Niebezpiecznik.pl (tylko główna)

Wakacje.pl zhackowane – pozyskano dane paszportowe Polaków

2026-10-03T20:12:30Z

Ktoś włamał się do systemu służącego do obsługi klientów Wakacje.pl oraz do kilku skrzynek pocztowych pracowników Wakacje.pl. Atakujący pozyskali dane osobowe klientów (w tym dane paszportowe) Wakacje.pl, dlatego spółka ostrzega, aby uważać na fałszywe “wiadomości z prośbą o płatność” i sugeruje zastrzeżenie paszportu.

Do ataku doszło 29 września, a wśród danych, które zostały pozyskane, znajdują się:

dane paszportowe,
numery telefonów,
adresy zamieszkania,
adresy e-mail,
imiona i nazwiska,
daty urodzenia,

W wiadomości do klientów Wakacje.pl, które przekazali nam nasi Czytelnicy, nie ma informacji co dokładnie oznaczają dane paszportowe. Czy jest to tylko numer paszportu czy skan paszportu? Nie ma też informacji ilu osób dotyczy incydent. Domyślamy się, że gdyby był to sam numer, to wtedy spółka nie użyłaby sformułowania “dane paszportowe” — no ale trzeba poczekać na wyjaśnienia — dlatego skierowaliśmy do Wakacje.pl pytania — kiedy otrzymamy odpowiedzi, zaktualizujemy ten artykuł.

I wiemy co myślicie, ale nie — za tym atakiem nie stoi “Fingerprint”, który w ostatnich tygodniach włamał się do MyDr, Medoc i Fakturownia.pl. Ten włamywacz potwierdził to w rozmowie z nami i podkreślił, że nie zamierza więcej atakować żadnych polskich firm.

Korzystałem z Wakacje.pl — co robić, jak żyć?

Jak w przypadku każdego wycieku danych, zastanów się jakie informacje ma o tobie zaatakowany podmiot. A następnie te które możesz zmień, unieważnij, zastrzeż. I bądź wyczulony na różne próby kontaktu związane z kupowanymi na Wakacje.pl wycieczkami. Przestępcy mogą użyć wykradzionych danych do uwierzytelnienia się jako hotel, operator wycieczki, itp. aby zdobyć od Ciebie dodatkowe dane, np. skany dokumentów lub wprost — pieniądze.

Dane wyciekały, wyciekają i wyciekać będą. Jak nie z jednego sklepu to z drugiego. O tym jak chronić się przed wyciekami danych (tymi, które już nastąpiły i tymi które niebawem nastąpią) oraz o tym jak sprawdzić, co w internecie krąży na nasz temat informowaliśmy w tym nagraniu, pokazując dziesiątki narzędzi, które mogą zminimalizować negatywne skutki wycieku naszych danych. Dziś, tylko do końca dnia z hasłem ODPOCZYNEK możecie uzyskać dostęp do tego nagrania za 50% ceny — na obejrzenie macie 30 dni, więc na pewno zdążycie. Tutaj link bezpośrednio do koszyka.

Samuraj i niewidzialna pieczęć. Jak wygląda druk i skanowanie w architekturze, która nie ufa nikomu  

2026-10-02T16:52:44Z

W poprzednich częściach naszej sagi Samuraj zamykał kolejne luki w twierdzy. Najpierw utwardził urządzenia pozostawione w stanie fabrycznym. Potem objął je nadzorem zgodnym z wymaganiami NIS2 i DORA. Następnie uporządkował komunikację i zarządzanie flotą zgodnie z zasadami Zero Trust.

To jednak dopiero połowa drogi – bo nawet najlepiej zabezpieczona infrastruktura nie odpowiada na jedno podstawowe pytanie: Co dzieje się z dokumentem od momentu kliknięcia przycisku „Drukuj”, aż do chwili, gdy trafia on do rąk użytkownika lub wraca do organizacji jako zeskanowany dokument?

SPIS TREŚCI

Jeden dokument, wiele zagrożeń
Niewidzialna pieczęć: tożsamość, chmura i wydruk podążający
Tożsamość jako wspólny język systemów
Twierdza bez otwartych bram
Karta, PIN, telefon, czyli kto naprawdę stoi przy urządzeniu
Druk w świecie Microsoft 365
Skanowanie: powrót dokumentu do formy cyfrowej
Lokalizacja jako polityka, nie wyjątek
Podsumowanie: tożsamość jako podstawa bezpieczeństwa

Nie masz czasu na lekturę całości artykułu? Zacznij od filmu! Zobacz, jak patrzymy na to zagadnienie, a po konkrety i przykłady — kontynuuj lekturę artykułu:

Jeden dokument, wiele zagrożeń

Wyobraźmy sobie zwykły dzień pracy. Specjalista w dziale finansowym tworzy raport. Dokument przez chwilę istnieje wyłącznie w aplikacji. Za chwilę ma zostać wydrukowany, podpisany, zeskanowany i trafić do dalszego obiegu.

– Brzmi banalnie – jak codzienna rutynowa czynność – ale z punktu widzenia bezpieczeństwa IT składa się z wielu odrębnych etapów: stworzenia dokumentu, wysłania go do wydruku, przechowania zadania, uwierzytelnienia użytkownika, wydruku, odbioru dokumentu, ponownego zeskanowania, zapisania pliku w systemie organizacji. Potencjalnie na każdym z tych etapów można utracić kontrolę nad dokumentem. Dlatego dojrzałe środowiska biurowe nie traktują momentu wysłania dokumentu na drukarkę jako końca procesu, tylko jako jeden z jego elementów – mówi Przemysław Kalinowski, Specjalista ds. wsparcia urządzeń Office, DKS.

To wymaga wprowadzenia zabezpieczeń nie tylko na poziomie całej infrastruktury, ale też każdego pojedynczego dokumentu.

Niewidzialna pieczęć: tożsamość, chmura i wydruk podążający

Dawniej autentyczność i pochodzenie dokumentu potwierdzała fizyczna pieczęć. Była widocznym znakiem wskazującym, kto odpowiada za jego treść i skąd pochodzi. W nowoczesnym środowisku pracy tę rolę przejmuje tożsamość użytkownika. To ona staje się swoistą „niewidzialną pieczęcią”, która towarzyszy dokumentowi na każdym etapie jego cyklu życia.

Aby to podejście mogło zaistnieć w praktyce, trzeba odejść od tradycyjnego myślenia o infrastrukturze druku, opierającego się na wielu elementach pośrednich, takich jak serwery wydruku, lokalne kolejki czy specjalne wyjątki w regułach sieciowych. Każdy z nich wymaga utrzymania, aktualizacji, monitorowania i odpowiedniego zabezpieczenia, a jednocześnie stanowi potencjalny punkt podatności na atak.

– W modelu chmurowym większość tych zależności znika. Zamiast rozbudowywać kolejne warstwy infrastruktury, organizacja może oprzeć proces drukowania na prostym, ale fundamentalnym założeniu: „Drukować może wyłącznie użytkownik, którego tożsamość została zweryfikowana” – dodaje Dariusz Szwed, ekspert Canon Polska w obszarze bezpieczeństwa danych.

Oznacza to, że zadanie wydruku nie jest przypisane do konkretnej drukarki, lecz pozostaje powiązane z użytkownikiem. Dokument trafia do bezpiecznej kolejki i zostaje zwolniony dopiero wtedy, gdy pracownik potwierdzi swoją tożsamość przy urządzeniu, na przykład za pomocą karty dostępowej, kodu PIN lub logowania.

Dzięki temu dokument nie czeka bez nadzoru na odbiór, a organizacja zachowuje kontrolę nad tym, kto, kiedy i gdzie uzyskał do niego dostęp. To rozwiązanie, znane jako wydruk podążający (follow-me printing), eliminuje jeden z najczęściej pomijanych obszarów ryzyka w środowiskach biurowych.

W praktyce mechanizmem, który spina to wszystko w jedną całość, jest uniFLOW Online – chmurowa platforma Canon do zarządzania drukiem i skanowaniem. To ona odpowiada za bezpieczną kolejkę, do której trafia dokument, oraz za jego zwolnienie dopiero po potwierdzeniu tożsamości przy urządzeniu. Innymi słowy, to uniFLOW Online nadaje „niewidzialnej pieczęci” konkretny, techniczny kształt.

Ponieważ jest to rozwiązanie w pełni chmurowe, organizacja nie musi utrzymywać własnych serwerów wydruku ani lokalnych kolejek w poszczególnych lokalizacjach – całym środowiskiem druku administrator zarządza z jednego miejsca, niezależnie od liczby oddziałów i urządzeń.

Brzmi prosto. I właśnie dlatego dobrze wpisuje się w filozofię Zero Trust, zgodnie z którą żadna osoba, urządzenie ani proces nie powinny być automatycznie traktowane jako godne zaufania.

Tożsamość jako wspólny język systemów

Jednym z najczęstszych problemów spotykanych przez administratorów jest nadmiar systemów przechowujących informacje o użytkownikach. Jedno konto istnieje w Active Directory, osobne w systemie HR, kolejne – w aplikacji do obiegu dokumentów. Jeszcze inne w systemie drukowania.

Dzięki integracji z dostawcą tożsamości, takim jak Microsoft EntraID, środowisko druku można potraktować jako część spójnego systemu.

Jeśli użytkownik traci uprawnienia, zmienia rolę albo opuszcza organizację, te same decyzje obejmują również procesy związane z dostępem do dokumentów i ich przetwarzaniem.

Samuraj nie biega po twierdzy, zamykając po kolei każdą bramę z osobna.
Kontroluje mechanizm, który w razie potrzeby zamyka wszystkie jednocześnie.

W praktyce takim mechanizmem może być nie tylko Entra ID. Organizacje korzystające z innych dostawców tożsamości mogą opierać się na standardach takich jak OpenID Connect czy WS-Federation. Chodzi przede wszystkim o to, by do istniejącego porządku bezpieczeństwa dołączyć system druku, zamiast tworzyć obok niego osobny byt.

Twierdza bez otwartych bram

W wielu środowiskach problem z zarządzaniem drukarkami zaczyna się od pozornie niewinnego zdania: „serwis musi mieć dostęp”. Potem pojawia się VPN, wyjątek w firewallu, dostęp do panelu WWW z określonej podsieci, itd.

– W modelu chmurowym sytuacja wygląda inaczej. Urządzenie nie oczekuje na połączenia przychodzące. Samo inicjuje połączenie wychodzące z usługą działającą w Azure, a dane są przesyłane zaszyfrowanym kanałem HTTPS/TLS – bez otwierania dodatkowych portów i wystawiania urządzenia na zewnątrz – komentuje Przemysław Kalinowski, Specjalista ds. wsparcia urządzeń Office, DKS.

Z perspektywy Zero Trust ma to ogromne znaczenie. Im mniejsza ekspozycja sieciowa, tym mniejsza powierzchnia ataku.

Karta, PIN, telefon – czyli kto naprawdę stoi przy urządzeniu

Dla Samuraja najgroźniejszym przeciwnikiem jest ten, kto podszywa się pod sojusznika, dlatego nie wystarczy ufać samej tożsamości w chmurze. Równie ważna jest weryfikacja użytkownika przy urządzeniu.

Najpopularniejszy scenariusz to karta zbliżeniowa – często ta sama, której pracownik używa, żeby wejść do biura. Proste, szybkie, znane. Ale Samuraj wie, że kierowanie się wyłącznie wygodą potrafi być zdradliwe.

Starsze karty zbliżeniowe, zwłaszcza standardy 125 kHz, mogą być podatne na klonowanie za pomocą tanich i powszechnie dostępnych narzędzi.

Samuraj zadałby sobie w takiej sytuacji proste pytanie: czy system rzeczywiście wie, że przy urządzeniu stoi Jan Kowalski, czy jedynie rozpoznaje kartę przypisaną do jego konta?

– Najprostszym sposobem ograniczenia ryzyka jest połączenie karty z PIN-em. Wtedy sklonowana karta bez drugiego składnika przestaje wystarczać. Bardziej zaawansowanym rozwiązaniem jest przejście na nowoczesne karty wykorzystujące silniejszą kryptografię lub zastąpienie ich telefonem pełniącym rolę mobilnego identyfikatora, np. z wykorzystaniem aplikacji Mobile Badge. – wyjaśnia Przemysław Kalinowski, ekspert DKS.

W praktyce chodzi o dobranie odpowiedniego poziomu zabezpieczeń. Inne zasady mogą obowiązywać w recepcji, w dziale prawnym, w finansach, centrali czy małym oddziale.

Zero Trust zakłada świadomą decyzję: kto, gdzie, w jaki sposób i do czego powinien mieć dostęp.

Weryfikacja przy urządzeniu zabezpiecza ostatni etap operacji. Równie ważne jest jednak to, jak zadanie trafia od użytkownika do drukarki.

Druk w świecie Microsoft 365

W środowiskach działających w oparciu o Microsoft 365 naturalnym elementem realizacji podejścia Zero Trust jest integracja uniFLOW Online z Universal Print, dzięki której kolejka druku przenosi się do chmury.

Z perspektywy użytkownika nie dzieje się nic spektakularnego. Nadal wybiera drukarkę i klika „drukuj”. Natomiast z perspektywy IT zmienia się bardzo dużo: znika potrzeba utrzymywania serwerów wydruku, zarządzania sterownikami na stacjach roboczych, tworzenia wyjątków sieciowych.

Zadanie trafia do chmury i czeka przypisane do tożsamości użytkownika. Zostaje zwolnione dopiero po uwierzytelnieniu przy urządzeniu. Dokument nie istnieje fizycznie, dopóki właściwa osoba nie stanie przy wybranej drukarce i nie potwierdzi swojej tożsamości.

– To ważne także dlatego, że historia bezpieczeństwa druku ma swoje ciemne rozdziały. Podatności z rodziny PrintNightmare pokazały, jak ryzykowny może być świat klasycznych sterowników, instalowanych i aktualizowanych w środowisku Windows – dodaje Dariusz Szwed.

Dlatego kierunek wyznaczany przez Microsoft (w tym Windows Protected Print) i odejście od tradycyjnych sterowników na rzecz bardziej kontrolowanych, standardowych mechanizmów komunikacji, dobrze wpisuje się w filozofię ograniczania powierzchni ataku.

Skanowanie: powrót dokumentu do świata cyfrowego

W wielu organizacjach większym wyłomem w bezpieczeństwie nie jest druk, tylko skanowanie.

Jeżeli dokument trafia do przypadkowych folderów sieciowych lub skrzynek pocztowych, organizacja szybko traci nad nim kontrolę.

W środowisku uniFLOW Online skanowanie może zostać włączone w istniejący obieg dokumentów. Użytkownik po uwierzytelnieniu wybiera odpowiedni proces, a dokument trafia bezpośrednio do OneDrive, SharePointa, Teams, systemów workflow czy firmowych repozytoriów. Profile skanowania mogą być przypisane do ról. Użytkownik może uzupełnić metadane już na etapie skanowania. OCR może zamienić obraz w dokument, który da się przeszukiwać, a plik może od razu trafić do dalszego procesu: akceptacji, archiwizacji, księgowości, obiegu dokumentów.

Skan zostaje powiązany z użytkownikiem i procesem biznesowym, a jego pochodzenie, właściciela i historię można jednoznacznie ustalić.

Lokalizacja jako element polityki bezpieczeństwa

Stare myślenie o druku było ściśle związane z miejscem: konkretną drukarką, siecią, serwerem i konfiguracją komputera. Taki model coraz słabiej przystaje do pracy hybrydowej, w której użytkownicy korzystają z infrastruktury firmy z różnych lokalizacji.

uniFLOW Online wraz ze SmartClient pozwala uniezależnić proces drukowania od konkretnego miejsca. Użytkownik może zarządzać swoją kolejką w podobny sposób niezależnie od tego, czy pracuje w centrali, lokalnym oddziale, przestrzeni coworkingowej czy innej lokalizacji. System automatycznie dobiera właściwy routing, sposób komunikacji i obowiązujące reguły, a konfiguracja podąża za użytkownikiem – nie użytkownik za konfiguracją.

Jednocześnie lokalizacja może pozostać jednym z elementów kontekstu uwzględnianych przez politykę bezpieczeństwa. Poszczególne środowiska mogą działać według tych samych zasad albo otrzymać odmienne reguły dostępu i uwierzytelniania, profile skanowania, routing zadań czy poziomy zabezpieczeń. Niezależnie od lokalnych różnic, całość pozostaje zarządzana centralnie.

To trochę jak z kodeksem Samuraja: taktyka może zależeć od okoliczności, ale nadrzędne reguły pozostają niezmienne. Decyzje nie są dziełem przypadku, lecz wynikają z jasno określonej i konsekwentnie egzekwowanej polityki.

Na koniec: Samuraj nie ufa pozorom. Ufa zweryfikowanej tożsamości.

Największa zmiana nie dotyczy technologii. Dotyczy sposobu myślenia. Przez lata bezpieczeństwo budowano wokół sieci i urządzeń. Zero Trust odwraca tę logikę.

Tożsamość staje się nowym centrum systemu. Nie ma znaczenia, czy użytkownik pracuje w centrali, oddziale, domu czy u klienta. Nie ma też znaczenia, z której drukarki korzysta albo gdzie znajduje się urządzenie.

Większe znaczenie ma to:

Czy tożsamość użytkownika została wiarygodnie potwierdzona;
Czy użytkownik posiada uprawnienia do wykonania tej operacji;
Czy jej kontekst jest zgodny z polityką organizacji.

Jeżeli wszystkie warunki są spełnione, system zezwala na wykonanie operacji. Jeśli nie – odmawia dostępu.

Większość mechanizmów kontrolnych działa w tle, dlatego doświadczenie użytkownika pozostaje niemal niezmienne. Jednocześnie każda operacja podlega weryfikacji, obieg dokumentu pozostaje kontrolowany, a działania mogą zostać odtworzone w ramach audytu.

Bo dojrzałe bezpieczeństwo nie opiera się na domniemanym zaufaniu, lecz na konsekwentnej weryfikacji. W architekturze Zero Trust to zweryfikowana tożsamość wyznacza nową granicę bezpieczeństwa, a uniFLOW Online pozwala objąć tą zasadą codzienne drukowanie, skanowanie i kopiowanie.

Autorami niniejszego artykułu są:

Canon Polska
Producent i dostawca rozwiązań do druku i obiegu dokumentów, w których bezpieczeństwo jest elementem architektury, a nie dodatkiem.

Podejście to widać zarówno w zaawansowanych urządzeniach wielofunkcyjnych serii imageFORCE, tworzonych z myślą o środowiskach o podwyższonych wymaganiach bezpieczeństwa, jak i laserowych drukarkach Canon iSENSYS, które już w podstawowej konfiguracji oferują szyfrowanie danych, silne mechanizmy uwierzytelniania i nowoczesne standardy sieciowe.

DKS
Polska firma z ponad 30-letnim doświadczeniem. Specjalizuje się w obszarach druku i obiegu dokumentów, sprzętu komputerowego, rozwiązań dla poligrafii, druku wielkoformatowego oraz digitalizacji.

Wspiera firmy i instytucje na każdym etapie współpracy – od analizy potrzeb i doboru odpowiednich technologii, przez wdrożenie, po serwis i wsparcie techniczne.

www.dks.pl

Kolejny wyciek danych, tym razem 2 500 000 pacjentów

2026-10-03T20:13:17Z

FELG Dent, firma dostarczająca oprogramowanie do gabinetów stomatologicznych, została zhackowana. Tym razem za atakiem nie stoi Fingerprint (który ma na swoim koncie ataki na MyDr, Medyc i Fakturownię), a grupa, która nazywa się mianem “Horus”.

Atakujący przesłali do naszej redakcji następującą informację:

Jestesmy niezalezni nazywamy sie Horus pokazalismy slabosc kolejnego programu gabinetowego ktory odpowiadal za trzymanie danych polakow (…) w nasze rece wpadly nastepujace dane z felgdent[.]com:
2 400 000 pacjentów — PESEL, imię i nazwisko, adres, telefon, gabinet, NIP
712 000 personelu — imię i nazwisko, rola, gabinet, e-mail, awatar
1 200 000 recept — PESEL, dane osobowe, lek, odpłatność, lekarz wystawiający dokumentacja wizyt, e-ZLA, tabele eWUŚ, pliki i zdjęcia z paneli.
Pełna historia leczenia.

Ponizej dowod posiadania danych :x`
(Tu atakujący przesłali nam dane na temat kilku pacjentów, w tym osób o nazwisku Braun, Ibisz, Mentzen, Palikot oraz przykłady kilku recept na leki psychotropowe kolejnych pacjentów)

Wielu z lekarzy z specializacja stomatologiczna wystawialo recepty na leki psychtropowe/stymulanty jesli chcecie otrzymac ich liste i co przepisywali prosimy o kontakt udostepnimy te dane zeby mozna bylo pozbyc sie pseudo lekarzy ktorzy doprowadzaja do smierci ludzi

Atakujący twierdzą, że bazę danych pobrali 9 września wykorzystując podatność IDOR Cross Tenant PID enum i że (w przeciwieństwie do fingerprinta) szantażowali zaatakowaną firmę. Ponieważ nie otrzymali okupu, bazę zamierzają wystawić na sprzedaż za 100 000 PLN.

Atakujący przesłał nam poniższegeo screena i listę endpointów:

/pdf/payments/html/1/d/{token p=} dokumenty płatności pacjenta: dane osobowe + dane gabinetu
/prescription/get/patient/{pid} lista recept pacjenta

/prescription/view/html/1/id/{elid} pełny dokument recepty

/pdf/visits/html/1/id/{token p,l} dokumentacja wizyt

/ajax/ezla/patient/id/{pid} e-ZLA pacjenta

/pdf/payments/html/1/d/{token c=} katalog firm: nazwa, NIP, adres

/ajax/chat/profil/uid/{jid} profile personelu

/chat/avatar/jid/{uid} awatary personelu

/docs/get/id/{pid} drzewo plików pacjenta

/ajax/prescription/doctorget/patient/{uid} listy pacjentów lekarzy

/ewus/pdf/s/{tok}/html/1/listids/{ids} pełne PHI + tabele eWUŚ

Atakujący zaoferowali nam sprawdzenie numerów PESEL, ale żadne z kilku, które im podaliśmy nie figurowały w bazie. Nie przekazali też numerów telefonów do polityków, których dane nam przesłali, a więc weryfikacja tych rekordów nie mogła być przez nas potwierdzona. Ale…

FELG Dent potwierdził incydent

Zhackowany dostawca oprogramowania potwierdził incydent i żądanie okupu. W oświadczeniu na jego stronie czytamy, że wykradziona baza stanowi około 10% danych. Pojawia się też tam taka rada dla gabinetów stomatologicznych, które korzystały z oprogramowania FELG Dentu:

Co istotne, obecnie nie jesteśmy w stanie stwierdzić, czy incydent dotyczy danych osobowych powierzonych nam do przetwarzania z Państwa gabinetu. W związku z tym prosimy o niepodejmowanie żadnych kroków związanych ze zgłaszaniem naruszenia do PUODO do czasu formalnego potwierdzenia przez nas, że naruszenie dotyczy Państwa gabinetu.

Żeby było zabawniej, choć FELG Dent wspomina, że za atakiem stać ma “fingerprint”, to sam Fingerprint zaprzecza i… oferuje firmie darmową pomoc. Kino absolutne.

Byłem u dentysty — co robić, jak żyć?

Porady mamy dla Was te same, co w przypadku MyDr:

Wygląda na to, że tegoroczna jesień będzie wiązała się nie tylko z opadem liści, ale także opadem złudzeń, jeśli chodzi o bezpieczeństwo danych medycznych Polaków.

Aktualizacja (03.10.2026 14:45)
Grzegorz Stawarz, CEO firmy FELG Dent przekazał nam dodatkowe wyjaśnienia dotyczące incydentu, które stoją w kontrze do niektórych informacji przekazywanych przez włamywaczy:

Przytoczona w artykule liczba 712 000 osób personelu jest nieprawdziwa. W systemie FELG Dent nie ma tylu użytkowników — wskazana liczba kilkukrotnie przewyższa ich rzeczywistą liczbę. Wyjaśnienie to dotyczy personelu korzystającego z systemu, a nie liczby pacjentów.

Osoba kierująca do nas żądanie finansowe skontaktowała się z FELG Software 29 września 2026 r. Po tym kontakcie i próbie szantażu rozpoczęliśmy działania związane z incydentem. Nie potwierdzamy natomiast, że dane zostały pobrane 9 września. Jest to deklaracja anonimowych rozmówców, której prawdziwość wymaga weryfikacji w ramach analizy logów. Należy rozróżnić datę kontaktu z nami od deklarowanej daty pobrania danych.

Osoba kontaktująca się z nami posłużyła się nazwą „Fingerprint” w jednej z kolejnych wiadomości, a nie przy pierwszym kontakcie. Ta korespondencja była podstawą użycia przez nas tej nazwy. W komunikacji z FELG Software nadawca nigdy nie przedstawił się jako „Horus”. Nie mamy możliwości potwierdzenia tożsamości anonimowych rozmówców. Ani używane przez nich nazwy, ani późniejsze zaprzeczenia nie pozwalają jednoznacznie ustalić, kto odpowiada za incydent. Nie możemy wykluczyć dezinformacji, ale nie przesądzamy, czy do niej dochodzi. Nasze informacje opieramy na otrzymanej korespondencji.

FELG Software nie otrzymała żadnej oferty pomocy od osoby posługującej się nazwą „Fingerprint” ani od innych anonimowych osób występujących w tej sprawie. Ewentualne publiczne deklaracje należy odróżnić od oferty skierowanej bezpośrednio do nas. Przy wyjaśnianiu incydentu współpracujemy wyłącznie z właściwymi służbami państwowymi, naszym wewnętrznym zespołem oraz zewnętrzną firmą specjalizującą się w cyberbezpieczeństwie.

Dla uniknięcia dalszych nieporozumień wyjaśniamy, że pojawiająca się w innych doniesieniach prasowych informacja o żądaniu od FELG Software okupu w wysokości 100 000 zł jest nieprawdziwa.
W Państwa artykule kwota ta została wskazana jako deklarowana cena sprzedaży bazy — nie należy utożsamiać jej z żądaniem skierowanym do nas.

[AKTUALIZACJA 2] Fakturownia.pl zhackowana – wykradziono faktury i dane kontrahentów

2026-10-03T20:13:48Z

Dziś rano informowaliśmy, że Fakturownia rozesłała do swoich klientów e-maila z informacją, że “ze względów bezpieczeństwa” unieważni im klucze API. W tamtym e-mailu spółka nie poinformowała klientów o włamaniu i kradzieży danych, ale komunikat dotyczący incydentu bezpieczeństwa został przez spółkę umieszczony na stronie Fakturowni.

Zostawmy na chwilę to, dlaczego Fakturownia nie poinformowała swoich klientów o możliwej kradzieży ich danych — incydent jest bardzo świeży i być może spółka wciąż jest na etapie przygotowywania takiego mailingu. Popatrzmy na to, co się stało:

W skrócie:

Atak wykryto 28 września 2026r.
Wykradzione mogły zostać dane kont wszystkich użytkowników Fakturowni, dane wszystkich kontrahentów danego klienta oraz faktur wystawionych w Fakturowni przed 2023 rokiem, ale skala nie jest jeszcze w pełni ustalona.
Atakujący pozyskał informacje o rachunkach bankowych, dane o płatnościach (cokolwiek to znaczy — dop. red.) i częściowe dane z faktur (nie wskazano o jakie części chodzi — dop. red), a także klucze i hasła systemowe aplikacji (nie wskazano o jakie klucze ani hasła systemowe chodzi –dop. red.).
Nie pozyskano danych dot. integracji z KSeF i innych integracji oraz danych kart płatniczych (ale jednak spółka wymaga zmiany kluczy API, które właśnie do integracji służą… — dop. red.)

Co ciekawe — i dziwne — spółka dalej w oświadczeniu informuje, że atakujący mógł także wykraść skróty haseł, tokeny sesji i tokeny API/integracji — ale użytkownikom unieważniła tylko tokeny API.

Spółkę trzeba pochwalić za sprawne przygotowanie oświadczenia, ale ciężko oprzeć się wrażeniu, że wdarło się do niego trochę chaosu, co w takim przypadku nie jest pożądane i może powodować dezinformacje. Aby doprecyzować te niejasności zadaliśmy Fakturowni pytania o ten incydent. Jeśli otrzymamy odpowiedzi, zaktualizujemy ten artykuł.

Jak informuje Zaufana Trzecia Strona, do ataku miała przyznać się ta sama grupa, która jest odpowiedzialna za ataki na oprogramowanie medyczne MyDr, a wektorem ataku miała być “wyrocznia czasowa do wyciągnięcia klucza głównego (master key) Ruby, a następnie sfałszowania za jego pomocą ciasteczka, dzięki któremu osiągnął zdalne wykonanie kodu na serwerze.”

Grupa fingerprint ma już na swoim koncie udane ataki na firmy: MyDr, Medyc, a teraz doszła Fakturownia. I można podejrzewać, że nie jest to ostatnia ofiara.

Trzeba przyznać, że strategia brania na celownik polskich dostawców oprogramowania SaaS — w tym zwłaszcza dla usług medycznych i firm — jest strategią wybitnie bolesną dla obywateli. Oba typy oprogramowania są niemal idealnym celem: atakuje się raz, a ma się dane milionów Polaków. Bo zarówno do lekarza chodzi każdy, jak i każdy faktury dostaje.

Korzystam z Fakturowni — co robić, jak żyć?

Jak zwykle, sugerujemy założyć najgorsze, tj. że atakujący pozyskał wszystkie dane, które umieściliście na koncie w Fakturowni. W związku z tym dobrym pomysłem będzie:

Zmienić hasło do konta (i każdego miejsca, gdzie było ono takie samo lub podobne)
Włączyć dwuskładnikowe uwierzytelnienie
Wylogować się aby unieważnić token sesyjny
Zweryfikować numer rachunku bankowego — czy atakujący go Wam nie podmienił na swój.
Zweryfikować listę użytkowników, którzy mają dostęp do Waszego konta
Zrotować klucze API, jeśli korzystaliście z Fakturowni z poziomu innego systemu

Jeśli ufać zapewnienim Fakturowni, nie ma potrzeby aby wykonać rotację certyfikatów w KSeF, ale pewnie nie zaszkodzi to zrobić.

Aktualizacja (30.09.2026 15:35)
Otrzymaliśmy od Fakturowni odpowiedzi na nasze pytania. Odpowiedzi udzielił CTO, Paweł Charyło. Publikujemy w całości poniżej:

1. Czy atakujący kontaktowali się z Fakturownią?

Nie kontaktowaliśmy się z atakującym.

2. Czy Fakturownia była szantażowana? Czy atakujący domagali się okupu?

Nie.

3. Dlaczego atakujący uzyskał dostęp tylko do danych sprzed 2023 roku? Czy były to kopie produkcji albo dane z dodatkowego systemu?

Atakujący został zablokowany zanim zdążył pobrać więcej danych. Nasza aktualna wiedza na podstawie analizy logów wskazuje, że atakujący pobrał mniej danych niż podaliśmy we wczorajszych komunikatach.
Atakujący uzyskał częściowy dostęp do danych:
– z faktur: utworzone do marca 2021,
– pozycji na fakturach: utworzone do czerwca 2019 roku
– kontrahentów: utworzone do 2024 roku.

4. Czy wiadomo, jaki błąd wykorzystał atakujący?

Tak, udało nam się ustalić, że atakujący znalazł i wykorzystał podatność w szablonach faktur, a następnie dziurę w bibliotece do generowania pdf-ów. Uzyskał w ten sposób klucz do podpisywania sesji. Natomiast znajomość tego klucza umożliwiła mu uzyskać dostęp do serwera.

Pełne szczegóły techniczne przekażemy CERT Polska i organom ścigania.

5. Dlaczego w e-mailach do klientów nie wspomnieliście o zakresie incydentu?

Pierwsza wiadomość, którą przekazaliśmy klientom dotyczyła pilnej wymiany tokenów API, tak aby jak najszybciej zabezpieczyć integracje klientów i dostęp do ich kont. Szczegółową informację o zakresie incydentu, jego skutkach i zalecanych działaniach przekazaliśmy Klientom w poniższym komunikacie: https://fakturownia.pl/incydent

6. Dlaczego nie wymuszacie zmiany hasła?

Hasła są przechowywane w postaci zahashowanej z solą . Zapobiegawczo unieważniliśmy wszystkie aktywne sesje i ograniczyliśmy dostęp api tokenami. W najbliższych dniach wymusimy zmianę hasła dla wszystkich użytkowników. Do tego czasu (zgodnie z tym co zawarliśmy w komunikacie) rekomendujemy zmianę hasła, szczególnie jeśli to samo hasło było używane w innych serwisach.

7. Czym dokładnie są „dane o płatnościach” i „częściowe dane z faktur”?

Dane o płatnościach to transakcje bankowe zaimportowane przez klientów: z plików wyciągów, z integracji bankowych oraz płatności automatycznych. Pełne faktury z pozycjami do ~2019, bez pozycji do ~2021 (zgodnie z 3.)

Aktualizacja (02.10.2026 10:20)
Niektórzy użytkownicy Fakturowni informują nas, że otrzymują wiadomości o następującej treści:

Szanowni Państwo,

z przykrością informujemy, że 28 września 2026 r. stwierdziliśmy naruszenie ochrony danych osobowych w serwisie Fakturownia.pl („Fakturownia”). Osoba nieuprawniona włamała się do naszych systemów i skopiowała dużą część bazy danych, w tym danych z Państwa konta.

Naruszenie obejmuje:

(a) Państwa dane osobowe, których administratorem jest Fakturownia – dane konta i jego użytkowników;
(b) dane osobowe Państwa kontrahentów i innych osób, które powierzyli Państwo Fakturowni do przetwarzania jako ich administrator – m.in. dane z faktur, kontrahentów i płatności.
Stosownie do Polityki Prywatności oraz Regulaminu powierzenia przetwarzania danych osobowych („Regulamin”) dane z lit. (a) są administrowane przez Fakturownię. Dane z lit. (b), wprowadzone przez Państwa do konta, są administrowane przez Państwa, a Fakturownia przetwarza je na Państwa polecenie.

W zakresie danych z lit. (a) ta wiadomość jest zawiadomieniem, o którym mowa w art. 34 RODO. W zakresie danych z lit. (b) jest zgłoszeniem naruszenia administratorowi na podstawie art. 33 ust. 2 RODO i §4 ust. 8 Regulaminu.

Informacje przekazujemy etapami (art. 33 ust. 4 RODO). W najbliższych dniach, w uzupełnieniu do niniejszego zawiadomienia oraz z uwagi na poufność danych Państwa klientów, uruchomimy na Państwa koncie w Fakturowni panel ze szczegółowymi informacjami dla Państwa konta: kategorie danych, zakresy dat i liczby rekordów. Panel udostępni też imienną listę osób objętych naruszeniem z proponowaną kategorią ryzyka oraz szkic zgłoszenia do Prezesa UODO; decyzja o zawiadomieniu kontrahentów i jej wykonanie należą do Państwa jako administratora.

Co się stało?

Osoba nieuprawniona uzyskała dostęp do naszych systemów i skopiowała dane z bazy danych na własne serwery.

• Nieuprawniony dostęp trwał od 27.09.2026, ok. godz. 3:20, do 28.09.2026, ok. godz. 17:45.
• Lukę usunęliśmy 28.09.2026 o godz. 18:01.
• Rodzaj naruszenia: naruszenie poufności danych (dane zostały skopiowane).
Jakie dane zostały pobrane?

Przy każdej kategorii wskazujemy, kto jest administratorem danych, i jakiego okresu dotyczy pobranie. (a) Fakturownia – dane konta i jego użytkowników, których administratorem jest Fakturownia. (b) Właściciel konta – dane kontrahentów i innych osób, które klient wprowadził do konta i powierzył Fakturowni do przetwarzania jako ich administrator.

Daty graniczne ustaliliśmy z dzienników zapytań bazy danych; mogą się różnić o kilkanaście dni. Pobieranie największych zbiorów szło od najstarszych rekordów i zostało przerwane, zanim dotarło do nowszych. Dla faktur wystawionych od 22.03.2021 nie pobrano nazwy nabywcy ani numeru faktury.

Czego nie pobrano i co jeszcze ustalamy?

Nie zostały pobrane:

• certyfikaty KSeF;
• dane logowania do banków – Fakturownia ich nie przechowuje;
• dane kart płatniczych – Fakturownia ich nie przechowuje;
• dane przechowywane w ramach integracji konfigurowanych w zakładce Integracje i dodatki;
• treść faktur wystawionych od 22.03.2021 – poza kwotami, dodatkowymi polami opisowymi i danymi dodatkowych stron;
• dane kontrahentów dodane od 16.10.2024.
Według naszej wiedzy dane objęte naruszeniem nie zostały dotychczas upublicznione; monitorujemy to wspólnie z CERT Polska.

Możliwe konsekwencje i co mogą Państwo zrobić – Państwa dane (lit. a)

Opisujemy możliwe następstwa. Nie oznacza to, że już wystąpiły.

Jeżeli podejrzewają Państwo oszustwo lub nieuprawniony przelew, prosimy niezwłocznie skontaktować się z bankiem. W przypadku podejrzenia popełnienia przestępstwa należy zawiadomić Policję i zachować wiadomości oraz inne dowody. Prosimy także poinformować nas o próbie wykorzystania danych objętych naruszeniem.

Możliwe konsekwencje dla osób trzecich – dane powierzone (lit. b)

Jako administrator tych danych oceniają Państwo ryzyko i decydują, czy i jak zawiadomić osoby, których dane dotyczą. Poniżej wskazujemy zagrożenia, które widzimy, i działania, które mogą Państwo rozważyć.

Dla danych, których administratorem jest Fakturownia, oceniliśmy ryzyko jako wysokie: zakres danych jest szeroki, a liczba osób bardzo duża. Może to być dla Państwa punkt odniesienia przy ocenie ryzyka dla danych z lit. (b).

Termin 72 godzin na zgłoszenie do Prezesa UODO biegnie od stwierdzenia naruszenia. Według wytycznych EROD 9/2022 (pkt 44) administrator co do zasady stwierdza naruszenie, gdy poinformuje go podmiot przetwarzający. Jeżeli jednak już wcześniej uzyskali Państwo dostateczną pewność co do incydentu (np. z naszego komunikatu z 29.09.2026), termin mógł zacząć biec wcześniej. Zalecamy odnotowanie daty i godziny otrzymania tej wiadomości w Państwa dokumentacji naruszenia.

Nie muszą Państwo czekać na udostępnienie panelu ze szczegółowymi informacjami na koncie w Fakturowni: zgłoszenie wstępne można złożyć na podstawie tej wiadomości i uzupełnić później (art. 33 ust. 4 RODO).

Działania podjęte przez nas

• 28.09.2026, 13:35 – pierwsza blokada adresu atakującego;
• 28.09.2026, 18:01 – usunięcie luki w aplikacji;
• 28.09.2026, 18:56-20:14 – zmiana kluczy aplikacji i haseł usług;
• 28.09.2026, 20:44-21:51 – przeniesienie ruchu na nowe serwery zbudowane od zera, wyłączenie starych, dezaktywacja wykradzionych kluczy;
• 28.09.2026, 23:10 – czasowa blokada panelu klienta;
• 28.09.2026, 23:50 – 29.09.2026, 4:03 – wymiana tokenów API klientów;
• 29.09.2026, 2:35 – dodatkowe zabezpieczenia generatora plików PDF;
• 29.09.2026 – zgłoszenie naruszenia Prezesowi Urzędu Ochrony Danych Osobowych oraz zgłoszenie incydentu CERT Polska i Policji (CBZC);
• 29.09.2026 – poinformowanie Inspektora Ochrony Danych i ocena ryzyka dla osób fizycznych;
• 01.10.2026 – rozpoczęcie wysyłki indywidualnych zawiadomień e-mail do właścicieli kont i użytkowników.
Co dalej?

• W najbliższych dniach udostępnimy na Państwa koncie w Fakturowni informację o zakresie danych pobranych z Państwa konta.
• Bieżące ustalenia publikujemy na stronie fakturownia.pl/incydent (prosimy wpisać adres samodzielnie w przeglądarce).
Jak rozpoznać naszą wiadomość?

Ta wiadomość nie zawiera załączników i nie wymaga logowania. Nie prosimy o hasła, kody weryfikacyjne, kody BLIK ani dane kart. Wiadomości w tej sprawie wysyłamy wyłącznie z domeny fakturownia.pl.

Więcej informacji

W sprawie incydentu prosimy o kontakt:

• Inspektor Ochrony Danych: iod@fakturownia.pl
• Fakturownia sp. z o.o.: telefon +48 22 398 7771; adres korespondencyjny: ul. Juliana Smulikowskiego 6/8, 00-389 Warszawa
• Zapytania administratorów danych: https://app.fakturownia.pl/goto/helpdesk
Przepraszamy za tę sytuację.

Z poważaniem
Fakturownia sp. z o.o.

Obejrzeli poradnik na YouTube, zostali “zainfekowani” i stracili kryptowaluty…

2026-09-21T17:23:10Z

Na YouTube pojawiła się seria poradników obiecujących, że każdy, nawet bez doświadczenia w programowaniu, zbuduje z pomocą AI (chodził o Claude’a) “w pełni autonomicznego bota do handlu kryptowalutami”. Widzowie kopiowali pokazywany kod, budowali bota, ale w rzeczywistości bot działał inaczej niż obiecywał poradnik — stawał się tzw. drainerem i realizował kontrakt zaprojektowany wyłącznie do przekazywania kryptowalut z portfela ofiary na adresy przestępców. W sumie aż 224 portfele (należące do oszukanych) straciły 274,6 ETH, czyli prawie 2 000 000 złotych.

Wały na krypto nie zawsze są kreatywne

Sposobów wykradania kryptowalut jest sporo, ale chyba pierwszy raz mamy do czynienia z połączeniem hajpu na AI i atakiem na wanna-be vibecoderów który kończy się zuchwałą kradzieżą kryptowalut. W tym ataku nie było phishingowego linku, fałszywej domeny ani podejrzanej prośby o zatwierdzenie uprawnienia. Praktycznie wszystkie kroki “poradnika” są legitne, a ofiara używa prawdziwego portfela, wdraża kontrakt i podpisuje transakcje sama. Tylko jeden krok powoduje tragedię — tutorial kieruje ofiary do strony udającej popularne narzędzie Remix. Efekt? Wklejony przez użytkownika kod jest “po cichu” ignorowany, a skrypt w tle uruchamia zupełnie inny kontrakt pobrany z serwera oszustów. To co widzi użytkownik na ekranie (i to czego się spodziewa) nigdy nie trafia na blockchain. A to co trafia, po uruchomieniu okrada właściciela z kryptowaluty ETH.

Kampania była koordynowana, nie incydentalna

Atak opisała firma TRM Labs, która zidentyfikowała 9 niemal identycznych poradników, publikowanych na różnych kanałach jako dzieła “niezależnych twórców”. Scenariusze były niemal identyczne, instrukcje na ekranie szły w tej samej kolejności, a niektóre filmy pokazywały te same zyski co do grosza, w tym obietnicę zwrotu 1 ETH co 20 godzin.

Tak, dobrze myślicie: prezenterzy i głosy były generowane przez AI, a komentarze pod filmami zawierały sfabrykowane opinie zadowolonych użytkowników. To akurat już element wspólny wielu kryptowałów. Wykorzystywany przez oszustów Claude nie pełnił oczywiście w tym ataku żadnej roli technicznej — oszuści po prostu wykorzystali popularność narzędzia od Anthropic. Co ciekawe, istniała też wersja która używała narzędzi OpenAI.

Mediana straty to 1 ETH, zgodnie z instrukcjami tutorialów, które kazały zasilić “bota” 1-2 ETH kapitału na start. Kradzieże trwały od 12 lutego do 11 sierpnia 2026 roku, a skradzione środki wędrowały wyłącznie przez zdecentralizowaną infrastrukturę: wymiany na DAI, mostki i mikser, bez żadnej scentralizowanej giełdy na trasie.

Ofiary okradano podwójnie

Ale to nie koniec! Gdy po wypłacie środków ofiara była zdezorientowana, i jeszcze nie w pełni świadoma, że została okradziona, pokazywano jej sfabrykowany komunikat błędu: “ERROR: Arbitrage stuck”. Proszono o dodanie 50% pierwotnej kwoty (maksymalnie 1 ETH), jako tzw. “gazu”, i uruchomienie kontraktu ponownie. Komunikat oczywiście był fałszywy i miał na celu wymusić kolejny przelew do oszustów.

Ten atak prowadzi do dwóch wniosków:

Zabawa w kryptowaluty wymaga wiedzy i nie jest dla leszczy. Chciwość i chęć szybkiego zysku, jeśli ktoś nie rozumie technologii z której korzysta dany projekt, może prowadzić do bolesnych strat.
Vibecoding — choć z definicji jest w zasadzie dla każdego — to tworzenie z AI narzędzi do zarabiania pieniędzy nie jest najlepszym pomysłem. Świadomość tego jak działa kod i jakie ryzyko jest związane z błędną instrukcją to niestety coś, czego wielu osobom brakuje.

Jakbyście chcieli zacząć swoją przygodę z tworzeniem aplikacji z AI, nawet jak nie potraficie programować, to sugerujemy start z naszym poradnikiem dotyczącym vibecodingu — pokazujemy jak rozpocząć tworzenie apek i serwisów za pomocą popularnych narzędzi do vibecodingu, ale z głową i przede wszystkim — z zachowaniem bezpieczeństwa. Mówimy też czego lepiej nie tworzyć, bo nie ma to sensu — dzięki czemu oszczędzicie nie tylko czas, ale i pieniądze wydane na tokeny :)

📌 Jak nie dać się zhackować? Ruszamy w Polskę z kolejną edycją naszego kultowego wykładu

2026-09-21T17:24:02Z

Każdy, kto korzysta z komputera, smartfona i internetu powinien wiedzieć jak robić to bezpiecznie. Tego jak “nie dać się cyberprzestępcom” uczymy głównie pracowników największych polskich firm na szkoleniach zamkniętych odbywających się w ich siedzibach. Jeśli Twoja firma nie zakupiła u nas takiego szkolenia, nie miałeś możliwości wzięcia udziału w naszym 3 godzinnym, pełnym praktycznych porad i widowiskowych pokazów wykładzie. Ale teraz to się zmienia :)

Właśnie po raz kolejny ruszamy w Polskę z naszym kultowym wykładem Jak nie dać się zhackować? (ocena uczestników: 9,56/10). Odwiedzimy w największe polskie miasta. Zapisy już ruszyły — a ponieważ wykład jest kierowany do wszystkich (także osób spoza IT, zupełnie nietechnicznych) to przekaż informację swoim rodzicom, dziadkom i znajomym spoza branży. Wiedza którą przekazujemy w ramach wykładu “Jak nie dać się zhackować?” to wiedza obowiązkowa dla każdego użytkownika komputera i smartfona podłączonego do internetu.

W najbliższych tygodniach odwiedzimy te miasta:

W ostatnim roku przeszkoliliśmy kilkset tysięcy pracowników polskich firm, pokazując jak bezpiecznie korzystać z komputera, smartfona i internetu nie tylko podczas wykonywania obowiązków służbowych, ale także w życiu prywatnym. Ponieważ wiedzę zawsze przekazywaliśmy w przystępny i zabawny sposób, demonstrując przy okazji na żywo najpopularniejsze ataki i ucząc ich wykrywania, opinie po naszych wykładach zawsze były pozytywne.

W niektórych firmach po organizacji jednego “próbnego” szkolenia, bardzo szybko proszeni byliśmy o przeszkolenie wszystkich pozostałych pracowników. I praktycznie zawsze, niezależnie od profilu firmy, po każdym szkoleniu podchodzili do nas pracownicy i pytali, czy robimy takie szkolenia dla zwykłych ludzi, bo chcieliby na nie wysłać członków swoich rodzin, rodziców, dzieci, dziadków albo znajomych. Ponieważ zapytań tego typu było coraz więcej, postanowiliśmy zorganizować otwarty wykład na który przyjść może każdy. Tak zrodził się projekt “Jak Nie Dać Się Zhackować?”, w ramach którego przez ostatnie 7 lat dopieściliśmy materiał wykładu do perfekcji i przeszkoliliśmy prawie pół miliona Polaków.

Tematyka wykładu “Jak nie dać się zhackować?”

W ramach trwającego łącznie 3 godziny wykładu (z 15 minutową przerwą w środku) pokażemy Ci:

Jak poprawnie zabezpieczyć komputer i smartfona, aby nie zostały one zhackowane przez cyberprzestępców
Jak nie paść ofiarą popularnych w Polsce oszustwa internetowych, scamów i przekrętów
Jak chronić swoją prywatność w trakcie korzystania z e-maila i serwisów społecznościowych
Jak zabezpieczyć swoje dane i komunikację, aby nie zostały one przez nikogo podsłuchane lub wykradzione
Jak bezpiecznie robić zakupy w internecie
Jak bezpiecznie korzystać z bankowości internetowej

Powyższe zagadnienia zilustrujemy prawdziwymi przykładami ataków, jakie w ostatnich miesiącach dotknęły Polaków, a dodatkowo sami, na żywo, pokażemy jak atakują cyberprzestępcy:

Podszyjemy się pod Pana prezydenta
Wykradniemy dane z telefonu komórkowego
Pokażemy jak szybko łamane są hasła Polaków
Zainfekujemy laptopa ofiary i będziemy ją podglądali przez wbudowaną w laptopa kamerkę
Przejmiemy kontrolę nad komputerem przy pomocy złośliwego pendrive’a

Wierzcie nam, że w trakcie tych pokazów szczęka opadnie Wam nie raz… Gwarantujemy, że nikt, kto weźmie udział w tym wykładzie, już nigdy nie będzie tym samym człowiekiem :)

Kiedy i gdzie?

Aktualne terminy wykładu zawsze znajdziesz na jego stronie. W tym roku będziemy w:

Jesteś z innego miasta? Nic nie szkodzi, tam pewnie też będziemy! Zostaw nam e-maila w polu poniżej, a powiadomimy Cię o kolejnych terminach:

Zapisy i bilety

Aby wziąć udział w wykładzie, kliknij w nazwę swojego miasta, a następnie wybierz typ biletu.

PS. Wejściówki nie są imienne, więc możesz je kupić dla kogoś. Mamy, Taty, Babci, Dziadka, Syna, Córki, Znajomego. Jest to idealny prezent pod choinkę i najlepiej zainwestowane pieniądze. Koszt sprzątania po pierwszym lepszym ataku, przejęciu skrzynki czy infekcji wirusem to zdecydowanie wyższe koszty niż kwota za bilet…

ChatGPT wie, co robisz w sklepach internetowych i śledzi Twoje ruchy na innych stronach

2026-09-21T09:04:12Z

Rozmawiasz z ChatGPT o zdrowiu, finansach i sprawach osobistych, a równolegle przeglądasz internet? Od teraz OpenAI może połączyć te dwie aktywności, bo właśnie wdrożono mechanizm reklamowy opraty o ciasteczka __obi. Efekt: to, co kupujesz, czytasz i wyszukujesz poza czatem, może zostać powiązane z Twoim kontem ChatGPT. Chyba że korzystasz z iPhona…

To standardowy AdTech, ale w nowym opakowaniu

Mechanizm działa w trzech krokach.

Na chatgpt.com generuje się identyfikator przypisany do Twojego konta i ląduje w ciasteczku __obi na domenie .openai.com, z atrybutem SameSite=None oraz żywotnością jednego roku.
Firmy, które kupują reklamy w ChatGPT instalują u siebie mały kod OpenAI (SDK z bzrcdn.openai.com) — dokładnie tak, jak sklepy od lat instalują piksele Meta i Google.
Twoja przeglądarka dokleja ciasteczko __obi już do samego żądania pobrania skryptu, zaraz po wejściu na stronę firmy, która kupiła reklamę w ChatGPT. Co istotne, mechanizm działa także po wylogowaniu: anonimowy identyfikator jest stabilny i utrzymuje się co najmniej 27 dni

Jeden z badaczy zweryfikował mechanizm na własnym telefonie oraz na ruchu obejmującym 936 pikseli reklamodawców na 1029 domenach, wskazując domeny które już korzystają z tej formy trackingu, jak np. Coursera. Sama technologia trackingowa używana przez OpenAI nie jest nowa. Bezprecedensowe jest uruchomienie jej na produkcie typu “czat AI” bo ludziom w rozmowach z AI zdarza się zwierzać z rzeczy, których nie publikowaliby w mediach społecznościowych. To oznacza, że może dojść do bolesnych w skutkach naruszeń prywatności. O jednym z przerażająco-ciekawych zastosowań tego typu “współdzielenia ciastek” i deanonimizacji klientów pisaliśmy w artykule pt. wszedłem na stronę sklepu i dostałem od niego e-maila, chociaż nie podałem żadnych danych!

Zbieranie danych także poufnych

SDK zbiera też tożsamość ze stron reklamodawców: z pól formularzy, tekstu stron i warstwy danych managera tagów (window.dataLayer). Adresy e-mail i telefony są haszowane SHA-256, ale kraj, region, miasto i kod pocztowy lecą jawnym tekstem. W zaobserwowanych przez badacza ścieżkach URL znalazły się m.in. strony dotyczące stanu zdrowia, rozwiązania zadłużenia i formularz zgłoszenia procesu sądowego. OpenAI co prawda utrzymuje listę wykluczonych pól (hasła, numery kart, historia medyczna), ale klasyfikuje __obi jako ciasteczko analityczne — co oznacza, że mechanizm będzie użyty nawet jeśli ktoś odmówi zgody marketingowej. Badacz zapytał o to OpenAI 14 września; support przyjął zgłoszenie, lecz nie odpowiedział na żadne z pytań.

iPhone górą!

Badacz analizował ruch na Chrome na Androidzie. Na iPhone adtech OpenAI nie działa, bo wszystkie jabłkowe przeglądarki użyją WebKit z blokadą ciasteczek firm trzecich.

Co robić, jak żyć?

Spersonalizowane reklamy niekoniecznie są złe. Jest wiele osób, które chcą widzieć dopasowane do swoich potrzeb treści reklamowe, a nie losowe promocje z Biedronki. Warto jednak zastanowić się, czy nasze zainteresowania z obszaru “sekretne rozmowy na czacie” powinny być łączone z danymi, jakie na nasz temat mają “korporacje”.

Warto też pamiętać, że ciasteczka trackingowe to tylko jedna z metod śledzenia — fingerprinting przeglądarki i adres IP działają niezależnie od nich i też są stosowane. Utrzymanie prywatności w dzisiejszym internecie nie jest łatwym zadaniem. O tym jak można zapewnić sobie maksymalną prywatność opowiadamy podczas naszego 3 godzinnego, bestsellerowego wykładu pt. “Jak nie dać się zhackować?“, z którym właśnie ruszamy w Polskę. Wykład jest dla każdego (także dla osób spoza IT, nietechnicznych) — prostym językiem przekazujemy sprawdzone w boju porady, które pomagają zabezpieczyć przed atakami swoje dane, pieniądze oraz prywatność. W najbliższych tygodniach odwiedzimy z tym wykładem poniższe miasta — wpadajcie z rodzicami albo znajomymi spoza branży!

Jeśli ktoś chce uchronić się przed trackingiem, to niekoniecznie musi od razu kupować iPhona ;) Wystarczy Firefox, który też domyślnie izoluje ciasteczka firm trzecich. Można też skonfigurować adbloker (np. uBlock Origin) z filtrami dla openai.com, albo wyciąć domeny bzr.openai.com i bzrcdn.openai.com na poziomie DNS, np. w Pi-hole. Gotowe listy blokujące (Hagezi, OISD) mają już te domeny. Można też założyć osobny profil przeglądarki (czyli osobny cookie jar) dla rozmów z ChatGPT i regularnie czyścić ciastka.

AI rozgryzło zaszyfrowane depesze, nad którymi ludzie bezskutecznie pracowali 108 lat

2026-09-20T19:14:10Z

GPT-6 Astra odczytała dwa niemieckie melduneki radiowe z 1918 roku, których przez ponad 100 lat nikomu nie udało się odszyfrować. Media już krzyczą o “złamaniu kodu” przez AI, ale prawda jest taka, że klucze szyfrowania były doskonale znane — problem z depeszami leżał zupełnie gdzie indziej… Oba odszyfrowane meldunki znajdowały się na liście “50 najważniejszych nieodczytanych szyfrogramów” prowadzonej przez Klausa Schmeha a na warsztat wziął je programista o nicku prinz

Pierwszy meldunek (Szyfr ADFGVX)

Pierwszy z niemieckich meldunków radiowych odczytanych przez model OpenAI został nadany 27 listopada 1918 roku i był zaszyfrowany metodą ADFGVX.

ADFGVX to niemiecki szyfr polowy wprowadzony w czerwcu 1918 roku. Litery i cyfry zamieniano w nim na pary symboli ze zbioru A, D, F, G, V, X, a potem całość przestawiano transpozycją kolumnową, czyli mieszano kolejność znaków według słowa-klucza. Odczytanie meldunku wymaga odgadnięcia zarówno tabeli podstawień jak i klucza przestawienia. Setki takich meldunków już odczytano, m.in. zrobił to George Lasry, ale kilkanaście wciąż opierało się odczytom.

To jaka była ta nowatorska metoda, na którą wpadła sztuczna inteligencja, a nie ludzie?

AI sprawdziło znany klucz, którego nikt wcześniej nie sprawdził

Astra posłużyła się słowem TRUPPENVERSCHIEBUNG (“przemieszczenie wojsk”), jawnie znanym, bo odnotowanym na stronach 214-215 monografii J. Rivesa Childsa o niemieckich szyfrach wojskowych z lat 1914-1918. Problem w tym, że przyjmowano, iż ten klucz obowiązywał dopiero od 9 grudnia 1918 roku, a meldunek nadano 27 listopada, więc badacze do tej pory prawdopodobnie odrzucali ten klucz bez testowania. Model po prostu sprawdził hipotezę, że radiotelegrafista użył klucza “za wcześnie”.

Wynik:

“EIN ENGLISCHER KREUZER EINLIEG X SEWASTOPOL X S4STEN X EIN GESCHWADER DER X ALLIIERTEN FOLGT 26STEN X” — czyli informacja o przypłynięciu angielskiego krążownika do Sewastopolu “24-tego” (jedna cyfra nieczytelna) i o nadciągającym 26-tego eskadronie aliantów.

Astra po dekryptażu sama zweryfikowała treść: w dziennikach okrętowych Royal Navy potwierdzono, że HMS Canterbury wszedł do Sewastopolu 24 listopada 1918 roku, a eskadra aliancka dzień później. Daty się zgadzają.

Drugi meldunek z brakującymi znakami

Drugi meldunek “RICHI-240”, miał w sygnaturze 240 znaków, a zawierał tylko 220 i nie wiadomo było, co stało się z 20. Brakujące 20 znaków w szyfrze przestawieniowym to koszmar — niewiadomo, gdzie je wstawić. Ponieważ po zaszyfrowaniu kolejność znaków i tak jest mieszana kluczem, to wstawienie ich w złym miejscu powoduje śmieciowy wynik. Astra testowała różne warianty i oceniała wyniki pod kątem wzorców typowych dla j. niemieckiego, aż wyszedł spójny tekst. Trzy nieczytelne cyfry ustalono dopiero, porównując treść z francuskim telegramem wywiadowczym z 11 listopada 1918 roku oraz z historią serbskiego Vršac, zajętego przez Serbów 10 listopada.

Model potrzebował kilku informacji: co to za szyfr? jaki był klucz? plus zewnętrznych źródeł historycznych, więc przestrzeń poszukiwań była wąska.

To nie cud, ale i tak warto odnotować ten sukces

Po odszyfrowaniu meldunków — kiedy wiemy już jak to zrobić — jest jasne, że wystarczająco zmotywowany białkowy analityk mógłby zrobić to samo. No ale tego nie zrobił. Warto też zauważyć, że nie znamy pełnych promptów, kosztu pracy modelu i skali udziału człowieka w tym sukcesie, więc raczej LLM pomógł odszyfrować niż odszyfrował (sam).

To nie atak na AES czy dowód istnienie AGI, a po prostu przydatne użycie narzędzia. I smutne dla paranoików przypomnienie: warto zapisywać niezłamane wiadomości, bo po latach może się je udać złamać. Ale przecież nikt nie nagrywa zaszyfrowanej komunikacji dzisiejszego internetu na zaś, prawda? PRAWDA?!

Na koniec przypomnijmy, że czytelnicy Niebezpiecznika rozgryzali kartkę z Archiwum Państwowego w Lublinie, a FBI prosiło o pomoc w sprawie notatek zamordowanego Ricky’ego McCormicka (są na pozycji 10. tej samej listy Schmeha co opisywane wyżej niemieckie meldunki).

Dane klientów Amazona bezpowrotnie stracone. Winne irańskie drony.

2026-09-18T14:16:15Z

Amazon właśnie przyznał, że po irańskich atakach na centra danych w Bahrajnie i Zjednoczonych Emiratach Arabskich spora część danych klientów bezpowrotnie przepadła.

Sześć miesięcy wojny i trzy ataki

Centra danych AWS oberwały atakiem kinetycznym kilka razy:

1 marca irańskie drony uderzają w serwerownie AWS na Bahrajnie i w ZEA; AWS wzywa klientów do migracji do innych regionów i przyznaje im ok. 150 mln USD w kredytach.
1 kwietnia ma miejsce kolejny atak na serwerownie na Bahrajnie.
24 lipca irańska rakieta niszczy ostatni czynny budynek Amazona w Bahrajnie.

W regionie ZEA (me-central-1) dane bezpowrotnie przepadły w jednej z trzech stref dostępności (mec1-az2). W Bahrajnie (me-south-1) jest gorzej: AWS nie może przywrócić danych żadnej z trzech stref.

Szkody objęły wiele stref dostępności i przekroczyły to, co nasze usługi regionalne i multi-AZ są zaprojektowane wytrzymać

Firma zawiesiła billing usługi w obu regionach i wypłacić miała aż 150 mln dolarów w kredytach dla klientów. W przeszłości zdarzały się wyłączenia stref AWS, np. us-east-1 (por. Piorun ubił chmurę Amazonu). Nigdy jednak do tej pory nie doszło do utraty danych z powodu zbombardowania serwerowni.

Dlaczego redundancja nie pomogła?

Strefa dostępności (Availability Zone, AZ) to w AWS jeden lub więcej fizycznie oddalonych centrów danych z niezależnym zasilaniem i siecią. Usługi typu multi-AZ (np. S3 Standard) mają przeżyć pożar, powódź czy awarię jednego budynku. Ale nie były projektowane na wypadek wojny, czyli sytuacji w której wszystkie trzy AZ danego regionu zostają trafione w ciągu kilku miesięcy.

Teoretycznie nic by się nie stało, gdyby po pierwszym ataku, klienci zmigrowali poza swój region. Ale AWS nie replikuje danych klienta poza region bez wyraźnej zgody klienta. A o te zgody czasem ciężko z powodu …lokalnego prawa, tj. przepisów o lokalizacji danych (data residency). Przykładowo: w ZEA dane sektora zdrowia muszą pozostać w kraju, a wywóz grozi karą rzędu 100-200 tys. USD. Znana jest nam też historia jednej z firm, która po utracie pierwszej strefy chiała proaktywnie przenieść dane swoich klientów do innych regionów, ale dział prawny to zablokował, bo nawet szyfrowane kopie bez kluczy były prawnie niedozwolone. Czyli jak zwykle, znowu wina prawników ;)

Klasyczna zasada 3-2-1 (trzy kopie danych, dwa różne nośniki, jedna kopia poza siedzibą) w chmurze oznacza dziś backup w innym regionie, a najlepiej u innego dostawcy lub offline. Replikacja w obrębie jednego regionu, nawet w trzech strefach, to — jak widać w przypadku AWS — nadal ryzyko.

Internet heheszkuje

Internety szydzą sobie teraz z Amazona, bo kilka lat temu przedstawiciel AWS w wywiadzie telewizyjnym powiedział, że usługi AWS są tak odporne na awarie, że nawet gdyby ktoś wysadził w powietrze jedną serwerownię, to klienci niczego by nie odczuli. Żarty kręcą się też wokół obietnicy 11 dziewiątek trwałości S3 (99,999999999% szans, że obiekt przetrwa rok) — internauci dopowiadają “ale nie dotyczy to sytuacji wojen wywołanych przez USA”.

Chmurę da się zestrzelić

Nie brakuje też opinii, że mityczna chmura to jednak wcale nie fruwa nad ziemią, a jest fizycznym punktem na mapie. Punktem do którego mogą dolecieć pociski manewrujące. I dopiero wtedy chmura “wędruje do nieba”.

To dobry moment, aby przejrzeć własne plany DR: gdzie fizycznie leżą wasze backupy?

Poważna wpadka Revoluta: przekazał dane klientów oszustom. Poszkodowani mają być też Polacy

2026-09-16T16:20:28Z

Revolut (chwalący się 80 mln klientów w ponad 160 krajach), przekazał dane części klientów cyberprzestępcom, którzy podszyli się pod agencję rządową. Teraz cyberprzestępcy publikują skradzione dane klientów i żądają od Revoluta okupu w wysokości 10 000 BTC, czyli ponad 780 mln dolarów. Wśród poszkodowanych mają być także Polacy.

Co wyciekło?

Wiemy co dokładnie pozyskali oszuści, bo Revolut — kiedy już się zorientował jak bardzo wtopił — wysłał do poszkodowanych powiadomienie. Wynika z niego, że “fintech” przekazał oszustom:

imię i nazwisko, datę urodzenia, zawód,
adres zamieszkania, e-mail, numer telefonu,
skany dokumentów tożsamości: paszport i/lub prawo jazdy,
selfie z weryfikacji KYC (procesu potwierdzania tożsamości klienta przy zakładaniu konta),
wyciągi z kont wraz z numerami IBAN, historię wypłat oraz pełną historię transakcji, w tym transakcji Bitcoin.

Czyli w zasadzie wszystko co miał na temat klienta. Dla przestępców pakiet idealny, aby wyprowadzić bolesne, ukierunkowane ataki na konkretne osoby — nie mówiąc już o utracie prywatności.

Revolut nie ujawnił liczby poszkodowanych, mówiąc jedynie o “bardzo ograniczonej” grupie klientów, ale media szacują że chodzi nawet o 680 osób. Znany badacz kryptowalut, ZachXBT, informuje natomiast, że celem byli przede wszystkim zamożni klienci i osoby związane z kryptowalutami. Jedna z osób podająca się za atakującego wskazała, że w ramach ataku pozyskano dane osób z następujących krajów: Polska, Czechy, Niemcy, Hiszpania, Rumunia, Malta, Norwegia, Szwecja, Włoch, Grecja, Austria, Łotwa, Belgia, Estonia, Chorwacja, Irlandia, Słowacja, UK, Słowenia, Monako, Luxemburg, Dania, Turcja, Finlandia, Węgry, Dania, Litwa, Cypr, Portugalia, Bułgaria.

Podczas naszych wykładów pt. “Jak Nie Dać Się Zhackować?“, które już niebawem odbędą się w największych polskich miastach, poruszamy temat ochrony prywatności i przekazujemy rady, jak rejestrować się w różnych usługach, aby ograniczyć negatywne skutki takich ataków. Wykład jest przewidziany dla każdego — także dla osób nietechnicznych — więc zabierzcie ze sobą rodziców, dziadków i znajomych spoza IT. Tę wiedzę powinien mieć każdy — a my w ramach jednego wykładu mówimy o wszystkim, co wiedzieć trzeba. Poniżej lista terminów:

POZNAŃ, 8 października -- zapisz się tutaj!

ŁÓDŹ, 22 października -- zapisz się tutaj!

GDAŃSK, 19 listopada -- zapisz się tutaj!

WARSZAWA, 3 grudnia -- zapisz się tutaj!

Jak wyciekło?

Usiądźcie, bo teraz dopiero zacznie się zabawa… Przestępcy użyli skrzynki e-mail należącej do włoskiego systemu PEC (takiej “certyfikowanej poczty elektronicznej”, której wiadomości mają moc prawną jak list polecony). Żądania danych miano kierować do litewskiego Revolut Bank UAB w oparciu o Europejski Nakaz Dochodzeniowy, a metoda polegała na masowym wysyłaniu setek identyfikatorów transakcji krypto z pytaniem, komu przypisane są konta. Wiadomości wyglądały tak:

A Revolut odpowiadał na te fałszywe żądania przez 5 miesięcy zanim zorientował się, że coś tu jest nie tak. Media podejrzewają że użyta przez oszustów skrzynka należała do prefektury Reggio Calabria i informują, że od początku roku odnotowano ponad 650 różnych przypadków nielegalnego wykorzystania kont PEC.

Jak przejęto urzędową skrzynkę?

O tym informują sami atakujący: za pomocą infostealera (złośliwego oprogramowania kradnącego zapisane na zainfekowanym komputerze hasła). Po przejęciu kontroli mieli “monitorować” skrzynkę całą dobę, dodać własny adres do odzyskiwania dostępu i natychmiast kasować wiadomości dotyczące nieautoryzowanych żądań, aby prawdziwy właściciel skrzynki niczego nie zauważył. Uwaga: to deklaracje przestępców, niepotwierdzone przez Revoluta.

Metoda “na funkcjonariusza” to nie nowość. FBI i eksperci od lat ostrzegają przed sfałszowanymi pilnymi żądaniami danych od organów ścigania. Dostępy do skrzynek organów ścigania w domenach rządowych sprzedaje się na forach za kilkaset złotych. Dzięki nim przestępcy mogą zarejestrować się w specjalnych interfejsach mediów społecznościowych i żądać w ten sposób w trybie pilnym danych o użytkowniku. Albo wysyłać różne fałszywe prośby o informacje do firm, które — jak Revolut — się na nie nabiorą, bo nie chcą lub nie potrafią takich żądań zweryfikować. Reguła autorytetu FTW!

Brak kompetencji po stronie Revoluta?

Można by pomyśleć: skoro skrzynka była prawdziwa, to SPF/DKIM/DMARC się zgadzały, nie było spoofingu, więc Revolut nie miał przecież szans na wykrycie, że wnioski są podrobione. Ale włoskie media nie zostawiają na Revolucie suchej nitki. Wskazują, że było wiele znaków, że coś jest nie tak. Żądania podpisywane były “Policją Pocztową”, choć wysyłano je ze skrzynki prefektury (prefektura to nie prokuratura — dop. redakcji ;). Miał im towarzyszyć nakaz sądowy (to on sprawia, że żądanie jest ważne) ale nakazu brakowało, a Revolut się o niego nie upominał. Po prostu realizował fałszywe żądanie za żądaniem.

Revolut zapewnia, że systemy i środki klientów nie ucierpiały, a po wykryciu natychmiast zablokowano adres i powiadomiono organy oraz regulatorów.

Szantaż i publikacja danych

Aktualnie oszuści zaczęli publikować część ze skradzionych rekordów i grożą że będą dokładać kolejne rekordy, dopóki Revolut nie zapłaci. W sieci już pojawiły się dane znanych osób, m.in. tenisisty Sewczenko i Felixa Romera, prezesa internetowego kasyna. Włamywacze twierdzą też, że przejęli aż 147 GB danych — ale nie jest to informacja, która została niezależnie potwierdzona.

Nie pierwsze Revoluta dojechanie

Ten atak na Revoluta trochę nam przypomina kampanię grupy Lapsus$ z lat 2021-2022, która przejętymi kontami organów ścigania wyłudzała dane użytkowników Apple, Mety czy Discorda. Ale to też nie pierwszy raz, gdy Revolut traci dane klientów: podobną sprawę opisywaliśmy już na łamach Niebezpiecznika 4 lata temu, gdy phishing na pracownika spowodował kradzież danych dot. 50 150 osób (por. Revolut zhackowany! Pozyskano dane 50 000 użytkowników). Tym razem Revolut nie został “zhackowany” — po prostu uwierzył domenie e-maila i nie sprawdził autentyczności “nakazów”. Pamiętajcie o tym, kiedy kolejnej firmie będziecie przekazywać skan swojego dowodu, paszportu albo selfie… — żeby kogoś zhackować, nie trzeba znaleźć podatności w jego infrastrukturze IT. Czasem wystarczy wysłać e-maila i poprosić, wykorzystując braki w procedurach weryfikacji niektórych typów próśb.

AI w telefonie może czytać Twój ekran. Co widzi i jak to ograniczyć?

2026-09-14T16:39:37Z

Google właśnie zaczął wyłączać Asystenta Google na telefonach z Androidem — zastępuje go Gemini. To ważna zmiana, bo stary asystent przede wszystkim reagował na polecenia, a nowy, oparty na AI, ma zdecydowanie szerszy dostęp do Twoich danych. Co może nowe rozwiazanie? Na jakie ryzyka nas naraża? I jak nad tym zapanować?

…o tym już w czwartek, 17 września o godz. 19:00, porozmawiamy o tym z Arturem, współzałożycielem firmy Proget, która tworzy niezależny system MDM do zarządzania urządzeniami mobilnymi.

Link do transmisji spotkania

Transmisja będzie otwarta i dostępna na naszym kanale na YouTube (o tutaj), ale jeśli chcesz otrzymać przypomnienie e-mailem przed jej startem, to zostaw poniżej swój adres e-mail:

Wpisz adres e-mail:

Rozwiąż Captcha:

HP

Bez obaw, podanych e-maili nikomu nie przekazujemy i wykorzystamy je wyłącznie do przypominania Ci o naszych wydarzeniach. Jeśli lubisz czytać o RODO, kliknij tutaj.

I nie będzie to spotkanie wyłącznie dla administratorów ani wyłącznie o telefonach służbowych. Jeśli masz smartfona, temat dotyczy również Ciebie. Artur pokaże:

co Gemini może zobaczyć na Androidzie i kiedy informacje z telefonu opuszczają urządzenie do dostawcy modeli AI?
jak do podobnych funkcji podchodzi Apple i czy użytkownicy iPhone’ów rzeczywiście mają mniej powodów do obaw?
gdzie przebiega granica między sensowną ochroną a blokowaniem nowych funkcji na wszelki wypadek?
co dzieje się, jeśli mamy jeden telefon jednocześnie do życia prywatnego i pracy?
jakie możliwości ograniczenia AI ma zwykły użytkownik, a jakie organizacja zarządzająca telefonami przez MDM?

Mówiąc krótko, odpowiemy przede wszystkim na pytanie

czy nowe funkcje AI w telefonach faktycznie tworzą nowe zagrożenie dla danych, czy po prostu musimy nauczyć się nimi świadomie zarządzać?

Ale poruszymy też aspekty bezpieczeństwa i prywatności słuchawek niezwiązane z AI.

Będzie praktycznie i z pokazami!

Co ważne, to nie będzie teoria. Artur pokaże konkretne ustawienia na Androidzie i iPhonie, dzięki którym można zwiększyć swoją prywatność i ograniczyć dostęp funkcji AI, jeśli uznacie, że nie chcecie dawać im aż tak szerokich możliwości. Zobaczycie też jak wygląda zarządzanie telefonem z poziomu systemu MDM, czyli narzędzia, które firmy wykorzystują co centralnego kontrolowania (nie tylko opcji bezpieczeństwa) smartfonów pracowników. Opowiemy też o ograniczeniach — czyli tym, czego nawet MDM nie potrafi, a nawet o ryzykach związanych z takim monitoringiem.

Wpadnij na żywo i wygraj nagrody!

Transmisja odbędzie się w czwartek, 17 września o 19:00 na naszym kanale YouTube.

I warto być z nami na żywo — będzie można zadawać pytania, a dodatkowo przygotowaliśmy kilka konkursów :)

PS. Jeśli chcesz otrzymać przypomnienie w dniu startu transmisji, zostaw e-maila niżej:

Wpisz adres e-mail:

Rozwiąż Captcha:

HP

Bez obaw, podanych e-maili nikomu nie przekazujemy i wykorzystamy je wyłącznie do przypominania Ci o naszych wydarzeniach. Jeśli lubisz czytać o RODO, kliknij tutaj.

Namierzali lokalizację ludzi niewidocznymi SMS-ami. Użyto też polskiego operatora

2026-08-26T12:06:54Z

Citizen Lab opisał dwie wieloletnie kampanie nieautoryzowanego namierzania lokalizacji telefonów komórkowych należących do różnych osób. Atakujący przeskakiwali między protokołami SS7 i Diameter, podszywali się pod operatorów z wielu państw — w tym z polskiego Plusa — a także wysyłali niewidoczne dla użytkownika SMS-y z “ukrytymi” poleceniami dla karty SIM. Zidentyfikowano ponad 16 000 prób lokalizacji.

Powyższa ilustracja została syntetycznie wygenerowana z wykorzystaniem sieci neuronowej podczas procesu inferencji modelu generatywnego typu text-to-image

Raport CL dotyczy okresu 2022-2025. W szczegółowo opisanym ataku z 11 lutego 2025 roku pojawia się użycie identyfikatora Plusa do podszywania się pod sieci z różnych państw. To nie jest dowód, że Polkomtel uczestniczył w inwigilacji ani że ofiarą był polski abonent. Identyfikator operatora mógł zostać podrobiony albo użyty przez pośrednika lub dzierżawcę dostępu. Raport nie wskazuje też z kim było 16 000 skutecznie namierzonych osób.

Telefony namierzanych osób nie muszą być zhakowane

Wyjaśnimy tu jedną kwestię — namierzanie w opisany przez badaczy sposób nie oznacza, że telefony targetowanych osób były zhackowane. Wykorzystano tu SS7 i Diameter, czyli protokoły, które przenoszą komunikaty potrzebne operatorom m.in. do roamingu. SS7 obsługuje starsze sieci, a Diameter sieci 4G i większość wdrożeń 5G. Niektóre z ich funkcji można kreatywnie nadużyć, bo operatorzy (nadmiernie) sobie ufają. Dlatego ktoś (badacze nazywają takich ktosiów “operatorami-widmami”) z dostępem do tego ekosystemu (a wcale nie jest to takie trudne) może wysłać zapytanie wyglądające jak polecenie legalnego operatora i spróbować uzyskać identyfikator stacji bazowej, do której zalogował się konkretny telefon dowolnego operatora z całego świata.

CL opisuje, jak jeden z atakujących podczas czterogodzinnego ataku na ważnego menedżera użył aż 11 id różnych operatorów z 9 państw. Gdy blokowano jego zapytania SS7, przechodził na Diameter, zmieniał routing i znów wracał do SS7. Drugi aktor połączył zapytania sieciowe z techniką SIMjacker. Specjalny binarny SMS miał trafić nie do aplikacji “Wiadomości”, lecz do starego programu “S@T Browser” na karcie SIM. Polecenia kazały karcie pobrać identyfikator komórki sieci i odesłać go innym, również ukrytym SMS-em. Pozwalałoby to określić położenie z dokładnością od około kilometra w mieście do 100 kilometrów na słabo pokrytym terenie. Co jednak ciekawe, wiadomość została zablokowana, zanim dotarła do telefonu. A więc jakieś security w sieciach operatorskich jednak działa :)

Kto za tym stoi?

Citizen Lab nie przypisał kampanii konkretnej firmie ani państwu. Wzorce techniczne wskazują zdaniem badaczy na platformy komercyjnych dostawców usług inwigilacji obsługujące klientów rządowych. Izraelski 019Mobile zakwestionował możliwość przypisania ruchu do swojej infrastruktury. Sure, właściciel dawnej sieci Airtel Jersey, potwierdził dzierżawienie usług sygnalizacyjnych niewielkiej liczbie “specjalistycznych” (ekhm ekhm) podmiotów do legalnych zastosowań, ale zaprzeczył, by świadomie udostępniał je do śledzenia ludzi i zapowiedział dochodzenie.

Mam telefon komórkowy — co robić, jak żyć?

To nie była masowa inwigilacja każdego. Celami były HVT, czyli osoby o wysokiej wartości dla zleceniodawcy. Dlatego prawdopodobnie większość z Was może spać spokojnie. O ile ma wyłączony telefon, bo innego sposobu na zapobiegnięcie lokalizacji tymi technikami nie ma. VPN, szyfrowany komunikator i aktualizacja aplikacji nie zatrzymają zapytania na warstwie operatorskiej. Osoby i organizacje o podwyższonym ryzyku powinny zapytać operatora, czy koreluje i blokuje ataki łączące SS7 z Diameter, sprawdza zgodność pól Origin-Host, Origin-Realm i Route-Record z dokumentacją partnerów roamingowych oraz filtruje nieuwierzytelnione wiadomości OTA kierowane do aplikacji na karcie SIM. Jeśli operatorzy tego nie pilnują, nic Was przed tą techniką nie uchroni.

O namierzaniu telefonów przez SS7 pisaliśmy już w 2014 roku. Minęło 12 lat, zmieniły się generacje sieci, a model bezpieczeństwa tak nie za bardzo, skoro te ataki wciąż są możliwe i jak widać, aktywnie wykorzystywane.

Czy GTA6 faktycznie wyciekło? Skąd pobrać działającą grę?

2026-08-25T09:13:56Z

GTA 6 już do pobrania? Nie — to podpucha, uważajcie. W związku z szantażem Rockstara, producenta gry GTA, przez grupę hackerską CyberLeek (więcej o tym niżej) w serwisach z torrentami oraz na Telegramie pojawiły się oferty pobrania rzekomej “finalnej wersji GTA 6”. Jeden z podszywających się pod CyberLeek kanałów zgromadził prawie 25 000 subskrybentów i zapowiadał publikację grywalnego buildu gry. Tymczasem faktyczni szantażyści/włamywacze/złodzieje do tej pory udostępnili jedynie nagrania i pliki map, ale nie instalator gry. Niestety, sporo osób tak bardzo czeka na GTA6, że łyknęło baita i pewnie teraz ma zainfekowane systemy…

CyberLeek to w ogóle ciekawa grupa i ciekawy przypadek szantażu

Abstrahując od opóźnień gry, jej zainfekowanych fejków, i włamania do Rockstar, to warto podkreślić, że “obsługa” tego ataku przez CyberLeek jest bardzo ciekawa. CyberLeek publikuje swoje treści w sposób bardzo anonimowy i trudny do usunięcia (blockchain Arweave) oraz zbiera dotacje w kryptowalucie Monero w równie ciekawy sposób. Ktoś sobie to nieźle rozkminił.

Grupa nie domaga się pieniędzy od Rockstara. Zbiera je od …internautów oferując w zamian np. publikację gameplaya z reklamą osoby wpłacającej pieniądze.

Ciekawy jest też sam sposób wpłaty pieniędzy i kontaktu z grupą. Każdemu zainteresowanemu generują konto Session (szyfrowany komunikator) oraz unikatową kwotę do wpłaty, której cyfry po przecinku są identyfikatorem użytkownika. Jeśli faktycznie wpłaci tę konkretną kwotę, CyberLeek będzie wiedzieć, że przypisane do kwoty konto Session ma wykorzystać do rozpoczęcia dialogu/negocjacji z internautą. Kwota jest unikatowa, ale tylko po przecinku — cena rozpoczęcia rozmów to 400 XMR czyli ~670 000 PLN.

Tu warto podkreślić, że transkacje Monero ukrywają wartość kwoty, więc nikt poza CyberLeek nie będzie wiedział, KTO kontaktował się z przestępcami.

Jeśli pobrałeś plik z grą GTA6, to…

…nie uruchamiaj go. A jeśli już go uruchomiłeś, odłącz komputer od sieci i z innego, czystego urządzenia zmień przede wszystkim hasło do poczty, menedżera haseł, banku, kont gracza i mediów społecznościowych. Wyloguj aktywne sesje, sprawdź historię logowań i przeskanuj lub przeinstaluj zainfekowany system. Sama zmiana hasła na tym samym — wciąż zainfekowanym — komputerze może oddać nowe dane atakującemu.

Podobną sprawę opisywaliśmy już na łamach Niebezpiecznika w 2022 roku, gdy po włamaniu do Rockstar pojawiły się prawdziwe nagrania i fragmenty kodu GTA 6 (por. Wykradziono kod GTA. Rockstar zhackowany). Dzisiejsza przynęta jest tak skuteczna między innymi dlatego, że prawdziwe wycieki tej gry już się zdarzały.

Udany atak hakerski na brytyjską elektrownię i 4 dni przestoju

2026-08-26T14:42:30Z

Brytyjski minister energii Michael Shanks potwierdził incydent w jednym z obiektów energetycznych. W jego wyniku nikt “nie stracił prądu” a atak miał nie być groźny dla reszty sieci energetycznej w kraju. Mimo to, po zdarzeniu przedstawiciele firm energetycznych otrzymali specjalne zalecenia bezpieczeństwa.

Powyższa ilustracja została syntetycznie wygenerowana z wykorzystaniem sieci neuronowej podczas procesu inferencji modelu generatywnego typu text-to-image

O sprawie poinformowały dzienniki “The Telegraph” i “Financial Times“, dzięki którym wiadomo, że obiekt został wyłączony na cztery dni w lipcu. FT, powołując się na dwóch przedstawicieli branży energetycznej, podał, że chodziło o małą gazową elektrownię szczytową, uruchamianą dopiero przy zwiększonym zapotrzebowaniu na energię. Tego rodzaju obiekty mają zwykle około 15MW, są podłączone do lokalnych sieci dystrybucyjnych i zazwyczaj nie mają stałej obsady. Obiekt, wg ekspertów nieistotny i poniżej progu mocy, który wprowadza większe wymagania dot. cyberbezpieczeństwa. Mimo to, właściciela ani lokalizacji obiektu nie ujawniono. Nie ma też żadnego jawnego raportu technicznego opisującego wektora ataku ani IoC.

Czy to na pewno Iran?

Tony Diver z “The Telegraph” napisał 22 sierpnia, że to “Iran wyłączył brytyjską elektrownię”, ale zastrzegł, że nie jest to oficjalnie potwierdzona informacja. Wiadomo, atrybucja ciężka sprawa. Ale irański trop jest wiarygodną hipotezą. NCSC ostrzegało w marcu przed grupami powiązanymi z Iranem, a amerykańskie agencje potwierdziły, że tacy sprawcy zakłócali pracę internetowych PLC w sektorach wody, energii i administracji. Nikt publicznie nie łączy jednak brytyjskiego incydentu z tą samą kampanią czy techniką.

Co powinny sprawdzić firmy z OT?

Operatorom tego typu obiektów sugerujemy (za zaleceniami CISO i NCSC):

usunąć dostęp z internetu do PLC, HMI i SCADA
wprowadzić jump hosty do zdalnego serwisu/prac z odpowiednią konfiguracją VPN i MFA oraz unikatowymi kontami
odseparować sieć OT od IT i ograniczyć ruch do niezbędnych połączeń oraz monitorować zmiany w pracy sterowników;
posiadać gotowe do odtworzenia (sprawdzone) backupy konifiguracji oraz przećwiczyć ich restore
sprawdzić swoją infrastrukturę pod kątem znanych IoC

Chociaż incydent nie zakończył się blackoutem: nikt nie stracił prądu, a sieć nie była zagrożona, to cyberatak mimo wszystko zatrzymał jedno ze źródeł energii. Może kiedyś dowiemy się w jaki sposób. Pozostaje mieć nadzieję, że generujące większą moc obiekty są lepiej zabezpieczone przed takimi wektorami ataku.

AI do rozbierania kobiet — takie reklamy latały po Facebooku

2026-08-24T11:51:43Z

Reklamowana aplikacja (nie podamy celowo jej nazwy) zarówno na Facebooku jak i Instagramie oferowała możliwość wgrywania zdjęcia prawdziwych osób i umieszczania ich twarzy w wygenerowanych scenach seksualnych. Jak informuje WIRED, jedna z reklam pokazywała kobietę bardzo podobną do znanej amerykańskiej polityczki, a po chwili wyświetlała pornograficzne nagranie z tą samą twarzą.

Powyższa ilustracja została syntetycznie wygenerowana z wykorzystaniem sieci neuronowej podczas procesu inferencji modelu generatywnego typu text-to-image

Meta nie weryfikuje reklam skutecznie

Analiza wykazała, że konto reklamodawcy wyświetlało 32 reklamy, wszystkie skierowane wyłącznie do mężczyzn. Co ciekawe, ponoć żadna z reklam nie zanotowała więcej niż 10 wyświetleń.

Choć Meta deklaruje, że każdą reklamę sprawdza przed publikacją, to nie jest tajemnicą, że robią to głównie automaty, które nieuczciwi reklamodawcy obchodzą np. tak, że początkowe sekundy reklamy są niewinne, a “prawdziwa” treść pojawia się później. Jak zauważa WIRED, strona dotycząca aplikacji do rozbierania powstała 3 sierpnia i choć nie miała żadnych obserwujących, to bez problemu mogła wyświetlać reklamy.

Apek do rozbierania jest więcej…

I to nie jest odosobniony przypadek. Z analizy Tech Transparency Project wynika, że konta powiązane chińską spółką uruchomiły aż 7600 reklam aplikacji tego typu targetowanych na obszar Europy. Aż 179 z 210 badanych stron miało reklamy później usunięte za naruszenia zasad, ale część nadal reklamowała się po wcześniejszych blokadach.

Co ciekawe, aplikacja do rozbierania była też dostępna w sklepie Apple, gdzie udawała apkę do obróbki zdjęć. Ale jeśli ktoś zapłacił, miał możliwość obróbki zdjęć w scenariuszach “seksulanych”. Apple apkę usunęło i twierdzi, że “niedozwolone funkcje mogły zostać dodane po weryfikacji”.

Tego typu aplikacji — wciąż dostępnych — na oficjalanych platformach jest więcej. Choć nie reklamują się jako apki do rozbierania, pozwalają na tworzenie nagich materiałów ze wskazaną przez użytkownika twarzą.

Warto o tym pamiętać, jeśli kiedyś zobaczycie “czyjeś rozbierane zdjęcia” lub “seks-taśmy”. Stworzenie tego typu materiałów dziś jest bardzo proste i możliwe przez każdego. Niestety udowodnienie, że nagranie nie jest prawdziwe, już takie proste nie jest. Zawsze ktoś nie uwierzy i zawsze dostanie lajka, niezależnie od tego jak fałszywy dowód na prawdziwość nagrania nie poda. Ale to samo działa też w drugą stronę — prawdziwe nagrania, które nie pasują komuś do tezy, są “obalane” poprzez nazywanie ich deepfejkami (patrz niedawna afera z wyjściem Netanjahu na kawę).

Era, w której mogliśmy wierzyć temu co widzimy i słyszymy na nagraniach definitywnie się skończyła. A skutecznych wymagań prawnych i technicznych co do znakowania treści syntetycznych wciąż brak.