🔐 Cyber Security Daily News | 13.11.2026
Codzienny przegląd ciekawszych wiadomości ze świata cyberbezpieczeństwa, do poczytania przy porannej kawie, podzielony na kluczowe kategorie.
📰 NEWS
Gawkowski apeluje do prezydenta ws. ustawy o blokowaniu treści
Według artykułu nie jest to ustawa o ochronie dzieci w sieci jako takiej, lecz druga z dwóch ustaw wdrażających unijny Akt o usługach cyfrowych (DSA), dotycząca blokowania nielegalnych treści. 12 listopada wicepremier Krzysztof Gawkowski i wiceminister Dariusz Standerski zaapelowali pod Pałacem Prezydenckim do Karola Nawrockiego o podpisanie ustawy. Termin decyzji mija 13 listopada. Prezydent zawetował w styczniu pierwszą wersję nowelizacji, a ministerstwo rozbiło ją na dwa projekty. Pierwszy został zaakceptowany pod koniec września. Senat wprowadził poprawkę, według której o blokowaniu treści propagujących przemoc ze względu na rasę, narodowość czy poglądy polityczne ma decydować Prezes UKE, a nie niezależny sąd. Standerski przekonywał, że ustawa co do zasady wymaga wyroku sądu, a wyjątki dotyczą treści seksualnych wysyłanych dzieciom lub z ich udziałem. Według „Czarnej księgi” 39% polskich nastolatków zetknęło się z agresją w internecie, a 10% było szantażowanych m.in. zdjęciami seksualnymi. Spór o rolę UKE pozostaje politycznie otwarty.
Źródło: CyberDefence24 [PL]
Policja rozbiła infrastrukturę Gootloadera, CastleRAT i StealC
Gootloader to loader aktywny od 2020 r., StealC kradnie poświadczenia i portfele kryptowalut, a CastleRAT to trojan zdalnego dostępu. Wszystkie trzy służyły m.in. gangom ransomware. W operacji wzięło udział dziewięć krajów, w tym Polska, a koordynowały ją Europol i Eurojust. Zajęto 257 domen i 235 serwerów. Na infrastrukturze zidentyfikowano ponad 6 milionów poświadczeń ofiar, które przestępcy planowali sprzedawać. Dane trafią do HaveIBeenPwned i innych organizacji, aby poszkodowani mogli zostać powiadomieni. Użytkownikom WordPressa zalecono zmianę poświadczeń, włączenie MFA i łatanie. Artykuł nie wspomina o zatrzymaniach.
Źródło: BleepingComputer [EN]
WhatsApp testuje jednorazowe wiadomości tekstowe
WhatsApp testuje tryb „wyświetl raz” dla zwykłych wiadomości tekstowych, który wcześniej działał dla zdjęć, filmów i wiadomości głosowych. Ma chronić poufne dane, takie jak numer karty. Funkcja trafiła do wybranych testerów bety na Androida. Odbiorca widzi w czacie tylko kafelek, a po zamknięciu okna treść jest trwale usuwana z urządzenia. Nie można jej kopiować, przekazywać ani zapisywać, a aplikacja blokuje zrzuty i nagrywanie ekranu. Autor zauważa jednak, że treść można sfotografować drugim telefonem. Meta nie podała daty wdrożenia w wersji stabilnej, a prognoza autora to jego przypuszczenie. To dodatkowa warstwa prywatności, ale nie gwarancja poufności.
Źródło: CHIP [PL]
🚨 INCYDENTY
Launcher gry NIKKE posłużył do kradzieży danych
Napastnicy nie zmodyfikowali gry ani launchera. Kazali legalnemu launcherowi, przez serwerowy kanał zadań, pobrać i uruchomić ładunek. Złośliwa domena miała zaledwie około pięciu tygodni, więc blokowanie oparte na reputacji jej nie wykryło. Ładunek zapisano jako plik .log z bajtkodem LuaJIT, a cała aktywność działała w podpisanym procesie launchera. Malware k2f-agent to infostealer w Lua z 46 modułami. Przeszukuje magazyny poświadczeń przeglądarek, a także SSH, GPG, Git i Kubernetes. Kradnie też skarbce pięciu rozszerzeń portfeli (MetaMask, Phantom, Coinbase Wallet, Keplr, TronLink). Bitdefender przerwał drugi etap na chronionych systemach, zanim dane wyciekły, a islandzki hoster usunął serwer. Jeśli launcher działał w oknie ataku, maszynę trzeba uznać za skompromitowaną: zmienić hasła i sekrety deweloperskie oraz przenieść środki na nowe portfele. Bitdefender nie znalazł dowodów na udział Shift Up, Level Infinite ani Tencentu, a to, jak napastnicy przejęli kanał zadań, pozostaje nieznane.
Źródło: Bitdefender Labs [EN]
Kampania „wfx-loot” uderzyła w 60 tys. repozytoriów GitHub
Kampania zaczęła się 10 listopada. Atakujący testował skradzione dostępy na ponad 60 tysiącach repozytoriów i wstrzyknął kod kradnący poświadczenia do tysięcy z nich. Używał ważnych tokenów kont deweloperów i botów, a nie błędu w GitHub Actions. Pull requesty testowe wysłano do 61 764 repozytoriów. Złośliwy kod trafiał do workflowów GitHub Actions, skryptów CI i haków instalacyjnych npm, po czym atakujący zwykle cofał zmiany i usuwał uruchomienia workflowów. Skrypt szukał tokenów GitHub, sekretów repozytoriów, poświadczeń chmurowych i kluczy usług AI. SafeDep naliczył 8 093 publiczne repozytoria z złośliwymi commitami, co nie znaczy, że kod się wykonał, a Aikido widział ślady działania stealera w ponad 1 800. Jeśli malware się wykonał, trzeba założyć wyciek wszystkich dostępnych sekretów, unieważnić tokeny i sprawdzić zmiany w chmurze.
Źródło: SecurityWeek [EN]
eMudhra unieważnia kolejne 8 certyfikatów CA
Urząd certyfikacji eMudhra unieważnił osiem dodatkowych pośrednich certyfikatów CA po dochodzeniu, które wykazało niewłaściwe obchodzenie się z kluczami prywatnymi. Łącznie dotyczy to 16 certyfikatów. W kwietniu 2025 r. firma użyła własnego skryptu w Pythonie do przenoszenia kluczy między modułami HSM. Błąd skrócił osiem kluczy ECDSA do jednego bajta, więc były łatwe do odzyskania. 17 października badacz „Wayne” pokazał, że wystarczy sprawdzić 256 wartości. Takie certyfikaty mogły pozwolić na fałszowanie witryn i przechwytywanie szyfrowanego ruchu. eMudhra nie wykryła złośliwego użycia kluczy. Mozilla, Google, Apple i inni wydali zabezpieczenia, a firma wycofuje się z publicznego biznesu certyfikatów TLS. Niezależny przegląd KPMG ma przynieść wyniki 4 grudnia.
Źródło: BleepingComputer [EN]
💡 CIEKAWOSTKI
Reklamy na telewizorze Samsunga podmienione zdjęciami rodziny
Czeski programista Daniel Vrátil użył kluczy skompromitowanego indyjskiego urzędu certyfikacji, by przechwycić ruch reklamowy swojego telewizora Samsung i zastąpić reklamy zdjęciami rodziny. Do mitmproxy dodał ujawnione klucze eMudhra. Wygenerował certyfikat dla domen reklamowych Samsunga i przekierował te zapytania na serwer w domowej sieci. Zapytania śledzące były odrzucane. Metoda działa tylko dopóki urządzenia ufają tym certyfikatom, a Samsung nie wydał jeszcze aktualizacji unieważniającej. Starsze telewizory mogą jej nigdy nie dostać. Każdy z podrobionym certyfikatem eMudhra mógłby podszywać się pod strony lub przechwytywać ruch z takich urządzeń, a autor ostrzega przed „countless much more sinister applications”. To zabawny, ale pouczający przykład tego, czym kończy się złamane zaufanie do CA.
Źródło: The Register [EN]
Trenowanie po treningu jako atak na łańcuch dostaw agentów kodujących
Microsoft Defender Research i AI Red Team zbadały dwa sposoby ukrycia w agentach kodujących zachowania wyzwalanego triggerem. Oba wykorzystują zaufanie do zbiorów danych i checkpointów po treningu. W dużym publicznym zbiorze danych znaleziono wiersze łączące niewinne prośby o operacje na plikach z wywołaniami narzędzia pobierającego i wykonującego zdalny skrypt z GitHuba. Intencji wydawcy nie ustalono. W eksperymencie 90 zatrutych przykładów (ok. 1%) w ok. 9 tysiącach rozmów dało 78% niebezpiecznych akcji na znanych harnessach. Po zatruciu checkpointu skuteczność atakujących wynosiła 85,9–100% w warunkach treningowych. Autorzy zaznaczają, że domyślne konfiguracje Claude Code i Codex CLI nie są osłabione, a ryzyko pojawia się dopiero, gdy harness uruchamia zbackdoorowany model. Zalecają traktować checkpointy jako niezaufane zależności, zapisywać ich pochodzenie, izolować wykonanie i wymagać zgody na działania wysokiego ryzyka.
Źródło: Microsoft Security Blog [EN]
🎣 OSZUSTWA, SCAMY, EXPLOITY
Fałszywe SMS-y o mandatach od „policji”
CERT Polska ostrzega przed kolejną falą SMS-ów, w których oszuści podszywają się pod jednostki Policji, w tym Wydziały Ruchu Drogowego i Komendy Wojewódzkie. Wiadomość informuje o rzekomym wykroczeniu drogowym i wymaga szybkiej zapłaty mandatu. Link prowadzi do strony podszywającej się pod rządowy serwis w domenie gov.pl. Formularze żądają danych prawa jazdy i karty płatniczej, które trafiają prosto do oszustów. CERT radzi sprawdzać adres strony, nie działać pod presją czasu i weryfikować informacje w oficjalnych kanałach Policji. Podejrzane SMS-y można przekazać na bezpłatny numer 8080, zgłosić formularzem CERT Polska lub przez usługę „Bezpiecznie w sieci” w aplikacji mObywatel.
Źródło: CERT Polska [PL]
Rozbita sieć fałszywych call center (operacja „Trade”)
Akcję prowadziły ukraińskie służby, głównie Narodowa Policja Ukrainy, wspólnie z niemieckimi śledczymi. Straty przekroczyły 4,3 mln euro, a oszukano co najmniej 135 osób, głównie obywateli Niemiec. Sprawcy podszywali się pod brokerów i doradców finansowych, namawiali do inwestycji w kryptowaluty i akcje oraz pomagali zakładać konta na giełdach. Nakłaniali ofiary do przelewów na swoje rachunki, czasem uzyskiwali dostęp do ich bankowości, a środki przerzucali między kontami, giełdami i portfelami. Zatrzymano domniemanego organizatora i członków grupy, a przeszukano dziesiątki lokalizacji. Artykuł jest niespójny co do liczby zatrzymanych. Grozi im do 12 lat więzienia, a śledztwo trwa. W sierpniu ukraińska policja zamknęła 94 nielegalne call center z niemal 1800 stanowiskami.
Źródło: CyberDefence24 [PL]
Krytyczna luka RCE w Apache HTTP Server
Apache załatał krytyczną lukę CVE-2026-119618 w mod_http2, umożliwiającą zdalne wykonanie kodu bez uwierzytelnienia. Dotyczy wersji od 2.4.55 do 2.4.70. To wyścig (race condition) powodujący uszkodzenie pamięci, a Red Hat ocenia ją na 9,8 w CVSS. Dotyczy tylko serwerów z włączonym HTTP/2. Naprawiono ją 11 listopada w wersji 2.4.71, a do czasu łatania można tymczasowo wyłączyć HTTP/2. Lukę zgłosił niezależnie OSS Scanner Anthropic (26 października) oraz badacze Google Cloud (3 listopada). Wiz stwierdził, że 64% środowisk chmurowych zawierało zasoby z podatnymi wersjami, a 51% miało publicznie wystawione instancje. Nie uwzględniono konfiguracji, więc to górna granica. Wiz nie widział exploita, a Red Hat pisze o publicznie pokazanym wiarygodnym exploicie. Artykuł tej rozbieżności nie rozstrzyga, a publiczny PoC pokazuje awarie i uszkodzenie pamięci, nie RCE.
Źródło: SecurityWeek [EN]
🌐 DEZINFORMACJA, CYBER ВОЙНА
Rosyjska operacja Doppelgänger wykorzystała prawdziwe wywiady
Politycy, wojskowi, byli oficerowie służb i naukowcy z ponad 50 państw pojawiali się w materiałach operacji Doppelgänger. Dziennikarze OCCRP i Delfi Estonia przeanalizowali ponad 500 wywiadów użytych w około 1800 artykułach. Obok podrabianych stron zachodnich mediów operatorzy używali prawdziwych rozmów, które miały uwiarygodniać prorosyjskie narracje. Skalę ujawniło przejęcie w 2024 r. serwisu Recent Reliable News (RRN), z którego włamywacz zrobił archiwum wywiadów. Dziennikarze skontaktowali się z ponad 60 osobami, a większość nie odpowiedziała lub nie pamiętała, kto organizował wywiady. Były brytyjski poseł Matthew Gordon-Banks opisał, że skontaktował się z nim przez WhatsApp ktoś podający się za dziennikarza, i zapewnia, że nie uczestniczył świadomie w propagandzie. Samo udzielenie wywiadu nie dowodzi, że rozmówca znał charakter serwisu, ale śledztwo pokazuje zmianę taktyki.
Źródło: CyberDefence24 [PL]
Politycy udostępniali fałszywe zdjęcie Marszu Niepodległości
Zdjęcie, które miało pokazywać tłumy na Marszu Niepodległości w Warszawie, według Demagoga zostało wygenerowane lub przerobione przez AI. Udostępnili je na X europosłanka PiS Anna Zalewska i poseł Konfederacji Konrad Berkowicz. Autentyczność zakwestionował dziennikarz TVN24 Patryk Michalski, pytając m.in. o przeszklone wejście do metra na rondzie Dmowskiego i nieprawdopodobne ustawienie latarni. Demagog uznał obraz za wygenerowany lub zmodyfikowany przez AI i ostrzegł, że nawet niewielka edycja może utrwalać fałszywy obraz wydarzeń. Przy postach nie było informacji, że zdjęcie nie jest autentyczne. Grafika zniknęła z profili obojga polityków, którzy nie odpowiedzieli na krytykę. Nie wiadomo, czy udostępniali je świadomie.
Źródło: Dobreprogramy [PL]
Cairn, czyli autonomiczne ataki AI na semiconductor i obronność
Unit 42 zgłosił, że chińskojęzyczni napastnicy użyli otwartego frameworka Cairn do 25 operacji przeciwko co najmniej 19 organizacjom w sierpniu i wrześniu. W 10 uzyskali dostęp lub wykradli dane. Cairn oddaje modelowi AI kontrolę nad włamaniem w pętli: model wybiera następne działanie, uruchamia je, a wynik trafia do bazy faktów. Użyto modeli Zhipu GLM 5.2 i DeepSeek V4. Dodano chińskojęzyczne preambuły o „autoryzowanych testach” i żaden model nie odmówił. Siedem celów było w łańcuchu dostaw półprzewodników, trzy w obronności, cztery w organizacjach praw człowieka. W jednym ataku na amerykański związek nauczycieli ujawniono ponad milion rekordów członków. Atrybucja (CL-STA-1238) ma tylko umiarkowaną pewność, a Unit 42 uważa, że AI zwiększyła skalę, nie złożoność ataków. Podstawowa higiena tożsamości i łatanie nadal działają.
Źródło: Help Net Security [EN]
📅 Powyższe zestawienie ma charakter wyłącznie informacyjny i edukacyjny. Wszystkie informacje opierają się na publicznie dostępnych doniesieniach prasowych z dnia 12 listopada 2026 r. ⚠️ W razie podejrzenia incydentu bezpieczeństwa skonsultuj się z wykwalifikowanym specjalistą.