Cybernews
Bieżące incydenty, podatności i decyzje, które zmieniają sytuację firm i instytucji. Każdy materiał z datą i źródłami.
luty 20264 materiały na tej stronie
Dostroiłeś model na klientach? Witaj w RODO
Pierwszy sygnał, że coś jest nie tak, przyszedł nie z SOC, tylko z działu obsługi klienta.Użytkownik zgłosił, że model "dziwnie dobrze" odtwarza fragmenty jego dawnej korespondencji z firmą, łącznie z numerem telefonu. Kilka prostych zapytań, parę ekranów logów – i stało się jasne: to nie halucynacje, tylko konkretne dane konkretnej osoby wypluwane z modelu.
Phishing w Safe{Wallet}: 1.4 miliarda ETH w 5 minut
W sali operacyjnej Bybit pracownicy spojrzeli na ekran i zaakceptowali zwykły przelew wewnętrzny. Pięć minut później północnokoreańska grupa Lazarus zgarnęła 1,46 miliarda dolarów w Ethereum z zimnego portfela – złośliwy skrypt w interfejsie Safe{Wallet} podmienił szczegóły transakcji.
KSeF jest bezpieczny?
20 milionów faktur na godzinę – taka będzie przepustowość KSeF od lutego 2026 roku. Przepływ 20 milionów dokumentów finansowych na godzinę przez infrastrukturę, która nie powinna być single point of failure. Co jednak, jeśli ten single point of failure nie znajduje się w Warszawie, lecz w jurysdykcji podlegającej CLOUD Act?
Czy 30% kodu AI to 100% ryzyka dla Twojej firmy?
Początek 2026 roku przejdzie do historii nie jako triumf sztucznej inteligencji, ale jako moment, w którym Microsoft stracił panowanie nad własnym produktem. Masowe awarie po aktualizacji KB5074109 to tylko wierzchołek góry lodowej. Widziałem setki incydentów, ale ten jest inny. To efekt systemowego gnicia jakości. Kiedy 12% wartości firmy wyparowuje z giełdy w tydzień, to znak, że pora przestać słuchać działu marketingu, a zacząć liczyć straty operacyjne.
styczeń 20268 materiałów na tej stronie
S46 – czy Twój SOC już się podłączył, zanim dostaniesz karę?
W 2023 roku firma z energetyki zgłosiła phishing do CSIRT NASK za późno – atak rozprzestrzenił się, backupów brakowało, odbudowa trwała dwa miesiące i kosztowała fortunę. Teraz nowelizacja UKSC z sierpnia 2025 roku stawia sprawę jasno: operatorzy usług kluczowych, dostawcy usług cyfrowych i podmioty publiczne dostają 14 dni na podłączenie do S46 po wpisie do rejestru OW, kary idą w górę do milionów złotych za opieszałość.
Szyfrujesz czy oddajesz?
Na ostatnim incydencie IR gość z zarządu patrzy mi w oczy i pyta: „Przecież mieliśmy szyfrowanie, czemu prokurator czyta nasze laptopy jak PDF-a?”.Odpowiedź była brutalna: bo BitLocker recovery key leżał grzecznie w chmurze Microsoftu, a nie u ciebie, a nakaz sądowy zadziałał szybciej niż twój „zero trust roadmap”.I nie, Apple, Google, Meta, Microsoft, Oracle i AWS nie grają w tej samej lidze – każdy ma własny model „czyich” są klucze i jak łatwo można po nie sięgnąć.
BitLocker, Lokalizacja i Copilot — Jak Microsoft Przekształca “Prywatne” w “Dostępne”
W Polsce nadal toczy się rozmowa o „zaufaniu do dostawcy”. Tymczasem Microsoft nie prosi o zaufanie. Microsoft projektuje systemy tak, aby mieć techniczną możliwość dostępu, a dopiero potem tłumaczy, że korzysta z niej „odpowiedzialnie”. To zasadnicza różnica, której wielu CIO i prawników wciąż nie rozumie. Jeżeli twoja firma pracuje na Microsoft 365, twoja prywatność nie kończy się na polityce RODO. Kończy się tam, gdzie zaczyna się domyślna architektura telemetrii, kluczy i AI.
Nowelizacja KSC to koniec ery "bezpieczeństwa na papierze"
Legislacyjne wdrożenie dyrektywy NIS2 do polskiego porządku prawnego stało się faktem. W piątek, 23 stycznia 2026 roku, Sejm uchwalił nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), kończąc wieloletni okres niepewności regulacyjnej. Przytłaczająca większość 407 posłów (przy zaledwie 10 głosach przeciw i 17 wstrzymujących się) opowiedziała się za projektem, który drastycznie przesuwa granice odpowiedzialności technicznej i finansowej w polskiej infrastrukturze cyfrowej. To nie jest już projekt akademicki; to twarde prawo, które po przejściu przez Senat trafi na biurko Prezydenta RP Karola Nawrockiego.
Jak zabić firmę w 18 miesięcy (AI bez CISO)?
Na ostatnim incydencie mieliśmy model „przeciw oszustwom”, który po cichu wysyłał do chmury pełne numery kart klientów, bo ktoś w zespole wdrożeniowym zostawił opcję zapisywania całych żądań na produkcji. Nikt tego nie zauważył przez pół roku, bo w programie „sztuczna inteligencja” nie było budżetu na analizę zagrożeń, tylko na „Centrum Doskonałości AI”. Kiedy klient zażądał pełnego śladu danych do kontroli, wyszło na jaw, że „dane gotowe dla AI” oznacza „wszyscy mają kopię wszystkiego”
Offline to nie retro. Czy twój bank przeżyje cyberatak?
Europejski bank centralny wprost mówi o stanie faktycznym: Europa jest „de facto w stanie wojny” z Rosją, tylko bez deklaracji w ONZ i bez czołgów pod granicą. Z drugiej strony szef polskiego Biura Bezpieczeństwa Narodowego mówi już o stanie cyber-wojny z Rosją, a rząd raportuje po 20–50 prób sabotażu dziennie w infrastrukturę krytyczną i rekordowy, miliardowy budżet na cyber.
Czy to koniec ery "jakoś to będzie" w OZE?
Wczorajszy komunikat Pełnomocnika Rządu ds. Cyberbezpieczeństwa ucina wszelkie spekulacje. Sektor odnawialnych źródeł energii przestał być traktowany jako "zielony dodatek" do systemu, a stał się pełnoprawnym celem o znaczeniu strategicznym. Dokument jednoznacznie wskazuje, że rozproszona infrastruktura prywatnych graczy to dzisiaj najmiększe podbrzusze polskiego systemu elektroenergetycznego (KSE). Każdy niezałatany falownik i każdy źle skonfigurowany system SCADA to zaproszenie dla grup takich jak Sandworm czy APT28 do przeprowadzenia operacji destabilizacyjnej na skalę ogólnokrajową.
5,5 miliona euro kary dla właściciela Play
Francuski regulator CNIL zakończył rok 2025 potężnym uderzeniem w grupę Iliad. Nałożenie 5,5 miliona euro kary na właściciela marki Free (i polskiego Play) to rzadki moment, w którym biurokracja dogania rzeczywistość technicznych zaniedbań. To nie był błąd pojedynczego pracownika. To dowód na systemowe oszczędności tam, gdzie ich być nie powinno. Polscy klienci tej samej grupy kapitałowej muszą wyciągnąć wnioski szybciej niż ich operatorzy.