🔐 Cyber Security Daily News | 14.11.2026
Codzienny przegląd ciekawszych wiadomości ze świata cyberbezpieczeństwa, do poczytania przy porannej kawie, podzielony na kluczowe kategorie.
📰 NEWS
Operacja TorNado, czyli 354 zatrzymanych na darknetowych rynkach
Operacja TorNado, koordynowana przez Europol, była skierowana przeciwko przestępcom działającym w darknecie i trwała od maja 2025 r. do października 2026 r. Zatrzymano 354 osoby, w tym sprzedawców i nabywców, a zabezpieczono ponad 5,7 tony narkotyków, 209 sztuk broni i ponad 210 mln euro w gotówce i kryptowalutach. Działania oparto na ustaleniach z likwidacji pięciu dużych rynków: Archetyp, Bohemia, Nemesis, Kingdom i Tor2Door. Po ich wyłączeniu śledczy skupili się na identyfikacji sprzedawców i klientów. Najwięcej zatrzymań było w USA (132), Wielkiej Brytanii (59), Węgrzech (45) i Niemczech (41), a zaangażowane były służby 14 państw. Europol wspierał wymianę informacji przez system SIENA oraz analizy kryminalistyczne i badania transakcji w blockchainie. Według Europolu handel się rozdrobnił, a fora łączą się z szyfrowanymi komunikatorami. Artykuł nie opisuje roli Polski, choć tytuł jednego z linków z listy sugerował udział polskiej policji, więc ten wątek wymaga osobnego sprawdzenia.
Źródło: CyberDefence24 [PL]
Globalna awaria Outlooka i Microsoft 365
Artykuł Sekuraka opublikowano 13 listopada o 8:51 czasu polskiego, gdy awaria wciąż trwała. Dotyczyła Outlooka i Microsoft 365, a wysyłka wiadomości i dostęp do skrzynek mogły nie działać albo dostarczanie maili było opóźnione. Autor zakłada, że doszło do niekontrolowanej zmiany konfiguracji serwerów lub infrastruktury sieciowej: część serwerów przestała odpowiadać, a pozostałe nie obsłużyły całego ruchu. Microsoft na stronie statusu wykluczył złośliwe działania i cyberatak. Najpierw naprawiono pojedyncze serwery, ale próba globalnego rozwiązania problemu spowodowała ponowną awarię. Artykuł nie opisuje skutków w Polsce. Nie podaje też czasu zakończenia awarii, więc końcowy stan trzeba sprawdzić na stronie statusu Microsoftu. Wniosek praktyczny dla firm: poczta chmurowa to pojedynczy punkt awarii i warto mieć plan komunikacji awaryjnej.
Źródło: Sekurak [PL]
Nowy Jork chce zakazać „surveillance pricing”
Rada Miasta Nowy Jork uchwaliła 12 listopada projekt Introduction 891-A, który czeka na podpis burmistrza. Zakazane byłoby stosowanie danych osobowych i algorytmów do pobierania od różnych osób różnych cen za te same towary lub usługi. Projekt ograniczałby też zbieranie, sprzedaż i udostępnianie danych w tym celu. Prawdziwe zniżki są wyłączone, m.in. kwalifikujące się programy lojalnościowe i zniżki dla weteranów, seniorów czy nauczycieli. Od dynamicznych cen reagujących na popyt odróżnia to wykorzystanie danych konkretnej osoby. Prawo weszłoby w życie rok po wejściu w życie ustawy. Artykuł powołuje się na badanie FTC ze stycznia 2025 r., według którego pośrednicy cenowi obsługiwali co najmniej 250 klientów, i zauważa, że spersonalizowana cena nie musi być wyższa, a problemem jest nieprzejrzysty system. Artykuł nie podaje kar ani mechanizmów egzekwowania.
Źródło: Malwarebytes [EN]
🚨 INCYDENTY
Autopay S.A. zgłasza nieautoryzowany dostęp do danych płatniczych
Autopay poinformował, że 11 listopada wykrył „nieautoryzowany dostęp do infrastruktury oraz części danych dotyczących płatności”. Komunikat firmy pojawił się 13 listopada. Komunikat nie precyzuje, o jakie dane chodzi. Sekurak zwraca uwagę, że może to oznaczać dane kartowe, ale to domysł autora, a nie potwierdzona informacja. Firma nie potwierdziła, że dane zostały skopiowane lub wykorzystane, ale nie może tego całkowicie wykluczyć, więc informuje bezpośrednio klientów, których dane mogą dotyczyć. Zablokowano nieuprawniony dostęp, zabezpieczono system i wdrożono dodatkowe monitorowanie. Autopay radzi regularnie sprawdzać historię transakcji i zgłaszać bankowi operacje, których się nie wykonało. Skala ryzyka nie jest znana, a Sekurak zapowiedział aktualizację po odpowiedzi firmy. Do czasu ujawnienia szczegółów warto traktować każdą wiadomość o „problemie z płatnością” z podwyższoną ostrożnością.
Źródło: Sekurak [PL]
Atak na IdoBooking, ryzyko wyłudzeń wśród gości apartamentów
IdoBooking to platforma do zarządzania rezerwacjami, z której według operatora korzysta ponad 21 tys. obiektów w 21 krajach. Napastnik uzyskał dane uwierzytelniające wewnętrznej usługi technicznej platformy i utworzył dodatkowe konto administratora w części paneli klientów. Ustawił też własny adres e-mail jako odbiorcę automatycznych powiadomień o rezerwacjach. Nieuprawniony dostęp trwał około 36 godzin, od 1 do 2 listopada. Mogły wyciec imię i nazwisko, telefon, e-mail oraz numer rezerwacji, termin pobytu i wartość rezerwacji. Powiadomienia nie zawierały danych kart płatniczych ani haseł. Wykradzione dane mogą posłużyć do phishingu przez maile, SMS-y lub telefony od osób podszywających się pod obiekt albo operatora płatności. Zalecenie: przy nieoczekiwanej wiadomości kontaktować się bezpośrednio z obiektem i nie traktować prawdziwych danych osobowych w wiadomości jako dowodu, że nadawca jest prawdziwy. Skala incydentu, czyli liczba obiektów i osób, nie jest znana, bo operator mówi o „części klientów”.
Źródło: CyberDefence24 [PL]
Apify potwierdza dostęp do danych klientów
Apify, czeska firma od web scrapingu z około 91 tys. klientów, potwierdziła, że dane klientów zostały udostępnione w ataku na systemy wewnętrzne i konta klientów. Napastnik użył przejętego poświadczenia, aby zdobyć kolejne i uzyskać dostęp do powiązanych kont. Włamanie nastąpiło 9–10 listopada. Apify wykryło je 11 listopada, zablokowało dostęp i rozpoczęło dochodzenie. Według powiadomienia, które klient opublikował na Reddicie (artykuł go nie weryfikuje niezależnie), ujawniono m.in. imiona, e-maile, dane rozliczeniowe i adresy IP, solone hashe haseł i kody odzyskiwania 2FA oraz tokeny uwierzytelniające powiązane z logowaniem Google i GitHub. Dane kart ograniczały się do imienia posiadacza, daty ważności i czterech ostatnich cyfr. Firma zmieniła krytyczne sekrety wewnętrzne i unieważniła część połączeń OAuth, w tym z GitHubem. Klienci budujący Actory z prywatnych repozytoriów GitHub mają ponownie połączyć integracje. Liczba dotkniętych kont nie została podana.
Źródło: SecurityWeek [EN]
💡 CIEKAWOSTKI
Sprzętowe implanty w portfelach Trezor Safe 5
Trzy portfele Trezor Safe 5, kupione od odsprzedawcy CryptoBilis między 20 sierpnia a 23 września, zawierały złośliwe implanty sprzętowe. Implant to dodatkowa płytka między główną płytą a wyświetlaczem. Monitoruje ekran bez ingerencji w oprogramowanie sprzętowe i Secure Element. Przechwytuje słowa odzyskiwania pokazywane podczas tworzenia lub przywracania portfela, a także hasła wyświetlane na ekranie, szyfruje je i wysyła przez sieć komórkową na serwer atakującego. Trezor nie znalazł śladów ingerencji u innych odsprzedawców, a poszkodowani nie zgłosili utraty środków. Firma ograniczyła globalną sieć odsprzedawców o około 80% i oferuje wymianę urządzeń kupionych od CryptoBilis od marca 2026 r. Firmware 2.13.1 blokuje przechwytywanie przez znane implanty, ale nie chroni fraz zebranych wcześniej. Kto kupił urządzenie od CryptoBilis, powinien przenieść środki do nowego portfela z nową frazą odzyskiwania. Wniosek: portfel sprzętowy kupuje się wyłącznie od producenta.
Źródło: BleepingComputer [EN]
Komisja Europejska, Google i anonimizacja danych wyszukiwań
Komisja Europejska wydała wobec Google decyzję na podstawie DMA, nakazującą udostępnianie danych wyszukiwań Europejczyków innym podmiotom, m.in. twórcom chatbotów AI i konkurencyjnym wyszukiwarkom. Wyszukiwania mają być grupowane według dnia, lokalizacji, typu urządzenia i języka, a historia cięta na fragmenty po maksymalnie trzy zapytania. Komisja twierdzi, że ich połączenie nie jest możliwe. Autor tekstu twierdzi, że wskazanie pojedynczych osób umożliwia połączenie języka wyszukiwania i języka interfejsu przeglądarki. Połączył fragmenty w ponad 200 tys. zestawów dłuższych niż trzy wyszukiwania, tylko dla Niemiec w sierpniu. W około jednym na pięć pojawiały się informacje medyczne lub prywatne. Wokół baz wojskowych, m.in. Ramstein, Mons, Powidz i Poznań, znalazł wyszukiwania łączące służbę z problemami zdrowotnymi czy nadużywaniem alkoholu. Autor jest konsultantem i badaczem, a analizę sfinansowało Google. Deklaruje pełną niezależność, ale ustaleń nie zweryfikowano niezależnie. Traktuję je jako tezę do weryfikacji, a nie ustalony fakt.
Źródło: Prywatnik [PL]
🎣 OSZUSTWA, SCAMY, EXPLOITY
FBI o FaceStealer, kradzieży 400 mln dolarów przez deepfake'owe rozmowy
Według FBI aktorzy powiązani z Koreą Północną ukradli ponad 400 mln dolarów w kryptowalutach w ciągu około 18 miesięcy, stosując schemat socjotechniczny FaceStealer. Amerykańskie władze przejęły infrastrukturę chmurową kampanii. Napastnicy przejmują konta w komunikatorach, a potem zapraszają kontakty ofiary na spotkanie Zoom lub Teams o „okazji inwestycyjnej”. Fałszywe spotkanie symuluje wiele osób prerecordowanymi nagraniami i deepfake'ami. Nagrywają też obraz z kamery celu, a udawany błąd audio nakłania do uruchomienia poleceń (styl ClickFix). DOJ ogłosił też zajęcie ponad 1,2 mld dolarów skradzionych przez aktorów TraderTraitor po włamaniu do Binance. Według późniejszych danych celem było 677 osób w 58 krajach, a ponad 80% to założyciele lub kadra zarządzająca. Rada: nie instalować „poprawek” ani nie wklejać poleceń, aby naprawić problemy podczas rozmowy, i zabezpieczyć konta komunikatorów.
Źródło: The Hacker News [EN]
Bramki Check Point przejęte przez PHP2Shell, wiper na ESXi
Atakujący wykorzystali podatne bramki Check Point Security Gateway przez PHP2Shell, a potem uruchomili wiper na hostach VMware ESXi. Kampania zaczęła się 30 października, najpierw przeciw izraelskim organizacjom. PHP2Shell to dwie krytyczne luki PHP (CVE-2026-109618 i CVE-2026-109619) umożliwiające zdalne wykonanie kodu bez uwierzytelnienia. Do uzyskania roota służył zero-day CVE-2026-123039. Atak szedł przez portal Mobile Access, po czym napastnicy instalowali webshelle PHP i backdoor TSGA. Wiper destroy_v6 zeruje i kasuje dane, a pozostawiona notatka zawiera polityczne komunikaty i odrzuca negocjacje okupu. Wskazuje to na cel niszczycielski, nie zarobkowy. Atrybucji nie udało się ustalić z pewnością, a polityczne komunikaty mogą wskazywać na operację pod fałszywą flagą. Check Point zaleca listopadowy Jumbo Hotfix na wszystkich serwerach zarządzania i bramkach, zwłaszcza z wystawionym portalem Mobile Access. Ślady włamania to m.in. pliki sesji z upload_progress_pwn i nieautoryzowane połączenia SSH z bramki do hostów ESXi.
Źródło: BleepingComputer [EN]
Fałszywy instalator GTA 6 rozsyła złośliwe oprogramowanie
Cynet zbadał link „GTA 6 EXE file download” promowany w notatniku Google Colab. GTA VI ma premierę 19 listopada i bez wersji na PC, więc każdy instalator na komputery jest fałszywy. Strona „Windows Software Hub” udawała legalność odznakami „Virus Free” i „Verified”. Reklamowane 72 MB okazały się 796 KB plikiem wykonywalnym i 1 KB pliku README. README każe uruchomić plik jako administrator, pominąć ostrzeżenie i dodać wyjątek antywirusa. To najmocniejszy dowód złych intencji. Plik to loader WARDEN Stealer. Kradnie hasła, ciasteczka, dane Steam i Roblox oraz portfele kryptowalut, a także podmienia adresy kryptowalutowe w schowku. Kto uruchomił plik, powinien założyć kompromitację haseł i portfeli, zmienić dane logowania i przenieść środki do nowych portfeli z czystego urządzenia.
Źródło: Help Net Security [EN]
🌐 DEZINFORMACJA, CYBER ВОЙНА
Cyberatak na Quantum Systems uziemił drony Bundeswehry
Quantum Systems, monachijski producent dronów dostarczający systemy Bundeswehrze i Ukrainie, wykrył incydent pod koniec października. Informacja pojawiła się 13 listopada. Sprawcy włamali się do sieci firmy i umieścili na serwerach złośliwe oprogramowanie udające legalną aktualizację oprogramowania misji QBase, służącego m.in. do planowania lotów drona Vector (w Bundeswehrze „Falke”). Złośliwa aktualizacja trafiła na serwery Bundeswehry i innych klientów, a kontrolerzy zauważyli nieplanowaną aktualizację. Bundeswehra czasowo uziemiła całą flotę produktów tej firmy. Producent twierdzi, że zagrożenie jest opanowane, a flota gotowa do działania. Nie ustalono, kto stoi za atakiem, a producent mówił o aktywnym cyberataku wrogich aktorów. Artykuł przypomina NotPetya z 2017 r., przypisywany rosyjskiemu GRU. Powiązanie z Rosją pozostaje wyłącznie kontekstem artykułu, nie ustaleniem.
Źródło: CyberDefence24 [PL]
SilentAir przechwytuje połączenia i SMS od środka sieci komórkowych
Enea opisała SilentAir, dotąd nieznanego aktora, który według niej z wysoką pewnością jest nowym podmiotem państwowym. Głównym celem są abonenci z Tajwanu, a przejęte węzły należą do operatorów w co najmniej sześciu krajach Azji. Ataki idą głównie przez protokoły sygnalizacyjne SS7, a czasem Diameter. Napastnicy przejmują węzły operatorów i przekierowują przez nie połączenia i SMS celu. Wysyłają też ciche SMS-y, które pozwalają sprawdzić, czy przechwycenie się udało. Aktywność śledzono od początku 2025 r., a atrybucja do operacji powiązanych z Chinami ma niską pewność. Wskazuje na nią m.in. skupienie na Tajwanie i czas ataków zgodny z dniem pracy w chińskiej strefie czasowej. Raport opisuje też Liminal Panda, jedynego znanego aktora aktywnie wykorzystującego sieć IPX. Enea nie ma dość mocnych dowodów, by potwierdzić związek obu grup.
Źródło: SecurityWeek [EN]
Groźby bombowe w szkołach wysyłano z kont obecnych w wyciekach
11 listopada maile z groźbami bombowymi trafiły do szkół w całej Europie. Według włoskiego ministerstwa edukacji dostało je około 6 tys. włoskich szkół. Policja w Irlandii Północnej podała, że ponad 300 szkół dostało tę samą wiadomość, a Police Scotland uznała zbadane przypadki za żarty. Maile podpisano „Mikhail Andropov” i groziły uczniom i personelowi. Podpis nie ustala sprawcy. Hudson Rock znalazł dane dwóch adresów uniwersyteckich powiązanych z materiałem, z Egiptu i Tajwanu. Egipski adres występował w rekordzie infostealera Vidar z 2021 r. Hudson Rock raportuje tylko ekspozycję poświadczeń i nie twierdzi, że te konta wysłały maile ani nie wskazuje sprawcy. Potwierdzenie wymagałoby nagłówków maili i logów dostawcy. Powtarzane hasła w różnych usługach pozwalają jednej infekcji ujawnić wiele kont.
Źródło: Security Affairs [EN]
📅 Powyższe zestawienie ma charakter wyłącznie informacyjny i edukacyjny. Wszystkie informacje opierają się na publicznie dostępnych doniesieniach prasowych z dnia 13 listopada 2026 r. ⚠️ W razie podejrzenia incydentu bezpieczeństwa skonsultuj się z wykwalifikowanym specjalistą.