Pomagamy Zrozumieć i Wdrażać Bezpieczeństwo
EDR, MDR, XDR – trzy popularne skróty w świecie cyberbezpieczeństwa, często pojawiające się w ofertach dostawców i dyskusjach specjalistów. Oznaczają odpowiednio Endpoint Detection and Response, Managed Detection and Response oraz Extended Detection and Response. Choć brzmią podobnie, reprezentują różne podejścia do wykrywania zagrożeń i reagowania na nie.
Czytaj dalej „EDR vs MDR vs XDR”
Nowy raport Proofpoint opisuje rosnący trend kampanii ukierunkowanych na przewoźników i brokerów w transporcie drogowym: atakujący kompromitują konta na giełdach ładunków oraz skrzynki e-mail, by dostarczyć legalne narzędzia zdalnego zarządzania (RMM) i przejąć systemy. Następnie, korzystając z dostępu, składają oferty na prawdziwe zlecenia przewozowe i kradną fizyczny towar. To cyber-enabled cargo theft w wersji 2025.
Kradzieże ładunków istniały od dziesięcioleci, ale digitalizacja łańcuchów dostaw (load boardy, portale przewoźników, systemy TMS/telematyka) stworzyła nowe wektory nadużyć. Zjawisko opisane przez Proofpoint wpisuje się w obserwowany od 2024 r. zwrot cyberprzestępców ku nadużywaniu legalnych narzędzi RMM jako ładunku pierwszego etapu – to pozwala „przelecieć pod radarem” EDR i filtrów. Trend ten potwierdzają także przeglądy roku od Cisco Talos.
Równolegle środowisko TSL mierzy się z rosnącą liczbą oszustw brokerskich/BEC (podszywanie się pod przewoźników, brokerów, spedytorów), co FBI klasyfikuje jako jedną z kluczowych kategorii oszustw biznesowych.
Łańcuch ataku opisany w badaniu wygląda następująco:
Ładunki pierwszego etapu: ScreenConnect, SimpleHelp, PDQ Connect (często używany do doinstalowania innych RMM), Fleetdeck, N-able, GoTo Resolve, a w starszych kampaniach także NetSupport; obok nich spotykane stealer’y (Lumma, StealC, DanaBot) – wszystkie służą ostatecznie do zdalnego dostępu i kradzieży danych.
Techniki dostarczenia:
Po kompromitacji napastnicy wyłączają powiadomienia, podsłuchują komunikację, przekierowują telefony dispatchera i pod tożsamością ofiary rezerwują kursy. Proofpoint wskazuje przypadki, gdzie atakujący usuwali istniejące zlecenia i podstawiali własne środki do odbioru.
1) Zarządzanie RMM (allow-list i monitoring)
2) E-mail i tożsamość
3) Procesy branżowe (wg NMFTA Framework)
4) Telemetria i reagowanie
5) Ubezpieczenia i ciągłość działania
Grupa demokratycznych ustawodawców z senatorem Ronem Wydenem i kongresmenem Rają Krishnamoorthim wezwała Federalną Komisję Handlu (FTC) do wszczęcia postępowania wobec Flock Safety — dostawcy sieci kamer do automatycznego odczytu tablic rejestracyjnych (ALPR). Powód: rzekomo niedostateczne zabezpieczenia, w tym brak wymogu stosowania wieloskładnikowego uwierzytelniania (MFA) dla klientów z organów ścigania, co ma narażać wrażliwe dane o przemieszczaniu się obywateli na dostęp hakerów i obcych służb.
Flock Safety jest jednym z największych operatorów ALPR w USA; jego platforma umożliwia zapytania m.in. po numerze tablicy, marce/modelu auta, a nawet atrybutach wizualnych. W ostatnich miesiącach firma znalazła się pod ostrzałem za udostępnianie (w ramach pilotaży) dostępu agencjom federalnym oraz za praktyki, które – zdaniem krytyków – ułatwiają nadużycia w obszarach imigracji czy egzekwowania restrykcyjnych przepisów stanowych. Po medialnych doniesieniach i audytach stanowych Flock deklarował zmiany polityk i ograniczenia zapytań federalnych.
Słabe wymuszanie kontroli dostępu
Ryzyko „przejęcia sesji przez sąsiada” i lateralne nadużycia
Domyślne konfiguracje i spójność egzekwowania
Łańcuch zaufania i międzyjurysdykcyjny dostęp do danych
Dla CISO/CIO w sektorze publicznym i prywatnym korzystającym z ALPR lub podobnych platform:
W piśmie do FTC parlamentarzyści wskazują na wcześniejsze sprawy, w których Komisja egzekwowała odpowiedzialność za brak MFA (m.in. Uber, Drizly, Blackbaud i inne wymienione w liście). Wspólny mianownik: brak wymuszenia podstawowych kontroli dostępu i niedostateczne zarządzanie ryzykiem kont skompromitowanych. Różnica na niekorzyść ALPR polega na skali wrażliwości danych ruchowych oraz na międzyinstytucyjnym modelu wymiany – co amplifikuje skutki pojedynczego przejęcia konta.
3 listopada 2025 r. media branżowe ujawniły akt oskarżenia wobec trzech obywateli USA — w tym dwóch byłych negocjatorów ds. ransomware i menedżera IR — którym zarzucono działanie jako afilianci gangu ALPHV/BlackCat oraz przeprowadzenie serii ataków na co najmniej pięć firm w USA (służba zdrowia, farmacja, inżynieria, UAV). Według śledczych sprawcy włamali się do sieci, wykradli dane, wdrożyli szyfrator BlackCat i żądali okupu w kryptowalutach. Jedna z ofiar — producent urządzeń medycznych z Tampy — miała zapłacić ok. 1,27 mln USD.
ALPHV/BlackCat to jedna z najaktywniejszych rodzin ransomware od końca 2021 r., znana z ataków na podmioty ochrony zdrowia i infrastrukturę krytyczną oraz z podwójnego (a czasem potrójnego) wymuszania. W 2024 r. FBI, CISA i HHS publikowały wspólne ostrzeżenia techniczne z aktualnymi IOC i TTP.
Wejście do sieci i eskalacja: Z aktu oskarżenia i doniesień wynika, że sprawcy uzyskiwali nieuprawniony dostęp do środowisk ofiar, eksfiltrowali wrażliwe dane, a następnie wdrażali szyfrator BlackCat. Ofiary obejmowały m.in. firmę medtech z Florydy (Tampa), producenta farmaceutycznego z Maryland, praktykę lekarską i biuro inżynieryjne w Kalifornii oraz wytwórcę dronów w Wirginii. Kwoty żądań mieściły się od 300 tys. do 10 mln USD.
Rola „insiderów branżowych”: Szczególnie alarmujący jest fakt, że oskarżeni pracowali w firmach świadczących usługi IR i negocjacji okupów. Według sądu i materiałów prasowych co najmniej jeden z podejrzanych miał pozostać w areszcie, a drugi nie przyznał się do winy; firmy, w których pracowali, podkreśliły współpracę z organami ścigania i brak wiedzy o przestępstwach.
Model RaaS w praktyce: Zgodnie z opisem TechCrunch, ALPHV/BlackCat funkcjonuje w modelu RaaS: operatorzy tworzą malware i infrastrukturę, a afilianci prowadzą penetrację i eskalację, dzieląc się okupem z operatorem. To klasyczny układ, który obniża barierę wejścia dla atakujących i utrudnia atrybucję.
Zarządzanie dostawcami i personelem:
Higiena techniczna:
Proces i prawo:
Wcześniej głośne były sprawy „pośredników” i firm odzysku danych ukrywających płatności dla gangów. Tu jednak rdzeniem jest aktywna afiliacja RaaS przez osoby z branży IR/negocjacji, co stanowi jakościowo bardziej niebezpieczny precedens — wprost podważa to model zaufania do dostawców reagowania na incydenty.
Altualne na dzień 3.11.2025 – Artykuł będzie aktualizowany planowo 2 razy do roku.
Analizy firm z branży cyberbezpieczeństwa (m.in. Mandiant, Rapid7, Recorded Future, MITRE ATT&CK, Palo Alto Unit 42) oraz instytucji rządowych (CISA, FBI) wskazują na listę podatności, które były najczęściej wykorzystywane przez grupy APT oraz cyberprzestępców w latach 2010–2024.
Czytaj dalej „Najczęściej Wykorzystywane Podatności CVE W Atakach Cybernetycznych”
Dyrektywa NIS2 stawia przed organizacjami szereg nowych wymogów z zakresu cyberbezpieczeństwa. Zrozumienie specjalistycznych terminów używanych w regulacjach i wytycznych NIS2 jest kluczowe dla menedżerów, specjalistów IT oraz ekspertów ds. cyberbezpieczeństwa odpowiedzialnych za zgodność z tymi przepisami.
Czytaj dalej „Glosariusz Kluczowych Terminów Dyrektywy NIS2”Federalna Komisja Łączności (FCC) ogłosiła, że na posiedzeniu otwartym 20 listopada 2025 r. podda pod głosowanie uchylenie styczniowego „declaratory ruling”, które po atakach Salt Typhoon miało skłonić operatorów do wdrożenia minimalnych praktyk cyberbezpieczeństwa i corocznych certyfikacji planów zarządzania ryzykiem. Nowe kierownictwo FCC, z przewodniczącym Brendanem Carrem, uznaje tamto rozstrzygnięcie za „bezprawne i niepotrzebne” oraz zapowiada odejście od ujednoliconego reżimu na rzecz dobrowolnych działań i partnerstw publiczno-prywatnych.
W grudniu 2024 r. i w styczniu 2025 r. ujawniono skalę kompromitacji wielu operatorów (AT&T, Verizon, Lumen i innych) przez grupę Salt Typhoon. Ówczesna szefowa FCC, Jessica Rosenworcel, zaproponowała ramy bezpieczeństwa wymuszające podstawowe praktyki i coroczne atesty. Rozwiązanie przeszło w styczniu jednym głosem, a nowy przewodniczący Brendan Carr pozostawał jego krytykiem. Dziś – już jako szef FCC – dąży do odwrócenia kursu.
Projekt Order on Reconsideration / Fact Sheet (DOC-415190A1) enumeruje powyższe tezy wprost („rescinds as unlawful and unnecessary…”, wycofanie NPRM, argumenty o kosztach i ogólności). To właśnie ten dokument ma trafić pod głosowanie 20 listopada.
Dla zespołów bezpieczeństwa w telco i dużych operatorów sieci:
Dla klientów korporacyjnych telco: