa.

Czy mogę liczyć na odszkodowanie

Najogólniej rzecz ujmując, nie. Odszkodowanie to wyrównanie poniesionej szkody. Aby go dochodzić, trzeba taką szkodę wykazać, obliczyć i udowodnić. Trzeba zatem wskazać np. poniesioną stratę i jej bezpośredni związek przyczynowo-skutkowy z czyjąś winą w tym zakresie. Tego rodzaju sprawy są dość trudne do udowodnienia i nie znamy przypadku, by np. ktoś pozwał Morele.net po wycieku i uzyskał z tego tytułu odszkodowanie.

Nie wiemy nawet, czy UODO nałoży na poszkodowaną firmę karę - to będzie zapewne dopiero przedmiotem postępowania. Trzeba sprawdzić, w jakich okolicznościach doszło do wycieku, np. czy doprowadziły do niego istotne zaniedbania. UODO będzie także badał, jak firma zachowała się po wycieku, czy dochowała należytej staranności w informowaniu ofiar, zachowaniu terminów itp. To, że do wycieku doszło, nie oznacza automatycznie kary - UODO może np. wydać upomnienie czy nakaz dostosowania firmy do określonych przepisów. Ci, którzy pożyją jeszcze kilka lat, pewnie dowiedzą się, na czym ostatecznie stanie.

Jaki jest najgorszy możliwy scenariusz

W scenariuszu katastroficznym włamywacze, nie doczekawszy się spodziewanych korzyści finansowych, w odruchu samobójczej rozpaczy postanowią wykradzione dane sprzedać. Kupi je ktoś, kto źle życzy Polsce i zacznie się zabawa w analizowanie, kto jest w bazie i jakie tabletki przyjmował. To bardzo zły scenariusz. O ile zwykły obywatel naje się najwyżej wstydu, o tyle osoby na eksponowanych stanowiskach mogą być np. szantażowane groźbą ujawnienia treści ich recept za ostatnie 10 (lub więcej) lat. Na przykład, starając się o dostęp do informacji niejawnych lub taki dostęp posiadając, trzeba poinformować o przypadkach leczenia psychiatrycznego. Idziemy o zakład, że nie każdy posiadacz poświadczenia bezpieczeństwa o to zadbał. A to osoby, które z definicji są interesującymi celami rekrutacji obcych wywiadów. To nie wyglądałoby dobrze dla Polski.

Jaki jest najlepszy możliwy scenariusz

W scenariuszu optymistycznym mamy kilka pozytywnych wariantów wydarzeń:

włamywacze otrzymują satysfakcjonującą ich rekompensatę finansową i dane kasują,
włamywacze, przestraszeni gromkimi groźbami premiera Gawkowskiego, zapadają się pod ziemię wraz z danymi i nigdy ich nie ujawniają, bojąc się karzącej ręki polskiego wymiaru sprawiedliwości,
włamywacze zostają namierzeni przez organy ścigania i czy w Polsce, czy w innym kraju, trafiają za kratki i tracą dostęp do wykradzionych danych.

Jakie są szanse na dobry scenariusz? Naszym zdaniem niemałe. Jeśli wierzyć ostatnim wieściom od złodziei sprzed paru dni, dane leżą zaszyfrowane na jakimś dysku offline, a sami włamywacze przyczaili się, by przeczekać sztorm rozpętany w mediach przez premiera. Oby tak pozostało.

Na koniec wskazówki dla lekarzy używających MyDr

Jeden z polskich ekspertów ds. bezpieczeństwa, Krystian Kochanowski, wskazał także ważny wątek, do tej pory pomijany we wszelkiej komunikacji.

https://x.com/krystiankry/status/2086913066113876293

MyDr wymagał od lekarzy wgrania do systemu certyfikatu (wraz z hasłem), którym posługują się, by wystawiać e-recepty. Jeśli certyfikaty trafiły w ręce włamywaczy (a tego nie możemy na tym etapie wykluczyć), to zdecydowanie warto posłuchać Krystiana, stary certyfikat anulować i wygenerować nowy. W niczym to nie zaszkodzi, a może pomóc.

Hakerzy twierdzą, że ukradli dane ponad 18 milionów Polek i Polaków z firmy MyDr

Adam Haertle — Mon, 10 Aug 2026 16:30:00 GMT

Firma MyDr ogłosiła właśnie, że bada poważny incydent bezpieczeństwa w swojej sieci. Rzekomi sprawcy tego incydentu wcześniej skontaktowali się z nami i twierdzą, że są w posiadaniu danych pacjentów wielu polskich przychodni. Według włamywaczy w ich rękach znalazło się 18 814 422 unikatowych numerów PESEL.

MyDr to jeden z największych polskich dostawców systemu Elektronicznej Dokumentacji Medycznej, obsługujący tysiące punktów ochrony zdrowia. Możecie nie wiedzieć, że ta platforma przetwarza wasze dane - używają jej wasi lekarze i to oni wprowadzają dane waszych wizyt i recept. Sama firma MyDr twierdzi, że obsługuje 3 miliony wizyt miesięcznie i wystawienie 2,7 mln recept miesięcznie. Nie podaje liczby użytkowników, którzy są obsługiwani przez jej systemy w placówkach ochrony zdrowia.

Nietypowe zgłoszenie

W sobotę odezwał się do nas ktoś, kto twierdził, że dysponuje danymi ponad 18 milionów Polek i Polaków, pochodzących z systemów medycznych. Potraktowaliśmy zgłoszenie poważnie i weszliśmy w bezpośredni kontakt ze zgłaszającym oraz powiadomiliśmy odpowiednie instytucje.

Co wiemy o incydencie

Osoba (lub osoby) stojąca za wyciekiem przekazała nam sporo informacji, z których część byliśmy w stanie zweryfikować. Poniżej przedstawiamy dowody możliwego wycieku wraz z naszym komentarzem odnośnie ich wiarygodności.

Po pierwsze, otrzymaliśmy zrzut ekranu wpisów w bazie dotyczących jednego z najważniejszych polityków w Polsce. Zawierały jego prawidłową datę urodzenia, jego PESEL, imię i nazwisko oraz dwa różne numery telefonów. Jeden z numerów mogliśmy potwierdzić w kilku innych źródłach i faktycznie, ten polityk z niego korzystał. Wpisom towarzyszyła także recepta na pewien lek - tych informacji oczywiście nie jesteśmy w stanie potwierdzić. Zgadzał się za to wymieniony w bazie region NFZ.

Aktualizacja: Otrzymaliśmy także listę 25 recept, które rzekomo były wystawione na dane wspomnianego polityka. Nie zawiera ona przepisywanych lekarstw, a jedynie numery recept (zawiera także jedną receptę, której szczegóły opisaliśmy powyżej).

Sprawcy przesłali także dane autora tego artykułu. PESEL się zgadzał (da się go pozyskać innymi metodami, choć nie jest to trywialne). Zgadzał się także region NFZ. Numeru telefonu nie było (był wpisany 111111111, co jest praktyką punktów, które nie chcą się bawić w uzupełnianie wszystkich danych).

Sprawcy przesłali także kilka zrzutów ekranu pokazujących zebrane dane, np. z systemu Jira:

Sprawcy przesłali także zrzut ekranu wiadomości, którą podobno wysłali 5 sierpnia do prezesa firmy, będącej właścicielem platformy. Sprawcy wiadomość wysłali kopię do siebie, to zrzut ekranu kopii.

Wiadomość zawierała link do dokumentu PDF, który miał być skasowany po pobraniu, ale skasowany nie został. Jak sprawdziliśmy, link nadal działał (dlatego zamazaliśmy go na powyższym zrzucie ekranu). Plik PDF był zabezpieczony hasłem, ale sprawcy wspomnieli, że hasłem jest PESEL prezesa. Ustalenie hasła nie było problemem - wspominaliśmy już wielokrotnie, że PESEL ma niską entropię. W treści dokumentu znaleźliśmy większość dowodów włamania, które także my otrzymaliśmy, oraz prośbę o kontakt (inne konto Session niż to, które korespondowało z nami). Przedstawiono także zagadnienie jako "ofertę zakupu wyników audytu bezpieczeństwa".

Otrzymaliśmy także przykładowy cennik reklam w serwisie, w formie zrzutu ekranu pliku Excela ze stawkami za reklamy konkretnych lekarstw. Z kolei plik PDF wysłany rzekomo do prezesa zawierał wewnętrzną korespondencję firmową, w tym np. informacje o nowych pracownikach czy raport sygnalisty o nieprawidłowościach. Był w nim także fragment bazy danych lekarzy, z którymi firma współpracuje - dane, które sprawdziliśmy, były w 100% prawdziwe (choć to dane dostępne w większości publicznie). W liście do prezesa wymieniali takie systemy jak Jira czy Hubspot CRM jako te, do których uzyskali pełny dostęp.

Sprawcy pokazali nam także SMS-a, którego rzekomo wysyłali do pracowników firmy z jej własnego konta w serwisie SMSApi.

Jak sprawcy dostali się do infrastruktury firmy

Według tego, co usłyszeliśmy od sprawców, najpierw udało im się uzyskać zdalne wykonanie kodu przez podatność typu XXE przy obsłudze certyfikatów PKCS#12. To pozwoliło na poznanie klucza API do GitHuba, gdzie z kolei znaleźli kod źródłowy serwisu. Dzięki temu dostali się do infrastruktury na AWS. Nie byliśmy w stanie niezależnie zweryfikować tych informacji.

Jak oceniamy wiarygodność twierdzeń sprawców

W takim zakresie, w jakim mogliśmy je zweryfikować, nie przyłapaliśmy sprawców na żadnej niezgodności czy kłamstwie. Warto jednak zauważyć, że nasze możliwości weryfikacji są dość ograniczone. Sprawcy twierdzą na przykład, że ukradli 2,5 TB danych - nie mamy żadnej możliwości weryfikacji tego twierdzenia. Podobnie nie możemy zweryfikować twierdzenia, że w ich posiadaniu są dane osobowe ponad 18 milionów Polek i Polaków, ale ta liczba wydaje się odzwierciedlać potencjalny zakres działania systemu MyDr (przy tysiącach obsługiwanych gabinetów i przychodni). Pośrednio prawdopodobieństwo incydentu potwierdził także premier Gawkowski, pisząc, że "wiele wskazuje na to, że osoba nieuprawniona mogła uzyskać do nich [danych] dostęp".

Potwierdzenie zasięgu bazy

Dla weryfikacji twierdzeń włamywaczy poprosiliśmy ich o sprawdzenie numerów PESEL czterech osób z branży, które zgodziły się wziąć udział w eksperymencie. Dla dwóch z nich otrzymaliśmy rekordy z bazy wykradzionej przez włamywaczy. To oznacza, że dla pięciu sprawdzonych numerów PESEL (łącznie z autorem artykułu), dla trzech znalazły się rekordy w bazie. Próba statystycznie niewielka, ale pasująca do liczby ponad 18 mln rekordów.

Kim są sprawcy

Tu robi się ciekawie, ponieważ kimkolwiek są, starają się wyglądać jak ktoś zupełnie inny. Komunikują się po angielsku, uśmiechają po rosyjsku ("))))))))))"), a język angielski, jakim się posługują, brzmi, jakby ktoś kazał Claude'owi przepisać tekst "tak jakby to napisał średnio znający angielski obywatel jakiegoś kraju z Azji". Brzmi to zatem jak próby sprowadzenia śledztwa na fałszywe tropy.

Jak sprawdzić, czy jestem w wycieku

Tu mamy złą informację - nie da się i jest spore ryzyko, że będzie to niemożliwe (lub bardzo utrudnione). Problem polega na tym, że MyDr jest jedynie "podmiotem przetwarzającym" zgodnie z RODO, a administratorem danych są placówki ochrony zdrowia, których są tysiące. Z prawnego punktu widzenia MyDr nie ma prawa przekazać danych ofiar incydentu np. zespołowi CERT Polska. by umieścić je w serwisie bezpiecznedane.gov.pl. No chyba że rząd coś wymyśli :) W tej sytuacji musicie liczyć na to, że gdy ustalony zostanie zakres incydentu, MyDr powiadomi placówki ochrony zdrowia, czyje i jakie dane wyciekły, a one przekażą te informacje bezpośrednio wam. A to może zająć wiele dni.

Stanowisko firmy

Wysłaliśmy zaatakowanej firmie kilka pytań:

1. Czy firma wie o incydencie uzyskania nieuprawnionego dostępu do danych osobowych użytkowników serwisu?
2. Kiedy firma dowiedziała się o incydencie?
3. Jakie działania podjęto w tym zakresie do tej pory?
4. Jakie działania są planowane?

Oto odpowiedzi, jakie otrzymaliśmy.

1. Obecnie prowadzimy postępowanie wyjaśniające dotyczące zgłoszonego incydentu związanego z systemami MyDr.
2. Dopóki trwa postępowanie wyjaśniające, nie możemy podać dokładnych dat związanych z tym incydentem.
3. Niezwłocznie po uzyskaniu informacji o potencjalnym incydencie:
uruchomiliśmy nasze procedury reagowania na incydenty
nad wyjaśnieniem sytuacji pracują nasze zespoły ds. Bezpieczeństwa, Inżynierii i Infrastruktury
współpracujemy z zewnętrznymi ekspertami ds. cyberbezpieczeństwa oraz doradcami prawnymi
powiadomiliśmy właściwe organy i ściśle z nimi współpracujemy w celu wyjaśnienia tej sprawy
skontaktowaliśmy się również z naszymi klientami i przekazaliśmy im dostępne na obecnym etapie informacje, w tym dedykowany zestaw odpowiedzi na najczęściej zadawane pytania (FAQ), obejmujący kwestie, na które możemy obecnie udzielić odpowiedzi.
4. Na obecnym etapie postępowanie wyjaśniające nadal trwa.
Kontynuujemy ścisłą współpracę z zewnętrznymi ekspertami, właściwymi organami oraz naszymi zespołami wewnętrznymi w celu pełnego wyjaśnienia sprawy.
Będziemy przekazywać kolejne informacje, gdy tylko będziemy mogli potwierdzić nowe ustalenia.

Aktualizacja 2026-08-10 20:00

Dodaliśmy informację o receptach polityka, rozdział o tym, czy można sprawdzić obecność w wycieku, oraz informację o kolejnych potwierdzonych osobach.

Nowa ofiara grudniowego ataku na polską energetykę

Adam Haertle — Sat, 08 Aug 2026 17:00:00 GMT

Kiedy w styczniu opisywaliśmy skoordynowany atak na polską infrastrukturę energetyczną, nie spodziewaliśmy się, że w sierpniu będziemy dodawać kolejne klocki do tej układanki. Jest to jednak niezbędne, ponieważ okazało się, że ofiar było więcej, podobnie jak i metod ataku użytych przez sprytnych napastników.

29 grudnia 2025 doszło do serii ataków, których ofiarą padły polskie farmy fotowoltaiczne i wiatrowe, elektrociepłownia obsługująca prawie pół miliona odbiorców oraz prywatna spółka z sektora produkcyjnego. Ustalenia analityków badających atak wskazały, że zostały one przeprowadzone przez tego samego napastnika. Według właśnie opublikowanego przez CERT Polska raportu uzupełniającego atak miał jednak jeszcze szerszy zasięg.

Nieznana ofiara skutecznego ataku

Ataki z 29 grudnia znane do tej pory były uciążliwe, ale nie zatrzymały procesów generowania i przesyłania energii. Farmy fotowoltaiczne i wiatrowe, mimo uszkodzeń urządzeń kontrolnych, nadal generowały prąd - elektrociepłownia obroniła się przed atakiem. Okazuje się jednak, że sprawcom udało się zatrzymać (na krótko, ale jednak) inną, mniejszą elektrociepłownię, obsługującą ok. 50 tysięcy mieszkańców. Zacznijmy jednak od tego, jak dostali się do jej sieci, bo ten scenariusz ataku był dość nietypowy.

Nietypowy atak

Sprawcy, którzy byli już w sieci farm wiatrowych, szukali możliwości poszerzenia swoich dostępów. W zaatakowanej infrastrukturze znaleźli routery komórkowe z kartami SIM, podłączone do prywatnego APN (bramy sieciowej). APN był zarządzany przez operatora sieci dystrybucyjnej (OSD) i umożliwiał łączność między urządzeniami w wydzielonej sieci wirtualnej.

W ramach prywatnego APN odbywała się komunikacja między systemem SCADA a sterownikami RTU (Remote Terminal Unit). Zgodnie z wymaganiami OSD komunikacja ta odbywała się wyłącznie za pomocą protokołu szeregowego DNP3.0. Wymagania te nie obejmowały jednak interfejsu administracyjnego routera komórkowego. Router Teltonika RUTX50 w jednej z farm wiatrowych miał dwa interfejsy - łącze szeregowe, do którego był podłączony RTU, oraz łącze Ethernet podłączone do VLAN-u. Co prawda, hasło do interfejsu routera, wystawionego przez WWW i SSH, było zmienione z domyślnego, ale sprawcy się do niego dostali. Sposobu pokonania hasła nie udało się ustalić. Udało się za to na etapie śledztwa wydobyć z urządzenia logi, wskazujące połączenia włamywaczy. Ustalenia wskazują, że router mógł być wykorzystany do tunelowania ruchu SSH do wnętrza sieci APN.

Dalsze postępy napastników

Sprawcy od 18 grudnia skanowali sieć APN w poszukiwaniu usług VNC, HTTP, S7 oraz Modbus. Znaleźli w ten sposób sterownik WAGO PFC200 z wystawionym do sieci APN interfejsem WWW z domyślnym hasłem dla konta "admin". Warto podkreślić, że sterownik nie był wystawiony do internetu - znalezienie go wymagało najpierw uzyskania dostępu do prywatnej sieci APN. Sterownik nie udostępniał w domyślnej konfiguracji usługi SSH, ale napastnicy zalogowali się przez interfejs WWW i włączyli sobie dostęp SSH.

Sterownik posiadał dostęp do systemów sterowania przemysłowego elektrociepłowni. Wykorzystując tunelowanie SSH napastnicy przeszukiwali sieć elektrociepłowni w poszukiwaniu usług sterowania przemysłowego S7 (102/TCP), Modbus (502/TCP), CODESYS (11740/TCP), a także monitoringu RTSP (554/TCP) oraz zdalnego pulpitu (RDP, VNC) i WWW (HTTP, HTTPS). Zlokalizowali w ten sposób urządzenia i usługi, które docelowo starali się wyłączyć i uszkodzić.

Dzień ataku

Około godziny 5:30 w dniu 29 grudnia sprawcy połączyli się przez tunele SSH z siecią elektrociepłowni i dostali się do sterowników Siemensa S7-300, S7-1200 oraz S7-1500. Sterowniki zostały przełączone w tryb STOP oraz zabezpieczone hasłem. Wyglądało to tak:

Doprowadziło to do zatrzymania turbiny parowej oraz stacji uzdatniania wody do celów technicznych. W elektrociepłowni akurat podwykonawca prowadził prace utrzymaniowe, więc niespodziewaną awarię złożono na karb pomyłki jego pracowników. Urządzenia sprawiające problemy przywrócono do ustawień fabrycznych i po krótkiej chwili procesy technologiczne ponownie ruszyły, dzięki czemu nie doszło do przerwy w dostawach ciepła do odbiorców. Na szczęście incydent zgłoszono do CERT Polska, dzięki czemu możliwa była analiza i ustalenie prawdziwych powodów awarii.

Pracownicy elektrociepłowni szybko wymyślili obejście problemu - przywrócili sterowniki do ustawień fabrycznych i wgrali w nie oprogramowanie z kopii bezpieczeństwa. Co prawda, ta operacja usunęła ślady włamania, ale pozwoliła na kontynuowanie pracy.

W kolejnym kroku włamywacze, podobnie jak w ataku na farmy fotowoltaiczne i wiatrowe, zmienili konfigurację siedmiu serwerów portów szeregowych i trzech przełączników sieciowych Moxa. Urządzenia zresetowano do ustawień fabrycznych oraz zmodyfikowano ich adresy IP i hasła, by utrudnić próby odzyskania dostępu.

Włamywacze łączyli się także do przemienników częstotliwości z serii ACS firmy ABB, ale nie wiadomo, co próbowali z nimi zrobić. Z kolei do przemienników częstotliwości Schneider Electric ATV6xx połączyć im się nie udało, ponieważ urządzeń szukali na porcie 80, a te panel sterujący wystawiał na innym porcie.

Zacieranie śladów

Sprawcy, podobnie jak u innych ofiar, sporo wysiłku włożyli w zacieranie śladów. W sterowniku WAGO PFC200, przez który łączyli się do sieci ofiary, uszkodzili tablicę partycji tak skutecznie, że próby odzyskiwania danych przy użyciu profesjonalnych technik laboratoryjnych (na zdjęciu poniżej) się nie powiodły.

Również router komórkowy został przywrócony do ustawień fabrycznych, chociaż z niego udało się odzyskać logi.

Wnioski

Raport CERT Polska nie pozostawia wątpliwości - prywatne sieci APN powinny być objęte wnikliwą opieką działu bezpieczeństwa. Najlepiej traktować je jak inne sieci zewnętrzne, z potencjalnie możliwym dostępem dowolnego użytkownika. Izolacja, segmentacja, monitoring i domyślne odrzucanie ruchu poza specyficznie dozwolonym powinny znacząco pomóc w ograniczeniu ryzyka opisanego w omawianym raporcie.

Weekendowa Lektura: odcinek 688 [2026-08-07]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Fri, 07 Aug 2026 18:00:00 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Urlopy urlopami, ale przestępcy działają nadal. Poniżej kolejna porcja informacji o najnowszych atakach, świeżo odkrytych podatnościach i grasujących w sieci szkodnikach. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej rozmowę o przestępczych korporacjach z Agatą Ślusarek, analityczką z RIFFSEC (pkt 3). W części technicznej zapoznajcie się z trzema sposobami omijania Passkey'ów, czyli bezhasłowego uwierzytelniania (pkt 5), poczytajcie też o robaku ChainDrop - nowej wersji Mini Shai-Huluda, która grasuje w repozytorium npm (pkt 17-18). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – August 7, 2026

Część bardziej fabularna

Część bardziej techniczna

Weekendowa Lektura: odcinek 687 [2026-07-31]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Fri, 31 Jul 2026 21:30:00 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Tym razem także nie zabrakło materiału do analizy - poniżej znajdziecie kilkadziesiąt linków, które mogą zapewnić wam zajęcie na resztę weekendu. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej materiał wideo o tym, jak doszło do wycieku narzędzi hakerskich z CIA (pkt 12). W części technicznej zobaczcie poradnik, jak zbudować skuteczną ochronę przed ransomware (pkt 1), prelekcję z tegorocznej edycji CONFidence o tym, jak się obchodzi fizyczną kontrolę dostępu i czytniki RFID (pkt 4) oraz nowe wydanie magazynu Paged Out! (pkt 6). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – July 31, 2026

Część bardziej fabularna

Część bardziej techniczna

Weekendowa Lektura: odcinek 686 [2026-07-26]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Sun, 26 Jul 2026 12:53:26 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Jest już wprawdzie niedziela, ale przy odrobinie determinacji zdążycie przejrzeć wszystkie linki, które dla Was uzbieraliśmy, a zatem miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej wyniki dziennikarskiego śledztwa pokazujące, jak chiński bank centralny wykorzystuje sieć luksemburskich spółek i rajów podatkowych do cichej ekspansji na Europę (pkt 14). W części technicznej zerknijcie na świeżo udostępnione nagrania z konferencji Oh My Hack 2025 (pkt 1), analizę infrastruktury i rekonstrukcję łańcucha ataku grupy INC Ransom (pkt 3) oraz kilka artykułów na temat świeżo ujawnionych krytycznych podatności wp2shell w WordPressie (pkt 6-8). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – July 26, 2026