Codzienny przegląd ciekawszych wiadomości ze świata cyberbezpieczeństwa, do poczytania przy porannej kawie, podzielony na kluczowe kategorie.
Organizacja noyb, kierowana przez Maxa Schremsa, odniosła kolejne znaczące zwycięstwo w walce o prywatność danych w Unii Europejskiej. Austriacki organ ochrony danych orzekł, że Microsoft naruszył przepisy RODO, nielegalnie śledząc dzieci korzystające z pakietu 365 Education. Decyzja ta jest przełomowa, ponieważ przenosi odpowiedzialność za ochronę danych z poszczególnych szkół na dostawcę oprogramowania, który de facto kontroluje przetwarzanie informacji. Microsoft został zobowiązany do zaprzestania tych praktyk i dostosowania swoich systemów do rygorystycznych norm ochrony prywatności nieletnich. Sprawa ta pokazuje, że wielkie korporacje technologiczne nie mogą traktować sektora edukacyjnego jako darmowego poligonu do zbierania danych behawioralnych przyszłych konsumentów. Dla placówek edukacyjnych w całej Europie oznacza to konieczność rewizji umów i większą ostrożność przy wdrażaniu narzędzi cyfrowych. Wyrok ten może stać się precedensem, który wymusi zmiany w sposobie, w jaki giganci IT oferują swoje usługi instytucjom publicznym. To wyraźny sygnał, że dane dzieci są pod szczególną ochroną i nie mogą być walutą w darmowych usługach edukacyjnych.
Źródło: NOYB [EN]
Meta (właściciel Facebooka) stoi w obliczu pozwu zbiorowego, w którym oskarża się ją o stosowanie nieetycznych praktyk w celu zdobycia przewagi konkurencyjnej. Zarzuty dotyczą tajnego projektu o nazwie "Ghostbusters", w ramach którego firma miała przechwytywać i odszyfrowywać ruch sieciowy użytkowników korzystających z konkurencyjnych aplikacji, takich jak Snapchat, YouTube czy Amazon. Technologia ta rzekomo pozwalała Mecie na analizę zachowań użytkowników w czasie rzeczywistym, nawet gdy korzystali z szyfrowanych połączeń w innych aplikacjach. Jeśli oskarżenia się potwierdzą, będzie to jeden z największych skandali związanych z naruszeniem prywatności i zasad uczciwej konkurencji w historii Big Tech. Sprawa rzuca nowe światło na to, jak daleko giganci są w stanie się posunąć, aby utrzymać dominację na rynku reklamowym. Dla użytkowników to kolejne przypomnienie, że instalując "darmowe" aplikacje, często oddajemy pełną kontrolę nad naszym cyfrowym życiem.
Źródło: DobreProgramy [PL]
W polskim systemie prawnym szykują się istotne zmiany wymierzone w twórców promujących patologiczne zachowania w internecie. Nowe przepisy mają na celu penalizację tzw. patostreamingu, czyli transmitowania na żywo treści przedstawiających popełnianie czynów zabronionych, przemoc czy znęcanie się. Dotychczas walka z tym zjawiskiem była utrudniona ze względu na luki prawne, które pozwalały sprawcom na unikanie odpowiedzialności karnej, mimo szkodliwości społecznej ich działań. Nowelizacja kodeksu karnego ma dać organom ścigania skuteczne narzędzia do szybkiego reagowania i blokowania takich transmisji. Jest to odpowiedź na rosnącą falę cyberprzemocy i demoralizacji, która dociera do coraz młodszych odbiorców poprzez platformy wideo. Eksperci prawni podkreślają, że kluczowa będzie nie tylko surowość kar, ale także nieuchronność ich wymierzania oraz współpraca z platformami hostingowymi.
Źródło: Lege Artis [PL]
Amerykańskie organy ścigania przeprowadziły spektakularną akcję wymierzoną w infrastrukturę prania brudnych pieniędzy w dark webie. Służby przejęły kontrolę nad serwisem Helix, będącym jednym z najpopularniejszych "mikserów" kryptowalut, służącym do zacierania śladów transakcji. W wyniku operacji skonfiskowano aktywa kryptowalutowe o wartości przekraczającej 400 milionów dolarów, co stanowi jeden z największych ciosów w finansowe zaplecze cyberprzestępczości. Mikser ten był wykorzystywany przez grupy ransomware oraz handlarzy narkotyków do legalizowania zysków z nielegalnej działalności. Zamknięcie Helixa to jasny sygnał, że anonimowość w blockchainie jest coraz trudniejsza do utrzymania, a służby dysponują coraz lepszymi narzędziami analitycznymi. Dla świata przestępczego oznacza to poważne problemy z upłynnianiem skradzionych środków.
Źródło: Hackread [EN]
Polskim internetem wstrząsnęła informacja o zatrzymaniu przez Centralne Biuro Śledcze Policji grupy znanych influencerów i youtuberów. Sprawa dotyczy organizowania nielegalnych gier hazardowych pod przykrywką loterii promocyjnych oraz prania brudnych pieniędzy na masową skalę. Zatrzymani mieli czerpać wielomilionowe zyski ze sprzedaży e-booków, które w rzeczywistości były jedynie losem w loterii o luksusowe samochody i domy. Śledczy zabezpieczyli mienie o ogromnej wartości, a sprawa ma charakter rozwojowy i może dotyczyć szerszego kręgu twórców internetowych. To wydarzenie obnaża szarą strefę marketingu influencerów, gdzie granica między legalną promocją a przestępstwem skarbowym była często przekraczana. Dla branży reklamowej to sygnał do gruntownej weryfikacji legalności prowadzonych akcji promocyjnych.
Źródło: Wirtualne Media [PL]
Mimo licznych ostrzeżeń, tysiące instancji baz danych MongoDB pozostaje publicznie dostępnych bez hasła, co bezlitośnie wykorzystują cyberprzestępcy. Nowa fala ataków polega na automatycznym kasowaniu zawartości niezabezpieczonych baz i zostawianiu notatki z żądaniem okupu za przywrócenie danych. Co gorsza, w wielu przypadkach przestępcy wcale nie kopiują danych przed ich usunięciem, więc zapłacenie okupu nie gwarantuje ich odzyskania. To klasyczny przykład ataku oportunistycznego, gdzie ofiarami padają firmy zaniedbujące podstawową higienę cyberbezpieczeństwa. Eksperci przypominają, że prawidłowa konfiguracja reguł dostępu i uwierzytelniania to absolutne minimum przy wdrażaniu baz danych w chmurze.
Źródło: BleepingComputer [EN]
Na rynku technologicznym pojawiła się nietypowa nowinka – smartfon firmowany nazwiskiem byłego prezydenta USA, Trump Phone T1 w wersji Ultra. Urządzenie, pozycjonowane jako sprzęt dla "patriotów", ma oferować unikalne funkcje bezpieczeństwa i brak cenzury, co wpisuje się w narrację walki z Big Tech. Choć specyfikacja techniczna plasuje go w średniej półce, to marketingowy szum wokół premiery jest ogromny. Eksperci są jednak sceptyczni co do realnego poziomu zabezpieczeń i sugerują, że może to być jedynie rebrandowany chiński telefon z nakładką systemową. To ciekawy przykład tego, jak polaryzacja polityczna próbuje monetyzować nawet rynek elektroniki użytkowej.
Źródło: Telepolis [PL]
Nowoczesne systemy bezpieczeństwa w samochodach wchodzą na nowy poziom inwigilacji kierowcy w imię bezpieczeństwa. Technologia ADDW (Advanced Driver Distraction Warning) wykorzystuje kamery i AI do monitorowania ruchu gałek ocznych i głowy kierującego. Jeśli system wykryje, że kierowca jest rozproszony, zmęczony lub patrzy w telefon zamiast na drogę, natychmiast wyemituje sygnał ostrzegawczy. Jest to odpowiedź na rosnącą liczbę wypadków spowodowanych korzystaniem ze smartfonów za kółkiem. Choć rozwiązanie to realnie poprawia bezpieczeństwo, rodzi też pytania o prywatność wewnątrz kabiny pojazdu.
Źródło: Instalki.pl [PL]
Badacze bezpieczeństwa odkryli krytyczną lukę w popularnych "inteligentnych" zabawkach wykorzystujących AI, która naraża dzieci na ogromne niebezpieczeństwo. Okazało się, że panel administracyjny producenta był publicznie dostępny w internecie, co pozwalało na dostęp do danych osobowych, nagrań głosowych, a nawet lokalizacji dzieci bawiących się urządzeniami. Tego typu zaniedbania w sektorze IoT dla najmłodszych są przerażające, gdyż mogą ułatwić działanie przestępcom seksualnym lub porywaczom. Sprawa ta po raz kolejny pokazuje, że producenci taniej elektroniki często całkowicie ignorują kwestie bezpieczeństwa (Security by Design). Rodzice powinni dwa razy zastanowić się przed zakupem zabawki podłączonej do sieci.
Źródło: CySecurity News [EN]
Eksperci zidentyfikowali nową technikę ataku na duże modele językowe (LLM) o nazwie RePrompt, która pozwala na ominięcie zabezpieczeń i filtrów treści. Atak polega na sprytnym manipulowaniu kontekstem rozmowy i ponownym wstrzykiwaniu złośliwych instrukcji w taki sposób, aby AI uznała je za bezpieczne polecenia systemowe. Dzięki temu hakerzy mogą zmusić czatbota do generowania phishingu, kodu malware czy dezinformacji, mimo wbudowanych blokad. Jest to kolejny etap w wyścigu zbrojeń między twórcami AI a badaczami bezpieczeństwa, pokazujący, że "jailbreaking" modeli staje się coraz bardziej wyrafinowany.
Źródło: CySecurity News [EN]
Blog Droids On Roids opisuje fascynującą i niebezpieczną technikę wykorzystywaną przez oszustów, polegającą na użyciu znaków o zerowej szerokości (zero-width characters). Są to niewidoczne dla oka symbole, które można wpleść w adresy URL lub treści wiadomości, zmieniając ich cyfrowy "odcisk" bez zmiany wyglądu dla użytkownika. Metoda ta pozwala na omijanie filtrów antyspamowych oraz tworzenie perfekcyjnych homografów domen, które są nieodróżnialne od oryginałów. Dla systemów bezpieczeństwa dwa identycznie wyglądające linki mogą być zupełnie czymś innym. To przypomnienie, że w cyberbezpieczeństwie to, co widzisz, nie zawsze jest tym, co otrzymujesz.
Źródło: The Droids On Roids [EN]
Firma HarfangLab ujawniła szczegóły operacji RedKitten, prowadzonej przez grupę powiązaną z irańskim rządem. Atakujący wykorzystują narzędzia oparte na sztucznej inteligencji, aby przyspieszyć proces tworzenia złośliwego oprogramowania i analizy danych wykradzionych od dysydentów. Celem kampanii jest inwigilacja uczestników protestów oraz zbieranie informacji o opozycji politycznej w Iranie. Użycie AI pozwala reżimowi na skalowanie działań represyjnych i szybszą identyfikację "wrogów państwa" w cyberprzestrzeni. To ponury przykład tego, jak nowoczesna technologia może służyć do tłumienia ruchów demokratycznych.
Źródło: HarfangLab [EN]
OKO.press analizuje rolę firmy Palantir w systemie inwigilacji imigrantów w Stanach Zjednoczonych. Gigant analityki danych dostarcza agencji ICE (Immigration and Customs Enforcement) zaawansowane oprogramowanie, które agreguje ogromne ilości informacji z różnych źródeł, aby typować osoby do deportacji. System ten pozwala na tworzenie szczegółowych profili ludzi, mapowanie ich powiązań rodzinnych i lokalizacji, często z naruszeniem prywatności. Artykuł stawia pytania o etykę wykorzystywania big data w działaniach państwowych i odpowiedzialność korporacji technologicznych za losy jednostek.
Źródło: OKO.press [PL]
Jak zwykle liczę na Wasze komentarze i uwagi, które pozwolą mi jeszcze lepiej dobierać artykuły i ciekawostki z dziedziny cyberbezpieczeństwa.
