cyberbezpieczeństwo

Restart przeglądarki to jedna z tych czynności, które każdy odkłada na później. Klikasz "nie teraz", zamykasz komunikat i wracasz do pracy, a łatka bezpieczeństwa czeka w kolejce kolejny dzień, czasem tydzień. Google policzył, ile to kosztuje w praktyce, i opisuje, jak sztuczna inteligencja zmienia tempo wykrywania i naprawiania błędów w przeglądarce oraz jaki mechanizm ma w końcu zdjąć z użytkownika obowiązek klikania "uruchom ponownie".

Anthropic od miesięcy testuje zdolności swoich modeli do wynajdywania luk bezpieczeństwa w kodzie. Tym razem firma sprawdziła coś innego, czy Claude Mythos Preview poradzi sobie z atakiem na matematykę stojącą za kryptografią, a nie tylko z błędami programistów wdrażających ją. Za cel posłużyły dwa zupełnie różne algorytmy, kandydat NIST na podpis cyfrowy odporny na komputery kwantowe i jeden z najdokładniej przebadanych szyfrów na świecie.

Stany Zjednoczone poszerzają katalog technologii uznawanych za potencjalne zagrożenie dla bezpieczeństwa narodowego. Federalna Komisja Łączności (FCC) postanowiła objąć nowymi ograniczeniami nie tylko sprzęt telekomunikacyjny, lecz także zaawansowane roboty i urządzenia z sektora energetycznego. To kolejny element strategii ograniczania wpływu zagranicznych producentów na infrastrukturę krytyczną i łańcuchy dostaw kluczowych technologii USA.

App Store od lat funkcjonuje w narracji Apple jako szczelny, ręcznie moderowany ekosystem, w którym każda aplikacja przechodzi przegląd przed publikacją. Ten argument wraca w każdej debacie o otwieraniu platformy na sideloading i alternatywne sklepy, forsowanej choćby przez unijny Digital Markets Act. Teraz ta narracja trafia pod ostrzał w sądzie federalnym w Kalifornii, a sprawa dotyczy nie abstrakcyjnej luki, tylko konkretnych kont i wielotysięcznych strat w kryptowalutach.

Rynek modeli AI do wyszukiwania luk w oprogramowaniu rósł w ostatnich miesiącach w tempie, za którym trudno było nadążyć. OpenAI chwaliło się wynikami swojego GPT-5.5 Cyber, Anthropic promuje Claude Mythos, Google testuje Gemini w CodeMender. Microsoft obserwował to z boku, korzystając w swoim systemie MDASH głównie z cudzych modeli. Teraz firma wchodzi do gry z własnym silnikiem i twierdzi, że w kluczowym teście branży wyprzedza rywali.

Sektor płatności internetowych zmienia w 2026 roku charakter zagrożeń. Kradzież numeru karty i podszywanie się pod ofiarę to już nie jedyny scenariusz, z którym mierzą się sprzedawcy. Coraz częściej kłopotem jest klient, świadomie albo przez pomyłkę kwestionujący opłaconą transakcję. Równolegle rośnie automatyzacja po stronie przestępców, którzy testują skradzione dane kart na masową skalę i budują syntetyczne tożsamości ze strzępków prawdziwych danych.

OpenAI potwierdziło coś, co branża cyberbezpieczeństwa podejrzewała od dawna. Model AI, testowany we własnym, odizolowanym środowisku, potrafi z niego wyjść i zaatakować realną infrastrukturę innej firmy. Hugging Face wykrył włamanie na tyle wcześnie, że zdążył zgłosić sprawę organom ścigania, zanim ktokolwiek wiedział, że sprawcą jest wewnętrzny test OpenAI. Sprawa dotyczy tego, jak firmy AI projektują testy swoich najbardziej ofensywnych możliwości.

Firmy technologiczne od lat powtarzają, że dane w chmurze są bezpieczniejsze niż lokalny dysk, bo szyfrowanie i redundancja serwerów chronią je przed utratą. Rzeczywistość bywa mniej wygodna, kiedy to sam dostawca usługi odcina użytkownika od jego własnych plików. Streamer Joshua Khane przekonał się o tym boleśnie, gdy Microsoft po włamaniu na jego 25-letnie konto zablokował je na stałe, zamiast przywrócić dostęp prawowitemu właścicielowi.

Polska wydaje rocznie miliardy złotych na systemy IT dla administracji, a mimo to wciąż nie ma ustawy, która chroniłaby te dane przed dostępem obcych służb. Raport „Cyfrowa racja stanu”, przygotowany przez Polską Sieć Ekonomii na zlecenie Związku Pracodawców Polska Chmura, zestawia konkretne liczby z opisem mechanizmów, które od lat utrwalają zależność od kilku zagranicznych dostawców. Autorzy proponują konkretne narzędzie, czyli kaskadowy Test Suwerenności.

Lipcowy Patch Tuesday miał być kolejnym, rutynowym przystankiem w cyklu kompleksowych aktualizacji Windows. Skończyło się inaczej. Microsoft opublikował kilkaset poprawek, obejmujących niemal cały katalog produktów, od jądra systemu, przez SharePoint i Exchange, po Dynamics i Defendera. Zanim administratorzy zdążyli rozplanować wdrożenie łatek, w sieci pojawił się kolejny exploit na usługę profili użytkownika, czyli LegacyHive.

Streamer Joshua Khane prowadził konto Microsoft nieprzerwanie od ćwierć wieku, z pocztą Outlook, biblioteką gier na Xboksie i plikami w OneDrive, w tym zdjęciami syna. W lipcu ktoś włamał się na to konto i zmienił dane logowania. Microsoft potwierdził, że ofiarą padł prawowity właściciel. Zamiast przywrócić dostęp, zablokował konto na stałe. Khane opisał wszystko na X. W kilkanaście godzin zebrał miliony wyświetleń i uruchomił lawinę podobnych relacji.

Apple złożyło w piątek pozew przeciwko OpenAI, oskarżając firmę i dwóch byłych pracowników o zorganizowaną kradzież tajemnic handlowych związanych z nieujawnionymi jeszcze urządzeniami. W uzupełnieniu pozwu z 13 lipca Cupertino ujawnia, że jeden z inżynierów miał dostęp do wewnętrznej sieci firmy jeszcze długo po zakończeniu zatrudnienia. Sprawa dotyczy luki w systemie logowania, którą Apple określa jako rzadką i wcześniej nieznaną.

Pakiet dnsub-scanning-tool wyglądał jak setki innych narzędzi publikowanych w rejestrze modułów Go, czyli niewielki skaner DNS i subdomen, jaki deweloperzy instalują bez wahania. Firma Socket prześledziła jego historię wstecz i trafiła na coś znacznie ważniejszego, sieć kont i repozytoriów na GitHubie, zaprojektowaną tak, aby wyglądać na aktywną i wiarygodną. Operacja, którą badacze nazwali Muck and Load, ciągnie się od stycznia i wciąż się rozrasta.

Synchronizacja czasu brzmi jak najmniej ekscytujący temat w informatyce. W praktyce trzyma w ryzach całą rozproszoną architekturę sieci przemysłowych, bankowych i telekomunikacyjnych. Problem w tym, że ten fundament da się rozstroić znacznie łatwiej niż złamać zaporę sieciową. Nie trzeba oszukiwać każdego hosta z osobna. W wielu środowiskach wystarczy zakłócić GNSS albo serwer czasu wyżej w hierarchii, aby rozsynchronizować resztę infrastruktury.

Afera wokół Anthropic pokazuje coś bardzo niewygodnego. Walka o przewagę zeszła do poziomu klienta instalowanego na komputerze programisty. Claude Code miał po cichu oznaczać część użytkowników z Chin i tych, którzy korzystali z podejrzanych bramek API. Oficjalne tłumaczenie mówi o obronie przed resellerami i kopiowaniem modeli. Problem leży gdzie indziej. Narzędzie z dostępem do plików, powłoki i repozytorium zaczęło ukrywać własne zachowanie.

Czerwcowa blokada modeli Anthropic Fable 5 i Mythos 5 wyglądała jak demonstracja siły administracji Donalda Trumpa wobec jednej z najgłośniejszych firm AI. Dwa tygodnie później Waszyngton wycofał się jednak z decyzji, przywracając eksport modeli. Sprawa nie zamknęła się na jednym „jailbreaku” i jednym piśmie z Departamentu Handlu. Stała się testem tego, kto realnie kontroluje dostęp do najpotężniejszych narzędzi AI i jak szybko rynek reaguje na polityczne zwroty.

Przeglądarki z agentem AI miały skrócić dystans między pytaniem a działaniem, czyli przeczytać stronę, kliknąć, streścić, wysłać. Ten skrót usuwa jednak część granic, na których web bazował przez lata. BioShocking, czyli technika opisana przez LayerX i nagłośniona przez Ars Technica, nie wygląda jak egzotyczna ciekawostka z laboratorium. To raczej kolejny sygnał, że cała kategoria produktów dojrzewa szybciej niż jej model bezpieczeństwa.

Wyjazd zaczyna się dziś dużo wcześniej niż odprawa i walizka pod drzwiami. Zanim człowiek dojedzie na lotnisko, wozi ze sobą połowę życia w telefonie, czyli bank, pocztę, dokumenty, zdjęcia, bilety, hasła, historię lokalizacji i dostęp do dziesiątek usług, z których korzysta każdego dnia. Smartfon stał się podręcznym centrum dowodzenia, bez którego trudno zapłacić za zakupy, odebrać kartę pokładową czy skontaktować się z rodziną. Problem w tym, że ten pakiet wygody działa również...

Odkrycia luk na poziomie sprzętu w procesorach Apple zdarzają się rzadko, a ich konsekwencje zawsze wykraczają poza standardowe procedury łatania przez nadgodziny inżynierów w Cupertino. Tym razem mamy do czynienia z błędem osadzonym bezpośrednio w architekturze krzemu. Badacze bezpieczeństwa przedstawili dowód koncepcji, który omija mechanizmy ochronne na etapie uruchamiania urządzenia. Dla branży to niemal zawał.

Scenariusz brzmi jak relikt sprzed lat. Wystarczy pendrive, skrót LNK i użytkownik, który klika plik wyglądający jak dokument. Tyle że ten schemat wcale nie umarł, tylko dorobił się paru współczesnych modyfikacji. Microsoft opisał kampanię, w której złośliwe oprogramowanie rozchodzi się przez nośniki USB, chowa prawdziwe pliki, podrzuca własne skróty i czeka na moment, gdy ofiara skopiuje adres portfela albo seed phrase.

Secure Boot przez lata działał w tle i mało kto zaprzątał sobie nim głowę, dopóki system startował bez komunikatów i czarnego ekranu. Teraz ten spokój się kończy. Microsoft wymienia certyfikaty UEFI używane od 2011 roku, a sprawa dotyczy nie tylko Windows 10 i 11, ale też Linuksa, firmware płyt głównych, nośników recovery i firmowych obrazów PXE. Takie historie później wracają rykoszetem do użytkownika, gdy komputer działa, lecz słabiej chroni się przed atakami.

Gdy zapory sieciowe i bramy VPN trafiają na pierwsze strony serwisów technologicznych zwykle oznacza to problemy z bezpieczeństwem. Najczęściej powtarza się ten sam schemat: stary błąd, nieaktualna konfiguracja, słabe hasła albo panel zarządzania wystawiony do internetu. FortiBleed wpisuje się w ten obraz wyjątkowo dobrze. Tym razem chodzi o ogromny zbiór danych, który według badaczy ujawnia loginy do dziesiątek tysięcy urządzeń Fortinet na całym świecie.

Przy wielkich imprezach sportowych zwykle mówi się o opóźnieniach transmisji, geoblokadach i sporach o prawa medialne. Tym razem sprawa zeszła kilka poziomów niżej, do warstwy, której widz zwykle nie widzi i nie powinien widzieć. Badacz bezpieczeństwa opisał lukę, przez którą można było wejść do wewnętrznych platform FIFA obsługujących mundial 2026, a następnie uzyskać dostęp do narzędzi związanych z transmisją i danymi meczowymi.

Polskie wojsko od dawna wie, że specjalistów od cyberbezpieczeństwa nie wygra prostą licytacją z bankami, telekomami czy dużymi integratorami. Dlatego Cyber Legion nie chce wyciągać ludzi z rynku, lecz przydzielić im zadania wtedy, gdy ich kompetencje są potrzebne. Pomysł nie jest widowiskowy, ale liczby pokazują, że trafia w realne potrzeby branży. Pensja przestała być jedynym motywatorem, a wojsko może oferować doświadczenia, których nie ma w korporacji.

AI przestała w firmach być gadżetem dla kilku entuzjastów. Weszła do codziennej pracy szybciej niż regulaminy, szkolenia i zdrowy rozsądek. Najnowszy raport Cyberportret polskiego biznesu 2026 pokazuje, że polskie organizacje nie mają już problemu z samą adopcją narzędzi. Pęknięcie widać gdzie indziej, a mianowicie w braku kontroli nad tym, kto z czego korzysta, jakie dane wrzuca do modeli i czy rozumie, co może z tym zrobić publiczny LLM.

Wokół Oracle PeopleSoft i PeopleTools zrobiło się głośno z bardzo niepokojącego powodu. Tym razem stawką jest luka zero-day w systemie ERP obsługującym kadry, finanse i procesy uczelniane. Naruszenie zabezpieczeń takiego pakietu niesie znacznie poważniejsze konsekwencje niż typowy incydent webowy, ponieważ napastnik uzyskuje dostęp do kluczowych systemów organizacji oraz przechowywanych w nich danych.

Anthropic od miesięcy budował wokół Mythos atmosferę modelu zbyt mocnego, aby wrzucić go do sieci i udostępnić bez dodatkowych hamulców. Teraz firma pokazała Claude Fable 5, czyli publiczną odmianę tej samej konstrukcji, i Claude Mythos 5 dla ograniczonej grupy partnerów. Chodzi o coś bardzo ciekawego, gdyż gdzie dziś kończy się użyteczny model dla klienta, to zaczyna narzędzie, którego producent boi się oddać bez nadzoru.

Firmy od miesięcy wciskają AI tam, gdzie wcześniej działały żmudne, ale przewidywalne procedury. Obsługa klienta wydawała się łatwym celem, gdyż jest tam mniej ludzi i są szybsze odpowiedzi. Problem zaczyna się wtedy, gdy chatbot przestaje być tylko gadającym FAQ i dostaje realne uprawnienia do zmian na koncie. Właśnie na tym wykoleiła się Meta. Sprawa dotyczy Instagrama, ale jej waga jest poważniejsza, bo pokazuje, jak łatwo pomylić automatyzację z bezpieczeństwem.

Polska administracja od lat sprzedaje cyfryzację jako historię o wygodzie. Mniej kolejek, więcej spraw załatwianych z domu, podpis elektroniczny zamiast papieru. Opisana właśnie luka nie siedziała w jakimś zapomnianym formularzu, ale w mechanizmie używanym przy logowaniu do usług, przez które przewijają się dane z ZUS, sądów i ochrony zdrowia. Cały ten porządek potrafi rozsypać się przez jedną bibliotekę i jeden źle zinterpretowany wynik walidacji.

Cyberbezpieczeństwo od dawna przestało być tematem dla wąskiej grupy administratorów i analityków. Gdy państwo przenosi kolejne usługi do sieci, a samorządy, firmy i zwykli użytkownicy regularnie wpadają pod ostrzał phishingu, ransomware i kampanii sabotażowych, sama dobra wola już nie wystarcza. NASK właśnie dostał pozwolenie na budowę Centrum Cyberbezpieczeństwa w Warszawie i finansowanie w postaci 310 milionów złotych.

Przeglądarki bazujące na Chromium od lat wygrywają wygodą i zgodnością ze współczesnym webem. Tym razem właśnie ten ekosystem stał się problemem. Google przypadkowo opublikowało kod exploita dla luki zgłoszonej jeszcze pod koniec 2022 roku, choć poprawki nadal brak. Nie chodzi przy tym o egzotyczny moduł dla deweloperów, ale o mechanizm zdolny utrzymywać transfer danych nawet po zamknięciu karty przeglądarki.

Najgroźniejsze incydenty nie zawsze zaczynają się od zewnętrznego włamania. Czasem wystarczy kilka minut zwłoki, źle rozpisany proces odejścia z pracy i konto, które nadal działa tam, gdzie nie powinno. Właśnie tak wygląda sprawa OPEXUS, wykonawcy obsługującego systemy używane przez amerykańskie agencje federalne. Na papierze to kolejny kryminał z branży IT. W praktyce to bardzo trzeźwa lekcja o uprawnieniach, logach i złudnym poczuciu kontroli.

Czasem najgroźniejszy problem siedzi nie w samym systemie, lecz zupełnie obok niego, czyli w cichym module, który ma ratować administratora, gdy wszystko inne zawiedzie. Właśnie dlatego najnowszy komunikat cyberbezpieczeństwa dotyczący rozwiązań Cisco wybrzmiał mocniej niż typowe firmowe ostrzeżenie. Tym razem sprawa wyszła poza biuletyn producenta i trafiła aż na poziom państwowej rekomendacji. Nie można jej lekceważyć.

Przez lata branża przywykła, że najgroźniejsze błędy w przeglądarkach internetowych wypływają pojedynczo, po długim grzebaniu w kodzie albo w ramach bug bounty. Tym razem skala robi piorunujące wrażenie z zupełnie innego powodu. Mozilla pokazała, jak może wyglądać masowy przegląd starego, trudnego do ogarnięcia kodu, gdy do pracy wchodzi wyspecjalizowany model sztucznej inteligencji i nie kończy pracy zaraz po pierwszym znalezisku.

PDF od lat uchodzi za format niegroźny, przewidywalny i biurowo bezpieczny. Właśnie dlatego tak często działa jak skuteczna przynęta. Uśpiona czujność użytkownika bywa tu największym sprzymierzeńcem atakujących. Najnowsza sprawa związana z Adobe Acrobat Reader pokazuje, że rutynowe kliknięcie w załącznik wciąż potrafi otworzyć napastnikom drzwi szerzej, niż wielu chciałoby przyznać. Tym razem nie mówimy jednak o luce, którą zdążono już wykorzystać w praktyce.

Państwo zwykle orientuje się za późno, że prywatne aplikacje zaczęły w administracji pełnić rolę infrastruktury. Tym razem próbuje wykonać ruch wyprzedzający. mSzyfr, nowy komunikator przygotowany przez Ministerstwo Cyfryzacji i NASK, wszedł właśnie w fazę testów. Na pierwszy rzut oka to kolejna aplikacja do rozmów. W praktyce chodzi jednak o coś znacznie ważn iejszego, czyli: jurysdykcję, serwery i realną kontrolę nad służbową komunikacją.