🔐 Cyber Security Daily News | 10.11.2026
Codzienny przegląd ciekawszych wiadomości ze świata cyberbezpieczeństwa, do poczytania przy porannej kawie, podzielony na kluczowe kategorie.
📰 NEWS
Głośny protest przeciwko umowie MON z Palantirem
W Warszawie 8 listopada odbył się protest „Zatrzymajmy Palantir. Nie oddamy naszych danych", który zorganizowała m.in. inicjatywa Nasze Dane. Dotyczy negocjowanego wdrożenia systemu Maven Smart System Poland w Siłach Zbrojnych RP. Protestujący zarzucają uzależnienie od amerykańskiej firmy, ryzyko utraty kontroli nad danymi i powiązania firmy z kontrowersyjnymi zastosowaniami w innych krajach (firma zaprzecza jednemu z nich). Domagają się niezależnego, jawnego audytu przed wdrożeniem, a Wojciech Klicki z Panoptykonu odwołał się do lekcji z Pegasusa. Palantir zapewnia, że system działa na infrastrukturze klienta, wojsko zarządza kluczami szyfrującymi i dostępem, nie ma zdalnego dostępu ani „kill switcha", a CLOUD Act go nie dotyczy. Firma deklaruje gotowość do współpracy przy weryfikacji bezpieczeństwa, ale nie zadeklarowała niezależnego audytu. Artykuł nie zawiera stanowiska MON, a kolejny protest zapowiedziano na 22 listopada.
Źródło: CyberDefence24 [PL]
Krytyczna luka w Telegramie na Androida pozwalała przejąć kontrolę nad telefonem
Badacze z NebuSec wykryli lukę w kodzie odczytującym komunikat MediaState, wysyłany podczas połączenia głosowego (informuje m.in. o wyciszeniu mikrofonu czy włączeniu kamery). Kod źle obsługuje brakujące pola i może odczytać pamięć, do której nie powinien mieć dostępu. W połączeniu z exploitem na uprawnienia roota w Androidzie daje to pełną kontrolę nad telefonem, a wystarczy odebrać połączenie od atakującego. Dotyczy wersji od 8.6.2 do 12.10.3 na urządzeniach z ARM64, a poprawka jest w wersji 12.10.4 z końca września 2026. W demonstracji telefon ofiary po pół minucie połączenia przechodzi na ekran główny z napisem „HACKED BY NEBUSEC", a artykuł nie wspomina o atakach w praktyce. Telegram nie uznał błędu za zdalne wykonanie kodu, więc nie ma numeru CVE ani nagrody z bug bounty. Zainstaluj aktualizację i odrzucaj połączenia od nieznanych osób.
Źródło: Sekurak [PL]
Torvalds widzi oznaki, że fala łatek wywołana przez AI mogła osiągnąć szczyt
W cotygodniowej informacji o kernelu Linus Torvalds ogłosił Linux 7.4 rc2, a poprzedni kandydat rc1 był największy w historii kernela i zawierał „various AI fixes". Przekazał też słowa Alexei Starovoitova, lidera eBPF, że w tym podsystemie poprawki napływają już szybciej niż nowe zgłoszenia błędów. Torvalds uznał to za „lovely if true", a sam Starovoitov ostrzegł, że w większości obszarów tak jeszcze nie jest i „don't hold your breath". Artykuł wiąże falę poprawek z modelem Anthropic Mythos do szukania błędów, który pojawił się w kwietniu 2026 r. Microsoft naprawił we wrześniu rekordowe 974 luki, a Oracle 1449 w jednym miesiącu. Zespoły IT nie są przygotowane na tyle łatek, a muszą działać szybciej, bo atakujący coraz częściej celują w luki znalezione przez AI. Trend opiera się na jednej wypowiedzi, bez liczb z kernela.
Źródło: The Register [EN]
🚨 INCYDENTY
Rosyjski dostawca chmury Beget odbudowuje się od zera po ataku wiperem
Atakujący uzyskał dostęp w nocy 1 listopada, dotarł do warstwy zarządzania całą architekturą i uruchomił skrypty zerujące dane. Beget wykrył złośliwe oprogramowanie krótko po aktywacji i odłączył wszystkie serwery od sieci. Według firmy utracono wszystkie dane w chmurze, w tym VPS, S3 i Kubernetes, a także ustawienia CDN i konfiguracje IP. Binarne kopie VPS przepadły, a kopie plików przetrwały częściowo i obejmą tylko ok. połowy użytkowników VPS. Beget obsługuje ponad 200 tys. klientów, w tym sklepy internetowe, media i usługi edukacyjne. Po ponad tygodniu przywrócono ok. 60% hostingu współdzielonego i 40% serwerów dedykowanych, a ok. 1000 serwerów wymaga ręcznej kontroli. Atakującego nie wskazano, a firma ocenia, że celem było wyłącznie zniszczenie, bez dowodów pobrania danych.
Źródło: BleepingComputer [EN]
Fałszywe narzędzia bezpieczeństwa na GitHubie zainfekowały ponad 2000 komputerów
Doctor Web odkrył kampanię ukrytą w projektach na GitHubie udających narzędzia do skanowania, testów bezpieczeństwa i analizy logów. Zaczęła się ok. dwa lata temu od projektów związanych z grami blockchain, botami i cheatami, a teraz celuje w specjalistów bezpieczeństwa. Złośliwy kod ukryto w krokach budowania, poleceniach PowerShell i plikach Python/Go wypełnionych pustymi blokami. Po otwarciu projektu skrypt pobiera z legalnych usług (YouTube, Telegram, Google Docs, Pastebin) zaszyfrowany adres archiwum. Ładunek wyłącza Windows Defender, UAC i kopie zapasowe, usuwa niektóre antywirusy i instaluje AsyncRAT, clippera podmieniającego adresy portfeli oraz stealera danych z przeglądarek, VPN i komunikatorów. Doctor Web zaleca aktualizowane antywirusy i skanowanie każdego pobranego pliku. Wniosek: kod z GitHuba, także „narzędzia do pentestów", uruchamiaj w odizolowanym środowisku.
Źródło: Security Affairs [EN]
💡 CIEKAWOSTKI
Agenci AI z DeepMind obniżają koszt ataków na 1024-bitowe klucze RSA
Google DeepMind we współpracy z UC San Diego i Inria twierdzi, że agenci AI pod nadzorem człowieka znaleźli dwa sposoby obniżenia kosztu ataku na przestarzałe klucze RSA 1024 bity. Pierwszy to fałszowanie podpisów: okazało się, że padding przestaje chronić, gdy atakujący kontroluje mniej więcej połowę bloku. Dotyczy to formatu PKCS#1 v1.5 używanego m.in. w modułach HSM, a ponowione znane badanie wymagało 391 rdzeniolat CPU zamiast 1380. Agenci zaprojektowali i uruchomili obliczenia w mniej niż cztery dni. Drugi wynik to faktoryzacja wsadowa, która ma obniżyć koszt każdego kolejnego klucza ok. 30-krotnie, ale to estymata niezaimplementowana. Atak na podpisy nie odzyskuje klucza prywatnego i wymaga ok. 4 mld wcześniejszych zapytań o podpis. DeepMind zaznacza, że klucze 2048-bitowe i większe pozostają bezpieczne, więc ryzyko dotyczy starszych systemów.
Źródło: SecurityWeek [EN]
Plan BBC na „czarne niebo" działa na radiu FM
„Black Sky event" to scenariusz, w którym jednocześnie padają prąd, woda, sklepy i łączność, a planiści przyjmują ok. 72 godzin, przez które trzeba utrzymać podstawowe usługi. BBC ma plan informowania Brytyjczyków podczas długiego blackoutu, oparty na radiu FM. Inspiracją była powódź z 2015 r., która pozbawiła prądu 61,5 tys. osób w Lancaster, gdzie działały tylko linie miedziane i lokalna stacja na generatorze. Niezależne od internetu studio obsługiwałoby ok. 100 osób, a nadajniki zasilane byłyby agregatami na ok. trzy dni. Nadawano by głównie przygotowane komunikaty rządowe, np. o zużyciu wody czy utylizacji nieczystości. Krytycy ostrzegają, że dążenie do efektywności usunęło redundancję (służby przeszły na sieci komórkowe, a sieć miedziana ma być wyłączona 31 stycznia 2027). Rząd twierdzi, że system jest odporny, a 4G i 5G zapewniają łączność.
Źródło: Security Affairs [EN]
„Za dużo narzędzi, a za mało ludzi". Ekspert o błędach w cyberbezpieczeństwie
W rozmowie z Piotrem Pilewskim ekspert Trecom Sebastian Gwiozda przekonuje, że firmom zwykle nie brakuje technologii, tylko ludzi i czasu na jej obsługę. Typowe błędy to dobór produktu bez analizy ryzyka, narzędzia działające tylko w trybie monitorowania, alerty bez właściciela oraz słaby nadzór nad kontami dostawców. Z badania MŚP z IBRiS wynika, że 79% uważa liczbę ataków za rosnącą, 61% zetknęło się z próbą wyłudzenia, a tylko 49% ma wskazaną osobę lub dostawcę odpowiedzialnego za bezpieczeństwo. Przy NIS2 ekspert ostrzega przed zbyt wąskim zakresem projektu i brakiem inwentaryzacji zasobów, a zgodności „nie da się kupić". Zwraca też uwagę na ryzyko automatycznej obrony, która może sama zatrzymać produkcję. Część rekomendacji dotyczy oferty firmy, więc to wypowiedź z perspektywy sprzedawcy usług, ale lista błędów jest uniwersalna. Kluczowe pytanie: co zrobimy, gdy jutro rano okaże się, że ktoś dostał się do naszych systemów?
Źródło: CyberDefence24 [PL]
🎣 OSZUSTWA, SCAMY, EXPLOITY
CERT Orange ostrzega przed fałszywymi fakturami z trojanem
Przestępcy rozsyłają e-maile z „fakturami" za usługi Orange, wykorzystując kopie prawdziwej korespondencji, w tym dane rzeczywistych klientów. Wiadomości trafiają do osób i firm, które nie są tymi klientami. Grafika, układ i nazwa nadawcy wyglądają wiarygodnie, więc trzeba sprawdzić faktyczny adres e-mail. Pole odbiorcy bywa puste, a w prawdziwej fakturze są dane klienta i numer klienta. W załączniku zamiast faktury jest trojan Remcos RAT, który pozwala zdalnie przejąć komputer. Nie otwieraj załączników z podejrzanych wiadomości, sprawdzaj należności w aplikacji Mój Orange, a płatności ponawiaj z własnej aplikacji bankowej, nie z danych z faktury. Domena Orange ma SPF, DKIM i DMARC, ale to nie eliminuje wszystkich oszustw, a podejrzaną wiadomość można zgłosić do CERT Orange.
Źródło: Telepolis.pl [PL]
Uwaga na fałszywe wiadomości o przesyłkach (komunikat 211/2026)
CERT Polska odnotował kampanię SMS, w której oszuści podszywają się pod InPost. Wiadomości mówią o problemach z doręczeniem, brakujących danych adresowych, potwierdzeniu szczegółów przesyłki lub nowym terminie dostawy. Zawierają linki do stron udających serwis przewoźnika, a celem jest wyłudzenie danych osobowych i danych karty płatniczej. Komunikat zawiera przykłady SMS-ów i fałszywej strony. Sygnały ostrzegawcze to paczka, której możesz się nie spodziewać, pilne potwierdzenie danych lub opłaty i link zamiast informacji możliwych do sprawdzenia oficjalnym kanałem. Nie klikaj linków ani nie podawaj danych karty, a status sprawdzaj w aplikacji przewoźnika lub po ręcznym wpisaniu adresu. Podejrzane SMS-y zgłaszaj na bezpłatny numer 8080, przez incydent.cert.pl albo w aplikacji mObywatel.
Źródło: CERT Polska [PL]
Akt oskarżenia o oszustwa „deepfake CEO" na 129 mln dolarów
Trzech mężczyzn (Jacob Soall, Sharon Hazan, Guy Sheetrit) usłyszało zarzuty za schemat z lat 2024–2026. Jeden ze spiskowców udawał prezesa firmy-ofiary, używając AI do imitacji głosu lub obrazu, i kierował pracownika do rzekomych prawników z dużych kancelarii. Prawników także odgrywali oszuści, a Soall miał używać ręcznie napisanego skryptu „Lawyer Call", który zniechęcał ofiary do rozmów z kolegami. Pracownik przelewał dużą sumę na konto grupy, a pieniądze zamieniano w kryptowaluty i dzielono. Ofiarami były m.in. dwa szpitale w USA (łącznie ok. 7,8 mln dolarów), bank z Rhode Island (2,7 mln) i brytyjska firma fintech (11,6 mln, największa strata). Każdy z oskarżonych odpowiada za siedem zarzutów, w tym oszustwo telefoniczne, kradzież tożsamości i pranie pieniędzy. Artykuł przywołuje dane Gartnera, że 41% CISO miało incydent z deepfake w rozmowie audio. Praktyka: weryfikuj prośby o przelew drugim, znanym kanałem i traktuj pośpiech oraz poufność jako sygnał alarmowy.
Źródło: Help Net Security [EN]
🌐 DEZINFORMACJA, CYBER ВОЙНА
„Zimny łańcuch w ogniu". Niezałatane sterowniki Danfoss i atrybucja do Iranu
Sekoia opisuje ataki na sterowniki chłodnicze Danfoss: 11–13 października we Francji uderzono w setki supermarketów (m.in. Intermarché i Coopérative U), a w nocy 1–2 listopada druga fala dotknęła ok. tuzina krajów europejskich. W trzech francuskich ośrodkach krwi chłodnie przeprogramowano na 110°C, zanim zareagował personel. Atakujący nie wykonywał kodu, lecz zmieniał nastawy temperatur, cykle odszraniania i progi alarmów, co opóźniło wykrycie o kilka godzin. Censys wskazał ponad 2700 wystawionych do internetu systemów Danfoss (ok. 1700 we Francji), a większość miała nieaktualne oprogramowanie. Według Sekoia 9 listopada francuskie władze przypisały operację jednostce „Shahid Kaveh" związanej z IRGC, co zgadza się z wcześniejszą hipotezą firmy. Sekoia uważa za niepotwierdzone przypisywanie ataku grupie NoName057(16) i zauważa, że LLM pozwolił jej w kilka minut potwierdzić luki w publicznym firmware. Zalecenia: nie wystawiać sterowników do internetu, zmienić domyślne hasła, zaktualizować firmware i segmentować sieć.
Źródło: Sekoia [EN]
Meloni obwinia prorosyjskich hakerów o wyciek danych ministra Tajaniego
Włoski minister spraw zagranicznych Antonio Tajani poinformował w mediach społecznościowych, że jego dane osobowe od kilku dni krążą w darknecie i że przestępcy szukają kolejnych informacji o nim i jego rodzinie. Premier Giorgia Meloni obwiniła o to prorosyjskich hakerów i nazwała próby sprzedaży poufnych informacji o urzędnikach „sprawą bardzo poważną". Tajani powiązał wyciek z szerszą falą incydentów w Europie, m.in. fałszywymi alarmami bombowymi, atakami na chłodnie supermarketów i incydentami z dronami. Nie powiedział, jakie dane wyciekły, a żadna grupa nie przyznała się do ataku. Artykuł nie podaje dowodów technicznych, próbek danych ani weryfikacji, bo opiera się wyłącznie na wpisie ministra i oświadczeniu premier. Minister zapowiedział, że nie da się zastraszyć i dalej będzie wspierać Ukrainę. To oskarżenie polityczne, które trzeba odróżnić od potwierdzonej atrybucji.
Źródło: SecurityWeek [EN]
Gorbag zbiera wywiad na Ukrainie jednorazowymi kampaniami
ESET opisuje prorosyjskiego aktora, który atakuje Ukrainę co najmniej od lutego 2025 r., stawiając na jednorazowe zbieranie danych, a nie długotrwały dostęp. Ofiary to ok. jedna czwarta organów ścigania i wymiaru sprawiedliwości, mniej więcej tyle samo lokalnych administracji w pobliżu frontu oraz podmioty obronne i logistyczne, w tym węzeł transportu pomocy wojskowej. W 2025 r. używano spearphishingu z makrami w Excelu i motywami urzędowych kar, a od początku 2026 r. archiwów RAR wykorzystujących lukę WinRAR CVE-2025-8088. Stealer BeautyStealer kradnie dane z przeglądarek, konfiguracje VPN i pliki, w tym klucze podpisu z ukraińskich ośrodków certyfikacji, a po wysyłce przez Telegram lub własny serwer usuwa sam siebie. ESET ocenia, że Gorbag może być brokerem dostępu przekazującym dane innym grupom, ale to hipoteza, a artykuł nie wskazuje konkretnej agencji państwowej. Wniosek: proste narzędzia wystarczają do skutecznego wywiadu w czasie wojny, a IoC są w repozytorium ESET na GitHubie.
Źródło: WeLiveSecurity (ESET) [EN]
📅 Powyższe zestawienie ma charakter wyłącznie informacyjny i edukacyjny. Wszystkie informacje opierają się na publicznie dostępnych doniesieniach prasowych z dnia 9 listopada 2026 r. ⚠️ W razie podejrzenia incydentu bezpieczeństwa skonsultuj się z wykwalifikowanym specjalistą.