Pomagamy Zrozumieć i Wdrażać Bezpieczeństwo
Dyrektywa NIS2 (Network and Information Systems 2) to unijne prawo dotyczące cyberbezpieczeństwa, będące następcą pierwszej dyrektywy NIS z 2016 roku (tzw. NIS1). Stanowi ona znaczący krok naprzód w wysiłkach UE na rzecz wzmocnienia cyberbezpieczeństwa w kluczowych sektorach gospodarki.
Czytaj dalej „NIS2 – Nowa Dyrektywa UE W Sprawie Cyberbezpieczeństwa: Cele, Zakres I Znaczenie Dla Organizacji”
Grupa ransomware Everest ogłosiła, że to ona stoi za włamaniem do Collins Aerospace (spółka RTX), którego skutki odczuwalne były w całej Europie — od paraliżu odpraw po wielogodzinne opóźnienia. Nowa deklaracja na stronie wycieków grupy pojawiła się 17–18 października 2025 r., kilka tygodni po tym, jak Collins potwierdził incydent ransomware dotyczący oprogramowania do boardingu pasażerów. Wcześniej służby i media nie wskazywały jednoznacznie sprawców ataku.
Atak z września 2025 r. wymusił ręczną obsługę pasażerów na wielu lotniskach i spowodował odwołania lotów. W tamtym czasie nie było potwierdzonej identyfikacji grupy. Dopiero teraz Everest przypisuje sobie odpowiedzialność, ujawniając wpis na stronie wycieków i zapowiadając „transze” danych. Media branżowe i regionalne odnotowały ten zwrot, podkreślając związek ze wcześniejszym chaosem na lotniskach.
Dla operatorów lotnisk i linii lotniczych:
Dla dostawców oprogramowania lotniczego:
(Praktyki powyżej wynikają z dobrych praktyk dla incydentów ransomware w infrastrukturze krytycznej oraz z charakteru tego ataku potwierdzonego przez RTX/ENISA).
Badacze z Seqrite Labs opisali nową kampanię wymierzoną w rosyjski sektor motoryzacyjny i e-commerce, wykorzystującą dotychczas nieudokumentowane złośliwe oprogramowanie .NET nazwane CAPI Backdoor. Dystrybucja odbywa się przez spreparowane wiadomości e-mail z archiwum ZIP zawierającym skrót LNK i przynętę PDF dotyczącą zmian w podatku dochodowym. Pierwsze artefakty kampanii pojawiły się w VirusTotal 3 października 2025 r.; szczegóły publicznie opisano 17–18 października 2025 r.
Zastosowanie rundll32.exe jako LOLBin jest od lat popularnym sposobem „proxy execution”, pozwalającym ukryć złośliwy kod za podpisanym binarium Microsoftu i obchodzić niektóre polityki kontroli aplikacji. Technika ta jest skatalogowana w MITRE ATT&CK jako T1218.011 i szeroko opisywana przez branżę (np. Red Canary).
O kampanii „CAPI Backdoor” jako pierwsi szczegółowo napisali badacze Seqrite; wątek podchwyciły media branżowe, m.in. The Hacker News.
Łańcuch infekcji. ZIP o nazwie w języku rosyjskim (np. „Перерасчет заработной платы 01.10.2025”) zawiera:
Funkcje CAPI Backdoor (wybór):
Techniki ATT&CK (mapowanie):
Kampania CAPI Backdoor jest kolejnym przypomnieniem, że LOLBIN-y (tu: rundll32.exe) pozostają skutecznym nośnikiem wykonania w łańcuchach phishingowych. Obrona powinna koncentrować się na telemetrii procesów, korelacji z ruchem sieciowym, łapaniu persystencji oraz higienie załączników (w szczególności ZIP + LNK). Wdrożenie detekcji mapowanych do T1566.001 i T1218.011 oraz regularne polowanie na artefakty Startup/Task Scheduler znacząco ograniczy okno zagrożeń.
Europol (przy wsparciu Eurojustu i służb z Austrii, Estonii, Finlandii oraz Łotwy) rozbił międzynarodową infrastrukturę cybercrime-as-a-service o kryptonimie SIMCARTEL, która wynajmowała przestępcom numery telefoniczne z ponad 80 krajów do rejestracji i weryfikacji kont oraz prowadzenia oszustw. Zatrzymano 7 osób, przeprowadzono 26 przeszukań, zajęto 1 200 urządzeń SIM-box i 40 000 aktywnych kart SIM, a także pięć serwerów i dwie domeny wykorzystywane do świadczenia usługi. Według organów ścigania infrastruktura pomogła utworzyć blisko 50 mln fałszywych kont.
Eurojust podaje, że platforma udostępniała numery z >80 krajów i była oferowana innym grupom w modelu CaaS (Crime-as-a-Service). Działania operacyjne przeprowadzono 10 października 2025 r., a komunikaty opublikowano 17 października.
Niezależne redakcje (BleepingComputer, CyberScoop, The Record) potwierdzają aresztowania i skalę zabezpieczeń, podając zbliżone szacunki strat: ok. 4,5 mln € w Austrii i ~420 tys. € na Łotwie.
SIM-box/SIM-farmy to zestawy bramek GSM z dziesiątkami/setkami gniazd SIM, które automatycznie rotują karty i numery. Dzięki sterowaniu API można masowo:
W sprawie SIMCARTEL infrastruktura działała jak profesjonalna usługa: panel online, automatyzacja, pozyskiwanie kart z wielu rynków, a nawet „oferta” na wynajem numerów i monetyzację cudzych kart. Organy przejęły m.in. serwisy ułatwiające pozyskanie numerów jednorazowych do kodów weryfikacyjnych.
Dlaczego to działa?
Ekosystem SMS-OTP i weryfikacji numeru telefonu jest podatny na nadużycia, bo:
Dla platform i fintechów
Dla banków i e-commerce
Dla operatorów telekomunikacyjnych
Dla użytkowników
W USA we wrześniu 2025 r. tajne służby rozbiły dużą SIM farmę (ponad 300 serwerów i 100 000 kart SIM) wskazując na rosnące ryzyko dla infrastruktury krytycznej. Europa i USA notują więc zbliżoną taktykę, ale inne wektory nadużyć (w UE – silny nacisk na oszustwa konsumenckie i masowe rejestracje kont).
Dom aukcyjny Sotheby’s poinformował o naruszeniu bezpieczeństwa danych, w wyniku którego napastnicy wykradli dane osobowe o podwyższonej wrażliwości. W zawłaszczonych plikach znajdowały się m.in. imiona i nazwiska, numery Social Security (SSN) oraz informacje o rachunkach finansowych. Firma wykryła intruzję 24 lipca 2025 r., a powiadomienia do osób dotkniętych incydentem zaczęła wysyłać 15 października 2025 r.
Incydent został upubliczniony po złożeniu zawiadomień u prokuratorów stanowych (Attorney General). Rejestr stanu Maine oraz kopia listu do poszkodowanych potwierdzają typy danych i daty powiadomień. Media branżowe (SecurityWeek, BleepingComputer, The Register) zebrały dodatkowe szczegóły — m.in. to, że Sotheby’s nie potwierdziło, czy ofiarami są klienci, czy pracownicy, oraz że brak jest dowodów na wymuszenie okupu.
Szczegóły techniczne wektora wejścia nie zostały ujawnione. Z perspektywy TTP możliwe scenariusze (hipotezy zgodne z MITRE ATT&CK), które często prowadzą do podobnych incydentów w organizacjach z wysokowartościowymi danymi, to:
Czas między wykryciem (24.07) a zakończeniem przeglądu danych i identyfikacją osób (ok. 2 miesiące) sugeruje klasyczny „data mining & validation” po incydencie — żmudną weryfikację zakresu PII w przejętych plikach. (Wniosek na podstawie osi czasu raportowanej publicznie).
Dla osób, które otrzymały list:
Dla SOC/IT w instytucjach o podobnym profilu:
W odróżnieniu od typowych w 2024–2025 r. wycieków połączonych z ransomware + wyciek danych, tu — na dziś — brak publicznego przypisania do grupy i brak żądania okupu. Skala (na podstawie danych z AG Maine/Massachusetts) wygląda na ograniczoną, co zbliża incydent do ukierunkowanej eksfiltracji zamiast masowego „smash-and-grab”.
Dairy Farmers of America (DFA) — jedna z największych spółdzielni mleczarskich w USA — potwierdziła, że w wyniku czerwcowego ataku ransomware doszło do wycieku danych osobowych pracowników i członków spółdzielni. W zgłoszeniu do regulatora ujawniono 4 546 osób dotkniętych naruszeniem. Dane obejmowały m.in. imię i nazwisko, numery SSN, numery prawa jazdy/ID, daty urodzenia, numery rachunków bankowych oraz numery Medicare/Medicaid. Za atak odpowiedzialność przypisała sobie grupa Play (znana też jako PLAY/PlayCrypt).
DFA to spółdzielnia należąca do ok. 9,5–11 tys. farmerów, zatrudniająca ok. 19 000 osób i generująca przychody rzędu 24,5 mld USD (2022); odpowiada za ~23% produkcji mleka w USA. Znaczenie operacyjne i łańcuchowe (od skupu surowca po przetwórstwo) sprawia, że zakłócenia w DFA mogą mieć szybkie skutki uboczne dla logistyki żywności.
Sektor rolno-spożywczy jest coraz częstszym celem cyberprzestępców — Food and Ag-ISAC raportuje podwojenie liczby incydentów r/r w I kw. 2025, co potwierdza szerszy trend nasilenia kampanii ransomware w przemyśle.
Dla organizacji z sektora rolno-spożywczego (i nie tylko):
Dla osób poszkodowanych (pracownicy/członkowie):
Play jest jednym z najaktywniejszych gangów 2024–2025 — ~900 ofiar do maja 2025 r. Grupa preferuje zamknięty model (brak publicznych paneli), indywidualne adresy @gmx.de/@web.de do negocjacji, double extortion i częste wykorzystanie skradzionych kont oraz luk w usługach zdalnych. To odróżnia Play od szeroko rekrutujących RaaS jak LockBit/Akira.
Dairy Farmers of America (DFA) — jedna z największych spółdzielni mleczarskich w USA — potwierdziła, że w wyniku czerwcowego (2025) ataku ransomware doszło do wycieku danych osobowych pracowników i członków kooperatywy. Według zgłoszenia do regulatora w stanie Maine, naruszenie obejmowało m.in. imiona i nazwiska, numery Social Security, numery prawa jazdy lub stanowych ID, daty urodzenia, numery rachunków bankowych oraz numery Medicare/Medicaid.
DFA to spółdzielnia należąca do rolników, zatrudniająca ok. 19 000 osób i odpowiadająca za ok. 23% produkcji mleka w USA — znaczący element łańcucha dostaw żywności. W 2025 r. sektor żywności i rolnictwa jest pod presją rosnącej liczby kampanii ransomware; raporty branżowe wskazują, że liczba incydentów w I kw. 2025 r. była ponad dwukrotnie wyższa niż rok wcześniej.
Według DFA, włamanie rozpoczęło się od zaawansowanej kampanii socjotechnicznej, po której nastąpiła eksfiltracja danych i szyfrowanie zasobów. Identyfikację naruszenia spółdzielnia wskazuje na 2 dni po rozpoczęciu ataku; badanie incydentu zakończono 15 września 2025 r.. Do zdarzenia przyznała się grupa Play, znana z modelu podwójnego wymuszenia (kradzież danych + szyfrowanie) i używania dostępu opartego na skradzionych poświadczeniach oraz exploitach w popularnych produktach (m.in. Fortinet, Microsoft).
TTP grupy Play (najważniejsze punkty wg CSA #StopRansomware):
Dla organizacji z sektora Food & Ag (i nie tylko):
Dla osób, których dane wyciekły (pracownicy/członkowie):
Play uderzał wcześniej w instytucje publiczne (np. Oakland, Dallas County) i firmy prywatne; wzorzec jest spójny: początkowy dostęp przez poświadczenia/eksploity, szybka eksfiltracja, presja czasowa na zapłatę i publikacja danych przy odmowie. DFA wpisuje się więc w typowy schemat Play, lecz szczególnie niepokoi profil ofiar — sektor żywności i rolnictwa, gdzie zakłócenia mogą mieć bezpośredni wpływ na łańcuch dostaw.