Wojciech Ciemski, Autor w serwisie Security Bez Tabu - Strona 452 z 464

Autor: Wojciech Ciemski

Microsoft: Październikowe aktualizacje powodują problemy z uwierzytelnianiem kartami inteligentnymi w Windows

Wprowadzenie do problemu / definicja luki

Październikowy zestaw poprawek Microsoftu (opublikowany 14 października 2025 r.) wywołał u części organizacji problemy z uwierzytelnianiem opartym o karty inteligentne i certyfikaty na systemach Windows 10, Windows 11 oraz Windows Server. Microsoft powiązał incydent z wprowadzonym domyślnie utwardzeniem kryptografii w usługach Windows Cryptographic Services. Sprawa została oznaczona jako znany problem (known issue), otwarty 17 października i oznaczony jako „Resolved” (z rozwiązaniem/procedurą) 20 października 2025 r. w panelu Release Health.

W skrócie

  • Objawy: brak rozpoznania kart jako dostawcy CSP w aplikacjach 32-bitowych, błędy przy podpisywaniu, awarie logowania CBA; komunikaty typu „invalid provider type specified” i CryptAcquireCertificatePrivateKey error.
  • Przyczyna: wymuszenie użycia KSP (Key Storage Provider) zamiast CSP (Cryptographic Service Provider) dla certyfikatów RSA na kartach, w ramach zabezpieczenia luki CVE-2024-30098.
  • Status: Microsoft udokumentował wykrywanie i obejście (klucz rejestru DisableCapiOverrideForRSA). Strona Release Health wskazuje stan „Resolved” od 20.10.2025 (17:49 PT).

Kontekst / historia / powiązania

Zmiana kryptograficzna jest częścią dłuższej ścieżki utwardzania tożsamości i kryptografii w Windows (m.in. modyfikacje zachowania CAPI/KSP, wzmocnienia Kerberosa i CBA w 2025 r.). W tym miesiącu Microsoft równolegle korygował inny błąd z Październikowego Patch Tuesday (niedziałające USB we Windows Recovery Environment), który naprawiono 20 października aktualizacją awaryjną KB5070773—to inny problem, ale pokazuje, że październikowe poprawki były wyjątkowo „ruchome”.

Analiza techniczna / szczegóły luki

Październikowe aktualizacje (m.in. KB5066791 dla Windows 10 22H2 i KB5066793/ KB5066835 dla gałęzi Windows 11/Server) egzekwują użycie KSP zamiast CSP dla certyfikatów RSA na kartach inteligentnych. Celem jest utrudnienie nadużyć opisanych w CVE-2024-30098 (obejście funkcji zabezpieczeń w Windows Cryptographic Services). Jeśli środowisko lub aplikacje oczekiwały starszego modelu CSP, pojawiają się błędy podczas operacji kryptograficznych i uwierzytelniania CBA.

Microsoft udokumentował również sposób detekcji ryzyka: przed wdrożeniem aktualizacji warto sprawdzić, czy w dzienniku System dla usługi Smart Card Service występuje Event ID 624 („system używa CAPI do operacji RSA”). Obecność zdarzenia wskazuje na większe prawdopodobieństwo wystąpienia problemu po aktualizacji.

Praktyczne konsekwencje / ryzyko

  • Tożsamość i dostęp: potencjalna niemożność logowania z użyciem kart inteligentnych (CBA) do stacji roboczych/serwerów oraz usług zależnych od certyfikatów użytkownika.
  • Procesy biznesowe: podpisy elektroniczne i operacje kryptograficzne w aplikacjach 32-bitowych mogą przestać działać do czasu dostosowania środowiska.
  • Utrzymanie: eskalacje do servicedesków i rolling back mogą zwiększać ryzyko ekspozycji, bo cofnięcie poprawek znosi również łatki bezpieczeństwa. Lepszą ścieżką jest kontrolowane obejście i kompatybilność po stronie aplikacji. (Wniosek na podstawie dokumentacji KB/Release Health.)

Rekomendacje operacyjne / co zrobić teraz

  1. Zweryfikuj wpływ w logach przed wdrożeniem szerokim frontem. Szukaj Event ID 624 w dzienniku System/Smart Card Service na reprezentatywnych hostach.
  2. Jeśli już wystąpił problem – zastosuj obejście Microsoftu (per-host):
    • Otwórz Regedit → przejdź do HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais → utwórz/edytuj wartość DWORD DisableCapiOverrideForRSA i ustaw 0 → restart. (Klucz nie jest dodawany przez system/aktualizacje – trzeba go utworzyć ręcznie). Uwaga: edycję rejestru wykonuj po kopii zapasowej.
  3. Rozmawiaj z dostawcami aplikacji i PKI. Celem jest usunięcie zależności od CSP i pełna zgodność z KSP. Obejście rejestrowe traktuj jako tymczasowe. (Potwierdza to komunikacja MS w Release Health/KB).
  4. Zachowaj aktualność poprawek. Nie cofaj całych pakietów, aby nie tracić łatek bezpieczeństwa—monitoruj panel Release Health dla swojego wydania (Windows 10/11/Server) i stosuj poprawki uzupełniające.
  5. Change management: wstrzymaj globalne wdrożenia do czasu weryfikacji w pilotażu; przygotuj GPO/skrpty ustawiające DisableCapiOverrideForRSA=0 na hostach dotkniętych problemem (zgodnie z polityką organizacji). (Wniosek operacyjny na bazie dokumentacji MS.)

Różnice / porównania z innymi przypadkami (październik 2025)

  • Smart card/KSP vs. WinRE/USB: Problemy z kartami wynikają z twardego przełączenia CSP→KSP (kompatybilność aplikacji), natomiast błąd WinRE/USB był klasycznym regresem sterowników/środowiska odzyskiwania i został naprawiony aktualizacją awaryjną KB5070773.

Podsumowanie / kluczowe wnioski

  • Październikowe łatki wymuszają KSP dla certyfikatów RSA na kartach, co poprawia bezpieczeństwo (CVE-2024-30098), ale ujawniło zależności od starego CSP w części środowisk.
  • Microsoft podał procedurę obejścia (DisableCapiOverrideForRSA=0) i oznaczył problem jako „Resolved” w Release Health (20.10.2025), jednak długofalowo należy zmigrować aplikacje i łańcuchy kryptograficzne do modelu KSP.

Źródła / bibliografia

  • BleepingComputer: „Microsoft warns of Windows smart card auth issues after October updates”, 20 paź 2025. (BleepingComputer)
  • Microsoft Release Health – Resolved issues (Windows 11 25H2): status, objawy, rejestr, daty 17–20 paź 2025. (Microsoft Learn)
  • Microsoft Support (KB) – KB5066791 (Windows 10 22H2), sekcja [Cryptography]: wymuszenie KSP i odwołanie do CVE-2024-30098. (Microsoft Support)
  • Microsoft Support/Release Health – KB5070773 (hotfix WinRE USB), tło innych problemów październikowych. (Microsoft Learn)

CISA dodaje pięć nowych luk do katalogu KEV: Oracle E-Business Suite, Microsoft SMB, Kentico Xperience i starsza luka w Apple WebKit

Wprowadzenie do problemu / definicja luki

20 października 2025 r. amerykańska CISA dodała pięć nowych podatności do katalogu Known Exploited Vulnerabilities (KEV) – listy luk z potwierdzoną aktywną eksploatacją w środowiskach produkcyjnych. Dla administracji federalnej USA oznacza to obowiązek szybkiego remediowania, ale lista KEV jest de facto priorytetyzatorem patchy także dla sektora prywatnego na całym świecie. Nowe wpisy obejmują m.in. Oracle E-Business Suite, Windows SMB Client, Kentico Xperience oraz starszą lukę w Apple WebKit/JavaScriptCore.

W skrócie

  • CVE-2025-61884 (Oracle E-Business Suite, Runtime/Configurator) – SSRF, zdalnie i bez uwierzytelnienia, umożliwia dostęp do zasobów wewnętrznych. Patch: Security Alert Oracle z 11–12 października 2025.
  • CVE-2025-33073 (Microsoft Windows SMB Client) – improper access control / EoP (eskalacja uprawnień po sieci). Załatane przez Microsoft w czerwcowych aktualizacjach 2025.
  • CVE-2025-2746 (Kentico Xperience, Staging Sync Server, digest/empty SHA1 username) – bypass uwierzytelniania, krytyczna.
  • CVE-2025-2747 (Kentico Xperience, Staging Sync Server, password type = None) – bypass uwierzytelniania, krytyczna. Poprawki dostępne (hotfixy > 13.0.178).
  • CVE-2022-48503 (Apple WebKit/JavaScriptCore) – RCE przez treść WWW (bounds check). Załatane w 2022 r. (iOS/iPadOS 15.6, macOS 12.5, Safari 15.6, tvOS 15.6, watchOS 8.7).

Termin dla FCEB (USA): do 10 listopada 2025 r. (remediacja nowych pozycji). Dla wszystkich innych organizacji – rekomendowane niezwłoczne działania.

Kontekst / historia / powiązania

  • Oracle EBS było już w październiku w centrum uwagi z powodu dwóch głośnych luk (w tym RCE CVE-2025-61882). Najnowsza CVE-2025-61884 to kolejny krytyczny element łańcucha ataku wykorzystywany w kampaniach wyłudzeniowych i eksfiltracyjnych.
  • Kentico Xperience: dwa różne błędy w module Staging Sync Server umożliwiają ominięcie uwierzytelnienia i przejęcie obiektów administracyjnych; to typowy „pre-auth” krok prowadzący do RCE.
  • Microsoft SMB Client (CVE-2025-33073): znany wektor lateral movement; po załataniu nadal wymaga utwardzenia konfiguracji SMB.
  • Apple WebKit (CVE-2022-48503): starsza, ale wciąż eksploatowana luka w JSCore, co dowodzi, że długo nieaktualizowane urządzenia pozostają atrakcyjnym celem.

Analiza techniczna / szczegóły luki

Oracle E-Business Suite – CVE-2025-61884 (SSRF):

  • Komponent: Runtime (Oracle Configurator).
  • Wektor: zdalny, bez uwierzytelnienia; SSRF pozwala proxy’ować żądania do zasobów wewnętrznych (np. serwisy admin, metadane chmurowe), potencjalnie eskalując do RCE w łańcuchu ataku.
  • Status: Security Alert i poprawki dostępne od 11–12.10.2025.

Windows – CVE-2025-33073 (SMB Client, EoP):

  • Charakter: improper access control w kliencie SMB; umożliwia eskalację uprawnień w kontekście sieciowym po uwierzytelnieniu (typowo w ramach ruchu wewnętrznego).
  • Status: załatane w June 2025 (Patch Tuesday).

Kentico Xperience – CVE-2025-2746 / CVE-2025-2747 (Auth bypass):

  • Moduł: Staging Sync Server (SOAP).
  • 2746: obsługa pustych nazw użytkownika (SHA1) w digest auth → przejęcie obiektów administracyjnych.
  • 2747: obsługa password type = None → analogiczny bypass.
  • Zasięg: wersje do 13.0.172/178 (zależnie od CVE).
  • Skutek: pre-auth takeover CMS i typowe przejście do RCE poprzez import obiektów/zadań.

Apple – CVE-2022-48503 (WebKit/JavaScriptCore):

  • Błąd: niewłaściwe sprawdzanie zakresów (bounds); przetworzenie złośliwej treści WWW → RCE.
  • Załatane od lipca 2022 w szeregu platform (iOS/iPadOS/macOS/Safari/watchOS/tvOS). Eksploatacja w 2025 dotyczy głównie niezaktualizowanych urządzeń.

Praktyczne konsekwencje / ryzyko

  • Oracle EBS (SSRF): ryzyko eksfiltracji danych i pivotu do usług wewnętrznych (np. API, usługi konfiguracyjne, metadane chmurowe). W kampaniach obserwowano dalszą eskalację i wymuszenia.
  • Windows SMB Client: ułatwia ruch boczny po początkowym wstępie (np. po phishingu), szczególnie w sieciach z szeroko otwartym SMB i słabą segmentacją.
  • Kentico Xperience: pełne przejęcie CMS i możliwość wstrzyknięcia złośliwych artefaktów do łańcucha CI/CD treści, a następnie drive-by na użytkowników końcowych.
  • Apple WebKit: RCE z przeglądarki na urządzeniach nieobsługiwanych/nieaktualnych – cenne cele dla ataków ukierunkowanych i masowych (watering hole).

Rekomendacje operacyjne / co zrobić teraz

  1. Natychmiastowa inwentaryzacja i priorytetyzacja pod kątem nowych wpisów KEV (SBOM, CMDB, EDR, skanery, zapytania do MDM/Intune/Jamf). Traktuj KEV jako backlog „patch-first”.
  2. Oracle EBS (CVE-2025-61884):
    • Zastosuj Security Alert/patch Oracle bez zwłoki.
    • W krótkim terminie – egress filtering z hostów EBS oraz deny-list do metadanych chmurowych/IMDS, WAF z regułami SSRF, segmentacja sieci.
  3. Windows (CVE-2025-33073):
    • Upewnij się, że June 2025 CU jest wdrożony wszędzie; wymuś SMB signing, ogranicz NTLM, egzekwuj firewall hostowy i LAPS.
  4. Kentico Xperience (CVE-2025-2746/2747):
    • Aktualizuj do hotfixów > 13.0.178 (lub zgodnie z zaleceniami producenta); jeśli Staging Sync Server nie jest niezbędny – wyłącz; wymuś TLS/mTLS i IP allow-list na endpointach stagingu.
  5. Apple (CVE-2022-48503):
    • Wycofaj lub zaktualizuj urządzenia do wersji zawierających łatę (min. iOS/iPadOS 15.6, macOS 12.5, Safari 15.6 itd.). W MDM dodaj reguły blokujące przeglądarki na EOL.
  6. Detekcja i hunting (przykłady):
    • Szukaj nietypowych wywołań HTTP z EBS do adresów wewnętrznych/IMDS, wzorce SSRF (HTTP 169.254.169.254, metadane chmury).
    • Koreluj anomalie SMB (nietypowe sesje, masowe enumeracje, wzrost STATUS_ACCESS_DENIED) po ostatnich logowaniach z niskich poziomów uprawnień.
    • Logi Kentico: żądania do endpointów Staging SOAP bez prawidłowego kontekstu uwierzytelnienia; nagłe zmiany obiektów administracyjnych.
  7. Zarządzanie ryzykiem biznesowym: wpisz nowe CVE do Risk Register, przypisz SLA < 14 dni (dla KEV – najlepiej 7–10 dni), egzekwuj kompensacje (WAF, segmentacja) tam, gdzie patch chwilowo niemożliwy.

Różnice / porównania z innymi przypadkami

  • SSRF (Oracle) to wektor często niedoszacowany – w przeciwieństwie do klasycznego RCE, SSRF bywa „cichym” krokiem do pivotu; porównaj z wcześniejszymi kampaniami na IMDS w chmurze.
  • Auth-bypass w Kentico to przykład pre-auth przejęcia panelu CMS – podobnie jak znane łańcuchy w innych CMS, ale tutaj Sync Server jest unikatowym komponentem API.
  • SMB EoP przypomina inne luki w ekosystemie Windows, gdzie słaba segmentacja zamienia medium-severity w krytyczne ryzyko lateral movement.

Podsumowanie / kluczowe wnioski

  • Dodanie pięciu pozycji do KEV to jasny sygnał: eksploatacja trwa.
  • Priorytet 1: Oracle EBS (SSRF) oraz Kentico (auth-bypass), ponieważ dają szybkie przejęcie środowisk internetowych.
  • Priorytet 2: Windows SMB (EoP) – kluczowe dla ograniczenia ruchu bocznego.
  • Higiena podstawowa: aktualizacje Apple/WebKit na urządzeniach zalegających w starszych wersjach.
  • Termin dla agencji FCEB: 10.11.2025 – dobry celowy SLA także dla firm prywatnych.

Źródła / bibliografia

  1. CISA – Alert z 20 października 2025: „CISA Adds Five Known Exploited Vulnerabilities to Catalog”. (CISA)
  2. The Hacker News – „Five New Exploited Bugs Land in CISA’s Catalog — Oracle and Microsoft Among Targets” (lista CVE, termin 10.11.2025). (The Hacker News)
  3. Oracle – Security Alert: CVE-2025-61884 (E-Business Suite). (Oracle)
  4. NVD – CVE-2025-33073 (Windows SMB Client). (NVD)
  5. NVD – CVE-2025-2747 (Kentico Xperience, Staging Sync Server). (NVD)

TikTok i „ClickFix”: jak krótkie filmiki napędzają infekcje infostealerami (Vidar, StealC, RedLine)

Wprowadzenie do problemu / definicja luki

Atakujący coraz częściej wykorzystują krótkie filmiki na TikToku jako przynętę do kampanii ClickFix – socjotechnicznej techniki nakłaniającej ofiarę do samodzielnego uruchomienia złośliwych poleceń pod pozorem „szybkiej naprawy” lub „aktywacji” oprogramowania. Najnowsza fala dotyczy filmów podszywających się pod poradniki aktywacji Windows/Office czy „premium” Spotify/Netflix i prowadzi do instalacji infostealerów (m.in. Vidar, StealC), które kradną hasła, ciasteczka sesyjne i dane portfeli krypto.

W skrócie

  • Kanał dystrybucji: TikTok (krótkie wideo + link w bio/komentarzu).
  • Technika: ClickFix – ofiara wykonuje „naprawcze” kroki (PowerShell/batch, pobranie „aktywatora”, wyłączenie AV).
  • Ładunki: głównie Vidar, StealC, obserwowany także RedLine w pokrewnych kampaniach.
  • Cel: kradzież poświadczeń i sesji do usług chmurowych/SaaS, eskalacja ataków BEC i przejęć kont.
  • Nowość: kampanie są ciągłe – po majowych raportach badaczy nadal trwają i adaptują się.

Kontekst / historia / powiązania

Microsoft zidentyfikował ClickFix w kampaniach e-mailowych już w 2024 r. (np. dystrybucja DarkGate), opisując wzorzec: fałszywa diagnoza problemu + „kliknij, by naprawić” → uruchomienie skryptu. W 2025 r. technika przeniosła się na platformy społecznościowe (TikTok), co znacząco zwiększyło zasięg i tempo infekcji. Równolegle obserwowano wykorzystanie ClickFix w innych łańcuchach (GHOSTPULSE/Stealer, RedLine).

Analiza techniczna / szczegóły luki

Wejście (Initial Access):

  1. Filmik na TikToku udaje poradnik „aktywacji”/„naprawy” i kieruje do skrótu/strony z „narzędziem” lub poleceniami do wklejenia (często PowerShell).
  2. Czasem „instrukcja” wymaga wyłączenia ochrony (Defender/SmartScreen), co toruje drogę do droppera.

Wykonanie (Execution):

  • Polecenia PS pobierają loader (np. przez Invoke-WebRequest/bitsadmin) i uruchamiają go z parametrami ukrywającymi aktywność (tymczasowe katalogi, LOLBins).
  • Stosowane są archiwa samorozpakowujące, pliki .bat/.vbs i living-off-the-land, aby ominąć sygnatury. Opisane schematy są spójne z wcześniejszymi obserwacjami ClickFix (DarkGate/GHOSTPULSE).

Ładunek (Payload):

  • Vidar i StealC – typowe funkcje: kradzież haseł z przeglądarek (Chromium/Firefox), plików cookie, tokenów, autofill, danych komunikatorów i portfeli; eksfiltracja na C2.
  • W innych gałęziach kampanii: RedLine Stealer jako downstream payload.

Trwałość i zaciemnianie:

  • Harmonogram zadań/Run Keys, pliki w %AppData% i %LocalAppData%, czasem packery.
  • Domeny C2 często rotują; krótkie żywoty kont TikTok ograniczają możliwość reakcji platformy. (Wniosek na podstawie raportów o rotacji infrastruktury i zbieżnych TTPs ClickFix).

Wskaźniki i TTPs (MITRE ATT&CK):

  • T1566.002 (Socjotechnika – media społecznościowe), T1059.001 (PowerShell), T1105 (Exfiltracja przez kanał zdalny), T1053.005 (Trwałość – Task Scheduler), T1112/T1562 (Modyfikacja zabezpieczeń). (Mapowanie na podstawie publikacji technicznych Microsoft/Elastic/Trend Micro).

Praktyczne konsekwencje / ryzyko

  • Kompromitacja kont osobistych i służbowych (SaaS, poczta, CRM, Git, chmura) przez przejęte cookie sesyjne i hasła → BEC, przejęcia repozytoriów, nadużycia API.
  • Uderzenie w MDM/środowiska BYOD – infekcje na urządzeniach niezarządzanych stają się punktem wejścia do tożsamości korporacyjnych. Okta pokazuje, że duża część nadużyć poświadczeń pochodzi z takich urządzeń.
  • Ryzyko eskalacji: dosyłanie loaderów/RAT-ów, np. DarkGate/GHOSTPULSE, dalsza pivotacja w sieci.

Rekomendacje operacyjne / co zrobić teraz

Dla SOC/Blue Team:

  • Detekcje PowerShell/LOLBins: alerty na Invoke-WebRequest, curl.exe, bitsadmin, nietypowe Start-Process z katalogów tymczasowych; inspekcja Child-Process z przeglądarek.
  • Telemetria przeglądarek: monitoruj nietypowe odczyty plików profili (Login Data, Cookies) i tworzenie archiwów w %AppData%.
  • Zasady EDR/Defender: blokuj uruchamianie PS bez podpisu, egzekwuj ASR (blokowanie uruchamiania skryptów z Office/OneNote, wyłączanie makr z Internetu).
  • Network/C2: TLS SNI/JA3 do znanych rodzin (Vidar/StealC/RedLine), egress filtering, DNS sinkhole; reaguj na nagłe zmiany domen krótkowiecznych.
  • Hunting/IR: przeszukaj Scheduled Tasks, Run/RunOnce, katalogi %AppData%, %LocalAppData%, artefakty PS (Microsoft-Windows-PowerShell/Operational). (Wzorce zgodne z techniką ClickFix i raportami Microsoft/Elastic/Trend).

Dla IT/SecOps:

  • Zarządzaj przeglądarkami i hasłami: wymuś passkeys/2FA, seedy haseł w managerach, politykę „bez zapisywania haseł w przeglądarce” dla kont służbowych.
  • Ogranicz BYOD lub segmentuj dostęp; wprowadź device posture checks (kompatybilność z EDR/MDM).
  • Application Control: wdroż WDAC/AppLocker, blokuj wykonywalne z %Temp%/Downloads.
  • Edukacja ukierunkowana: krótkie scenariusze o „aktywatorach”, „crackach” i fałszywych poradnikach wideo – pokaż, jak wygląda prawdziwy vs. złośliwy „fix”. (Zbieżne z obserwacjami trwałości kampanii).

Dla użytkowników:

  • Nie wyłączaj ochrony AV „na chwilę”.
  • Nie uruchamiaj skryptów z komentarzy/biogramów.
  • Aktualizacje i licencje tylko z oficjalnych źródeł.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

  • ClickFix vs. Fake CAPTCHA/Malvertising: Fake CAPTCHA zmusza do wklejenia komend „weryfikacyjnych” na stronach z reklam; ClickFix przenosi mechanikę do wideo-poradnika i buduje większe zaufanie (efekt „tutorialu”). Trend Micro opisało oba wektory – kampanie TikTok są nowszą iteracją.
  • ClickFix vs. FileFix/Messenger phish: pokrewne wzorce socjotechniki (naprawa/aktualizacja) – w 2025 r. widziano także warianty podszywające się pod alerty Facebooka („FileFix”). (Wniosek porównawczy na tle szerszego trendu).

Podsumowanie / kluczowe wnioski

ClickFix to nie pojedyncza kampania, lecz utrwalona technika socjotechniczna adaptowana do różnych kanałów. TikTok – dzięki formatowi „szybkich poradników” – stał się skutecznym dystrybutorem infostealerów (Vidar/StealC/RedLine). Obrona wymaga połączenia telemetrii endpointowej, kontroli przeglądarek, polityk tożsamości i edukacji ukierunkowanej na realne przykłady „aktywizujących” filmów.

Źródła / bibliografia

  1. BleepingComputer – „TikTok videos continue to push infostealers in ClickFix attacks”, 19 października 2025. (BleepingComputer)
  2. Trend Micro – „TikTok Videos Promise Pirated Apps, Deliver Vidar and StealC”, 21 maja 2025. (www.trendmicro.com)
  3. Microsoft Threat Intelligence – „Think before you Click(Fix): Analyzing the ClickFix social engineering technique”, 21 sierpnia 2025. (Microsoft)
  4. Elastic Security Labs – „A Wretch Client: From ClickFix deception to information stealer deployment”, 17 czerwca 2025. (Elastic)
  5. Okta – „How this ClickFix campaign leads to Redline Stealer”, 3 lipca 2025. (sec.okta.com)

Experian ukarany grzywną 2,7 mln € za masowe gromadzenie danych osobowych — co oznacza decyzja holenderskiego regulatora (AP) dla firm i konsumentów

Wprowadzenie do problemu / definicja luki

Holenderski organ ochrony danych (Autoriteit Persoonsgegevens, AP) nałożył na Experian Nederland karę 2,7 mln euro za niezgodne z RODO (GDPR) pozyskiwanie i wykorzystywanie danych osobowych oraz niewystarczające informowanie osób, których dane dotyczyły. Sprawa dotyczy kredytowych ocen ryzyka dostarczanych klientom Experian do 1 stycznia 2025 r.

W skrócie

  • Kwota kary: 2,7 mln € (ok. 3,2 mln USD).
  • Naruszenia: brak odpowiedniej podstawy prawnej i transparentności przy przetwarzaniu danych; masowe łączenie danych z wielu źródeł.
  • Skutki biznesowe: Experian zatrzymał działalność w NL i zobowiązał się usunąć całą lokalną bazę danych do końca 2025 r.
  • Źródła danych: m.in. rejestry publiczne (np. izba handlowa) oraz informacje kupowane od operatorów telekomunikacyjnych i firm energetycznych.

Kontekst / historia / powiązania

Według AP, dochodzenie wszczęto po skargach osób, które doświadczały negatywnych skutków ocen kredytowych (np. wyższych depozytów przy zmianie dostawcy energii). Decyzję i jej uzasadnienie opublikowano 17 października 2025 r.
Niezależne media w NL (NOS, Tweakers) potwierdziły wysokość kary i fakt, że firma nie będzie składać dalszych odwołań.

Analiza techniczna / szczegóły sprawy

AP ustalił, że Experian budował duże zbiory informacji o „ogromnej liczbie osób w Holandii”, łącząc dane z różnych źródeł — publicznych (np. Krajowy Rejestr Handlowy/izba handlowa) i niepublicznych (sprzedaż danych przez telekomy i spółki energetyczne). Dane te zasilały modele scoringowe sprzedawane klientom biznesowym. Kluczowe naruszenia dotyczyły:

  • Braku transparentności – osoby nie były odpowiednio informowane o przetwarzaniu ich danych (naruszenie obowiązków informacyjnych).
  • Braku właściwej podstawy prawnej do tak szerokiego łączenia i wtórnego wykorzystania danych na potrzeby profilowania kredytowego.

AP wskazał, że konsekwencją tych praktyk były realne decyzje gospodarcze wobec ludzi (np. odmowy, wyższe zaliczki), przy czym osoby te nie miały świadomości istnienia ocen ani możliwości sprawdzenia poprawności danych źródłowych.

Praktyczne konsekwencje / ryzyko

Dla konsumentów w NL: w krótkim terminie spadnie ryzyko, że zewnętrzne, niezweryfikowane profile będą wpływać na ceny/decyzje dostawców energii czy telekomów. W dłuższej perspektywie rynek scoringu będzie musiał zwiększyć przejrzystość i mechanizmy korekty danych, by ograniczyć błędy i stronniczość.

Dla firm przetwarzających dane: decyzja AP podnosi poprzeczkę dla praktyk typu data-brokering i data enrichment. Łączenie danych z wielu źródeł w celach oceny ryzyka wymaga rygorystycznego doboru podstawy prawnej, audytowalnych DPIA oraz spełnienia obowiązków informacyjnych wobec osób.

Rekomendacje operacyjne / co zrobić teraz

Dla organizacji:

  1. Zweryfikuj podstawę prawną profilowania i wzbogacania danych (test równowagi dla „uzasadnionego interesu” często nie wystarczy przy szerokim łączeniu zbiorów).
  2. Aktualizuj klauzule informacyjne (Art. 13/14 RODO) pod kątem źródeł danych, logiki profilowania, skutków i praw sprzeciwu.
  3. Wykonaj DPIA dla scoringu/ocen ryzyka — opisz łańcuchy dostaw danych, dostawców i mechanizmy korekty błędów.
  4. Zarządzaj dostawcami danych: umowy, due diligence, logi pochodzenia (data lineage) i testy jakości danych.
  5. Udostępnij kanały korekty: łatwy wniosek o dostęp/sprostowanie, szybka re-walidacja modelu po korekcie danych.
  6. Retencja i minimalizacja: ogranicz cechy, okresy przechowywania i częstotliwość odświeżania; dokumentuj decyzje.

Te kroki odpowiadają na ustalenia AP i komunikaty prasowe nt. decyzji Experian w NL.

Dla konsumentów:

  • Skorzystaj z prawa dostępu i sprostowania; sprawdzaj, kto przetwarza Twoje dane i w jakim celu.
  • Jeśli doświadczyłeś negatywnych skutków decyzji opartych na profilu, złóż sprzeciw i żądanie weryfikacji przez człowieka. Kontekst: decyzje oparte na automatycznym profilowaniu w obszarze kredytowym są pod szczególnym nadzorem RODO. (Hunton Andrews Kurth)

Różnice / porównania z innymi przypadkami

Na poziomie UE przełomowy był wyrok TSUE w sprawie SCHUFA (C-634/21, 7.12.2023): sąd uznał, że scoring kredytowy może stanowić „zautomatyzowane podejmowanie decyzji” w rozumieniu art. 22 RODO, jeśli podmioty trzecie „silnie opierają się” na tych wynikach przy zawieraniu/odmowie umów. To zwiększa obowiązki informacyjne i wymogi ochronne (human-in-the-loop, możliwość zakwestionowania decyzji). Decyzja AP wobec Experian wpisuje się w tę linię orzeczniczą, akcentując potrzebę jawności i legalności przetwarzania przy kredytowym profilowaniu.

Podsumowanie / kluczowe wnioski

  • AP ukarał Experian Nederland 2,7 mln € za nielegalne, nietransparentne masowe łączenie danych do scoringu.
  • Firma kończy działalność w NL i usunie lokalną bazę danych do końca roku, co podkreśla wagę zgodności procesów ocen ryzyka z RODO.
  • Dla rynku to sygnał, że data enrichment + scoring bez pełnej podstawy prawnej, przejrzystości i silnych praw jednostki będzie konsekwentnie sankcjonowany — w duchu orzecznictwa TSUE nt. zautomatyzowanych decyzji.

Źródła / bibliografia

  • Autoriteit Persoonsgegevens — komunikat: „Experian krijgt boete van 2,7 miljoen euro…” (17.10.2025). (Autoriteit Persoonsgegevens)
  • BleepingComputer — „Experian fined $3.2 million for mass-collecting personal data” (19.10.2025). (BleepingComputer)
  • NOS — „Firma przestaje tworzyć kredytowe scores po milionowej karze” (17.10.2025). (NOS)
  • Tweakers — „AVG-boete dla Experian to 2,7 mln €, firma nie odwołuje się” (17.10.2025). (Tweakers)
  • Hunton Privacy & Information Security Law — omówienie wyroku TSUE w sprawie SCHUFA (14.12.2023). (Hunton Andrews Kurth)

Wewnątrz „bałaganu” zarządzania Microsoft 365: wnioski z najnowszego raportu o wyzwaniach MSP

Wprowadzenie do problemu / definicja luki

Najnowsza ankieta wśród dostawców usług zarządzanych (MSP) pokazuje, że choć Microsoft 365 stał się „kręgosłupem” operacji biznesowych, to jego złożoność, niepełne kopie zapasowe i reaktywne podejście do bezpieczeństwa nadal spowalniają skuteczne zarządzanie wielodzierżawnymi środowiskami. Według raportu, ~60% MSP deklaruje, że Microsoft 365 obsługuje ponad 80% ich klientów, co potęguje skutki błędów konfiguracyjnych oraz „rozstrzału” narzędzi i procesów.

W skrócie

  • Koncentracja na M365: Dla większości MSP to podstawowa platforma klientów, ale jednocześnie główne źródło długu operacyjnego i ryzyka.
  • Luki w backupie: ~29–30% MSP doświadczyło unikalnej utraty danych w M365 możliwej do uniknięcia przy lepszym pokryciu backupem.
  • Tożsamość ≠ dane: Rozdzielne traktowanie backupu danych M365 i ustawień/obiektów tożsamości w Entra ID osłabia odporność na incydenty.
  • Reaktywność: ~28% MSP przegląda/aktualizuje baseline’y bezpieczeństwa dopiero po incydencie.
  • Narzędziowy chaos: Rozproszone panele, skrypty i ręczne workflow tworzą niespójności kontrolne i „szum” operacyjny.

Kontekst / historia / powiązania

Ostatnie miesiące przyniosły wysyp rozwiązań łączących backup danych M365 z odtwarzaniem konfiguracji tożsamości/zasad (Entra ID), co jest reakcją rynku na rosnące ataki na konta oraz błędy konfiguracyjne. W połowie września ogłoszono zintegrowane rozwiązania backup/restore dla M365 i Entra ID, podkreślając, że „samo” kopiowanie plików bez odtworzenia ról, uprawnień i zasad nie przywraca realnej odporności.

Analiza techniczna / szczegóły luki

  1. Rozproszenie narzędzi (tool sprawl): MSP często „skaczą” między panelami M365, skryptami PowerShell i konsolami bezpieczeństwa. Skutki to niespójne baseline’y, pominięte poprawki, opóźnione przeglądy dostępów i ryzyko błędów ludzkich.
  2. Backup punktowy vs. odporność systemowa:
    • Tylko dane: Kopie plików/skrzynek pocztowych bez odwzorowania Entra ID (grup, ról, zasad, warunkowego dostępu) → po odtworzeniu brakuje „szkieletu” tożsamości.
    • Tylko tożsamość: Odtworzysz konta i polisy, ale zawartości brak.
      Odporność wymaga wspólnego podejścia: dane i tożsamość.
  3. Reaktywne baseline’y: Baseline’y M365 (konfiguracje bezpieczeństwa, np. MFA, CA, hardening Exchange/SharePoint/Teams) bywają traktowane jako jednorazowy projekt, a nie proces ciągły – co wydłuża „okno ekspozycji”.

Praktyczne konsekwencje / ryzyko

  • Utrata danych „do uniknięcia”: Brak spójnego backupu danych i tożsamości zwiększa liczbę incydentów, które mogłyby zostać zneutralizowane przez właściwe pokrycie.
  • Dłuższy MTTR: Odtwarzanie środowisk bez kompletnych map ról/polis oznacza dłuższy czas przywracania usług i wyższy koszt przestoju.
  • Niespójna zgodność: Ręczne egzekwowanie polityk i rozproszone raportowanie utrudniają demonstrację zgodności (audyt, regulacje branżowe).

Rekomendacje operacyjne / co zrobić teraz

  1. Backup „podwójny”: Wdrożyć rozwiązanie, które łączy backup/restore dla danych M365 (Exchange, SharePoint, OneDrive, Teams) i Entra ID (użytkownicy, grupy, role, zasady CA, ustawienia). Testować scenariusze „bare-tenant restore”.
  2. Ciągły przegląd baseline’ów:
    • Zdefiniuj tenant-wide baseline (MFA wszędzie, CA per ryzyko, blokady starszych protokołów, hardening Teams/SharePoint/Exchange).
    • Automatyzuj drift detection i comiance checks; planuj kwartalne przeglądy jako SLA, nie „po incydencie”.
  3. Ujednolicenie narzędzi: Minimalizuj tool sprawl – preferuj platformy łączące RMM/PSA z zarządzaniem M365 i politykami bezpieczeństwa. Skracaj liczbę ręcznych kroków (workflow jako automaty).
  4. Tożsamość jako perymetr: Traktuj Entra ID i kontrolę dostępu warunkowego jako główną linię obrony (MFA, device compliance, session controls). Integruj z procesami przeglądu uprawnień (JML, recertyfikacje).
  5. Operacyjne „higieny”: Regularne patching, access reviews, detekcja anomalii, retencje i etykiety MIP – możliwie w jednym, orkiestrującym widoku.

Różnice / porównania z innymi przypadkami

  • Tradycyjny backup SaaS skupia się na treści (pliki, maile).
  • Nowa fala rozwiązań łączy treść z konfiguracją tożsamości i zasad, co skraca odzysk usługi do stanu „działające i zgodne”, a nie tylko „dane przywrócone”. To odpowiedź na rosnący udział ataków na konta i błędy konfiguracyjne w incydentach M365.

Podsumowanie / kluczowe wnioski

  • Microsoft 365 dominuje w portfelach MSP – co zwiększa zwielokrotniony efekt każdego błędu konfiguracyjnego.
  • Największe „dziury” to: rozproszone narzędzia, braki w backupie oraz reaktywne baseline’y.
  • Skuteczna odporność wymaga myślenia systemowego: dane + tożsamość + automatyzacja zgodności.

Źródła / bibliografia

  • Help Net Security – omówienie badania i kluczowych wniosków (20 października 2025). (Help Net Security)
  • Syncro – komunikat medialny o wynikach ankiety (16 października 2025). (Syncro)
  • Yahoo Finance – dystrybucja informacji o ankiecie (16 października 2025). (Yahoo Finance)
  • CRN – komentarz dot. potrzeby backupu danych i tożsamości (16 września 2025). (CRN)
  • Channel Insider – przegląd zintegrowanego backupu M365 + Entra ID (16 września 2025). (Channel Insider)

NIS2 – Nowa Dyrektywa UE W Sprawie Cyberbezpieczeństwa: Cele, Zakres I Znaczenie Dla Organizacji

NIS2 w skrócie – po co powstała i co zmienia dla organizacji

Dyrektywa NIS2 (Network and Information Systems 2) to unijne prawo dotyczące cyberbezpieczeństwa, będące następcą pierwszej dyrektywy NIS z 2016 roku (tzw. NIS1). Stanowi ona znaczący krok naprzód w wysiłkach UE na rzecz wzmocnienia cyberbezpieczeństwa w kluczowych sektorach gospodarki.

Czytaj dalej „NIS2 – Nowa Dyrektywa UE W Sprawie Cyberbezpieczeństwa: Cele, Zakres I Znaczenie Dla Organizacji”

NIS2 – Jak Być Zgodnym?!

Kompletny przewodnik po dyrektywie NIS2 dla organizacji w Polsce i UE

Dyrektywa NIS2 to największa od lat zmiana w sposobie, w jaki organizacje w Europie muszą zarządzać bezpieczeństwem informacji, ryzykiem i incydentami. Jej celem nie jest biurokracja — lecz wprowadzenie realnych, mierzalnych standardów cyberbezpieczeństwa, które obejmą zarówno duże firmy, jak i kluczowych dostawców technologii, usług krytycznych i infrastruktury cyfrowej.

Czytaj dalej „NIS2 – Jak Być Zgodnym?!”