Codzienny przegląd ciekawszych wiadomości ze świata cyberbezpieczeństwa, do poczytania przy porannej kawie, podzielony na kluczowe kategorie.
Grudzień przynosi rekordową paczkę poprawek dla systemu Android. Google zaadresowało aż 107 podatności, z czego część oznaczono jako krytyczne, umożliwiające zdalne wykonanie kodu. Aktualizacja jest już udostępniana producentom sprzętu, a użytkownicy Pixeli otrzymają ją w pierwszej kolejności. To przypomnienie, że mobilne systemy operacyjne wymagają równie częstego "patchowania" co desktopy.
Źródło: malwarebytes.com [EN]
Prezydent RP zdecydował się zawetować nową ustawę regulującą rynek kryptoaktywów, wskazując na konieczność doprecyzowania przepisów podatkowych i nadzorczych. Decyzja ta wprowadza chwilowy chaos legislacyjny, ale daje czas branży na kolejne konsultacje. Dla inwestorów oznacza to utrzymanie obecnego statusu prawnego przez najbliższe miesiące.
Źródło: cyberdefence24.pl [PL]
Twórcy ChatGPT zmieniają strategię, ogłaszając wewnętrzny "Czerwony Kod" i przesuwając zasoby z szybkiego rozwoju funkcji na uszczelnienie bezpieczeństwa modeli. Decyzja ta jest pokłosiem rosnącej liczby incydentów oraz nacisków regulacyjnych dotyczących AI Safety. Firma zapowiada rygorystyczne audyty przed wypuszczeniem kolejnych wersji GPT.
Źródło: crn.pl [PL]
Fundacja Panoptykon głośno krytykuje coraz popularniejszą praktykę "płać albo oddaj dane", stosowaną przez gigantów internetowych (np. Meta). Organizacja argumentuje, że zgoda na śledzenie wymuszona groźbą opłaty nie jest dobrowolna w rozumieniu RODO. Sprawa ta może zdefiniować przyszłość darmowego internetu i reklamy behawioralnej w Europie.
Źródło: panoptykon.org [PL]
Brytyjski regulator (ICO) rozpoczyna szeroko zakrojoną kontrolę popularnych gier mobilnych pod kątem ochrony danych dzieci. Urzędnicy sprawdzają, czy mechanizmy zachęcające do mikropłatności i udostępniania danych nie naruszają "Children’s Code". To sygnał dla deweloperów, że era "dzikiego zachodu" w aplikacjach dla najmłodszych dobiega końca.
Źródło: cyberdefence24.pl [PL]
Użytkownicy na całym świecie doświadczyli poważnej awarii ChatGPT, która nie tylko uniemożliwiła korzystanie z usługi, ale też tymczasowo wyczyściła historię rozmów. OpenAI potwierdziło problemy z bazą danych, zapewniając jednocześnie, że dane nie zostały trwale utracone. Incydent ten pokazuje, jak bardzo zależni staliśmy się od jednego dostawcy AI w codziennej pracy.
Źródło: bleepingcomputer.com [EN]
Malwarebytes opisuje kampanię, w której niegroźne dotąd rozszerzenia do przeglądarek (Chrome/Edge) nagle "obudziły się" jako spyware. Po automatycznej aktualizacji, dodatki zaczęły kraść historię przeglądania i podmieniać linki na reklamowe u ponad 4 milionów użytkowników. To klasyczny przykład ataku na zaufanie – instalujesz coś bezpiecznego, co po miesiącach zamienia się w narzędzie inwigilacji.
Źródło: malwarebytes.com [EN]
Wstrząsająca sprawa z Australii, gdzie aresztowano mężczyznę tworzącego fałszywe punkty Wi-Fi (Evil Twin) na lotniskach i w samolotach. Przestępca przechwytywał ruch sieciowy, kradnąc dane logowania do mediów społecznościowych i iCloud, aby pobierać prywatne zdjęcia ofiar. To brutalne przypomnienie, by nigdy nie ufać otwartym sieciom Wi-Fi w miejscach publicznych bez użycia VPN.
Źródło: sekurak.pl [PL]
Grupa ransomware Clop wykorzystała starą lukę w oprogramowaniu Oracle E-Business Suite do ataku na University of Pennsylvania. Mimo dostępnych łatek, systemy uczelni pozostały niezabezpieczone, co pozwoliło przestępcom na kradzież danych i zaszyfrowanie serwerów. Przypadek ten potwierdza, że w sektorze edukacji patch management wciąż jest piętą achillesową.
Źródło: cyberscoop.com [EN]
Badacze z Kaspersky odkryli luki w automatycznych tasowarkach kart używanych w kasynach. Okazuje się, że urządzenie można przeprogramować tak, aby układało karty w kolejności korzystnej dla wtajemniczonego gracza, lub przesyłało układ talii na smartfona oszusta. To fascynujący przykład ataku na sprzęt IoT, który bezpośrednio przekłada się na kradzież pieniędzy w świecie fizycznym.
Źródło: kaspersky.co.uk [EN]
Sekoia.io publikuje techniczny "deep dive" w proces analizy złośliwego oprogramowania Kaiji, celującego w urządzenia IoT. Artykuł krok po kroku pokazuje, jak analitycy łamią zabezpieczenia kodu, by wydobyć konfigurację i adresy serwerów sterujących (C2). Lektura obowiązkowa dla osób zainteresowanych inżynierią wsteczną i threat intelligence.
Źródło: blog.sekoia.io [EN]
Najnowsza aktualizacja Windows 11 (KB5070311) przyniosła irytujący błąd: Eksplorator plików w trybie ciemnym potrafi nagle błysnąć jasnym białym tłem. Choć nie jest to luka bezpieczeństwa, usterka ta irytuje użytkowników i może być wykorzystana przez złośliwe strony do dezorientacji (tzw. UI redressing), choć w tym przypadku to raczej zwykła wpadka Microsoftu.
Źródło: bleepingcomputer.com [EN]
CERT Polska ostrzega przed nową kampanią phishingową, w której oszuści podszywają się pod Ministerstwo Zdrowia, oferując rzekomy "zwrot kosztów leków". Ofiara otrzymuje link do fałszywej strony, gdzie podanie danych karty płatniczej ma umożliwić odbiór środków, a w rzeczywistości prowadzi do kradzieży pieniędzy. Przestępcy żerują na osobach starszych i chorych, wykorzystując autorytet instytucji państwowej.
Źródło: moje.cert.pl [PL]
Pojawił się sprytny wektor ataku wykorzystujący popularne narzędzie do umawiania spotkań – Calendly. Oszuści wysyłają fałszywe zaproszenia, które zawierają złośliwe skrypty lub linki, mające na celu przejęcie sesji przeglądarki i kont reklamowych (Ad Manager) firm. Atak jest wycelowany w działy marketingu, które na co dzień pracują z tym narzędziem.
Źródło: bleepingcomputer.com [EN]
CSIRT KNF i CyberDefence24 alarmują o nowej fali spoofingu, w której oszuści nie tylko dzwonią, ale przesyłają na WhatsApp zdjęcia fałszywych legitymacji pracowniczych. Ma to uwiarygodnić historię o "zagrożonych środkach" i skłonić ofiarę do instalacji oprogramowania typu AnyDesk. Pamiętajmy: prawdziwy pracownik banku nigdy nie legitymuje się przez komunikatory internetowe.
Źródło: cyberdefence24.pl [PL]
Ujawniono szeroko zakrojony schemat, w którym północnokoreańscy hakerzy "wynajmują" tożsamości od zachodnich inżynierów i obywateli, aby zdobywać pracę w firmach IT. To forma zaawansowanej dezinformacji korporacyjnej – firma myśli, że zatrudnia lokalnego specjalistę, a w rzeczywistości daje dostęp do swoich systemów agentowi obcego wywiadu. Pieniądze z pensji trafiają do reżimu, a dostęp jest wykorzystywany do kradzieży własności intelektualnej.
Źródło: bleepingcomputer.com [EN]
Jak zwykle liczę na Wasze komentarze i uwagi, które pozwolą mi jeszcze lepiej dobierać artykuły i ciekawostki z dziedziny cyberbezpieczeństwa.
