Niebezpiecznik.pl Piszemy o bezpieczeństwie i nie. Szkolimy programistów i administratorów oraz zwykłe Panie Halinki. No i znamy Twój PIN! 2026-10-16T18:26:27Z https://niebezpiecznik.pl/feed/atom/ WordPress redakcja <![CDATA[[AKTUALIZACJA] Ukraińcy zbombardowali serwerownie Yandex. Jaki to ma wpływ na “ruskie boty”?]]> https://niebezpiecznik.pl/?p=27447 2026-10-12T21:33:10Z 2026-10-12T10:19:48Z Ale się narobiło! Bardzo duże emocje wzbudziła wczoraj w internetach grafika pokazująca zanik ruchu rosyjskich botów, który miał być wynikiem wysadzenia w powietrze data center Yandex — rosyjskiego giganta technologicznego, nazywanego moskiewskim Google. Pojawiały się też tezy, że w komentarzach jest przez to spokojniej. Czy na pewno? Od kogo się zaczęło? Wygląda na to, że narrację “Ukraińskie bombardowanie Yandex […]]]> Ale się narobiło! Bardzo duże emocje wzbudziła wczoraj w internetach grafika pokazująca zanik ruchu rosyjskich botów, który miał być wynikiem wysadzenia w powietrze data center Yandex — rosyjskiego giganta technologicznego, nazywanego moskiewskim Google. Pojawiały się też tezy, że w komentarzach jest przez to spokojniej. Czy na pewno?

Od kogo się zaczęło?

Wygląda na to, że narrację “Ukraińskie bombardowanie Yandex == brak rosyjskich trolli” najbardziej rozgrzał eurodeputowany Tomáš Zdechovský, który na Twitterze opublikował następujący wykres:

Z tym postem są jednak co najmniej dwa problemy:

  1. Eurodeputowany nie podał żadnego źródła na swoją tezę ani informacji skąd pochodzą dane na wykresie. A w samej treści wręcz napisał “jeśli to prawda”
  2. Sam wykres wygląda dziwnie — jakim cudem 11 października pokazuje dane z 15 października?

Czyżby wykres został wygenerowany przez AI na podstawie tego mocno trendującego ostatnio na X wpisu i danych opublikowanych chwilę wcześniej przez firmę Cloudflare? Danych, które Tomas źle zinterpretował?

Tak, to prawda, że Ukraina w weekend zbombardowała 3. datacenter Yandex. I że padły różne yandeksowe usługi, o czym zresztą na Twitterze donosił szef jednego z działów Yandexu (z którego to zabawnie zakpił ukraiński producent dronów uderzeniowych dalekiego zasięgu, firma Fire Point)

Ale warto zauważyć, że wykresy Cloudflare opisane jako “bot traffic” nie zliczają botów-kont-na-twitterze, takich jak np. @Mariusz092727, który wypisuje antypolskie, polaryzujące głupoty. Jak informuje sam Cloudflare, przez boty rozumieją

ruch nie generowany przez człowieka, zarówno od przydatnych botów (np. crawlerów wyszukiwarek) jak i botów spamerskich czy realizujących ataki bruteforce.

Cloudflare nie analizuje kont-trolli/botów w social mediach. I nie jest też tak, że cały ruch rosyjskich botów zamarł. Poniżej dane Cloudflare nie tylko dla yandeksowego AS, ale dla całej Federacji Rosyjskiej. Jak widać, spadek spowodowany położeniem AS-ów Yandeksu jest ledwie zauważalny (co oczywiste, bo to nie jest jedyne DC w Rosji).

Ale może jednak! Nie odbierajcie nam nadziei!

Oczywiście, niewykluczone że w położonej przez 3 ataki infrastrukturze Yandex hostowane były jakieś elementy sieci służących do prowadzenia operacji wpływu w social mediach. Ale powiedzmy sobie jasno:

  • Na razie brak jakichkolwiek wiarygodnych danych, że wystąpił istotny spadek aktywności rosyjskich trolli. I nie, dowody anegdotyczne od Małgosi47262, że “przecież widać, że Stanowski ma mniej lajków pod postami niż zwykle” niczego nie potwierdzają (a tak w ogóle, to wcale nie ma mniej).
     
    Czyjeś “wydaje mi się” nie wystarczy. Widzieliśmy też informacje, że po ataku nic się nie zmieniło. Ale tych doniesień też nie jesteśmy w stanie niezależnie potwierdzić. Mówiąc krótko: trzeba poczekać na analizy tych badaczy, którzy zajmują się śledzeniem takich siatek trolli i pokażą konkretne dane, możliwe do niezależnego zweryfikowania. Na razie żadnej takiej analizy nie widzieliśmy. Być może się pojawi — podsyłajcie jak znajdziecie!

  • Nikt z administratorów siatek trolli nie trzyma swoich zabawek w jednym miejscu z wielu powodów. I nie ma też tylko jednego klastra, który stoi za rosyjską propagandą. Dlatego usunięcie jednego Data Center (albo trzech) może co najwyżej utrudnić niektórym operatorom logowanie się na skrzynki e-mail założone przez Yandex, albo korzystanie z innych narzędzi, być może pomocnych do tworzenia i dystrybucji propagandy. Ale to będą problemy przejściowe.

Choć pewnie każdy z nas chciałby, aby rosyjska dezinformacja i propaganda zniknęła z internetu, to niestety my stawiamy tezę, że na rosyjskie “działania hybrydowe” te 3 bombardowania będą miały niewielki wpływ.

Niezależnie od botów, rosyjska dezinformacja i propaganda trzymać będzie się mocno, miedzy innymi dlatego, że sporo osób nie weryfikuje faktów i podaje dalej wszystko, co pasuje im do ich ulubionej narracji. Przykład pana Tomasa, podchwycony wczoraj przez wiele osób w mediach społecznościowych, dowodzi że można się nieźle wyłożyć na dwuznaczności słowa “bot”, przez Cloudflare rozumianego inaczej niż na Twitterku.


Aktualizacja (12.10.2026 23:21)
No i wygląda na to, że niemiecki dziennikarz Jan Vollmer właśnie namierzył oryginał tej grafiki, którą na Twitterze nagłośnił wczoraj Tomáš Zdechovský. I wszystko wskazuje na to, że — jak podejrzewaliśmy — jest ona dziełem AI.

Źródło: Jan Vollmer

Stworzył ją ktoś, kto przedstawia się jako “24 letni steward Frank” (jego post na Threads ma oznaczenie “wygenerowano z AI”). Niestety politycy, którzy podawali dalej ten materiał, tego oznaczenia celowo (lub przez przypadek 🤷‍♂️) nie zachowali. Zresztą źródła grafiki też nie wskazali.

Co więcej, jak informuje Jan Vollmer, Cemas, czyli niemiecki instytut badawczy zajmujący się dezinformacją, a także instytut Hasso Plattner i think tank Polisphere oficjalnie zaprzeczyły jakoby obserwowano spadek liczby postów, który można by wytłumaczyć atakiem na Yandex.

“Ani aktywność istniejących botów, ani tempo tworzenia nowych nie spadły, jak pokazują dane, które zbieramy”.

No ale to dane z Niemiec. Tymczasem w Polsce, minister Siemoniak powiedział, że

“ABW odnotowało radykalny spadek aktywności rosyjskich botów w sieci. Jest to zjawisko obserwowane na całym świecie po zbombardowaniu trzech centrów danych.”

Do momentu publikacji przez nas tej aktualizacji ABW nigdzie niczego w tej sprawie nie upubliczniło. Miejmy nadzieję, że upubliczni. To by dopiero było! Na razie możemy jedynie przypuszczać, że “na całym świecie” najwyraźniej oznacza bez Niemiec…

Rakiety jednak działają lepiej niż systemy antyspamowe

Tak sobie zażartowaliśmy wczoraj, opisując tę sprawę. Bo choć Cloudflare walczy z (tymi złymi) botami, to jak widać na opublikowanych przez nich wykresach, ukraińskie rakiety okazały się jednak skuteczniejsze niż ich Turnstile, czyli “captcha” dla botów… Skuteczność całkowita.

A co jeśli nie macie rakiet, a też chcielibyście z zagrożeniami skutecznie powalczyć? Możecie rosyjskie (i nie tylko) boty wykrywać w logach z pomocą AI. O tym jak skutecznie wykorzystać AI do ochrony swojej sieci przed włamaniami oraz do analizy incydentów cyberbezpieczeństwa pokażemy w środę o 19 — zapisz się tutaj.

]]> 22 Marcin Maj https://niebezpiecznik.pl <![CDATA[Sejm przyjął ustawę o blokowaniu treści przez UKE. Czy to oznacza cenzurę internetu?]]> https://niebezpiecznik.pl/?p=27439 2026-10-11T15:17:33Z 2026-10-11T15:17:33Z Z powodu niedawnych ataków nożowników w polskich szkołach, 8 października pod głosowanie w Sejmie trafiła (po raz kolejny) nowelizacja ustawy o świadczeniu usług drogą elektroniczną. I Sejm ją przyjął. Nowe prawo ma “skończyć z patologiami w internecie”, a konkretniej — dać UKE możliwość wydawania nakazów blokowania treści i blokowania stron. Choć ustawę poddano pod głosowanie w […]]]> Z powodu niedawnych ataków nożowników w polskich szkołach, 8 października pod głosowanie w Sejmie trafiła (po raz kolejny) nowelizacja ustawy o świadczeniu usług drogą elektroniczną. I Sejm ją przyjął. Nowe prawo ma “skończyć z patologiami w internecie”, a konkretniej — dać UKE możliwość wydawania nakazów blokowania treści i blokowania stron. Choć ustawę poddano pod głosowanie w wyniku poruszających społeczeństwo ataków w szkołach, to wbrew krążącym po internecie opiniom, ta ustawa nie powstała ani jako reakcja na ataki nożowników, ani jako “wdrażanie DSA”. To nieco bardziej złożone. A czy wprowadza ona cenzurę internetu? To już ocenicie sami po lekturze poniższych akapitów.

Kto i jak głosował?

Z kronikarskiego obowiązku, odnotujmy, że za projektem głosowało 242 posłów, przeciw było 61, wstrzymało się 136, a 21 w ogóle nie głosowało. Poniżej wizualizacja tego, jak głosował dany poseł bazująca na danych sejmowych:

Nowelizacja UŚUDE?

Ponieważ dużo było ostatnio różnych prób nowelizacji Ustawy o świadczeniu usług drogą elektroniczną (por. Znów próbują przepchnąć cenzurę w internecie?), a komentarze dotyczące nowelizacji z racji czasu i powodu jej poddania pod głosowanie są skrajnie polityczne a nie merytoryczne (i to z obu plemion), to zacznijmy od uporządkowania kilku kwestii.

Przyjęty w czwartek projekt (druk 2693) dotyczył trudnego zagadnienia, które jako Niebezpiecznik po raz ostatni poruszaliśmy w styczniu ubiegłego roku. Chciano wtedy pozwolić Urzędowi Komunikacji Elektronicznej (UKE) na wdawanie nakazów podjęcia działań przeciwko “nielegalnym treściom”. W ubiegłym roku proponowano, aby o takie nakazy mogły występować:

  • policja,
  • usługobiorca lub “zaufany podmiot sygnalizujący”
  • a także… “ten, czyje dobro osobiste zostało naruszone”.

Ten ostatni pomysł (UKE stojące na straży dóbr osobistych) był bardzo dziwny. Co więcej, UKE miałby wydawać decyzje, które nakazują uniemożliwienie dostępu do nielegalnych treści i samodzielnie miał uznawać co jest legalne, a co nie. Owszem, przewidziano możliwość złożenia skargi do sądu administracyjnego, ale sama decyzja miała podlegać wykonaniu natychmiast. Nawet zakładając dobrą wolę UKE, budziło to kontrowersje.

Sejm, Senat i veto Prezydenta

Projekt trafił do Sejmu we wrześniu 2025r. (jako druk 1757), a następnie w grudniu 2025 trafił do Senatu. Ale Prezydent zawetował projekt 9 stycznia 2026 roku.

Zdaniem Prezydenta, choć ogólne cele ustawy były słuszne, to organ rządowy taki jak UKE nie powinien ingerować w wolność słowa. Owszem, czasem tę wolność trzeba ograniczyć, ale wówczas — zdaniem Prezydenta — powinna za tym stać decyzja sądu. Poza tym w ocenie Prezydenta istnieją (już) inne mechanizmy przeciwdziałania nielegalnym treściom.

“Zły Prezydent blokuje unijny akt o usługach cyfrowych!”

Tu wypada dodać, że zawetowana przez Prezydenta nowelizacja była też przez rząd uzasadniana potrzebą wdrożenia DSA, czyli unijnego aktu o usługach cyfrowych. Ostatecznie jednak przepisy DSA w Polsce wdrożyła inna nowelizacja Ustawy o świadczeniu usług drogą elektroniczną (z dnia 4 września 2026r., nr druku sejmowego 2694) i ta została przez Prezydenta podpisana 25 września 2026r.

Więc zarówno nie jest prawdą, że Prezydent zablokował wdrożenie DSA w Polsce jak i nie jest prawdą, że najnowsza próba nowelizacji Ustawy (ta z czwartku) wynika z “potrzebny wdrożenia unijnego aktu o usługach cyfrowych”. DSA został już w Polsce wdrożony.

No to po co kolejna nowelizacja Ustawy o świadczeniu usług drogą elektroniczną? Otóż poprzednia, podpisana przez Prezydenta nowelizacja nie zajmowała się w ogóle uprawnieniami UKE do blokowania treści. A rząd tego bardzo chce.

UKE i KRRiT oraz nakazy blokowania treści — czy nowe podejście jest lepsze?

Pomysł nowych uprawnień dla UKE powrócił więc w postaci druku 2693, który do Sejmu wpłynął w czerwcu tego roku. Wprowadza on do ustawy rozdział 2a przewidujący wydawanie “nakazów podjęcia działań przeciwko nielegalnym treściom i nakazy usunięcia ograniczeń nałożonych przez dostawcę usługi hostingu”.

Aktualnie system tych nakazów miałby działać według następujących zasad:

  • O wydanie nakazu mogą wystąpić:
    • Prokurator,
    • Policja,
    • organ Krajowej Administracji Skarbowej,
    • uprawniony z tytułu praw autorskich lub praw pokrewnych,
    • usługobiorca.
  • Organami właściwymi do rozpatrywania wniosków są:
    • Przewodniczący KRRiT w zakresie treści występujących w usłudze platformy udostępniania wideo;
    • Prezes UKE w zakresie innych treści.
  • Osoby uczestniczące w rozpatrywaniu wniosków nie mogą należeć do partii politycznej ani manifestować swoich poglądów.
  • Właściwy organ niezwłocznie zawiadamia dostawcę usług pośrednich o otrzymaniu wniosku oraz możliwości przedstawienia przez usługobiorcę, który umieścił treść będącą przedmiotem wniosku, stanowiska w sprawie.
  • Wnioskodawca jest obowiązany przedstawić, wraz ze składanym wnioskiem, wszystkie dowody pod rygorem utraty prawa do ich powoływania w toku dalszego postępowania.
  • W wyniku postępowania przeprowadzonego na skutek wniesienia wniosku właściwy organ wydaje decyzję, w której nakazuje zablokowanie treści lub odmawia nakazania blokady bo ustalono, że kwestionowane treści nie są nielegalne.

Czyli mamy coś w rodzaju namiastki postępowania dowodowego, a nie tylko arbitralnej decyzji UKE o zablokowaniu treści. W równaniu pojawia się też KRRiT. To jednak nie koniec zmian, bo jeśli decyzji o zablokowaniu nie da się wykonać, to właściwy organ może zgłosić domenę internetową do rejestru domen internetowych wykorzystywanych do rozpowszechniania nielegalnych treści. Rejestr będzie prowadził UKE, a przedsiębiorcy telekomunikacyjni będą musieli blokować widniejące w nim strony. (I tak, dobrze się domyślacie, będzie to łatwe do obejścia blokowanie na warstwie DNS). Poniżej cytat, który dotyczy mechanizmu blokowania.

9. Przedsiębiorca telekomunikacyjny, o którym mowa w ust. 7, jest obowiązany do nieodpłatnego:
1) uniemożliwienia dostępu do stron internetowych wykorzystujących nazwę domeny internetowej wpisanej do rejestru przez ich usunięcie z systemów teleinformatycznych tych przedsiębiorców telekomunikacyjnych służących do zamiany nazw domen internetowych na adresy IP, niepóźniej niż w terminie 48 godzin od dokonania wpisu do rejestru;
2) przekierowania połączeń odwołujących się do nazwy domeny internetowej wpisanej do rejestru do strony internetowej prowadzonej przez Prezesa UKE, zawierającej komunikat informujący o wpisaniu szukanej nazwy domeny internetowej do rejestru;

Przewidziano możliwość wniesienia sprzeciwu do decyzji do Sądu powszechnego. Ustawa ma wejść w życie po 3 miesiącach od dnia ogłoszenia. W toku prac Sejmowych przyjęto jeszcze poprawkę mówiącą, iż decyzji o zablokowaniu treści nadaje się rygor natychmiastowej wykonalności, jeżeli decyzja ta dotyczy nielegalnych treści związanych z wykorzystywaniem małoletnich lub zwierząt.

To nie reakcja po atakach nożowników

Choć niektóre media nazwały czwartkowe uchwalenie nowelizacji “reakcją na ataki nożowników” i rzeczywiście, mniej siedzący w temacie obserwatorzy sceny politycznej mogli odnieść wrażenie, że była to “błyskawiczna odpowiedź rządu i posłów na incydenty w polskich szkołąch, które miały miejsce w ostatnich dniach”, to warto jednak zauważyć, że Sejm nie może na nic reagować tak szybko. Ten projekt wpłynął do Sejmu jeszcze w czerwcu 2026r. i był reakcją na coś zupełnie innego — na weto Prezydenta a przede wszystkim wynikał z jeszcze wcześniejszej woli politycznej, aby UKE miał nowe uprawnienia.

Należałoby więc raczej powiedzieć, że Sejm po prostu znalazł “bardzo korzystny emocjonalnie moment” na przegłosowanie kolejnej iteracji ustawy. Zwłaszcza, że tego projektu nie było w oryginalnym porządku obrad a wrzucono go na ostatnią chwilę.

Drugie weto Prezydenta?

Trudno przewidzieć jaka będzie reakcja Prezydenta, zważywszy na to, że jego główne zastrzeżenia nie zostały w tym projekcie uwzględnione. Nadal przewidziana jest taka procedura blokowania treści, która oparta jest o decyzje organu rządowego.

Cenzura internetu to trudny temat…

Kiedy ostatnio opisywaliśmy losy tej ustawy, to pisaliśmy, że przepisy w zakresie blokowania treści powinny być lepiej konsultowane. Teraz klimat polityczny może chwilowo sprzyjać blokowaniu treści w internecie (bo jak wiadomo, bezpieczeństwo dzieci to jeden z lepszych argumentów w dyskusji politycznej), ale warto pamiętać o jednej rzeczy. Blokowanie treści — jakie by nie było i jak nie byłoby realizowane — nie rozwiąże zasadniczo problemów pt. atak nożownika w szkole. Bezpieczeństwo społeczeństwa zależy od wydajności całego systemu państwowego w zakresie edukacji, opieki nad dziećmi, działań służb bezpieczeństwa wewnętrznego, wsparcia dla zdrowia psychicznego, czy wsparcia dla uczniów i rodziców. Zwłaszcza rodzice mają wpływ na to, co dzieci mogą robić na swoich smartfonach, konsolach i komputerach. Problem w tym, że mało który rodzic wie jak ograniczać takie treści (choć jest to stosunkowo proste), a prawie żadna szkoła czy instytucja publiczna mu w zdobyciu tej wiedzy nie pomaga.

I oczywiście, że raczej nikt normalny nie będzie płakać po zdjęciu z tiktoka nagrania, na którym dzieciak wymachujący nożem zapowiada masakrę lub nawołuje do “zapierdolenia” nauczycieli i uczniów z danej placówki. Ale czy taki materiał nie zrobi przypadkiem milionowych zasięgów zanim dosięgnie go ręka treści blokująca? Bo jeśli takie treści robią takie zasięgi, to znaczy, że mamy w społeczeństwie poważniejszy problem. I raczej jedna ustawa dająca UKE uprawnienia blokowania treści nie zapobiegnie skutkom takich zjawisk jak rosnąca agresja i polaryzacja, pogoń mediów i amplifikacja treści sensacyjnych, brak odróżniania faktów od opinii, czy erozja szacunku dla funkcjonariuszy publicznych (w tym nauczycieli).

Na koniec jak zwykle trzeba też zadać pytanie, czy ktoś będzie kontrolował kontrolujących? I kto to miałby być? No i poruszyć ten najmniej wygodny problem — czy w ogóle takie zmiany w prawie są potrzebne, skoro działania policji w ostatnich dniach pokazały, że można sprawnie namierzyć setki małolatów — i tych, którzy faktycznie mają nie po kolei w głowie i tych, którzy jeszcze nie znają tego, jak subtelna jest granica między niesmacznym “żartem”, a penalizacją wynikającą z kodeksu karnego. Trzeba też przypomnieć, że polskie prawo daje możliwość blokowania stron ABW, a agencja z tego prawa już z powodzeniem korzystała blokując treści publicznego nawoływania do popełnienia przestępstw przeciwko ludzkości.

Wdrożenie skutecznej, zasadnej i sprawiedliwej blokady treści to nie jest łatwy temat. Trzeba bardzo uważać, aby nie popełnić tego błędu:

]]> 28 redakcja <![CDATA[ENEL-MED informuje o kradzieży danych pacjentów]]> https://niebezpiecznik.pl/?p=27436 2026-10-09T08:20:35Z 2026-10-09T08:20:35Z Otrzymujemy od Was informacje, że ENEL-MED zaczął Was informować o kradzieży Waszych danych. Poniżej wiadomość, jaka jest wysyłana do pacjentów e-mailem:

Z przykrością informujemy, że w dniu 24 września 2026 r. Centrum Medyczne ENEL-MED S.A. zidentyfikowała cyberatak, w wyniku którego doszło do naruszenia poufności Państwa danych osobowych. Zdarzenie zostało szybko wykryte, a cyberatak przerwany. Zgodnie z naszą najlepszą wiedzą dane zostały pobrane przez podmiot odpowiedzialny za atak, natomiast nie posiadamy informacji, aby dane te zostały w jakikolwiek sposób wykorzystane, w tym udostępnione do wiadomości publicznej. Z ustaleń dokonanych przez enel-med wynika, że wśród danych objętych incydentem znajdują się Pani/Pana:
imię, nazwisko,
data urodzenia i inne dane identyfikacyjne (bez numeru PESEL);
dane dotyczące zdrowia;
dane kontaktowe.

Ponieważ ze względu na charakter incydentu nie można wykluczyć, że w określonych okolicznościach może on wiązać się z wysokim ryzykiem dla praw lub wolności osób, których dane zostałyby niewłaściwie wykorzystane, przekazujemy informacje o ewentualnych konsekwencjach oraz zalecanych środkach ostrożności, które mogą pomóc w ochronie danych osobowych i ograniczeniu potencjalnych skutków incydentu. Dostęp do danych przez osobę nieupoważnioną może posłużyć osobom nieuprawnionym do działań niezgodnych z prawem, powodować ryzyko ich wykorzystania w sposób nieuprawniony, np. w celu:
próby zaciągnięcia zobowiązań z wykorzystaniem danych osobowych bez Państwa wiedzy i na Państwa szkodę;
dokonania oszustwa, w tym podszycia się pod podmiot leczniczy, np. w celu oferowania innych metod leczenia lub wyłudzenia płatności;
dostęp do danych dotyczących zdrowia może prowadzić do dyskryminacji, gorszego traktowania lub naruszenia dóbr osobistych.
Ponownie pragniemy podkreślić, że na obecnym etapie nie posiadamy informacji o przypadkach wykorzystania danych przez osoby nieuprawnione ani ich publicznego ujawnienia. Jednocześnie prosimy o zachowanie ostrożności i czujności.

Prosimy o zachowanie szczególnej ostrożności wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych, zwłaszcza nakłaniających do podawania danych, klikania w linki lub podejmowania szybkich działań, aby uniknąć np. ataku phishingowego, którego celem może być wyłudzenie dodatkowych danych lub płatności. Incydent nie obejmuje Państwa numeru PESEL, rekomendujemy jednak zastrzeżenie numeru PESEL w aplikacji mobilnej mObywatel, przez Internet na stronie mObywatel.gov.pl lub osobiście w dowolnym urzędzie miasta lub gminy; więcej informacji: zastrzeż swój numer PESEL lub cofnij zastrzeżenie; oraz monitorowanie w usłudze mObywatel, kto weryfikował Państwa PESEL i zestawianie tej informacji z własnymi działaniami, w których niezbędna była weryfikacja numeru PESEL.

Informujemy również o możliwości skorzystania przez Państwa ze środków ochrony wskazanych w kodeksie cywilnym i kodeksie postępowania cywilnego. W przypadku podejrzenia, że dane zostały wykorzystane niezgodnie z prawem, można zgłosić to na Policję. Informacje o sposobie zgłoszenia: zgłoś przestępstwo. Zgodnie z zaleceniami Ministra Cyfryzacji i Centrum e-Zdrowia przypominamy o podstawowych zasadach cyberbezpieczeństwa, w tym stosowaniu silnych i unikalnych haseł oraz włączeniu dwuskładnikowego uwierzytelniania wszędzie tam, gdzie jest ono dostępne.

Niezwłocznie po wykryciu zdarzenia podjęliśmy szerokie działania prewencyjne i wdrożyliśmy dodatkowe zabezpieczenia mające na celu zapobieganie podobnym incydentom w przyszłości.
Wdrożyliśmy procedury zarządzania incydentem oraz przeprowadzamy audyt wewnętrzny. Zawiadomiliśmy Centralne Biuro Zwalczania Cyberprzestępczości oraz CSIRT, incydent został również zgłoszony do CERT Polska. Poinformowaliśmy o naruszeniu Prezesa Urzędu Ochrony Danych Osobowych. Od momentu wdrożenia działań zabezpieczających nie obserwujemy nieprawidłowości, które mogłyby wskazywać na utrzymujące się zagrożenie dla systemu.

W przypadku dodatkowych pytań dotyczących incydentu prosimy o kontakt z Inspektorem Ochrony Danych, panią Izabelą Pszczółką, drogą elektroniczną pod adresem iod@enel.pl lub pisemnie na adres: Centrum Medyczne ENEL-MED S.A., ul. Słomińskiego 19 lok. 524, 00-195 Warszawa, z dopiskiem: „Inspektor Ochrony Danych Osobowych”.

Z poważaniem
Centrum Medyczne ENEL-MED S.A.
ul. Słomińskiego 19 lok. 524
00-195 Warszawa

Na koniec dodajmy, że zgodnie z wcześniejszymi komunikatami spółki, wykradzione miały zostać dane ok. 3% pacjentów, co biorąc pod uwagę oficjalne informacje o liczbie obsługiwanych przez ENEL-MED osób, daje ~25 000 osób. Nie wiadomo kto stoi za atakiem, ale Fingerprint — osoba lub grupa osób, która w ostatnich tygodniach z sukcesem zaatakowała inne działające w Polsce spółki z branży medycznej — zaprzecza, że ma cokolwiek wspólnego z tym incydentem.

]]> 8 redakcja <![CDATA[Jak używać AI do ochrony przed atakami, wykrywania włamań i analizy incydentu?]]> https://niebezpiecznik.pl/?p=27430 2026-10-16T18:25:33Z 2026-10-08T11:48:55Z Ataki na polskie firmy, nie tylko z branży medycznej, coś się ostatnio nasiliły. Jak uchronić się przed coraz szybszymi/częstszymi włamaniami? Czy da się je wykrywać z pomocą AI? Tak. Czy można użyć AI do analizy incydentu? Tak. A jak to zrobić? Tego dowiecie się z naszego najnowszego ~2h praktycznego szkolenia online pt. “Jak używać AI do ochrony przed […]]]> Ataki na polskie firmy, nie tylko z branży medycznej, coś się ostatnio nasiliły. Jak uchronić się przed coraz szybszymi/częstszymi włamaniami? Czy da się je wykrywać z pomocą AI? Tak. Czy można użyć AI do analizy incydentu? Tak. A jak to zrobić? Tego dowiecie się z naszego najnowszego ~2h praktycznego szkolenia online pt. “Jak używać AI do ochrony przed atakami?“. Dla tych, którzy znają jakość naszych szkoleń, tutaj od razu link do koszyka :)

Kiedy? I czy będzie nagranie?

Szkolenie startuje online 14 października (środę) o 19:00. Ale zapisz się na nie, nawet jeśli ten termin Ci nie pasuje, bo szkolenie jest nagrywane i będziesz mieć do nagrania dostęp przez 30 dni, więc na pewno zdążysz się zapoznać z materiałem i podniesiesz swoją wiedzę o to, jak używać AI do defensywy i analizy/obsługi incydentu. 

⚠ Uwaga! Tylko dziś, do 23:59, możesz kupić to szkolenie aż o 65% taniej! Tak tanio już nigdy nie będzie, a cena będzie wzrastać każdego dnia o 12:00.

O ile w szkoleniu można wziąć udział dysponując darmowym kontem OpenAI lub Anthropic, to mocno sugerujemy aktywację planu, który da Ci dostęp do narzędzi Codex lub Claude Code, bo dzięki nim realizacja labów będzie prostsza i szybsza. Bez nich będziesz tzw. “meat proxy” ;) czyli będziesz musiał ręcznie “przeklejać” prompty i odpowiedzi do okna czata. Choć oficjalnie wspieramy tylko te dwa narzędzia, to laby będziesz w stanie zrealizować przy pomocy innego agenta (np. Groka w Cursorze), ale będziesz musiał samodzielnie przełożyć instrukcje pod swój harness.

Co na szkoleniu? I kto je poprowadzi?

Tym razem pokażemy jak wykorzystać modele i agenty AI podczas realizacji zadań defensywnych. Podczas labów (które stanowią większość tego szkolenia), nauczysz się jak (roz)budować swoje Security Operations Center o rozwiązania bazujące na sztucznej inteligencji (tj. jak efektywnie połączyć model językowy z systemem SIEM i wykorzystać go do wydajniejszego wykrycia i analizy incydentu). Będziemy nie tylko budować, będziemy też burzyć ;) To co stworzysz w ramach pierwszego laba, będziemy atakować w ramach laba drugiego, żebyś zrozumiał słabe strony agentów AI — bo tych wciąż jest niemało i trzeba sobie z nich zdawać sprawę. Agendę szkolenia znajdziesz tutaj.

Szkolenie poprowadzi Michał Garcarz, który posiada 30 lat doświadczenia w bezpieczeństwie sieciowym. 11 lat spędził w Cisco, odpowiadając za managed SOC oraz inkubację nowych rozwiązań z obszaru AI/ML i to w czasach kiedy o OpenAI jeszcze nikt nie słyszał. Michał zna pracę SOC od praktycznej strony i ma doświadczenie z różnymi platformami wspomagającymi analizę oraz obsługę incydentów. Na tym szkoleniu pokaże, jak połączyć te narzędzia z agentami AI i jak sprawdzić, czy takie połączenie jest na pewno bezpieczne.

Jeśli chcesz wiedzieć jak mądrze rozbudować firmowego/domowego SOC-a/SIEM-a o funkcje wykorzystujące modele AI albo zastanawiasz się, czy użycie agentów do wykrywania/obsługi incydentów to dobry pomysł i chcesz poznać warsztat osoby, która zjadła na tym zęby, to nasze szkolenie będzie dla Ciebie idealne! Z tego szkolenia szczególnie skorzystają wszyscy pracujący w SOC-ach/monitoringu infrastruktury, ale także pentesterzy, analitycy bezpieczeństwa, administratorzy oraz w zasadzie każdy, kto chce nawet nieprofesjonalnie wykorzystać agenty AI do analizy incydentów w domowym zaciszu.

✅ Będą praktyczne laby, abyś mógł od razu przetestować zdobytą wiedzę/narzędzia/techniki

✅ Będzie sesja Q&A z trenerem – można Michała pytać także o tematy wykraczajace poza zakres szkolenia. 

Psst! Większość uczestników naszych szkoleń finansuje je z firmowego budżetu szkoleniowego, więc poproś szefa o opłacenie udziału w tym szkoleniu. Jeśli będziesz potrzebować proformy, opisu w PDF po angielsku, to po prostu daj nam znać — pomożemy! Dla firm zgłaszających 5+ osób mamy dodatkową zniżkę, aby z niej skorzystać, daj nam znać.

 


Zapisuję się!

Pamiętaj! Tylko do końca dnia możesz kupić to szkolenie aż o 65% taniej! Potem cena będzie wzrastać każdego dnia, a w momencie startu wzrośnie znacząco. Taniej już nigdy nie będzie.
Przekonany? To zapisz się tutaj! 

]]> 0 redakcja <![CDATA[Kolejni pacjenci mogą mieć duży problem, czyli nowy incydent w branży medycznej…]]> https://niebezpiecznik.pl/?p=27424 2026-10-07T10:51:35Z 2026-10-07T10:42:25Z Pewnie Was to nie zdziwi, ale kolejny dostawca oprogramowania dla polskich placówek medycznych — firma IQ Dental — poinformowała obsługiwane przez siebie kliniki, że dane osobowe ich pacjentów i “dane dotyczące wizyt” mogły zostać wykradzione. Jak w wiadomości do klientów informuje IQ Dental: Do nieuprawnionego dostępu doszło w okresie od czwartku, 1 października, około godz. […]]]> Pewnie Was to nie zdziwi, ale kolejny dostawca oprogramowania dla polskich placówek medycznych — firma IQ Dental — poinformowała obsługiwane przez siebie kliniki, że dane osobowe ich pacjentów i “dane dotyczące wizyt” mogły zostać wykradzione.

Jak w wiadomości do klientów informuje IQ Dental:

Do nieuprawnionego dostępu doszło w okresie od czwartku, 1 października, około godz. 4:00, do tego samego dnia około godz. 12:00. Incydent został wykryty w poniedziałek, 5 października, około godz. 12:00.

Jakie dane mogły zostać pozyskane?

  • imię i nazwisko pacjenta,
  • numer PESEL,
  • dane adresowe,
  • dane dotyczące wizyt, w tym treść pól tekstowych/notatek związanych z wizytą.

IQ Dental tłumaczy, że “pola tekstowe dotyczące wizyt mają charakter otwarty. W związku z tym, jeżeli w konkretnym przypadku zostały w nich zamieszczone informacje dotyczące leczenia lub stanu zdrowia pacjenta, nie możemy obecnie wykluczyć, że również takie informacje mogły być dostępne.” ale jednocześnie uspokaja, że “na obecnym etapie analiza techniczna nie wykazała dostępu do innych poufnych danych medycznych przechowywanych w systemie, takich jak informacje o receptach czy przepisanych lekach.”

Spółka sugeruje swoim klientom zgłoszenie incydentu do UODO oraz …”włączenie w IQ Dental dwuetapowej weryfikacji użytkowników za pośrednictwem wiadomości e-mail“. To bardzo dobry pomysł, choć w sumie trochę smutne, że w przypadku tego typu usług, dwuskładnikowe uwierzytelnienie nie jest wymuszane. Pytanie też czy administrator IQ Dental miał takie uwierzytelnienie włączone? Bo jak informuje spółka:

Na podstawie przeprowadzonej dotychczas analizy ustaliliśmy, że doszło do nieuprawnionego dostępu do konta administracyjnego systemu IQ Dental, a następnie do wygenerowania dostępu API umożliwiającego wykonywanie zapytań dotyczących wybranych klinik.

Spółka nie podaje ilu pacjentów dotyczy incydent, ale udało nam się ustalić, że nie wszystkich. Choć IQ Dental chwali się współpracą z 6 500 dentystami, to w rozmowie z nami przedstawiciel zarządu spółki poinformował, że incydent dotyczyć ma jedynie 36 konkretnych placówek. A zatem nie każdy gabinet obsługiwany przez IQ Dental powinien się martwić tym incydentem. A Ci którzy powinni się martwić zapewne dowiedzą się o tym w najbliższych dniach od swojego stomatologa (o ile jest on jednym z 36 nieszczęśników).

Kto stoi za atakiem?

Spółka nie informuje, czy ten incydent jest wynikiem ataku jakiejś grupy, bo jak przekazał przedstawiciel Zarządu spółki, na ślady incydentu miała natknąć się samodzielnie, kiedy po ostatnich doniesieniach o atakach w branży medycznej postanowiła na wszelki wypadek przejrzeć swoje systemy (kilka dni temu grupa Horus zhackowała FELG Dent, innego dostawcę usług dla stomatologów). I jak widać, był to bardzo dobry pomysł.

Ustaliliśmy również, że IQ Dental nie odnotował od nikogo żadnych prób wymuszenia okupu i możemy potwierdzić, że za atakiem nie stoi Fingerprint, czyli osoba lub grupa osób która wykradła dane z MyDR, Medyc i Fakturowni. Konto Fingerprinta zaprzeczyło, że ma cokolwiek wspólnego z tą sprawą.

Byłem u dentysty, co robić, jak żyć?

Porady mamy dla Was te same, co w przypadku MyDr:

…choć w przypadku IQ Dental (pod kątem zakresu danych) sytuacja jest znacznie lepsza niż w przypadku ostatnich wycieków (MyDR, Medyc, Fakturownia, Enel-Med, Wakacje.pl). Raz, że problem dotyczy mniejszej liczby placówek, dwa, że stomatolodzy mają mniej “dotkliwych” danych dotyczących pacjenta, których wyciek mógłby wprowadzić go w zakłopotanie.

Dane wyciekały, wyciekają i wyciekać będą. Jak nie z jednego sklepu to z gabinetu. O tym jak chronić się przed wyciekami danych (tymi, które już nastąpiły i tymi które niebawem nastąpią) oraz o tym jak sprawdzić, co w internecie krąży na nasz temat informowaliśmy w tym nagraniu, pokazując dziesiątki narzędzi, które mogą zminimalizować negatywne skutki wycieku naszych danych. Dziś, tylko do końca dnia z hasłem ZĄBKI możecie uzyskać dostęp do tego nagrania za 50% ceny — na obejrzenie macie 30 dni, więc na pewno zdążycie. Tutaj link bezpośrednio do koszyka.

]]> 6 Marcin Maj https://niebezpiecznik.pl <![CDATA[Nagrywanie cudzej posesji to naruszenie nawet jeśli kamerka zaczernia fragmenty – wyrok NSA]]> https://niebezpiecznik.pl/?p=27421 2026-10-07T08:29:09Z 2026-10-07T08:23:25Z Kierowanie obiektywu kamery na posesję sąsiada jest naruszeniem, nawet jeśli kamera kamera stosuje tzw. “maskę prywatności” – orzekł Naczelny Sąd Administracyjny. Nie ma przy tym żadnego znaczenia, czy ustawienia dotyczące zaczerniania da się zmienić łatwo czy nie. Wyrok, o którym mowa zapadł 8 września tego roku (sygn. akt.  III OSK 649/24). Ta sprawa, jak wiele […]]]> Kierowanie obiektywu kamery na posesję sąsiada jest naruszeniem, nawet jeśli kamera kamera stosuje tzw. “maskę prywatności” – orzekł Naczelny Sąd Administracyjny. Nie ma przy tym żadnego znaczenia, czy ustawienia dotyczące zaczerniania da się zmienić łatwo czy nie.

Wyrok, o którym mowa zapadł 8 września tego roku (sygn. akt.  III OSK 649/24). Ta sprawa, jak wiele innych sporów sądowych, zaczęła się od… różnicy zdań między sąsiadami.

Pewien pan (nazwijmy go Panem WD) zainstalował sobie dwa maszty z kamerami, co umożliwiło mu monitorowanie nie tylko otoczenia swojego domu, ale też drogi publicznej oraz posesji pewnej pani (nazwijmy ją “Panią MD”). Pani MD zwróciła się do sąsiada z prośbą o przestawienie kamer aby te nie nagrywały jej posesji. O sprawie powiadomiono również policję, ale to nic nie dało. Pani MD wniosła więc skargę do Urzędu Ochrony Danych Osobowych.

UODO: “Proszę przestać nagrywać sąsiada”

29 grudnia 2022 r. Prezes UODO wydał decyzję, w której nakazał Panu WD zaprzestanie przetwarzania danych osobowych Pani MD za pomocą monitoringu. Organ  udzielił też upomnienia za naruszenie art. 5 RODO w procesie przetwarzania danych osobowych.

W toku postępowania ustalono, że system monitoringu został wyposażony w dysk twardy umożliwiający ciągłe nagrywanie i przechowywanie danych osobowych przez 48 godzin. Potwierdzono, że monitoring obejmował także działkę Pani MD. Owszem, kamery stosowały tzw. maskę prywatnośi tzn. zaczerniały fragment cudzej posesji, ale już UODO był zdania, że to bez znaczenia. Zdaniem UODO nie przedstawiono żadnego dowodu na to, że zaczernienie miało chakrater stały. Poza tym wizerunek Pani MD mógł być  zarejestrowany w momencie je przebywania na wspólnej drodze dojazdowej do posesji, a zatem osób poddanych monitoringowi  na drodze  nie poinformowano o przetwarzaniu ich danych.

Ponadto teren objęty monitoringiem nie został dostatecznie oznakowany, bowiem z tablic umieszczonych w pięciu miejscach na ogrodzeniu posesji skarżącego oraz na słupkach przy drodze prywatnej zawierających informację, że jego obiekt jest monitorowany, nie wynika jaki jest zakres tego monitoringu, ani kto jest administratorem danych osobowych przetwarzanych za pomocą tego systemu (…) W ocenie Prezesa UODO nie można uznać, aby stosowanie monitoringu wizyjnego, obejmującego przestrzeń publiczną w postaci fragmentu posesji wnioskodawczyni i drogi dojazdowej w celu sprawowania opieki nad rodzicami skarżącego, kontroli ich stanu zdrowia i bezpieczeństwa, było działaniem koniecznym i niezbędnym do osiągnięcia tego celu i że działania te mają nadrzędny charakter wobec prawa do ochrony życia prywatnego wnioskodawczyni

Pan WD podnosił, że celem stosowania monitoringu było dbanie o bezpieczeństwo rodziców. Jednym z argumentów po jego stronie było rzekome agresywne zachowanie męża Pani MD, które zostało potwierdzone wyrokiem Sądu Rejonowego. Z tego powodu – jego zdaniem – monitorowanie przestrzenii wspólnej było konieczne (do tego wątku wrócimy).

WSA: Maska prywatności nie wystarczy

Sąsiad nie odpuścił i decyzja UODO została zaskarżona do WSA w Warszawie. Sąd I instancji oddalił skargę i potwierdził, że UODO bezbłędnie ocenił stan faktyczny. Zdaniem Sądu, w toku przeprowadzonych czynności urzędowych nie naruszono wskazanych przez skarżącego przepisów procedury (tj. art. 7, art. 77 oraz art. 80 k.p.a.). Sąd uznał też, że zebrany materiał oraz podjęte działania wyjaśniające były w pełni wystarczające.

WSA również uznał, że….

Skarżący nie wykazał, że tzw. “maska prywatności” (zaczernienie fragmentu obrazu kamery) miała charakter stały (nie przedstawił specyfikacji kamer, z której wynikałby ten fakt). Nie została zatem zapewniona ochrona prywatności osób, mogących znaleźć się w zasięgu tego monitoringu (…) Z dokumentów sprawy wynika też, że wizerunek wnioskodawczyni może być zarejestrowany za pomocą ww. systemu monitoringu w momencie przebywania wnioskodawczyni na wspólnej drodze dojazdowej do posesji…

I tak w ramach skargi kasacyjnej sprawa trafiła do Naczlnego Sądu Administracyjnego. Skarga byłą o tyle ciekawa, że przywoływała różnego rodzaju przepisy Kodeksu Postępowania Administracyjnego oraz niektóre przepisy RODO np. zdaniem Pana WD bezpodstawnie uznano, że jego działania nie mają charakteru czysto osobistego i domowego. Pan WD twierdził też, że do jego sytuacji miał zastosowanie art. 6 ust. 1 lit. f RODO (tj. uzasadniony interes, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów administratora lub strony trzeciej), ale WSA popełnił zdaniem skarżącego błąd nie biorąc tego pod uwagę.

NSA: “Czynnik subiektywny” to za mało

NSA zwrócił uwagę na to, że choć w skardze wskazano rzekomo naruszone przepisy to nie zakwestionowano faktu zainstalowania kamer monitoringu a także przetwarzania danych osobowych Pani MD. Nawet jeśli były jakieś incydenty uzasadniające monitoring części wspólnej, powinien zostać przeprowadzony test proporcjonalności.  Innymi słowy o charakterze przetwarzania danych osobowych nie decyduje czynnik subiektywny (zamiar czy odczucia administratora), lecz czynnik obiektywny.

Sprawa jest – jak widzicie – nieco bardziej złożona niż może się początkowo wydawać. Nie sprowadza się tylko i wyłącznie do tego, czy stosowanie “maski prywatności” jest wystarczające czy nie. Przejdźmy jednak teraz do tego tytułowego wątku jakim jest właśnie automatyczne zaczernianie obrazu.

Naczelny Sąd Administracyjny uznał, że…

Okoliczność owego zaczernienia nie sprawia, że kamery te nie są skierowane na cudzą nieruchomość i że jej “nie widzą”. W ocenie Sądu w sprawie nie ma większego znaczenia jakie konkretnie fragmenty działki wnioskodawczyni podlegają zaczernieniu (tj. czy jest to taras, okna domu, podjazd itp.) i czy ustawienie to jest trwałe czy też chwilowe i w jaki sposób technicznie dochodzi do cyfrowego zaczernienia. Istotny jest tylko i wyłącznie fakt, że zasięg kamer obejmuje nieruchomość wnioskodawczyni, bowiem jest to równoznaczne z tym, że kamery te mogą tę nieruchomość rejestrować, ją “widzą”, a dopiero w wyniku zastosowania ustawienia cyfrowego zaczernienia jest ona dla administratora niewidoczna.

Co więcej, zdaniem NSA nie ma znaczenia to, czy można zmienić te ustawienia czy nie. Po prostu samo objęcie cudzej nieruchomości zasięgiem monitoringu stanowi przetwarzanie danych osobowych osób korzystających z tej nieruchomości w rozumieniu art. 4 pkt 2 RODO. Dzieje się tak, bo przeprowadzana jest operacja na wizerunku osób fizycznych polegających na jego utrwalaniu a następnie modyfikacji.

Jak żyć? To ma wiedzieć administrator

Na koniec wisienka na torcie. Pan WD uznał, że decyzja UODO jest “niewykonalna” bowiem w świetle jej treści skarżący nie wie w jaki sposób ma zaprzestać przetwarzania danych osobowych Pani MD. NSA uznał, że treść zaskarżonej decyzji UODO była jasna i precyzyjna, a ponadto to “rolą skarżącego (decyzję UODO – red.) jest znalezienie faktycznego rozwiązania”.

]]> 29 redakcja <![CDATA[Wakacje.pl zhackowane – pozyskano dane paszportowe Polaków]]> https://niebezpiecznik.pl/?p=27416 2026-10-03T20:12:30Z 2026-10-03T11:52:03Z Ktoś włamał się do systemu służącego do obsługi klientów Wakacje.pl oraz do kilku skrzynek pocztowych pracowników Wakacje.pl. Atakujący pozyskali dane osobowe klientów (w tym dane paszportowe) Wakacje.pl, dlatego spółka ostrzega, aby uważać na fałszywe “wiadomości z prośbą o płatność” i sugeruje zastrzeżenie paszportu. Do ataku doszło 29 września, a wśród danych, które zostały pozyskane, znajdują się: dane […]]]> Ktoś włamał się do systemu służącego do obsługi klientów Wakacje.pl oraz do kilku skrzynek pocztowych pracowników Wakacje.pl. Atakujący pozyskali dane osobowe klientów (w tym dane paszportowe) Wakacje.pl, dlatego spółka ostrzega, aby uważać na fałszywe “wiadomości z prośbą o płatność” i sugeruje zastrzeżenie paszportu.

Do ataku doszło 29 września, a wśród danych, które zostały pozyskane, znajdują się:

  • dane paszportowe,
  • numery telefonów,
  • adresy zamieszkania,
  • adresy e-mail,
  • imiona i nazwiska,
  • daty urodzenia,

W wiadomości do klientów Wakacje.pl, które przekazali nam nasi Czytelnicy, nie ma informacji co dokładnie oznaczają dane paszportowe. Czy jest to tylko numer paszportu czy skan paszportu? Nie ma też informacji ilu osób dotyczy incydent. Domyślamy się, że gdyby był to sam numer, to wtedy spółka nie użyłaby sformułowania “dane paszportowe” — no ale trzeba poczekać na wyjaśnienia — dlatego skierowaliśmy do Wakacje.pl pytania — kiedy otrzymamy odpowiedzi, zaktualizujemy ten artykuł.

I wiemy co myślicie, ale nie — za tym atakiem nie stoi “Fingerprint”, który w ostatnich tygodniach włamał się do MyDr, Medoc i Fakturownia.pl. Ten włamywacz potwierdził to w rozmowie z nami i podkreślił, że nie zamierza więcej atakować żadnych polskich firm.

Korzystałem z Wakacje.pl — co robić, jak żyć?

Jak w przypadku każdego wycieku danych, zastanów się jakie informacje ma o tobie zaatakowany podmiot. A następnie te które możesz zmień, unieważnij, zastrzeż. I bądź wyczulony na różne próby kontaktu związane z kupowanymi na Wakacje.pl wycieczkami. Przestępcy mogą użyć wykradzionych danych do uwierzytelnienia się jako hotel, operator wycieczki, itp. aby zdobyć od Ciebie dodatkowe dane, np. skany dokumentów lub wprost — pieniądze.

Dane wyciekały, wyciekają i wyciekać będą. Jak nie z jednego sklepu to z drugiego. O tym jak chronić się przed wyciekami danych (tymi, które już nastąpiły i tymi które niebawem nastąpią) oraz o tym jak sprawdzić, co w internecie krąży na nasz temat informowaliśmy w tym nagraniu, pokazując dziesiątki narzędzi, które mogą zminimalizować negatywne skutki wycieku naszych danych. Dziś, tylko do końca dnia z hasłem ODPOCZYNEK możecie uzyskać dostęp do tego nagrania za 50% ceny — na obejrzenie macie 30 dni, więc na pewno zdążycie. Tutaj link bezpośrednio do koszyka.

]]> 15 redakcja <![CDATA[Samuraj i niewidzialna pieczęć. Jak wygląda druk i skanowanie w architekturze, która nie ufa nikomu

]]> https://niebezpiecznik.pl/?p=27411 2026-10-02T16:52:44Z 2026-10-02T16:43:17Z W poprzednich częściach naszej sagi Samuraj zamykał kolejne luki w twierdzy. Najpierw utwardził urządzenia pozostawione w stanie fabrycznym. Potem objął je nadzorem zgodnym z wymaganiami NIS2 i DORA. Następnie uporządkował komunikację i zarządzanie flotą zgodnie z zasadami Zero Trust. To jednak dopiero połowa drogi – bo nawet najlepiej zabezpieczona infrastruktura nie odpowiada na jedno podstawowe […]]]>

W poprzednich częściach naszej sagi Samuraj zamykał kolejne luki w twierdzy. Najpierw utwardził urządzenia pozostawione w stanie fabrycznym. Potem objął je nadzorem zgodnym z wymaganiami NIS2 i DORA. Następnie uporządkował komunikację i zarządzanie flotą zgodnie z zasadami Zero Trust.

To jednak dopiero połowa drogi – bo nawet najlepiej zabezpieczona infrastruktura nie odpowiada na jedno podstawowe pytanie: Co dzieje się z dokumentem od momentu kliknięcia przycisku „Drukuj”, aż do chwili, gdy trafia on do rąk użytkownika lub wraca do organizacji jako zeskanowany dokument?

SPIS TREŚCI

Nie masz czasu na lekturę całości artykułu? Zacznij od filmu! Zobacz, jak patrzymy na to zagadnienie, a po konkrety i przykłady — kontynuuj lekturę artykułu:

Jeden dokument, wiele zagrożeń

Wyobraźmy sobie zwykły dzień pracy. Specjalista w dziale finansowym tworzy raport. Dokument przez chwilę istnieje wyłącznie w aplikacji. Za chwilę ma zostać wydrukowany, podpisany, zeskanowany i trafić do dalszego obiegu.

– Brzmi banalnie – jak codzienna rutynowa czynność – ale z punktu widzenia bezpieczeństwa IT składa się z wielu odrębnych etapów: stworzenia dokumentu, wysłania go do wydruku, przechowania zadania, uwierzytelnienia użytkownika, wydruku, odbioru dokumentu, ponownego zeskanowania, zapisania pliku w systemie organizacji. Potencjalnie na każdym z tych etapów można utracić kontrolę nad dokumentem. Dlatego dojrzałe środowiska biurowe nie traktują momentu wysłania dokumentu na drukarkę jako końca procesu, tylko jako jeden z jego elementów – mówi Przemysław Kalinowski, Specjalista ds. wsparcia urządzeń Office, DKS.

To wymaga wprowadzenia zabezpieczeń nie tylko na poziomie całej infrastruktury, ale też każdego pojedynczego dokumentu.

Niewidzialna pieczęć: tożsamość, chmura i wydruk podążający

Dawniej autentyczność i pochodzenie dokumentu potwierdzała fizyczna pieczęć. Była widocznym znakiem wskazującym, kto odpowiada za jego treść i skąd pochodzi. W nowoczesnym środowisku pracy tę rolę przejmuje tożsamość użytkownika. To ona staje się swoistą „niewidzialną pieczęcią”, która towarzyszy dokumentowi na każdym etapie jego cyklu życia.

Aby to podejście mogło zaistnieć w praktyce, trzeba odejść od tradycyjnego myślenia o infrastrukturze druku, opierającego się na wielu elementach pośrednich, takich jak serwery wydruku, lokalne kolejki czy specjalne wyjątki w regułach sieciowych. Każdy z nich wymaga utrzymania, aktualizacji, monitorowania i odpowiedniego zabezpieczenia, a jednocześnie stanowi potencjalny punkt podatności na atak.

– W modelu chmurowym większość tych zależności znika. Zamiast rozbudowywać kolejne warstwy infrastruktury, organizacja może oprzeć proces drukowania na prostym, ale fundamentalnym założeniu: „Drukować może wyłącznie użytkownik, którego tożsamość została zweryfikowana” – dodaje Dariusz Szwed, ekspert Canon Polska w obszarze bezpieczeństwa danych.

Oznacza to, że zadanie wydruku nie jest przypisane do konkretnej drukarki, lecz pozostaje powiązane z użytkownikiem. Dokument trafia do bezpiecznej kolejki i zostaje zwolniony dopiero wtedy, gdy pracownik potwierdzi swoją tożsamość przy urządzeniu, na przykład za pomocą karty dostępowej, kodu PIN lub logowania.

Dzięki temu dokument nie czeka bez nadzoru na odbiór, a organizacja zachowuje kontrolę nad tym, kto, kiedy i gdzie uzyskał do niego dostęp. To rozwiązanie, znane jako wydruk podążający (follow-me printing), eliminuje jeden z najczęściej pomijanych obszarów ryzyka w środowiskach biurowych.

W praktyce mechanizmem, który spina to wszystko w jedną całość, jest uniFLOW Online – chmurowa platforma Canon do zarządzania drukiem i skanowaniem. To ona odpowiada za bezpieczną kolejkę, do której trafia dokument, oraz za jego zwolnienie dopiero po potwierdzeniu tożsamości przy urządzeniu. Innymi słowy, to uniFLOW Online nadaje „niewidzialnej pieczęci” konkretny, techniczny kształt.

Ponieważ jest to rozwiązanie w pełni chmurowe, organizacja nie musi utrzymywać własnych serwerów wydruku ani lokalnych kolejek w poszczególnych lokalizacjach – całym środowiskiem druku administrator zarządza z jednego miejsca, niezależnie od liczby oddziałów i urządzeń.

Brzmi prosto. I właśnie dlatego dobrze wpisuje się w filozofię Zero Trust, zgodnie z którą żadna osoba, urządzenie ani proces nie powinny być automatycznie traktowane jako godne zaufania.

Tożsamość jako wspólny język systemów

Jednym z najczęstszych problemów spotykanych przez administratorów jest nadmiar systemów przechowujących informacje o użytkownikach. Jedno konto istnieje w Active Directory, osobne w systemie HR, kolejne – w aplikacji do obiegu dokumentów. Jeszcze inne w systemie drukowania.

Dzięki integracji z dostawcą tożsamości, takim jak Microsoft EntraID, środowisko druku można potraktować jako część spójnego systemu.

Jeśli użytkownik traci uprawnienia, zmienia rolę albo opuszcza organizację, te same decyzje obejmują również procesy związane z dostępem do dokumentów i ich przetwarzaniem.

Samuraj nie biega po twierdzy, zamykając po kolei każdą bramę z osobna.
Kontroluje mechanizm, który w razie potrzeby zamyka  wszystkie jednocześnie.

W praktyce takim mechanizmem może być nie tylko Entra ID. Organizacje korzystające z innych dostawców tożsamości mogą opierać się na standardach takich jak OpenID Connect czy WS-Federation. Chodzi przede wszystkim o to, by do istniejącego porządku bezpieczeństwa  dołączyć system druku, zamiast tworzyć obok niego osobny byt.

Twierdza bez otwartych bram

W wielu środowiskach problem z zarządzaniem drukarkami zaczyna się od pozornie niewinnego zdania: „serwis musi mieć dostęp”. Potem pojawia się VPN, wyjątek w firewallu, dostęp do panelu WWW z określonej podsieci, itd.

– W modelu chmurowym sytuacja wygląda inaczej. Urządzenie nie oczekuje na połączenia przychodzące. Samo inicjuje połączenie wychodzące z usługą działającą w Azure, a dane są przesyłane zaszyfrowanym kanałem HTTPS/TLS – bez otwierania dodatkowych portów i wystawiania urządzenia na zewnątrz – komentuje Przemysław Kalinowski, Specjalista ds. wsparcia urządzeń Office, DKS.

Z perspektywy Zero Trust ma to ogromne znaczenie. Im mniejsza ekspozycja sieciowa, tym mniejsza powierzchnia ataku.

Karta, PIN, telefon – czyli kto naprawdę stoi przy urządzeniu

Dla Samuraja najgroźniejszym przeciwnikiem jest ten, kto podszywa się pod sojusznika, dlatego nie wystarczy ufać samej tożsamości w chmurze. Równie ważna jest weryfikacja użytkownika przy urządzeniu.

Najpopularniejszy scenariusz to karta zbliżeniowa – często ta sama, której pracownik używa, żeby wejść do biura. Proste, szybkie, znane. Ale Samuraj wie, że kierowanie się wyłącznie wygodą potrafi być zdradliwe.

Starsze karty zbliżeniowe, zwłaszcza standardy 125 kHz, mogą być podatne na klonowanie za pomocą tanich i powszechnie dostępnych narzędzi.

Samuraj zadałby sobie w takiej sytuacji proste pytanie: czy system rzeczywiście wie, że przy urządzeniu stoi Jan Kowalski, czy jedynie rozpoznaje kartę przypisaną do jego konta?

– Najprostszym sposobem ograniczenia ryzyka jest połączenie karty z PIN-em. Wtedy sklonowana karta bez drugiego składnika przestaje wystarczać. Bardziej zaawansowanym rozwiązaniem jest przejście na nowoczesne karty wykorzystujące silniejszą kryptografię lub zastąpienie ich telefonem pełniącym rolę mobilnego identyfikatora, np. z wykorzystaniem aplikacji Mobile Badge.  – wyjaśnia Przemysław Kalinowski, ekspert DKS.

W praktyce chodzi o dobranie odpowiedniego poziomu zabezpieczeń. Inne zasady mogą obowiązywać w recepcji, w dziale prawnym, w finansach, centrali czy małym oddziale.

Zero Trust zakłada świadomą decyzję: kto, gdzie, w jaki sposób i do czego powinien mieć dostęp.

Weryfikacja przy urządzeniu zabezpiecza ostatni etap operacji. Równie ważne jest jednak to, jak zadanie trafia od użytkownika do drukarki.

Druk w świecie Microsoft 365

W środowiskach działających w oparciu o Microsoft 365 naturalnym elementem realizacji podejścia Zero Trust jest integracja uniFLOW Online z Universal Print, dzięki której kolejka druku przenosi się do chmury.

Z perspektywy użytkownika nie dzieje się nic spektakularnego. Nadal wybiera drukarkę i klika „drukuj”. Natomiast z perspektywy IT zmienia się bardzo dużo: znika potrzeba utrzymywania serwerów wydruku, zarządzania sterownikami na stacjach roboczych, tworzenia wyjątków sieciowych.

Zadanie trafia do chmury i czeka przypisane do tożsamości użytkownika. Zostaje zwolnione dopiero po uwierzytelnieniu przy urządzeniu. Dokument nie istnieje fizycznie, dopóki właściwa osoba nie stanie przy wybranej drukarce i nie potwierdzi swojej tożsamości.

– To ważne także dlatego, że historia bezpieczeństwa druku ma swoje ciemne rozdziały. Podatności z rodziny PrintNightmare pokazały, jak ryzykowny może być świat klasycznych sterowników, instalowanych i aktualizowanych w środowisku Windows – dodaje Dariusz Szwed.

Dlatego kierunek wyznaczany przez Microsoft (w tym Windows Protected Print) i odejście od tradycyjnych sterowników na rzecz bardziej kontrolowanych, standardowych mechanizmów komunikacji, dobrze wpisuje się w filozofię ograniczania powierzchni ataku.

Skanowanie: powrót dokumentu do świata cyfrowego

W wielu organizacjach większym wyłomem w bezpieczeństwie nie jest druk, tylko skanowanie.

Jeżeli dokument trafia do przypadkowych folderów sieciowych lub skrzynek pocztowych, organizacja szybko traci nad nim kontrolę.

W środowisku uniFLOW Online skanowanie może zostać włączone w istniejący obieg dokumentów. Użytkownik po uwierzytelnieniu wybiera odpowiedni proces, a dokument trafia bezpośrednio do OneDrive, SharePointa, Teams, systemów workflow czy firmowych repozytoriów. Profile skanowania mogą być przypisane do ról. Użytkownik może uzupełnić metadane już na etapie skanowania. OCR może zamienić obraz w dokument, który da się przeszukiwać, a plik może od razu trafić do dalszego procesu: akceptacji, archiwizacji, księgowości, obiegu dokumentów.

Skan zostaje powiązany z użytkownikiem i procesem biznesowym, a jego pochodzenie, właściciela i historię można jednoznacznie ustalić.

Lokalizacja jako element polityki bezpieczeństwa

Stare myślenie o druku było ściśle związane z miejscem: konkretną drukarką, siecią, serwerem i konfiguracją komputera. Taki model coraz słabiej przystaje do pracy hybrydowej, w której użytkownicy korzystają z infrastruktury firmy z różnych lokalizacji.

uniFLOW Online wraz ze SmartClient pozwala uniezależnić proces drukowania od konkretnego miejsca. Użytkownik może zarządzać swoją kolejką w podobny sposób niezależnie od tego, czy pracuje w centrali, lokalnym oddziale, przestrzeni coworkingowej czy innej lokalizacji. System automatycznie dobiera właściwy routing, sposób komunikacji i obowiązujące reguły, a konfiguracja podąża za użytkownikiem – nie użytkownik za konfiguracją.

Jednocześnie lokalizacja może pozostać jednym z elementów kontekstu uwzględnianych przez politykę bezpieczeństwa. Poszczególne środowiska mogą działać według tych samych zasad albo otrzymać odmienne reguły dostępu i uwierzytelniania, profile skanowania, routing zadań czy poziomy zabezpieczeń. Niezależnie od lokalnych różnic, całość pozostaje zarządzana centralnie.

To trochę jak z kodeksem Samuraja: taktyka może zależeć od okoliczności, ale nadrzędne reguły pozostają niezmienne. Decyzje nie są dziełem przypadku, lecz wynikają z jasno określonej i konsekwentnie egzekwowanej polityki.

Na koniec: Samuraj nie ufa pozorom. Ufa zweryfikowanej tożsamości.

Największa zmiana nie dotyczy technologii. Dotyczy sposobu myślenia. Przez lata bezpieczeństwo budowano wokół sieci i urządzeń. Zero Trust odwraca tę logikę.

Tożsamość staje się nowym centrum systemu. Nie ma znaczenia, czy użytkownik pracuje w centrali, oddziale, domu czy u klienta. Nie ma też znaczenia, z której drukarki korzysta albo  gdzie znajduje się urządzenie.

Większe znaczenie ma to:

  • Czy tożsamość użytkownika została wiarygodnie potwierdzona;
  • Czy użytkownik posiada uprawnienia do wykonania tej operacji;
  • Czy jej kontekst jest zgodny z polityką organizacji.

Jeżeli wszystkie warunki są spełnione, system zezwala na wykonanie operacji. Jeśli nie – odmawia dostępu.

Większość mechanizmów kontrolnych działa w tle, dlatego doświadczenie użytkownika pozostaje niemal niezmienne. Jednocześnie każda operacja podlega weryfikacji, obieg dokumentu pozostaje kontrolowany, a działania mogą zostać odtworzone w ramach audytu.

Bo dojrzałe bezpieczeństwo nie opiera się na domniemanym zaufaniu, lecz na konsekwentnej weryfikacji. W architekturze Zero Trust to zweryfikowana tożsamość wyznacza nową granicę bezpieczeństwa, a uniFLOW Online pozwala objąć tą zasadą codzienne drukowanie, skanowanie i kopiowanie.

Autorami niniejszego artykułu są:

Canon Polska
Producent i dostawca rozwiązań do druku i obiegu dokumentów, w których bezpieczeństwo jest elementem architektury, a nie dodatkiem.

Podejście to widać zarówno w zaawansowanych urządzeniach wielofunkcyjnych serii imageFORCE, tworzonych z myślą o środowiskach o podwyższonych wymaganiach bezpieczeństwa, jak i laserowych drukarkach Canon iSENSYS, które już w podstawowej konfiguracji oferują szyfrowanie danych, silne mechanizmy uwierzytelniania i nowoczesne standardy sieciowe.

DKS
Polska firma z ponad 30-letnim doświadczeniem. Specjalizuje się w obszarach druku i obiegu dokumentów, sprzętu komputerowego, rozwiązań dla poligrafii, druku wielkoformatowego oraz digitalizacji.

Wspiera firmy i instytucje na każdym etapie współpracy – od analizy potrzeb i doboru odpowiednich technologii, przez wdrożenie, po serwis i wsparcie techniczne.

www.dks.pl

]]> 3 redakcja <![CDATA[Kolejny wyciek danych, tym razem 2 500 000 pacjentów]]> https://niebezpiecznik.pl/?p=27398 2026-10-03T20:13:17Z 2026-10-01T19:37:15Z FELG Dent, firma dostarczająca oprogramowanie do gabinetów stomatologicznych, została zhackowana. Tym razem za atakiem nie stoi Fingerprint (który ma na swoim koncie ataki na MyDr, Medyc i Fakturownię), a grupa, która nazywa się mianem “Horus”. Atakujący przesłali do naszej redakcji następującą informację: Jestesmy niezalezni nazywamy sie Horus pokazalismy slabosc kolejnego programu gabinetowego ktory odpowiadal za […]]]> FELG Dent, firma dostarczająca oprogramowanie do gabinetów stomatologicznych, została zhackowana. Tym razem za atakiem nie stoi Fingerprint (który ma na swoim koncie ataki na MyDr, Medyc i Fakturownię), a grupa, która nazywa się mianem “Horus”.

Atakujący przesłali do naszej redakcji następującą informację:

Jestesmy niezalezni nazywamy sie Horus pokazalismy slabosc kolejnego programu gabinetowego ktory odpowiadal za trzymanie danych polakow (…) w nasze rece wpadly nastepujace dane z felgdent[.]com:
2 400 000 pacjentów — PESEL, imię i nazwisko, adres, telefon, gabinet, NIP
712 000 personelu — imię i nazwisko, rola, gabinet, e-mail, awatar
1 200 000 recept — PESEL, dane osobowe, lek, odpłatność, lekarz wystawiający dokumentacja wizyt, e-ZLA, tabele eWUŚ, pliki i zdjęcia z paneli.
Pełna historia leczenia.

Ponizej dowod posiadania danych :x`
(Tu atakujący przesłali nam dane na temat kilku pacjentów, w tym osób o nazwisku Braun, Ibisz, Mentzen, Palikot oraz przykłady kilku recept na leki psychotropowe kolejnych pacjentów)

Wielu z lekarzy z specializacja stomatologiczna wystawialo recepty na leki psychtropowe/stymulanty jesli chcecie otrzymac ich liste i co przepisywali prosimy o kontakt udostepnimy te dane zeby mozna bylo pozbyc sie pseudo lekarzy ktorzy doprowadzaja do smierci ludzi

Atakujący twierdzą, że bazę danych pobrali 9 września wykorzystując podatność IDOR Cross Tenant PID enum i że (w przeciwieństwie do fingerprinta) szantażowali zaatakowaną firmę. Ponieważ nie otrzymali okupu, bazę zamierzają wystawić na sprzedaż za 100 000 PLN.

Atakujący przesłał nam poniższegeo screena i listę endpointów:

/pdf/payments/html/1/d/{token p=} dokumenty płatności pacjenta: dane osobowe + dane gabinetu

/prescription/get/patient/{pid} lista recept pacjenta

/prescription/view/html/1/id/{elid} pełny dokument recepty

/pdf/visits/html/1/id/{token p,l} dokumentacja wizyt

/ajax/ezla/patient/id/{pid} e-ZLA pacjenta

/pdf/payments/html/1/d/{token c=} katalog firm: nazwa, NIP, adres

/ajax/chat/profil/uid/{jid} profile personelu

/chat/avatar/jid/{uid} awatary personelu

/docs/get/id/{pid} drzewo plików pacjenta

/ajax/prescription/doctorget/patient/{uid} listy pacjentów lekarzy

/ewus/pdf/s/{tok}/html/1/listids/{ids} pełne PHI + tabele eWUŚ

Atakujący zaoferowali nam sprawdzenie numerów PESEL, ale żadne z kilku, które im podaliśmy nie figurowały w bazie. Nie przekazali też numerów telefonów do polityków, których dane nam przesłali, a więc weryfikacja tych rekordów nie mogła być przez nas potwierdzona. Ale…

FELG Dent potwierdził incydent

Zhackowany dostawca oprogramowania potwierdził incydent i żądanie okupu. W oświadczeniu na jego stronie czytamy, że wykradziona baza stanowi około 10% danych. Pojawia się też tam taka rada dla gabinetów stomatologicznych, które korzystały z oprogramowania FELG Dentu:

Co istotne, obecnie nie jesteśmy w stanie stwierdzić, czy incydent dotyczy danych osobowych powierzonych nam do przetwarzania z Państwa gabinetu. W związku z tym prosimy o niepodejmowanie żadnych kroków związanych ze zgłaszaniem naruszenia do PUODO do czasu formalnego potwierdzenia przez nas, że naruszenie dotyczy Państwa gabinetu.

Żeby było zabawniej, choć FELG Dent wspomina, że za atakiem stać ma “fingerprint”, to sam Fingerprint zaprzecza i… oferuje firmie darmową pomoc. Kino absolutne.

Byłem u dentysty — co robić, jak żyć?

Porady mamy dla Was te same, co w przypadku MyDr:

Wygląda na to, że tegoroczna jesień będzie wiązała się nie tylko z opadem liści, ale także opadem złudzeń, jeśli chodzi o bezpieczeństwo danych medycznych Polaków.

Aktualizacja (03.10.2026 14:45)
Grzegorz Stawarz, CEO firmy FELG Dent przekazał nam dodatkowe wyjaśnienia dotyczące incydentu, które stoją w kontrze do niektórych informacji przekazywanych przez włamywaczy:

Przytoczona w artykule liczba 712 000 osób personelu jest nieprawdziwa. W systemie FELG Dent nie ma tylu użytkowników — wskazana liczba kilkukrotnie przewyższa ich rzeczywistą liczbę. Wyjaśnienie to dotyczy personelu korzystającego z systemu, a nie liczby pacjentów.

Osoba kierująca do nas żądanie finansowe skontaktowała się z FELG Software 29 września 2026 r. Po tym kontakcie i próbie szantażu rozpoczęliśmy działania związane z incydentem. Nie potwierdzamy natomiast, że dane zostały pobrane 9 września. Jest to deklaracja anonimowych rozmówców, której prawdziwość wymaga weryfikacji w ramach analizy logów. Należy rozróżnić datę kontaktu z nami od deklarowanej daty pobrania danych.

Osoba kontaktująca się z nami posłużyła się nazwą „Fingerprint” w jednej z kolejnych wiadomości, a nie przy pierwszym kontakcie. Ta korespondencja była podstawą użycia przez nas tej nazwy. W komunikacji z FELG Software nadawca nigdy nie przedstawił się jako „Horus”. Nie mamy możliwości potwierdzenia tożsamości anonimowych rozmówców. Ani używane przez nich nazwy, ani późniejsze zaprzeczenia nie pozwalają jednoznacznie ustalić, kto odpowiada za incydent. Nie możemy wykluczyć dezinformacji, ale nie przesądzamy, czy do niej dochodzi. Nasze informacje opieramy na otrzymanej korespondencji.

FELG Software nie otrzymała żadnej oferty pomocy od osoby posługującej się nazwą „Fingerprint” ani od innych anonimowych osób występujących w tej sprawie. Ewentualne publiczne deklaracje należy odróżnić od oferty skierowanej bezpośrednio do nas. Przy wyjaśnianiu incydentu współpracujemy wyłącznie z właściwymi służbami państwowymi, naszym wewnętrznym zespołem oraz zewnętrzną firmą specjalizującą się w cyberbezpieczeństwie.

Dla uniknięcia dalszych nieporozumień wyjaśniamy, że pojawiająca się w innych doniesieniach prasowych informacja o żądaniu od FELG Software okupu w wysokości 100 000 zł jest nieprawdziwa.
W Państwa artykule kwota ta została wskazana jako deklarowana cena sprzedaży bazy — nie należy utożsamiać jej z żądaniem skierowanym do nas.

]]> 14 redakcja <![CDATA[[AKTUALIZACJA 2] Fakturownia.pl zhackowana – wykradziono faktury i dane kontrahentów]]> https://niebezpiecznik.pl/?p=27385 2026-10-03T20:13:48Z 2026-09-29T17:39:00Z Dziś rano informowaliśmy, że Fakturownia rozesłała do swoich klientów e-maila z informacją, że “ze względów bezpieczeństwa” unieważni im klucze API. W tamtym e-mailu spółka nie poinformowała klientów o włamaniu i kradzieży danych, ale komunikat dotyczący incydentu bezpieczeństwa został przez spółkę umieszczony na stronie Fakturowni. Zostawmy na chwilę to, dlaczego Fakturownia nie poinformowała swoich klientów o możliwej kradzieży […]]]> Dziś rano informowaliśmy, że Fakturownia rozesłała do swoich klientów e-maila z informacją, że “ze względów bezpieczeństwa” unieważni im klucze API. W tamtym e-mailu spółka nie poinformowała klientów o włamaniu i kradzieży danych, ale komunikat dotyczący incydentu bezpieczeństwa został przez spółkę umieszczony na stronie Fakturowni.

Zostawmy na chwilę to, dlaczego Fakturownia nie poinformowała swoich klientów o możliwej kradzieży ich danych — incydent jest bardzo świeży i być może spółka wciąż jest na etapie przygotowywania takiego mailingu. Popatrzmy na to, co się stało:

W skrócie:

  • Atak wykryto 28 września 2026r.
  • Wykradzione mogły zostać dane kont wszystkich użytkowników Fakturowni, dane wszystkich kontrahentów danego klienta oraz faktur wystawionych w Fakturowni przed 2023 rokiem, ale skala nie jest jeszcze w pełni ustalona.
  • Atakujący pozyskał informacje o rachunkach bankowych, dane o płatnościach (cokolwiek to znaczy — dop. red.) i częściowe dane z faktur (nie wskazano o jakie części chodzi — dop. red), a także klucze i hasła systemowe aplikacji (nie wskazano o jakie klucze ani hasła systemowe chodzi –dop. red.).
  • Nie pozyskano danych dot. integracji z KSeF i innych integracji oraz danych kart płatniczych (ale jednak spółka wymaga zmiany kluczy API, które właśnie do integracji służą… — dop. red.)

Co ciekawe — i dziwne — spółka dalej w oświadczeniu informuje, że atakujący mógł także wykraść skróty haseł, tokeny sesji i tokeny API/integracji — ale użytkownikom unieważniła tylko tokeny API.

Spółkę trzeba pochwalić za sprawne przygotowanie oświadczenia, ale ciężko oprzeć się wrażeniu, że wdarło się do niego trochę chaosu, co w takim przypadku nie jest pożądane i może powodować dezinformacje. Aby doprecyzować te niejasności zadaliśmy Fakturowni pytania o ten incydent. Jeśli otrzymamy odpowiedzi, zaktualizujemy ten artykuł.

Jak informuje Zaufana Trzecia Strona, do ataku miała przyznać się ta sama grupa, która jest odpowiedzialna za ataki na oprogramowanie medyczne MyDr, a wektorem ataku miała być “wyrocznia czasowa do wyciągnięcia klucza głównego (master key) Ruby, a następnie sfałszowania za jego pomocą ciasteczka, dzięki któremu osiągnął zdalne wykonanie kodu na serwerze.”

Grupa fingerprint ma już na swoim koncie udane ataki na firmy: MyDr, Medyc, a teraz doszła Fakturownia. I można podejrzewać, że nie jest to ostatnia ofiara.

Trzeba przyznać, że strategia brania na celownik polskich dostawców oprogramowania SaaS — w tym zwłaszcza dla usług medycznych i firm — jest strategią wybitnie bolesną dla obywateli. Oba typy oprogramowania są niemal idealnym celem: atakuje się raz, a ma się dane milionów Polaków. Bo zarówno do lekarza chodzi każdy, jak i każdy faktury dostaje.

Korzystam z Fakturowni — co robić, jak żyć?

Jak zwykle, sugerujemy założyć najgorsze, tj. że atakujący pozyskał wszystkie dane, które umieściliście na koncie w Fakturowni. W związku z tym dobrym pomysłem będzie:

  1. Zmienić hasło do konta (i każdego miejsca, gdzie było ono takie samo lub podobne)
  2. Włączyć dwuskładnikowe uwierzytelnienie
  3. Wylogować się aby unieważnić token sesyjny
  4. Zweryfikować numer rachunku bankowego — czy atakujący go Wam nie podmienił na swój.
  5. Zweryfikować listę użytkowników, którzy mają dostęp do Waszego konta
  6. Zrotować klucze API, jeśli korzystaliście z Fakturowni z poziomu innego systemu

Jeśli ufać zapewnienim Fakturowni, nie ma potrzeby aby wykonać rotację certyfikatów w KSeF, ale pewnie nie zaszkodzi to zrobić.

Aktualizacja (30.09.2026 15:35)
Otrzymaliśmy od Fakturowni odpowiedzi na nasze pytania. Odpowiedzi udzielił CTO, Paweł Charyło. Publikujemy w całości poniżej:

1. Czy atakujący kontaktowali się z Fakturownią?

Nie kontaktowaliśmy się z atakującym.

2. Czy Fakturownia była szantażowana? Czy atakujący domagali się okupu?

Nie.

3. Dlaczego atakujący uzyskał dostęp tylko do danych sprzed 2023 roku? Czy były to kopie produkcji albo dane z dodatkowego systemu?

Atakujący został zablokowany zanim zdążył pobrać więcej danych. Nasza aktualna wiedza na podstawie analizy logów wskazuje, że atakujący pobrał mniej danych niż podaliśmy we wczorajszych komunikatach.
Atakujący uzyskał częściowy dostęp do danych:
– z faktur: utworzone do marca 2021,
– pozycji na fakturach: utworzone do czerwca 2019 roku
– kontrahentów: utworzone do 2024 roku.

4. Czy wiadomo, jaki błąd wykorzystał atakujący?

Tak, udało nam się ustalić, że atakujący znalazł i wykorzystał podatność w szablonach faktur, a następnie dziurę w bibliotece do generowania pdf-ów. Uzyskał w ten sposób klucz do podpisywania sesji. Natomiast znajomość tego klucza umożliwiła mu uzyskać dostęp do serwera.

Pełne szczegóły techniczne przekażemy CERT Polska i organom ścigania.

5. Dlaczego w e-mailach do klientów nie wspomnieliście o zakresie incydentu?

Pierwsza wiadomość, którą przekazaliśmy klientom dotyczyła pilnej wymiany tokenów API, tak aby jak najszybciej zabezpieczyć integracje klientów i dostęp do ich kont. Szczegółową informację o zakresie incydentu, jego skutkach i zalecanych działaniach przekazaliśmy Klientom w poniższym komunikacie: https://fakturownia.pl/incydent

6. Dlaczego nie wymuszacie zmiany hasła?

Hasła są przechowywane w postaci zahashowanej z solą . Zapobiegawczo unieważniliśmy wszystkie aktywne sesje i ograniczyliśmy dostęp api tokenami. W najbliższych dniach wymusimy zmianę hasła dla wszystkich użytkowników. Do tego czasu (zgodnie z tym co zawarliśmy w komunikacie) rekomendujemy zmianę hasła, szczególnie jeśli to samo hasło było używane w innych serwisach.

7. Czym dokładnie są „dane o płatnościach” i „częściowe dane z faktur”?

Dane o płatnościach to transakcje bankowe zaimportowane przez klientów: z plików wyciągów, z integracji bankowych oraz płatności automatycznych. Pełne faktury z pozycjami do ~2019, bez pozycji do ~2021 (zgodnie z 3.)

Aktualizacja (02.10.2026 10:20)
Niektórzy użytkownicy Fakturowni informują nas, że otrzymują wiadomości o następującej treści:

Szanowni Państwo,

z przykrością informujemy, że 28 września 2026 r. stwierdziliśmy naruszenie ochrony danych osobowych w serwisie Fakturownia.pl („Fakturownia”). Osoba nieuprawniona włamała się do naszych systemów i skopiowała dużą część bazy danych, w tym danych z Państwa konta.

Naruszenie obejmuje:

(a) Państwa dane osobowe, których administratorem jest Fakturownia – dane konta i jego użytkowników;
(b) dane osobowe Państwa kontrahentów i innych osób, które powierzyli Państwo Fakturowni do przetwarzania jako ich administrator – m.in. dane z faktur, kontrahentów i płatności.
Stosownie do Polityki Prywatności oraz Regulaminu powierzenia przetwarzania danych osobowych („Regulamin”) dane z lit. (a) są administrowane przez Fakturownię. Dane z lit. (b), wprowadzone przez Państwa do konta, są administrowane przez Państwa, a Fakturownia przetwarza je na Państwa polecenie.

W zakresie danych z lit. (a) ta wiadomość jest zawiadomieniem, o którym mowa w art. 34 RODO. W zakresie danych z lit. (b) jest zgłoszeniem naruszenia administratorowi na podstawie art. 33 ust. 2 RODO i §4 ust. 8 Regulaminu.

Informacje przekazujemy etapami (art. 33 ust. 4 RODO). W najbliższych dniach, w uzupełnieniu do niniejszego zawiadomienia oraz z uwagi na poufność danych Państwa klientów, uruchomimy na Państwa koncie w Fakturowni panel ze szczegółowymi informacjami dla Państwa konta: kategorie danych, zakresy dat i liczby rekordów. Panel udostępni też imienną listę osób objętych naruszeniem z proponowaną kategorią ryzyka oraz szkic zgłoszenia do Prezesa UODO; decyzja o zawiadomieniu kontrahentów i jej wykonanie należą do Państwa jako administratora.

Co się stało?

Osoba nieuprawniona uzyskała dostęp do naszych systemów i skopiowała dane z bazy danych na własne serwery.

• Nieuprawniony dostęp trwał od 27.09.2026, ok. godz. 3:20, do 28.09.2026, ok. godz. 17:45.
• Lukę usunęliśmy 28.09.2026 o godz. 18:01.
• Rodzaj naruszenia: naruszenie poufności danych (dane zostały skopiowane).
Jakie dane zostały pobrane?

Przy każdej kategorii wskazujemy, kto jest administratorem danych, i jakiego okresu dotyczy pobranie. (a) Fakturownia – dane konta i jego użytkowników, których administratorem jest Fakturownia. (b) Właściciel konta – dane kontrahentów i innych osób, które klient wprowadził do konta i powierzył Fakturowni do przetwarzania jako ich administrator.

Daty graniczne ustaliliśmy z dzienników zapytań bazy danych; mogą się różnić o kilkanaście dni. Pobieranie największych zbiorów szło od najstarszych rekordów i zostało przerwane, zanim dotarło do nowszych. Dla faktur wystawionych od 22.03.2021 nie pobrano nazwy nabywcy ani numeru faktury.

Czego nie pobrano i co jeszcze ustalamy?

Nie zostały pobrane:

• certyfikaty KSeF;
• dane logowania do banków – Fakturownia ich nie przechowuje;
• dane kart płatniczych – Fakturownia ich nie przechowuje;
• dane przechowywane w ramach integracji konfigurowanych w zakładce Integracje i dodatki;
• treść faktur wystawionych od 22.03.2021 – poza kwotami, dodatkowymi polami opisowymi i danymi dodatkowych stron;
• dane kontrahentów dodane od 16.10.2024.
Według naszej wiedzy dane objęte naruszeniem nie zostały dotychczas upublicznione; monitorujemy to wspólnie z CERT Polska.

Możliwe konsekwencje i co mogą Państwo zrobić – Państwa dane (lit. a)

Opisujemy możliwe następstwa. Nie oznacza to, że już wystąpiły.

Jeżeli podejrzewają Państwo oszustwo lub nieuprawniony przelew, prosimy niezwłocznie skontaktować się z bankiem. W przypadku podejrzenia popełnienia przestępstwa należy zawiadomić Policję i zachować wiadomości oraz inne dowody. Prosimy także poinformować nas o próbie wykorzystania danych objętych naruszeniem.

Możliwe konsekwencje dla osób trzecich – dane powierzone (lit. b)

Jako administrator tych danych oceniają Państwo ryzyko i decydują, czy i jak zawiadomić osoby, których dane dotyczą. Poniżej wskazujemy zagrożenia, które widzimy, i działania, które mogą Państwo rozważyć.

Dla danych, których administratorem jest Fakturownia, oceniliśmy ryzyko jako wysokie: zakres danych jest szeroki, a liczba osób bardzo duża. Może to być dla Państwa punkt odniesienia przy ocenie ryzyka dla danych z lit. (b).

Termin 72 godzin na zgłoszenie do Prezesa UODO biegnie od stwierdzenia naruszenia. Według wytycznych EROD 9/2022 (pkt 44) administrator co do zasady stwierdza naruszenie, gdy poinformuje go podmiot przetwarzający. Jeżeli jednak już wcześniej uzyskali Państwo dostateczną pewność co do incydentu (np. z naszego komunikatu z 29.09.2026), termin mógł zacząć biec wcześniej. Zalecamy odnotowanie daty i godziny otrzymania tej wiadomości w Państwa dokumentacji naruszenia.

Nie muszą Państwo czekać na udostępnienie panelu ze szczegółowymi informacjami na koncie w Fakturowni: zgłoszenie wstępne można złożyć na podstawie tej wiadomości i uzupełnić później (art. 33 ust. 4 RODO).

Działania podjęte przez nas

• 28.09.2026, 13:35 – pierwsza blokada adresu atakującego;
• 28.09.2026, 18:01 – usunięcie luki w aplikacji;
• 28.09.2026, 18:56-20:14 – zmiana kluczy aplikacji i haseł usług;
• 28.09.2026, 20:44-21:51 – przeniesienie ruchu na nowe serwery zbudowane od zera, wyłączenie starych, dezaktywacja wykradzionych kluczy;
• 28.09.2026, 23:10 – czasowa blokada panelu klienta;
• 28.09.2026, 23:50 – 29.09.2026, 4:03 – wymiana tokenów API klientów;
• 29.09.2026, 2:35 – dodatkowe zabezpieczenia generatora plików PDF;
• 29.09.2026 – zgłoszenie naruszenia Prezesowi Urzędu Ochrony Danych Osobowych oraz zgłoszenie incydentu CERT Polska i Policji (CBZC);
• 29.09.2026 – poinformowanie Inspektora Ochrony Danych i ocena ryzyka dla osób fizycznych;
• 01.10.2026 – rozpoczęcie wysyłki indywidualnych zawiadomień e-mail do właścicieli kont i użytkowników.
Co dalej?

• W najbliższych dniach udostępnimy na Państwa koncie w Fakturowni informację o zakresie danych pobranych z Państwa konta.
• Bieżące ustalenia publikujemy na stronie fakturownia.pl/incydent (prosimy wpisać adres samodzielnie w przeglądarce).
Jak rozpoznać naszą wiadomość?

Ta wiadomość nie zawiera załączników i nie wymaga logowania. Nie prosimy o hasła, kody weryfikacyjne, kody BLIK ani dane kart. Wiadomości w tej sprawie wysyłamy wyłącznie z domeny fakturownia.pl.

Więcej informacji

W sprawie incydentu prosimy o kontakt:

• Inspektor Ochrony Danych: iod@fakturownia.pl
• Fakturownia sp. z o.o.: telefon +48 22 398 7771; adres korespondencyjny: ul. Juliana Smulikowskiego 6/8, 00-389 Warszawa
• Zapytania administratorów danych: https://app.fakturownia.pl/goto/helpdesk
Przepraszamy za tę sytuację.

Z poważaniem
Fakturownia sp. z o.o.

]]> 23 redakcja <![CDATA[Obejrzeli poradnik na YouTube, zostali “zainfekowani” i stracili kryptowaluty…]]> https://niebezpiecznik.pl/?p=27378 2026-09-21T17:23:10Z 2026-09-21T17:23:10Z Na YouTube pojawiła się seria poradników obiecujących, że każdy, nawet bez doświadczenia w programowaniu, zbuduje z pomocą AI (chodził o Claude’a) “w pełni autonomicznego bota do handlu kryptowalutami”. Widzowie kopiowali pokazywany kod, budowali bota, ale w rzeczywistości bot działał inaczej niż obiecywał poradnik — stawał się tzw. drainerem i realizował kontrakt zaprojektowany wyłącznie do przekazywania kryptowalut z […]]]> Na YouTube pojawiła się seria poradników obiecujących, że każdy, nawet bez doświadczenia w programowaniu, zbuduje z pomocą AI (chodził o Claude’a) “w pełni autonomicznego bota do handlu kryptowalutami”. Widzowie kopiowali pokazywany kod, budowali bota, ale w rzeczywistości bot działał inaczej niż obiecywał poradnik — stawał się tzw. drainerem i realizował kontrakt zaprojektowany wyłącznie do przekazywania kryptowalut z portfela ofiary na adresy przestępców. W sumie aż 224 portfele (należące do oszukanych) straciły 274,6 ETH, czyli prawie 2 000 000 złotych.

Wały na krypto nie zawsze są kreatywne

Sposobów wykradania kryptowalut jest sporo, ale chyba pierwszy raz mamy do czynienia z połączeniem hajpu na AI i atakiem na wanna-be vibecoderów który kończy się zuchwałą kradzieżą kryptowalut. W tym ataku nie było phishingowego linku, fałszywej domeny ani podejrzanej prośby o zatwierdzenie uprawnienia. Praktycznie wszystkie kroki “poradnika” są legitne, a ofiara używa prawdziwego portfela, wdraża kontrakt i podpisuje transakcje sama. Tylko jeden krok powoduje tragedię — tutorial kieruje ofiary do strony udającej popularne narzędzie Remix. Efekt? Wklejony przez użytkownika kod jest “po cichu” ignorowany, a skrypt w tle uruchamia zupełnie inny kontrakt pobrany z serwera oszustów. To co widzi użytkownik na ekranie (i to czego się spodziewa) nigdy nie trafia na blockchain. A to co trafia, po uruchomieniu okrada właściciela z kryptowaluty ETH.

Kampania była koordynowana, nie incydentalna

Atak opisała firma TRM Labs, która zidentyfikowała 9 niemal identycznych poradników, publikowanych na różnych kanałach jako dzieła “niezależnych twórców”. Scenariusze były niemal identyczne, instrukcje na ekranie szły w tej samej kolejności, a niektóre filmy pokazywały te same zyski co do grosza, w tym obietnicę zwrotu 1 ETH co 20 godzin.

Tak, dobrze myślicie: prezenterzy i głosy były generowane przez AI, a komentarze pod filmami zawierały sfabrykowane opinie zadowolonych użytkowników. To akurat już element wspólny wielu kryptowałów. Wykorzystywany przez oszustów Claude nie pełnił oczywiście w tym ataku żadnej roli technicznej — oszuści po prostu wykorzystali popularność narzędzia od Anthropic. Co ciekawe, istniała też wersja która używała narzędzi OpenAI.

Mediana straty to 1 ETH, zgodnie z instrukcjami tutorialów, które kazały zasilić “bota” 1-2 ETH kapitału na start. Kradzieże trwały od 12 lutego do 11 sierpnia 2026 roku, a skradzione środki wędrowały wyłącznie przez zdecentralizowaną infrastrukturę: wymiany na DAI, mostki i mikser, bez żadnej scentralizowanej giełdy na trasie.

Ofiary okradano podwójnie

Ale to nie koniec! Gdy po wypłacie środków ofiara była zdezorientowana, i jeszcze nie w pełni świadoma, że została okradziona, pokazywano jej sfabrykowany komunikat błędu: “ERROR: Arbitrage stuck”. Proszono o dodanie 50% pierwotnej kwoty (maksymalnie 1 ETH), jako tzw. “gazu”, i uruchomienie kontraktu ponownie. Komunikat oczywiście był fałszywy i miał na celu wymusić kolejny przelew do oszustów.

Ten atak prowadzi do dwóch wniosków:

  • Zabawa w kryptowaluty wymaga wiedzy i nie jest dla leszczy. Chciwość i chęć szybkiego zysku, jeśli ktoś nie rozumie technologii z której korzysta dany projekt, może prowadzić do bolesnych strat.
  • Vibecoding — choć z definicji jest w zasadzie dla każdego — to tworzenie z AI narzędzi do zarabiania pieniędzy nie jest najlepszym pomysłem. Świadomość tego jak działa kod i jakie ryzyko jest związane z błędną instrukcją to niestety coś, czego wielu osobom brakuje.

Jakbyście chcieli zacząć swoją przygodę z tworzeniem aplikacji z AI, nawet jak nie potraficie programować, to sugerujemy start z naszym poradnikiem dotyczącym vibecodingu — pokazujemy jak rozpocząć tworzenie apek i serwisów za pomocą popularnych narzędzi do vibecodingu, ale z głową i przede wszystkim — z zachowaniem bezpieczeństwa. Mówimy też czego lepiej nie tworzyć, bo nie ma to sensu — dzięki czemu oszczędzicie nie tylko czas, ale i pieniądze wydane na tokeny :)

]]> 2 redakcja <![CDATA[📌 Jak nie dać się zhackować? Ruszamy w Polskę z kolejną edycją naszego kultowego wykładu]]> https://niebezpiecznik.pl/?p=27373 2026-10-16T18:26:27Z 2026-09-21T10:55:36Z Każdy, kto korzysta z komputera, smartfona i internetu powinien wiedzieć jak robić to bezpiecznie. Tego jak “nie dać się cyberprzestępcom” uczymy głównie pracowników największych polskich firm na szkoleniach zamkniętych odbywających się w ich siedzibach. Jeśli Twoja firma nie zakupiła u nas takiego szkolenia, nie miałeś możliwości wzięcia udziału w naszym 3 godzinnym, pełnym praktycznych porad […]]]> Każdy, kto korzysta z komputera, smartfona i internetu powinien wiedzieć jak robić to bezpiecznie. Tego jak “nie dać się cyberprzestępcom” uczymy głównie pracowników największych polskich firm na szkoleniach zamkniętych odbywających się w ich siedzibach. Jeśli Twoja firma nie zakupiła u nas takiego szkolenia, nie miałeś możliwości wzięcia udziału w naszym 3 godzinnym, pełnym praktycznych porad i widowiskowych pokazów wykładzie. Ale teraz to się zmienia :)

Właśnie po raz kolejny ruszamy w Polskę z naszym kultowym wykładem Jak nie dać się zhackować? (ocena uczestników: 9,56/10). Odwiedzimy w największe polskie miasta. Zapisy już ruszyły — a ponieważ wykład jest kierowany do wszystkich (także osób spoza IT, zupełnie nietechnicznych) to przekaż informację swoim rodzicom, dziadkom i znajomym spoza branży. Wiedza którą przekazujemy w ramach wykładu “Jak nie dać się zhackować?” to wiedza obowiązkowa dla każdego użytkownika komputera i smartfona podłączonego do internetu.

W najbliższych tygodniach odwiedzimy te miasta:

W ostatnim roku przeszkoliliśmy kilkset tysięcy pracowników polskich firm, pokazując jak bezpiecznie korzystać z komputera, smartfona i internetu nie tylko podczas wykonywania obowiązków służbowych, ale także w życiu prywatnym. Ponieważ wiedzę zawsze przekazywaliśmy w przystępny i zabawny sposób, demonstrując przy okazji na żywo najpopularniejsze ataki i ucząc ich wykrywania, opinie po naszych wykładach zawsze były pozytywne.

W niektórych firmach po organizacji jednego “próbnego” szkolenia, bardzo szybko proszeni byliśmy o przeszkolenie wszystkich pozostałych pracowników. I praktycznie zawsze, niezależnie od profilu firmy, po każdym szkoleniu podchodzili do nas pracownicy i pytali, czy robimy takie szkolenia dla zwykłych ludzi, bo chcieliby na nie wysłać członków swoich rodzin, rodziców, dzieci, dziadków albo znajomych. Ponieważ zapytań tego typu było coraz więcej, postanowiliśmy zorganizować otwarty wykład na który przyjść może każdy. Tak zrodził się projekt “Jak Nie Dać Się Zhackować?”, w ramach którego przez ostatnie 7 lat dopieściliśmy materiał wykładu do perfekcji i przeszkoliliśmy prawie pół miliona Polaków.

Tematyka wykładu “Jak nie dać się zhackować?”

W ramach trwającego łącznie 3 godziny wykładu (z 15 minutową przerwą w środku) pokażemy Ci:

  • Jak poprawnie zabezpieczyć komputer i smartfona, aby nie zostały one zhackowane przez cyberprzestępców
  • Jak nie paść ofiarą popularnych w Polsce oszustwa internetowych, scamów i przekrętów
  • Jak chronić swoją prywatność w trakcie korzystania z e-maila i serwisów społecznościowych
  • Jak zabezpieczyć swoje dane i komunikację, aby nie zostały one przez nikogo podsłuchane lub wykradzione
  • Jak bezpiecznie robić zakupy w internecie
  • Jak bezpiecznie korzystać z bankowości internetowej

Powyższe zagadnienia zilustrujemy prawdziwymi przykładami ataków, jakie w ostatnich miesiącach dotknęły Polaków, a dodatkowo sami, na żywo, pokażemy jak atakują cyberprzestępcy:

  • Podszyjemy się pod Pana prezydenta
  • Wykradniemy dane z telefonu komórkowego
  • Pokażemy jak szybko łamane są hasła Polaków
  • Zainfekujemy laptopa ofiary i będziemy ją podglądali przez wbudowaną w laptopa kamerkę
  • Przejmiemy kontrolę nad komputerem przy pomocy złośliwego pendrive’a

Wierzcie nam, że w trakcie tych pokazów szczęka opadnie Wam nie raz… Gwarantujemy, że nikt, kto weźmie udział w tym wykładzie, już nigdy nie będzie tym samym człowiekiem :)

Kiedy i gdzie?

Aktualne terminy wykładu zawsze znajdziesz na jego stronie. W tym roku będziemy w:

Jesteś z innego miasta? Nic nie szkodzi, tam pewnie też będziemy! Zostaw nam e-maila w polu poniżej, a powiadomimy Cię o kolejnych terminach:




Zapisy i bilety

Aby wziąć udział w wykładzie, kliknij w nazwę swojego miasta, a następnie wybierz typ biletu.

PS. Wejściówki nie są imienne, więc możesz je kupić dla kogoś. Mamy, Taty, Babci, Dziadka, Syna, Córki, Znajomego. Jest to idealny prezent pod choinkę i najlepiej zainwestowane pieniądze. Koszt sprzątania po pierwszym lepszym ataku, przejęciu skrzynki czy infekcji wirusem to zdecydowanie wyższe koszty niż kwota za bilet…

]]> 3 redakcja <![CDATA[ChatGPT wie, co robisz w sklepach internetowych i śledzi Twoje ruchy na innych stronach]]> https://niebezpiecznik.pl/?p=27366 2026-09-21T09:04:12Z 2026-09-21T09:04:12Z Rozmawiasz z ChatGPT o zdrowiu, finansach i sprawach osobistych, a równolegle przeglądasz internet? Od teraz OpenAI może połączyć te dwie aktywności, bo właśnie wdrożono mechanizm reklamowy opraty o ciasteczka __obi. Efekt: to, co kupujesz, czytasz i wyszukujesz poza czatem, może zostać powiązane z Twoim kontem ChatGPT. Chyba że korzystasz z iPhona… To standardowy AdTech, ale […]]]> Rozmawiasz z ChatGPT o zdrowiu, finansach i sprawach osobistych, a równolegle przeglądasz internet? Od teraz OpenAI może połączyć te dwie aktywności, bo właśnie wdrożono mechanizm reklamowy opraty o ciasteczka __obi. Efekt: to, co kupujesz, czytasz i wyszukujesz poza czatem, może zostać powiązane z Twoim kontem ChatGPT. Chyba że korzystasz z iPhona…

To standardowy AdTech, ale w nowym opakowaniu

Mechanizm działa w trzech krokach.

  • Na chatgpt.com generuje się identyfikator przypisany do Twojego konta i ląduje w ciasteczku __obi na domenie .openai.com, z atrybutem SameSite=None oraz żywotnością jednego roku.
  • Firmy, które kupują reklamy w ChatGPT instalują u siebie mały kod OpenAI (SDK z bzrcdn.openai.com) — dokładnie tak, jak sklepy od lat instalują piksele Meta i Google.
  • Twoja przeglądarka dokleja ciasteczko __obi już do samego żądania pobrania skryptu, zaraz po wejściu na stronę firmy, która kupiła reklamę w ChatGPT. Co istotne, mechanizm działa także po wylogowaniu: anonimowy identyfikator jest stabilny i utrzymuje się co najmniej 27 dni

Jeden z badaczy zweryfikował mechanizm na własnym telefonie oraz na ruchu obejmującym 936 pikseli reklamodawców na 1029 domenach, wskazując domeny które już korzystają z tej formy trackingu, jak np. Coursera. Sama technologia trackingowa używana przez OpenAI nie jest nowa. Bezprecedensowe jest uruchomienie jej na produkcie typu “czat AI” bo ludziom w rozmowach z AI zdarza się zwierzać z rzeczy, których nie publikowaliby w mediach społecznościowych. To oznacza, że może dojść do bolesnych w skutkach naruszeń prywatności. O jednym z przerażająco-ciekawych zastosowań tego typu “współdzielenia ciastek” i deanonimizacji klientów pisaliśmy w artykule pt. wszedłem na stronę sklepu i dostałem od niego e-maila, chociaż nie podałem żadnych danych!

Zbieranie danych także poufnych

SDK zbiera też tożsamość ze stron reklamodawców: z pól formularzy, tekstu stron i warstwy danych managera tagów (window.dataLayer). Adresy e-mail i telefony są haszowane SHA-256, ale kraj, region, miasto i kod pocztowy lecą jawnym tekstem. W zaobserwowanych przez badacza ścieżkach URL znalazły się m.in. strony dotyczące stanu zdrowia, rozwiązania zadłużenia i formularz zgłoszenia procesu sądowego. OpenAI co prawda utrzymuje listę wykluczonych pól (hasła, numery kart, historia medyczna), ale klasyfikuje __obi jako ciasteczko analityczne — co oznacza, że mechanizm będzie użyty nawet jeśli ktoś odmówi zgody marketingowej. Badacz zapytał o to OpenAI 14 września; support przyjął zgłoszenie, lecz nie odpowiedział na żadne z pytań.

iPhone górą!

Badacz analizował ruch na Chrome na Androidzie. Na iPhone adtech OpenAI nie działa, bo wszystkie jabłkowe przeglądarki użyją WebKit z blokadą ciasteczek firm trzecich.

Co robić, jak żyć?

Spersonalizowane reklamy niekoniecznie są złe. Jest wiele osób, które chcą widzieć dopasowane do swoich potrzeb treści reklamowe, a nie losowe promocje z Biedronki. Warto jednak zastanowić się, czy nasze zainteresowania z obszaru “sekretne rozmowy na czacie” powinny być łączone z danymi, jakie na nasz temat mają “korporacje”.

Warto też pamiętać, że ciasteczka trackingowe to tylko jedna z metod śledzenia — fingerprinting przeglądarki i adres IP działają niezależnie od nich i też są stosowane. Utrzymanie prywatności w dzisiejszym internecie nie jest łatwym zadaniem. O tym jak można zapewnić sobie maksymalną prywatność opowiadamy podczas naszego 3 godzinnego, bestsellerowego wykładu pt. “Jak nie dać się zhackować?“, z którym właśnie ruszamy w Polskę. Wykład jest dla każdego (także dla osób spoza IT, nietechnicznych) — prostym językiem przekazujemy sprawdzone w boju porady, które pomagają zabezpieczyć przed atakami swoje dane, pieniądze oraz prywatność. W najbliższych tygodniach odwiedzimy z tym wykładem poniższe miasta — wpadajcie z rodzicami albo znajomymi spoza branży!

Jeśli ktoś chce uchronić się przed trackingiem, to niekoniecznie musi od razu kupować iPhona ;) Wystarczy Firefox, który też domyślnie izoluje ciasteczka firm trzecich. Można też skonfigurować adbloker (np. uBlock Origin) z filtrami dla openai.com, albo wyciąć domeny bzr.openai.com i bzrcdn.openai.com na poziomie DNS, np. w Pi-hole. Gotowe listy blokujące (Hagezi, OISD) mają już te domeny. Można też założyć osobny profil przeglądarki (czyli osobny cookie jar) dla rozmów z ChatGPT i regularnie czyścić ciastka.

]]> 25 redakcja <![CDATA[AI rozgryzło zaszyfrowane depesze, nad którymi ludzie bezskutecznie pracowali 108 lat]]> https://niebezpiecznik.pl/?p=27361 2026-09-20T19:14:10Z 2026-09-20T19:14:10Z GPT-6 Astra odczytała dwa niemieckie melduneki radiowe z 1918 roku, których przez ponad 100 lat nikomu nie udało się odszyfrować. Media już krzyczą o “złamaniu kodu” przez AI, ale prawda jest taka, że klucze szyfrowania były doskonale znane — problem z depeszami leżał zupełnie gdzie indziej… Oba odszyfrowane meldunki znajdowały się na liście “50 najważniejszych […]]]> GPT-6 Astra odczytała dwa niemieckie melduneki radiowe z 1918 roku, których przez ponad 100 lat nikomu nie udało się odszyfrować. Media już krzyczą o “złamaniu kodu” przez AI, ale prawda jest taka, że klucze szyfrowania były doskonale znane — problem z depeszami leżał zupełnie gdzie indziej… Oba odszyfrowane meldunki znajdowały się na liście “50 najważniejszych nieodczytanych szyfrogramów” prowadzonej przez Klausa Schmeha a na warsztat wziął je programista o nicku prinz

Pierwszy meldunek (Szyfr ADFGVX)

Pierwszy z niemieckich meldunków radiowych odczytanych przez model OpenAI został nadany 27 listopada 1918 roku i był zaszyfrowany metodą ADFGVX.

ADFGVX to niemiecki szyfr polowy wprowadzony w czerwcu 1918 roku. Litery i cyfry zamieniano w nim na pary symboli ze zbioru A, D, F, G, V, X, a potem całość przestawiano transpozycją kolumnową, czyli mieszano kolejność znaków według słowa-klucza. Odczytanie meldunku wymaga odgadnięcia zarówno tabeli podstawień jak i klucza przestawienia. Setki takich meldunków już odczytano, m.in. zrobił to George Lasry, ale kilkanaście wciąż opierało się odczytom.

To jaka była ta nowatorska metoda, na którą wpadła sztuczna inteligencja, a nie ludzie?

AI sprawdziło znany klucz, którego nikt wcześniej nie sprawdził

Astra posłużyła się słowem TRUPPENVERSCHIEBUNG (“przemieszczenie wojsk”), jawnie znanym, bo odnotowanym na stronach 214-215 monografii J. Rivesa Childsa o niemieckich szyfrach wojskowych z lat 1914-1918. Problem w tym, że przyjmowano, iż ten klucz obowiązywał dopiero od 9 grudnia 1918 roku, a meldunek nadano 27 listopada, więc badacze do tej pory prawdopodobnie odrzucali ten klucz bez testowania. Model po prostu sprawdził hipotezę, że radiotelegrafista użył klucza “za wcześnie”.

Wynik:

“EIN ENGLISCHER KREUZER EINLIEG X SEWASTOPOL X S4STEN X EIN GESCHWADER DER X ALLIIERTEN FOLGT 26STEN X” — czyli informacja o przypłynięciu angielskiego krążownika do Sewastopolu “24-tego” (jedna cyfra nieczytelna) i o nadciągającym 26-tego eskadronie aliantów.

Astra po dekryptażu sama zweryfikowała treść: w dziennikach okrętowych Royal Navy potwierdzono, że HMS Canterbury wszedł do Sewastopolu 24 listopada 1918 roku, a eskadra aliancka dzień później. Daty się zgadzają.

Drugi meldunek z brakującymi znakami

Drugi meldunek “RICHI-240”, miał w sygnaturze 240 znaków, a zawierał tylko 220 i nie wiadomo było, co stało się z 20. Brakujące 20 znaków w szyfrze przestawieniowym to koszmar — niewiadomo, gdzie je wstawić. Ponieważ po zaszyfrowaniu kolejność znaków i tak jest mieszana kluczem, to wstawienie ich w złym miejscu powoduje śmieciowy wynik. Astra testowała różne warianty i oceniała wyniki pod kątem wzorców typowych dla j. niemieckiego, aż wyszedł spójny tekst. Trzy nieczytelne cyfry ustalono dopiero, porównując treść z francuskim telegramem wywiadowczym z 11 listopada 1918 roku oraz z historią serbskiego Vršac, zajętego przez Serbów 10 listopada.

Model potrzebował kilku informacji: co to za szyfr? jaki był klucz? plus zewnętrznych źródeł historycznych, więc przestrzeń poszukiwań była wąska.

To nie cud, ale i tak warto odnotować ten sukces

Po odszyfrowaniu meldunków — kiedy wiemy już jak to zrobić — jest jasne, że wystarczająco zmotywowany białkowy analityk mógłby zrobić to samo. No ale tego nie zrobił. Warto też zauważyć, że nie znamy pełnych promptów, kosztu pracy modelu i skali udziału człowieka w tym sukcesie, więc raczej LLM pomógł odszyfrować niż odszyfrował (sam).

To nie atak na AES czy dowód istnienie AGI, a po prostu przydatne użycie narzędzia. I smutne dla paranoików przypomnienie: warto zapisywać niezłamane wiadomości, bo po latach może się je udać złamać. Ale przecież nikt nie nagrywa zaszyfrowanej komunikacji dzisiejszego internetu na zaś, prawda? PRAWDA?!

Na koniec przypomnijmy, że czytelnicy Niebezpiecznika rozgryzali kartkę z Archiwum Państwowego w Lublinie, a FBI prosiło o pomoc w sprawie notatek zamordowanego Ricky’ego McCormicka (są na pozycji 10. tej samej listy Schmeha co opisywane wyżej niemieckie meldunki).

]]> 8 redakcja <![CDATA[Dane klientów Amazona bezpowrotnie stracone. Winne irańskie drony.]]> https://niebezpiecznik.pl/?p=27353 2026-09-18T14:16:15Z 2026-09-18T13:54:32Z Amazon właśnie przyznał, że po irańskich atakach na centra danych w Bahrajnie i Zjednoczonych Emiratach Arabskich spora część danych klientów bezpowrotnie przepadła. Sześć miesięcy wojny i trzy ataki Centra danych AWS oberwały atakiem kinetycznym kilka razy: 1 marca irańskie drony uderzają w serwerownie AWS na Bahrajnie i w ZEA; AWS wzywa klientów do migracji do […]]]> Amazon właśnie przyznał, że po irańskich atakach na centra danych w Bahrajnie i Zjednoczonych Emiratach Arabskich spora część danych klientów bezpowrotnie przepadła.

Sześć miesięcy wojny i trzy ataki


Centra danych AWS oberwały atakiem kinetycznym kilka razy:

  • 1 marca irańskie drony uderzają w serwerownie AWS na Bahrajnie i w ZEA; AWS wzywa klientów do migracji do innych regionów i przyznaje im ok. 150 mln USD w kredytach.
  • 1 kwietnia ma miejsce kolejny atak na serwerownie na Bahrajnie.
  • 24 lipca irańska rakieta niszczy ostatni czynny budynek Amazona w Bahrajnie.

W regionie ZEA (me-central-1) dane bezpowrotnie przepadły w jednej z trzech stref dostępności (mec1-az2). W Bahrajnie (me-south-1) jest gorzej: AWS nie może przywrócić danych żadnej z trzech stref.

Szkody objęły wiele stref dostępności i przekroczyły to, co nasze usługi regionalne i multi-AZ są zaprojektowane wytrzymać

Firma zawiesiła billing usługi w obu regionach i wypłacić miała aż 150 mln dolarów w kredytach dla klientów. W przeszłości zdarzały się wyłączenia stref AWS, np. us-east-1 (por. Piorun ubił chmurę Amazonu). Nigdy jednak do tej pory nie doszło do utraty danych z powodu zbombardowania serwerowni.

Dlaczego redundancja nie pomogła?


Strefa dostępności (Availability Zone, AZ) to w AWS jeden lub więcej fizycznie oddalonych centrów danych z niezależnym zasilaniem i siecią. Usługi typu multi-AZ (np. S3 Standard) mają przeżyć pożar, powódź czy awarię jednego budynku. Ale nie były projektowane na wypadek wojny, czyli sytuacji w której wszystkie trzy AZ danego regionu zostają trafione w ciągu kilku miesięcy.

Teoretycznie nic by się nie stało, gdyby po pierwszym ataku, klienci zmigrowali poza swój region. Ale AWS nie replikuje danych klienta poza region bez wyraźnej zgody klienta. A o te zgody czasem ciężko z powodu …lokalnego prawa, tj. przepisów o lokalizacji danych (data residency). Przykładowo: w ZEA dane sektora zdrowia muszą pozostać w kraju, a wywóz grozi karą rzędu 100-200 tys. USD. Znana jest nam też historia jednej z firm, która po utracie pierwszej strefy chiała proaktywnie przenieść dane swoich klientów do innych regionów, ale dział prawny to zablokował, bo nawet szyfrowane kopie bez kluczy były prawnie niedozwolone. Czyli jak zwykle, znowu wina prawników ;)

Klasyczna zasada 3-2-1 (trzy kopie danych, dwa różne nośniki, jedna kopia poza siedzibą) w chmurze oznacza dziś backup w innym regionie, a najlepiej u innego dostawcy lub offline. Replikacja w obrębie jednego regionu, nawet w trzech strefach, to — jak widać w przypadku AWS — nadal ryzyko.

Internet heheszkuje


Internety szydzą sobie teraz z Amazona, bo kilka lat temu przedstawiciel AWS w wywiadzie telewizyjnym powiedział, że usługi AWS są tak odporne na awarie, że nawet gdyby ktoś wysadził w powietrze jedną serwerownię, to klienci niczego by nie odczuli. Żarty kręcą się też wokół obietnicy 11 dziewiątek trwałości S3 (99,999999999% szans, że obiekt przetrwa rok) — internauci dopowiadają “ale nie dotyczy to sytuacji wojen wywołanych przez USA”.

Chmurę da się zestrzelić

Nie brakuje też opinii, że mityczna chmura to jednak wcale nie fruwa nad ziemią, a jest fizycznym punktem na mapie. Punktem do którego mogą dolecieć pociski manewrujące. I dopiero wtedy chmura “wędruje do nieba”.

To dobry moment, aby przejrzeć własne plany DR: gdzie fizycznie leżą wasze backupy?

]]> 15