Zaufana Trzecia Strona

Weekendowa Lektura: odcinek 701 [2026-11-08]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Sun, 08 Nov 2026 21:41:29 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Jak Wam minął tydzień? Nam, jak zwykle, intensywnie - niby nie było większych afer, ale linków nagromadziło się całkiem sporo. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej artykuł o uruchomieniu rządowego programu bug bounty (pkt 1), zapoznajcie się też z wątpliwościami dotyczącymi wykorzystania systemów Palantira w polskim wojsku (pkt 10). W części technicznej poczytajcie o tym, dlaczego luka w OpenSSH dawała dostęp do roota bez logowania w systemach Alpine Linux i OpenWRT (pkt 5), zajrzyjcie też do raportu poświęconego wtyczkom do przeglądarek, które pobierają po cichu złośliwe aktualizacje (pkt 12). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – November 8, 2026

Część bardziej fabularna

Część bardziej techniczna

Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres biuro (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury. Możecie też dołączyć do naszego serwera na Discordzie i zostawiać swoje znaleziska na kanale „newsy”: discord.gg/zaufana

Startuje polska platforma bug bounty pod opieką CERT Polska

Adam Haertle — Tue, 03 Nov 2026 09:30:59 GMT

Nagrody do 20 000 PLN, wstępny budżet 1 mln PLN i pierwsze usługi do testowania - od dzisiaj można spróbować swoich sił w znajdowaniu podatności w serwisach internetowych wybranych polskich podmiotów publicznych. Właśnie ruszyła polska platforma bug bounty hack.cert.pl, zbudowana i zarządzana przez zespół CERT Polska.

Programy bug bounty są doskonałym (choć często pracochłonnym) sposobem nawiązania współpracy pomiędzy badaczami bezpieczeństwa a podmiotami, które chcą błędy w swojej infrastrukturze naprawić. Badacze znajdują podatności, zgłaszają je, błędy są weryfikowane i w razie potwierdzenia podatności wypłacana jest nagroda pieniężna. Na analogiczne rozwiązanie, w różnym zakresie, zdecydowało się do tej pory kilka krajów na świecie, jednak w większości postanowiły one oddać proces obsługi błędów w cudze ręce. Globalne projekty, takie jak HackerOne czy Bugcrowd, biorą na siebie kwestie platformy, wstępną weryfikację zgłoszeń czy wypłatę nagród. Polska poszła inną drogą i dzięki pracy zespołu CERT Polska, który zbudował własną platformę i zajmie się oceną zgłoszeń, informacje o podatnościach pozostaną w krajowej infrastrukturze.

Czy zaleją nas zgłoszenia od AI

Twórcy platformy zastosowali nietypowy mechanizm identyfikacji zgłaszających. Przesłanie zgłoszenia błędu będzie wymagało potwierdzenia swojej tożsamości za pomocą rządowej usługi Login.gov.pl. Wynika to przede wszystkim z potrzeby znalezienia legalnej formy rozdawania nagród za odnalezione błędy. W tym celu użyto formuły konkursu, w którym wziąć udział mogą wyłącznie osoby pełnoletnie oraz płacące podatki w Polsce, co w dużej mierze można zweryfikować dzięki serwisowi Login.gov.pl. Efektem ubocznym jest wyeliminowanie zgłoszeń od przypadkowych amatorów nagród z wielu regionów świata, których zgłoszenia bywają bardzo niskiej jakości.

Każdy konkurs (a każdy podmiot, biorący udział w programie, będzie miał swój) otrzyma własny regulamin, określający zarówno zakres testowanych usług, warunki uczestnictwa, jak i wysokość nagród. Regulaminy są dość szczegółowe - zajrzyjcie sami, znajdziecie tam wszystkie informacje potrzebne, by wziąć udział i (być może) zgłosić pierwszą podatność.

Solidnym zabezpieczeniem przed falą niezweryfikowanych zgłoszeń są także zapisy regulaminów, gdzie seria błędnych raportów może spowodować czasowe zablokowanie konta - warto więc weryfikować znaleziska przed ich przekazaniem.

Co można testować

Program dopiero wystartował, więc na razie na platformie dostępnych jest tylko kilka konkursów. Obejmują one serwis www.gov.pl, Gminę Władysławowo, komunikator mSzyfr, serwisy CERT Polska oraz wybrane serwisy NASK. Zapraszamy zatem do testowania - zadanie pewnie nie jest łatwe, bo serwisy już wiele testów bezpieczeństwa przeszły. Nie oznacza to jednak, że żadnych błędów nie ma. Chętnie opiszemy pierwsze znaleziska, jak tylko zostaną załatane. Powodzenia!

PS. Jeśli reprezentujecie podmiot publiczny, który osiągnął już wysoki poziom dojrzałości w obszarze bezpieczeństwa, to program jest otwarty - można się zgłaszać.

Weekendowa Lektura: odcinek 700 [2026-10-31]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Sat, 31 Oct 2026 22:10:51 GMT

Zapraszamy do nowego wydania Weekendowej Lektury, zawierającego najciekawsze informacje na temat ataków, wycieków, podatności i szkodników, które zaobserwowali ostatnio eksperci. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej doniesienia o operacji CBZC wymierzonej w dystrybucję fałszywej aplikacji mObywatel (pkt 1) oraz artykuł o tym, jak giełda kryptowalut Binance straciła rekordową kwotę 6,3 mld dolarów (pkt 17). W części technicznej spójrzcie na analizę pokazującą ucieczkę z piaskownicy Microsoft Edge bez naruszania pamięci procesu (pkt 10) oraz opis techniki LLMjacking, czyli jak działa agent do ataków z użyciem cudzych modeli językowych (pkt 14). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – October 31, 2026

Część bardziej fabularna

Część bardziej techniczna

Weekendowa Lektura: odcinek 699 [2026-10-23]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Fri, 23 Oct 2026 21:43:20 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Opisy nowych zmagań badaczy z cyberprzestępcami, szczegóły świeżo odkrytych luk, analizy nowych kampanii – każdy znajdzie coś dla siebie. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej artykuły o nowych przepisach, które czekają na podpis prezydenta (pkt 10-11), poczytajcie też o negocjatorze ds. ransomware, który pomagał grupie ShinyHunters w wyłudzaniu okupów od ofiar (pkt 19). W części technicznej spójrzcie na badanie pokazujące, co naprawdę wyłącza przycisk „nie wyrażam zgody” na stronach internetowych (pkt 3), poznajcie szczegóły podatności php2shell, które umożliwiają zdalny dostęp do serwera (pkt 8-9) i sprawdźcie, w jaki sposób Cellebrite może odblokowywać iPhone'y z odległości 8 m (pkt 19). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – October 23, 2026

Część bardziej fabularna

Część bardziej techniczna

Weekendowa Lektura: odcinek 698 [2026-10-17]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Sat, 17 Oct 2026 21:01:54 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Staraliśmy się, aby zebrane przez nas linki były ciekawe i różnorodne oraz dotyczyły spraw istotnych. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej artykuł o tym, jak daleko sięgają wpływy Palantira w Polsce i całej Europie (pkt 1) oraz materiał o konsekwencjach ataku dronów na centra danych Yandexu (pkt 11). W części technicznej spójrzcie na nowe pokolenie narzędzi do walczenia o lepszy internet (pkt 1) oraz analizy pokazujące, jak Discover-Tech wdrażał szpiegujące oprogramowanie Candiru przy użyciu reklam (pkt 16-17). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – October 17, 2026

Część bardziej fabularna

Część bardziej techniczna

Weekendowa Lektura: odcinek 697 [2026-10-10]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Sat, 10 Oct 2026 17:39:33 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Linków jest dużo, a czasu mało, materiały są jak zwykle całkiem ciekawe, nie będziemy więc tracić czasu na wprowadzenie, tylko od razu bierzcie się do czytania. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej świeżo uruchomioną platformę Przeskanuj.pl, która pozwala sprawdzić, co aplikacje robią za naszymi plecami (pkt 3) oraz wnikliwy rzut oka na darmowy podpis kwalifikowany dostępny w mObywatelu (pkt 10). W części technicznej spójrzcie na doniesienia o atakach za pośrednictwem luk w urządzeniach Citrix NetScaler (pkt 3), wyniki hakerskiego konkursu Pwn2Own Ireland 2026 (pkt 8) oraz analizę zestawu BlueKit, który oferuje fałszywe strony logowania podszywające się pod 97 marek (pkt 13). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – October 10, 2026

Część bardziej fabularna

Część bardziej techniczna

Weekendowa Lektura: odcinek 696 [2026-10-02]. Bierzcie i czytajcie

Anna Wasilewska-Śpioch — Fri, 02 Oct 2026 16:41:22 GMT

Zapraszamy do nowego wydania Weekendowej Lektury. Nie zawsze udaje się nam przygotować je już w piątek, ale tym razem mocno się sprężyliśmy i oto jest nowa porcja linków do ciekawych informacji z minionego tygodnia. Miłego klikania!

W dzisiejszym wydaniu szczególnie polecamy w części fabularnej komentarz Panoptykonu do podpisania przez prezydenta ustawy zwiększającej kontrolę nad działaniami służb (pkt 7) oraz raport ISW pokazujący, jak Rosja wywiera presję na państwa Europy i NATO (pkt 14). W części technicznej spójrzcie na analizę masowo wykorzystywanych luk 0-day w urządzeniach Citrix NetScaler (pkt 8-9), poczytajcie o kreatorze, który ułatwia tworzenie stealerów (pkt 16), a także o trzech generacjach panelu C2 trojana RATHat (pkt 21). Życzymy udanej lektury.

Weekendowa Lektura co tydzień w Twojej skrzynce

Jeśli chcecie otrzymywać e-mailową wersję Weekendowej Lektury, to możecie ją zasubskrybować na stronie z3s.pl/wl. Czytelnicy tego wydania regularnie dostają bonusowe linki ;-)

Wersja anglojęzyczna

IT Security Weekend Catch Up – October 2, 2026

Część bardziej fabularna

Część bardziej techniczna

Ktoś twierdzi, że ukradł dane 2 milionów pacjentów gabinetów stomatologicznych i nie jest to Fingerprint

Adam Haertle — Thu, 01 Oct 2026 18:25:01 GMT

Dzisiaj, 1 października około godz. 18 skontaktował się z nami ktoś ukrywający się pod pseudonimem "HORUS" i oznajmił, że ukradł dane 2 400 000 pacjentów, 712 000 osób z personelu medycznego oraz 1 200 000 recept. Ofiarą ataku miała być firma FELG, twórca aplikacji najczęściej wybieranej przez gabinety stomatologiczne. Na firmowej stronie widnieje informacja, że z jej narzędzi korzysta ponad 16 000 dentystów.

Zaatakowana firma potwierdziła incydent. W swoim komunikacie wskazuje, że sprawca ataku podaje, iż należy do grupy "Fingerprint" odpowiedzialnej za ataki na aplikacje MyDr, Medyc i Fakturownia. Wiemy jednak, że nie jest to prawda - ataku dokonała inna osoba lub osoby. FELG dodatkowo informuje, że sprawca sam zgłosił kradzież ok. 10% "danych z bazy", lecz liczby te nie zostały do tej pory potwierdzone.

Z wiadomości otrzymanej w odpowiedzi na nasze pytania wynika, że firma dowiedziała się o incydencie 28 września około godz. 18. Wyciek może dotyczyć danych ponad 2 milionów osób, a potencjalny zakres pozyskanych informacji obejmuje dane identyfikacyjne i kontaktowe, takie jak imię, nazwisko, numer PESEL i adres, a także dane medyczne oraz informacje związane z e-receptami, e-ZLA i weryfikacją w systemie eWUŚ. Wiemy też, że sprawcy zażądali okupu od zaatakowanej firmy za nieujawnianie wykradzionych danych.

Jak doszło do włamania (według sprawcy)

Sam sprawca (dla uproszczenia będziemy posługiwali się liczbą pojedynczą, chociaż nie wiemy, czy jest to jedna osoba) skontaktował się z nami za pomocą poczty elektronicznej, a następnie na komunikatorze Session. Według informacji, które nam przekazał, do ataku doszło już 6 września, kiedy zaczął pobierać dane z systemów ofiary. Dane pobierał za pomocą API, korzystając ze źle zabezpieczonych endpointów. Według jego opowieści wystarczyło zwiększać wartość parametru zapytania, by otrzymywać dane kolejnych pacjentów, recept czy lekarzy (podatność typu IDOR).

Endpointy były dostępne podobno tylko po zalogowaniu, ale wystarczyło założyć konto demo w systemie. Według napastnika konto demo dawało także dostęp do danych produkcyjnych innych użytkowników, a interfejs nie sprawdzał uprawnień do danych. Napastnik twierdzi, że jego atak wykryto po kilku dniach, a błędnie działający endpoint został naprawiony. Odkrył on także inne endpointy z podobnymi błędami, z których nadal przez jakiś czas korzystał.

Sprawca włamania podesłał nam taki opis endpointów, których używał:

pdf/payments/html/1/d/{token p=} - dokumenty płatności pacjenta: dane osobowe + dane gabinetu
/prescription/get/patient/{pid} - lista recept pacjenta
/prescription/view/html/1/id/{elid} - pełny dokument recepty
/pdf/visits/html/1/id/{token p,l} - dokumentacja wizyt
/ajax/ezla/patient/id/{pid} - e-ZLA pacjenta
/pdf/payments/html/1/d/{token c=} - katalog firm: nazwa, NIP, adres
/ajax/chat/profil/uid/{jid} - profile personelu
/chat/avatar/jid/{uid} - awatary personelu
/docs/get/id/{pid} - drzewo plików pacjenta
/ajax/prescription/doctorget/patient/{uid} - listy pacjentów lekarzy
/ewus/pdf/s/{tok}/html/1/listids/{ids} - pełne PHI + tabele eWUŚ

Sprawca przekazał nam także zrzut ekranu wykradzionych danych:

Dane wykradzione przez sprawcę

Dane użytkowników, nietypowe recepty

Włamywacz przekazał nam również wybrane dane osób publicznych, które podobno znalazły się w bazie. Są to numery PESEL, adresy zamieszkania, a także nazwy placówek, z których usług korzystały te osoby.

Sprawca podesłał nam także dane recept na leki takie jak Xanax czy Ozempic, twierdząc, że znalazł wiele recept wystawianych przez stomatologów na leki, które nie są związane z leczeniem w takich gabinetach. Nie byliśmy w stanie zweryfikować tych informacji.

Próbowaliśmy zweryfikować prawdziwość wykradzionych danych, przekazując sprawcy PESEL-e ośmiu osób, które wyraziły na taki eksperyment zgodę (dziękujemy za zaufanie). Żaden ze sprawdzanych PESEL-i nie znalazł się w bazie włamywacza.

Tożsamość sprawcy

Choć w komunikacie FELG czytamy o hakerze podającym się za członka grupy "Fingerprint", to włamywacz, z którym rozmawialiśmy, przyznał, że wspominał, że stoi za atakami na firmy MyDr i Medyc w celu zrobienia większego wrażenia na ofierze w procesie wymuszenia okupu. Nie wspominał za to wprost, że nazywa się Fingerprint. Na wszelki wypadek skontaktowaliśmy się z prawdziwym Fingerprintem, który potwierdził, że nie jest autorem tego włamania, a nawet zaoferował pomoc zaatakowanej firmie (sic!) i podkreślił, że nigdy nie żądałby okupu.

Komunikat Fingerprinta

Co dalej z danymi

Zapytaliśmy włamywacza, jakie ma plany w związku z sytuacją, w której firma zerwała negocjacje i upubliczniła informacje o włamaniu. Odpowiedział, że planuje wystawić wykradzioną bazę danych na sprzedaż na Cebulce. Dodał także, że nie planuje podobnych publicznych akcji. Ta była rzekomo wyjątkowa, ponieważ firma, którą zaatakował, przez kilka dni negocjacji tylko traciła jego czas i ostatecznie nie chciała "wykorzystać pomocnej dłoni miłych pentesterów".

Podsumowanie

To my już wolimy akcje Fingerprinta...

Nowe włamanie "Fingerprinta" - ofiarą firma Fakturownia.pl

Adam Haertle — Tue, 29 Sep 2026 14:17:19 GMT

Otrzymaliśmy wiarygodne informacje wskazujące na to, że "Fingerprint", stojący za włamaniami do dwóch serwisów medycznych, tym razem dobrał się do infrastruktury jednej z największych firm oferujących usługi fakturowania, prowadzenia księgowości czy magazynu online. Z Fakturownia.pl wykradł wiele informacji dotyczących klientów, w tym podobno także wiele wystawionych faktur.

Dzisiejszego poranka "Fingerprint", który z jakiegoś powodu wybrał sobie naszą redakcję jako punkt kontaktowy, umożliwiający przekazywanie doniesień o jego najnowszych osiągnięciach, poinformował nas, że wykradł 6 TB faktur. Chwilę później przekazał nam zrzuty ekranu wskazujące, że uzyskał dostęp do danych firmy Fakturownia.pl.

Otrzymaliśmy trzy dowody dostepu do systemów Fakturowni.

Podgląd katalogów aplikacji

Pierwszy to folder aplikacji, w którym widać różne charakterystyczne nazwy plików wskazujące, że sprawca miał dostep do serwera aplikacyjnego.

Podgląd listy klientów

Drugi to pogląd listy klientów firmy, a w zasadzie jej wycinek.

Zestaw zrzutów bazy danych

Trzeci, wskazujący na szeroki dostęp do danych, to lista plików, których nazwy wskazują na to, że jest to wyeksportowana baza danych zawierająca informacje potrzebne do funkcjonowania firmy takiej jak Fakturownia - przypuszczalnie jednego z głównych repozytoriów wiedzy o klientach.

Co jeszcze przekazał nam "Fingerprint"

Dodatkowo "Fingerprint" poinformował nas, że pozyskał 6 TB faktur - tej informacji nie byliśmy w stanie zweryfikować. Przeprosił też, że "musiał pobrać dane", ponieważ jego doświadczenie wskazuje, że gdyby tych danych nie pobrał, to nikt by się zgłoszeniem błędów nie zainteresował. Dowiedzieliśmy się także, że dane pobrał do swojego własnego środowiska, a serwery, przez które dane wytransferował, służyły jedynie do tunelowania ruchu.

Zapytany o to, jak dostał się do Fakturowni, odpowiedział, że wykorzystał tzw. wyrocznię czasową (nie sprecyzował, ale pewnie chodzi o time-based blind SQL injection, czyli zgadywanie wartości w bazie danych na podstawie czasu odpowiedzi na zapytania) do wyciągnięcia klucza głównego (master key) Ruby, a następnie sfałszowania za jego pomocą ciasteczka, dzięki któremu osiągnął zdalne wykonanie kodu na serwerze. Brzmi to skomplikowanie, ale z drugiej strony jest możliwym scenariuszem realnego ataku.

Dodał także, że celowo nie usuwał logów, by firma mogła prześledzić przebieg ataku i nauczyć się lepiej zabezpieczać dane swoich klientów.

Reakcja Fakturowni

Firma zareagowała bardzo sprawnie i uczciwie. Przed chwilą na jej stronie pojawił się komunikat, z którego wynika, że mogły zostać wykradzione:

dane kont firm i użytkowników, w tym skróty haseł,
tokeny sesji, tokeny API i tokeny integracji generowane po stronie Fakturowni,
rachunki bankowe, dane o płatnościach,
dane kontrahentów klientów (wszystkich) i dane z faktur (częściowo, prawdopodobnie do 2023 roku),
klucze i hasła systemowe aplikacji.

Firma wykonała także w bardzo krótkim czasie od otrzymania informacji o incydencie szereg czynności:

Rozpoczęła pracę nad zabezpieczeniem danych i dostępów.
Prowadzi rotację kluczy aplikacji i haseł usług.
Uruchomiła nowe serwery aplikacji i odcięła dostęp osobom nieuprawnionym.
Rozpoczęła analizę incydentu wspólnie z zewnętrznymi specjalistami ds. bezpieczeństwa i wprowadziła szereg dodatkowych zabezpieczeń, w tym dot. generowania plików PDF.
Zgłosilła incydent na Policję (Centralne Biuro Zwalczania Cyberprzestępczości), CERT Polska oraz do Prezesa Urzędu Ochrony Danych Osobowych.

Gdzie przestępcy kupują dostęp do twojej firmy

Adam Haertle — Mon, 28 Sep 2026 21:19:42 GMT

Czytając o kolejnym incydencie ransomware, możecie się zastanawiać "ale ciekawe, jak oni się tam dostali". To faktycznie ciekawe - więc opowiedzmy o tym, jak wygląda rynek dostępów do organizacji, skąd się na tym rynku biorą i co można z tym zrobić. I nie, to nie będzie kolejny post o Threat Intelligence i IOC.

Według wszystkich wiarygodnych źródeł agregujących informacje o prawdziwych incydentach to podatności w systemach publicznie dostępnych w sieci są obecnie najczęstszym wektorem używanym przez przestępców, by dostać się do wewnątrz organizacji. Phishing (pasywny, interaktywny czy głosowy) powoli przemija (choć nadal trzyma się mocno), wyraźnie maleje za to użycie wcześniej wykradzionych poświadczeń (zapewne dzięki wdrażaniu MFA). Publicznie dostępne raporty o konkretnych włamaniach, a także prywatnie przekazywane wieści o przyczynach wizyt przestępców w polskich firmach potwierdzają te trendy - to wystawione do sieci urządzenia są pierwszym wyborem przestępców.

Zapraszamy na wydarzenie na żywo

Ten temat będziemy głębiej analizować i przedstawiać już wkrótce, bo 6 października o godzinie 14.00, podczas webinaru organizowanego wspólnie z firmą Secfense. Podczas godzinnego wydarzenia Adam omówi najciekawsze przypadki włamań, ze szczególnym naciskiem na ich pierwotne przyczyny i techniki używane przez przestępców, a następnie Marcin Szary, CEO Secfense, pokaże, jak działa Secfense Ghost - rozwiązanie, które ogranicza ekspozycję VPN-ów i systemów dostępnych z internetu, dopuszczając do nich wyłącznie zweryfikowanych użytkowników. Udział w wydarzeniu jest darmowy, a zapisać się można tutaj.

Zapraszamy do zapisów

Gdy w grudniu 2025 przestępcy ze Wschodu próbowali wyłączyć kawałek polskiej sieci energetycznej, atak zaczął się (najprawdopodobniej) od przełamania zabezpieczeń urządzenia sieciowego, którego zadaniem było dostępu bronić, a nie go udzielać napastnikom. Sprawcy wykorzystali urządzenia brzegowe, by dostać się do wnętrza sieci, a tam napotkali to, co zwykle można było napotkać 20 lat temu (i niestety gdzieniegdzie nadal) - domyślne hasła. Gdyby jednak nie pokonali firewalla, to incydentu mogłoby w ogóle nie być.

Jak atrakcyjne są urządzenia brzegowe wystawione publicznie do sieci dla przestępców? W czerwcu tego roku odkryto bazę danych z ponad 80 000 działających loginów i haseł do urządzeń jednego producenta. Podatne były firmy i organizacje absolutnie z całego świata, nie brakowało także podmiotów z Polski. Baza - według analityków - mogła należeć do jednej z grup ransomware.

Nie macie czasu sami skanować sieci? Żaden problem, na rynku pełno jest usługodawców, zwanych brokerami pierwszego dostępu (Initial Access Brokers), którzy chętnie sprzedadzą gotowe pakiety dostępowe. Oto przykładowa lista ofert z jednego z serwisów online:

Oferty dostępu do różnych organizacji

Stron, na których taki handel się odbywa, zdecydowanie nie brakuje. Jednym z głównych czynników napędzających rynek (oprócz oczywiście popytu) jest łatwa podaż, kreowana przez ciągły strumień krytycznych podatności w urządzeniach i serwisach często wystawianych do publicznego internetu. Wystarczy spojrzeć na liczbę CVE zgłoszonych w produktach jednego czy drugiego dostawcy, by przestać spokojnie spać, posiadając je w swojej sieci.

To już 6 października

Jak odzyskać chociaż nieco spokojnego snu? Secfense opracowało proste rozwiązanie, które ogranicza ekspozycję urządzeń i systemów na nieautoryzowany ruch, zarówno skanery Shodana, jak i grupy ransomware, a jednocześnie zapewnia do nich dostęp zweryfikowanym użytkownikom. Jak to działa? O tym opowiemy już 6 października o 14.00. Zapraszamy do bezpłatnej rejestracji na wydarzenie. Do zobaczenia!

Za publikację powyższego artykułu i współpracę przy webinarze pobieramy wynagrodzenie.