Zostawmy na chwilę to, dlaczego Fakturownia nie poinformowała swoich klientów o możliwej kradzieży ich danych — incydent jest bardzo świeży i być może spółka wciąż jest na etapie przygotowywania takiego mailingu. Popatrzmy na to, co się stało:

W skrócie:

• Atak wykryto 28 września 2026r.
• Wykradzione mogły zostać dane kont wszystkich użytkowników Fakturowni, dane wszystkich kontrahentów danego klienta oraz faktur wystawionych w Fakturowni przed 2023 rokiem, ale skala nie jest jeszcze w pełni ustalona.
• Atakujący pozyskał informacje o rachunkach bankowych, dane o płatnościach (cokolwiek to znaczy — dop. red.) i częściowe dane z faktur (nie wskazano o jakie części chodzi — dop. red), a także klucze i hasła systemowe aplikacji (nie wskazano o jakie klucze ani hasła systemowe chodzi –dop. red.).
• Nie pozyskano danych dot. integracji z KSeF i innych integracji oraz danych kart płatniczych (ale jednak spółka wymaga zmiany kluczy API, które właśnie do integracji służą… — dop. red.)

Co ciekawe — i dziwne — spółka dalej w oświadczeniu informuje, że atakujący mógł także wykraść skróty haseł, tokeny sesji i tokeny API/integracji — ale użytkownikom unieważniła tylko tokeny API.

Spółkę trzeba pochwalić za sprawne przygotowanie oświadczenia, ale ciężko oprzeć się wrażeniu, że wdarło się do niego trochę chaosu, co w takim przypadku nie jest pożądane i może powodować dezinformacje. Aby doprecyzować te niejasności zadaliśmy Fakturowni pytania o ten incydent. Jeśli otrzymamy odpowiedzi, zaktualizujemy ten artykuł.

Jak informuje Zaufana Trzecia Strona, do ataku miała przyznać się ta sama grupa, która jest odpowiedzialna za ataki na oprogramowanie medyczne MyDr, a wektorem ataku miała być “wyrocznia czasowa do wyciągnięcia klucza głównego (master key) Ruby, a następnie sfałszowania za jego pomocą ciasteczka, dzięki któremu osiągnął zdalne wykonanie kodu na serwerze.”

Grupa fingerprint ma już na swoim koncie udane ataki na firmy: MyDr, Medyc, Enel-Med, a teraz doszła Fakturownia. I można podejrzewać, że nie jest to ostatnia ofiara.

Trzeba przyznać, że strategia brania na celownik polskich dostawców oprogramowania SaaS — w tym zwłaszcza dla usług medycznych i firm — jest strategią wybitnie bolesną dla obywateli. Oba typy oprogramowania są niemal idealnym celem: atakuje się raz, a ma się dane milionów Polaków. Bo zarówno do lekarza chodzi każdy, jak i każdy faktury dostaje.

Korzystam z Fakturowni — co robić, jak żyć?

Jak zwykle, sugerujemy założyć najgorsze, tj. że atakujący pozyskał wszystkie dane, które umieściliście na koncie w Fakturowni. W związku z tym dobrym pomysłem będzie:

1. Zmienić hasło do konta (i każdego miejsca, gdzie było ono takie samo lub podobne)
2. Włączyć dwuskładnikowe uwierzytelnienie
3. Wylogować się aby unieważnić token sesyjny
4. Zweryfikować numer rachunku bankowego — czy atakujący go Wam nie podmienił na swój.
5. Zweryfikować listę użytkowników, którzy mają dostęp do Waszego konta
6. Zrotować klucze API, jeśli korzystaliście z Fakturowni z poziomu innego systemu

Jeśli ufać zapewnienim Fakturowni, nie ma potrzeby aby wykonać rotację certyfikatów w KSeF, ale pewnie nie zaszkodzi to zrobić.

Wały na krypto nie zawsze są kreatywne

Sposobów wykradania kryptowalut jest sporo, ale chyba pierwszy raz mamy do czynienia z połączeniem hajpu na AI i atakiem na wanna-be vibecoderów który kończy się zuchwałą kradzieżą kryptowalut. W tym ataku nie było phishingowego linku, fałszywej domeny ani podejrzanej prośby o zatwierdzenie uprawnienia. Praktycznie wszystkie kroki “poradnika” są legitne, a ofiara używa prawdziwego portfela, wdraża kontrakt i podpisuje transakcje sama. Tylko jeden krok powoduje tragedię — tutorial kieruje ofiary do strony udającej popularne narzędzie Remix. Efekt? Wklejony przez użytkownika kod jest “po cichu” ignorowany, a skrypt w tle uruchamia zupełnie inny kontrakt pobrany z serwera oszustów. To co widzi użytkownik na ekranie (i to czego się spodziewa) nigdy nie trafia na blockchain. A to co trafia, po uruchomieniu okrada właściciela z kryptowaluty ETH.

Kampania była koordynowana, nie incydentalna

Atak opisała firma TRM Labs, która zidentyfikowała 9 niemal identycznych poradników, publikowanych na różnych kanałach jako dzieła “niezależnych twórców”. Scenariusze były niemal identyczne, instrukcje na ekranie szły w tej samej kolejności, a niektóre filmy pokazywały te same zyski co do grosza, w tym obietnicę zwrotu 1 ETH co 20 godzin.

Mediana straty to 1 ETH, zgodnie z instrukcjami tutorialów, które kazały zasilić “bota” 1-2 ETH kapitału na start. Kradzieże trwały od 12 lutego do 11 sierpnia 2026 roku, a skradzione środki wędrowały wyłącznie przez zdecentralizowaną infrastrukturę: wymiany na DAI, mostki i mikser, bez żadnej scentralizowanej giełdy na trasie.

Ofiary okradano podwójnie

Ale to nie koniec! Gdy po wypłacie środków ofiara była zdezorientowana, i jeszcze nie w pełni świadoma, że została okradziona, pokazywano jej sfabrykowany komunikat błędu: “ERROR: Arbitrage stuck”. Proszono o dodanie 50% pierwotnej kwoty (maksymalnie 1 ETH), jako tzw. “gazu”, i uruchomienie kontraktu ponownie. Komunikat oczywiście był fałszywy i miał na celu wymusić kolejny przelew do oszustów.

Ten atak prowadzi do dwóch wniosków:

• Zabawa w kryptowaluty wymaga wiedzy i nie jest dla leszczy. Chciwość i chęć szybkiego zysku, jeśli ktoś nie rozumie technologii z której korzysta dany projekt, może prowadzić do bolesnych strat.
• Vibecoding — choć z definicji jest w zasadzie dla każdego — to tworzenie z AI narzędzi do zarabiania pieniędzy nie jest najlepszym pomysłem. Świadomość tego jak działa kod i jakie ryzyko jest związane z błędną instrukcją to niestety coś, czego wielu osobom brakuje.

Jakbyście chcieli zacząć swoją przygodę z tworzeniem aplikacji z AI, nawet jak nie potraficie programować, to sugerujemy start z naszym poradnikiem dotyczącym vibecodingu — pokazujemy jak rozpocząć tworzenie apek i serwisów za pomocą popularnych narzędzi do vibecodingu, ale z głową i przede wszystkim — z zachowaniem bezpieczeństwa. Mówimy też czego lepiej nie tworzyć, bo nie ma to sensu — dzięki czemu oszczędzicie nie tylko czas, ale i pieniądze wydane na tokeny :)

Pierwszy meldunek (Szyfr ADFGVX)

Pierwszy z niemieckich meldunków radiowych odczytanych przez model OpenAI został nadany 27 listopada 1918 roku i był zaszyfrowany metodą ADFGVX.

To jaka była ta nowatorska metoda, na którą wpadła sztuczna inteligencja, a nie ludzie?

AI sprawdziło znany klucz, którego nikt wcześniej nie sprawdził

Astra posłużyła się słowem TRUPPENVERSCHIEBUNG (“przemieszczenie wojsk”), jawnie znanym, bo odnotowanym na stronach 214-215 monografii J. Rivesa Childsa o niemieckich szyfrach wojskowych z lat 1914-1918. Problem w tym, że przyjmowano, iż ten klucz obowiązywał dopiero od 9 grudnia 1918 roku, a meldunek nadano 27 listopada, więc badacze do tej pory prawdopodobnie odrzucali ten klucz bez testowania. Model po prostu sprawdził hipotezę, że radiotelegrafista użył klucza “za wcześnie”.

Wynik:

“EIN ENGLISCHER KREUZER EINLIEG X SEWASTOPOL X S4STEN X EIN GESCHWADER DER X ALLIIERTEN FOLGT 26STEN X” — czyli informacja o przypłynięciu angielskiego krążownika do Sewastopolu “24-tego” (jedna cyfra nieczytelna) i o nadciągającym 26-tego eskadronie aliantów.

Astra po dekryptażu sama zweryfikowała treść: w dziennikach okrętowych Royal Navy potwierdzono, że HMS Canterbury wszedł do Sewastopolu 24 listopada 1918 roku, a eskadra aliancka dzień później. Daty się zgadzają.

Drugi meldunek z brakującymi znakami

Drugi meldunek “RICHI-240”, miał w sygnaturze 240 znaków, a zawierał tylko 220 i nie wiadomo było, co stało się z 20. Brakujące 20 znaków w szyfrze przestawieniowym to koszmar — niewiadomo, gdzie je wstawić. Ponieważ po zaszyfrowaniu kolejność znaków i tak jest mieszana kluczem, to wstawienie ich w złym miejscu powoduje śmieciowy wynik. Astra testowała różne warianty i oceniała wyniki pod kątem wzorców typowych dla j. niemieckiego, aż wyszedł spójny tekst. Trzy nieczytelne cyfry ustalono dopiero, porównując treść z francuskim telegramem wywiadowczym z 11 listopada 1918 roku oraz z historią serbskiego Vršac, zajętego przez Serbów 10 listopada.

Model potrzebował kilku informacji: co to za szyfr? jaki był klucz? plus zewnętrznych źródeł historycznych, więc przestrzeń poszukiwań była wąska.

To nie cud, ale i tak warto odnotować ten sukces

Po odszyfrowaniu meldunków — kiedy wiemy już jak to zrobić — jest jasne, że wystarczająco zmotywowany białkowy analityk mógłby zrobić to samo. No ale tego nie zrobił. Warto też zauważyć, że nie znamy pełnych promptów, kosztu pracy modelu i skali udziału człowieka w tym sukcesie, więc raczej LLM pomógł odszyfrować niż odszyfrował (sam).

To nie atak na AES czy dowód istnienie AGI, a po prostu przydatne użycie narzędzia. I smutne dla paranoików przypomnienie: warto zapisywać niezłamane wiadomości, bo po latach może się je udać złamać. Ale przecież nikt nie nagrywa zaszyfrowanej komunikacji dzisiejszego internetu na zaś, prawda? PRAWDA?!

Na koniec przypomnijmy, że czytelnicy Niebezpiecznika rozgryzali kartkę z Archiwum Państwowego w Lublinie, a FBI prosiło o pomoc w sprawie notatek zamordowanego Ricky’ego McCormicka (są na pozycji 10. tej samej listy Schmeha co opisywane wyżej niemieckie meldunki).

Powyższa ilustracja została syntetycznie wygenerowana z wykorzystaniem sieci neuronowej podczas procesu inferencji modelu generatywnego typu text-to-image

O sprawie poinformowały dzienniki “The Telegraph” i “Financial Times“, dzięki którym wiadomo, że obiekt został wyłączony na cztery dni w lipcu. FT, powołując się na dwóch przedstawicieli branży energetycznej, podał, że chodziło o małą gazową elektrownię szczytową, uruchamianą dopiero przy zwiększonym zapotrzebowaniu na energię. Tego rodzaju obiekty mają zwykle około 15MW, są podłączone do lokalnych sieci dystrybucyjnych i zazwyczaj nie mają stałej obsady. Obiekt, wg ekspertów nieistotny i poniżej progu mocy, który wprowadza większe wymagania dot. cyberbezpieczeństwa. Mimo to, właściciela ani lokalizacji obiektu nie ujawniono. Nie ma też żadnego jawnego raportu technicznego opisującego wektora ataku ani IoC.

Czy to na pewno Iran?

Co powinny sprawdzić firmy z OT?

• usunąć dostęp z internetu do PLC, HMI i SCADA
• wprowadzić jump hosty do zdalnego serwisu/prac z odpowiednią konfiguracją VPN i MFA oraz unikatowymi kontami
• odseparować sieć OT od IT i ograniczyć ruch do niezbędnych połączeń oraz monitorować zmiany w pracy sterowników;
• posiadać gotowe do odtworzenia (sprawdzone) backupy konifiguracji oraz przećwiczyć ich restore
• sprawdzić swoją infrastrukturę pod kątem znanych IoC

Chociaż incydent nie zakończył się blackoutem: nikt nie stracił prądu, a sieć nie była zagrożona, to cyberatak mimo wszystko zatrzymał jedno ze źródeł energii. Może kiedyś dowiemy się w jaki sposób. Pozostaje mieć nadzieję, że generujące większą moc obiekty są lepiej zabezpieczone przed takimi wektorami ataku.

Powyższa ilustracja została syntetycznie wygenerowana z wykorzystaniem sieci neuronowej podczas procesu inferencji modelu generatywnego typu text-to-image

Ale jak to działa?

99,5% skuteczność

Eksperyment korzystał z dwóch routerów TP-Link Archer BE800, kart Intel AX210, pasma 6 GHz i sztucznie generowanego ruchu 200 Mb/s, aby maksymalizować liczbę raportów BFI.System radził sobie kiedy ludzi wyposażono w plecaki, skrzynki, albo kiedy szybciej chodzili, ale po zmianie kąta analizy (tj. gdy model uczono na sygnale z jednej perspektywy, a testowano na innej,) skuteczność spadała do 5%. To oznacza, że Wi-Fi raczej nie jest wybitnie dobrą metodą na identyfikację konkretnych ludzi.

Mam Wi-Fi — co robić, jak żyć?

Problem zostałby wyeliminowany, gdyby raporty BFI były szyfrowane, ale do tego potrzeba zmiany standardu i założenia, że wszyscy korzystają z sieci Wi-Fi najnowszego standardu. A jak wiemy po liczbie sieci 2,4GHz wciąż śmigających na WEP, kompatybilność wsteczna ze starszym sprzętem ma się dobrze i nigdzie się nie wybiera. Co gorsza, nawet założenie płaszczyka z folii ameliniowej nic tu nie pomoże, a nawet może pogorszyć sytuację :)

Na pocieszenie można powiedzieć, że skoro jest technologia do lokalizowania człowieka na danym obszarze na podstawie charakterystyki bicia jego serca, to sieci Wi-Fi są najmniejszym problemem w tym temacie. Wszystkich, którzy chcą lepiej zrozumieć jak działa “komunikacja radiowa” i jak łatwo dziś można “hackować protokoły radiowe” zapraszamy do lektury tego artykułu.