Niebezpiecznik.pl (tylko główna)

Nowy atak na WordPressa znaleziony przez AI: od XSS do admina i wykonania dowolnego kodu PHP

2026-08-10T09:43:12Z

Dziura znajduje się we wszystkich wersjach WordPressa aż do 7.0.3 (niezależnie od zainstalowanych pluginów) i pozwala atakującemu stać się administratorem bloga, a nawet wykonać dowolny kod PHP po stronie serwera. Atak bazuje na podatności XSS w wariancie pre-auth, czyli nie jest wymagane, aby atakujący miał konto użytkownika na atakowanym blogu.

Atak XSS2shell

Ta podatność XSS została odkryta w wp-login.php i aby ją wywołać należy przeprowadzić próbę logowania na użytkownika, który nie istnieje. WordPress przepuszcza wtedy błędny login przez funkcję strip_tags(), a później przez filtr wp_kses_post(). Pierwszy parser nie widzi znacznika, jeśli po znaku “<” jest spacja. Drugi interpretuje go jako dozwolony HTML. W efekcie, w komunikacie o błędnym logowaniu powstają elementy DOM kontrolowane przez atakującego. Ścieżka ataku bazuje na technice SOME, czyli Same Origin Method Execution. Callback odwołuje się do przycisku w innym oknie tej samej domeny i wywołuje click().

Jeśli chcesz zrozumieć, jak wyrywać takie podatności i jak budować takie ataki oraz dlaczego czasem jedna spacja wystarcza do ominięcia filtra po stronie aplikacji, to rzuć okiem na niebezpiecznikowy Kurs Ataków XSS. Tylko do końca dzisiejszego dnia sprzedajemy go w niższej o 30% cenie i dajemy wieczysty dostęp zarówno do materiałów (30 lekcji, ponad 3h materiału) jak i do środowiska labowego, gdzie w praktyce wykonasz wszystkie ataki. Dostęp jest na zawsze, ale niższa cena tylko dziś. Dlatego nie przegap tej okazji, bo do nauki możesz siąść nawet za pół roku, jeśli teraz nie masz na to czasu:

Admin musi kilknąć (świadomie lub nie) w podstawiony link

Warto jednak zauważyć, że aby uzbroić tę podatność i umożliwić przejęcie konta administratora lub wykonanie dowolnego kodu wymagane jest kliknięcie na link przez zalogowanego do WordPressa administratora, co powoduje instalację złośliwej wtyczki. Pełen atak wygląda więc tak:

Krótko mówiąc, trzeba przekonać admina, aby wszedł na jakąś stronę i kliknął w niej na linka — nie jest to trudne, zwłaszcza że większość adminów WordPressa jest stale zalogowanych do bloga w ramach przeglądarki z której korzystają do “chodzenia po internecie”. Admin musi też mieć konto z uprawnieniami pozwalającymi na instalację wtyczek. Na marginesie — te wymagania i sam proces eksploitacji, który bazuje na kilku ciekawych pivotach i łączeniu wielu różnych słabości w jeden atak jest w pewien sposób piękny. Gdyby odkrył go człowiek. Ale atak miał zostać opracowany przez pracujące przez 4 dni open-source’owe agenty, które zapewne wykonały tyle różnych kombinacji, że dla człowieka byłoby to bardzo pracochłonne. Fakt niewykrycia tej podatności, chociaż istniała w każdej wersji WordPressa, zdaje się to potwierdzać.

Mam WordPressa — co robić, jak zyć?

Mimo tych wymogów, ze względu na to, że błąd istniał w każdej wersji i został został wykryty przez open-source’owych agentów AI, którzy podobno pracowali tylko/aż 4 dni, to warto na wszelki wypadek sprawdzić, czy ktoś wcześniej go nie wykorzystywał w atakach na Waszego WordPressa. W tym celu:

Sprawdź i ew. unieważnij nierozpoznane hasła aplikacyjne administratorów oraz wtyczki. 
Przeszukaj logi pod kątem POST-ów do wp-login.php które zawierają “<” i spację oraz przejrzyj REST-y z _jsonp.

Jak widać, podatności bazujące na wstrzyknięciach (nie tylko JavaScriptu) wciąż są obecne, nawet w dojrzałych projektach. I we współczesnych aplikacjach, mogą być zdecydowanie groźniejsze niż zwykłe pokazanie alert(1). Dlatego każdy programista powinien nauczyć się jak wykrywać wstrzyknięcia, jak je uzbrajać i jak poprawnie je usuwać — a dokładnie tego uczy “od zera do bohatera” nasz krótki, ale turbo-praktyczny Internetowy Kurs XSS, który tylko do końca dzisiejszego dnia możesz kupić po obniżonej o 30% cenie. Dostęp do materiałów i środowiska labowego jest wieczysty, ale obniżka ceny nie, więc nie czekaj i wykup dostęp do kursu XSS po obniżonej cenie, która już nigdy nie wróci.

Uwaga rodzice! Smartwatche dla dzieci mają poważne dziury! Możliwy “cichy” podgląd i podsłuch!

2026-08-12T17:11:39Z

Od dawna krytykujemy na Niebezpieczniku tanie chińskie i polskie smartwache, które są wyposażone w karty SIM i reklamowane jako “idealne urządzenia do kontaktu z dzieckiem”. Najnowsze badania pokazują, że te zegarki stanowią poważne zagrożenie dla prywatności dziecka i rodziców i nawet średnio rozgarnięci hakerzy mogą wykorzystać je do podsłuchiwania i podglądania dziecka oraz otoczenia.

Wiele marek dziecięcych zegarków, ale taki sam paździerz

Badacz Vangelis Stykas zademonstrował, jak — znając jedynie e-mail użyty podczas konfiguracji zegarka — zdalnie śledzić noszącą go osobę, robić zdjęcia kamerą smartwatcha i podsłuchiwać otoczenie wbudowanym w zegarek mikrofonem. Wszystko bez wiedzy i zgody użytkownika oraz jakiegokolwiek komunikatu na ekranie zegarka. Badacz wykorzystał luki w serwerach, do których zegarki podpinają się, aby wysyłać dane o położeniu albo nagrania audio-video (w ten sposób są one przekazywane do aplikacji rodzica). Jakie ataki są możliwe?

ciche robienie zdjęć i nagrywanie wideo z dzwiękiem;
przechwytywanie lub podszywanie się pod wiadomości;
śledzenie lokalizacji użytkownika, ale także jej wyłączenie albo sfałszowanie;
podmiana kontaktów alarmowych;

autopromocja

Jeśli chcesz wiedzieć jak zawsze mieć awaryjny kontakt z dzieckiem i chcesz być w stanie kontrolować nie tylko jego lokalizację, ale także to z jakich aplikacji może korzystać na urządzeniach lub ile czasu może spędzać przed ekranem, to rzuć okiem na nasze mini-szkolenie pt. “Cyberbezpieczeństwo dla Rodziców“. Przyjrzeliśmy się tam wszystkim dostępnym na polskim rynku rozwiązaniom “dla rodziców” i wiele z nich bardzo negatywnie oceniliśmy. Ale poza tym czego nie używać, pokazujemy czego użyć i jak to skonfigurować, aby zapewnić dziecku maksymalne bezpieczeństwo i prywatność. Tylko do końca poniedziałku możecie kupić to szkolenie po niższej o 25 PLN cenie z kodem ZEGAREK. Kod działa tylko do końca poniedziałku ale na obejrzenie szkolenia macie 30 dni, więc na pewno zdążycie. Tutaj bezpośredni link do koszyka.

Popularne w Polsce zegarki też są podatne bo korzystają z dziurawej chińskiej platformy SETracker

Stykas przeanalizował ponad 70 dziecięcych zegarków oraz lokalizatorów samochodowych. Ustalił, że 30+ marek, w tym popularne w Polsce zegarki marki Garret, korzystają z zaplecza chmury YiQingTeng / Wonlex / SETracker, a kolejne 30 z platformy NewGPS2012. Kolejną platformą tego typu jest SinoTrack. Każda z nich obsługuje dziesiątki milionów różnych urządzeń GPS sprzedawanych pod różnymi markami i w każdej z nich badacz znalazł błędy bezpieczeństwa.

To oznacza, że nawet jeśli jakiś polski sprzedający zegarki albo trackery producent podczas konfiguracji urządzenia odsyła Cię na własną stronę i widzisz tam jego logo, to jest spora szansa, że pod spodem i tak znajduje się jedna z wcześniej wymienionych, dziurawych chińskich platform. Norweski rząd już parę lat temu ostrzegał rodziców przed kilkoma tanimi chińskimi zegarkami sprzedawanymi na terenie Norwegii:

W SETracker problem miał polegać na braku poprawnego sprawdzenia, czy dana osoba ma prawo wysłać komendę do konkretnego zegarka. W SinoTrack badacze opisali m.in. konto demonstracyjne dające dostęp do urządzeń oraz SQL injection, czyli błąd pozwalający traktować dane wejściowe jak polecenia dla bazy danych. NewGPS2012 miało mieć podobne problemy i co ciekawe, także ślady wcześniejszego włamania. Nie jest jasne, czy te błędy to wynik beztroskich przeoczeń, czy celowo zostawione backdoory. Tylko SETracker potwierdził badaczom, że błędy poprawił. Pozostali dostawcy milczą, a znalezione błędy dalej da się wykorzystywać.

Swoją drogą, to niesamowite, że niezależnie od kraju, usługi których celem jest bezpieczeństwo dzieci, nawet te świadczone przez znane i duże fimry, są skrajnie niedopracowane. Popatrzcie na opinie zostawione przez klientów pewnego elektromarketu jednemu z “tanich” dziecięcych smartwatchy sprzedawanych w Polsce:

Co powinni zrobić rodzice?

Jeśli kupiłeś swojemu dziecku tani, niemarkowy a marketowy albo aliexpressowy zegarek, to najlepiej jest go wyłączyć i wyrzucić. Inaczej ryzykujesz wyciek zdjęć i nagrań audio, nie tylko Twojego dziecka, ale także każdej osoby w okolicy której dziecko się znajduje. No chyba, że masz kontakt z importerem albo producentem i ufasz, że przekaże Ci wiarygodną informację na temat backendu, z którego korzysta do obsługi swojego produktu. Te produkty są tworzone masowo, szybko i tanio, bez troski o bezpieczeństwo.

Z naszych testów wynika, że najlepszym rozwiązaniem jeśli chodzi o smartwatch dla dziecka jest dowolny najstarszy i najtańszy Apple Watch, który tylko dacie radę kupić i który obsługuje GSM. Bo umożliwia śledzenie pozycji dziecka oraz wykonywanie oraz odbieranie połączeń, ale daje większe bezpieczeństwo niż “chińczyki” i przede wszystkim jest w stanie przetrwać dzień na baterii. A to ważne :) Ale uwaga!

Jego konfiguracja w trybie “dla dziecka” wymaga jednak znajomości kilku trików, aby to wszystko sprawnie zadziałało — i o tym, ale także o innych sprawdzonych i gwarantujących maksymalne bezpieczeństwo technikach nie tylko lokalizacji ale również ochrony dzieci przed zagrożeniami cyfrowymi ze strony urządzeń i aplikacji opowiadamy podczas praktycznego szkolenia online pt. “Cyberbezpieczeństwo dla Rodziców“.

autopromocja

5-16 lat

obowiązkowy

tylko do końca poniedziałku

niższej o 25zł cenie

ZEGAREK

Kod działa tylko do końca poniedziałku ale na obejrzenie szkolenia macie 30 dni, więc na pewno zdążycie. Tutaj bezpośredni link do koszyka.

Kierowcy BWM oburzeni. Samochód pokazał im reklamę Spider-Mana

2026-08-07T12:25:15Z

BMW, które kiedyś forsowało subskrypcje na podgrzewanie fotela, kolejny raz się kompromituje i pokazuje kierowcom, co naprawdę oznacza samochód stale połączony z serwerami producenta. Kilka dni temu, po uruchomieniu wybranych modeli tej marki, na ekranie centralnym pojawiał się komunikat zachęcający do obejrzenia video promującego film “Spider-Man: Całkiem nowy dzień”. Na szczęście film nie uruchamia się automatycznie podczas jazdy, ale reklama jest typowym spamem, który trafia do prywatnych samochodów osób wcale jej nie oczekujących. Ale nie to jest najgorsze…

Spider-Man wylądował na desce rozdzielczej

Ta spamerska kampania rozpoczęła się 27 lipca i wciąż trwa. Według BMW obejmuje ponad 70 państw oraz odpowiednio wyposażone samochody, które:

Najpierw, po uruchomieniu samochodu, na ekranie pojawia się baner. Jego dotknięcie włącza pełnoekranową animację, muzykę oraz zsynchronizowany pokaz oświetlenia wnętrza. BMW zapewnia, że materiał można uruchomić wyłącznie podczas postoju. Film jest dostarczany za pomocą oficjalnego kanału komunikacji z autem kontrolowanego przez producenta i aplikację Festive App.

To nie włamanie a producent

Sprawa jest ciekawa z punktu widzenia bezpieczeństwa: pokazuje, jak duży wpływ producent zachowuje nad interfejsem samochodu już po jego sprzedaży.

Gdzieś tam jest przycisk, który ktoś może nacisnąć, aby wyświetlić konkretny komunikat na ekranach samochodów BMW.

Ta funkcja powoduje naturalne pytania o to, jak można ją nadużyć? Kto ma do niej dostęp? Czy da się w ten sposób tylko wyświetlać filmy, czy wprowadzać też inne zmiany w konfiguracji samochodu?

Żeby było śmieszniej, BMW twierdzi, że to nie reklama… Jak przekazano dziennikarzom Business Insider, “Festive App prezentuje opcjonalne animacje związane z globalnymi i lokalnymi okazjami, a materiał nie jest formą reklamy”. Trudno jednak nie zauważyć, że animacja promuje komercyjny film, powstała w ramach współpracy BMW z Sony i Marvelem, a kończy się informacją o premierze kinowej. Ktoś tu na ciekawą definicję nie-reklamy…

Oburzeni kierowcy przypomnieli, że w grudniu 2023 roku Stephan Durach, wiceprezes BMW odpowiedzialny za rozwój usług cyfrowych, przekonywał podczas spotkania z mediami, że wnętrze samochodu jest prywatną przestrzenią i nie widzi możliwości sprzedawania jego ekranów reklamodawcom. Źle się to zestarzało.

Mam BWM — co robić, jak żyć?

Zacznijmy od tego, że kierunkowskaz w Twoim pojeździe możesz uruchomić taką dźwignią przy kierownicy ;)

A wracając do tematu samochodów jako komputerów na kółkach — w 2018 roku pisaliśmy: “Samochody coraz więcej czują, widzą i zapamiętują” (por. Jak śledzi Cię twój samochód? Odcinek 1: Skoda). Zastanawialiśmy się wtedy, jakie funkcje producent może zdalnie kontrolować. Rozważaliśmy, różnego rodzaju możliwości ograniczania tej inwigilacji, ale przyznajemy — nie przyszło nam wtedy do głowy, że kiedyś trzeba będzie instalować Adblocka w samochodzie…

Ciekawe czy następnym ruchem będzie oferta BMW w stylu “zanim pozwolimy Ci za darmo włączyć wycieraczki, obejrzyj ten krótki 5635 sekundowy film”…

Rosjanie wykradają e-maile ciekawym atakiem XSS. Agencja Wywiadu i SKW ostrzegają!

2026-08-06T12:05:38Z

Ten atak jest dość przerażający, bo ofiara w ogóle nie musi klikać ani w link, ani w złośliwy załącznik. Wystarczy, że otworzy e-maila…

Sprytny i potężny XSS wykradał e-maile

Jak ostrzega wiele służb specjalnych z różnych krajów, w tym nasza Agencja Wywiadu razem z SKW, rosyjska grupa TA488, znana też jako (Void Blizzard/Laundry Bear) w ciekawy sposób atakowała użytkowników webowego interfejsu poczty e-mail Zimbra. Ofiarom wysyłano e-maila w HTML-u, w którym znajdował się payload XSS, czyli złośliwy kod JavaScript:

Payload zdekodowany przez Proofpoint

Atakujący rozbijali niebezpieczne znaczniki fragmentami CSS @import i komentarzami, czego filtry Zimbry nie wykrywały, ale przeglądarka bez problemu składała w całość i wykonywała ukryte, złośliwe instrukcje. Kod atakujących miał dostęp do danych dostępnych dla zalogowanego użytkownika, a że nie zostawiał żadnego wyraźnego śladu w systemie ofiary w porównaniu do klasycznego malware, to EDR-y i antywirusy miały trudność z reagowaniem na ten atak.

Rosjanie próbowali wykradać:

wiadomości z ostatnich 90 dni,
książkę adresową organizacji,
hasła podpowiadane przez przeglądarkę,
awaryjne kody 2FA i token CSRF,

Tak, to wszystko jest możliwe i całkiem łatwe, dzięki zwykłemu JavaScriptowi. Jeśli chcesz się nauczyć, jak dziury typu XSS wykrywać i łatać w swoich aplikacjach, aby uniemożliwiać takie ataki (ale także jak tego typu podatności uzbroić, żeby omijać filtry i robić nawet bardziej zaawansowane eksfiltracje danych) to przypominamy, że tylko do poniedziałku nasz Internetowy Kurs Ataków XSS można kupić aż o 30% taniej z kodem XSS30.

Dostęp do 30 lekcji, które krok po kroku prowadzą przez ten temat “od zera do bohatera”, a także dostęp do środowiska labowego, gdzie można wszystko bezpiecznie potestować w praktyce otrzymujesz na zawsze

Dostęp jest na zawsze, ale atrakcyjna cena tylko do poniedziałku — więc nie zwlekaj z zakupem — taka okazja już nie wróci. W poniedziałek zamykamy sprzedaż. Tutaj przeczytasz więcej o tym kursie i zobaczysz lekcję demo.

Co ciekawe, ten atak XSS zawierał także payload, który tworzył hasło aplikacyjne “ZimbraWeb” i włączał dostęp przez IMAP. To pozwalało atakującym wrócić do skrzynki pocztowej użytkownika przez klasyczne protokoły: IMAP, POP3 bez konieczności podawania standardowego drugiego składnika, jeśli ofiara miała aktywne dwuskładnikowe uwierzytelnienie. Sprytne! A jak wykradano dane? Jeszcze sprytniej. Przez zapytania DNS, korzystając z takiej konstrukcji https://d-{IDENTIFIER}.{DATA_TYPE}.{BASE32_ ENCODED_DATA}.i.{DOMAIN}/pixel.gif

Mam Zimbrę — co robić, jak żyć?

Nie wpadaj w panikę. Choć szczegóły ataku ujawniono teraz, a ataki miały miejsce w 2026 roku, to okazuje się że poprawka usuwająca możliwość wstrzyknięcia XSS do Zimbry została wydana już w listopadzie 2025 roku. Jeśli jej nie wdrożyłeś, to zrób to natychmiast. A dodatkowo srpawdź wpisy w /opt/zimbra/log/audit.log pod kątem operacji CreateAppSpecificPassword i usuń nieznane hasła aplikacyjne. Warto też przejrzeć nietypowe zapytania DNS, operacje eksportów skrzynek. Pamiętaj, że jeśli doszło do kradzieży poczty, to trzeba będzie ustalić, do czego dany użytkownik mógł mieć dostęp…

Niestety celem Rosjan było wiele sektorów: instytucje rządowe, naukowe i zbrojeniowe — zwłaszcza ukraińskie. Komunikaty służb — w tym polskich — wskazują też sektory:

Ten incydent przypomina, że rady: nie klikać, nie pobierać, nie instalować nie są wystarczające. W tym przypadku trzeba byłoby powiedzieć: nie otwierać maili — a wiemy, że taka rada raczej w żadnej firmie nie przejdzie.

I wszystko to poprzez podatność XSS… o której wszystko pod kątem wykrywania, uzbrajania i usuwania z Waszych aplikacji dowiecie się z naszego Krótkiego Internetowego Kursu XSS — o ile zdążycie przed poniedziałkiem. Warto, ten kurs nabyć, nawet jeśli teraz nie macie czasu, żeby “siąść do materiałów”, bo dostęp dajemy na zawsze a wiedza oraz techniki są ponadczasowe. Ale kod obniżający cenę nie, dlatego nie zwlekajcie i szybko piszcie do szefa o sfinansowanie dostępu. Tutaj pełen opis tego kursu.

Programisto, pentesterze – na chwilę wraca nasz kurs XSS – do poniedziałku 30% taniej!

2026-08-04T09:10:35Z

Najpierw krótko, dla tych którzy znają jakość naszych materiałów edukacyjnych:

tylko do poniedziałku oferujemy wieczysty dostęp do 30 lekcji i wirtualnego środowiska labowego, które nauczy Cię wszystkiego na temat technik wykrywania, exploitowania i usuwania/zwalczania podatności XSS. Kod XSS30 obniża cen — tutaj znajdziecie link od razu do koszyka.

Krótki Internetowy Kurs XSS

A teraz wersja dłuższa: Niezależnie od tego, czy aplikacje tworzysz z użyciem AI czy nie, jednym z najczęstszych błędów jakie pojawiają się w kodzie są “wstrzyknięcia”, głównie JavaScriptu, czyli właśnie XSS-y. No i właśnie tego jak podchodzić do wstrzyknięć (nie tylko JavaScriptowych) z perspektywy zarówno atakującego jak i obrońcy uczy nasz Krótki Internetowy Kurs XSS. Właśnie ponownie otwieramy jego sprzedaż, ale tylko do poniedziałku 10 sierpnia, do 23:59. Jeśli użyjesz kodu XSS30 kupisz go 30% taniej.

Kod działa tylko przez tydzień, ale dostęp do nagrań i platformy jest na zawsze. To oznacza, że naukę możesz zacząć nawet za rok, jeśli teraz nie masz czasu. Kupić warto teraz, bo w kolejnym oknie sprzedażowym cena będzie wyższa.

Dzięki temu szkoleniu:

Dostęp do środowiska labowego i seria praktycznych labów

Nasze szkolenie online, to nie tylko oglądanie filmów, na których trener prezentuje ataki na aplikacje i tłumaczy jak się przed nimi chronić. Otrzymujesz dostęp do środowiska labowego, na którym samodzielnie wykonasz omawiane ataki i przez praktykę utrwalisz wiedzę przechodząc przez przygotowane przez nas laby.

Zapisując się na kurs otrzymujesz:

Idealny na początkujących i średnio zaawansowanych

Nie musisz być pentesterem. Kurs uczy tematyki ataków i ochrony przed XSS od zera do naprawdę-zaawansowanego-bohatera. Jest odpowiedni dla osób zaczynających swoją karierę z tworzeniem aplikacji lub cyberbezpieczeństwem (wystarczy podstawowa znajomość HTML i JavaScript). Kurs prowadzi Jakub “unknow” Mrugalski — doskonale Wam znany, wieloletni trener Niebezpiecznika, którego szkolenia są bardzo wysoko oceniane.

Wykorzystaj swój firmowy budżet szkoleniowy!

Większość z uczestników naszych szkoleń opłaca je z firmowego budżetu szkoleniowego. Dlatego jeśli potrzebujesz “argumentów dla szefa” daj nam znać tutaj. Prześlemy Ci PDF z którym możesz dołączyć do wniosku o zakup tego szkolenia przez firmę.

No i na koniec, jeszcze raz — dostęp do nagrań i platformy jest bez ograniczenia czasowego, ale kod obniżający cenę działa tylko do poniedziałku. Po tym terminie wyłączamy rabat i zamykamy sprzedaż, a ta obniżona cena już nigdy nie wróci. Dlatego jeśli chcesz nauczyć się jak atakować i bronić webaplikacje, nie zwlekaj i zapisz się już teraz!

Żabka zhackowana. Co wyciekło?

2026-08-03T20:49:56Z

Ktoś wykradł dane z serwerów Żabki i oferuje je na sprzedaż za śmiesznie niską cenę. W dodatku rozsyła e-maile “informujące o ataku” do firm, które z Żabką współpracują i do dziennikarzy. Dodatkowo, w sklepach Żabki trwa właśnie awaria powodująca błędne naliczanie rabatów. I wszystko to dzieje się 2 dni po tym, jak oficjalnie ogłoszono zamiar nabycia wszystkich akcji Żabki przez Circle K…

Dane wykradzione z Żabki wystawione na sprzedaż

Wczoraj w godzinach porannych na naszą skrzynkę e-mail (a także na skrzynki kilku zagranicznych redakcji) przesłano dziwnego e-maila. Wiadomość sugerowała problem bezpieczeństwa w systemach Żabki, ale nie zawierała żadnych szczegółów. Kilka godzin później, na jednym z forów dla przestępców pojawiło się ogłoszenie, w którym ktoś zaoferował sprzedaż sporej ilości danych wykradzionych Żabce ale za śmiesznie niską kwotę: jedyne 5000 EUR.

Do ogłoszenia dołączono próbkę, której zawartość sugerowała, że atakujący co najmniej miał dostęp do żabkowej Jiry, czyli systemu w którym pojawia się wiele wartościowych zgłoszeń np. błędów technicznych i który wykorzystywany jest do zarządzania projektami.

Równocześnie, jak poinformowała nas jedna z Czytelniczek, która zastrzegła swoje dane do wiadomości redakcji, na skrzynki pocztowe kilku podwykonawców Żabki zaczęły być rozsyłane wiadomość od atakującego. Informował w nich “poszkodowanych pracowników podwykonawcy”, że ich dane wyciekły w wyniku ataku na Żabkę.

Oto, co — jeśli wierzyć atakującemu — udało mu się wykraść z serwerów Żabki:

Dane osobowe: Nazwiska, adresy e-mail (w domenie @zabka.pl), nazwy użytkowników JIRA (pracowników i kontraktorów) pozyskane z 541,000 ticketów w JIRA (w tym 20+ pochodzących z domen partnerów Żabki, tj. Accenture, Netguru, Onwelo, BlueSoft i Sygeon).
Poufna dokumentacja projektowa pozyskana z 229,734 ticketów JIRA działów IT i service desk, informacje dotyczące systemów POS (Nowa Kasa), sprzedażowych (ZSS), platform zamówień i magazynowe (Cyberstore, zMarket), SAP ERP + MDG, integracja z Lotto i “strategic project portfolios”.
Kod źródłowy i dane o infrastrukturze IT: pochodzący z 89 repozytorów Git (~11,739 plików, cs-market, backend microservices (Java/Spring), frontend React apps, infrastructure-as-code (Terraform, Kubernetes Helm charts, ArgoCD), CI/CD pipelines i wewnętrzne narzędzia developerskie)
Dane dostępowe (produkcyjne):
GitLab Personal Access Token (reused across all 89 repositories)
5 production messaging passwords (64 characters each)
Solace broker credentials
MongoDB admin passwords
Hardcoded .env tokens – all providing live access to production systems.
Infrastructure Mapping: Complete Azure/AKS production environment details, including:
16 production database clusters
Service mesh configuration (Istio)
Observability stack (Elastic, Prometheus, Grafana)
Direct SSH access patterns to individual store servers (port 90 with local PostgreSQL databases)
Sensitive Business Intelligence:
Vendor relationships
Bug/outage history
Retail operations data (POS, sales, orders, inventory)
Incident reports (198,610 mentions)
RODO/GDPR references (35,206)
Bank account / IBAN mentions (~4,000+ unvalidated)
Test account personas with real shop IDs

Jak widzicie, jest tego sporo i jeśli potwierdzi się, że rzeczywiście te wszystkie dane zostały pozyskane, to Żabka może mieć sporo pracy zarówno w analizowaniu zakresu tego incydentu jak i podczas rotacji sekretów.

Żabka potwierdziła incydent

Zwróciliśmy się do Żabki z pytaniami w sprawie tego ataku. Oto odpowiedzi, które otrzymaliśmy dziś o 22:20 z biura prasowego:

Czy potwierdzacie Państwo że doszło do kradzieży danych? Jeśli tak, kiedy i w jakiej skali?
Pod koniec ubiegłego tygodnia wykryliśmy nieautoryzowany dostępu do wybranych zasobów technicznych wspierających wymianę informacji między franczyzodawcą a franczyzobiorcami. Do nieautoryzowanego dostępu doszło przy wykorzystaniu konta zewnętrznego dostawcy usług. Nieuprawniony dostęp został wykryty i niezwłocznie zablokowany zgodnie z obowiązującymi procedurami bezpieczeństwa.
Bezpieczeństwo danych transakcyjnych i usług konsumenckich, poufność danych aplikacji “Żappka” oraz działalność operacyjna pozostają nienaruszone. Zgodnie z naszą obecną wiedzą sprawca uzyskał dostęp do systemu kolejkowania zgłoszeń.

Jakie działania podjęła Żabka i czy wszyscy poszkodowani otrzymali, bądź otrzymają od Żabki informacje dotyczące ewentualnych zagrożeń w związku z tym incydentem?
Niezwłocznie po wykryciu nieautoryzowanego dostępu, wdrożyliśmy nasze procedury reagowania na tego typu zdarzenia. Działając transparentnie i niezwłocznie, zgodnie z obowiązującymi przepisami prawa oraz wewnętrznymi procedurami, sprawa została przekazana Inspektorowi Ochrony Danych w Żabka Polska sp. z o.o., zgłoszona do Prezesa Urzędu Ochrony Danych Osobowych oraz wyspecjalizowanym organom ścigania. Osoby, których dane zostały objęte incydentem są bezpośrednio na bieżąco informowane o charakterze zdarzenia, możliwych zagrożeniach oraz rekomendowanych środkach ostrożności.

Czy wiadomo kto stoi za atakiem?
Bezpieczeństwo danych pozostaje dla nas priorytetem. Nie komentujemy szczegółów trwającego postępowania, w tym kwestii dotyczącej sprawcy. Współpracujemy z właściwymi organami ścigania i ekspertami. Podjęliśmy niezbędne działania w celu zapewnienia bezpieczeństwa.

Czy problemy z naliczaniem rabatów w sklepach Żabki na terenie całego kraju są wynikiem tego ataku?
Nie. Problemy z naliczaniem rabatów wynikały z błędu wewnętrznego w konfiguracji mechanizmu promocyjnego.

Odpowiedzi Żabki potwierdzają nasze wcześniejsze domysły. Obstawialiśmy przejęcie uprawnień jednego z pracowników lub pracownika partnerów Żabki, który dysponował dostępem przynajmniej do JIRY (albo tylko do JIRY). Na podstawie opublikowanych przez atakującego informacji oraz odpowiedzi odesłanych przez Żabkę nie da się jednak określić, czy wszystkie wymienione przez atakującego dane można było pozyskać tylko żabkowej JIRY wprost. Zgadujemy, że atakujący wykorzystał umieszczone w JIRZE informacje takie jak tokeny/hasła/konta testowe aby dostać się do kolejnych systemów.

Zaskakujący czas

Ten incydent jest pod kilkoma względami dziwny. Po pierwsze: sposób komunikacji atakującego i cena sugerują, że celem nie jest zarobienie na wykradzionych danych. Warto też zauważyć, że konto użyte do publikacji ogłoszenia na przestępczym forum jest świeże.

Po drugie: ujawnienie ataku tuż po istotnym dla akcjonariuszy Żabki wydarzeniu (zamiar sprzedaży 100% akcji) niektórym sugeruje, że może to być strategia obniżenia wyceny spółki.

Czy atak jest powiązany z transakcją sprzedaży i ma/miał na nią wpłynąć? Ciężko powiedzieć. Z ujawnionych przez atakującego próbek wynika, że miał on dostęp do infrastruktury Żabki aż do 29 lipca 2026, a wtedy jeszcze informacje o sprzedaży nie były publicznie dostępne.

Jestem klientem Żabki — co robić, jak żyć?

Jeśli Wasze dane w istocie zostały wykradzione w tym ataku, zapewne na dniach dostaniecie od Żabki informacje na ten temat. Ale my już teraz — jak zwykle — polecamy założyć najgorsze. Jeśli jakieś swoje dane kiedykolwiek przekazywaliście Żabce (w zgłoszeniach, reklamacjach, podpisywanych umowach, wypełniając formularze konkursów, itp.) — załóżcie, że mogły się one znaleźć na jednym z systemów do których atakujący uzyskał dostęp i są mu znane (i mogą stać się publicznie dostępne).

Bądźcie więc wyczuleni na wszelkie próby kontaktu w tematach “okołożabkowych”: promocje, konkursy, oferty. Ktoś może chcieć wyłudzić od Was dodatkowe dane. Zresztą atakujący nie muszą poszywać się pod Żabkę, mogą danymi które Żabce przekazaliście uwierzytelniać się w rozmowie z Wami w zupełnie innym kontekście.

Ze względu na dostęp do kodów źródłowych i nieokreślony do tej pory czas przebywania atakującego w infrastrukturze Żabki, sugerowalibyśmy chwilowe powstrzymanie się od instalowania aplikacji, dodatków i innego oprogramowania związanego z Żabką do czasu pełnego wyjaśnienia sprawy przez firmę. (choć przypomnimy, że wg Żabki “poufność danych aplikacji Żappka” nie została naruszona).

Jeśli dowiemy się czegoś nowego w tej sprawie, zaktualizujemy ten artykuł. A jeśli Wy zauważycie coś dziwnego w tym temacie, dajcie znać w komentarzach lub pisząc na adres naszej redakcji.

2026.08.03 22:47
Jak informuje poznan_moment na Twitterze, teraz pojawiły się problemy z płatnościami kartą:

Jesteśmy zgubieni? Czyli o porażce Alertu RCB i polskiego systemu ostrzegania ludności

2026-08-03T10:36:21Z

Na łamach Niebezpiecznika zdarzyło nam się już krytykować niektóre z Alertów RCB (i szerzej: podejście do ostrzegania Polaków przed zagrożeniami). Ale to, co dzieje się w ostatnich dniach w związku z uderzeniem rosyjskiej rakiety Ch-101 w miejscowość Tarnawa-Kolonia w woj. lubelskim wymaga osobnego artykułu.

Gdzie spadła rosyjska rakieta?

Zacznijmy od faktów:

W nocy z 28.07 na 29.07 rosjanie użyli przeciwko Ukrainie 70 rakiet i 300 dronów. Ukraina strąciła większość z nadlatujących zagrożeń, ale nie wszystkie.
O 2:00 postanowiono poderwać polskie F-16, bo część rakiet do celów na Ukrainie docierała lecąc w kierunku Polski i zbliżając się do naszej granicy (większość finalnie zmieniła kierunek lotu). Za jednym z pocisków manewrujących, który leciał w kierunku Polski, podążał ukraiński F-16. Nie udało mu się go razić i przed granicą z Polską ukraiński pilot zawrócił, a pocisk manewrujący wleciał na teren Polski o 3:40. Nasze wojsko miało informacje na temat tego obiektu, ale polski F-16 nie zdążył go przechwycić i pocisk ten o 3.46 uderzył w pole rzepaku.

Nasz myśliwiec (…) znalazł się dokładnie w miejscu upadku, kiedy ten pocisk uderzył w ziemię. Gdyby rakieta kontynuowała lot, podjęta byłaby decyzja o zestrzeleniu jej. Natomiast rakieta upadła w terenie przygodnym, niezamieszkanym – poinformował dowódca operacyjny RSZ gen. Ireneusz Nowak.
O godzinie 3.50 w Lublinie i okolicy włączono się syreny alarmowe, budząc mieszkańców.

Decyzja o syrenach była słuszna, ale…

Wszyscy zgodzimy się z tym, że decyzja o włączeniu syren alarmowych była słuszna. Tak, zabrzmiały one już po upadku rakiety, ale trzeba pamiętać, że od decyzji “włączamy syreny” do startu syren mija trochę czasu. Jeśli minęło więcej niż 4 minuty, to oznacza, że decyzję podjęto kiedy pocisk manewrujący zmierzał w stronę Kraśnika i nie było wiadomo ani gdzie ani kiedy spadnie.

To czego zabrakło, to komunikatu, który powinien był się pojawić w radiu i w telewizji oraz na portalach.

Komunikatu, który wyjaśniałby dlaczego uruchomiono syreny. Bo od kilkunastu lat w Polsce nie mamy już wielu różnych alarmów dźwiękowych — osobnego dla “nalotu z powietrza”, osobnego dla “skażenia” itp. Mamy tylko jeden sygnał na start alarmu (3 minuty, dźwięk modulowany) i jeden na odwołanie (3 minuty, dźwięk ciągły). Dlatego właśnie, kiedy syreny zabrzmią, nie wiadomo czego alarm dotyczy (skażenia biologicznego? nalotu z powietrza? zagrożenia powodzią?) i dlatego powód alarmu powinien być podany w mediach. Oficjalna rządowa rada co do syren alarmowych brzmi tak:

Jeśli usłyszysz sygnał alarmowy, włącz radio lub telewizor i stosuj się do komunikatów

Ale 29 lipca o 3:50 w mediach żadnych komunikatów odnośnie tego co się dzieje nie było… System nie zadziałał więc w sposób kompletny. A powód alarmu to informacja krytyczna. Bo wyjście na zewnątrz, kiedy obszar został skażony chemicznie to niezbyt dobry pomysł. Podobnie jak pozostanie w domu, zamiast wyjścia na zewnątrz i ruszenia do schronu, kiedy trwa nalot (albo ewakuacja ze względu na podnoszący się stan wód).

Dlatego bardzo ciekawi nas, jaką decyzję podjęły osoby z okolic Lublina, które w czwartkową noc usłyszały syreny? Ilu zostało w domu, słuchając radia/TV w oczekiwaniu na komunikat? Ilu złapało za plecak ewakuacyjny i ruszyło do schronu? Ilu w ogóle miało plecak ewakuacyjny…? O to ile osób miało dostęp do schronów nie pytamy, bo wiemy że w Polsce schronów praktycznie nie ma. Są natomiast punkty schronienia, które w opinii części ekspertów od obrony cywilnej są nazywane “zbiorowymi mogiłami” i eksperci odradzają korzystanie z nich w przypadku bombardowań.

Alert RCB dolał oliwy do ognia

Oliwy do ognia dolał piątkowy Alert RCB, który ponad dobę (!) po upadku pocisku manewrującego przekazał Polakom następujący komunikat:

MSWiA: badz przygotowany. Pobierz: poradnikbezpieczenstwa.gov.pl

Ten Alert RCB był zły z wielu powodów. Po pierwsze, przed adresem strony rządowej nie wskazano protokołu (ani http ani https). Możemy się tylko domyślać dlaczego. Otóż dwa lata, po jednym z ataków spoofingowych, temu RCB pisało tak:

Przypominamy, że prawdziwe Alerty RCB nie zawierają linków ani prośby o kliknięcie w odnośnik (…) Jeśli otrzymasz wiadomość, która wygląda jak Alert RCB, ale zawiera link lub budzi Twoje wątpliwości, prosimy, abyś nie klikał w odnośnik i nie odpowiadał na wiadomość.

RCB chciało skierować ludzi do poradnika, ale wpadło na dość nieudolny pomysł jak przesłać linka nieprzesyłając linka. I wyszedł taki potworek. Potworek, bo smartfony i tak adres wykryły automatycznie i podkreśliły, robiąc z niego klikalny odnośnik, przy czym z protokołem ustawionym na http. A poradnik bezpieczeństwa serwowany jest po https. A więc doszło dodatkowe, niepotrzebne przekierowanie. Razy 40 milionów obywateli…

Ale poza zaprzeczaniem samemu sobie i podważaniem własnej wiarygodności, RCB wyrządziło jeszcze jedną szkodę. Umieszczając linka w SMS-ie przekreśliło wysiłki wielu branż, np. bankowości, która od lat stara się wykształcić w Polakach nieklikanie w linki w SMS-ach i e-mailach. No cóż, teraz teraz przynajmniej potwierdziliśmy, że ta nauka była nieskuteczna. Bo Polacy jednak masowo w ten link z SMS-a kliknęli i — no któżby mógł się tego spodziewać — rządowa strona ruchu 40 milionów obywateli (i dodatkowych 40 milionów przekierowań z http) nie wytrzymała.

To nie koniec kompromitacji. Ten zrealizowany na zamówienie RCB atak DDoS wygenerował ruch, który położył nie tylko stronę z poradnikiem ale również wiele z innych serwisów w domenie rządowej. A kiedy miliony Polaków widziało błąd ładowania strony, wicepremier Gawkowski powiedział:

Nie mamy żadnej awarii na stronach gov.pl. Nie mamy żadnego ataku. Link, który został wysłany przez Rządowe Centrum Bezpieczeństwa działa, ale mamy zwiększony ruch sieciowy wynikający z olbrzymiego zaintersowania

“Wodociągi kieleckie w sposób wzorcowy usuwają awarię…”

Ale… szukając pozytywów: przynajmniej teraz wiemy, że jeśli chcemy zDDoS-ować jakieś wrogie Polsce serwisy, to wystarczy jak RCB podeśle do nich linka w alercie :-D

Ja: potrzebujemy krajowych zdolności cyber do skutecznego ddosowania wrogów
Mama: mamy RCB-DDOS-botnet w domu https://t.co/yxoVnCODP2

— Niebezpiecznik (@niebezpiecznik) July 31, 2026

mAlert – pomysł polityków na na kolejną aplikację “ostrzegającą przed zagrożeniami”

Po takim paśmie porażek, coraz mocniej naciskany przez dziennikarzy i opinię społeczną minister spraw wewnętrznych i administracji Marcin Kierwiński zapowiedział, że powstanie “mAlert” — specjalna aplikacja do ostrzegania przed zagrożeniami.

Tu przypomnijmy, że o “mAlert” już jakiś czas temu wnioskowali politycy opozycji (Michał Dworczyk, Janusz Cieszyński), twierdząc że SMS nie jest idealnym mechanizmem do przesyłania ostrzeżeń (bo ograniczenie długości, brak multimediów, czas propagacji). Posłowie domagali się dodania specjalnej zakładki w której pojawiałyby się ostrzeżenia do mObywatela.

Na razie szczegółów co do tego jak finalnie ma wyglądać nowa aplikacja zapowiadana przez ministra Kierwińskiego brak. Wiadomo że “będzie uruchomiona specjalna aplikacja w ciągu kilkunastu najbliższych tygodni“. Pytanie, czy taka aplikacja w ogóle powstać powinna?

Kolejny rząd popełnia wciąż te same błędy…

Odnosimy wrażenie, że po czwartkowej porażce systemu ostrzegania obywateli przed zagrożeniami i piątkowym komunikacyjnym fiasku Alertu RCB rządzący panicznie szukają jakiegoś PR-owego wyjścia z tego bałaganu. Ale — w naszej ocenie — kolejna aplikacja dobrym wyjściem nie jest. Dlaczego? Powody są 4:

bo jest już przecież taka rządowa aplikacja: RSO (opisywaliśmy ją w 2017 roku!). Działa. Ma ostrzeżenia, które nie muszą mieć limitu znaków. Ma szybsze niż wysyłka SMS powiadomienia push. Ma dodatkowe poradniki. Czyżby minister nie był tego świadomy? Przecież autorem jest jego ministerstwo…
trzeba jednak pamiętać, że “ostrzeganie przez aplikację” wymaga, żeby ktoś miał smartfona i aplikację zainstalował
ale także, żeby miał dostęp do internetu (bez tego alertu nie odbierze)
jak również, żeby powiadomień nie miał wyciszonych (chyba, że aplikacja otrzymała od Apple zgodę na tzw. “Critical Alerts”)

W skrócie: kolejna aplikacja do ostrzegania Polaków, to kolejny raz powtarzanie tych samych błędów. Podsumujemy to tak:

My nie potrzebujemy kolejnej aplikacji. My potrzebujemy lepiej zorganizowanego systemu: szybszych procedur, koordynacji i współpracy między poszczególnymi elementami systemu.

A może Cell Broadcast zamiast SMS?

Zacznijmy od przypomnienia, czym jest Cell Broadcast i jakie ma wady i zalety w stosunku do SMS-ów.

Jak działa Cell Broadcast?
Cell Broadcast to technologia, która pozwala na konkretnie wyznaczonym obszarze sieci telefonii komórkowej nadawać stale, wielokrotnie komunikat tekstowy do wszystkich abonentów, którzy znajdą się w obrębie danego obszaru.

Jest szybciej. Bo w przeciwieństwie do SMS, komunikat nie jest osobno wysyłany na każdy numer telefonu. Nie jest potrzebna lista numerów telefonów odbiorców. Nie ma ryzyka “kolejkowania wiadomości” i taka wysyłka mniej przeciążą sieć.
Jest widoczniej. Bo w przeciwieństwie do SMS, komunikaty Cell Broadcast powodują, że telefon wydaje głośny dźwięk a powiadomienie o komunikacie jest pokazywane na ekranie bez względu na to, czy smartfon jest w trybie “nie przeszkadzać” i czy ma wyciszone dźwięki.
Jest skuteczniej. Bo w przeciwieństwie do SMS, komunikaty Cell Broadcast otrzymają osoby bez aktywnej karty SIM a co więcej, alerty Cell Broadcast są aktywne przez zdefiniowany czas, dzięki czemu ostrzeżenie otrzymają osoby, które w późniejszym czasie pojawią się na zagrożonym obszarze (o ile alert dla obszaru wciąż jest aktywny). Takie osoby nie dostałyby SMS-a jeśli nie byłoby ponownej wysyłki alertów SMS-owych.
Jest tak samo, jeśli chodzi o multimedia, zarówno Cell Broadcast jak i SMS to tylko tekst
Jest równie (nie)bezpiecznie, jeśli chodzi o jamming czy spoofing. Mając IMSI Catchera można wysłać fałszywy alert zarówno po Cell Broadcast jak i SMS-em (niuanse tych ataków rozwijamy niżej)
Nie jest pewne, jak taki komunikat odbiorą i zaprezentują użytkownikowi mniej popularne smartfony. Zwykły SMS odbierze każdy telefon, natomiast logika obsługi komunikatu Cell Broadcast przez niektóre “chińczyki” może być niestandardowa.

Dyskusje o tym, żeby ostrzegać Polaków poprzez mechanizm Cell Broadcast są starsze niż wdrożenie w Polsce Alertu RCB. Opisywaliśmy ten mechanizm w 2017 roku oraz w 2022 roku, kiedy zastanawialiśmy się nad pomysłem ówczesnego rządu, który chciał preinstalować na smartfonach Polaków specjalne apki ostrzegające przed zagrożeniami. Prace nad uruchomieniem mechanizmu Cell Broadcast trwały w Polsce za czasów poprzedniego rządu — wzmianki na jego temat znajdowały się w projekcie ustawy. Ale wraz ze zmianą władzy, temat ucichł. Dlaczego? Pytaliśmy i polityków i operatorów i ekspertów od obrony cywilnej i w zasadzie ciężko ustalić oficjalny powód, dla którego Cell Broadcast kiedyś był rozważany, a teraz już nie jest. Wiemy na pewno, że wdrożenie Cell Broadcast do obsługi Alertu RCB wiązałoby się z kosztami idącymi w miliony dla każdego z operatorów — ale patrząc na zyski tych firm, raczej nie byłby to dla nich zauważalny wydatek w budżecie. Wiemy też, że w wywiadzie dla Rzeczpospolitej ze stycznia 2025, Zbigniew Muszyński, dyrektor RCB powiedział tak:

W Ukrainie (Cell Broadcast) został przejęty przez Rosjan. Z informacji przekazanych przez służby wynika, że możliwość „podszycia się” pod Alert RCB w formie cell broadcastu jest zdecydowanie większa niż w przypadku wysyłki SMS-owej

Nie udało nam się znaleźć żadnego potwierdzenia co do “przejęcia Cell Broadcast” przez Rosjan na Ukrainie. Ale faktem jest, że — w uproszczeniu — w przeciwieństwie do SMS-ów dla sieci 4G i 5G, komunikaty Cell Broadcast nie są “kryptograficznie uwierzytelnione“, więc smartfon nie wie, czy pochodzą one od prawdziwego operatora, czy kogoś, kto w okolicy odpalił IMSI Catchera. Tylko że tak samo na spoofing podatne są klasyczne SMS-y. IMSI Catcher po prostu zrzuci ofiary do sieci 2G/3G, prześle im SMS-a od “Alert RCB” i efekt będzie taki sam (za wyjątkiem użytkowników iPhonów, którzy mają włączony Lockdown, bo ta opcja ignoruje tak podstawiane SMS-y).

Mówiąc wprost:

Cell Broadcast ma w naszej opinii więcej zalet niż wad, a podatność na atak jest lokalna i taka sama jak dla rozwiązania aktualnego bazujacego na SMS-ach.

Wnioski

Wydaje się więc, że najbardziej potrzebnym udoskonaleniem polskiego systemu ostrzegania ludności przed zagrożeniami jest:

Wdrożenie Cell Broadcastu. Choć kosztowne (dla opertorów) to dające realne zalety (szybkość, precyzja) przy takim samym poziomie ryzyka jak SMS-y (możliwość spoofingu za pomocą lokalnego IMSI Catchera). System może działać na starcie równocześnie z wolniejszym i mniej dokładnym powiadamianiem SMS-owym. Te osoby, którym komunikaty Cell Broadcast pojawiają się poprawnie, mogłyby wysłać “STOP” na najkiś numer, aby wypisać się ze “starych” SMS-ów od Alertu RCB.
Odświeżenie aplikacji RSO. Wprowadzenie uprawnienia do lokalizacji użytkownika po GPS, co pozwoli na bardziej precyzyjne powiadomienia bazujące na aktualnej lokalizacji użytkownika. Zawnioskowanie o tzw. “krytyczne powiadomienia”, które podobnie jak komunikaty Cell Broadcast przebijają się przez tryby “nie przeszkadzać” i towarzyszy im dźwięk alarmu nawet przy wyciszonych odgłosach telefonu.
Usprawnienie komunikowania powodów uruchomienia syren alarmowych, czyli błyskawiczne informacje na ten temat w radio i TV (ale również w RSO i poprzez alerty Cell Broadcast)

Warto na koniec zwrócić uwagę, że:

każdy, nawet ten najsprawniej działający system ostrzegania ludności przed zagrożeniami, do niczego się nie przyda, jeśli osoby go obsługujące w porę nie otrzymają wyprzedzających informacji o nadciągającym zagrożeniu.

Z burzami i tsunami jest dość prosto — widać je na radach i sondach, jest sporo czasu na reakcję. Natomiast z rakietami zmierzającymi w stronę naszego kraju jest trudniej, bo czasu jest zdecydowanie mniej. Radary część z pocisków widzą, ale prędkość pocisku i horyzont radiolokacyjny wynikający z krzywizny Ziemi (tak, nie jest płaska!) powoduje, że zanim informacja o zagrożeniu dotrze do RCB i błyskawicznie zostanie przesłana do Polaków, i tak może być już za późno.

Dlatego warto byłoby zastanowić się, czy nie powinniśmy — wzorem Ukraińców — zbudować gęstej sieci czujników akustycznych, które na Ukrainie z powodzeniem wykrywają nadlatujące drony, także te niskolecące, trudnowidoczne/niewidoczne dla radarów (por. Zvook/Sky Fortress, FENEK, ARes). Mogłyby one świetnie uzupełnić tworzoną przez Wojska Obrony Cyberprzestrzeni aplikację Horyzont do zgłaszania zagrożeń.

Istotny apel na koniec, do Was wszystkich

System ostrzegania, systemem ostrzegania. Ale pamiętajcie, że ze względu na opisane powyżej słabości, przed niektórymi zagrożeniami możemy nie zostać w porę ostrzeżeni nawet jeśli będziemy mieli najdoskonalszy system ostrzegania ludności. Dlatego na kryzys (niekoniecznie od razu rozumiany jako “wojna”) warto się samodzielnie i zawczasu przygotować. Żeby nie marnować czasu, kiedy trzeba będzie się ewakuować albo kiedy po prostu zabraknie prądu, wody, internetu lub paliwa z jakiegokolwiek powodu.

Jak się za to zabrać, poza lekturą “Poradnika Bezpieczeństwa“? Śledźcie ekspertów z danych branż. Jeśli chodzi o tematykę obrony cywilnej to polecamy profil Zarządzanie Kryzysowe. Jeśli chodzi o kwestie nadlatujących nad Polskę pocisków manewrujących, to ciekawie opowiada o nich Michał Fiszer.

Polecamy te ż rzucić okiem na trzy konkretne poradniki, które stworzyliśmy z ekspertami z danych branż:

Darmowy Jak przygotować się na kryzys? z Michałem “lcamtufem” Zalewskim
Ty wybierasz ile płacisz: Radiokomunikacja dla amatorów — jak komunikować się z bliskimi i korzystać z interentu, kiedy nastąpi blackout z Wojciechem Bielakiem (SQ9PBS)
Zapłać ile chcesz: Pierwsza pomoc dla każdego z lekarzem Jakubem Sieczko, instruktorem medycyny ratunkowej, który na co dzień lata w Lotniczym Pogotowiu Ratunkowym do najcięższych wypadków.

Zresztą, powyższe materiały warto po prostu znać nawet jeśli żadnych sytuacji kryzysowych nie ma na horyzoncie.

Wszystkiego bezpiecznego! I do kolejnego Alertu RCB — oby tylko o nadchodzącym deszczu.

Tysiące projektów z poufnymi danymi jest “nieświadomie” udostępnianych przez użytkowników narzędzi AI

2026-07-29T16:54:33Z

Choć nikt już nie korzysta z Google do wyszukiwania informacji, to ta wyszukiwarka wciąż może zwracać “przydatne” wyniki. Jeśli wpiszecie “site:claude.ai/public/artifacts” znajdziecie tysiące projektów stworzonych w narzędziach AI od Anthropic. Ale podobne zapytania ujawnią też projekty z ChatGPT od OpenAI czy Groka.

O tym jak ważne jest dbanie o bezpieczeństwo podczas vibecodowania, czyli tworzenia własnych aplikacji za pomocą narzędzi AI, mówiliśmy podczas naszego szkolenia wprowadzającego do tematyki vibecodingu.

Psst, to szkolenie jest dla każdego, nawet tych co nie potrafią programować, więc jeśli jeszcze nie zaczęliście swojej przygody z tworzeniem aplikacji lub serwisów internetowych, to polecamy Wam zobaczyć nagranie tego szkolenia i poczytać dziesiątki przydatnych i prowadzących “za rączkę” checklist i poradników, które do niego dorobiliśmy — dostęp do nagrania z tymi materiałami znajdziecie tutaj).

Ale wciąż nie do wszystkich dociera, że to co wrzucają do “chata” i to do czego dają dostęp swoim agentom AI, może stać się publicznie dostępne (ani, że niekiedy w ogóle zgodnie z prawem nie powinni udostępniać pewnych danych modelom AI, które nie są modelami lokalnymi).

Oczywiście, nie wszystkie z udostępnianych przez użytkowników narzędzi AI artefaktów czy aplikacji zawierają poufne dane i są “incydentem bezpieczeństwa”. Ale są takie, które budzą niepokój. Tutaj przykład danych wyglądających na medyczne:

Tak się kończy służba zdrowia. W prywatnym czacie z klodem, publicznie zindeksowanym przez google https://t.co/28NrJkpsYd pic.twitter.com/3EYkyf7MEU

— Max Stolze (@WaxBallze) July 27, 2026

I takich przypadków jest więcej. Powstała już strona kolekcjonująca co ciekawsze “artefakty”.

To jednak trochę wina narzędzia AI?

I można by było tu podkreślić, że to nie jest błąd narzędzi AI, bo one lojalnie ostrzegają do czego służy i co może spowodować funkcja udostępniania swojego projektu:

…ale przecież Antrhopic mógłby tak skonfigurować swoją infrastrukturę, aby zablokować możliwość indeksowania udostępnianych przez internautów treści w Google. Więc jednak trochę jest to wina samego narzędzia. No chyba, żę to świadomie działanie aby ułatwić przez Anthropic destylację swoich modeli przez Chińczykom? :)

Na koniec przypomnijmy że problem wycieków prywatnych rozmów i projektów użytkowników nie jest nowy — już rok temu była podobna afera. Jak widać, dostawcy AI potrafią dwa razy popełnić ten sam błąd. Dlatego w kwestii ochrony swoich danych przed wyciekiem lepiej polegać na swojej wiedzy i umiejętnościach.

Każdy mógł być pracownikiem stacji benzynowej MOL dzięki błędom w apce. Firma zignorowała zgłoszenie

2026-07-29T10:01:07Z

Wielokrotnie już powtarzaliśmy, że firmy muszą mieć kanał do bezpiecznego i skutecznego zgłaszania błędów w swoich produktach/usługach cyfrowych. Spółka paliwowa MOL teoretycznie taki kanał ma, ale nie zadziałał poprawnie w przypadku zgłoszenia od naszego Czytelnika.

KSC2 i NIS2 tego wymagają…

Żyjemy w czasach NIS2 i KSC2. To oznacza, że różne firmy (a zwłaszcza te o znaczeniu krytycznym) powinny przyjmować zgłoszenia podatności w swoich produktach od innych instytucji oraz niezależnych badaczy. Warto podkreślić, że skuteczny system przyjmowania zgłoszeń to ważny element procesu zarządzania ryzykiem.

Taki system zgłoszeń w teorii powinien obejmować:

opublikowanie jasnych zasad zgłaszenia firmie luk;
udostępnienie bezpiecznego kanału do zgłoszeń (np. specjalny formularz lub dedykowany e-mail z możliwością przesłania wiadomości szyfrowanej);
gwarancję bezpieczeństwa prawnego dla badacza działającego w dobrej wierze,
potwierdzenie odbioru wiadomości,
komunikację zwrotną.

Wdrażasz KSC2/NIS2 lub odpowiadasz za ten proces w swojej organizacji? Zobacz praktyczny poradnik Niebezpiecznika, który pomoże Ci sprawnie przeprowadzić wdrożenie. Stworzyliśmy skondensowane, konkretne szkolenie skupione wyłącznie na wymaganych ustawą zagadnieniach — bez zbędnego teoretyzowania, wielogodzinnych dygresji i poruszania tematów, które nie mają bezpośredniego znaczenia dla wdrożenia. Dzięki temu w ciągu zaledwie 3 godzin poznasz wszystkie kluczowe obowiązki i działania z 3 perspektyw: prawnej, audytowej oraz cyberbezpieczeństwa. Otrzymasz także dodatkowe materiały i checklisty, które ułatwią przygotowanie organizacji, przeprowadzenie wdrożenia oraz późniejszą kontrolę zgodności.

Nasze szkolenie to wszystko, czego potrzebujesz, konkret i praktyka bez rozwlekania materiału na 30 godzin. Z kodem NIS25 dostęp do szkolenia otrzymasz z 25% zniżką. Kod ważny jest tylko do 5 sierpnia 10:00. Tutaj link bezpośrednio do koszyka.

Tyle teorii, a jak jest w praktyce? W przypadku niektórych film jest po prostu jeden biurowy ogólny e-mail. Wiadomości z tego maila może czytać ktokolwiek, a jeśli wiadomość wpadnie do spamu to trudno. Tematu nie było :) Przekonał się o tym badacz bezpieczeństwa Filip Dębiński, który znalazł ciekawe luki w aplikacji MOL. Znalazł i niestety nie mógł ich skutecznie zgłosić, dlatego odezwał się do nas. Ale zacznijmy od początku.

Co znalazł Filip?

Filip zauważył, że webowa aplikacja MOL Move działa na Salesforce Sites. W toku analizy ustalił, że wszystkie customowe pola w Salesforce mają pewien specyficzny suffix. Wyszukując ten suffix w kodzie można było znaleźć interesujące fragmenty kodu zawierające informacje m.in. o typie konta użytkownika. Filip zauważył, że endpoint zapisujący dane profilu akceptował dodatkowe pola przesłane w requeście POST, nawet jeśli nie są one dostępne z poziomu interfejsu użytkownika. Dzięki temu możliwa była nieautoryzowana zmiana adresu e-mail konta, mimo że taka opcja nie jest dostępna nigdzie w systemie. Co więcej, zmiana odbywała się bez żadnej weryfikacji nowego adresu e-mail. Efekt? Można było “zostać pracownikiem” dosyłając pewne pole z określoną wartością.

Dzięki temu trickowi Filip ujrzał jak wygląda konto pracownika.

Konto pracownika MOL w aplikacji MOL

Filip natrafił też na dostęp do interfejsu Salesforce. Po wyszukaniu własnego konta mógł przejść do widoku swoich rekordów i edytować część danych bezpośrednio z poziomu Salesforce. Nie znalazł możliwości dostępu do danych innych użytkowników.

Podsumowując, możliwa była manipulacja kontem użytkownika, w tym:

eskalacja uprawnień (zmiana zwykłego konta na konto pracownika),
zmiana adresu e-mail mimo blokady w ustawieniach,
modyfikacja referral code (np. na dowolną wartość),
zmiana kodu karty lojalnościowej,
zmiana poziomu „Loyalty Tier” (np. z Basic na VIP),
uzyskanie dostępu do sekcji, które nie powinny być dostępne dla użytkownika (m.in. elementy powiązane z Salesforce).

To wystarczająco dużo błędów aby “przejąć się” i “coś z tym zrobić”.

I co na to MOL?

MOL to przedsiębiorstwo z branży przetwórstwa i dystrybucji paliw. Tego typu firma powinna mieć uporządkowane i dojrzałe podejście do obsługi incydentów cyber. Przede wszystkim powinna przyjąć i obsłużyć zgłoszenie. Tymczsem…

Filip zgłosił problemy z aplikacją 27 kwietnia. Nic się nie wydarzyło.
Kolejną próbę podjął 15 maja. Brak reakcji.
6 czerwca Filip usiłował zgłosić sprawę węgierskiej centrali firmy. Bez skutku.

Filip przedstawił nam historię “korespondencji” (czy też raczej jednostronnych prób kontaktu). Z powodu braku reakcji spółki, Filip zgłosił się do nas. 24 czerwca spytaliśmy biuro prasowe MOL o tę sprawę. Przesłaliśmy następujące pytania:

Czy MOL Polska jako istotny dostawca paliw i również firma ujęta w systemie cyberbezpieczeństwa w ogóle monitoruje zgłaszanie luk bezpieczeństwa w jego produktach?
Czy zgłoszenie Pana Filipa Dębińskiego zostało jakkolwiek dostrzeżona? A może nasza redakcja ma przekazać jego szczegóły?
Jakie reakcje zamierza podjąć MOL Polska w związku z tą sprawą. Jeśli nie zamierza nic robić i akceptuje ryzyko wynikające z błędów w aplikacji to również prosimy o potwierdzenie tego.

Na nasze pytania MOL zareagował 26 czerwca. Otrzymaliśmy telefoniczne potwierdzenie, że dostaniemy jakąś odpowiedź oraz – co ważne – poproszono nas o przesłanie szczegółów sprawy. To sugeruje, że MOL nie był w stanie od razu odnaleźć zgłoszenia Filipa po swojej stronie. Następnie otrzymaliśmy “odpowiedź” następującej treści:

Panie Redaktorze,
Ochrona danych naszych klientów oraz zapewnienie bezpieczeństwa naszych usług cyfrowych należą do najwyższych priorytetów MOL. Nieustannie monitorujemy, testujemy i wzmacniamy nasze systemy cyfrowe, aby proaktywnie identyfikować i zapobiegać potencjalnym zagrożeniom bezpieczeństwa. Ponadto każde zgłoszenie dotyczące potencjalnych podatności jest starannie weryfikowane i analizowane zgodnie z naszymi wewnętrznymi procedurami bezpieczeństwa. W razie potrzeby wdrażane są odpowiednie działania. Prosimy również zauważyć, że MOL nie prowadzi programu typu „bug bounty” i w związku z tym nie oferuje wynagrodzenia finansowego za zgłoszenia podatności. Z wyrazami szacunku, Biuro Prasowe MOL Polska

Właściwie jedyne co z tego wynika, to że MOL nie ma programu “bug bounty”. Nadal jednak nie wiedzieliśmy czy obsłużono zgłoszenie i zrobiono w tej sprawie cokolwiek. Dopytaliśmy więc, a odpowiedzi dostaliśmy 2 lipca. Poniżej nasze pytania i odpowiedzi jakie otrzymaliśmy:

Czy zgłoszona luka została sprawdzona i załatana?
Informacja o potencjalnej podatności została przekazana do odpowiednich zespołów w ramach Grupy MOL i jest obsługiwana zgodnie z obowiązującymi procedurami zarządzania bezpieczeństwem. Ze względów bezpieczeństwa nie komunikujemy szczegółów technicznych ani statusu konkretnych zabezpieczeń. Możemy natomiast zapewnić, że każde tego typu zgłoszenie jest weryfikowane, a w przypadku potwierdzenia podatności wdrażane są działania naprawcze.

Nawet jeśli MOL nie prowadzi programu Bug Bounty to w jaki sposób zgłaszać luki, aby to zgłoszenie zostało obsłużone?
W przypadku MOL Polska podstawowym kanałem kontaktu pozostaje adres: biuro@molpolska.pl. Zgłoszenia są przekazywane do właściwych zespołów w Grupie MOL i podlegają weryfikacji w ramach standardowych procesów bezpieczeństwa.

Dlaczego w przypadku pana Filipa zignorowano zgłoszenie?
Każda informacja dotycząca bezpieczeństwa jest w Grupie MOL traktowana priorytetowo i podlega wnikliwej analizie zgodnie z obowiązującymi standardami. W tym przypadku, niezwłocznie po otrzymaniu pełnych informacji, sprawa została przekazana do właściwych zespołów w Grupie MOL w celu dalszego procedowania. Z przeprowadzonej analizy wynika, że pierwotna informacja trafiła do właściwego kanału obsługi z opóźnieniem, ponieważ korespondencja została zaklasyfikowana przez serwery pocztowe jako spam.

Nie chcę przegapić zgłoszenia o błędzie w moim produkcie/systemie/aplikacji/usłudze — co robić, jak żyć?

I tutaj, na koniec, ważna informacja: zgłoszenia luk czasem trafiają do spamu, niekiedy jest to zrozumiałe (dużo kodu, różne triggerujące systemy bezpieczeństwa keywordy), dlatego dla skrzynki dotyczącej tego typu zgłoszeń warto filtry antyspamowe wyłączyć albo pamiętać o przeglądaniu spamu. W końcu robić będą to “fachowcy”. W naszej opinii Filip zrobił wszystko jak należy, ale zgłoszenie nie zostało obsłużone. MOL nie informuje o innych kanałach kontaktu niż e-mail (nawet biuro prasowe ma tylko taki kanał kontaktu). Owszem, można się dodzwonić do niektórych działów firmy (np. na infolinię karty paliwowej albo do zespołu ds. planowania dostaw), ale zgłaszanie problemu bezpieczeństwa niebezpośredni nie jest najlepszym pomysłem.

Dlatego, jeśli prowadzisz jakąkolwiek firmę, która ma stronę internetową lub aplikację to koniecznie zadbaj o łatwodostępną i czestosprawdzalną drogę zgłaszania Ci błędów — standardem w branży jest umieszczenie pliku security.txt w obrębie swojej domeny w ścieżce /.well-known/security.txt. Zachęcamy wszystkich, aby to zrobili, jeśli jeszcze takiego pliku nie mają.

No i zachęcamy do uporządkowania swoich procesów obsługi incydentów zgodnie z wytycznymi KSC2/NIS2 — a o tym jak to zrobić mówiliśmy podczas tego krótkiego i zwartego szkolenia. Tam zresztą jest o wiele więcej istotnych i praktycznych wskazówek dla osób, które muszą dostosować swoją organizację do wymogów nowej ustawy o Krajowym Systemie Cyberbezpieczeństwa (albo ustalić, czy muszą). Dla przypomnienia, z kodem NIS25 dostęp do tego szkolenia otrzymasz z 25% zniżką. Kod ważny jest tylko do 5 sierpnia 10:00. Tutaj link bezpośrednio do koszyka.

Został zatrzymany do kontroli i podał hasło, które skasowało zawartość smartfona zamiast go odblokować. Teraz może trafić do więzienia…

2026-07-28T15:02:32Z

Ciekawa sprawa z USA. Tamtejsza prokuratura oskarżyła Samuela Tunicka o podanie funkcjonariuszom granicznym hasła, które zamiast odblokować smartfona skasowało zapisane na nim dane. To chyba pierwszy przypadek postawienia zarzutów za użycie tzw. “duress password”, czyli hasła alarmowego uruchamiającego awaryjną procedurę ochrony prywatności poprzez skasowanie wszystkich danych z urządzenia.

Powyższa ilustracja została syntetycznie wygenerowana z wykorzystaniem sieci neuronowej podczas procesu inferencji modelu generatywnego typu text-to-image

GrapheneOS zrobił co do niego należało

Do zdarzenia doszło 24 stycznia 2025 roku na lotnisku Hartsfield-Jackson w Atlancie, kiedy Tunick wracał do kraju. Jego smartfon miał zainstalowanego GrapheneOS, czyli wzmocnioną pod kątem bezpieczeństwa i prywatności wersję Androida przeznaczoną głównie dla urządzeń Google Pixel. GrapheneOS umożliwia skonfigurowanie osobnego kodu, którego wpisanie uruchamia kasowanie danych zamiast odblokowania urządzenia.

Według aktu oskarżenia:

gdy funkcjonariusze wpisali podany przez Tunicka kod, ekran zgasł, kilka razy zamigotał, a urządzenie wyglądało tak, jakby się restartowało

Telefon mimo to zatrzymano, a prokuratura postanowiła wykorzystać rzadko stosowany przepis “18 USC 2232” mówiący o tym, że przestępstwem może być świadome zniszczenie lub uszkodzenie mienia, aby uniemożliwić jego kontrolę/zajęcie przez uprawnione służby.

Nie podobasz mi się chłopcze…

Tunick do winy się nie przyznaje, a jego obrońcy twierdzą, że już samo zatrzymanie i próba przeszukania telefonu były bezprawne. Według nich, funkcjonariusze nie pokazali nakazu, odmawiali Tunickowi kontaktu z prawnikiem i chcieli przeszukać urządzenie pod pretekstem poszukiwania materiałów przedstawiających seksualne wykorzystywanie dzieci.

Tu warto wspomnieć, że takie podejrzenia mogą zostać skierowane arbitralnie przez funkcjonariuszy w stosunku do każdej osoby, także Was, jeśli z jakiegokolwiek powodu nie spodobacie się amerykańskiemu pogranicznikowi. A jak już zostaniecie podejrzani o posiadanie tego typu materiałów, to wtedy funkcjonariusze “mogą więcej” niż podczas rutynowej kontroli.

Obrona przekonuje, że Tunick — jako aktywista — był na celowniku służb od dawna, a prawdziwym celem lotniskowej kontroli było znalezienie informacji o jego powiązaniach z ruchem sprzeciwiającym się budowie policyjnego ośrodka szkoleniowego “Cop City” w Atlancie. Z kolei funkcjonariusze i prokuratura utrzymują, że na granicy nakaz nie jest wymagany.

Lecisz do USA? Bądź tego świadomy…

Amerykański sąd apelacyjny niedawno potwierdził, że funkcjonariusze mogą ręcznie przeglądać telefon osoby przekraczającej granicę bez nakazu i bez zindywidualizowanego podejrzenia. Takie działanie jest uznawane za “rutynowe” przeszukanie graniczne, podobne w sensie prawnym do kontroli bagażu. Dopiero bardziej zaawansowana analiza wykonywana za pomocą narzędzi forensicowych wymaga mocniejszego uzasadnienia. No ale wszyscy wiemy, że jak się przekaże funkcjonariuszowi odblokowany telefon, to nagle z rutynowej kontroli telefon może zostać zakwalifikowany do forensicowego przeszukania — a to będzie wtedy dużo łatwiejsze i pełniejsze, bo telefon jest odblokowany.

Będę przekraczać granicę — co robić, jak żyć?

O ile funkcja alamrmowego hasła w przypadku Tunicka zadziałała dokładnie tak, jak została zaprojektowana, to pod kątem prawym mogła zamienić zwykłą “odmowę udostępnienia danych” (bo np. “nie pamiętam hasła”) w zarzut ich świadomego zniszczenia, a to problem większego kalibru.

Dlatego znacznie bezpieczniejszą strategią przed przekroczeniem ryzykownej granicy — a granica USA do takich należy — jest nieposiadanie poufnych danych na urządzeniu. Można zabrać wyczyszczony telefon a potrzebne pliki pobrać dopiero po dotarciu na miejsce. Jeśli ktoś podróżuje mimo wszystko z własnym, podstawowym smartfonem zawierającym jego dane przenoszone z telefonu na telefon od czasów iPhona 2G, to jego jedyną szansą jest:

jak najdłuższe nieprzewidywalne hasło
zaktualizowany system operacyjny
najnowszy model smarfona

Dzięki temu telefon lepiej stawi czoła specjalistycznym rozwiązaniom forensicowym, pod które telefon zostanie podpięty w celu przełamania zabezpieczeń i haseł oraz pozyskania danych.

Dodatkowo, pamiętajcie aby wyłączyć biometrię przed wejściem na lotnisko. O tym, dlaczego w ryzykownych miejscach lepiej polegać na kodzie niż odcisku palca, pisaliśmy już w artykule z 2016 roku (por. Jak zabezpieczyć iPhona (nie tylko przed służbami)).

Pamiętajcie też, że Wasz smartfon wie o Was więcej niż większość znajomych — a jeśli chcecie się dowiedzieć jak go poprawnie skonfigurować (pod kątem zarówno bezpieczeństwa danych jak i Waszej prywatności) to wpadnijcie na nasz wykład pt. Jak nie dać się zhackować?, który już niebawem odbędzie się w poniższych miastach:

Jak (nie) założyć w chmurze cyfrowego cmentarza dla cyberprzestępców

2026-07-13T13:45:13Z

“Wystaw to na chwilę, sprawdzimy czy działa, potem się wyłączy” — coś takiego powiedziało wielu deweloperów. Problem w tym, że “potem” czasem nigdy nie nadchodzi. To zjawisko – niekontrolowany wzrost liczby porzuconych maszyn wirtualnych – określamy jako “VM sprawl”. Czy można mu zaradzić?

Łatwo dziś o tani serwer, czyli prawdziwy powód VM sprawl

Dostawcy chmury, tacy jak AWS, Microsoft Azure czy GCP, odnieśli gigantyczny sukces, bo uprościli operacje IT do granic możliwości (choć wszyscy wiemy, że UX mógłby być tu i tam lepszy ;). Postawienie nowej maszyny wirtualnej (VM) zajmuje dziś mniej czasu niż zaparzenie dobrej kawy. Niestety ma to pewne wady.

Zespoły deweloperskie i testerskie codziennie spinują nowe VM na potrzeby krótkich projektów, testów obciążeniowych czy testowy deployów. Problem polega na tym, że po zakończeniu prac nikt tych maszyn nie sprząta. Zamiast czystej architektury powstaje cyfrowy cmentarz — sieć maszyn-widm, które:

Wypadają z radarów systemów monitoringu i przestają być uwzględniane w cyklach aktualizacji (brak patchowania).
Są pomijane przy audytach uprawnień, zachowując szerokie dostępy do innych podsieci albo przechowując dane, których przechowywać nie powinny.
Zostają całkowicie zapomniane przez ludzi, którzy je stworzyli.

Dla cyberprzestępcy taka porzucona i niezałatana maszyna wirtualna to absolutny Święty Graal. Nikt na nią nie patrzy więc atakujący może przejąć nad nią kontrolę bez wywoływania alertów, a następnie przeprowadzić tzw. lateral movement. Stamtąd droga do wrażliwych baz danych czy lokalnej sieci firmowej stoi już otworem.

Złożoność to dziś największy wróg cyberbezpieczeństwa. Ryzyko najczęściej rozwija się na ‘stykach’ infrastruktury – tam, gdzie kończy się odpowiedzialność jednego podmiotu, a zaczyna drugiego. Wiele naruszeń danych w chmurze nie jest efektem wyrafinowanych exploitów typu zero-day, ale wynika z prozaicznych błędów w higienie bezpieczeństwa i przeoczeń w zarządzaniu skomplikowanymi, wielochmurowymi środowiskami – mówi Kamil Sadkowski, analityk laboratorium antywirusowego ESET.

I teraz najważniejsze: zaledwie 23% organizacji posiada pełną widoczność tego, co naprawdę dzieje się w ich chmurowej strukturze.

Powyższa ilustracja została syntetycznie wygenerowana z wykorzystaniem sieci neuronowej podczas procesu inferencji modelu generatywnego typu text-to-image

Zjawisko „VM sprawl” przestało być wyłącznie problemem marnowania budżetu. W dobie ostrych napięć politycznych i wojen hybrydowych zapomniane maszyny wirtualne to jeden z celów dla zaawansowanych grup APT (Advanced Persistent Threats) powiązanych z rządami państw autorytarnych. Dla obcego wywiadu porzucona instancja w chmurze zachodniej firmy produkcyjnej, energetycznej czy technologicznej to idealny punkt obserwacyjny. Taki przejęty serwer pozwala napastnikom ukryć złośliwy ruch sieciowy wewnątrz w pełni legalnych, opłacanych przez firmę subskrypcji chmurowych. Wykrycie anomalii graniczy wtedy z cudem. VMka może służyć do długofalowego szpiegostwa gospodarczego, powolnego wyprowadzania własności intelektualnej lub – w najgorszym scenariuszu – jako punkt wyjścia do skoordynowanego ataku paraliżującego infrastrukturę krytyczną.

5 milionów dolarów kary za święty spokój

Gdy dochodzi do włamania, płacz i panika w dziale IT są zazwyczaj proporcjonalne do wielkości wycieku danych. Według niezależnych raportów rynkowych rygorystycznie analizujących incydenty bezpieczeństwa, średni koszt naruszenia danych w chmurze publicznej bije na głowę wszystkie inne środowiska i wynosi od 4,68 mln do nawet 5,17 mln dolarów.

Napastnicy rzadko kiedy muszą “włamywać się” za pomocą wyrafinowanych podatności w samej architekturze chmury. W większości przypadków legalnie się logują. Najpopularniejsze wektory ataków to typowa niedbałość o tzw. “higienę cyfrową” i zarządzanie tożsamościami: wycieki kluczy API na publiczne repozytoria GitHub, brak dwuskładnikowego uwierzytelniania (MFA) dla kont technicznych czy osierocone uprawnienia przypisane do maszyn, o których istnieniu szef IT dawno zapomniał.

Jak to ogarnąć?

Można robić arkusz w Excelu i modlić się o to, aby nikt nie zapomniał tam niczego wpisać. Ale można też zmienić taktykę na automatyzację i monitoring zasobów. W tym celu firma ESET wprowadza na rynek dedykowany moduł ESET Cloud Workload Protection (ECWP), zintegrowany bezpośrednio z dobrze znaną administratorom platformą ESET PROTECT. Cel jest prosty: likwidacja ślepych punktów w infrastrukturze wielochmurowej i przywrócenie kontroli nad rozproszonym środowiskiem z poziomu jednej, centralnej konsoli.

Narzędzie przeprowadza ciągłą inwentaryzację chmury. Natychmiastowo wykrywa każdą nową uruchomioną lub porzuconą instancję maszyny wirtualnej w AWS i Azure, co ucina problem “VM sprawl”. Do tego dochodzi ochrona runtime (aktywne monitorowanie procesów zachodzących wewnątrz systemów operacyjnych) oraz zarządzanie podatnościami (Vulnerability Management) czyli skanowanie maszyn pod kątem luk w oprogramowaniu i wskazywanie administratorom, które dziury trzeba załatać w pierwszej kolejności.

I tu jest miejsce na AI!

Przy dzisiejszej skali operacji chmurowych, ręczne analizowanie logów przez działy SOC (Security Operations Center) przypomina szukanie igły w stogu siana. Dlatego nowości technologiczne wprowadzone przez ESET w platformie ESET PROTECT opierają się na zaawansowanych modelach AI.

Algorytmy na bieżąco analizują zachowanie maszyn wirtualnych oraz przypisanych do nich tożsamości chmurowych. Jeśli zapomniana, uśpiona od pół roku maszyna wirtualna nagle ożywa i zaczyna masowo odpytywać produkcyjne bazy danych albo nawiązuje nietypowe połączenia z zewnętrznymi serwerami, model natychmiast wychwytuje tę anomalię. System potrafi automatycznie odizolować zagrożony zasób i zablokować ruch boczny napastnika, zanim ten zdąży wyciągnąć kluczowe dane firmy i doprowadzić do katastrofy finansowej.

Ten artykuł jest sponsorowany, co oznacza że za jego publikację otrzymaliśmy wynagrodzenie

LIDL informuje o wycieku danych części klientów

2026-07-10T14:13:24Z

Zgłaszacie nam, że otrzymujecie od Lidla informacje o wycieku Waszych danych. Oto treść wiadomości:

Szanowna Klientko, Szanowny Kliencie,
Kontaktujemy się z Państwem, ponieważ są Państwo klientami sklepu internetowego Lidl. Chcemy poinformować o incydencie bezpieczeństwa IT, który miał miejsce u jednego z naszych dostawców usług teleinformatycznych i dotyczył części Państwa danych przechowywanych w Lidl.
Co się wydarzyło: O incydencie zostaliśmy powiadomieni na początku tygodnia. Nieznani sprawcy – pomimo wysokich standardów bezpieczeństwa IT – byli w stanie przez krótki czas uzyskać dostęp do oddzielnie przechowywanego pliku zawierającego dane klientów i przejąć jego część. Sam system sklepu internetowego nie został dotknięty tym zdarzeniem.
Co to oznacza dla Państwa: Przejęte dane obejmują informacje o klientach naszego sklepu internetowego (imię i nazwisko, numer telefonu, adres e-mail, datę urodzenia, numer klienta).
Ważna informacja: Na ten moment możemy całkowicie wykluczyć, że incydent dotyczył haseł, adresów rozliczeniowych i dostawy, danych bankowych lub innych informacji o płatnościach. Państwa konto klienta nie zostało naruszone.
Choć obecnie nie mamy konkretnych dowodów na nieuprawnione wykorzystanie danych, zapobiegawczo ostrzegamy Państwa przed możliwymi próbami phishingu (wyłudzania informacji) lub nadużyciem tożsamości.
Jakie kroki zostały podjęte: Nasz dostawca usług IT zareagował natychmiast i podjął niezbędne działania w celu przywrócenia pełnego bezpieczeństwa w systemach IT, których dotyczył incydent. Złożył on również zawiadomienie o popełnieniu przestępstwa i niezwłocznie zaangażował ekspertów ds. informatyki śledczej w celu zbadania sprawy. Ponadto powiadomiliśmy właściwy organ nadzorczy ds. ochrony danych osobowych.
Co mogą Państwo zrobić: Prosimy o zachowanie szczególnej czujności w przypadku otrzymania podejrzanych wiadomości. Zawsze należy weryfikować autentyczność nadawcy. W razie zauważenia czegokolwiek nietypowego, prosimy nie podawać żadnych danych i nie klikać w nieznane linki. W przypadku jakichkolwiek pytań, prosimy o kontakt e-mailowy pod adresem: data.shop@lidl.pl
Najmocniej przepraszamy za wszelkie niedogodności, jakie mogły wyniknąć z tej sytuacji.
Z poważaniem,
Lidl sp. z o.o. sp. k.
ul. Poznańska 48, Jankowice, 62-080 Tarnowo Podgórne

Niestety, informacja o incydencie nie zawiera zbyt wielu szczegółów technicznych. Gdybyśmy mieli zgadywać, to było tak: jeden z partnerów Lidla przetwarzający część danych należących do klientów Lidla realizujących zakupy w sklepie internetowym zrzucił do pliku dane części lub wszystkich klientów do których miał dostęp. A potem zostawił plik tam, gdzie nie powinien by go zostawić (czyżby znów głębokie ukrycie?). Następnie ktoś dane znalazła/wyszukał/namierzył i je pobrał/podejrzał. Informacja o nieznanych sprawcach sugeruje, że można było to zrobić przez internet.

Jak można przejąć tylko “część pliku”? To na chwilę obecną pozostaje zagadką, ale technicznie jest to możliwe, np. plik był bardzo duży i nie “pobrał się w całości” albo ktoś jedynie podglądał n pierwszych linii plików o danym rozszerzeniu na maszynie do której uzyskał dostęp, itp.

Bazując na liczbie zgłoszeń, którą otrzymaliśmy od Was w tej sprawie, nie wydaje nam się, że problem dotyczy wielu klientów Lidla.

Kupuję w Lidlu — co robić, jak żyć?

Kupuj dalej, przecież nie będziesz teraz zmieniał przyzwyczajeń i uczył się przeciskania między paletami ;) Jeśli jesteś w grupie osób, których dane wyciekły, otrzymasz maila od Lidla — wygląda na to, że nie każdy kto kiedykolwiek kupował w Lidlu jest poszkodowany w ramach tego incydentu.

Zauważ jednak, że wykradziono Twoje dane kontaktowe, więc ryzykiem największym może być phishing, spam lub ataki socjotechniczne dążące do kradzieży pieniędzy, w których sprawcy wykorzystają zdobyte dane osobowe do uwiarygodnienia się np. jako pracownik Lidla dzwoniący w sprawie promocji/loterii. Bądź wyczulony na wszelkie telefony i SMS-y, w których ktoś używa danych, jakie podałeś Lidlowi.

No właśnie — na przyszłość podczas zakupów zastanów się, czy musisz podawać prawdziwe imię, nazwisko i datę urodzenia… Pamiętaj, że możesz też podawać unikatowe adresy e-mail i numery telefonów — gdybyś to zrobił podczas zakupów w Lidlu, to teraz mógłbyś łatwo ustalić, kto zaraz będzie z tych danych korzystać do niecnych celów ;)

Jak sprawdzić, czy Twoje dane też wyciekły (nie tylko z Lidla)

Jeśli chcecie sprawdzić czy Wasze dane już latają po internecie (i skąd jeszcze, poza Lidlem, mogły wyciec) to w tym poradniku pokazujemy jak można to zrobić. Dodatkowo mówimy co warto zrobić żeby uchronić się przed kolejnymi wyciekami. Tylko dziś z kodem “PALETY” możecie nasz poradnik kupić z 50% zniżką — kod działa do końca dnia, ale bez obaw, dostęp do poradnika jest na 30 dni, więc na pewno zdążycie się z nim zapoznać. Tutaj link bezpośrednio do koszyka.

[AKTUALIZACJA] Chat Control – politycy znów chcą czytać nasze prywatne wiadomości

2026-07-10T13:16:51Z

O prawie, które w założeniu ma służyć bezpieczeństwu dzieci w internecie (ale w rzeczywistości zamiast ten problem skutecznie rozwiązywać jest uosobieniem tzw. “teatru bezpieczeństwa” i powoduje nowe problemy, w tym groźne dla prywatności nas wszystkich zmiany) pisaliśmy już wielokrotnie. Zarówno w kontekście zmian jakie nastąpią w Polsce, nieudanego eksperymentu w Australii, jak również w kontekście niekończącej się walki na arenie Unii Europejskiej pod nazwą Chat Control. Dziś znów wracamy do Chat Control, bo 9 lipca odbędzie się istotne głosowanie w tej kwestii.

Są dwa różne akty prawne o nazwie “Chat Control”

W sprawie “Chat Control” łatwo o błąd, bo pod tą samą nazwą kryją się dwa różne procesy legislacyjne. Chat Control 1.0 to tymczasowe odstępstwo od dyrektywy ePrivacy, czyli wyjątek pozwalający dostawcom usług komunikacyjnych (np. Facebookowi) “dobrowolnie” skanować prywatne wiadomości użytkowników pod kątem materiałów CSAM, czyli treści przedstawiających seksualne wykorzystywanie dzieci. Ta regulacja wygasła 4 kwietnia 2026 roku i od tego dnia platform nie skanują treści użytkowników z naruszeniem ich prywatności, co niektórych polityków bardzo oburza. Chat Control 2.0 to z kolei osobna regulacja, nadal w procesie negocjacji.

Dzisiejszy artykuł dotyczy nowych działań dotyczących Chat Control 1.0 (C10-0178/2026). A powstał, bo:

1 lipca zawnioskowano o procedurę pilną,
2 lipca opublikowano stanowisko Rady,
6 lipca sprawa trafiła do Parlamentu w drugim czytaniu
7 lipca europosłowie zgodzili się na szybki tryb głosami 331 za, 304 przeciw i 11 wstrzymujących się. Tutaj lista polskich posłów, którzy pchnęli Chat Control dalej.

9 lipca odbędzie się właściwe głosowanie.

Zgodnie z regulaminem do odrzucenia albo zmiany tekstu potrzeba bezwzględnej większości 361 europosłów. Jeśli głosów zabraknie, to Chat Control 1.0. powróci w formie w jakiej przez lata obowiązywał. Jeszcze raz: to nie jest nowe prawo, to powrót starych reguł dot. masowego skanowania prywatnych treści użytkowników które funkcjonowały do 4 kwietnia 2026.

Na co pozwala(ł) Chat Control 1.0?

Chat Control 1.0 “pozwalał”, ale nie nakazywał aby dostawcy skanowali prywatną komunikację użytkowników. W praktyce korzystały z tego głównie nieszyfrowane amerykańskie usługi, m.in. Gmail, Facebook/Instagram Messenger, Skype, Snapchat, iCloud Mail i Xbox. Komunikacja end-to-end nie była masowo odszyfrowywana przez tę regulację, choć organizacje broniące prywatności wskazywały na ryzyko skanowania tych treści po stronie klienta, czyli jeszcze zanim wiadomość zostanie zaszyfrowana i wysłana przez szyfrowany kanał komunikacji do odbiorcy. W skrócie:

nie było łamania szyfrowania, ale było masowe skanowanie treści niezaszyfrowanych do których platforma miała dostęp.

Jeszcze raz podkreślmy: nikt normalny nie chce krzywdy dzieci i każdy normalny chce łapania pedofilów. Problem w tym, że masowe skanowanie prywatnej komunikacji niewinnych osób to sporo problemów. Od tzw. false positives (które dociążają niepotrzebnie tych, którzy muszą je weryfikować), przez przerzucanie ciężaru kontroli prawa na prywatne firmy, aż po oswajanie obywateli z tym, że korespondencja jest czymś, co platforma może profilaktycznie przeglądać.

Eurodeputowany Breyer przywołuje dane, według których zgłoszenia trafiające z Chat Control 1.0 do niemieckiej policji federalnej w ok. 50% były nieistotne. Według byłej komisarz Johansson aż 75% zgłoszeń nie było użytecznych operacyjnie.

Co dziś ustalą posłowie? Czy Chat Control 1.0. wróci? Zaktualizujemy ten tekst po tym, jak pojawią się wyniki dzisiejszego głosowania.

Aktualizacja (09.07.2026 15:51)
Choć większość posłów w głosowaniu była za odrzuceniem Chat Control, to Chat Control jednak wróci, bo nie zebrano tzw. bezwzględnej większości. Poniżej lista polskich polityków, którzy głosowali przeciw odrzuceniu, czyli za powrotem możliwości masowego skanowania prywatnych wiadomości internautów:

Choć Chat Control znów wejdzie w życie, to nie wiadomo, które z wcześniej skanujących prywatną komunikację użytkowników firm wrócą do tego procederu. Jeśli chodzi o poprzedni okres obowiązywania Chat Control to wiemy, że dobrowolnie z możliwości masowego skanowania korespondencji użytkowników korzystały takie firmy jak:

Google, Meta, Microsoft, LinkedIn, X/Twitter, Yubo/Twelve-App, TikTok Snapchat

Ale ta lista nie jest pełna, bo Komisja Europejska sama wskazuje, że mogą istnieć firmy, które nie poinformowały jej, że na mocy Chat Control skanują komunikację swoich użytkowników. O powyższych firmach wiemy, bo przyznały się do tego w raportach składanych do EU na podstawie rozporządzenia 2021/1232.

PS. Na koniec warto przypomnieć, że tylko komunikacja E2EE (end-to-end encrypted) zapewnia poufność w tranzycie — o ile wiadomość nie jest skanowana na urządzeniu przed zaszyfrowaniem lub na urządzeniu po odszyfrowaniu — ale mimo to wciąż trzeba mieć świadomość, że olbrzymi wpływ na prywatność korespondencji mają także metadane i szereg innych kwestii. Jeśli tematyka zwiększenia twojej prywatności cię interesuje, chcesz poznać te wszystkie kwestie oraz narzędzia, które wspierają prywatność i bezpieczeństwo, to zapisz się na nasz 3h wykład pt. “Jak nie dać się zhackować?“. Pokazujemy na nim wszystko, co dziś należy wiedzieć, aby ochronić swoje dane, pieniądze i tożsamość przed internetowymi zagrożeniami, a co więcej robimy to przystępnym i zrozumiałym dla każdego językiem — więc można zabrać na wykład swoich rodziców albo nietechnicznych znajomych. Oto lista miast i dat, w których niebawem będziemy z tym wykładem:

Jak Windows śledzi użytkowników przez Global Device ID (GDID)? Czyli o operacji FBI i wpadce nastoletniego przestępcy

2026-07-09T09:28:45Z

19-letni Petera Stokes to członek głośnej grupy Scattered Spider znanej też jako Octo Tempest, UNC3944 i 0ktapus, która zasłynęła z wyrafinowanych ataków socjotechnicznych, SIM swappingu i ataków ransomware. Wpadł, bo do przeprowadzania ataków korzystał z Windowsa. I choć jak na “hakera” przystało korzstał z VPN-a aby ukryć swój IP, to za bardzo mu to nie pomogło…

VPN nie pomógł. Zgubił go Windows i GDID

Z 39-stronicowego dokumentu sądowego wynika, że FBI o pomoc w namierzeniu tożsamości włamywacza poprosiło Microsoft, dzięki czemu udało się powiązać adres IP z tzw. Global Device ID (GDID). Co to jest GDID? To unikatowy identyfikator urządzenia, który system Windows na stałe przypisuje do konkretnej instalacji sprzętowej lub maszyny wirtualnej.

Nawet jeśli zmieniasz IP przez VPN, twój system operacyjny nieustannie komunikuje się z serwerami Microsoftu, wysyłając w tle telemetrię opisaną tym samym identyfikatorem GDID.

W logach przekazanych FBI znalazły się dowody na to, że ten sam GDID, który logował się do usług VPN, odwiedzał też strony ofiar gangu ScatteredSpider oraz platformy gamingowe. Microsoft miał rekordy wskazujące, że urządzenie z danym GDID 12 maja 2025 o 19:21 UTC weszło m.in. na stronę zakładania konta ngrok, dokładnie wtedy, kiedy utworzono konto ngrok użyte w ataku. Potem GDID porównano z aktywnością kont przypisywanych Stokesowi: Facebooka, Snapchata, Apple i Ubisoft/Growtopia oraz z podróżami do Estonii, Nowego Jorku i Tajlandii.

Powyższa ilustracja została syntetycznie wygenerowana z wykorzystaniem sieci neuronowej podczas procesu inferencji modelu generatywnego typu text-to-image

Warto jednak podkreślić, że z ujawnionych dokumntów, nie wynika jaki dokładnie komponent Windowsa/Microsoftu zebrał informację o URL-u lub domenie i jak szeroki był zakres takiego logowania. Samo istnienie identyfikatora urządzenia nie jest szokujące, problemem dla prywatności użytkowników Windows jest to, że identyfikator może zostać skorelowany z aktywnością sieciową i użyty procesowo.

Windows to permanentna inwigilacja

Ta sprawa dobitnie pokazuje, że prywatność i VPN, prywatność i Windows nie idą ze sobą w parze. O ile VPN szyfruje twój ruch i “chowa” jego zawartość (ale nie metadane) przed dostawcą internetu a także ukrywa Twoje IP przed odwiedzaną stroną internetową, to jest bezużyteczny, kiedy twój system operacyjny loguje twoją aktywność i informacje o wszystkich połączenia wysyła z tym samym identyfikatorem. Niewiele osób zdaje sobie sprawę z tego, jak dużo informacji na ich temat posiada producent oprogramowania i systemu operacyjnego z którego korzystają.

Jeśli tematyka zwiększenia twojej prywatności cię interesuje, to zapisz się na nasz 3h wykład pt. “Jak nie dać się zhackować?”. Pokazujemy na nim wszystko, co dziś należy wiedzieć, aby zwiększyć swoje bezpieczeństwo i prywatność w internecie, a co więcej robimy to przystępnym i zrozumiałym dla każdego językiem — więc można zabrać na wykład swoich rodziców albo nietechnicznych znajomych. Oto lista miast i dat, w których niebawem będziemy z tym wykładem:

Mam Windowsa — co robić, jak żyć?

Jeśli chcecie zablokować GDID i chronić swoją prywatność, to rzuć okiem na projekt “gdid-reversal“, który szczegółowo opisuje inżynierię wsteczną tego mechanizmu i to, jak Windows rejestruje urządzenie w usłudze Connected Devices Platform (CDP). Rzućcie też okiem na skrypt GDID-Guard, który pozwala wyłączyć usługi CDP, wyczyścić lokalną historię aktywności oraz zablokować odpowiednie endpointy Microsoftu na firewallu. Pamiętajcie jednak, że wyczyszczenie lokalnego cache’a nie daje gwarancji, że Windows nie nada nowego GDID przy kolejnym logowaniu do konta Microsoft (MSA). Dlatego tym, którzy cenią sobie prywatność polecamy jednak korzystać z innego systemu operacyjnego.

Jak widać, nawet odnoszący “sukcesy” cyberprzestępcy zapominają o absolutnych podstawach OPSEC-u. Obdzieranie użytkowników z prywatności na podstawie logów, metadanych czy telemetrii to nic nowego. Już w 2009 r. pisaliśmy, że w rejestrze Windowsa można sprawdzać, na którym firmowym komputerze użyto konkretnego pendrive’a (por. “Jeden klucz z wielu komputerów”). Pisaliśmy też o tym, że metadane nagrania lub nośnika potrafią zdradzić autora materiału (por. “Jak ustalić tożsamość autora nagrania?”). Morał w sumie jest zawsze taki sam: ludzie rzadko wpadają przez jeden dramatyczny błąd. Częściej przez kilka małych śladów, które ktoś cierpliwy połączył w jedną, bardzo niewygodną dla nich “linię czasu”.

Wyciek danych gości wielu polskich hoteli

2026-07-06T14:19:55Z

Usługa z której tysiące polskich hoteli korzysta do przyjmowania i zarządzania rezerwacjami została zhackowana. Włamywacze uzyskali dostęp do danych gości hotelowych różnych obiektów obsługiwanych przez system Hotres i do wielu z nich już skierowali fałszywe, ale bardzo wiarygodnie wyglądające wiadomości e-mail mające na celu wyłudzenie pieniędzy.

Zaczęło się od… SQL injection

O problemach poinformował nas Czytelnik, który od strony IT obsługuje jeden z hoteli wykorzystujących system Hotres do zarządzania rezerwacjami:  

“Od wczoraj klienci którzy mają rezerwację [w naszym hotelu — dop. red.] otrzymują na whatsapp-ie wiadomości o złożonej rezerwacji z dokładnymi danymi oraz linkiem do płatności co jest próbą wyłudzenia opłaty. Sytuacja nie jest pojedynczym przypadkiem i dostają je również klienci innych hoteli.”

Jak poinformował nas ten sam Czytelnik, firma Hotres najpierw poinformowała hotele o incydencie “naruszenia ochrony danych osobowych w systemie Hotres” o “nieznanej skali” (poniżej treść wiadomości) a później rozesłała uzupełnienie komunikatu, w którym przeczytać możemy, że do kradzieży danych osobowych klientów doszło poprzez… SQL injection. W tym momencie możecie zakrzyknąć “który to rok?!” ale nie będzie to pierwszy raz, kiedy coś wykrzykujecie ze zdumienia. Bowiem w kolejnym zdaniu komunikatu Hotres stwierdził, że ich system jest “dobrze zabezpieczony przed atakami”, ale “atak nastąpił z poziomi konta zalogowanego użytkownika”.

Aktualizacja 2026.07.03 11:55: Bartek pod naszym postem na FB dotyczącym tej sytuacji wrzucił bardzo ciekawą instrukcję dla użytkowników systemu Hotres, która komentuje się sama. Ale jakby się komuś sama nie skomentowała, to dodamy: oborzesosnowy.

Hotres ustalił, że wykradziono następujące dane osobowe gości obsługiwanych przez nich hoteli i innych obiektów noclegowych:

Imię i nazwisko,
adres e-mail,
numer telefonu,
daty pobytu,
kwota pobytu.

Niestety nie wiadomo ile rekordów pobrano. Zwróciliśmy się z tym pytaniem do Hostres i oczekujemy na odpowiedź. Kiedy nadejdzie, zaktualizujemy ten artykuł.

Rezerwowałem nocleg w polskim hotelu — czy moje dane wyciekły?

To dobre pytanie. Jeśli hotel, hostel albo najem krótkoterminowy z usług którego korzystałeś do obsługi rezerwacji używał systemu Hotres, powinieneś założyć najgorsze — że włamywacze mają także Twoje dane. Jak ustalić, czy obiekt używał systemu Hotres? Można przeszukać swoją skrzynkę pocztową pod kątem słowa “hotres” — niektóre z e-maili od obiektu mogą (ale nie muszą!) zawierać nazwę systemu, np. w stopce:

Powyższa metoda nie jest w 100% skuteczna — są obiekty, które korzystają z systemu Hotres, ale w ten sposób się tego nie ustali. Druga opcja to znaleźć nazwę hotelu w sekcji referencje na stronie Hotres. Ale to też nie jest w 100% skuteczna metoda, bo nie ma tam wszystkich “ponad 2000 obiektów korzystających z usług Hotres”.

I tu pora na smutną wiadomość: musisz polegać na uczciwości obiektu i tym, czy podejmie on decyzję, żeby Cię poinformować, że doszło do nieuprawnionego dostępu do Twoich danych osobowych. Spodziewamy się jednak, że nie wszystkie obiekty korzystające z systemu Hotres to zrobią. A sam Hotres też Was nie powiadomi, ponieważ — jak informuje w komunikacie wysłanym do hoteli:

Przypominamy, że jako Administrator Danych mają Państwo obowiązek ocenić ryzyko dla praw i wolności osób, których dane dotyczą. Jeżeli nie otrzymaliście informacji od gości hotelowych o podejrzanych wiadomościach to można domniemywać, że incydent was nie dotyczy. W przypadku stwierdzenia naruszenia należy to zgłosić do Prezesa Urzędu Ochrony Danych Osobowych (UODO) w ciągu 72 godzin od momentu otrzymania niniejszej wiadomości.

W naszej opinii takie sformułowanie drugiego zdania w powyższym cytacie daje podstawę do domniemywania, że jego interpretacja nie zostanie w pełni rzetelnie przeprowadzona po stronie mniej technicznie świadomych obiektów noclegowych. Pytanie, czy w takich sytuacjach PUODO nie powinien wymuszać na platformie rozesłania takiej informacji do poszkodowanych, pozostaje otwarte.

Rezerwowałem nocleg w hotelu korzystającym z Hotres — co mi grozi?

Przestępcy mogą (a w zasadzie już to robią) wykorzystać Twój e-mail i numer telefonu do kontaktu z Tobą i podszywając się pod hotel, próbować wymusić dodatkową płatność lub np. przekazanie danych karty płatniczej np. pod pretekstem “gwarancji rezerwacji”. Widzieliśmy tego typu wiadomości kierowane do gości hotelowych.

Dlatego każdy kontakt ze strony hotelu w sprawie Twojego noclegu potwierdź niezależnie z hotelem. Proszą w e-mailu, SMS-ie albo rozmowie telefonicznej żeby podać numer karty albo wykonać jakąś (dodatkową) płatność? Nie rób tego. Sam zadzwoń do obiektu i ustal, czy kontakt faktycznie wyszedł od ich pracownika.

Rezerwuje noclegi w hotelach — co robić, jak żyć?

Dane z systemów hotelowych wyciekają regularnie, są też wynoszone przez nieuczciwych pracowników recepcji. Dlatego rezerwując nocleg korzystaj z jednorazowego adresu e-mail wygenerowanego tylko na tę okazję (lub odpowiedniego aliasu) oraz podawaj jak najmniej danych. Nie musisz podać numeru telefonu? Nie podawaj go.

Warto też przypomnieć, że w trakcie zakładania rezerwacji online, nie musisz wpisywać pełnego nazwiska, a podczas check-inu, jeśli zostaniesz poproszony o dokument, to bez problemu przejdą inne dokumenty niż paszport czy dowód osobisty (miej świadomość, że spisanie z nich numeru dokumentu w sytuacji wycieku danych spowoduje, że wycieknie unikatowy numer który Cię identyfikuje). W wielu miejscach wystarczy sama karta płatnicza — ale zachęcamy Cię do poćwiczenia socjotechniki i znalezienia argumentu na meldunek bez żadnego dokumentu — albowiem da się ;)

To dobre miejsce aby polecić 22 odcinek naszego podcastu pt. “na co uważać podczas wakacyjnych wyjazdów”:

A jeszcze lepsze, aby zachęcić Cię do sprawdzenia, czy Twoje dane osobowe już wyciekły i są dostępne w różnych darknetowych miejscach — oraz jak je przed kolejnymi wyciekami zabezpieczyć. Jak to zrobić? To pokazujemy w godzinnym video-poradniku pt. Czy Twoje Dane Osobowe Już Wyciekły? Jak to ustalić? Jak się przed tym zabezpieczyć?. Dziś z kodem HOTEL dostęp do tego poradnika można uzyskać z 50% zniżką — kod działa tylko do końca dnia, ale dostęp jest na miesiąc, więc na pewno zdążysz obejrzeć ten materiał. Tu link bezpośrednio do koszyka.