Codzienny przegląd ciekawszych wiadomości ze świata cyberbezpieczeństwa, do poczytania przy porannej kawie, podzielony na kluczowe kategorie.
Gigant rozrywkowy Disney zgodził się na ugodę w wysokości 10 milionów dolarów w związku z zarzutami o naruszanie prywatności najmłodszych użytkowników na platformie YouTube. Sprawa dotyczy nielegalnego gromadzenia danych osobowych dzieci bez zgody rodziców, co stoi w sprzeczności z ustawą COPPA. Praktyki te miały na celu precyzyjne targetowanie reklam, wykorzystując nieświadomość nieletnich odbiorców. Ugoda ta jest kolejnym sygnałem dla branży technologicznej, że regulacje dotyczące ochrony najmłodszych w sieci będą egzekwowane z całą surowością. Dla rodziców to przypomnienie, by monitorować cyfrowe ślady swoich dzieci, bo nawet "bezpieczne" marki mogą nadużywać zaufania.
Źródło: BleepingComputer [EN]
Ministerstwo Cyfryzacji opublikowało fragmenty kodu źródłowego aplikacji mObywatel, realizując tym samym ustawowy obowiązek. Ruch ten, choć teoretycznie promujący transparentność, spotkał się z falą krytyki ze strony środowiska cybersecurity. Eksperci wskazują, że udostępniono jedynie wybrane, mało kluczowe fragmenty, co nie pozwala na rzetelny audyt bezpieczeństwa ani weryfikację działania newralgicznych funkcji. Wygląda na to, że "odhaczono" wymóg prawny ("compliance"), zamiast realnie otworzyć się na społeczność i Bug Bounty. Miejmy nadzieję, że to dopiero pierwszy krok, a nie koniec otwierania państwowego kodu.
Źródło: CyberDefence24 [PL]
Od 1 stycznia 2026 roku wchodzi w życie duża reforma komunikacji z administracją publiczną – e-Doręczenia stają się głównym kanałem kontaktu, wypierając stopniowo wysłużony ePUAP. Zmiana ta ma na celu ujednolicenie i zwiększenie bezpieczeństwa korespondencji urzędowej, wprowadzając standard rejestrowanego doręczenia elektronicznego (odpowiednik listu poleconego). Dla obywateli i firm oznacza to konieczność założenia nowych skrzynek i przyzwyczajenia się do nowego interfejsu. Warto zadbać o to już teraz, aby w nowym roku nie stracić kontaktu z urzędami i nie przegapić ważnych pism.
Źródło: CyberDefence24 [PL]
Wojska Obrony Cyberprzestrzeni (WOC) zaktualizowały swoje rekomendacje dotyczące higieny haseł, stawiając teraz na długość zamiast na skomplikowanie. Nowy standard to minimum 12, a najlepiej 14 znaków, co drastycznie utrudnia ataki typu brute-force przy obecnej mocy obliczeniowej. Eksperci sugerują używanie fraz (passphrases) składających się z kilku słów, które są łatwe do zapamiętania dla człowieka, ale trudne do złamania dla maszyny. To odejście od frustrujących wymogów "duża litera, cyfra, znak specjalny" na rzecz matematycznej entropii wynikającej z długości ciągu. Zmieńcie swoje hasła na dłuższe – to najprostsza inwestycja w bezpieczeństwo.
Źródło: DobreProgramy [PL]
Agencja Cyberbezpieczeństwa Singapuru (CSA) wydała ostrzeżenie o maksymalnym priorytecie dotyczące luki w serwerze pocztowym SmarterMail. Podatność umożliwia zdalne wykonanie kodu (RCE), co w praktyce oznacza, że atakujący może przejąć pełną kontrolę nad serwerem pocztowym i całą korespondencją firmy. Administratorzy korzystający z tego oprogramowania muszą natychmiast wdrożyć poprawki, ponieważ exploity są już prawdopodobnie w rękach przestępców. Poczta e-mail pozostaje krytycznym wektorem ataku, a dziurawy serwer to otwarte drzwi do całej infrastruktury przedsiębiorstwa.
Źródło: Security Affairs [EN]
CERT Orange Polska poinformował o odparciu ataku DDoS o niespotykanej dotąd skali i intensywności. Atakujący wykorzystali gigantyczne botnety, generując ruch mający na celu całkowite wysycenie łączy i paraliż usług operatora. Incydent ten pokazuje, że cyberprzestępcy dysponują coraz większymi zasobami, a ataki wolumetryczne stają się bronią masowego rażenia w cyberprzestrzeni. Skuteczna obrona wymagała zaawansowanych systemów mitygacji i szybkiej reakcji zespołu bezpieczeństwa, co uchroniło klientów przed odcięciem od sieci.
Źródło: CERT Orange [PL]
Świat DeFi znów krwawi – protokół Unleash padł ofiarą ataku, w wyniku którego hakerzy wyprowadzili aktywa o wartości 39 milionów dolarów. Atakujący zdołali przejąć kontrolę nad portfelem multisig (wymagającym wielu podpisów), co teoretycznie miało być gwarancją bezpieczeństwa projektu. Incydent ten rzuca cień na procedury zarządzania kluczami w projektach krypto i pokazuje, że nawet mechanizmy wielopodpisowe są zawodne, jeśli dojdzie do kompromitacji ludzi lub urządzeń nimi zarządzających.
Źródło: BleepingComputer [EN]
Bruce Schneier ostrzega przed falą wyrafinowanych oszustw rekrutacyjnych na LinkedIn. Przestępcy tworzą wiarygodne profile rekruterów i firm, przeprowadzają wieloetapowe "rozmowy kwalifikacyjne", a ostatecznym celem jest wyłudzenie danych osobowych lub pieniędzy na "sprzęt do pracy zdalnej". Skala i profesjonalizm tych działań sprawiają, że nawet czujni specjaliści mogą dać się nabrać. Pamiętajcie: jeśli oferta pracy brzmi zbyt dobrze, by była prawdziwa, a pracodawca prosi o pieniądze przed rozpoczęciem pracy – to na pewno scam.
Źródło: Schneier on Security [EN]
Sekurak publikuje techniczną analizę ataku na rozszerzenie przeglądarkowe Trust Wallet, w wyniku którego użytkownicy stracili łącznie ponad 8,5 miliona dolarów. Okazuje się, że winna była luka w implementacji WebAssembly (WASM), która pozwoliła atakującym na generowanie tych samych kluczy prywatnych, co prawowici użytkownicy. To fascynujący, ale i przerażający przykład błędu w generatorze liczb losowych (RNG), który w kryptografii jest grzechem śmiertelnym. Historia ta uczy, że w świecie krypto błędy w kodzie kosztują miliony.
Źródło: Sekurak [PL]
Samsung pracuje nad rewolucyjną funkcją, która pozwoli wykrywać wczesne objawy demencji i innych chorób neurodegeneracyjnych na podstawie sposobu użytkowania smartfona i smartwatcha. Algorytmy AI mają analizować wzorce pisania, chód oraz zmiany w codziennej rutynie użytkownika, alarmując o niepokojących odchyleniach. Choć medycznie jest to przełom, rodzi to potężne pytania o prywatność danych zdrowotnych. Czy chcemy, by nasze telefony diagnozowały nas w tle i gdzie te dane będą trafiać?
Źródło: Benchmark.pl [PL]
Naukowcy opracowali nowy typ aparatu z eksperymentalnym autofokusem, który wykorzystuje technologie zapożyczone z systemów autonomicznych pojazdów (LIDAR). Technologia ta pozwala na błyskawiczne i niezwykle precyzyjne mapowanie otoczenia w 3D, "widząc" znacznie więcej niż ludzkie oko czy tradycyjna matryca. W kontekście bezpieczeństwa, takie sensory mogą zrewolucjonizować systemy monitoringu, ale też stać się narzędziem totalnej inwigilacji, potrafiącym identyfikować obiekty i osoby z niespotykaną dotąd dokładnością.
Źródło: Benchmark.pl [PL]
IBM wydał pilne ostrzeżenie dotyczące krytycznej podatności w platformie API Connect. Błąd umożliwia obejście mechanizmów uwierzytelniania, co pozwala atakującym na dostęp do interfejsów API bez posiadania odpowiednich uprawnień. Ponieważ API Connect często stanowi bramę do kluczowych danych i usług w dużych przedsiębiorstwach, luka ta jest "świętym graalem" dla hakerów korporacyjnych. Administratorzy muszą załatać systemy natychmiast, zanim ktoś wykorzysta ten błąd do kradzieży danych biznesowych.
Źródło: BleepingComputer [EN]
Trwa zmasowana kampania phishingowa, w której oszuści podszywają się pod Ministerstwo Finansów i Urzędy Skarbowe. Przestępcy wysyłają e-maile z informacją o rzekomym "zwrocie podatku", zachęcając do kliknięcia w link i podania danych karty płatniczej w celu odebrania środków. Wiadomości wyglądają profesjonalnie i wykorzystują logo resortu. Pamiętajcie: Urząd Skarbowy nigdy nie prosi o dane karty przez e-mail, a zwroty realizowane są automatycznie na konto lub przekazem pocztowym.
Źródło: CRN [PL]
Centralne Biuro Antykorupcyjne zatrzymało cztery osoby podejrzane o wyłudzanie wielomilionowych dotacji z NCBR i PARP. Grupa miała tworzyć fikcyjne projekty badawczo-rozwojowe, aby wyciągnąć publiczne pieniądze przeznaczone na innowacje. To przypomnienie, że oszustwa finansowe to nie tylko domena anonimowych hakerów, ale też "białych kołnierzyków". Walka z nadużyciami w funduszach unijnych i krajowych wkracza w nową fazę, wykorzystując zaawansowaną analitykę finansową.
Źródło: CRN [PL]
Raporty wywiadowcze wskazują, że Polska stała się jednym z głównych celów dla grup hakerskich powiązanych ze wschodnimi reżimami. Celem ataków ma być infrastruktura krytyczna: wodociągi, elektrownie i systemy transportowe. Działania te mają charakter hybrydowy – ich celem jest nie tylko wywołanie awarii, ale przede wszystkim sianie paniki i destabilizacja państwa. Zarządzający infrastrukturą muszą przejść w stan podwyższonej gotowości, bo cyberwojna toczy się tu i teraz, a stawką jest bezpieczeństwo fizyczne obywateli.
Źródło: CyberDefence24 [PL]
Wiceminister Cyfryzacji, Michał Standerski, zapowiedział działania prawne przeciwko fali dezinformacji zalewającej TikToka. Platforma stała się narzędziem do rozpowszechniania treści antypolskich i prorosyjskich, celujących w młodych odbiorców. Rząd domaga się od chińskiego giganta skuteczniejszej moderacji i wyjaśnień. To kolejny front walki o suwerenność informacyjną, pokazujący, że media społecznościowe są potężną bronią w wojnie o umysły.
Źródło: CyberDefence24 [PL]
Analiza InfoSecurity24 przygląda się transformacji niemieckiego wywiadu (BND) w obliczu rosnącego zagrożenia hybrydowego. Niemcy, podobnie jak Polska, mierzą się z nasiloną aktywnością obcych służb, które łączą cyberataki z dezinformacją i sabotażem. Artykuł pokazuje, jak zachodnie służby muszą ewoluować, by skutecznie kontrować te wielowymiarowe zagrożenia, które zacierają granicę między stanem pokoju a wojny.
Źródło: InfoSecurity24 [PL]
Jak zwykle liczę na Wasze komentarze i uwagi, które pozwolą mi jeszcze lepiej dobierać artykuły i ciekawostki z dziedziny cyberbezpieczeństwa.
