Zapraszamy do nowego wydania Weekendowej Lektury. Przestępcy – jak można się było spodziewać – ani myślą o wakacyjnej przerwie, stąd całkiem sporo artykułów, które mieliśmy okazję przejrzeć i dla Was wybrać. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej komentarz Fundacji Panoptykon do przyjętej przez Sejm ustawy „wzmacniającej nadzór sądowy nad stosowaniem kontroli operacyjnej” (pkt 1). W części technicznej zapoznajcie się z przygotowanym przez CERT Polska uzupełnieniem raportu z incydentu w sektorze energii, do którego doszło w grudniu 2025 r. (pkt 1), zerknijcie na analizę phishingowego frameworka JWR, który imituje strony logowania i płatności (pkt 9), poczytajcie też o botnecie Kimwolf v7, który utrudnia odróżnienie ataku od zwykłego ruchu (pkt 19). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – August 14, 2026

Część bardziej fabularna

1. [PL] Czy wyciągnęliśmy wnioski z afery Pegasusa? Kto skontroluje inwigilujących
2. [PL] Grupa przestępcza odpowiedzialna za oszustwa typu BEC w rękach CBZC
3. [PL] Jak phishing na Multikino prowadzi od seansu do kradzieży danych
4. [PL][WIDEO] Jak działa oszustwo na miłość?
5. [PL][WIDEO] PIN, który usuwa wszystko
6. [PL] Wyciek danych – co dalej?
7. [PL] Prezes UODO skontroluje spółkę MyDr
8. [PL] Dane ważnego polityka wśród 19 mln rekordów wykradzionych z MyDr
9. [WIDEO] Atak na Hugging Face z perspektywy pracowników OpenAI
10. Atak na Wi-Fi w samolocie, którym lecieli uczestnicy konferencji DEF CON
11. Badacz kupił domenę noreply.net - dostał lawinę cudzej korespondencji
12. Producent dżinsów Levi Strauss ofiarą kradzieży korporacyjnych danych
13. Wyciek danych 14 tys. użytkowników portfeli kryptowalutowych Trezor
14. [WIDEO] Jak dowody cyfrowe chronią prawdę o zbrodniach wojennych
15. Niemcy rozszerzyły uprawnienia służb wywiadowczych w zakresie inwigilacji

Część bardziej techniczna

1. [PL] Uzupełnienie raportu z incydentu w sektorze energii w grudniu 2025 r.
2. [PL] Certyfikaty cyberbezpieczeństwa 2026 - przewodnik wraz z rankingiem
3. Microsoft załatał 415 luk, w tym jedną aktywnie używaną w atakach
4. Atak TONTOU omija ochronę przed Spectre v2 na procesorach AMD i Intela
5. XSS2Shell: Luka XSS w WordPressie prowadzi do wykonania kodu PHP
6. Analiza podatności SCTPhantom, obecnej w kodzie Linuksa od 18 lat
7. Łańcuch luk w urządzeniach TP-Link Omada umożliwia przejęcie firmowej sieci
8. [WIDEO] Czy twoje API GraphQL jest bezpieczne? Sprawdźmy to
9. JWR - phishingowy framework, który imituje strony logowania i płatności
10. Ponad 70 złośliwych rozszerzeń Open VSX gromadziło dane programistów
11. Fałszywe rozszerzenia VPN podszywały się pod znane marki w Chrome Web Store
12. Cl0p od lat atakuje systemy wymiany plików dużych firm na całym świecie
13. Ransomware DeadLock utrudnia blokowanie stron z wykradzionymi danymi
14. Abyssos - nowy trojan umożliwiający zdalne przejęcie systemu Windows
15. AmnesiaStealer kradnie hasła i dane z przeglądarek na macOS
16. Atakujący podszywają się pod Zoom, by dostarczyć trojana Overlord na macOS
17. Ataki z użyciem fałszywych instalatorów i legalnego środowiska Deno
18. NullReceiver, czyli ukrywanie adresu C2 w pustych transakcjach Ethereum
19. Botnet Kimwolf v7 utrudnia odróżnienie ataku od zwykłego ruchu
20. Aeternum ukrywa polecenia botnetu w publicznej sieci blockchain Polygon
21. Operator sieci streamingowej przeznaczył miliony na wygasłe domeny
22. Grupa UNC6671 wyłudza firmowe dane, podszywając się pod wsparcie techniczne
23. Kampania GitPower, czyli jak grupa Kimsuky wykorzystuje w swoich atakach AI
24. Fałszywa oferta pracy pomagają grupie Lazarus infekować sektor obronny
25. Jak działają zatrudnieni zdalnie fałszywi pracownicy IT z grupy Lazarus
26. Patchcord atakuje afgańskie telekomy, używając fałszywych instalatorów

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

​

Trzy dni temu jako pierwsi ujawniliśmy, że włamywacze ukradli z firmy MyDr dane prawie 19 milionów Polaków. Dzisiaj tę liczbę kilkakrotnie potwierdził premier Krzysztof Gawkowski. Co ciekawe, sama poszkodowana firma nadal w swoim stanowisku podkreśla, że nie zna dokładnej skali incydentu. Porzućmy jednak rozważania o tym, czy danych było 19 mln, a skupmy się na skutkach tego zdarzenia.

Co może zrobić zwykły obywatel po wycieku

Zwykły obywatel na razie nie może zrobić nic ani nie może niczego się dowiedzieć. Brzmi brutalnie, ale to prawda. Zastrzeżenie numeru PESEL to podstawowa czynność, którą każdy dorosły Polak powinien był zrobić przynajmniej dwa lata temu. Jeśli jeszcze wam się nie udało, zróbcie to dzisiaj. Przy okazji zadbajcie o to, by zrobił to każdy dorosły w waszej rodzinie. Szczególnie duży nacisk połóżcie na potencjalnych spadkodawców - może to brzmi brutalnie, ale w ten sposób troszczycie się także o siebie.

Warto także zauważyć, że wartość numeru PESEL jest mocno przeceniana. W publicznych rejestrach, dostępnych online (głównie KRS, ale nie tylko), znajdują się numery PESEL około trzech milionów Polaków. Na dokładkę mówimy o osobach często dość zamożnych, pełniących funkcje kierownicze w różnych spółkach. I gdzie ten armagedon? Nie martmy się więc tak bardzo tymi PESEl-ami.

No dobrze, ale czy byłem w wycieku?

Z prawdopodobieństwem przekraczającym 50% odpowiedź brzmi TAK. Ale nie wiemy na 100%. I przez jakiś czas pewnie się jeszcze nie dowiemy. Po pierwsze firma, która padła ofiarą włamywaczy ma problem z precyzyjnym ustaleniem, jakie konkretnie dane zostały skradzione. Dzisiaj pojawiła się informacja, że pewnie były to dane nie nowsze niż z roku 2024, ale które konkretnie - tego nie wiemy. Nikt oprócz włamywaczy nie widział też wykradzionej bazy, a fragmenty, które ujawnili, nie pokazują całego obrazu sytuacji.

Na dokładkę firma nie może (zgodnie z RODO) przekazać danych NASK, który to prowadzi serwis bezpiecznedane.gov.pl. Gdyby przekazać mogła, to każdy mógłby pewnie już wkrótce do serwisu zajrzeć i (zakładając, że może tym razem nie padnie pod obciążeniem, którego nie sposób przewidzieć) sprawdzić, czy był w bazie. Ale firma danych przekazać nie może, prezes UODO nie pozwoli, a nikt mu nie każe pozwolić. Przepis to przepis i basta.

Jest pewna furtka - danych może zażądać na podstawie Kodeksu Postępowania Karnego prokuratura prowadząca postępowanie, a gdy je otrzyma, może je przekazać, gdzie uzna za stosowne. Jest więc szansa, że kiedyś w bezpiecznedane.gov.pl się pojawią.

O incydencie formalnie powinien was powiadomić gabinet, który wasze dane zebrał i do systemu wprowadził. Ale gabinet najpierw musi być poinformowany o tym przez zaatakowaną firmę, która ciągle nie wie, jakie dane wyciekły i kółko się zamyka. To zatem potrwa.

Czy mogę liczyć na odszkodowanie

Najogólniej rzecz ujmując, nie. Odszkodowanie to wyrównanie poniesionej szkody. Aby go dochodzić, trzeba taką szkodę wykazać, obliczyć i udowodnić. Trzeba zatem wskazać np. poniesioną stratę i jej bezpośredni związek przyczynowo-skutkowy z czyjąś winą w tym zakresie. Tego rodzaju sprawy są dość trudne do udowodnienia i nie znamy przypadku, by np. ktoś pozwał Morele.net po wycieku i uzyskał z tego tytułu odszkodowanie.

Nie wiemy nawet, czy UODO nałoży na poszkodowaną firmę karę - to będzie zapewne dopiero przedmiotem postępowania. Trzeba sprawdzić, w jakich okolicznościach doszło do wycieku, np. czy doprowadziły do niego istotne zaniedbania. UODO będzie także badał, jak firma zachowała się po wycieku, czy dochowała należytej staranności w informowaniu ofiar, zachowaniu terminów itp. To, że do wycieku doszło, nie oznacza automatycznie kary - UODO może np. wydać upomnienie czy nakaz dostosowania firmy do określonych przepisów. Ci, którzy pożyją jeszcze kilka lat, pewnie dowiedzą się, na czym ostatecznie stanie.

Jaki jest najgorszy możliwy scenariusz

W scenariuszu katastroficznym włamywacze, nie doczekawszy się spodziewanych korzyści finansowych, w odruchu samobójczej rozpaczy postanowią wykradzione dane sprzedać. Kupi je ktoś, kto źle życzy Polsce i zacznie się zabawa w analizowanie, kto jest w bazie i jakie tabletki przyjmował. To bardzo zły scenariusz. O ile zwykły obywatel naje się najwyżej wstydu, o tyle osoby na eksponowanych stanowiskach mogą być np. szantażowane groźbą ujawnienia treści ich recept za ostatnie 10 (lub więcej) lat. Na przykład, starając się o dostęp do informacji niejawnych lub taki dostęp posiadając, trzeba poinformować o przypadkach leczenia psychiatrycznego. Idziemy o zakład, że nie każdy posiadacz poświadczenia bezpieczeństwa o to zadbał. A to osoby, które z definicji są interesującymi celami rekrutacji obcych wywiadów. To nie wyglądałoby dobrze dla Polski.

Jaki jest najlepszy możliwy scenariusz

W scenariuszu optymistycznym mamy kilka pozytywnych wariantów wydarzeń:

• włamywacze otrzymują satysfakcjonującą ich rekompensatę finansową i dane kasują,
• włamywacze, przestraszeni gromkimi groźbami premiera Gawkowskiego, zapadają się pod ziemię wraz z danymi i nigdy ich nie ujawniają, bojąc się karzącej ręki polskiego wymiaru sprawiedliwości,
• włamywacze zostają namierzeni przez organy ścigania i czy w Polsce, czy w innym kraju, trafiają za kratki i tracą dostęp do wykradzionych danych.

Jakie są szanse na dobry scenariusz? Naszym zdaniem niemałe. Jeśli wierzyć ostatnim wieściom od złodziei sprzed paru dni, dane leżą zaszyfrowane na jakimś dysku offline, a sami włamywacze przyczaili się, by przeczekać sztorm rozpętany w mediach przez premiera. Oby tak pozostało.

Na koniec wskazówki dla lekarzy używających MyDr

Jeden z polskich ekspertów ds. bezpieczeństwa, Krystian Kochanowski, wskazał także ważny wątek, do tej pory pomijany we wszelkiej komunikacji.

https://x.com/krystiankry/status/2086913066113876293

MyDr wymagał od lekarzy wgrania do systemu certyfikatu (wraz z hasłem), którym posługują się, by wystawiać e-recepty. Jeśli certyfikaty trafiły w ręce włamywaczy (a tego nie możemy na tym etapie wykluczyć), to zdecydowanie warto posłuchać Krystiana, stary certyfikat anulować i wygenerować nowy. W niczym to nie zaszkodzi, a może pomóc.

Firma MyDr ogłosiła właśnie, że bada poważny incydent bezpieczeństwa w swojej sieci. Rzekomi sprawcy tego incydentu wcześniej skontaktowali się z nami i twierdzą, że są w posiadaniu danych pacjentów wielu polskich przychodni. Według włamywaczy w ich rękach znalazło się 18 814 422 unikatowych numerów PESEL.

MyDr to jeden z największych polskich dostawców systemu Elektronicznej Dokumentacji Medycznej, obsługujący tysiące punktów ochrony zdrowia. Możecie nie wiedzieć, że ta platforma przetwarza wasze dane - używają jej wasi lekarze i to oni wprowadzają dane waszych wizyt i recept. Sama firma MyDr twierdzi, że obsługuje 3 miliony wizyt miesięcznie i wystawienie 2,7 mln recept miesięcznie. Nie podaje liczby użytkowników, którzy są obsługiwani przez jej systemy w placówkach ochrony zdrowia.

Nietypowe zgłoszenie

W sobotę odezwał się do nas ktoś, kto twierdził, że dysponuje danymi ponad 18 milionów Polek i Polaków, pochodzących z systemów medycznych. Potraktowaliśmy zgłoszenie poważnie i weszliśmy w bezpośredni kontakt ze zgłaszającym oraz powiadomiliśmy odpowiednie instytucje.

Co wiemy o incydencie

Osoba (lub osoby) stojąca za wyciekiem przekazała nam sporo informacji, z których część byliśmy w stanie zweryfikować. Poniżej przedstawiamy dowody możliwego wycieku wraz z naszym komentarzem odnośnie ich wiarygodności.

Po pierwsze, otrzymaliśmy zrzut ekranu wpisów w bazie dotyczących jednego z najważniejszych polityków w Polsce. Zawierały jego prawidłową datę urodzenia, jego PESEL, imię i nazwisko oraz dwa różne numery telefonów. Jeden z numerów mogliśmy potwierdzić w kilku innych źródłach i faktycznie, ten polityk z niego korzystał. Wpisom towarzyszyła także recepta na pewien lek - tych informacji oczywiście nie jesteśmy w stanie potwierdzić. Zgadzał się za to wymieniony w bazie region NFZ.

Aktualizacja: Otrzymaliśmy także listę 25 recept, które rzekomo były wystawione na dane wspomnianego polityka. Nie zawiera ona przepisywanych lekarstw, a jedynie numery recept (zawiera także jedną receptę, której szczegóły opisaliśmy powyżej).

Sprawcy przesłali także dane autora tego artykułu. PESEL się zgadzał (da się go pozyskać innymi metodami, choć nie jest to trywialne). Zgadzał się także region NFZ. Numeru telefonu nie było (był wpisany 111111111, co jest praktyką punktów, które nie chcą się bawić w uzupełnianie wszystkich danych).

Sprawcy przesłali także kilka zrzutów ekranu pokazujących zebrane dane, np. z systemu Jira:

Sprawcy przesłali także zrzut ekranu wiadomości, którą podobno wysłali 5 sierpnia do prezesa firmy, będącej właścicielem platformy. Sprawcy wiadomość wysłali kopię do siebie, to zrzut ekranu kopii.

Wiadomość zawierała link do dokumentu PDF, który miał być skasowany po pobraniu, ale skasowany nie został. Jak sprawdziliśmy, link nadal działał (dlatego zamazaliśmy go na powyższym zrzucie ekranu). Plik PDF był zabezpieczony hasłem, ale sprawcy wspomnieli, że hasłem jest PESEL prezesa. Ustalenie hasła nie było problemem - wspominaliśmy już wielokrotnie, że PESEL ma niską entropię. W treści dokumentu znaleźliśmy większość dowodów włamania, które także my otrzymaliśmy, oraz prośbę o kontakt (inne konto Session niż to, które korespondowało z nami). Przedstawiono także zagadnienie jako "ofertę zakupu wyników audytu bezpieczeństwa".

Otrzymaliśmy także przykładowy cennik reklam w serwisie, w formie zrzutu ekranu pliku Excela ze stawkami za reklamy konkretnych lekarstw. Z kolei plik PDF wysłany rzekomo do prezesa zawierał wewnętrzną korespondencję firmową, w tym np. informacje o nowych pracownikach czy raport sygnalisty o nieprawidłowościach. Był w nim także fragment bazy danych lekarzy, z którymi firma współpracuje - dane, które sprawdziliśmy, były w 100% prawdziwe (choć to dane dostępne w większości publicznie). W liście do prezesa wymieniali takie systemy jak Jira czy Hubspot CRM jako te, do których uzyskali pełny dostęp.

Sprawcy pokazali nam także SMS-a, którego rzekomo wysyłali do pracowników firmy z jej własnego konta w serwisie SMSApi.

Jak sprawcy dostali się do infrastruktury firmy

Według tego, co usłyszeliśmy od sprawców, najpierw udało im się uzyskać zdalne wykonanie kodu przez podatność typu XXE przy obsłudze certyfikatów PKCS#12. To pozwoliło na poznanie klucza API do GitHuba, gdzie z kolei znaleźli kod źródłowy serwisu. Dzięki temu dostali się do infrastruktury na AWS. Nie byliśmy w stanie niezależnie zweryfikować tych informacji.

Jak oceniamy wiarygodność twierdzeń sprawców

W takim zakresie, w jakim mogliśmy je zweryfikować, nie przyłapaliśmy sprawców na żadnej niezgodności czy kłamstwie. Warto jednak zauważyć, że nasze możliwości weryfikacji są dość ograniczone. Sprawcy twierdzą na przykład, że ukradli 2,5 TB danych - nie mamy żadnej możliwości weryfikacji tego twierdzenia. Podobnie nie możemy zweryfikować twierdzenia, że w ich posiadaniu są dane osobowe ponad 18 milionów Polek i Polaków, ale ta liczba wydaje się odzwierciedlać potencjalny zakres działania systemu MyDr (przy tysiącach obsługiwanych gabinetów i przychodni). Pośrednio prawdopodobieństwo incydentu potwierdził także premier Gawkowski, pisząc, że "wiele wskazuje na to, że osoba nieuprawniona mogła uzyskać do nich [danych] dostęp".

Potwierdzenie zasięgu bazy

Dla weryfikacji twierdzeń włamywaczy poprosiliśmy ich o sprawdzenie numerów PESEL czterech osób z branży, które zgodziły się wziąć udział w eksperymencie. Dla dwóch z nich otrzymaliśmy rekordy z bazy wykradzionej przez włamywaczy. To oznacza, że dla pięciu sprawdzonych numerów PESEL (łącznie z autorem artykułu), dla trzech znalazły się rekordy w bazie. Próba statystycznie niewielka, ale pasująca do liczby ponad 18 mln rekordów.

Kim są sprawcy

Tu robi się ciekawie, ponieważ kimkolwiek są, starają się wyglądać jak ktoś zupełnie inny. Komunikują się po angielsku, uśmiechają po rosyjsku ("))))))))))"), a język angielski, jakim się posługują, brzmi, jakby ktoś kazał Claude'owi przepisać tekst "tak jakby to napisał średnio znający angielski obywatel jakiegoś kraju z Azji". Brzmi to zatem jak próby sprowadzenia śledztwa na fałszywe tropy.

Jak sprawdzić, czy jestem w wycieku

Tu mamy złą informację - nie da się i jest spore ryzyko, że będzie to niemożliwe (lub bardzo utrudnione). Problem polega na tym, że MyDr jest jedynie "podmiotem przetwarzającym" zgodnie z RODO, a administratorem danych są placówki ochrony zdrowia, których są tysiące. Z prawnego punktu widzenia MyDr nie ma prawa przekazać danych ofiar incydentu np. zespołowi CERT Polska. by umieścić je w serwisie bezpiecznedane.gov.pl. No chyba że rząd coś wymyśli :) W tej sytuacji musicie liczyć na to, że gdy ustalony zostanie zakres incydentu, MyDr powiadomi placówki ochrony zdrowia, czyje i jakie dane wyciekły, a one przekażą te informacje bezpośrednio wam. A to może zająć wiele dni.

Stanowisko firmy

Wysłaliśmy zaatakowanej firmie kilka pytań:

1. Czy firma wie o incydencie uzyskania nieuprawnionego dostępu do danych osobowych użytkowników serwisu?
2. Kiedy firma dowiedziała się o incydencie?
3. Jakie działania podjęto w tym zakresie do tej pory?
4. Jakie działania są planowane?

Oto odpowiedzi, jakie otrzymaliśmy.

1. Obecnie prowadzimy postępowanie wyjaśniające dotyczące zgłoszonego incydentu związanego z systemami MyDr.

2. Dopóki trwa postępowanie wyjaśniające, nie możemy podać dokładnych dat związanych z tym incydentem.

3. Niezwłocznie po uzyskaniu informacji o potencjalnym incydencie:

• uruchomiliśmy nasze procedury reagowania na incydenty
• nad wyjaśnieniem sytuacji pracują nasze zespoły ds. Bezpieczeństwa, Inżynierii i Infrastruktury
• współpracujemy z zewnętrznymi ekspertami ds. cyberbezpieczeństwa oraz doradcami prawnymi
• powiadomiliśmy właściwe organy i ściśle z nimi współpracujemy w celu wyjaśnienia tej sprawy
• skontaktowaliśmy się również z naszymi klientami i przekazaliśmy im dostępne na obecnym etapie informacje, w tym dedykowany zestaw odpowiedzi na najczęściej zadawane pytania (FAQ), obejmujący kwestie, na które możemy obecnie udzielić odpowiedzi.

4. Na obecnym etapie postępowanie wyjaśniające nadal trwa.
Kontynuujemy ścisłą współpracę z zewnętrznymi ekspertami, właściwymi organami oraz naszymi zespołami wewnętrznymi w celu pełnego wyjaśnienia sprawy.
Będziemy przekazywać kolejne informacje, gdy tylko będziemy mogli potwierdzić nowe ustalenia.

Aktualizacja 2026-08-10 20:00

Dodaliśmy informację o receptach polityka, rozdział o tym, czy można sprawdzić obecność w wycieku, oraz informację o kolejnych potwierdzonych osobach.

Kiedy w styczniu opisywaliśmy skoordynowany atak na polską infrastrukturę energetyczną, nie spodziewaliśmy się, że w sierpniu będziemy dodawać kolejne klocki do tej układanki. Jest to jednak niezbędne, ponieważ okazało się, że ofiar było więcej, podobnie jak i metod ataku użytych przez sprytnych napastników.

29 grudnia 2025 doszło do serii ataków, których ofiarą padły polskie farmy fotowoltaiczne i wiatrowe, elektrociepłownia obsługująca prawie pół miliona odbiorców oraz prywatna spółka z sektora produkcyjnego. Ustalenia analityków badających atak wskazały, że zostały one przeprowadzone przez tego samego napastnika. Według właśnie opublikowanego przez CERT Polska raportu uzupełniającego atak miał jednak jeszcze szerszy zasięg.

Nieznana ofiara skutecznego ataku

Ataki z 29 grudnia znane do tej pory były uciążliwe, ale nie zatrzymały procesów generowania i przesyłania energii. Farmy fotowoltaiczne i wiatrowe, mimo uszkodzeń urządzeń kontrolnych, nadal generowały prąd - elektrociepłownia obroniła się przed atakiem. Okazuje się jednak, że sprawcom udało się zatrzymać (na krótko, ale jednak) inną, mniejszą elektrociepłownię, obsługującą ok. 50 tysięcy mieszkańców. Zacznijmy jednak od tego, jak dostali się do jej sieci, bo ten scenariusz ataku był dość nietypowy.

Nietypowy atak

Sprawcy, którzy byli już w sieci farm wiatrowych, szukali możliwości poszerzenia swoich dostępów. W zaatakowanej infrastrukturze znaleźli routery komórkowe z kartami SIM, podłączone do prywatnego APN (bramy sieciowej). APN był zarządzany przez operatora sieci dystrybucyjnej (OSD) i umożliwiał łączność między urządzeniami w wydzielonej sieci wirtualnej.

W ramach prywatnego APN odbywała się komunikacja między systemem SCADA a sterownikami RTU (Remote Terminal Unit). Zgodnie z wymaganiami OSD komunikacja ta odbywała się wyłącznie za pomocą protokołu szeregowego DNP3.0. Wymagania te nie obejmowały jednak interfejsu administracyjnego routera komórkowego. Router Teltonika RUTX50 w jednej z farm wiatrowych miał dwa interfejsy - łącze szeregowe, do którego był podłączony RTU, oraz łącze Ethernet podłączone do VLAN-u. Co prawda, hasło do interfejsu routera, wystawionego przez WWW i SSH, było zmienione z domyślnego, ale sprawcy się do niego dostali. Sposobu pokonania hasła nie udało się ustalić. Udało się za to na etapie śledztwa wydobyć z urządzenia logi, wskazujące połączenia włamywaczy. Ustalenia wskazują, że router mógł być wykorzystany do tunelowania ruchu SSH do wnętrza sieci APN.

Dalsze postępy napastników

Sprawcy od 18 grudnia skanowali sieć APN w poszukiwaniu usług VNC, HTTP, S7 oraz Modbus. Znaleźli w ten sposób sterownik WAGO PFC200 z wystawionym do sieci APN interfejsem WWW z domyślnym hasłem dla konta "admin". Warto podkreślić, że sterownik nie był wystawiony do internetu - znalezienie go wymagało najpierw uzyskania dostępu do prywatnej sieci APN. Sterownik nie udostępniał w domyślnej konfiguracji usługi SSH, ale napastnicy zalogowali się przez interfejs WWW i włączyli sobie dostęp SSH.

Sterownik posiadał dostęp do systemów sterowania przemysłowego elektrociepłowni. Wykorzystując tunelowanie SSH napastnicy przeszukiwali sieć elektrociepłowni w poszukiwaniu usług sterowania przemysłowego S7 (102/TCP), Modbus (502/TCP), CODESYS (11740/TCP), a także monitoringu RTSP (554/TCP) oraz zdalnego pulpitu (RDP, VNC) i WWW (HTTP, HTTPS). Zlokalizowali w ten sposób urządzenia i usługi, które docelowo starali się wyłączyć i uszkodzić.

Dzień ataku

Około godziny 5:30 w dniu 29 grudnia sprawcy połączyli się przez tunele SSH z siecią elektrociepłowni i dostali się do sterowników Siemensa S7-300, S7-1200 oraz S7-1500. Sterowniki zostały przełączone w tryb STOP oraz zabezpieczone hasłem. Wyglądało to tak:

Doprowadziło to do zatrzymania turbiny parowej oraz stacji uzdatniania wody do celów technicznych. W elektrociepłowni akurat podwykonawca prowadził prace utrzymaniowe, więc niespodziewaną awarię złożono na karb pomyłki jego pracowników. Urządzenia sprawiające problemy przywrócono do ustawień fabrycznych i po krótkiej chwili procesy technologiczne ponownie ruszyły, dzięki czemu nie doszło do przerwy w dostawach ciepła do odbiorców. Na szczęście incydent zgłoszono do CERT Polska, dzięki czemu możliwa była analiza i ustalenie prawdziwych powodów awarii.

Pracownicy elektrociepłowni szybko wymyślili obejście problemu - przywrócili sterowniki do ustawień fabrycznych i wgrali w nie oprogramowanie z kopii bezpieczeństwa. Co prawda, ta operacja usunęła ślady włamania, ale pozwoliła na kontynuowanie pracy.

W kolejnym kroku włamywacze, podobnie jak w ataku na farmy fotowoltaiczne i wiatrowe, zmienili konfigurację siedmiu serwerów portów szeregowych i trzech przełączników sieciowych Moxa. Urządzenia zresetowano do ustawień fabrycznych oraz zmodyfikowano ich adresy IP i hasła, by utrudnić próby odzyskania dostępu.

Włamywacze łączyli się także do przemienników częstotliwości z serii ACS firmy ABB, ale nie wiadomo, co próbowali z nimi zrobić. Z kolei do przemienników częstotliwości Schneider Electric ATV6xx połączyć im się nie udało, ponieważ urządzeń szukali na porcie 80, a te panel sterujący wystawiał na innym porcie.

Zacieranie śladów

Sprawcy, podobnie jak u innych ofiar, sporo wysiłku włożyli w zacieranie śladów. W sterowniku WAGO PFC200, przez który łączyli się do sieci ofiary, uszkodzili tablicę partycji tak skutecznie, że próby odzyskiwania danych przy użyciu profesjonalnych technik laboratoryjnych (na zdjęciu poniżej) się nie powiodły.

Również router komórkowy został przywrócony do ustawień fabrycznych, chociaż z niego udało się odzyskać logi.

Wnioski

Raport CERT Polska nie pozostawia wątpliwości - prywatne sieci APN powinny być objęte wnikliwą opieką działu bezpieczeństwa. Najlepiej traktować je jak inne sieci zewnętrzne, z potencjalnie możliwym dostępem dowolnego użytkownika. Izolacja, segmentacja, monitoring i domyślne odrzucanie ruchu poza specyficznie dozwolonym powinny znacząco pomóc w ograniczeniu ryzyka opisanego w omawianym raporcie.

Zapraszamy do nowego wydania Weekendowej Lektury. Urlopy urlopami, ale przestępcy działają nadal. Poniżej kolejna porcja informacji o najnowszych atakach, świeżo odkrytych podatnościach i grasujących w sieci szkodnikach. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej rozmowę o przestępczych korporacjach z Agatą Ślusarek, analityczką z RIFFSEC (pkt 3). W części technicznej zapoznajcie się z trzema sposobami omijania Passkey'ów, czyli bezhasłowego uwierzytelniania (pkt 5), poczytajcie też o robaku ChainDrop - nowej wersji Mini Shai-Huluda, która grasuje w repozytorium npm (pkt 17-18). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – August 7, 2026

Część bardziej fabularna

1. [PL] Jak działa Alert RCB i dlaczego Polska wciąż nie korzysta z Cell Broadcast?
2. [PL] CBZC zatrzymało dwóch młodych mężczyzn, którzy zarabiali na atakach DDoS
3. [PL][WIDEO] „Nie oszuka mnie". Tak myślała każda ofiara scamu na 100 tysięcy
4. [PL] Fałszywe SMS-y o wniosku mieszkaniowym - kolejny etap kampanii wyłudzającej dane
5. [PL] Dziwne znaki, spacje i stylometria - polska klawiatura na Linuksie
6. [PL] Czy informacje o liczbie nałożonych mandatów to informacja publiczna?
7. [PL] Cyfrowy scyzoryk obywatela - narzędzia ułatwiające dostęp do informacji publicznej
8. eBay zapłaci 46 mln dolarów blogerom nękanym przez pracowników firmy
9. Google omyłkowo zablokował setki stron na platformie Blogger
10. Białoruski twórca grupy Ransom Cartel skazany w USA na 16 lat więzienia
11. Klientka Metro Banku straciła 14 tys. funtów wskutek oszustwa z udziałem AI
12. Podsumowania AI kierują użytkowników do stron kontrolowanych przez oszustów
13. Trzy podstawowe sposoby wykorzystania AI przez operatorów zagrożeń
14. LinkedIn doda przycisk umożliwiający zgłaszanie treści generowanych przez AI
15. Biblioteki reklam w aplikacjach mobilnych kradną dane o lokalizacji użytkownika
16. Samochody z systemami KARR i SWDS można zhakować za pomocą Bluetootha

​

​

Część bardziej techniczna

1. [PL] [WIDEO] AMSI vs. obfuscacja: Gra w kotka i myszkę
2. [PL] Złośliwe oprogramowanie nGate podszywa się pod Żabkę
3. [PL] Uwaga na ClickFix – nie wklejaj cudzych poleceń
4. Kampania ClickFix na macOS selekcjonuje ofiary przed pokazaniem pułapki
5. Passkey na celowniku - trzy techniki omijania bezhasłowego uwierzytelniania
6. CosmosEscape - krytyczna podatność w usłudze Azure Cosmos DB
7. KindaRails2Shell zagraża aplikacjom Ruby on Rails używającym Active Storage
8. Krytyczne podatności w SQLite zostały wyhalucynowane przez AI
9. Rozszerzenie SecondBrain do Chrome kradnie rozmowy użytkowników 9 usług AI
10. Gry na telewizorach Samsunga mogą udostępniać domowe łącze obcym osobom
11. Botnet Tengu restartuje zainfekowane urządzenia po zakończeniu jego procesu
12. Stealer Vanta ukrywa się za fałszywymi instalatorami i aktualizacjami
13. DoubleCup ukrywa złośliwe oprogramowanie w pamięci podręcznej przeglądarki
14. Fałszywe narzędzia AI na GitHubie wykradają dane twórcom oprogramowania
15. Greatness - platforma phishing-as-a-service reklamowana na Telegramie
16. Kampania Smoke#Screen używa zaufanych narzędzi do przejmowania urządzeń
17. ChainDrop - samopowielająca się wersja Mini Shai-Huluda w repozytorium npm
18. Atak ChainDropa przeanalizowany przez Wiz, StepSecurity, Aikido i OXsecurity
19. CaptiveCrunch wykorzystuje hotelowe Wi-Fi infekowania urządzeń podróżnych
20. Inżynieria wsteczna wipera Lotus użytego w ataku na wenezuelską firmę naftową
21. Bindcloak zagraża instytucjom publicznym na Bliskim Wschodzie
22. Analiza rosyjskiej kampanii phishingowej wymierzonej w użytkowników Zimbry
23. DeepSeek wykorzystany do przeprowadzenia autonomicznych ataków
24. Grupa Twill Typhoon zaatakowała łańcuch dostaw QuickFox

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

​

Zapraszamy do nowego wydania Weekendowej Lektury. Tym razem także nie zabrakło materiału do analizy - poniżej znajdziecie kilkadziesiąt linków, które mogą zapewnić wam zajęcie na resztę weekendu. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej materiał wideo o tym, jak doszło do wycieku narzędzi hakerskich z CIA (pkt 12). W części technicznej zobaczcie poradnik, jak zbudować skuteczną ochronę przed ransomware (pkt 1), prelekcję z tegorocznej edycji CONFidence o tym, jak się obchodzi fizyczną kontrolę dostępu i czytniki RFID (pkt 4) oraz nowe wydanie magazynu Paged Out! (pkt 6). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – July 31, 2026

Część bardziej fabularna

1. [PL] NIS2 już obowiązuje, a 98% firm o tym nie wie. Sprawdź, czy jesteś na liście
2. [PL] Oszuści podszywają się pod mObywatela. Sprawdź, jak chronić swoje dane
3. [PL][WIDEO] Retro-podcast Informatyka Zakładowego - odcinek 6
4. [PL] I po co to wszystko? Niemal żadna aplikacja Metro nie przetrwała do dziś
5. [PL] Miliony Polaków dostały Alert RCB. Rządowa strona nie wytrzymała
6. [PL] Slopaganda w Polsce. AI ożywia Leppera, podtapia polityków i prawdę
7. Jak profesor zastawił pułapkę na studentów używających AI podczas egzaminu
8. Niewinny człowiek trafił do więzienia, bo organom ścigania pomyliły się nicki
9. USA ścigają właściciela telefonu za usunięcie danych podczas kontroli granicznej
10. Google ukarane grzywną w wysokości 890 mln euro za naruszenie DMA
11. Apple pozwane po kradzieży bitcoinów przez fałszywą aplikację z App Store
12. [WIDEO] Jak doszło do wycieku narzędzi hakerskich z CIA
13. Europol zidentyfikował 4340 adresów URL powiązanych z The Com
14. Ponad 30 przedsiębiorstw wodociągowych w USA padło ofiarą ataków
15. Wyciek danych 700 tys. użytkowników aplikacji modlitewnej Watykanu

​

​

Część bardziej techniczna

1. [PL] Jak zbudować skuteczną ochronę przed ransomware
2. [PL] Analiza mechanizmu infekcji trojana Sirius RAT
3. [PL][WIDEO] Bezpieczeństwo leciwych systemów to prawdziwy koszmar
4. [PL][WIDEO] Jak obejść fizyczną kontrolę dostępu i czytniki RFID
5. [PL][WIDEO] Czy Twój telefon Cię podsłuchuje?
6. Jest już dostępne nowe wydanie magazynu Paged Out! (PDF)
7. VMware łata krytyczne luki umożliwiające obejście logowania i ucieczkę z VM
8. Rzut oka na Kali365, popularną platformę typu Phishing-as-a-Service
9. Jeden link, trzy pułapki: oszuści zmieniają atak zależnie od urządzenia
10. Tylna furtka GoGRPC w kampanii z podszyciem się pod dział wsparcia
11. Fałszywy dział IT prosi za pośrednictwem Teams o zdalny dostęp
12. Ponad 13 mln e-maili od oszustów udających pomoc techniczną w Japonii
13. TA488 atakuje Outlook i przejmuje skrzynki po samym otwarciu e-maila
14. Jak grupa TAG-195 rozwija ekosystem Malware-as-a-Service
15. Astaroth rozsyła złośliwe pliki do kontaktów ofiar na WhatsAppie
16. Fałszywe wideorozmowy z deepfake'ami jako wstęp do kradzieży portfeli
17. Kampania FakeGit, czyli nawał fałszywych narzędzi AI na GitHubie
18. Oferta pracy dla programisty prowadziła do instalacji złośliwego kodu
19. Ukryte polecenia w e‑mailach i PDF-ach jako nowa broń przestępców
20. [WIDEO] Czy AI naprawdę włamało się do Hugging Face?
21. Fałszywy Claude z reklamy w Google prowadzi do stealera na macOS
22. Botnet Fuyao na Android TV napędza oszustwa reklamowe i usługi proxy

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

​

Zapraszamy do nowego wydania Weekendowej Lektury. Jest już wprawdzie niedziela, ale przy odrobinie determinacji zdążycie przejrzeć wszystkie linki, które dla Was uzbieraliśmy, a zatem miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej wyniki dziennikarskiego śledztwa pokazujące, jak chiński bank centralny wykorzystuje sieć luksemburskich spółek i rajów podatkowych do cichej ekspansji na Europę (pkt 14). W części technicznej zerknijcie na świeżo udostępnione nagrania z konferencji Oh My Hack 2025 (pkt 1), analizę infrastruktury i rekonstrukcję łańcucha ataku grupy INC Ransom (pkt 3) oraz kilka artykułów na temat świeżo ujawnionych krytycznych podatności wp2shell w WordPressie (pkt 6-8). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – July 26, 2026

Część bardziej fabularna

1. [PL] Nowelizacja kodeksu karnego penalizuje przestępstwo patostreamingu
2. [PL] Nieletni oferowali w Internecie usługi ataku DDoS - najmłodszy miał 12 lat
3. [PL] Apple wzmacnia kontrolę rodzicielską w iOS. Co się zmienia?
4. [PL] Odblokowano osiągnięcie: przejęte konto Steam
5. [PL] Fałszywa opłata parkingowa jako narzędzie phishingu
6. [PL][WIDEO] DevOps na celowniku - socjotechnika w przykładach
7. [PL][WIDEO] Fake reviewsy, fake eksperci i prawdziwy internet
8. [PL] Publikowanie nazwisk sportowców ukaranych za doping a RODO
9. [PL][WIDEO] Czym jest wprowadzony przez UE mechanizm QWAC
10. [PL][WIDEO] Jak twórcy z YouTube mogą manipulować statystykami
11. [PL] To głupsze, niż myślisz. Tak manipuluje się twoim chatbotem
12. [PL] Wyszukiwanie za pomocą AI: wygodne odpowiedzi, niepewne źródła
13. [PL] Chat Control powraca zza grobu. Nieskuteczne i niebezpieczne narzędzie
14. [PL] Państwo Środka zerka z cienia, czyli o cichej ekspansji na Europę
15. [PL][WIDEO] Jak Kreml buduje alternatywny system finansowy
16. [PL] Mechanizmy delegitymizacji NATO w rosyjskich operacjach wpływu
17. [PL] Ponad milion wyświetleń prorosyjskiej propagandy na TikToku
18. Grupa ransomware Anubis stała za atakiem na spółkę zależną Coca-Coli
19. Atak na Suno ujawnił, że serwis kopiował dane z YouTube'a i Deezera
20. Organy ścigania rozprawiły się z usługą phishingową Kratos/Sneaky2FA

​

​

Część bardziej techniczna

1. [PL][WIDEO] Nagrania z konferencji Oh My Hack 2025
2. [PL] Cmentarzysko certyfikatów oprogramowania
3. [PL] INC Ransom - analiza infrastruktury i rekonstrukcja łańcucha ataku
4. GitHub obniża wypłaty w programie bug bounty co najmniej o połowę
5. Ataki phishingowe przenoszą się z poczty do rozmów na Microsoft Teams
6. Wp2shell - dwie luki prowadzące do zdalnego wykonania kodu w WordPressie
7. Analiza aktywnego wykorzystania podatności wp2shell w WordPressie
8. Wykrywanie ataków na WordPressa realizowanych przy użyciu wp2shell
9. WebDAV oraz ClickFix tworzyły wieloetapowy łańcuch dystrybucji malware'u
10. Analiza tylnej furtki w oprogramowaniu sprzętowym routerów Tenda
11. Miasma atakuje przez złośliwe pliki w repozytorium Azure/durabletask
12. ClickLock - nowy, modularny stealer wymierzony w użytkowników macOS
13. Stealer Phantom używa skryptów PowerShella do pracy wyłącznie w pamięci
14. Fałszywe czcionki TTF wykorzystywane do infekcji firmowych komputerów
15. msaRAT grupy Chaos ukrywa zdalne sterowanie w zwykłym ruchu przeglądarki
16. Usługa Cruciferra pomaga przestępcom w ukrywaniu złośliwych programów
17. Rosyjska grupa wykorzystuje pocztę Zimbra do cichej kradzieży danych
18. Kampania TAG-150 łączy socjotechnikę z wieloetapową infekcją Windowsa
19. Bankowy trojan Lampion koncentruje działania na rynku portugalskim
20. Kampania phishingowa typu AiTM wymierzona w instytucje publiczne
21. Kimsuky użyło tylnej furtki Gomir do ataku na dostawcę oprogramowania
22. Kampania ClickFake Interview celująca w ekspertów od kryptowalut i Web3
23. Fałszywy test rekrutacyjny ukrywa złośliwy kod w obrazach SVG
24. Analiza kampanii StandOff z udziałem kilku rosyjskojęzycznych operatorów
25. Rosyjskojęzyczni przestępcy wykorzystują zaufanie do znanych aplikacji
26. Ukierunkowane ataki na instytucje rządowe na Bliskim Wschodzie
27. Badacze z Google'a aktualizują system nazewnictwa grup przestępczych

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

​

Zapraszamy do nowego wydania Weekendowej Lektury. Przestępcy ani myślą o urlopie, dlatego poniżej przeczytacie to, co udało się nam znaleźć i wyselekcjonować z najciekawszych tematów w tym tygodniu. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej poradnik, jak rozpoznać fałszywe sklepy online i nie stracić pieniędzy (pkt 8) oraz opowieść o startupie IRIS C2 skupującym luki 0-day i exploity, za którym - jak się okazało - stoją znani oszuści (pkt 17). W części technicznej zerknijcie do biuletynu zabezpieczeń Microsoftu, gdyż w lipcu firma załatała rekordową liczbę 622 luk w swoich produktach (pkt 1), zapoznajcie się też z analizą nowego złośliwego oprogramowania GigaWiper, który łączy zdalną kontrolę z trwałym niszczeniem danych na Windowsie (pkt 9). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – July 18, 2026

Część bardziej fabularna

1. [PL] Prawo dla twórców stron i aplikacji - fundamenty, które trzeba znać
2. [PL] Presja zakupowa na dzieci. Zarzuty dla dwóch influencerów z YouTube'a
3. [PL] 26,7 tys. zł kary za prywatny monitoring przestrzeni publicznej?
4. [PL] CBZC rozbiło grupę handlującą w sieci sfałszowanymi farmaceutykami
5. [PL] Obchodzenie zakazów na Vinted, czyli e-papierosy zamiast długopisów
6. [PL] Oszustwo na Booking.com z użyciem WhatsAppa wraca na wakacje
7. [PL] Co powinno cię zaniepokoić, gdy ktoś prosi o kod BLIK
8. [PL] Jak rozpoznać fałszywe sklepy online i nie stracić pieniędzy
9. [PL][WIDEO] Avast - darmowy antywirus, który przez 6 lat cię szpiegował
10. [PL][WIDEO] Twoja wtyczka do przeglądarki wie więcej, niż ci się wydaje
11. [PL] Podpalacze Europy. Sieć rosyjskich werbowników wyszła poza Ukrainę
12. [PL] „Myrotworeć” nie jest ukraińską „listą śmierci”. Co wiemy o tej organizacji?
13. Wielka Brytania i UE ogłosiły wspólny pakiet sankcji za rosyjskie cyberataki
14. Kontrowersje wokół kodu śledzącego użytkowników Claude Code w Chinach
15. „Hackathon” Interpolu ujawnił handel ludźmi w serwisach subskrypcyjnych
16. Negocjator trafił do więzienia za współpracę z operatorami ransomware'u
17. Za startupem IRIS C2 kupującym luki i exploity stoją skazani oszuści

​

​

Część bardziej techniczna

1. W lipcu Microsoft załatał rekordową liczbę 622 luk w swoich produktach
2. Jest już dostępny exploit wykorzystujący lukę LegacyHive w Windowsie
3. Atakujący wykorzystują lukę w Progress ShareFile do kradzieży danych
4. Luka Januscape zagraża izolacji maszyn wirtualnych na hostach KVM/x86
5. GhostLock, czyli 15-letnia podatność we wszystkich dystrybucjach Linuksa
6. Jak stare bootloadery UEFI umożliwiały obejście mechanizmu Secure Boot
7. Badacze zresetowali hasło portfela kryptowalutowego Tangem za pomocą lasera
8. Aktywnie wykorzystywana luka we wtyczce Everest Forms Pro do WordPressa
9. GigaWiper łączy zdalną kontrolę z trwałym niszczeniem danych na Windowsie
10. Fałszywa weryfikacja Cloudflare na macOS skłania do uruchomienia poleceń
11. Framework Miasma rozprzestrzeniany poprzez atak na pakiety AsyncAPI w npm
12. Kampanie z użyciem stealera ACR mające na celu kradzież danych firmowych
13. Kratos wział na celownik konta Microsoft 365 firm z USA i Europy
14. Telepuz rozprzestrzenia się poprzez ClickFix i łańcuch infekcji Vidara
15. Atak HalluSquatting wykorzystuje halucynacje AI do tworzenia botnetów
16. Claude dla Chrome pozwala innym wtyczkom odczytywać dane z Gmaila
17. TuxBot v3 wykorzystuje AI do budowy modułowego botnetu IoT
18. Chiny i Indie atakowały pakistańską policję w równoległych kampaniach
19. Kampania ShadowRecruit atakuje osoby szukające pracy w sektorze publicznym
20. Jak Rosja hakuje kamery w Europie, by móc śledzić dostawy broni do Ukrainy

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

​

Zapraszamy do nowego wydania Weekendowej Lektury, a w nim kilkadziesiąt linków pokazujących, co się wydarzyło w mijającym tygodniu. Staraliśmy się, aby były ciekawe, różnorodne i istotne. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej wideo tłumaczące, jak działa nielegalny rynek tokenów AI (pkt 3). W części technicznej poczytajcie o złośliwym oprogramowaniu ChocoPoC rozpowszechnianym pod przykrywką fałszywych exploitów (pkt 11), zerknijcie też na analizę Glitch SPY, trojana na Androida, który podszywa się pod polską aplikację (pkt 15). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – July 10, 2026

Część bardziej fabularna

1. [PL][WIDEO] Cyberbezpieczeństwo na wakacjach

2. [PL] Oszustwo pod pozorem podwójnej płatności za fakturę Play

3. [PL][WIDEO] AI za grosze - jak działa nielegalny rynek tokenów

4. [PL][WIDEO] Przegląd zagrożeń związanych z domowymi kamerami

5. [PL] Komisja Europejska pozywa Polskę za niewdrożenie dyrektywy policyjnej

6. [PL] Miasto przyznało się do nieprawidłowości, ale obwinia Google i operatora

7. [PL] Do 5 lat więzienia za produkcję i sprzedaż urządzeń podsłuchowych

8. [PL] Fałszywe konta, nieistniejące artykuły i rosyjskie powiązania

9. [PL] Obejście geoblokady poprzez VPN a skuteczność środka ochrony

10. Europejski dostawca chmury Nextcloud nieopatrznie ujawnił 8 GB danych

11. Discord przez pomyłkę AI niesłusznie zbanował ponad 8 tys. użytkowników

12. W ramach operacji First Light aresztowano 5,8 tys. oszustów w 97 krajach

13. Ofiary szpiegującego oprogramowania Predator pozywają jego producenta

14. Włamanie na platformę wymiany informacji wywiadowczych DHS

15. Zhakowane strony rządowe i uniwersyteckie hostują treści OnlyFans

​

​

Część bardziej techniczna

1. [PL][WIDEO] Co można zrobić z radiem bez licencji krótkofalarskiej

2. [PL][WIDEO] WordPress bez hardeningu - prosta droga do hackingu

3. [PL] Jak okradziono zdecentralizowaną giełdę Cetus

4. [PL] Krytyczna luka w Oracle E-Business Suite pod ostrzałem

5. Luka w Operze GX pozwalała stronom niezauważalnie instalować wtyczki

6. Opera wyposażona w funkcję chroniącą przed atakami typu ClickFix

7. Krytyczna luka w Adobe ColdFusion jest już wykorzystywana w atakach

8. Luki w bibliotece FatFs zagrażają kamerom i urządzeniom IoT w firmach

9. W oprogramowaniu sprzętowym routerów Tenda odkryto tylną furtkę

10. Analiza luk w protokołach Apple AirDrop i Google/Samsung Quick Share

11. ChocoPoC rozpowszechniany pod przykrywką fałszywych exploitów

12. Bad Epoll - luka w Linuksie dająca dostęp do roota i dotycząca Androida

13. Januscape, czyli poważna luka w środowisku wirtualizacyjnym na Linuksie

14. Wykorzystywanie luk w aplikacjach webowych firmy Johnson & Johnson

15. Glitch SPY - trojan na Androida podszywający się pod polską aplikację

16. Nowa platforma RedWing ułatwia infekowanie telefonów z Androidem

17. SCMBanker atakuje użytkowników bankowości mobilnej w Meksyku

18. Ransomware JadePuffer wykorzystuje agenta AI do automatyzacji ataków

19. Przeglądarkowy ransomware stworzony za pomocą DeepSeeka

20. Kampanię FortiBleed powiązano z grupami ransomware INC i Lynx

21. Grupa Hyadina wróciła z ransomware'em GodDamn atakującym firmy

22. Od wykorzystania luki CitrixBleed 2 do zaszyfrowania firmowych danych

23. AI podpowiada atakującym nazwy domen, czyli phantom squatting

24. Skrypt napisany metodą vibe coding posłużył do ataku na firmową sieć

25. Atak na środowisko chmurowe AWS przyspieszony za pomocą AI

26. Kampania Boss Scam wykorzystuje zaufanie do przełożonych

27. TimbreStealer atakuje firmy w Meksyku i skutecznie unika wykrycia

28. Analiza łańcucha infekcji prowadzącego do wdrożenia trojana CrySome

29. Stealer Vidar i koparka kryptowaluty XMRig w jednej kampanii

30. UNK_MassTraction łączy phishing z wykorzystaniem luk w Microsoft Edge

31. Fałszywe faktury używane w atakach na rosyjskie firmy z branży lotniczej

32. Rosyjska grupa podsuwa swoim ofiarom fałszywe portfele kryptowalutowe

33. Cavern Manticore - nowa grupa APT powiązana z irańskim wywiadem

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

​

Zapraszamy do nowego wydania Weekendowej Lektury. Jak zawsze szukaliśmy tematów, które pomagają lepiej zrozumieć aktualny krajobraz zagrożeń. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej raport „Internet dzieci 2026”, z którego wynika, że algorytmy i AI szkodzą już kilkulatkom (pkt 11) oraz opowieść o tym, jak europoseł z komisji badającej Pegasusa sam padł ofiarą tego spyware'u (pkt 14). W części technicznej spójrzcie na przegląd ciekawych podatności w aplikacjach webowych przygotowany przez Michała Sajdaka (pkt 1) oraz analizę ataku na łańcuch dostaw w modelu SaaS na przykładzie Klue (pkt 5). Życzymy udanej lektury.

Wersja anglojęzyczna

IT Security Weekend Catch Up – July 5, 2026

Część bardziej fabularna

1. [PL][WIDEO] GPS w Europie wariuje. Źródło jest w kosmosie?

2. [PL] Jak Agencja Projektowania Społecznego działa na rzecz Rosji

3. [PL][WIDEO] Retro-podcast Informatyka Zakładowego - odcinek 5

4. [PL][WIDEO] Cyfrowa Hydra: Czy jednostka ma szansę?

5. [PL] Nieopłacony parking? Uważaj na oszustów

6. [PL][WIDEO] Dlaczego wszyscy nabierają się na internetowe scamy

7. [PL][WIDEO] Jak atakujący próbują ukraść dane do Gmaila na LinkedInie

8. [PL] CBZC rozpracowało 17-latka atakującego abonentów sieci komórkowych

9. [PL] Jak FBI szkoli śledczych w realistycznym cyberpoligonie

10. [PL] Nielegalnie przetwarzane dane osobowe jako dowód w sądzie

11. [PL] Raport „Internet dzieci 2026”. Algorytmy i AI szkodzą już kilkulatkom

12. [PL] Eustella - europejska, bezpieczna alternatywa dla ChataGPT i Gemini

13. Jak korzystać z RSS-ów, by śledzić treści bez platformowych podpowiedzi

14. Europoseł z komisji badającej Pegasusa sam padł ofiarą tego spyware'u

15. Unieszkodliwiono infrastrukturę złośliwego oprogramowania Amadey i StealC

16. USA przejęły setki domen oferujących pirackie transmisje z mundialu

17. Badacze z Google'a odcięli miliony urządzeń od złośliwej sieci proxy NetNut

18. Członek grupy Scattered Spider został ekstradowany z Finlandii do USA

​

​

Część bardziej techniczna

1. [PL][WIDEO] Przegląd ciekawych podatności w aplikacjach webowych

2. [PL][WIDEO] FortiBleed: to nie nowa luka,tylko problem z poświadczeniami

3. [PL][WIDEO] Cyberodporność kolei: od podatności do zgodności i bezpieczeństwa

4. [PL] Deepfake i spoofing gov.pl wspierały fałszywą platformę inwestycyjną

5. Analiza ataku na łańcuch dostaw w modelu SaaS, czyli przypadek Klue

6. Wydano Kali Linux 2026.2 wyposażony w 9 nowych narzędzi

7. Ciekawe wykorzystanie WinPE w celach praktycznych

8. Luka DirtyClone w Linuksie umożliwia eskalacje uprawnień do roota

9. Masowy wyciek kluczy API z aplikacji AI na iPhone'a (PDF)

10. Ukryte instrukcje na stronach WWW wpływają na zachowanie agentów AI

11. Silent Swap podmienia adresy portfeli przez fałszywą wtyczkę do przeglądarek

12. Fałszywe rozszerzenie Perplexity przechwytywało ruch sieciowy użytkowników

13. Nawet „czyste” repozytorium GitHuba może być zagrożeniem dla agentów AI

14. Atak BioShocking zmusza przeglądarki AI do ujawnienia danych logowania

15. ARToken jako panel afiliacyjny EvilTokens atakuje Microsoft 365

16. Fałszywa faktura prowadzi do AsyncRAT-a przez Dropboxa i TryCloudflare

17. ValleyRAT trafia do firm przez fałszywe instalatory i maile po japońsku

18. TONResolver atakuje japońskie hotele współpracujące z Booking.com

19. Zatrute wyniki wyszukiwania w Bingu prowadzą do ransomware'u Akira

20. Veil#Drop, czyli wieloetapowy łańcuch infekcji wdrażający stealera PureLog

21. PamStealer podszywa się pod Maccy i wykrada dane z macOS

22. RustDuck przejmuje routery i serwery do ataków DDoS

23. Miasma Mini Shai-Hulud celuje w LeoPlatform i ekosystem Go

24. [WIDEO] Signals & Stories: Ewolucja atrybucji w threat intelligence

25. Mustang Panda atakuje indyjskie instytucje rządowe i sektor energetyczny

26. DragonReturn podszywa się pod fiskusa i atakuje podatników w Indiach

27. UNC1151/Ghostwriter prowadzi szeroko zakrojoną kampanię phishingową

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

​