Archiwa: Privacy - Strona 2 z 17

DHS zakazuje DeepSeek w cywilnych agencjach federalnych USA z powodu ryzyk dla bezpieczeństwa

Wprowadzenie do problemu / definicja

Departament Bezpieczeństwa Wewnętrznego USA zdecydował o wykluczeniu i usunięciu produktów DeepSeek z federalnych cywilnych systemów IT. Decyzja obejmuje nie tylko własne usługi i modele tej firmy, ale również rozwiązania podmiotów powiązanych oraz produkty firm trzecich wykorzystujące technologie DeepSeek. To ważny sygnał, że generatywna sztuczna inteligencja jest dziś oceniana nie tylko pod kątem funkcjonalności, lecz także jako potencjalne źródło ryzyka dla łańcucha dostaw, prywatności i bezpieczeństwa narodowego.

W skrócie

DHS nakazał cywilnym agencjom federalnym natychmiastowe wstrzymanie zakupów produktów objętych zakazem oraz rozpoczęcie ich usuwania z systemów. Zakres regulacji jest szeroki i obejmuje także aplikacje oraz usługi budowane na implementacjach DeepSeek. Agencje mogą ubiegać się o wyjątki, ale muszą je szczegółowo uzasadnić i przedstawić plan ograniczenia ryzyka.

zakaz obejmuje modele, API, aplikacje klienckie i usługi zależne,
decyzja dotyczy także rozwiązań pośrednio korzystających z technologii DeepSeek,
główne obawy dotyczą dostępu do danych, śledzenia użytkowników i utraty kontroli nad przepływem informacji.

Kontekst / historia

DeepSeek zyskał dużą popularność dzięki modelom językowym wykorzystywanym w zadaniach konwersacyjnych, analitycznych i programistycznych. Wraz z rosnącą adopcją pojawiły się jednak pytania o bezpieczeństwo aplikacji, lokalizację przetwarzania danych, przejrzystość architektury usług oraz zależności geopolityczne.

Wcześniejsze analizy bezpieczeństwa zwracały uwagę na problemy w mobilnym ekosystemie DeepSeek, w tym na słabe mechanizmy ochrony transmisji, ryzyka związane z lokalnym przechowywaniem danych oraz praktyki mogące zwiększać możliwość profilowania użytkownika. Ustalenia te stały się ważnym elementem debaty o tym, czy narzędzia AI rozwijane poza zaufanym reżimem regulacyjnym powinny być dopuszczane do środowisk o podwyższonej wrażliwości.

Obecna decyzja DHS wpisuje się w szerszy trend formalnego ograniczania technologii uznawanych za ryzykowne z perspektywy federalnego łańcucha dostaw. W takim modelu nie zawsze konieczne jest wykazanie konkretnego incydentu bezpieczeństwa. Wystarczające bywają poważne obawy dotyczące możliwości dostępu do danych, integralności oprogramowania lub wpływu podmiotów trzecich na infrastrukturę usługową.

Analiza techniczna

Z technicznego punktu widzenia decyzja DHS jest istotna, ponieważ nie ogranicza się do pojedynczej aplikacji czy domeny. Obejmuje cały ekosystem: modele, interfejsy API, aplikacje końcowe, usługi zależne, podmioty powiązane oraz produkty integrujące technologię DeepSeek. Takie podejście odpowiada współczesnej rzeczywistości, w której komponent AI może być ukryty głęboko w stosie aplikacyjnym jako silnik generowania treści, asystent kodowania, warstwa klasyfikacji lub moduł automatyzacji.

DHS traktuje ten problem jednocześnie jako ryzyko dostawcy i ryzyko operacyjne. W praktyce oznacza to, że zagrożenie nie wynika wyłącznie z możliwych błędów programistycznych, ale także z modelu przetwarzania danych oraz poziomu zaufania do operatora usługi. Jeśli aplikacja lub API przesyła prompty, dane wejściowe, metadane urządzenia lub identyfikatory użytkownika do infrastruktury pozostającej poza akceptowalną strefą kontroli, organizacja traci pełną widoczność nad przepływem informacji.

Dodatkowym wyzwaniem jest identyfikacja zależności pośrednich. Wiele organizacji wdraża narzędzia AI przez platformy SaaS, wtyczki do IDE, rozszerzenia przeglądarek, systemy helpdesk, boty czatowe oraz komponenty osadzone w aplikacjach biznesowych. Jeżeli którykolwiek z tych elementów korzysta z modelu DeepSeek po stronie dostawcy, może podlegać zakazowi nawet wtedy, gdy końcowy użytkownik nie ma tego świadomości.

Z perspektywy AppSec i Mobile AppSec szczególnie istotne są sygnały o niewłaściwej ochronie transmisji, słabym zarządzaniu danymi lokalnymi oraz nadmiernym gromadzeniu informacji o urządzeniu. W środowiskach rządowych i korporacyjnych takie problemy są krytyczne, ponieważ urządzenia mobilne często stanowią punkt dostępu do poczty, systemów SSO, komunikatorów i narzędzi workflow.

Konsekwencje / ryzyko

Dla administracji publicznej decyzja oznacza konieczność szybkiej inwentaryzacji wszystkich usług i produktów wykorzystujących DeepSeek, także pośrednio. Problem może dotyczyć nie tylko oficjalnie wdrożonych narzędzi, ale również zjawiska shadow AI, czyli nieformalnie używanych przez pracowników aplikacji dostępnych przez przeglądarkę, desktop i urządzenia mobilne.

Dla dostawców oprogramowania współpracujących z sektorem publicznym oznacza to rosnącą presję na transparentność stosu technologicznego. Kontrahenci będą musieli wykazać, czy ich produkty nie zawierają zależności do objętych zakazem modeli, API lub bibliotek. W praktyce może to wymusić aktualizację dokumentacji SBOM, map zależności usługowych oraz procedur oceny ryzyka dostawców AI.

nieautoryzowany transfer danych wejściowych i wyjściowych do zewnętrznej infrastruktury,
ujawnienie danych wrażliwych zawartych w promptach, załącznikach lub kontekście sesji,
utrudniony audyt i monitoring zachowania modelu oraz usług pośrednich,
trwałe osadzenie komponentu AI w procesach biznesowych bez pełnej kontroli właściciela systemu,
ryzyko prawne i zgodności przy przetwarzaniu danych objętych ograniczeniami sektorowymi lub rządowymi.

Decyzja DHS ma również znaczenie sygnalizacyjne dla rynku prywatnego. Nawet jeśli formalnie dotyczy federalnych cywilnych agencji USA, wiele organizacji może potraktować ją jako punkt odniesienia przy aktualizacji własnych polityk korzystania z generatywnej AI.

Rekomendacje

Organizacje powinny wykorzystać tę sytuację jako impuls do uporządkowania zarządzania ryzykiem AI. Pierwszym krokiem powinna być pełna inwentaryzacja usług generatywnej AI używanych w organizacji, zarówno centralnie wdrożonych, jak i wykorzystywanych oddolnie przez poszczególne zespoły.

zidentyfikować wszystkie aplikacje, wtyczki, SDK, usługi SaaS i API korzystające z zewnętrznych modeli AI,
wymagać od dostawców jednoznacznych deklaracji dotyczących używanych modeli i podwykonawców,
wdrożyć politykę klasyfikacji danych dla promptów i zakazać wprowadzania informacji wrażliwych do niezatwierdzonych usług,
monitorować ruch sieciowy oraz logi CASB, SWG, EDR i MDM pod kątem nieautoryzowanego użycia narzędzi AI,
aktualizować umowy z dostawcami o wymagania dotyczące lokalizacji danych, retencji, szyfrowania i prawa do audytu,
rozszerzyć SBOM i rejestry zależności o komponenty AI oraz zależności modelowe,
przygotować procedurę szybkiego wycofania usług AI z użycia w przypadku ograniczeń regulacyjnych wobec dostawcy.

W środowiskach mobilnych warto dodatkowo prowadzić testy Mobile AppSec, kontrolę konfiguracji transportu, analizę uprawnień, inspekcję lokalnego storage oraz przegląd mechanizmów telemetrii. W przypadku danych o wysokiej wrażliwości bezpieczniejszym podejściem jest stosowanie zatwierdzonych, izolowanych platform AI z jasno określonymi zasadami przetwarzania i przechowywania informacji.

Podsumowanie

Zakaz DHS wobec DeepSeek pokazuje, że ryzyko związane z AI przestało być wyłącznie zagadnieniem prywatności czy zgodności. Coraz częściej jest ono traktowane jako element bezpieczeństwa łańcucha dostaw, ochrony danych oraz odporności operacyjnej państwa i dużych organizacji. Najważniejsza lekcja jest jasna: kontrola nad wykorzystaniem modeli AI nie może kończyć się na nazwie aplikacji widocznej dla użytkownika. Musi obejmować cały ekosystem zależności, przepływy danych, odpowiedzialność dostawcy i możliwość szybkiego wycofania technologii z produkcji.

Źródła

BleepingComputer — DHS bans DeepSeek products across US federal civilian agencies — https://www.bleepingcomputer.com/news/security/dhs-bans-deepseek-products-across-us-federal-civilian-agencies/
Federal Register / GovInfo — Notice of Order Regarding Exclusion and Removal of DeepSeek — https://www.govinfo.gov/content/pkg/FR-2026-10-20/html/2026-21447.htm
Public Inspection, Federal Register — Removal of Certain AI Products and Services Produced or Provided by DeepSeek — https://public-inspection.federalregister.gov/2026-21447.pdf
NowSecure — NowSecure Uncovers Multiple Security and Privacy Flaws in DeepSeek iOS Mobile App — https://www.nowsecure.com/blog/2025/02/06/nowsecure-uncovers-multiple-security-and-privacy-flaws-in-deepseek-ios-mobile-app/
Associated Press — China defends DeepSeek after US ban of its AI from government systems — https://apnews.com/article/2bffa5b0131808735280b2c0e6f0d856

AdFection: reklamy internetowe jako nowy wektor dostarczania spyware bez kliknięcia

Wprowadzenie do problemu / definicja

AdFection to technika nadużycia ekosystemu reklamy internetowej do identyfikacji, profilowania i potencjalnego infekowania wybranych urządzeń oprogramowaniem szpiegującym. Jej najgroźniejszą cechą jest model zero-click, w którym ofiara nie musi wykonywać żadnej akcji, ponieważ sam kontakt z reklamą może stać się częścią łańcucha ataku.

To istotna zmiana w krajobrazie zagrożeń, ponieważ reklama cyfrowa od lat działa na ogromną skalę i jest głęboko zintegrowana ze stronami WWW oraz aplikacjami mobilnymi. W praktyce oznacza to, że legalna infrastruktura marketingowa może zostać wykorzystana jako narzędzie selekcji i dostarczania ładunku do ściśle określonych celów.

W skrócie

Badacze opisali mechanizm, w którym infrastruktura ad-tech miała wspierać operatorów spyware w precyzyjnym namierzaniu urządzeń. Schemat opiera się na aukcjach reklamowych w czasie rzeczywistym, podczas których przetwarzane są dane techniczne pozwalające na ocenę, czy dane urządzenie odpowiada profilowi celu.

atak wykorzystuje model zero-click, bez konieczności interakcji użytkownika,
kluczową rolę odgrywa mechanizm Real-Time Bidding,
do targetowania mogą służyć adresy IP, pliki cookie i identyfikatory reklamowe,
po dopasowaniu celu reklama może uruchomić dalszy etap infekcji,
opisywana aktywność została powiązana z kampaniami przeciwko pracownikom Al Jazeery oraz z infrastrukturą łączoną z dostawcą spyware Candiru.

Kontekst / historia

Rynek komercyjnego spyware od lat korzysta z zaawansowanych metod dostarczania ładunku, w tym exploitów zero-click oraz operacji wymierzonych w dziennikarzy, aktywistów i urzędników. Dotychczas największą uwagę przyciągały kampanie wykorzystujące komunikatory, przeglądarki oraz podatności w systemach mobilnych.

AdFection przesuwa jednak punkt ciężkości w stronę rynku reklamy internetowej. To szczególnie niepokojące, ponieważ ekosystem reklamowy z definicji służy do targetowania odbiorców, analizy zachowań i przetwarzania danych o urządzeniach. Dzięki temu atakujący mogą selekcjonować ofiary bez klasycznego phishingu i bez potrzeby nakłaniania użytkownika do kliknięcia.

Według opublikowanych ustaleń analizowana infrastruktura mogła przez dłuższy czas funkcjonować w legalnym obiegu reklamowym, obsługując emisję reklam na bardzo dużej liczbie witryn i aplikacji w wielu krajach. To pokazuje, że granica między technologią marketingową a infrastrukturą wykorzystywaną do cyberinwigilacji staje się coraz mniej wyraźna.

Analiza techniczna

Techniczny fundament AdFection opiera się na mechanizmie Real-Time Bidding. Gdy użytkownik otwiera stronę lub aplikację, dochodzi do błyskawicznej aukcji reklamowej, w której uczestnicy ekosystemu przetwarzają metadane o urządzeniu i kontekście sesji. Mogą to być między innymi adres IP, identyfikatory reklamowe urządzeń mobilnych, pliki cookie oraz informacje o środowisku przeglądarki lub aplikacji.

W opisywanym łańcuchu ataku podmiot reklamowy najpierw wygrywa aukcję i dostarcza reklamę do urządzenia. Następnie osadzony w reklamie tag komunikuje się z serwerem kontrolowanym przez operatora kampanii, który ocenia, czy urządzenie spełnia kryteria targetowania. Jeżeli tak, zwracany jest dalszy kod, prawdopodobnie w postaci skryptu inicjującego kolejny etap operacji. Jeśli urządzenie nie odpowiada profilowi celu, odpowiedź może pozostać pusta, co utrudnia wykrycie nadużycia.

Choć badacze nie odzyskali końcowego ładunku wykonywalnego, analiza logów sieciowych wykazała sekwencję połączeń prowadzącą od infrastruktury reklamowej do serwerów walidacyjnych, a następnie do systemów command-and-control powiązanych ze spyware. Taki przebieg wskazuje, że reklama nie pełniła wyłącznie funkcji profilującej, lecz mogła stanowić operacyjny element łańcucha infekcji.

Szczególnie alarmująca jest skala zjawiska. W analizowanym okresie opisywana infrastruktura miała obsługiwać reklamy docierające do niemal 200 tysięcy unikalnych witryn i aplikacji mobilnych. Sam kontakt z reklamą nie musi oznaczać kompromitacji urządzenia, ale daje atakującym możliwość masowego filtrowania celów i uruchamiania selektywnych działań wobec wybranych osób.

Konsekwencje / ryzyko

Największe ryzyko wynika z połączenia trzech elementów: skali, precyzyjnego targetowania i niskiej widoczności całej operacji. W odróżnieniu od tradycyjnego phishingu użytkownik nie musi klikać odnośnika ani pobierać pliku, co ogranicza skuteczność wielu standardowych szkoleń świadomościowych.

Dla organizacji wysokiego ryzyka, takich jak redakcje, administracja publiczna, sektor obronny, operatorzy infrastruktury krytycznej i organizacje międzynarodowe, oznacza to nową klasę zagrożeń na styku prywatności, reklamy i cyberataków. Nawet jeśli nie dochodzi do końcowej infekcji, sam etap profilowania może ujawniać wrażliwe informacje o użytkownikach i urządzeniach.

lokalizację i segmentację użytkowników,
powiązania urządzeń z konkretnymi sieciami organizacyjnymi,
wzorce aktywności i obecności online,
możliwość korelacji identyfikatorów reklamowych z innymi danymi.

Ryzyko obejmuje także cały łańcuch dostaw reklamy. Reklamodawcy, giełdy reklam, pośrednicy DSP i SSP oraz dostawcy mobilnych SDK mogą nieświadomie uczestniczyć w przekazywaniu danych wspierających selekcję ofiar albo w transmisji złośliwego kodu. Problem ma więc charakter systemowy, a nie incydentalny.

Rekomendacje

Organizacje powinny traktować ekosystem reklamy internetowej jako potencjalny kanał dostarczania zagrożeń i uwzględnić go w swoich modelach ochrony. Dotyczy to zwłaszcza środowisk, w których przetwarzane są informacje wrażliwe lub gdzie użytkownicy są szczególnie narażeni na inwigilację.

wdrożenie blokowania reklam na urządzeniach uprzywilejowanych i wysokiego ryzyka,
ograniczenie lub regularne resetowanie identyfikatorów reklamowych na urządzeniach mobilnych,
monitorowanie ruchu wychodzącego do domen reklamowych pod kątem nietypowych przekierowań i dynamicznie dostarczanych skryptów,
analiza bibliotek reklamowych oraz zewnętrznych SDK obecnych w aplikacjach,
utrzymywanie aktualnych wersji systemów operacyjnych, przeglądarek i komponentów renderujących,
stosowanie podwyższonych profili bezpieczeństwa dla dziennikarzy, kadry kierowniczej i personelu strategicznego,
włączenie wskaźników kompromitacji związanych z ad-tech do działań SOC, IR i threat intelligence.

Podsumowanie

AdFection pokazuje, że nowoczesne operacje spyware coraz częściej wykorzystują legalną, globalną infrastrukturę reklamową zamiast polegać wyłącznie na phishingu, złośliwych wiadomościach czy pojedynczych witrynach. Reklama internetowa przestaje być wyłącznie problemem prywatności i staje się pełnoprawnym wektorem ataku.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona urządzeń mobilnych, detekcja ruchu sieciowego i polityki ograniczania śledzenia muszą objąć również komponent ad-tech. W środowiskach podwyższonego ryzyka blokowanie reklam i redukcja ekspozycji na identyfikatory śledzące powinny być rozważane jako standardowy element obrony.

Źródła

https://www.darkreading.com/data-privacy/adfection-online-ads-spyware-delivery
https://citizenlab.ca/2026/10/adfection-how-surveillance-firms-use-online-advertising-to-deliver-spyware/
https://www.bis.doc.gov/index.php/policy-guidance/lists-of-parties-of-concern/entity-list

Android wzmacnia ochronę przed oszustwami mobilnymi dzięki AI, analizie linków i weryfikacji połączeń

Wprowadzenie do problemu / definicja

Oszustwa mobilne stają się coraz bardziej zaawansowane i coraz częściej łączą klasyczny phishing SMS, podszywanie się pod numery telefonów, fałszywe alerty bankowe oraz techniki wykorzystujące syntetyczny głos. W odpowiedzi na ten trend Android rozwija nowe mechanizmy ochronne oparte na sztucznej inteligencji, których celem jest wcześniejsze wykrywanie prób wyłudzenia jeszcze przed interakcją użytkownika z linkiem, rozmową lub żądaniem ujawnienia danych.

To istotna zmiana w podejściu do bezpieczeństwa mobilnego. Zamiast ograniczać się do blokowania znanych zagrożeń, system zaczyna analizować kontekst komunikacji, sygnały ryzyka i zachowania typowe dla kampanii fraudowych.

W skrócie

Google rozszerza ochronę Androida przed oszustwami mobilnymi.
Nowe funkcje obejmują chmurową analizę podejrzanych rozmów w Google Messages z użyciem modeli Gemini.
Na urządzeniu działa także lokalna analiza nieznanych odsyłaczy z wykorzystaniem Gemini Nano.
Android rozwija zabezpieczenia przed nadużyciami związanymi z przekierowaniem połączeń oraz spoofingiem numerów.
Rozszerzany jest mechanizm weryfikacji połączeń od instytucji finansowych.
Dodatkowo system wzmacnia ochronę prywatności podczas udostępniania ekranu.

Kontekst / historia

Przez lata oszustwa mobilne bazowały głównie na spamie głosowym i prostych kampaniach SMS. Obecnie krajobraz zagrożeń przesunął się w stronę ataków bardziej ukierunkowanych, w których cyberprzestępcy wykorzystują spoofing numerów, socjotechnikę opartą na zaufaniu do marki oraz automatyzację wspieraną przez AI.

Szczególnie niebezpieczne są scenariusze, w których ofiara otrzymuje wiadomość przypominającą komunikat bankowy albo połączenie wyglądające na autentyczne, mimo że w rzeczywistości stanowi element oszustwa. Android od kilku lat rozwija natywne funkcje wykrywania spamu i zagrożeń w aplikacjach Phone by Google oraz Google Messages, jednak najnowsze zmiany wyraźnie przesuwają punkt ciężkości z reakcji po fakcie na prewencję.

Analiza techniczna

Najważniejszą nowością jest chmurowa analiza konwersacji w Google Messages dla bardziej złożonych przypadków oszustw. Mechanizm wykorzystuje modele Gemini do identyfikacji wzorców charakterystycznych dla fraudu, takich jak nacisk na pilne działanie, żądanie podania danych wrażliwych, nakłanianie do kliknięcia odsyłacza czy próby podszycia się pod instytucję zaufania publicznego. Według zapowiedzi analiza ma dotyczyć rozmów z nieznanymi nadawcami i działać w wydzielonym środowisku przetwarzania prywatnego.

Drugim istotnym elementem jest lokalna analiza odsyłaczy wykonywana na urządzeniu przez model Gemini Nano. W praktyce oznacza to próbę oceny ryzyka jeszcze przed otwarciem podejrzanego linku, z uwzględnieniem bieżących sygnałów i heurystyk bezpieczeństwa. Takie podejście buduje model wielowarstwowy, w którym oceniana jest zarówno treść wiadomości, jak i charakter samego odsyłacza.

Android rozwija też zabezpieczenia połączeń telefonicznych. System ma blokować aplikacje próbujące po cichu aktywować przekierowanie połączeń w tle oraz wyświetlać ostrzeżenia przed zastosowaniem ręcznie wprowadzonych kodów MMI odpowiedzialnych za forwarding. To ważne, ponieważ przejęcie lub przekierowanie ruchu głosowego może zostać wykorzystane w atakach na odzyskiwanie kont, autoryzację telefoniczną i obsługę klienta w bankowości.

Kolejny komponent to rozszerzenie mechanizmu weryfikowanych połączeń finansowych. Jeśli bank obsługuje tę funkcję, telefon może sprawdzić, czy połączenie faktycznie zostało zainicjowane przez oficjalną aplikację lub infrastrukturę danej instytucji. W sytuacji nieudanej weryfikacji połączenie może zostać automatycznie zakończone, co ma utrudnić spoofing numerów infolinii oraz inne warianty oszustw telefonicznych.

Ważnym uzupełnieniem jest również rozszerzenie maskowania wrażliwych danych na Chrome i Android WebView podczas udostępniania ekranu. Mechanizm ukrywa pola logowania i ekrany płatności, ograniczając ryzyko przypadkowego ujawnienia danych w czasie zdalnej pomocy technicznej, konsultacji lub współdzielenia obrazu.

Konsekwencje / ryzyko

Nowe funkcje mogą wyraźnie podnieść poziom ochrony użytkowników indywidualnych przed phishingiem mobilnym, oszustwami bankowymi i spoofingiem połączeń. Szczególnie wartościowe jest połączenie analizy chmurowej i lokalnej, ponieważ wiele nowoczesnych kampanii oszustw nie opiera się wyłącznie na złośliwym adresie URL, lecz na dłuższej rozmowie prowadzącej ofiarę do dobrowolnego ujawnienia danych lub wykonania przelewu.

Z perspektywy organizacji oznacza to częściowe wzmocnienie bezpieczeństwa urządzeń końcowych pracowników korzystających z Androida w modelu BYOD lub COPE. Jednocześnie nie należy traktować tych funkcji jako pełnego substytutu dla MDM, ochrony tożsamości, wieloskładnikowego uwierzytelniania czy regularnych szkoleń z zakresu socjotechniki.

Ryzyko operacyjne dotyczy również prywatności i akceptacji użytkowników. Chmurowa analiza wiadomości, nawet jeśli realizowana w wydzielonym środowisku prywatnego przetwarzania, będzie wymagała zaufania do modelu, transparentności działania i jasnych ustawień kontroli. Dodatkowo część funkcji może być domyślnie wyłączona albo ograniczona do wybranych urządzeń, regionów i partnerów.

Rekomendacje

Administratorzy i zespoły bezpieczeństwa powinni uwzględnić nowe funkcje Androida w politykach ochrony urządzeń mobilnych, ale równocześnie zachować podejście warstwowe.

wymuszać aktualizacje systemu Android oraz aplikacji Phone by Google i Google Messages;
sprawdzić, które funkcje antyfraudowe są dostępne dla danej floty urządzeń i operatorów;
edukować użytkowników, że ostrzeżenie systemowe nie zastępuje samodzielnej weryfikacji nadawcy;
blokować lub monitorować nietypowe użycie przekierowania połączeń, zwłaszcza na urządzeniach z dostępem do usług finansowych i administracyjnych;
wdrożyć procedury potwierdzania tożsamości rozmówcy poza kanałem telefonicznym, na przykład przez oficjalną aplikację lub portal klienta;
uwzględnić oszustwa mobilne w ćwiczeniach awareness, w tym scenariusze z podszywaniem się pod bank, dział IT i dostawców usług;
monitorować wpływ nowych funkcji na zgodność, prywatność i telemetrię w środowiskach korporacyjnych.

Dla użytkowników końcowych podstawową zasadą pozostaje nieufność wobec wiadomości lub połączeń wywierających presję czasu, żądających kodów, danych logowania albo natychmiastowych działań finansowych. Nawet przy aktywnej ochronie AI najbezpieczniejszym rozwiązaniem pozostaje przerwanie rozmowy i samodzielny kontakt z instytucją przez oficjalny kanał.

Podsumowanie

Android rozwija ochronę przed oszustwami mobilnymi w kierunku bardziej inteligentnych, kontekstowych i zautomatyzowanych mechanizmów obronnych. Integracja analizy wiadomości przez Gemini, lokalnego sprawdzania linków, ochrony przed nadużyciami przekierowania połączeń oraz weryfikacji połączeń bankowych pokazuje, że bezpieczeństwo mobilne coraz silniej koncentruje się na przeciwdziałaniu fraudowi, a nie wyłącznie klasycznemu malware.

To ważny krok dla użytkowników i organizacji, jednak skuteczność takich rozwiązań nadal zależy od aktualizacji, właściwej konfiguracji oraz świadomości zagrożeń. AI może ograniczyć liczbę skutecznych oszustw, ale nie eliminuje potrzeby rygorystycznej higieny bezpieczeństwa i kontroli procesów tożsamości.

Źródła

ICO upomina Metropolitan Police za nieautoryzowane udostępnianie danych w zewnętrznej platformie

Wprowadzenie do problemu / definicja

Brytyjski organ nadzorczy ds. ochrony danych osobowych wydał upomnienie oraz nakaz działań naprawczych wobec Metropolitan Police Service po stwierdzeniu naruszeń związanych z wykorzystywaniem niezatwierdzonej platformy zewnętrznej do wymiany informacji o osobach podejrzewanych o kradzieże sklepowe. Sprawa pokazuje, że incydent bezpieczeństwa nie musi oznaczać klasycznego włamania — równie poważnym problemem może być niekontrolowane przetwarzanie danych poza formalnie zatwierdzonym środowiskiem.

Z perspektywy cyberbezpieczeństwa i governance danych jest to przykład ryzyka wynikającego z użycia narzędzi spoza oficjalnego obiegu akceptacji, bez pełnej oceny zgodności, bezpieczeństwa i odpowiedzialności organizacyjnej.

W skrócie

Metropolitan Police korzystała z zewnętrznej platformy bez odpowiedniego zatwierdzenia organizacyjnego.
Utworzono około 500 kont, z czego 375 było aktywnie wykorzystywanych.
Od stycznia do września 2024 r. do systemu wprowadzono dane osobowe 179 osób, w tym trzech nieletnich.
Zakres danych obejmował m.in. imiona i nazwiska, daty urodzenia, a w części przypadków także adresy domowe.
Regulator wskazał uchybienia w obszarze nadzoru, zgodności i środków organizacyjnych.

Kontekst / historia

Incydent nie dotyczy tradycyjnego cyberataku, lecz wielomiesięcznego używania rozwiązania dostarczanego przez podmiot trzeci w działaniach operacyjnych organu ścigania. Tego typu przypadki są szczególnie istotne, ponieważ pokazują, że zagrożenia dla bezpieczeństwa informacji nie wynikają wyłącznie z malware, phishingu czy exploitów, ale także z tzw. shadow IT oraz nieformalnych wdrożeń omijających procedury.

Z dostępnych ustaleń wynika, że funkcjonariusze i pracownicy korzystali z platformy od marca 2023 r. do września 2024 r., mimo że rozwiązanie nie zostało formalnie dopuszczone do użycia. Oznacza to, że dane były przez długi czas przetwarzane w środowisku, które nie przeszło pełnej walidacji pod kątem zgodności, retencji, kontroli dostępu, podstawy prawnej oraz nadzoru nad przepływem informacji.

W sektorze publicznym, a szczególnie w organach ścigania, taki model działania generuje podwyższone ryzyko dla prywatności osób, integralności procesów dochodzeniowych oraz odpowiedzialności regulacyjnej całej instytucji.

Analiza techniczna

Technicznie problem można zaklasyfikować jako połączenie nieautoryzowanego onboardingu usługi zewnętrznej, słabego zarządzania tożsamością oraz braku formalnych mechanizmów data governance. Sama skala wykorzystania platformy wskazuje, że nie był to incydent jednostkowy, lecz proces o charakterze systemowym.

Jeżeli w zewnętrznym środowisku powstaje kilkaset kont użytkowników powiązanych z jedną organizacją, oznacza to, że proces wykrywania niezatwierdzonych aplikacji, przeglądu uprawnień i kontroli dostępu nie działał wystarczająco skutecznie. W praktyce takie przypadki często rozwijają się stopniowo: od pojedynczego konta i wygodnego obejścia procedur po równoległy obieg danych poza centralnym nadzorem bezpieczeństwa.

brak formalnej akceptacji narzędzia przed rozpoczęciem przetwarzania danych,
brak odpowiedniej oceny wpływu na ochronę danych i ryzyka operacyjnego,
niewystarczający nadzór nad zakresem danych wprowadzanych do platformy,
niejasny model odpowiedzialności za system, proces i zgodność,
potencjalnie niewystarczające ograniczenia dotyczące udostępniania danych podmiotowi trzeciemu.

Z perspektywy bezpieczeństwa kluczowe są trzy warstwy ryzyka: bezpieczeństwo samej aplikacji i dostawcy, legalność oraz minimalizacja przetwarzania danych, a także zdolność organizacji do wykrywania użycia narzędzi spoza zatwierdzonego katalogu usług.

Konsekwencje / ryzyko

Najpoważniejsze skutki dotyczą poufności danych oraz zgodności prawnej. Udostępnianie danych osobowych osób podejrzewanych, w tym nieletnich, za pośrednictwem niezatwierdzonej platformy zwiększa ryzyko nieuprawnionego dostępu, nadmiernego przetwarzania, niewłaściwej retencji oraz utraty kontroli nad dalszym obiegiem informacji.

Nawet jeśli nie doszło do potwierdzonego publicznie wycieku w rozumieniu exfiltracji przez atakującego, samo umieszczenie danych w nieautoryzowanym systemie stanowi istotne naruszenie zasad rozliczalności i bezpieczeństwa przetwarzania.

działania egzekucyjne regulatora,
konieczność wdrożenia środków naprawczych w określonych terminach,
koszty audytów, remediacji i przeglądu procesów,
ryzyko utraty zaufania publicznego,
presję na poprawę nadzoru nad dostawcami i usługami chmurowymi.

Dla osób, których dane dotyczą, zagrożenia obejmują możliwość nieuprawnionej identyfikacji, profilowania, błędnego przypisania podejrzeń, a także wtórnego wykorzystania danych poza pierwotnym celem operacyjnym. W środowisku policyjnym każdy błąd tego typu ma szczególnie wysoką wagę ze względu na charakter informacji i potencjalny wpływ na prawa obywateli.

Rekomendacje

Przypadek Metropolitan Police powinien być sygnałem ostrzegawczym zarówno dla organizacji publicznych, jak i prywatnych. Skuteczna odpowiedź wymaga połączenia kontroli technicznych, procesowych i szkoleniowych.

wdrożenie programu wykrywania shadow IT i nieautoryzowanych usług SaaS,
formalizacja procesu zatwierdzania dostawców oraz narzędzi przetwarzających dane osobowe,
wzmocnienie mechanizmów IAM, przeglądów dostępu i monitorowania provisioningu kont,
minimalizacja oraz klasyfikacja danych przekazywanych do narzędzi operacyjnych,
rozszerzenie logowania, monitoringu i ścieżek audytowych dla usług zewnętrznych,
prowadzenie szkoleń scenariuszowych dotyczących dozwolonych narzędzi i zasad eskalacji,
okresowe audyty procesów biznesowych pod kątem nieformalnych obejść procedur.

W praktyce oznacza to konieczność ścisłego powiązania zespołów security, privacy, compliance i operacji, tak aby żadne narzędzie przetwarzające dane wrażliwe kontekstowo nie trafiało do codziennego użycia bez formalnej oceny i nadzoru.

Podsumowanie

Sprawa Metropolitan Police pokazuje, że naruszenia bezpieczeństwa danych nie zawsze wynikają z zaawansowanego ataku. Często źródłem problemu jest niezatwierdzone wdrożenie usługi strony trzeciej, brak kontroli nad obiegiem informacji i niewystarczające mechanizmy organizacyjne.

Z perspektywy cyberbezpieczeństwa to klasyczny przykład ryzyka na styku technologii, zgodności i działań operacyjnych. Kluczowy wniosek jest prosty: każda platforma przetwarzająca dane operacyjne musi zostać objęta formalnym nadzorem, zanim stanie się elementem codziennego workflow.

Źródła

Android wzmacnia ochronę przed oszustwami mobilnymi dzięki mechanizmom AI

Wprowadzenie do problemu / definicja

Oszustwa mobilne stają się coraz trudniejsze do wykrycia, ponieważ cyberprzestępcy łączą klasyczne techniki socjotechniczne z podszywaniem się pod banki, operatorów i inne zaufane instytucje. Coraz częściej wykorzystują także spoofing numerów, fałszywe alerty oraz narzędzia AI do generowania bardziej wiarygodnych wiadomości i rozmów.

W odpowiedzi na rosnącą skalę zagrożeń Google rozwija w Androidzie nowe mechanizmy ochronne, których celem jest wykrywanie podejrzanych interakcji, ograniczanie nadużyć związanych z połączeniami oraz lepsze zabezpieczenie użytkowników przed wyłudzeniami prowadzonymi przez SMS-y, komunikatory i rozmowy głosowe.

W skrócie

Google wdraża w Androidzie zestaw funkcji antyfraudowych opartych na AI. Najważniejsze zmiany obejmują rozszerzoną ochronę w aplikacji Google Messages, lokalną analizę nieznanych linków z użyciem Gemini Nano, blokowanie prób aktywacji przekierowania połączeń przez aplikacje działające w tle oraz ostrzeganie użytkownika przed ryzykownymi kodami MMI.

AI analizuje złożone konwersacje z nieznanymi nadawcami.
System ostrzega przed podejrzanymi linkami jeszcze przed ich otwarciem.
Android utrudnia nadużycia związane z przekierowaniem połączeń.
Rozszerzono ochronę danych podczas udostępniania ekranu.
Weryfikacja podejrzanych połączeń obejmuje kolejne scenariusze oszustw.

Kontekst / historia

Mobilne oszustwa od lat bazują na phishingu SMS, podszywaniu się pod instytucje finansowe i presji psychologicznej. W ostatnim czasie kampanie te stały się jednak znacznie bardziej zaawansowane. Zamiast pojedynczych wiadomości z podejrzanym linkiem pojawiają się wieloetapowe konwersacje, których celem jest stopniowe budowanie zaufania ofiary.

Zmiana krajobrazu zagrożeń wynika również z upowszechnienia narzędzi AI. Przestępcy mogą dziś generować bardziej przekonujące komunikaty, imitować język prawdziwych konsultantów, a nawet wykorzystywać syntetyczny głos do podszywania się pod pracowników banków lub członków rodziny. W takim modelu tradycyjne filtry oparte wyłącznie na prostych regułach nie zawsze są wystarczające.

Google od dawna rozwija w Androidzie ochronę przed spamem i oszustwami, jednak najnowszy etap koncentruje się na analizie kontekstu rozmowy i blokowaniu konkretnych technik wykorzystywanych w nowoczesnych kampaniach fraudowych.

Analiza techniczna

Kluczowym elementem zmian jest rozszerzona ochrona w Google Messages. Mechanizm wykorzystuje modele AI do wykrywania wzorców charakterystycznych dla oszustw konwersacyjnych, zwłaszcza w rozmowach prowadzonych z nieznanymi nadawcami. Tego typu analiza ma identyfikować nie tylko pojedyncze słowa kluczowe, ale także przebieg całej interakcji, presję wywieraną na użytkownika i próby skłonienia go do wykonania określonej akcji.

Istotną rolę odgrywa środowisko Private AI Compute, które ma wspierać ochronę prywatności podczas przetwarzania bardziej złożonych danych. Równolegle Android wykorzystuje lokalny model Gemini Nano do analizy nieznanych linków i oceny sygnałów ryzyka bezpośrednio na urządzeniu. Taka architektura łączy dwa podejścia: przetwarzanie on-device dla szybkich decyzji oraz izolowane mechanizmy dla trudniejszych przypadków wymagających szerszego kontekstu.

Kolejnym ważnym obszarem jest ochrona przed nadużyciami związanymi z call forwarding. W praktyce przekierowanie połączeń może zostać wykorzystane do przechwytywania rozmów, wspierania oszustw głosowych lub obchodzenia części procesów weryfikacyjnych. Android ma teraz blokować aplikacje, które próbują aktywować przekierowanie połączeń w tle bez jednoznacznej akcji użytkownika. Dodatkowo system ostrzega przy ręcznym wpisywaniu kodów MMI mogących zmieniać ustawienia telekomunikacyjne urządzenia.

Google rozszerza także ochronę podczas udostępniania ekranu. Maskowanie wrażliwych danych ma obejmować pola logowania i widoki płatności również w Chrome oraz Android WebView. To odpowiedź na scenariusze, w których oszust podszywa się pod wsparcie techniczne lub pracownika banku i nakłania ofiarę do współdzielenia ekranu, aby przechwycić dane lub doprowadzić do wykonania transakcji.

Warto podkreślić, że część funkcji ma charakter opcjonalny lub zależy od wersji systemu, urządzenia i aplikacji. Oznacza to, że poziom realnej ochrony będzie różnić się między użytkownikami.

Konsekwencje / ryzyko

Dla użytkowników końcowych nowe zabezpieczenia oznaczają mniejsze ryzyko wejścia w fałszywą konwersację, kliknięcia złośliwego linku lub nieświadomej zmiany ustawień połączeń. Szczególnie istotne jest to w atakach rozciągniętych w czasie, gdzie oszust nie działa impulsywnie, lecz stopniowo buduje wiarygodność.

Z perspektywy organizacji nowe funkcje mogą ograniczyć ryzyko fraudów wymierzonych w pracowników korzystających ze smartfonów służbowych i prywatnych. Mobilne kanały komunikacji są nadal niedocenianym wektorem ataku, mimo że często stanowią pierwszy etap prowadzący do kradzieży tożsamości, przejęcia kont, oszustw płatniczych lub dalszej kompromitacji środowiska firmowego.

Nie oznacza to jednak całkowitego wyeliminowania zagrożeń. Systemy AI mogą popełniać błędy, generując zarówno fałszywe alarmy, jak i pominięcia. Zaawansowani napastnicy będą prawdopodobnie testować nowe warianty treści, dzielić ataki na etapy i przenosić komunikację między wiadomościami tekstowymi, komunikatorami i rozmowami głosowymi. Dlatego nawet zaawansowana ochrona systemowa nie zastępuje ostrożności użytkownika.

Rekomendacje

Użytkownicy powinni regularnie aktualizować Androida oraz aplikacje systemowe, w szczególności Google Messages i Phone by Google. Warto również sprawdzić, czy funkcje ochrony przed oszustwami są dostępne i aktywne na danym urządzeniu.

Organizacje powinny uwzględnić mobilne oszustwa w programach bezpieczeństwa, politykach BYOD i szkoleniach awareness. Szczególną uwagę należy poświęcić spoofingowi numerów, fałszywym połączeniom bankowym, socjotechnice wspieranej przez AI oraz ryzyku manipulacji ustawieniami połączeń.

Weryfikuj nadawcę lub rozmówcę niezależnym kanałem.
Nie otwieraj linków od niezapisanych numerów bez dodatkowej kontroli.
Monitoruj ustawienia przekierowania połączeń na urządzeniach służbowych.
Ogranicz instalację aplikacji spoza zaufanych źródeł.
Wdrażaj polityki MDM lub MAM tam, gdzie jest to możliwe.
Szkol użytkowników z rozpoznawania oszustw konwersacyjnych i deepfake voice scams.

W środowiskach o podwyższonym poziomie ryzyka warto dodatkowo prowadzić okresowe audyty konfiguracji urządzeń mobilnych, kontrolę uprawnień aplikacji oraz analizę nietypowych zmian związanych z komunikacją i obsługą połączeń.

Podsumowanie

Nowe funkcje Androida pokazują, że ochrona przed fraudami mobilnymi coraz wyraźniej opiera się na wielowarstwowej analizie wspieranej przez AI. Połączenie analizy konwersacji, lokalnej oceny linków, ochrony przed nadużyciami call forwarding oraz zabezpieczeń podczas screen sharingu stanowi praktyczną odpowiedź na współczesne kampanie oszustw mobilnych.

Z punktu widzenia cyberbezpieczeństwa to ważny krok naprzód, ale skuteczność tych mechanizmów nadal będzie zależała od aktualizacji, dostępności funkcji na konkretnych urządzeniach oraz poziomu świadomości użytkowników. AI może znacząco utrudnić działanie oszustów, lecz nie zastąpi podstawowych zasad weryfikacji i higieny bezpieczeństwa.

Źródła

Android gets AI defenses against messaging scams, fake calls — https://www.bleepingcomputer.com/news/security/android-gets-ai-defenses-against-messaging-scams-fake-calls/
New Android protections to help keep you safe from mobile scams — https://blog.google/security/new-android-scam-protections/
How Android helps keep you safe from impersonation scams with fake call detection — https://blog.google/security/android-fake-call-detection/
Stay Safe: How Android Scam Detection Keeps Your Data and Money Secure — https://www.android.com/articles/how-android-scam-protection-works/
What’s New in Android Security and Privacy in 2026 — https://blog.google/security/whats-new-in-android-security-privacy-2026/

Administracja USA opóźnia migrację do kryptografii postkwantowej

Wprowadzenie do problemu / definicja

Kryptografia postkwantowa to grupa algorytmów projektowanych z myślą o odporności na przyszłe ataki realizowane przy użyciu komputerów kwantowych. Największe zagrożenie dotyczy obecnie stosowanych mechanizmów kryptografii asymetrycznej, takich jak RSA i ECC, które w perspektywie rozwoju kryptograficznie istotnych systemów kwantowych mogą przestać zapewniać oczekiwany poziom ochrony.

Najnowsze ustalenia dotyczące amerykańskiej administracji federalnej pokazują, że przejście do nowych standardów nadal postępuje zbyt wolno. Problem nie ogranicza się wyłącznie do technologii, ale obejmuje także inwentaryzację zasobów, planowanie budżetowe, testy interoperacyjności oraz gotowość operacyjną instytucji publicznych.

W skrócie

Audyt objął 24 duże agencje federalne w USA.
Tylko jedna instytucja zakończyła pełną inwentaryzację systemów i podatnych algorytmów.
Żadna agencja nie oszacowała całościowych kosztów migracji do kryptografii postkwantowej.
Żadna nie przeprowadziła pełnych testów wdrożeniowych nowych mechanizmów.
Opóźnienia zwiększają ryzyko scenariusza „harvest now, decrypt later”.

Kontekst / historia

Temat migracji do kryptografii odpornej na komputery kwantowe pozostaje jednym z kluczowych wyzwań strategicznych w cyberbezpieczeństwie od kilku lat. Zarówno administracja publiczna, jak i sektor prywatny przygotowują się na moment, w którym komputery kwantowe będą w stanie podważyć bezpieczeństwo klasycznych mechanizmów klucza publicznego.

Znaczenie tego procesu wzrosło po zatwierdzeniu przez NIST pierwszych standardów FIPS dla kryptografii postkwantowej w 2024 roku. Równolegle administracja federalna publikowała wytyczne dotyczące planowania i realizacji migracji. Mimo to wiele agencji pozostaje na etapie rozpoznania, zamiast prowadzić zaawansowane testy i praktyczne wdrożenia.

Analiza techniczna

Migracja do PQC nie polega na prostej wymianie jednego algorytmu na drugi. W pierwszej kolejności organizacja musi uzyskać pełną widoczność środowiska kryptograficznego, obejmującą aplikacje, systemy, urządzenia sieciowe, biblioteki, certyfikaty, usługi chmurowe oraz procesy biznesowe zależne od klasycznej kryptografii.

Audyt wykazał, że właśnie brak takiej widoczności jest jednym z głównych problemów. Wiele agencji nie dysponuje pełną dokumentacją użycia kryptografii, nie ma dojrzałych procesów identyfikacji podatnych mechanizmów ani odpowiednich narzędzi automatyzujących wykrywanie algorytmów wymagających wymiany.

Drugim istotnym wyzwaniem jest planowanie finansowe. Bez kompletnej inwentaryzacji trudno określić koszty modernizacji infrastruktury PKI, wymiany komponentów bezpieczeństwa, aktualizacji aplikacji, dostosowania środowisk legacy i przeprowadzenia testów kompatybilności.

Trzeci obszar dotyczy testów technicznych. Wdrożenie kryptografii postkwantowej wymaga sprawdzenia zgodności nowych algorytmów z protokołami komunikacyjnymi, rozwiązaniami VPN, TLS, HSM, podpisem cyfrowym, systemami tożsamości i oprogramowaniem własnym. W starszych środowiskach dodatkowym problemem mogą być ograniczenia wydajnościowe, większe rozmiary kluczy i podpisów oraz zależności aplikacyjne.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem opóźnień jest narastający dług technologiczny w obszarze kryptografii. Im później organizacja rozpoczyna inwentaryzację i testowanie, tym większe ryzyko, że migracja będzie prowadzona pod presją czasu, wymagań regulacyjnych lub incydentów bezpieczeństwa.

Szczególnie niebezpieczny pozostaje scenariusz „harvest now, decrypt later”. Oznacza on, że przeciwnik może już dziś przechwytywać zaszyfrowane dane i przechowywać je do momentu, gdy pojawią się możliwości ich odszyfrowania przy użyciu odpowiednio rozwiniętych technologii kwantowych. Problem dotyczy zwłaszcza informacji o długim okresie poufności, takich jak dane rządowe, informacje o infrastrukturze krytycznej, archiwa komunikacji czy dane strategiczne.

Ryzyko wykracza jednak poza samą poufność. Opóźniona migracja może wpłynąć także na integralność podpisów cyfrowych, wiarygodność procesów uwierzytelniania oraz bezpieczeństwo wymiany kluczy i komunikacji między systemami.

Rekomendacje

Organizacje powinny traktować przejście do kryptografii postkwantowej jako wieloletni program transformacyjny, a nie jednorazowy projekt techniczny. Kluczowe znaczenie ma odpowiednio wczesne rozpoczęcie prac przygotowawczych.

Przeprowadzenie pełnej inwentaryzacji użycia kryptografii we wszystkich systemach, aplikacjach i usługach.
Budowanie crypto agility, czyli zdolności do szybkiej wymiany algorytmów bez przebudowy całej architektury.
Uruchomienie laboratoriów testowych i pilotaży dla systemów o najwyższym priorytecie.
Priorytetowe podejście do danych wymagających wieloletniej poufności.
Ścisła współpraca z dostawcami technologii w zakresie map drogowych, certyfikacji i wsparcia dla standardów NIST.

Istotne jest także uwzględnienie środowisk legacy, rozwiązań chmurowych, komponentów firm trzecich oraz kryptografii osadzonej bezpośrednio w kodzie, firmware i starszych bibliotekach. To właśnie te obszary najczęściej spowalniają migrację i podnoszą jej koszt.

Podsumowanie

Wyniki amerykańskiego audytu pokazują, że największym wyzwaniem w przejściu do kryptografii postkwantowej nie jest już sama świadomość zagrożenia, lecz praktyczna gotowość organizacyjna i techniczna. Mimo dostępnych standardów i wytycznych wiele instytucji nadal nie ukończyło nawet podstawowego etapu rozpoznania własnego środowiska kryptograficznego.

Dla całego rynku cyberbezpieczeństwa to czytelny sygnał, że czas na spokojne przygotowania stopniowo się kończy. Organizacje, które zbyt długo będą odkładać inwentaryzację, testy i planowanie budżetu, mogą w przyszłości stanąć przed kosztowną, złożoną i wymuszoną presją modernizacją.

Źródła

US government lagging in transition to post-quantum encryption, GAO finds — https://www.cybersecuritydive.com/news/government-quantum-encryption-migration-gao/832377/
GAO-27-108740 Highlights, Quantum Computing: Federal Actions Needed to Prepare for Emerging Cyber Threat — https://www.gao.gov/assets/gao-27-108740-highlights.pdf
What Is Post-Quantum Cryptography? — https://www.nist.gov/cybersecurity-and-privacy/what-post-quantum-cryptography
Announcing Approval of Three Federal Information Processing Standards (FIPS) for Post-Quantum Cryptography — https://csrc.nist.gov/News/2024/postquantum-cryptography-fips-approved
Execution of the Migration to Post-Quantum Cryptography — https://www.whitehouse.gov/wp-content/uploads/2026/06/M-26-15-Execution-of-the-Migration-to-Post-Quantum-Cryptography.pdf

Advantest potwierdza naruszenie danych po ataku ransomware z lutego 2026 roku

Wprowadzenie do problemu / definicja

Advantest, japoński producent systemów automatycznego testowania układów scalonych, ujawnił naruszenie danych osobowych będące następstwem wcześniejszego ataku ransomware. To kolejny przykład incydentu, w którym skutki nie ograniczają się do szyfrowania zasobów, lecz obejmują również ryzyko utraty poufności danych i dalszych nadużyć wobec osób, których informacje zostały przejęte.

W praktyce takie zdarzenia wpisują się w model tzw. podwójnego wymuszenia, gdzie napastnicy nie tylko zakłócają działanie firmy, ale także wyprowadzają dane, by zwiększyć presję na ofiarę. Dla organizacji technologicznych oznacza to jednoczesny problem operacyjny, prawny, reputacyjny i bezpieczeństwa informacji.

W skrócie

Firma poinformowała, że atak z lutego 2026 roku doprowadził nie tylko do wdrożenia ransomware, ale również do kradzieży danych osobowych. Dochodzenie wykazało, że przejęte informacje obejmowały m.in. dane identyfikacyjne, kontaktowe, wybrane informacje finansowe oraz medyczne.

atak rozpoczął się od uzyskania dostępu do sieci przedsiębiorstwa,
na późniejszym etapie potwierdzono eksfiltrację danych osobowych,
firma ostrzegła osoby poszkodowane przed ryzykiem kradzieży tożsamości i oszustw,
nie ujawniono dowodów na publiczną publikację skradzionych danych.

Kontekst / historia

Incydent z udziałem Advantest wpisuje się w utrwalony trend ewolucji ransomware. Współczesne kampanie coraz rzadziej koncentrują się wyłącznie na blokowaniu dostępu do systemów. Znacznie częściej obejmują też rozpoznanie środowiska, kradzież plików i próbę wykorzystania ich jako dodatkowego narzędzia nacisku.

Znaczenie tej sprawy zwiększa profil samej organizacji. Advantest działa w segmencie istotnym dla globalnego łańcucha dostaw półprzewodników, a więc w obszarze, gdzie zakłócenia i incydenty bezpieczeństwa mogą budzić duże zainteresowanie klientów, partnerów oraz regulatorów. Ujawnienie, że pełna skala naruszenia została potwierdzona dopiero po czasie, pokazuje również, jak złożone bywa ustalenie rzeczywistego zakresu kompromitacji.

Analiza techniczna

Z ujawnionych informacji wynika, że napastnicy najpierw uzyskali dostęp do sieci firmy, a następnie wdrożyli ransomware. Tego typu scenariusz zwykle oznacza operację wieloetapową, obejmującą poruszanie się lateralne, eskalację uprawnień, identyfikację cennych zasobów oraz finalnie kradzież i szyfrowanie danych.

Kluczowym elementem tej sprawy jest opóźnione potwierdzenie eksfiltracji. W praktyce zespoły reagowania muszą odróżnić sam dostęp do danych od ich skutecznego wyprowadzenia poza organizację. Wymaga to analizy logów, ruchu sieciowego, aktywności kont uprzywilejowanych oraz śladów pozostawionych w systemach przechowujących dane wrażliwe.

Zakres skradzionych informacji sugeruje, że atakujący dotarli do systemów przetwarzających dane osobowe i administracyjne, a nie jedynie do standardowych stacji roboczych. Obecność danych identyfikacyjnych, kontaktowych, dokumentowych, medycznych i finansowych wskazuje na potencjalny dostęp do wielu repozytoriów biznesowych, takich jak systemy kadrowe, świadczeń pracowniczych czy obiegu dokumentów.

Dodatkowo nie odnotowano publicznego przyznania się do ataku przez znany gang ransomware. Taki brak przypisania może utrudniać mapowanie technik, taktyk i procedur do konkretnej grupy oraz ograniczać możliwość szybkiego wykorzystania gotowych wskaźników kompromitacji podczas obrony i polowania na zagrożenia.

Konsekwencje / ryzyko

Najbardziej bezpośrednim skutkiem incydentu jest zwiększone ryzyko kradzieży tożsamości, oszustw finansowych i ukierunkowanych kampanii phishingowych. Połączenie danych osobowych z informacjami kontaktowymi i wybranymi danymi administracyjnymi może umożliwić tworzenie bardzo wiarygodnych scenariuszy socjotechnicznych.

Dla samej firmy skutki są wielowarstwowe. Obejmują koszty dochodzenia, obowiązki notyfikacyjne, presję regulacyjną oraz ryzyko utraty zaufania ze strony klientów i partnerów. W sektorze zaawansowanych technologii szczególne znaczenie ma także wpływ na wymagania kontraktowe dotyczące segmentacji sieci, monitoringu bezpieczeństwa, kontroli dostępu uprzywilejowanego i odporności operacyjnej.

Istnieje również ryzyko wtórne. Dane pozyskane podczas jednego incydentu często są wykorzystywane w kolejnych kampaniach przeciwko pracownikom, kontrahentom i partnerom biznesowym. Oznacza to, że skutki naruszenia mogą rozciągać się daleko poza moment samego ataku i obejmować cały ekosystem współpracy.

Rekomendacje

Przypadek Advantest potwierdza, że ransomware należy analizować jednocześnie jako incydent dostępności, poufności i zgodności. Samo odtworzenie systemów po szyfrowaniu nie kończy procesu reagowania, jeśli istnieje choćby prawdopodobieństwo wyniesienia danych.

wzmocnienie segmentacji sieci i ograniczenie ruchu lateralnego,
wdrożenie dodatkowego monitorowania systemów przetwarzających dane osobowe,
egzekwowanie MFA dla dostępu zdalnego i kont uprzywilejowanych,
rozwój centralnego logowania i dłuższej retencji telemetryki,
regularne testowanie procedur reagowania na scenariusz podwójnego wymuszenia,
przegląd uprawnień do systemów HR, finansowych i dokumentowych zgodnie z zasadą najmniejszych uprawnień,
utrzymywanie odseparowanych i odpornych na modyfikację kopii zapasowych,
przygotowanie procesów komunikacji kryzysowej i notyfikacji jeszcze przed wystąpieniem incydentu.

Osoby, których dane mogły zostać naruszone, powinny zachować wzmożoną ostrożność wobec wiadomości phishingowych, monitorować aktywność finansową oraz reagować na wszelkie próby podszywania się lub nieautoryzowanego wykorzystania danych.

Podsumowanie

Incydent w Advantest pokazuje, że pełna skala ataku ransomware może stać się jasna dopiero po wielu tygodniach lub miesiącach analizy. Najważniejszy wniosek dla organizacji jest jednoznaczny: każdy atak ransomware należy od początku traktować jako potencjalne naruszenie danych, a strategia obrony musi obejmować nie tylko odtworzenie środowiska, lecz także wykrywanie eksfiltracji i ograniczanie skutków dla osób poszkodowanych.