Zaufana Trzecia Strona

Weekendowa Lektura: odcinek 698 [2026-10-17]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Sat, 17 Oct 2026 21:01:54 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Staraliśmy się, aby zebrane przez nas linki były ciekawe i różnorodne oraz dotyczyły spraw istotnych. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej artykuł o tym, jak daleko sięgają wpływy Palantira w Polsce i całej Europie (pkt 1) oraz materiał o konsekwencjach ataku dronów na centra danych Yandexu (pkt 11). W części technicznej spójrzcie na nowe pokolenie narzędzi do walczenia o lepszy internet (pkt 1) oraz analizy pokazujące, jak Discover-Tech wdrażał szpiegujące oprogramowanie Candiru przy użyciu reklam (pkt 16-17). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – October 17, 2026

Część bardziej fabularna

Część bardziej techniczna

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

Weekendowa Lektura: odcinek 697 [2026-10-10]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Sat, 10 Oct 2026 17:39:33 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Linków jest dużo, a czasu mało, materiały są jak zwykle całkiem ciekawe, nie będziemy więc tracić czasu na wprowadzenie, tylko od razu bierzcie się do czytania. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej świeżo uruchomioną platformę Przeskanuj.pl, która pozwala sprawdzić, co aplikacje robią za naszymi plecami (pkt 3) oraz wnikliwy rzut oka na darmowy podpis kwalifikowany dostępny w mObywatelu (pkt 10). W części technicznej spójrzcie na doniesienia o atakach za pośrednictwem luk w urządzeniach Citrix NetScaler (pkt 3), wyniki hakerskiego konkursu Pwn2Own Ireland 2026 (pkt 8) oraz analizę zestawu BlueKit, który oferuje fałszywe strony logowania podszywające się pod 97 marek (pkt 13). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – October 10, 2026

Część bardziej fabularna

Część bardziej techniczna

Weekendowa Lektura: odcinek 696 [2026-10-02]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Fri, 02 Oct 2026 16:41:22 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Nie zawsze udaje się nam przygotować je już w piątek, ale tym razem mocno się sprężyliśmy i oto jest nowa porcja linków do ciekawych informacji z minionego tygodnia. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej komentarz Panoptykonu do podpisania przez prezydenta ustawy zwiększającej kontrolę nad działaniami służb (pkt 7) oraz raport ISW pokazujący, jak Rosja wywiera presję na państwa Europy i NATO (pkt 14). W części technicznej spójrzcie na analizę masowo wykorzystywanych luk 0-day w urządzeniach Citrix NetScaler (pkt 8-9), poczytajcie o kreatorze, który ułatwia tworzenie stealerów (pkt 16), a także o trzech generacjach panelu C2 trojana RATHat (pkt 21). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – October 2, 2026

Część bardziej fabularna

Część bardziej techniczna

Ktoś twierdzi, że ukradł dane 2 milionów pacjentów gabinetów stomatologicznych i nie jest to Fingerprint

Adam Haertle — Thu, 01 Oct 2026 18:25:01 GMT

Dzisiaj, 1 października około godz. 18 skontaktował się z nami ktoś ukrywający się pod pseudonimem "HORUS" i oznajmił, że ukradł dane 2 400 000 pacjentów, 712 000 osób z personelu medycznego oraz 1 200 000 recept. Ofiarą ataku miała być firma FELG, twórca aplikacji najczęściej wybieranej przez gabinety stomatologiczne. Na firmowej stronie widnieje informacja, że z jej narzędzi korzysta ponad 16 000 dentystów.

Zaatakowana firma potwierdziła incydent. W swoim komunikacie wskazuje, że sprawca ataku podaje, iż należy do grupy "Fingerprint" odpowiedzialnej za ataki na aplikacje MyDr, Medyc i Fakturownia. Wiemy jednak, że nie jest to prawda - ataku dokonała inna osoba lub osoby. FELG dodatkowo informuje, że sprawca sam zgłosił kradzież ok. 10% "danych z bazy", lecz liczby te nie zostały do tej pory potwierdzone.

Z wiadomości otrzymanej w odpowiedzi na nasze pytania wynika, że firma dowiedziała się o incydencie 28 września około godz. 18. Wyciek może dotyczyć danych ponad 2 milionów osób, a potencjalny zakres pozyskanych informacji obejmuje dane identyfikacyjne i kontaktowe, takie jak imię, nazwisko, numer PESEL i adres, a także dane medyczne oraz informacje związane z e-receptami, e-ZLA i weryfikacją w systemie eWUŚ. Wiemy też, że sprawcy zażądali okupu od zaatakowanej firmy za nieujawnianie wykradzionych danych.

Jak doszło do włamania (według sprawcy)

Sam sprawca (dla uproszczenia będziemy posługiwali się liczbą pojedynczą, chociaż nie wiemy, czy jest to jedna osoba) skontaktował się z nami za pomocą poczty elektronicznej, a następnie na komunikatorze Session. Według informacji, które nam przekazał, do ataku doszło już 6 września, kiedy zaczął pobierać dane z systemów ofiary. Dane pobierał za pomocą API, korzystając ze źle zabezpieczonych endpointów. Według jego opowieści wystarczyło zwiększać wartość parametru zapytania, by otrzymywać dane kolejnych pacjentów, recept czy lekarzy (podatność typu IDOR).

Endpointy były dostępne podobno tylko po zalogowaniu, ale wystarczyło założyć konto demo w systemie. Według napastnika konto demo dawało także dostęp do danych produkcyjnych innych użytkowników, a interfejs nie sprawdzał uprawnień do danych. Napastnik twierdzi, że jego atak wykryto po kilku dniach, a błędnie działający endpoint został naprawiony. Odkrył on także inne endpointy z podobnymi błędami, z których nadal przez jakiś czas korzystał.

Sprawca włamania podesłał nam taki opis endpointów, których używał:

pdf/payments/html/1/d/{token p=} - dokumenty płatności pacjenta: dane osobowe + dane gabinetu
/prescription/get/patient/{pid} - lista recept pacjenta
/prescription/view/html/1/id/{elid} - pełny dokument recepty
/pdf/visits/html/1/id/{token p,l} - dokumentacja wizyt
/ajax/ezla/patient/id/{pid} - e-ZLA pacjenta
/pdf/payments/html/1/d/{token c=} - katalog firm: nazwa, NIP, adres
/ajax/chat/profil/uid/{jid} - profile personelu
/chat/avatar/jid/{uid} - awatary personelu
/docs/get/id/{pid} - drzewo plików pacjenta
/ajax/prescription/doctorget/patient/{uid} - listy pacjentów lekarzy
/ewus/pdf/s/{tok}/html/1/listids/{ids} - pełne PHI + tabele eWUŚ

Sprawca przekazał nam także zrzut ekranu wykradzionych danych:

Dane wykradzione przez sprawcę

Dane użytkowników, nietypowe recepty

Włamywacz przekazał nam również wybrane dane osób publicznych, które podobno znalazły się w bazie. Są to numery PESEL, adresy zamieszkania, a także nazwy placówek, z których usług korzystały te osoby.

Sprawca podesłał nam także dane recept na leki takie jak Xanax czy Ozempic, twierdząc, że znalazł wiele recept wystawianych przez stomatologów na leki, które nie są związane z leczeniem w takich gabinetach. Nie byliśmy w stanie zweryfikować tych informacji.

Próbowaliśmy zweryfikować prawdziwość wykradzionych danych, przekazując sprawcy PESEL-e ośmiu osób, które wyraziły na taki eksperyment zgodę (dziękujemy za zaufanie). Żaden ze sprawdzanych PESEL-i nie znalazł się w bazie włamywacza.

Tożsamość sprawcy

Choć w komunikacie FELG czytamy o hakerze podającym się za członka grupy "Fingerprint", to włamywacz, z którym rozmawialiśmy, przyznał, że wspominał, że stoi za atakami na firmy MyDr i Medyc w celu zrobienia większego wrażenia na ofierze w procesie wymuszenia okupu. Nie wspominał za to wprost, że nazywa się Fingerprint. Na wszelki wypadek skontaktowaliśmy się z prawdziwym Fingerprintem, który potwierdził, że nie jest autorem tego włamania, a nawet zaoferował pomoc zaatakowanej firmie (sic!) i podkreślił, że nigdy nie żądałby okupu.

Komunikat Fingerprinta

Co dalej z danymi

Zapytaliśmy włamywacza, jakie ma plany w związku z sytuacją, w której firma zerwała negocjacje i upubliczniła informacje o włamaniu. Odpowiedział, że planuje wystawić wykradzioną bazę danych na sprzedaż na Cebulce. Dodał także, że nie planuje podobnych publicznych akcji. Ta była rzekomo wyjątkowa, ponieważ firma, którą zaatakował, przez kilka dni negocjacji tylko traciła jego czas i ostatecznie nie chciała "wykorzystać pomocnej dłoni miłych pentesterów".

Podsumowanie

To my już wolimy akcje Fingerprinta...

Nowe włamanie "Fingerprinta" - ofiarą firma Fakturownia.pl

Adam Haertle — Tue, 29 Sep 2026 14:17:19 GMT

Otrzymaliśmy wiarygodne informacje wskazujące na to, że "Fingerprint", stojący za włamaniami do dwóch serwisów medycznych, tym razem dobrał się do infrastruktury jednej z największych firm oferujących usługi fakturowania, prowadzenia księgowości czy magazynu online. Z Fakturownia.pl wykradł wiele informacji dotyczących klientów, w tym podobno także wiele wystawionych faktur.

Dzisiejszego poranka "Fingerprint", który z jakiegoś powodu wybrał sobie naszą redakcję jako punkt kontaktowy, umożliwiający przekazywanie doniesień o jego najnowszych osiągnięciach, poinformował nas, że wykradł 6 TB faktur. Chwilę później przekazał nam zrzuty ekranu wskazujące, że uzyskał dostęp do danych firmy Fakturownia.pl.

Otrzymaliśmy trzy dowody dostepu do systemów Fakturowni.

Podgląd katalogów aplikacji

Pierwszy to folder aplikacji, w którym widać różne charakterystyczne nazwy plików wskazujące, że sprawca miał dostep do serwera aplikacyjnego.

Podgląd listy klientów

Drugi to pogląd listy klientów firmy, a w zasadzie jej wycinek.

Zestaw zrzutów bazy danych

Trzeci, wskazujący na szeroki dostęp do danych, to lista plików, których nazwy wskazują na to, że jest to wyeksportowana baza danych zawierająca informacje potrzebne do funkcjonowania firmy takiej jak Fakturownia - przypuszczalnie jednego z głównych repozytoriów wiedzy o klientach.

Co jeszcze przekazał nam "Fingerprint"

Dodatkowo "Fingerprint" poinformował nas, że pozyskał 6 TB faktur - tej informacji nie byliśmy w stanie zweryfikować. Przeprosił też, że "musiał pobrać dane", ponieważ jego doświadczenie wskazuje, że gdyby tych danych nie pobrał, to nikt by się zgłoszeniem błędów nie zainteresował. Dowiedzieliśmy się także, że dane pobrał do swojego własnego środowiska, a serwery, przez które dane wytransferował, służyły jedynie do tunelowania ruchu.

Zapytany o to, jak dostał się do Fakturowni, odpowiedział, że wykorzystał tzw. wyrocznię czasową (nie sprecyzował, ale pewnie chodzi o time-based blind SQL injection, czyli zgadywanie wartości w bazie danych na podstawie czasu odpowiedzi na zapytania) do wyciągnięcia klucza głównego (master key) Ruby, a następnie sfałszowania za jego pomocą ciasteczka, dzięki któremu osiągnął zdalne wykonanie kodu na serwerze. Brzmi to skomplikowanie, ale z drugiej strony jest możliwym scenariuszem realnego ataku.

Dodał także, że celowo nie usuwał logów, by firma mogła prześledzić przebieg ataku i nauczyć się lepiej zabezpieczać dane swoich klientów.

Reakcja Fakturowni

Firma zareagowała bardzo sprawnie i uczciwie. Przed chwilą na jej stronie pojawił się komunikat, z którego wynika, że mogły zostać wykradzione:

dane kont firm i użytkowników, w tym skróty haseł,
tokeny sesji, tokeny API i tokeny integracji generowane po stronie Fakturowni,
rachunki bankowe, dane o płatnościach,
dane kontrahentów klientów (wszystkich) i dane z faktur (częściowo, prawdopodobnie do 2023 roku),
klucze i hasła systemowe aplikacji.

Firma wykonała także w bardzo krótkim czasie od otrzymania informacji o incydencie szereg czynności:

Rozpoczęła pracę nad zabezpieczeniem danych i dostępów.
Prowadzi rotację kluczy aplikacji i haseł usług.
Uruchomiła nowe serwery aplikacji i odcięła dostęp osobom nieuprawnionym.
Rozpoczęła analizę incydentu wspólnie z zewnętrznymi specjalistami ds. bezpieczeństwa i wprowadziła szereg dodatkowych zabezpieczeń, w tym dot. generowania plików PDF.
Zgłosilła incydent na Policję (Centralne Biuro Zwalczania Cyberprzestępczości), CERT Polska oraz do Prezesa Urzędu Ochrony Danych Osobowych.

Gdzie przestępcy kupują dostęp do twojej firmy

Adam Haertle — Mon, 28 Sep 2026 21:19:42 GMT

Czytając o kolejnym incydencie ransomware, możecie się zastanawiać "ale ciekawe, jak oni się tam dostali". To faktycznie ciekawe - więc opowiedzmy o tym, jak wygląda rynek dostępów do organizacji, skąd się na tym rynku biorą i co można z tym zrobić. I nie, to nie będzie kolejny post o Threat Intelligence i IOC.

Według wszystkich wiarygodnych źródeł agregujących informacje o prawdziwych incydentach to podatności w systemach publicznie dostępnych w sieci są obecnie najczęstszym wektorem używanym przez przestępców, by dostać się do wewnątrz organizacji. Phishing (pasywny, interaktywny czy głosowy) powoli przemija (choć nadal trzyma się mocno), wyraźnie maleje za to użycie wcześniej wykradzionych poświadczeń (zapewne dzięki wdrażaniu MFA). Publicznie dostępne raporty o konkretnych włamaniach, a także prywatnie przekazywane wieści o przyczynach wizyt przestępców w polskich firmach potwierdzają te trendy - to wystawione do sieci urządzenia są pierwszym wyborem przestępców.

Zapraszamy na wydarzenie na żywo

Ten temat będziemy głębiej analizować i przedstawiać już wkrótce, bo 6 października o godzinie 14.00, podczas webinaru organizowanego wspólnie z firmą Secfense. Podczas godzinnego wydarzenia Adam omówi najciekawsze przypadki włamań, ze szczególnym naciskiem na ich pierwotne przyczyny i techniki używane przez przestępców, a następnie Marcin Szary, CEO Secfense, pokaże, jak działa Secfense Ghost - rozwiązanie, które ogranicza ekspozycję VPN-ów i systemów dostępnych z internetu, dopuszczając do nich wyłącznie zweryfikowanych użytkowników. Udział w wydarzeniu jest darmowy, a zapisać się można tutaj.

Zapraszamy do zapisów

Gdy w grudniu 2025 przestępcy ze Wschodu próbowali wyłączyć kawałek polskiej sieci energetycznej, atak zaczął się (najprawdopodobniej) od przełamania zabezpieczeń urządzenia sieciowego, którego zadaniem było dostępu bronić, a nie go udzielać napastnikom. Sprawcy wykorzystali urządzenia brzegowe, by dostać się do wnętrza sieci, a tam napotkali to, co zwykle można było napotkać 20 lat temu (i niestety gdzieniegdzie nadal) - domyślne hasła. Gdyby jednak nie pokonali firewalla, to incydentu mogłoby w ogóle nie być.

Jak atrakcyjne są urządzenia brzegowe wystawione publicznie do sieci dla przestępców? W czerwcu tego roku odkryto bazę danych z ponad 80 000 działających loginów i haseł do urządzeń jednego producenta. Podatne były firmy i organizacje absolutnie z całego świata, nie brakowało także podmiotów z Polski. Baza - według analityków - mogła należeć do jednej z grup ransomware.

Nie macie czasu sami skanować sieci? Żaden problem, na rynku pełno jest usługodawców, zwanych brokerami pierwszego dostępu (Initial Access Brokers), którzy chętnie sprzedadzą gotowe pakiety dostępowe. Oto przykładowa lista ofert z jednego z serwisów online:

Oferty dostępu do różnych organizacji

Stron, na których taki handel się odbywa, zdecydowanie nie brakuje. Jednym z głównych czynników napędzających rynek (oprócz oczywiście popytu) jest łatwa podaż, kreowana przez ciągły strumień krytycznych podatności w urządzeniach i serwisach często wystawianych do publicznego internetu. Wystarczy spojrzeć na liczbę CVE zgłoszonych w produktach jednego czy drugiego dostawcy, by przestać spokojnie spać, posiadając je w swojej sieci.

To już 6 października

Jak odzyskać chociaż nieco spokojnego snu? Secfense opracowało proste rozwiązanie, które ogranicza ekspozycję urządzeń i systemów na nieautoryzowany ruch, zarówno skanery Shodana, jak i grupy ransomware, a jednocześnie zapewnia do nich dostęp zweryfikowanym użytkownikom. Jak to działa? O tym opowiemy już 6 października o 14.00. Zapraszamy do bezpłatnej rejestracji na wydarzenie. Do zobaczenia!

Za publikację powyższego artykułu i współpracę przy webinarze pobieramy wynagrodzenie.

Weekendowa Lektura: odcinek 695 [2026-09-25]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Fri, 25 Sep 2026 14:05:00 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Jeśli weekend spędzacie przed komputerem, to ucieszycie się pewnie z kolejnej porcji linków, która pozwoli zorientować się w bogatym krajobrazie zagrożeń. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej wywiad z Corym Doctorowem o bańce AI, która musi pęknąć (pkt 10) oraz opowieść o analityku z Mandianta, który przez kilka miesięcy infiltrował grupę TeamPCP (pkt 15). W części technicznej spójrzcie na kulisy odkrycia i publikacji podatności określanych zbiorczą nazwą MikroTrick (pkt 1), sprawdźcie, jak świeżo unieszkodliwiona usługa EvilTokens wykorzystała kody urządzeń do przejęcia 12 tys. skrzynek pocztowych (pkt 8), poczytajcie też o ClosedQuorum, który zastępuje serwer C2 głosowaniem czterech modeli językowych (pkt 13). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – September 25, 2026

Część bardziej fabularna

Część bardziej techniczna

Sprawcy ataku na system Medyc twierdzą, że ukradli dane 5 milionów pacjentów i 8 milionów zdjęć

Adam Haertle — Fri, 25 Sep 2026 07:00:56 GMT

Po naszym wczorajszym artykule o włamaniu do systemu Medyc, obsługującego gabinety lekarskie w całym kraju, odezwali się sprawcy ataku, grupa występująca pod pseudonimem "fingerprint". W swoim krótkim komunikacie ogłosili, że wykradzionych danych jest dużo więcej, niż wskazywały nasze ostrożne szacunki. My ocenialiśmy skalę incydentu na co najmniej milion osób, według sprawców jest to pięć milionów. Sprawcy wspominają także, że ukradli 8 milionów "bardzo prywatnych" zdjęć.

Komunikat sprawców

Inne nasze źródło potwierdziło ocenę skali wycieku, wskazując, że wykradziono kompletną bazę danych, prowadzoną od początku działalności firmy, sięgającą do 7 lat wstecz. Jeśli chodzi o rzekomo wykradzione zdjęcia, to według naszych informacji mogą one przedstawiać pacjentów w negliżu - jednak nie udało nam się potwierdzić, że faktycznie taka liczba zdjęć trafiła w ręce sprawców.

Reakcja firmy

Incydent w firmie Qbusoft potwierdził także minister Gawkowski, który wskazał, że choć ofiara ataku poinformowała o nim Centralne Biuro Zwalczania Cyberprzestępczości, to nie przekazała informacji ani do zespołu CSIRT CEZ, powołanego do obsługi incydentów w sektorze ochrony zdrowia, ani do zespołu CERT Polska, koordynującego największe incydenty i posiadającego w tym zakresie największe w Polsce doświadczenie (zajmował się m.in. koordynacją incydentu w firmie MyDr). To dziwna decyzja, biorąc pod uwagę fakt, że pomoc ww. zespołów jest nie tylko profesjonalna, ale także darmowa.

Wpis ministra Gawkowskiego

Przy okazji chcieliśmy zauważyć także, że trzeci dzień czekamy na odpowiedź na nasze pytania prasowe, wysłane firmie Qbusoft we wtorek w sprawie opisywanego incydentu.

Dane wykradzione z chmury

Według naszych informacji, podobnie jak w przypadku incydentu w firmie MyDr, także i w przypadku systemu Medyc główne zasoby firmowe przechowywane były w usługach chmurowych. Medyc korzysta z infrastruktury Azure, podczas gdy MyDr jest klientem AWS. Producent programu Medyc opisuje nawet chmurę jako panaceum na problemy z bezpieczeństwem - jak widać, nie do końca tak to działa.

Wyciek bez wycieku

Sprawcy ataku jak do tej pory nie opublikowali wykradzionych danych. Jest to zachowanie spójne z tym, które pokazali podczas poprzedniego incydentu - dane w firmy MyDr według naszej wiedzy nie zostały do tej pory udostępnione publicznie ani zaoferowane do sprzedaży w miejscach, gdzie z reguły do takiego handlu dochodzi. Miejmy nadzieję, że podobny los spotka dane z systemu Medyc. Pozostaje jednak pytanie, po co sprawcy podejmują tak duże ryzyko, wystawiając się na działania organów ścigania.

Sprawcy wycieku MyDr ponownie atakują - tym razem ofiarą aplikacja Medyc

Adam Haertle — Thu, 24 Sep 2026 15:37:47 GMT

Według posiadanych przez nas informacji doszło do nowego dużego wycieku danych osobowych i medycznych, tym razem z systemów firmy Qbusoft Sp. z o.o., producenta aplikacji gabinetowej Medyc.pl. Sprawcami wycieku są te same osoby, które stały za atakiem na systemy MyDr, skąd wykradziono dane ponad 18 milionów Polaków.

Jak poinformował dzisiaj serwis CyberDefence24, Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu poinformował o otrzymaniu informacji o wycieku danych swoich pacjentów z systemu Medyc (ten sam ośrodek informował wcześniej o wycieku danych swoich pacjentów z systemu MyDr, to się nazywa pech). Wiedząc o incydencie wcześniej, dwa dni temu zwróciliśmy się z naszymi pytaniami do firmy Qbusoft, producenta oprogramowania Medyc. Niestety do tej pory nie otrzymaliśmy od firmy żadnej odpowiedzi, jednak możemy potwierdzić, że faktycznie doszło do wycieku danych na dużą skalę, a stoi za nimi tajemniczy "fingerprint" - taki pseudonim przyjął sprawca (lub sprawcy) wycieku MyDr.

Fingerprint zapowiadał incydent

W swojej ostatniej do tej pory publicznej komunikacji "fingerprint" 29 sierpnia ogłosił, że wkrótce pojawią się informacje o kolejnym incydencie. Jak czytamy w komunikacie placówki z Inowrocławia, do ataku na firmę Qbusoft doszło w dniach 22-23 sierpnia tego roku. Sprawcy, wykorzystując podatność typu SQL Injection, wykradli "zaszyfrowane archiwum bazy danych". Firma o incydencie dowiedziała się w nocy z 8 na 9 września.

Wpis sprawców ataku

Jakie dane skradziono

Według komunikatu w wykradzionej bazie znajdowały się imię, nazwisko, numer PESEL, adres zamieszkania/pobytu, numer telefonu oraz adres e-mail. Pola takie jak imię, nazwisko oraz PESEL były przechowywane w formie zaszyfrowanej, jednak dostawca informuje, że szyfrowanie było łatwe do złamania, przez co sprawcy mogli uzyskać dostęp do danych. Dodatkowo jest duża szansa, że sprawcy pozyskali także dane medyczne w postaci wypisu.

Ilu pacjentów może dotyczyć ten incydent? Tu niestety musimy zgadywać, ponieważ firma nie odpowiedziała na nasze pytania. Na swojej stronie chwali się obsługą ponad 10 000 wizyt dziennie. Zakładając, że liczba wizyt może przekładać się na liczbę pacjentów w podobnej proporcji, jak w firmie MyDr, możemy podejrzewać, że w bazie Medyc znajdowały się dane powyżej miliona osób (MyDr chwalił się dziesięciokrotnie większą liczbą obsługiwanych wizyt i posiadał dane ponad 18 milionów pacjentów).

Strona zaatakowanej firmy

Co robić, jak żyć

Zastrzeżcie PESEL! Oczywiście to porada, którą już wszyscy chętni wdrożyli, ale niestety nie mamy innych. Powoli chyba czas zacząć się przyzwyczajać (jeśli jeszcze tego nie zrobiliście), że nasze dane prędzej czy później znajdą się w całości w sieci. Często nie mamy żadnego wpływu na to, gdzie nasze dane trafiają i jak są chronione (kto wiedział, gdzie jego przychodnia zapisuje dane?), a przy liczbie systemów IT, które nas otaczają, trudno uniknąć kolejnych incydentów. Nie znaczy to, że powinniśmy się z taką sytuacją godzić - ale brakuje nam pomysłów, jak ją zmienić.

Jak tylko otrzymamy odpowiedź od firmy Qbusoft na nasze pytania z 22 września, chętnie je opublikujemy.

Weekendowa Lektura: odcinek 694 [2026-09-18]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Fri, 18 Sep 2026 19:06:32 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Mamy nadzieję, że znajdziecie czas na ogarnięcie zebranych przez nas linków pokazujących, jak przebiega wyścig między nienasyconymi przestępcami a niestrudzonymi badaczami. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej artykuł o tym, jak po decyzjach UOKiK-u banki zmieniają praktyki dotyczące nieautoryzowanych transakcji zgłaszanych przez klientów (pkt 3), zapoznajcie się też z raportem Fundacji Instrat, który pokazuje, ile Meta zarabia na oszukiwaniu Polek i Polaków (pkt 6). W części technicznej spójrzcie na analizę zestawu narzędzi phishingowych GhostCode, który rejestruje urządzenia atakujących, korzystając z usługi Microsoft Entra (pkt 15), poczytajcie też o o fałszywych kasynach, które maskują serwery C2 grup powiązanych z Chinami (pkt 19). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – September 18, 2026