W dzisiejszym wydaniu szczególnie polecamy w części fabularnej wyniki dziennikarskiego śledztwa pokazujące, jak chiński bank centralny wykorzystuje sieć luksemburskich spółek i rajów podatkowych do cichej ekspansji na Europę (pkt 14). W części technicznej zerknijcie świeżo udostępnione nagrania z konferencji Oh My Hack 2025 (pkt 1), analizę infrastruktury i rekonstrukcję łańcucha ataku grupy INC Ransom (pkt 3) oraz kilka artykułów na temat świeżo ujawnionych krytycznych podatności wp2shell w WordPressie (pkt 6-8). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – July 26, 2026

Część bardziej fabularna

1. [PL] Nowelizacja kodeksu karnego penalizuje przestępstwo patostreamingu
2. [PL] Nieletni oferowali w Internecie usługi ataku DDoS – najmłodszy miał 12 lat
3. [PL] Apple wzmacnia kontrolę rodzicielską w iOS. Co się zmienia?
4. [PL] Odblokowano osiągnięcie: przejęte konto Steam
5. [PL] Fałszywa opłata parkingowa jako narzędzie phishingu
6. [PL][WIDEO] DevOps na celowniku – socjotechnika w przykładach
7. [PL][WIDEO] Fake reviewsy, fake eksperci i prawdziwy internet
8. [PL] Publikowanie nazwisk sportowców ukaranych za doping a RODO
9. [PL][WIDEO] Czym jest wprowadzony przez UE mechanizm QWAC
10. [PL][WIDEO] Jak twórcy z YouTube mogą manipulować statystykami
11. [PL] To głupsze, niż myślisz. Tak manipuluje się twoim chatbotem
12. [PL] Wyszukiwanie za pomocą AI: wygodne odpowiedzi, niepewne źródła
13. [PL] Chat Control powraca zza grobu. Nieskuteczne i niebezpieczne narzędzie
14. [PL] Państwo Środka zerka z cienia, czyli o cichej ekspansji na Europę
15. [PL][WIDEO] Jak Kreml buduje alternatywny system finansowy
16. [PL] Mechanizmy delegitymizacji NATO w rosyjskich operacjach wpływu
17. [PL] Ponad milion wyświetleń prorosyjskiej propagandy na TikToku
18. Grupa ransomware Anubis stała za atakiem na spółkę zależną Coca-Coli
19. Atak na Suno ujawnił, że serwis kopiował dane z YouTube’a i Deezera
20. Organy ścigania rozprawiły się z usługą phishingową Kratos/Sneaky2FA

Część bardziej techniczna

1. [PL][WIDEO] Nagrania z konferencji Oh My Hack 2025
2. [PL] Cmentarzysko certyfikatów oprogramowania
3. [PL] INC Ransom – analiza infrastruktury i rekonstrukcja łańcucha ataku
4. GitHub obniża wypłaty w programie bug bounty co najmniej o połowę
5. Ataki phishingowe przenoszą się z poczty do rozmów na Microsoft Teams
6. Wp2shell – dwie luki prowadzące do zdalnego wykonania kodu w WordPressie
7. Analiza aktywnego wykorzystania podatności wp2shell w WordPressie
8. Wykrywanie ataków na WordPressa realizowanych przy użyciu wp2shell
9. WebDAV oraz ClickFix tworzyły wieloetapowy łańcuch dystrybucji malware’u
10. Analiza tylnej furtki w oprogramowaniu sprzętowym routerów Tenda
11. Miasma atakuje przez złośliwe pliki w repozytorium Azure/durabletask
12. ClickLock – nowy, modularny stealer wymierzony w użytkowników macOS
13. Stealer Phantom używa skryptów PowerShella do pracy wyłącznie w pamięci
14. Fałszywe czcionki TTF wykorzystywane do infekcji firmowych komputerów
15. msaRAT grupy Chaos ukrywa zdalne sterowanie w zwykłym ruchu przeglądarki
16. Usługa Cruciferra pomaga przestępcom w ukrywaniu złośliwych programów
17. Rosyjska grupa wykorzystuje pocztę Zimbra do cichej kradzieży danych
18. Kampania TAG-150 łączy socjotechnikę z wieloetapową infekcją Windowsa
19. Bankowy trojan Lampion koncentruje działania na rynku portugalskim
20. Kampania phishingowa typu AiTM wymierzona w instytucje publiczne
21. Kimsuky użyło tylnej furtki Gomir do ataku na dostawcę oprogramowania
22. Kampania ClickFake Interview celująca w ekspertów od kryptowalut i Web3
23. Fałszywy test rekrutacyjny ukrywa złośliwy kod w obrazach SVG
24. Analiza kampanii StandOff z udziałem kilku rosyjskojęzycznych operatorów
25. Rosyjskojęzyczni przestępcy wykorzystują zaufanie do znanych aplikacji
26. Ukierunkowane ataki na instytucje rządowe na Bliskim Wschodzie
27. Badacze z Google’a aktualizują system nazewnictwa grup przestępczych

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej poradnik, jak rozpoznać fałszywe sklepy online i nie stracić pieniędzy (pkt 8) oraz opowieść o startupie IRIS C2 skupującym luki 0-day i exploity, za którym – jak się okazało – stoją znani oszuści (pkt 17). W części technicznej zerknijcie do biuletynu zabezpieczeń Microsoftu, gdyż w lipcu firma załatała rekordową liczbę 622 luk w swoich produktach (pkt 1), zapoznajcie się też z analizą nowego złośliwego oprogramowania GigaWiper, który łączy zdalną kontrolę z trwałym niszczeniem danych na Windowsie (pkt 9). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – July 18, 2026

Część bardziej fabularna

1. [PL] Prawo dla twórców stron i aplikacji – fundamenty, które trzeba znać
2. [PL] Presja zakupowa na dzieci. Zarzuty dla dwóch influencerów z YouTube’a
3. [PL] 26,7 tys. zł kary za prywatny monitoring przestrzeni publicznej?
4. [PL] CBZC rozbiło grupę handlującą w sieci sfałszowanymi farmaceutykami
5. [PL] Obchodzenie zakazów na Vinted, czyli e-papierosy zamiast długopisów
6. [PL] Oszustwo na Booking.com z użyciem WhatsAppa wraca na wakacje
7. [PL] Co powinno cię zaniepokoić, gdy ktoś prosi o kod BLIK
8. [PL] Jak rozpoznać fałszywe sklepy online i nie stracić pieniędzy
9. [PL][WIDEO] Avast – darmowy antywirus, który przez 6 lat cię szpiegował
10. [PL][WIDEO] Twoja wtyczka do przeglądarki wie więcej, niż ci się wydaje
11. [PL] Podpalacze Europy. Sieć rosyjskich werbowników wyszła poza Ukrainę
12. [PL] „Myrotworeć” nie jest ukraińską „listą śmierci”. Co wiemy o tej organizacji?
13. Wielka Brytania i UE ogłosiły wspólny pakiet sankcji za rosyjskie cyberataki
14. Kontrowersje wokół kodu śledzącego użytkowników Claude Code w Chinach
15. „Hackathon” Interpolu ujawnił handel ludźmi w serwisach subskrypcyjnych
16. Negocjator trafił do więzienia za współpracę z operatorami ransomware’u
17. Za startupem IRIS C2 kupującym luki i exploity stoją skazani oszuści

Część bardziej techniczna

1. W lipcu Microsoft załatał rekordową liczbę 622 luk w swoich produktach
2. Jest już dostępny exploit wykorzystujący lukę LegacyHive w Windowsie
3. Atakujący wykorzystują lukę w Progress ShareFile do kradzieży danych
4. Luka Januscape zagraża izolacji maszyn wirtualnych na hostach KVM/x86
5. GhostLock, czyli 15-letnia podatność we wszystkich dystrybucjach Linuksa
6. Jak stare bootloadery UEFI umożliwiały obejście mechanizmu Secure Boot
7. Badacze zresetowali hasło portfela kryptowalutowego Tangem za pomocą lasera
8. Aktywnie wykorzystywana luka we wtyczce Everest Forms Pro do WordPressa
9. GigaWiper łączy zdalną kontrolę z trwałym niszczeniem danych na Windowsie
10. Fałszywa weryfikacja Cloudflare na macOS skłania do uruchomienia poleceń
11. Framework Miasma rozprzestrzeniany poprzez atak na pakiety AsyncAPI w npm
12. Kampanie z użyciem stealera ACR mające na celu kradzież danych firmowych
13. Kratos wział na celownik konta Microsoft 365 firm z USA i Europy
14. Telepuz rozprzestrzenia się poprzez ClickFix i łańcuch infekcji Vidara
15. Atak HalluSquatting wykorzystuje halucynacje AI do tworzenia botnetów
16. Claude dla Chrome pozwala innym wtyczkom odczytywać dane z Gmaila
17. TuxBot v3 wykorzystuje AI do budowy modułowego botnetu IoT
18. Chiny i Indie atakowały pakistańską policję w równoległych kampaniach
19. Kampania ShadowRecruit atakuje osoby szukające pracy w sektorze publicznym
20. Jak Rosja hakuje kamery w Europie, by móc śledzić dostawy broni do Ukrainy

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej wideo tłumaczące, jak działa nielegalny rynek tokenów AI (pkt 3). W części technicznej poczytajcie o złośliwym oprogramowaniu ChocoPoC rozpowszechnianym pod przykrywką fałszywych exploitów (pkt 11), zerknijcie też na analizę Glitch SPY, trojana na Androida, który podszywa się pod polską aplikację (pkt 15). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – July 10, 2026

Część bardziej fabularna

1. [PL][WIDEO] Cyberbezpieczeństwo na wakacjach
2. [PL] Oszustwo pod pozorem podwójnej płatności za fakturę Play
3. [PL][WIDEO] AI za grosze – jak działa nielegalny rynek tokenów
4. [PL][WIDEO] Przegląd zagrożeń związanych z domowymi kamerami
5. [PL] Komisja Europejska pozywa Polskę za niewdrożenie dyrektywy policyjnej
6. [PL] Miasto przyznało się do nieprawidłowości, ale obwinia Google i operatora
7. [PL] Do 5 lat więzienia za produkcję i sprzedaż urządzeń podsłuchowych
8. [PL] Fałszywe konta, nieistniejące artykuły i rosyjskie powiązania
9. [PL] Obejście geoblokady poprzez VPN a skuteczność środka ochrony
10. Europejski dostawca chmury Nextcloud nieopatrznie ujawnił 8 GB danych
11. Discord przez pomyłkę AI niesłusznie zbanował ponad 8 tys. użytkowników
12. W ramach operacji First Light aresztowano 5,8 tys. oszustów w 97 krajach
13. Ofiary szpiegującego oprogramowania Predator pozywają jego producenta
14. Włamanie na platformę wymiany informacji wywiadowczych DHS
15. Zhakowane strony rządowe i uniwersyteckie hostują treści OnlyFans

Część bardziej techniczna

1. [PL][WIDEO] Co można zrobić z radiem bez licencji krótkofalarskiej
2. [PL][WIDEO] WordPress bez hardeningu – prosta droga do hackingu
3. [PL] Jak okradziono zdecentralizowaną giełdę Cetus
4. [PL] Krytyczna luka w Oracle E-Business Suite pod ostrzałem
5. Luka w Operze GX pozwalała stronom niezauważalnie instalować wtyczki
6. Opera wyposażona w funkcję chroniącą przed atakami typu ClickFix
7. Krytyczna luka w Adobe ColdFusion jest już wykorzystywana w atakach
8. Luki w bibliotece FatFs zagrażają kamerom i urządzeniom IoT w firmach
9. W oprogramowaniu sprzętowym routerów Tenda odkryto tylną furtkę
10. Analiza luk w protokołach Apple AirDrop i Google/Samsung Quick Share
11. ChocoPoC rozpowszechniany pod przykrywką fałszywych exploitów
12. Bad Epoll – luka w Linuksie dająca dostęp do roota i dotycząca Androida
13. Januscape, czyli poważna luka w środowisku wirtualizacyjnym na Linuksie
14. Wykorzystywanie luk w aplikacjach webowych firmy Johnson & Johnson
15. Glitch SPY – trojan na Androida podszywający się pod polską aplikację
16. Nowa platforma RedWing ułatwia infekowanie telefonów z Androidem
17. SCMBanker atakuje użytkowników bankowości mobilnej w Meksyku
18. Ransomware JadePuffer wykorzystuje agenta AI do automatyzacji ataków
19. Przeglądarkowy ransomware stworzony za pomocą DeepSeeka
20. Kampanię FortiBleed powiązano z grupami ransomware INC i Lynx
21. Grupa Hyadina wróciła z ransomware’em GodDamn atakującym firmy
22. Od wykorzystania luki CitrixBleed 2 do zaszyfrowania firmowych danych
23. AI podpowiada atakującym nazwy domen, czyli phantom squatting
24. Skrypt napisany metodą vibe coding posłużył do ataku na firmową sieć
25. Atak na środowisko chmurowe AWS przyspieszony za pomocą AI
26. Kampania Boss Scam wykorzystuje zaufanie do przełożonych
27. TimbreStealer atakuje firmy w Meksyku i skutecznie unika wykrycia
28. Analiza łańcucha infekcji prowadzącego do wdrożenia trojana CrySome
29. Stealer Vidar i koparka kryptowaluty XMRig w jednej kampanii
30. UNK_MassTraction łączy phishing z wykorzystaniem luk w Microsoft Edge
31. Fałszywe faktury używane w atakach na rosyjskie firmy z branży lotniczej
32. Rosyjska grupa podsuwa swoim ofiarom fałszywe portfele kryptowalutowe
33. Cavern Manticore – nowa grupa APT powiązana z irańskim wywiadem

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej raport „Internet dzieci 2026”, z którego wynika, że algorytmy i AI szkodzą już kilkulatkom (pkt 11) oraz opowieść o tym, jak europoseł z komisji badającej Pegasusa sam padł ofiarą tego spyware’u (pkt 14). W części technicznej spójrzcie na przegląd ciekawych podatności w aplikacjach webowych przygotowany przez Michała Sajdaka (pkt 1) oraz analizę ataku na łańcuch dostaw w modelu SaaS na przykładzie Klue (pkt 5). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – July 5, 2026

Część bardziej fabularna

1. [PL][WIDEO] GPS w Europie wariuje. Źródło jest w kosmosie?
2. [PL] Jak Agencja Projektowania Społecznego działa na rzecz Rosji
3. [PL][WIDEO] Retro-podcast Informatyka Zakładowego – odcinek 5
4. [PL][WIDEO] Cyfrowa Hydra: Czy jednostka ma szansę?
5. [PL] Nieopłacony parking? Uważaj na oszustów
6. [PL][WIDEO] Dlaczego wszyscy nabierają się na internetowe scamy
7. [PL][WIDEO] Jak atakujący próbują ukraść dane do Gmaila na LinkedInie
8. [PL] CBZC rozpracowało 17-latka atakującego abonentów sieci komórkowych
9. [PL] Jak FBI szkoli śledczych w realistycznym cyberpoligonie
10. [PL] Nielegalnie przetwarzane dane osobowe jako dowód w sądzie
11. [PL] Raport „Internet dzieci 2026”. Algorytmy i AI szkodzą już kilkulatkom
12. [PL] Eustella – europejska, bezpieczna alternatywa dla ChataGPT i Gemini
13. Jak korzystać z RSS-ów, by śledzić treści bez platformowych podpowiedzi
14. Europoseł z komisji badającej Pegasusa sam padł ofiarą tego spyware’u
15. Unieszkodliwiono infrastrukturę złośliwego oprogramowania Amadey i StealC
16. USA przejęły setki domen oferujących pirackie transmisje z mundialu
17. Badacze z Google’a odcięli miliony urządzeń od złośliwej sieci proxy NetNut
18. Członek grupy Scattered Spider został ekstradowany z Finlandii do USA

Część bardziej techniczna

1. [PL][WIDEO] Przegląd ciekawych podatności w aplikacjach webowych
2. [PL][WIDEO] FortiBleed: to nie nowa luka,tylko problem z poświadczeniami
3. [PL][WIDEO] Cyberodporność kolei: od podatności do zgodności i bezpieczeństwa
4. [PL] Deepfake i spoofing gov.pl wspierały fałszywą platformę inwestycyjną
5. Analiza ataku na łańcuch dostaw w modelu SaaS, czyli przypadek Klue
6. Wydano Kali Linux 2026.2 wyposażony w 9 nowych narzędzi
7. Ciekawe wykorzystanie WinPE w celach praktycznych
8. Luka DirtyClone w Linuksie umożliwia eskalacje uprawnień do roota
9. Masowy wyciek kluczy API z aplikacji AI na iPhone’a (PDF)
10. Ukryte instrukcje na stronach WWW wpływają na zachowanie agentów AI
11. Silent Swap podmienia adresy portfeli przez fałszywą wtyczkę do przeglądarek
12. Fałszywe rozszerzenie Perplexity przechwytywało ruch sieciowy użytkowników
13. Nawet „czyste” repozytorium GitHuba może być zagrożeniem dla agentów AI
14. Atak BioShocking zmusza przeglądarki AI do ujawnienia danych logowania
15. ARToken jako panel afiliacyjny EvilTokens atakuje Microsoft 365
16. Fałszywa faktura prowadzi do AsyncRAT-a przez Dropboxa i TryCloudflare
17. ValleyRAT trafia do firm przez fałszywe instalatory i maile po japońsku
18. TONResolver atakuje japońskie hotele współpracujące z Booking.com
19. Zatrute wyniki wyszukiwania w Bingu prowadzą do ransomware’u Akira
20. Veil#Drop, czyli wieloetapowy łańcuch infekcji wdrażający stealera PureLog
21. PamStealer podszywa się pod Maccy i wykrada dane z macOS
22. RustDuck przejmuje routery i serwery do ataków DDoS
23. Miasma Mini Shai-Hulud celuje w LeoPlatform i ekosystem Go
24. [WIDEO] Signals & Stories: Ewolucja atrybucji w threat intelligence
25. Mustang Panda atakuje indyjskie instytucje rządowe i sektor energetyczny
26. DragonReturn podszywa się pod fiskusa i atakuje podatników w Indiach
27. UNC1151/Ghostwriter prowadzi szeroko zakrojoną kampanię phishingową

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej obszerny materiał, z którego wynika, że rosyjskie służby wciąż korzystają z narzędzi Cellebrite mimo zakończenia oficjalnej współpracy (pkt 13). W części technicznej spójrzcie na analizę kampanii FortiBleed wymierzonej w urządzenia Fortinet FortiGate i usługi SSL VPN (pkt 8), zerknijcie też do raportu pokazującego, jak zmieniły się ataki na wodociągi i oczyszczalnie ścieków w ostatnich latach (pkt 22). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – June 26, 2026

Część bardziej fabularna

1. [PL][WIDEO] Cyberbezpieczeństwo na co dzień
2. [PL] Dlaczego publikacja zdjęć dzieci ze świadectwem to zły pomysł?
3. [PL] Czy dane do logowania w serwisie internetowym to dane osobowe?
4. [PL] Członkowie grupy przestępczej zatrzymani przez CBZC z udziałem FBI i HSI
5. [PL] Sprzedajesz telefon na Vinted? Uważaj nie tylko na phishing i BLIK
6. [PL] Jak popularność akcji charytatywnej stała się paliwem dla oszustów
7. [PL] Prezes UODO podpowiada organom ścigania, jak interpretować deepfejki
8. [PL] NIS2: Nadzór i kontrola nad podmiotami kluczowymi i ważnymi
9. [PL] O czyją suwerenność cyfrową troszczy się Unia Europejska?
10. [PL] Blokowanie dzieciom dostępu do pornografii a swoboda usług
11. [PL] Czy znikające wiadomości mogą stać się sposobem na unikanie jawności?
12. Według UE usługi chmurowe Amazona i Microsoftu powinny podlegać DMA
13. Rosja korzysta z narzędzi Cellebrite mimo zakończenia oficjalnej współpracy
14. Oszuści przyczynili się do wycofania fizycznych kart podarunkowych Steam
15. Włamanie do zewnętrznej firmy przyczyniło się do wycieku danych z Nintendo
16. Atak na bota MEV JaredFromSubway skutkował kradzieżą 15 mln dolarów

Część bardziej techniczna

1. [PL] Jak konto bez uprawnień uzyskało dostęp do systemów FIFA
2. usbliter8 umożliwia wykonanie kodu w SecureROM układów Apple A12/A13
3. Podatność Squidbleed istniała w kodzie serwerów proxy Squid od 1997 r.
4. Luka w KNOX objęła wiele smartfonów Samsunga – od Galaxy S9 do S25
5. W odpowiedzi na krytykę AMD przywraca szyfrowanie pamięci w procesorach
6. PixelSmash – świeżo załatana krytyczna luka w zabezpieczeniach FFmpeg
7. Botnet AryStinger zainfekował ponad 4 tys. przestarzałych routerów D-Linka
8. Analiza kampanii FortiBleed wymierzonej w urządzenia Fortinet FortiGate
9. Aktywnie wykorzystywana luka we wtyczce do WordPressa Gravity SMTP
10. Popularny bloker reklam do Chrome’a może wykonywać dowolny kod
11. Backdoor Gaslight wykorzystuje prompt injection zamiast unikać sandboxów
12. Fałszywe reklamy Node.js kierują do OxLoadera, a ten dostarcza CastleStealera
13. Stealer OnyxC2 potrafi wykraść dane z około 210 aplikacji i rozszerzeń
14. Gamaredon zmienia metody ataków i rozwija nowe kanały komunikacji
15. SolarisLoader oferowany jako usługa napędza kolejne kampanie
16. Robak Crypto Clipper używa sieci Tor do ukrywania swoich działań
17. Steganografia pomaga atakującym rozpowszechniać różne zagrożenia
18. Vidar obchodzi zabezpieczenia ABE, skanując pamięć procesów przeglądarek
19. EvilTokens ukrywa fałszywe strony logowania przed analizą adresów URL
20. Payouts King rozwija łańcuch infekcji z wykorzystaniem Edgecution
21. Złośliwe archiwa RAR używane w atakach na sektor medyczny w Tajlandii
22. Infrastruktura wodna na celowniku grup APT sponsorowanych przez państwa

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej materiał pokazujący aktywność cyberprzestępców na Telegramie, rozkwitającą mimo wzmożonych prób jej ograniczenia (pkt 11), zobaczcie też, jak wygląda replika miasta stworzona przez FBI, która ma posłużyć do symulowania cyberataków (pkt 15). W części technicznej poczytajcie o tym, jak działają narzędzia do wyłączania EDR używane przez grupę ransomware Gentlemen (pkt 9), zapoznajcie się też z analizą wieloletniej kampanii realizowanej przez chińską grupę Velvet Ant (pkt 25). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – June 19, 2026

Część bardziej fabularna

1. [PL] Zarabiali na fikcyjnych sklepach internetowych, oszukali ponad 440 osób
2. [PL] Kreator CV, czyli kreator kosztów. UOKiK ukarał Interviewme.pl
3. [PL] Oszuści podszywają się pod InPost i kradną dostęp do WhatsAppa
4. [PL] Fałszywy mail od Allegro o błędzie w adresie dostawy
5. [PL] Informowanie o inwigilacji potrzebne od zaraz
6. [PL] Palantir przegrał w Szwajcarii. Europa ogranicza zależność od USA
7. [PL][AUDIO] Czwarty odcinek Retro-podcastu Informatyka Zakładowego
8. Reforma studiów w Chinach premiuje AI kosztem kierunków humanistycznych
9. Wielka Brytania zakazuje korzystania z social mediów dzieciom poniżej 16 lat
10. [WIDEO] The Cult of the Dead Cow – grupa żartownisiów czy hakerski gang?
11. Przestępczość kwitnie na Telegramie mimo wzmożonych prób jej ograniczenia
12. Grupa ShinyHunters zaatakowała Radę Europy przez lukę w Oracle PeopleSoft
13. Kodak potwierdził, że ​​padł ofiarą włamania ze strony ShinyHunters
14. Organy ścigania unieszkodliwiły usługę prania kryptowalut AudiA6
15. FBI stworzyło w Huntsville replikę miasta, aby móc symulować cyberataki

Część bardziej techniczna

1. [PL] Fałszywy dokument przewozowy – Purelogs Stealer realnym zagrożeniem
2. FortiBleed: 75 tys. zapór Fortinetu z przejętymi hasłami administratorów
3. Cisco łata lukę 0-day w oprogramowaniu Catalyst SD-WAN Manager
4. Analiza wykorzystania luki typu OS command injection w Ivanti Sentry
5. OpenClaw podatny na prompt injection i wyciek poufnych danych
6. W phpBB załatano 10-letnią lukę umożliwiającą ominięcie uwierzytelniania
7. INC wyrasta na jedną z najaktywniejszych grup ransomware na świecie
8. Interlock i Rhysida korzystają z podobnego zestawu narzędzi
9. Jak działają narzędzia do wyłączania EDR grupy ransomware Gentlemen
10. Kampania złośliwego oprogramowania realizowana przez Dropping Elephant
11. Operacja Endgame uderzyła w sieć fałszywych aktualizacji SocGholish
12. Ponad 400 pakietów w AUR (Arch User Repository) dostarczało rootkity
13. Złośliwe wtyczki w JetBrains Marketplace kradną klucze API od programistów
14. Atak na łańcuch dostaw w środowisku sztucznej inteligencji Mastra
15. Shai-Hulud rozszerza ataki z npm na PyPI i narzędzia deweloperów
16. Ponad 150 rozszerzeń do przeglądarki Chrome powiązanych z adware
17. Rokarolla przejmuje telefon i atakuje aplikacje bankowe na Androidzie
18. NFCShare atakuje banki w Europie, wykorzystując fałszywe aktualizacje aplikacji
19. Operatorzy DragonForce ukryli ruch C2 w infrastrukturze Microsoft Teams
20. Jak kampania ClickFix wykorzystuje AI do kradzieży danych klientów banku
21. Atak ClickFix otworzył drogę do przejęcia 11 hostów w firmowej sieci
22. Atakujący wysłali 8,9 mln e-maili, używając przejętego serwera małej firmy
23. FishMonger przenosi tylną furtkę SprySOCKS z Linuksa na Windowsa
24. Chińska grupa APT szpiegowała północnoamerykańskie instytucje medyczne
25. Analiza wieloletniej kampanii realizowanej przez chińską grupę Velvet Ant

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej materiał poświęcony tajnej Katedrze nr 4, pokazujący, co studiują rosyjscy agenci wywiadu (pkt 3). W części technicznej poczytajcie o kampanii phishingowej grupy UNC1151/Ghostwriter przeciwko polskim użytkownikom Gmaila (pkt 3), zerknijcie też na analizę narzędzi z arsenału grupy Gamaredon powiązanej z rosyjskimi służbami (pkt 12). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – June 12, 2026

Część bardziej fabularna

1. [PL] Strategia Cyfryzacji Państwa przyjęta przez rząd
2. [PL] Czy jawność zagraża bezpieczeństwu państwa?
3. [PL][WIDEO] Tajna Katedra nr 4. Co studiują rosyjscy agenci wywiadu?
4. [PL] Oferta „bezpiecznego” zysku w sieci może być oszustwem
5. [PL] Mundialowy „pewniak”, który wyczyści konto
6. [PL] Obligatoryjna weryfikacja wieku użytkowników serwisów pornograficznych
7. [PL][AUDIO] Meta i Google w sądach. Wyroki zmienią internet?
8. [PL] Niechęć do centrów danych AI jednoczy Amerykanów
9. [PL] AI jako narzędzie skoordynowanej dezinformacji
10. [PL] UODO skarży umorzenie śledztwa ws. wygenerowania nagich zdjęć 14-latki
11. AI wspomaga wyłudzanie polis – Aviva wykryła 18,4 tys. podejrzanych roszczeń
12. Dane z Pokémon Go mogą wspierać nawigację dronów w strefach walk
13. [WIDEO] Co zakłóca sygnały GPS w całej Europie
14. Francuski rządowy komunikator Tchap padł ofiarą ataku
15. Meta oskarża NSO Group o ataki na WhatsAppa wbrew nakazowi sądu

Część bardziej techniczna

1. [PL][WIDEO] MCP – gorący ziemniak w świecie AppSec
2. [PL] Signal wdraża mechanizmy chroniące przed phishingiem
3. [PL] Kampania phishingowa grupy UNC1151/Ghostwriter na pocztę Gmail
4. Atakujący przez ponad miesiąc wykorzystywali lukę w VPN-ach Check Pointa
5. Botnet C0XMO atakuje routery z oprogramowaniem układowym DD-WRT
6. Piąta luka 0-day w Chrome w tym roku, Google wydał poprawkę
7. [WIDEO] Najbardziej problematyczny wariant Open Redirect
8. Microsoft załatał w czerwcu 206 podatności, w tym trzy typu 0-day
9. Niezałatana luka w Windows Search pozwala wykradać skróty NTLM
10. Luka w jądrze Linuksa wynikająca z jednego blędnie użytego znaku
11. Oracle ostrzega przed luką w PeopleSoft wykorzystywaną przez ShinyHunters
12. Analiza narzędzi z arsenału grupy Gamaredon powiązanej z rosyjskimi służbami:
    • GammaPhish i GammaWorm
    • GammaLoad
    • GammaSteel
13. Atakujący wykorzystują modę na AI do dystrybucji AsyncRAT-a
14. Nowy robak IronWorm zainfekował 36 pakietów w repozytorium npm
15. Samoreplikujący się robak Miasma korzysta z techniki Phantom Gyp
16. Miasma automatyzuje przejmowanie pakietów i kont programistów
17. Kampania Miasma dotarła do usług chmurowych Microsoft Azure
18. Przeglądarka Hola dla Windowsa z koparką kryptowalut na pokładzie
19. Wykorzystanie marek AI jako przynęty w kampaniach phishingowych
20. Kampania UNK_DeadDrop z użyciem fałszywych repozytoriów
21. GoFlateLoader dostarcza kilka infostealerów w jednej kampanii
22. Nowe techniki utrudniają wykrywanie incydentów w chmurze
23. Analiza techniczna MLTBackdoora dystrybuowanego metodą ClickFix
24. Atakujący używają NinjaOne RMM do utrzymania dostępu w sieciach
25. Wietnamska grupa OceanLotus zaczęła atakować lokalne organizacje
26. Jak chińska grupa VerdantBamboo omija EDR na urządzeniach brzegowych
27. Grupa APT28 dostosowuje narzędzia i taktyki do nowych realiów
28. Stara podatność w programie WinRAR używana w atakach na Ukrainę
29. Ukierunkowana kampania przeciwko amerykańskim kancelariom prawnym
30. Kampania Khmer Shadow wymierzona w instytucje rządowe Kambodży

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej kolejny odcinek Retro-podcastu Informatyka Zakładowego (pkt 11). W części technicznej spójrzcie na kapitalną prezentację z CONFidence 2026 o krytycznych lukach, które umożliwiały zalogowanie się na konto dowolnego obywatela w ZUS-ie, e-Sądzie i systemach e-Zdrowia (pkt 1), sprawdźcie, jak Mini Shai-Hulud zaatakował ekosystem Red Hata (pkt 15-16) oraz poczytajcie o zakłóceniu pracy rosyjskiego „kuloodpornego” hostingu używanego w atakach na kraje UE (pkt 21). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – June 7, 2026

Część bardziej fabularna

1. [PL] Tak ściga się cyberprzestępców. Kulisy operacji Europolu
2. [PL] Scamy, czyli właściwie co? Jak nie dać się okraść w sieci
3. [PL] Fałszywy sklep wykorzystuje popularność Łatwoganga
4. [PL] Zaufanie liczone w tysiącach – moje.cert.pl
5. [PL] Usługi Google Play. Uzurpator na tronie-smartfonie
6. [PL] Administracja publiczna korzysta z AI, ale wciąż za mało o tym wiemy
7. [PL][AUDIO] Amerykanie vs AI: nowy luddyzm czy reakcja na realne problemy?
8. [PL] MEN nie przewiduje ujawnienia kodu źródłowego swojego e-dziennika
9. [PL][AUDIO] Dzieci w sieci. Prawa, zagrożenia i szanse
10. [PL] Czy operator może przetwarzać dane osobowe niedoszłego klienta
11. [PL][AUDIO] Retro-podcast Informatyka Zakładowego – odc. 3
12. Luka w chatbocie Meta AI wykorzystana do przejęcia kont na Instagramie
13. Programista umieścił w swoim kodzie złośliwy prompt do walki z AI
14. Grupa ransomware RAlord przeprosiła za atak na Eriell Group
15. Co wiadomo o ataku na użytkowników menedżera haseł Dashlane
16. Serwis z cheatami do GTA zhakowany, dane graczy wyciekły do sieci

Część bardziej techniczna

1. [PL][WIDEO] CONFidence 2026: Pełne ominięcie uwierzytelniania w ZUS-ie, e-Sądzie i systemach e-Zdrowia
2. [PL] Blockchain jako element infrastruktury cyberprzestępczej. Analiza kampanii ClickFix wykorzystującej sieć Polygon
3. [PL] Musimy porozmawiać o Backblaze
4. [PL] Czerwcowy biuletyn bezpieczeństwa łata w Androidzie 124 luki
5. [PL][WIDEO] Zhakowano Signala? Nie, chodzi o lukę w systemie macOS
6. Luka w macOS umożliwiała odczytywanie prywatnych danych aplikacji
7. CIFSwitch: 19-letnia luka w Linuksie umożliwiająca eskalację uprawnień
8. Krytyczna luka w usłudze Netlogon aktywnie wykorzystywana w atakach
9. Kradzież tokenów GitHuba jednym kliknięciem przez lukę w VSCode
10. Atak DoS HTTP/2 Bomb wyłącza serwery WWW w ciągu kilku sekund
11. ChatGPhish, czyli jak wykorzystać ChatGPT do ataków phishingowych
12. Wadliwa wtyczka do WordPressa umożliwia tworzenie kont administratora
13. W repozytorium NuGet odkryto złośliwy pakiet kradnący dane bankowe
14. Złośliwe pakiety npm podszywają się pod OpenSearch i ElasticSearch
15. Mini Shai-Hulud wziął na celownik oficjalne pakiety npm Red Hata
16. Atak na łańcuch dostaw Red Hata – więcej szczegółowych informacji
17. Komentarze na Steamie używane do sterowania złośliwym oprogramowaniem
18. Atak na grających w Minecrafta doprowadził do infekcji 116 tys. systemów
19. Łańcuch ataku, narzędzia i taktyki stosowane przez ransomware NightSpire
20. Analiza ataków z użyciem AI realizowanych przez rosyjską grupę GreyVibe
21. Rzut oka na rosyjski „kuloodporny” hosting używany w atakach na kraje UE

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej materiał pokazujący, jak w praktyce wygląda oszustwo na pracownika banku (pkt 10) oraz przegląd zagrożeń czyhających na kibiców i organizatorów tegorocznych Mistrzostw Świata w Piłce Nożnej (pkt 19). W części technicznej sprawdźcie, jak strony internetowe mogą śledzić użytkowników, analizując aktywność dysków SSD (pkt 4), jak Tycoon 2FA omija zabezpieczenia w Entra ID i Google Workspace (pkt 15) oraz jak eksperci unieszkodliwili infrastrukturę botnetu Glassworm (pkt 19). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – May 30, 2026

Część bardziej fabularna

1. [PL] Nie ma weryfikacji wieku bez filtrowania internetu
2. [PL][WIDEO] Kolejna wpadka VPN-ów? Nie do końca
3. [PL] Nowe oblicze płatnej dezinformacji. AI wkracza do gry
4. [PL] Jawność AI w administracji publicznej musi być standardem
5. [PL] CRA: dobre praktyki zarządzania bezpieczeństwem oprogramowania
6. [PL] Identyfikacja osoby na podstawie jej numeru telefomu a RODO
7. [PL] Zatrzymania w sprawie fałszywych alarmów dot. zagrożenia zdrowia i życia
8. [PL] Alarm u rodziny prezydenta. Ekspert wyjaśnia mity o metodach oszustów
9. [PL] Otomoto: wystawiając ogłoszenie, wystawiamy swoje dane na tacy oszustom
10. [PL] Oszustwo na pracownika banku – zapis i analiza rozmowy ze złodziejami
11. [PL] „Korporacje” oszustów. Tak wygląda cyberprzestępczy rynek od kulis
12. [PL] Pułapka na właścicieli domen – jak działa phishing na home.pl
13. [PL] Oszuści w służbie Rosji. Jak podszywają się pod znane organizacje
14. Przestępcy mogą osobiście odwiedzać biura ofiar pod pretekstem wsparcia IT
15. Unieszkodliwiono usługę First VPN używaną przez operatorów ransomware’u
16. CISA przechowywała poufne dane w otwartym repozytorium na GitHubie
17. Litwa bada wyciek 600 tys. rekordów danych z rejestrów państwowych
18. Administrator botnetu KimWolf został zatrzymany w Kanadzie
19. Mundial 2026 w trzech krajach: jakich ataków należy się spodziewać
20. Służby USA ostrzegają przed „ekstremizmem antytechnologicznym”

Część bardziej techniczna

1. [PL] Jak stworzyć domowy radar lotniczy?
2. Microsoft Defender będzie w stanie izolować zainfekowane systemy
3. Podatność 0-day w Gogs umożliwia zdalne wykonanie kodu
4. Strony mogą śledzić użytkowników, analizując aktywność dysków SSD
5. Krytyczna luka w FortiClient EMS pozwala na zdalne włamanie bez hasła
6. Niezaktualizowane F5 BIG-IP i Confluence umożliwiły przejęcie firmowej sieci
7. Luka w 7-Zip pozwala na wykonanie kodu po otwarciu spreparowanego pliku
8. Mini Shai-Hulud: Złośliwe wersje @antv uderzyły w środowiska chmurowe
9. Ataki Mini Shai-Huluda objęły jednocześnie ekosystemy npm i PyPI
10. Kampania Megalodon zainfekowała ponad 5000 repozytoriów na GitHubie
11. GitHub wprowadza 2FA przy publikowaniu pakietów w npm
12. Twórca złośliwego pakietu npm przypadkowo ujawnił swoje dane
13. Atak na łańcuch dostaw Laravel-Lang posłużył do dystrybucji stealera
14. Luka w Ghost CMS przyczyniła się do kampanii ClickFix na dużą skalę
15. Jak Tycoon 2FA omija zabezpieczenia w Entra ID i Google Workspace
16. Rzut oka na nowy zestaw narzędzi phishingowych RatPressto
17. SHub Reaper atakuje macOS, podszywając się pod Apple, Google i Microsoft
18. Kryptokoparka rozprzestrzenia się za pośrednictwem rekomendacji chatbotów
19. Jak eksperci unieszkodliwili infrastrukturę botnetu Glassworm
20. Grupa ransomware The Gentlemen zaatakowała już 300 ofiar w 66 krajach

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

Przypomnijmy, w poprzednim artykule z tej serii próbowałem uzyskać nieautoryzowany dostęp do serwisów administracji publicznej przez funkcję logowania “certyfikatem kwalifikowanym”, używając do tego niepoprawnego podpisu cyfrowego, złożonego w oparciu o autentyczny certyfikat.

Ku wielkiemu zaskoczeniu, zastosowanie tej techniki dawało możliwość zalogowania się w niektórych systemach administracji publicznej, w tym niemal we wszystkich publicznych usługach Ministerstwa Sprawiedliwości.

Zdecydowana większość systemów innych urzędów obroniła się przed testowanym atakiem. Tym razem rozważymy więc alternatywny pomysł.

Seria “Badanie e-podpisów”

Artykuł stanowi część cyklu opisującego mój hobbystyczny projekt badania bezpieczeństwa oprogramowania związanego z obsługą podpisów kwalifikowanych.

• Zdalne wykonanie kodu w SzafirHost – [CVE-2026-26928] [Badanie e-podpisów, cz. 1]
• Hakowanie e-Sądu YubiKeyem – [Badanie e-podpisów, cz. 2]
• Ominięcie uwierzytelniania w ZUS-ie i systemach e-Zdrowia, czyli o krok od cyberchaosu – [CVE-2026-9058] [Badanie e-podpisów, cz. 3]

Rozwinięcie ataku: tym razem fałszywy certyfikat, prawdziwy podpis

Jednym z tych, którzy obronili się przed poprzednią próbą ataku, był system “e-Gate – Obsługa Podpisów Elektronicznych w Ochronie Zdrowia”. Szybko stał się on moim ulubionym obiektem testowym, ponieważ jako jedyny wyświetlał komunikaty błędów informujące o dokładnym powodzie, dla którego podpisany plik został odrzucony.

Ten komunikat dosłownie prowadzi mnie za rękę w procesie decydowania o dalszych krokach. Skoro przypadek niepoprawnego podpisu cyfrowego jest wykrywany, to postaramy się zaadresować ten konkretny problem. Zróbmy tak, aby podpis był poprawny i zgodny z pozostałymi danymi.

Tutaj powstaje istotne ograniczenie – poprawny podpis cyfrowy uzyskam jedynie w dwóch przypadkach:

1. używając czyjejś karty do podpisu kwalifikowanego – odpada, naturalnie nie posiadam dostępu do cudzych kart,
2. używając certyfikatu wraz z kluczem, które wydałem sam sobie – podpis cyfrowy będzie wtedy kryptograficznie poprawny, ale i tak powinien zostać odrzucony jako niezaufany, jako że nie jestem podmiotem uprawnionym do wydawania takich certyfikatów.

Czy tym razem teoria zgodzi się z praktyką? Spróbujemy to ustalić.

Alternatywne PKI

Na początek potrzebujemy stworzyć własną, alternatywną infrastrukturę klucza publicznego (ang. Public Key Infrastructure, PKI). Brzmi bardzo groźnie, ale sprowadza się do poprawnego użycia kilku komend linuksowych, które w efekcie wygenerują niezbędne klucze i certyfikaty, a finalnie zapiszą to wszystko w plikach na dysku.

Wygenerowałem swoje własne certyfikaty “root CA” oraz “intermediate CA” (tzn. głównego i pośredniego urzędu certyfikacji), dla pewności ostrożnie dostrajając konfigurację tak, aby była jak najbliżej prawdziwych certyfikatów. Użyłem identycznych nazw, poustawiałem atrybuty na takie same wartości i dołączyłem te same rozszerzenia X.509. Zasada była prosta – im bardziej wiarygodnie to wszystko wygląda, tym większa szansa na to, że nic mnie nie zablokuje i atak zakończy się sukcesem.

Po kilku godzinach walki z OpenSSL-em moje dzieło było gotowe, a certyfikaty rzeczywiście wyglądały niemal jak te prawdziwe. Jedyny szkopuł w tym, że nie znajdowały się na jakiejkolwiek liście zaufanych certyfikatów.

W międzyczasie rozwinąłem również koncepcję “fałszywej karty”. Tym razem zamiast YubiKeya tę rolę będzie pełnił SoftHSM2 – program, który symuluje fizyczny klucz kryptograficzny, ale tak naprawdę wszystkie operacje wykonuje na lokalnym komputerze. Po takiej modyfikacji, cała infrastruktura do przeprowadzenia ataku mieści się w ramach zwykłej maszyny wirtualnej z systemem Windows 11, nie wymagając jakiegokolwiek dodatkowego zewnętrznego sprzętu.

Moje fałszywe centrum certyfikacji już za chwilę wystawi pierwszy certyfikat “kwalifikowany”. Nie chcę jednak moimi testami wywołać zbyt dużego zamieszania ani tym bardziej naruszyć bezpieczeństwa informacji. Fałszywy certyfikat będzie więc wystawiony na moje prawdziwe dane osobowe. Jeśli atak się powiedzie, to zaloguję się na swoje własne konto, do którego i tak miałbym prawowity dostęp.

Warto tutaj wspomnieć, że jako atakujący mogłem oczywiście wystawić taki certyfikat na dane dowolnej osoby – potrzebowałem jedynie znać jej imię, nazwisko i numer PESEL. Przy okazji dodam, że mechanizm “zastrzeżenia PESEL-u” nie ma tutaj żadnego zastosowania – powstał on w innym celu, a dokumenty można podpisywać elektronicznie, nawet mając aktywne zastrzeżenie.

Co na to system e-Gate?

Początkowo był nieporuszony, bo oprogramowanie w ogólne “nie widziało” mojego fałszywego certyfikatu i nie pozwalało go wybrać.

Pomogła zmiana dynamicznej konfiguracji, która była ładowana po stronie klienta:

1. dopisanie moich fałszywych certyfikatów do listy zaufanych CA,
2. ustawienie, że dopuszczalne jest złożenie podpisu z użyciem dowolnego certyfikatu (niekoniecznie uznawanego za kwalifikowany).

Tym razem udało się podjąć próbę zalogowania, chociaż bezskuteczną, to już z innym komunikatem błędu niż wcześniej.

Wyświetlany komunikat był dosyć specyficzny, więc zacząłem szukać, czy to nie jest przypadkiem rezultat weryfikacji z jakiegoś konkretnego programu. Nie myliłem się, desktopowy program Szafir 2.0.0 na identyczny plik XML reaguje błędem o identycznej treści.

Software zachował się bezpiecznie, ale to jeszcze nie jest moje ostatnie słowo.

Skupmy się na rozwiązaniu konkretnego problemu. Oprogramowanie do weryfikacji podpisów twierdzi, że mojego fałszywego certyfikatu “intermediate CA” nie ma w swojej wewnętrznej bazie danych, przez co nie może go przeanalizować i rozstrzygnąć o poprawności podpisu.

Pomoc w rozwiązaniu tego problemu zapewnia oficjalna specyfikacja “Electronic Signatures and Infrastructures (ESI); XAdES Baseline Profile”:

a) The generator shall include the signing certificate as content of ds:KeyInfo/X509Data/X509Certificate element.

b) In order to facilitate path-building, generators should include in the same ds:KeyInfo/X509Data element as in note a) all certificates not available to verifiers that can be used during path building. (…)

Zwyczajowo, podpisany plik zawiera jedynie certyfikat osoby składającej podpis (tzw. leaf certificate), ale specyfikacja twierdzi, że nic nie stoi na przeszkodzie, aby załączyć tam cały łańcuch certyfikatów, uwzględniając nasze “intermediate CA” oraz “root CA”.

Otwieram podpisany dokument XML w notatniku i ordynarnie doklejam do niego tagi <ds:X509Certificate/> z dodatkowymi certyfikatami CA. Ponowna weryfikacja i…

Ups. Co prawda, doklejenie do pliku dodatkowych certyfikatów jest zgodne ze specyfikacją, ale ma to służyć jedynie jako pomoc czy też podpowiedź dla oprogramowania sprawdzającego podpis. Szafir wziął jednak temat zbyt dosłownie i… automatycznie zaimportował te certyfikaty do swojej bazy danych zaufania.

No dobrze, a dlaczego otrzymaliśmy informację, że jest to podpis niekwalifikowany? W bardzo dużym skrócie, weryfikacja techniczna została pomyślnie zaliczona, ale moich podrobionych certyfikatów CA nie ma na unijnej liście dostawców usług zaufania. Tego mechanizmu nie udało mi się nijak ominąć, ale być może wystarczą dotychczasowe osiągnięcia?

Sprawdźmy, co tym razem powie e-Gate…

Wygląda jakby faktycznie zadziałało! System powiedział, że mój podpis jest poprawny, potwierdził moją tożsamość i przekierował mnie dalej, a widoczny na zrzucie ekranu błąd to już jedynie kwestia tego, że nie jestem lekarzem.

Automatyzacja ataku

Atak działa, ale ma jeden zasadniczy minus: tym razem trzeba się bardzo dużo naklikać, aby w odpowiednim momencie przechwycić niektóre zapytania HTTP z/do serwera atakowanej aplikacji i przeprowadzić “w locie” niezbędne modyfikacje, chociażby dokleić dodatkowe certyfikaty do podpisanego pliku XML. Do ręcznego manipulowania zapytaniami HTTP używałem Burp Suite, którego jednak nie jestem zbyt zaawansowanym użytkownikiem, bo skomplikowane ataki zazwyczaj implementuję bezpośrednio w jakimś języku skryptowym.

Na całe szczęście, istnieje jeden komponent, przez który przepływają wszystkie niezbędne informacje, w dodatku nie trzeba go dekompilować, bo jest napisany w JavaScripcie, a kod nie jest zaciemniony i bardzo łatwo go zmodyfikować. Tym komponentem jest oczywiście wtyczka do przeglądarki “Szafir SDK Web”. Spora część portali administracji publicznej oferujących logowanie podpisem kwalifikowanym żąda instalacji właśnie tej wtyczki, a za jej pośrednictwem wywołuje proces podpisywania dokumentów (więcej kontekstu na ten temat znajduje się w poprzednich artykułach z tej serii).

We wtyczce wprowadziłem relatywnie proste modyfikacje – za każdym razem, gdy strona internetowa próbuje za pośrednictwem wtyczki komunikować się z aplikacją do składania podpisów, wysyłam żądanie do mojego serwera w Pythonie, który może zdecydować o zmodyfikowaniu w locie przesyłanych danych. Analogicznie, gdy komunikacja odbywa się w drugą stronę (z “podpisywarki” do aplikacji internetowej).

Będąc tak przygotowanym, mogę wygodnie eksperymentować, modyfikując chociażby parametry wywołania, konfigurację “podpisywarki”, a także zawartość wynikowego pliku XAdES po złożeniu podpisu – bez manualnej interwencji.

Finalne starcie

Pora na ostateczne starcie, a cel będzie niebagatelny: system Zakładu Ubezpieczeń Społecznych. Dlaczego akurat ZUS? Bo to system przechowujący bardzo ważne dane, a podczas wcześniejszych analiz i eksperymentów znalazłem w nim dosyć osobliwą rzecz.

Co prawda, ścieżka ukazana na zrzucie ekranu stanowi jedynie komentarz i w żaden sposób nie wpływa na działanie mechanizmu składania podpisów kwalifikowanych, ale myślę, że sam fakt istnienia tego komentarza w produkcyjnym kodzie wyraża więcej niż tysiąc słów. Heurystyka jest prosta, jeżeli coś wygląda na zrobione “po łebkach” albo niezgodnie z branżowymi standardami, to tym bardziej warto się temu przyjrzeć.

Nie przedłużajmy już więcej, pora przełknąć tę pigułkę…

Co tu się stało?!

Bazując na moich obserwacjach, przypuszczam, że zarówno aplikacje ZUS-u, jak i CEZ-u weryfikują podpisy kwalifikowane, używając do tego programu Szafir, ale pod postacią biblioteki programistycznej (“headless”).

Pomimo że programiści tych systemów zadbali o walidację podpisów, to wpadli w pułapkę wynikającą z istnienia w Szafirze bardzo dziwnej funkcji “certyfikatów niekwalifikowanych”. Aplikacje zwracały uwagę jedynie na to, czy weryfikacja podpisu zakończyła się sukcesem. Okazało się, że to nie wystarczy, bo powinny również osobno sprawdzać, czy była to “weryfikacja kwalifikowana”. Można zatem było system oszukać podpisem technicznie prawidłowym, choć fikcyjnym.

Ten przypadek pokazuje nam, jak ważna jest precyzyjna dokumentacja, a przede wszystkim intuicyjne projektowanie komponentów bezpieczeństwa. Samego zamysłu istnienia “weryfikacji niekwalifikowanej” w Szafirze działającej w taki sposób, mimo najszczerszych chęci, nie jestem w stanie zrozumieć. W domyślnych ustawieniach zawsze da się utworzyć XML, który zweryfikuje się poprawnie, choćby w oparciu o samodzielnie wystawione certyfikaty typu “self-signed”. To dlaczego w ogóle istnieje taka funkcja i co ona weryfikuje? Czy jej istnienie zostało opisane w dokumentacji dla integratorów? Na te pytania niestety nie znam odpowiedzi, chociaż się jej domyślam.

Ba, nawet standard RFC 2459 (specyfikujący infrastrukturę klucza publicznego) wspomina o tym, że od użytkowników końcowych PKI nie można wymagać zwracania szczególnej uwagi ani wykonywania więcej niż minimalnej koniecznej konfiguracji. Nie oszukujmy się, większość ludzi (w tym programistów) nie interesuje się różnego rodzaju infrastrukturami klucza publicznego, nie zna niskopoziomowych detali i słusznie oczekuje, że jest to intuicyjny “black box”, który mogą łatwo wdrożyć, zapewniając sobie i innym bezpieczeństwo. W każdym innym przypadku to bezpieczeństwo nie jest zapewniane systemowo, a przez to ostatecznie pojawiają się błędy o drastycznych skutkach.

Potencjalne skutki

Przypomnijmy, atak w ulepszonej formule pozwolił na zaatakowanie centralnego systemu logowania e-Gate autorstwa Centrum e-Zdrowia, a także systemu eZUS. Ponadto, opisany tutaj atak działa przeciwko wszystkim serwisom, które były wymienione w poprzednim artykule z serii “Badanie e-podpisów”.

Jedynym wymaganiem do przeprowadzenia tego ulepszonego wariantu ataku była znajomość imienia, nazwiska i numeru PESEL ofiary, a ten ostatni można zdobyć niesamowicie łatwo, używając całego wachlarza sposobów, których opis znajduje się poza zakresem tego artykułu. Posiadając zaledwie te trzy informacje, można było wystawić fałszywy certyfikat na tożsamość ofiary, a następnie zalogować się do systemów w jej imieniu.

Co to oznacza w praktyce? W kontekście Centrum e-Zdrowia, jeśli znałbym numer PESEL jakiegoś lekarza posiadającego dostęp do Rejestru Asystentów Medycznych, mógłbym zalogować się w jego imieniu, następnie mianować samego siebie Asystentem Medycznym i… wypisywać recepty, skierowania i zwolnienia lekarskie na odpowiedzialność tego lekarza, bez jego wiedzy.

Dopisanie kogoś do Rejestru Asystentów Medycznych wymaga, co prawda, złożenia podpisanej dyspozycji, ale autoryzację można przeprowadzić Profilem Zaufanym albo… przez system e-Gate, który też udało mi się zhakować w ten sam sposób.

Jeszcze gorzej sprawa wygląda z systemem eZUS. Dostęp do czyjegoś konta oznacza dostęp do szerokiego zakresu jego danych osobowych, w tym jego pełnej historii zatrudnienia, a także umożliwia obliczenie jego pensji – aktualnej i historycznych.

Gdybyśmy natomiast zalogowali się na konto osoby upoważnionej do reprezentacji firmy przed ZUS-em (zapewne księgowego albo prezesa), moglibyśmy w całej firmie wprowadzić nieoczekiwaną jawność wynagrodzeń – pobierając dane i pensje wszystkich pracowników. Istotne jest też, że pracodawca w tym systemie widzi dosyć szeroki zakres danych, bo jest tam chociażby adres zamieszkania, zameldowania, numer PESEL i numer dowodu osobistego każdej osoby zgłoszonej do ubezpieczeń, w tym dane osób wyrejestrowanych nawet na kilka lat wstecz.

No i jeszcze pora na łyżkę miodu w beczce dziegciu – żaden z opisanych ataków nie był skuteczny przeciwko Krajowemu Systemowi e-Faktur (KSeF). Ale to nie jest jedyny system, który przetwarza duże ilości wrażliwych danych, w tym danych przedsiębiorców.

Czy podpisy kwalifikowane są bezpieczne?

Sama w sobie koncepcja podpisów kwalifikowanych stanowi fundament bardzo bezpiecznych rozwiązań, jeżeli mielibyśmy to oceniać pod względem kryptograficznym i faktycznym. Opisane podatności powstały, ponieważ zawiodły konkretne implementacje i integracje.

Prawowici użytkownicy podpisów kwalifikowanych wydanych przez uprawniony podmiot nie muszą podejmować żadnych działań, ponieważ bezpieczeństwo ich podpisów nie zostało naruszone. W szczególności, nie ma konieczności wymiany istniejących urządzeń do podpisu.

Obsługa podatności

Wszystkie odkryte podatności zostały załatane po tym, jak zgłosiłem je do producenta oprogramowania – KIR S.A., a także do zespołu CERT Polska.

Przez mnogość zaangażowanych komponentów i niestandardowość technik, zrozumiałe wytłumaczenie podatności na warstwie technicznej nie było trywialne. W sumie wysłałem w tej sprawie 4 raporty techniczne o łącznej długości 45 stron, nie licząc późniejszych uzupełnień w trakcie komunikacji mailowej.

Incydent był obsługiwany przez CERT Polska, CSIRT GOV oraz Ministerstwo Cyfryzacji. Jako zgłaszający przekazywałem wszystkie informacje bezpośrednio do CERT Polska, który dystrybuował je dalej do pozostałych zaangażowanych organów.

2026-01-23 – Odkrycie pierwszego wariantu podatności (“YubiKey”).

2026-01-24 – Raport do KIR S.A. i CVD CERT.PL.

2026-01-24 – Potwierdzenie otrzymania przez KIR S.A.

2026-01-25 – Odkrycie drugiego wariantu podatności (niezaufane certyfikaty).

2026-01-26 – Raport do KIR S.A. i CVD CERT.PL.

2026-01-26 – Potwierdzenie otrzymania przez KIR S.A. i CVD CERT.PL.

2026-01-27 – Spotkanie osobiste w siedzibie KIR S.A. – techniczne objaśnienie podatności w obu wariantach.

Obsługa podatności – praca.gov.pl

2026-02-19 [T+24 dni] – Logowanie podpisem kwalifikowanym wyłączone, komunikat o tymczasowym wyłączeniu logowania podpisem kwalifikowanym.

2026-03-09 [T+42 dni] – Komunikat o permanentnym wyłączeniu logowania podpisem kwalifikowanym “z przyczyn niezależnych od Ministerstwa”.

Obsługa podatności – ZUS

2026-03-17 [T+50 dni] – Ogłoszenie ZUS o wyłączeniu logowania podpisem od 30 marca 2026 r.

2026-03-31 [T+64 dni] – Usunięcie przycisku do logowania podpisem kwalifikowanym na frontendzie, przy czym API do logowania podpisem kwalifikowanym nadal było dostępne i podatne.

2026-04-01 [T+65 dni] – Wzmianka do CVD CERT.PL o tym, że API w ZUS nadal jest dostępne i podatne (przekazane do CSIRT GOV).

2026-04-15 [T+79 dni] – Kontakt bezpośredni z COT ZUS i przekazanie zgłoszenia, że API nadal jest dostępne i podatne.

2026-04-17 [T+81 dni] – Dostęp do API zablokowany, podatność załatana.

Obsługa podatności – Ministerstwo Sprawiedliwości

2026-03-26 [T+59 dni] – Aktualizacja serwisu obsługującego podpisy kwalifikowane, nadal podatny w pełnym zakresie.

2026-04-15 [T+79 dni] – Kontakt bezpośredni z MS, przekazanie materiałów na temat podatności oraz kodu exploita na Usługę Centralnego Podpisu Elektronicznego Ministerstwa Sprawiedliwości (UCPE MS).

2026-04-24 [T+88 dni] – Załatanie podatności po pracach serwisowych.

Obsługa podatności – Urząd Dozoru Technicznego

2026-04-15 [T+79 dni] – Kontakt bezpośredni z UDT, przekazanie informacji o podatności.

2026-04-20 [T+84 dni] – Załatanie podatności.

Obsługa podatności – Centrum e-Zdrowia

2026-04-14 [T+78 dni] – Kontakt bezpośredni z CeZ, przekazanie materiałów na temat podatności oraz kodu exploita na system e-Gate Centrum e-Zdrowia.

2026-04-29 [T+93 dni] – Wprowadzenie przez CeZ mitygacji, która częściowo załatała podatność.

2026-05-20 [T+113 dni] – Naprawienie podatności po aktualizacji.

Patch do Szafir 2.0 Desktop

Na kilka dni przed publikacją tego artykułu Krajowa Izba Rozliczeniowa wydała aktualizację do oprogramowania Szafir 2.0 Desktop (build 705, data kompilacji 2026-05-18). Po tej poprawce dokumenty z “oszukanymi” certyfikatami nie przechodzą już poprawnie weryfikacji.

Analogiczna aktualizacja została również wprowadzona w bibliotekach Szafir SDK, których systemy administracji publicznej używają do weryfikacji podpisanych dokumentów. Nie jestem w stanie podać konkretnej daty, ale według moich szacunków taka łatka adresująca problem w sposób systemowy została wydana nie wcześniej niż 3 miesiące od mojego zgłoszenia.

CVE-2026-9058

Zespół CERT Polska uznał że konieczność osobnego sprawdzania statusu weryfikacji dokumentu oraz statusu certyfikatu (tj. czy został uznany za autentyczny) stanowi niepotrzebną złożoność mechanizmu zabezpieczeń.

W związku z tym opublikowano wpis o podatności: CVE-2026-9058: Improper Certificate Verification in Szafir SDK (wpis na stronie CERT Polska).

Podsumowanie

To już ostatni artykuł o moim badaniu w obszarze e-podpisów.

Na koniec warto wspomnieć, że opisałem jedynie techniki i pomysły, które okazały się w jakimkolwiek stopniu skuteczne przy atakowaniu rzeczywistych serwisów. Nie opisałem natomiast wielu ślepych uliczek, w które wpadłem podczas procesu odkrywania nowych technik ataku.

Cały projekt można bezpiecznie szacować na co najmniej 100-120 godzin roboczych. Zdecydowaną większość czasu poświęciłem na opracowanie części trzeciej, gdy już wiedziałem, że obrany kierunek jest perspektywiczny. Opisane badanie było finansowane z moich środków prywatnych i nie było realizowane pod niczyim kierunkiem ani zleceniem.

Mam nadzieję, że przekazana tu wiedza pomoże w opracowaniu lepszych procesów w organizacjach, a także lepszych technik testów penetracyjnych, niezwykle potrzebnych w tych skomplikowanych czasach.