Twórcy zabezpieczeń sami padli ofiarą hakerów. Jak atak na Trivy wywołał efekt domina

Kiedy firmy odpowiedzialne za ochronę naszych danych same stają się celem skutecznego ataku, w całej branży zapala się czerwona lampka.

Groźny atak na łańcuch dostaw skompromitował popularne narzędzia dla programistów, uderzając rykoszetem w gigantów cyberbezpieczeństwa – firmy Checkmarx oraz Bitwarden. To dobitny dowód na to, że przestępcy znaleźli nowy, niezwykle skuteczny wektor ataku: infekowanie samych strażników.

Atak na łańcuch dostaw. Złośliwa aktualizacja Bitwarden CLI zagrażała deweloperom

Efekt domina. Jak złośliwy kod zainfekował gigantów

Wszystko zaczęło się w połowie marca od przejęcia konta na GitHubie należącego do Trivy – szeroko wykorzystywanego skanera podatności w kodzie. Hakerzy z grupy TeamPCP wykorzystali ten dostęp, by przemycić złośliwe oprogramowanie bezpośrednio do aktualizacji pobieranych przez użytkowników narzędzia. Malware błyskawicznie zaczął przeczesywać zainfekowane maszyny w poszukiwaniu tokenów dostępu, kluczy SSH i poufnych danych uwierzytelniających.

W ten sposób przestępcy bezszelestnie włamali się do systemów firm Checkmarx oraz Bitwarden (o ataku na ten popularny menedżer haseł pisaliśmy już wcześniej). Zamiast atakować korporacje frontalnie, hakerzy weszli głównymi drzwiami, wykorzystując zaufane oprogramowanie firm trzecich.

Podwójny koszmar Checkmarx. Od kradzieży danych po szantaż

Dla firmy Checkmarx był to zaledwie początek trwającego ponad miesiąc kryzysu. Krótko po pierwszej infekcji, napastnicy przejęli oficjalne konto firmy na GitHubie i zaczęli rozsyłać złośliwy kod dalej – prosto do jej klientów. Choć Checkmarx poinformowało o szybkim załataniu luki, 22 kwietnia sytuacja się powtórzyła, co sugeruje, że intruzi nigdy nie utracili dostępu do infrastruktury.

Jakby tego było mało, do gry wkroczyła niesławna grupa ransomware Lapsu$, która pod koniec kwietnia opublikowała w dark webie prywatne pliki wykradzione z serwerów Checkmarx. Wskazuje to na brutalną rynkową praktykę: grupa TeamPCP najpewniej sprzedała dostęp do przejętej sieci młodym hakerom z Lapsu$, a firma przez tygodnie nie potrafiła zidentyfikować pełnej skali włamania.

Dlaczego hakerzy polują na narzędzia bezpieczeństwa?

Ten incydent obnaża nową strategię cyberprzestępców. Oprogramowanie zabezpieczające jest dziś traktowane przez hakerów jednocześnie jako główny cel i idealny mechanizm dystrybucji wirusów.

Tego typu programy mają z założenia głęboki, uprzywilejowany dostęp do najbardziej wrażliwych danych w systemach korporacyjnych. Atakując zaufane narzędzia, hakerzy jednym celnym ciosem otwierają sobie drzwi do tysięcy kolejnych ofiar w dół łańcucha dostaw. To efekt kaskadowy, który pokazuje, że w dzisiejszym świecie IT nikt nie jest w pełni bezpieczny – nawet ci, którzy ten świat chronią.

“Ssijcie ruskiego k…” czyli partia Mentzena zhackowana po raz 3

Po raz trzeci dane członków oraz nieletnich sympatyków partii Mentzena zostały wykradzione i upublicznione w sieci. Tym razem włamywacz opublikował 500 rekordów zawierających:

imię i nazwisko
PESEL
adres zamieszkania
numery telefonów

Wyciekły też dane osób oznaczonych jako “nieaktywne” ponieważ wciąż znajdowały się w bazie danych. Dodatkowo upubliczniona paczka zawiera treści SMS-ów, e-maili i dokumentów.

To nie pierwszy hack partii Mentzena
Przypomnijmy, że pierwszy z ataków zakończony wyciekiem danych Nowej Nadziei miał miejsce 16 marca 2025, a drugi 4 sierpnia 2025. Partia Mentzena do dziś nie odpowiedziała nam na pytania w sprawie ataków. Można też przypuszczać, że niewiele też poczyniono aby lepiej zabezpieczyć dostęp do danych.
Nie zdziwilibyśmy się, gdyby przyszło nam jeszcze w tym roku, po raz czwarty, opisywać kolejny incydent związany z tą partią…

Aktualizacja (20.04.2026 10:33)
Rzecznik prasowy Nowej Nadziei na Twitterze poinformował, że “sprawa dotyczy starego, nieaktualnego systemu, dotyczy sekcji młodzieżowej w jednym regionie w Polsce (Białystok)”.
Jak uchronić się przed takimi atakami?
Jeśli chcesz zabezpieczyć się przed atakami na swoje serwery i webaplikacje, zapraszamy na nasze bestsellerowe szkolenie, a raczej 3 dniowe, pełne praktyki warsztaty, które nauczą Cię jak samodzielnie wykonywać testy penetracyjne. Dzięki niemu wykryjesz dziury w swojej infrastrukturze zanim ktoś zrobi to za Ciebie i opublikuje w internecie dane Twoich klientów lub użytkowników — oto najbliższe terminy:

Kraków: 13-15 maja 2026r. — zostało 5 wolnych miejsc
Ostatnio ktoś zarejestrował się 10 kwietnia 2026r. → zarejestruj się na to szkolenie

[...]

#Hacked! #Niepełnoletnie #NowaNadzieja #SławomirMentzen #WyciekDanych

https://niebezpiecznik.pl/post/mentzen-zhackowany-nowa-nadzieja-wlamanie/

Tajne kody dostępu do baz w USA wyciekły do sieci. Ktoś uczył się ich z… publicznych fiszek

Stany Zjednoczone wydają miliardy dolarów na ochronę swoich granic i zaawansowane systemy cyberbezpieczeństwa. Okazuje się jednak, że cały ten wysiłek można zniweczyć za pomocą popularnej aplikacji dla uczniów i studentów.

Tajne kody do placówek służb granicznych wyciekły, bo ktoś postanowił wkuwać je na pamięć za pomocą publicznych fiszek w serwisie Quizlet.

Serwis Quizlet to popularna platforma edukacyjna, z której na co dzień korzystają miliony uczniów przygotowujących się do sprawdzianów z historii czy słówek z języka angielskiego. Ktoś jednak uznał, że to również doskonałe narzędzie do nauki wewnętrznych procedur amerykańskiego Urzędu Celnego i Ochrony Granic (U.S. Customs and Border Protection).

Jak ujawnił serwis WIRED, w lutym na platformie pojawił się publiczny zestaw fiszek zatytułowany „USBP Review”. Zawierał on wysoce poufne informacje dotyczące bezpieczeństwa placówek CBP w okolicach Kingsville w Teksasie. Zestaw był w pełni publiczny aż do 20 marca – zniknął ledwie pół godziny po tym, jak dziennikarze WIRED skontaktowali się z numerem telefonu powiązanym z kontem twórcy.

Czego można było się dowiedzieć z cyfrowych karteczek? Na przykład na fiszce z pytaniem „Kod do drzwi punktu kontrolnego?” na odwrocie znajdowała się dokładna, czterocyfrowa kombinacja. W ten sam sposób rozpisano kody do konkretnych bram oraz wież strażniczych. Inne fiszki zawierały szczegółowe opisy wewnętrznych systemów, takich jak „E3 BEST”, służącego do sprawdzania osób i pojazdów w bazach danych organów ścigania.

Rzecznik CBP potwierdził jedynie, że incydent jest obecnie badany przez Biuro Odpowiedzialności Zawodowej. Cała sprawa zbiega się w czasie ze znacznym wzrostem zatrudnienia w amerykańskich służbach granicznych – agencja kusi nowych rekrutów premiami sięgającymi 60 tysięcy dolarów. Jak widać, szybkie tempo rekrutacji może wiązać się z pewnymi brakami w podstawowym szkoleniu z zakresu bezpieczeństwa informacji. Nauka to potęgi klucz, ale czasami lepiej trzymać swoje notatki pod kluczem.

Nowy cyberatak uderza w open source. Malware rozprzestrzenia się sam i niszczy wybrane systemy

Tryb incognito to „ściema”. Wyszukiwarka Perplexity potajemnie wysyłała intymne pytania do Google i Mety

Sztuczna inteligencja miała być naszym prywatnym asystentem, a stała się idealnym narzędziem inwigilacji.

Złożony właśnie pozew zbiorowy obnaża mroczną stronę wyszukiwarki Perplexity AI. Twórcy narzędzia, wbrew obietnicom, mieli karmić gigantów reklamowych najbardziej wrażliwymi danymi użytkowników – nawet wtedy, gdy ci korzystali z rzekomo bezpiecznego trybu incognito.

Kiedy mamy problem medyczny, finansowy lub prawny, coraz częściej pytamy o to czatboty, zamiast szukać informacji na forach. Wyszukiwarka Perplexity wręcz zachęca do pogłębiania tematów w formie długich konwersacji. Użytkownicy, wierząc w obietnicę prywatności, dzielili się z maszyną informacjami o wynikach biopsji czy planach podatkowych. Jak ujawnia najnowszy pozew sądowy złożony w USA – robili to na własne ryzyko.

Według oskarżycieli, tryb incognito w Perplexity był zwykłą „ściemą”. Pod maską minimalistycznego interfejsu rzekomo zaszyto skrypty śledzące (m.in. Facebook Meta Pixel oraz Google Ads). Mechanizm działał bezlitośnie: całe transkrypty zapytań (wraz z adresami e-mail i danymi pozwalającymi na identyfikację) trafiały prosto na serwery Mety i Google. Z technicznego punktu widzenia, skrypty te traktowały nasze rozmowy z AI jak każdą inną stronę internetową do sprofilowania.

Sprawa jest o tyle bulwersująca, że Perplexity z pełną premedytacją miało nie informować o tym w swojej polityce prywatności, skrzętnie ukrywając fakt współpracy z brokerami danych. Jeśli pozew zakończy się po myśli oskarżycieli, firmę mogą czekać astronomiczne kary (do 5000 dolarów za jedno naruszenie), ale przede wszystkim – potężny kryzys zaufania. W świecie sztucznej inteligencji, jeśli nie płacisz za produkt, to znaczy, że Twoje najskrytsze myśli są towarem.

Perplexity Computer łączy siły Opus, Gemini oraz ChatGPT

Szwajcarski ser zamiast szyfrowania. Jak komunikator TeleGuard naraził ponad milion użytkowników

Miał być twierdzą nie do zdobycia, opartą na legendarnym „szwajcarskim bezpieczeństwie”. Komunikator TeleGuard pobrano ponad milion razy, bo obiecywał pełną anonimowość i szyfrowanie end-to-end.

Dziennikarskie śledztwo serwisu 404 Media oraz eksperci od cyberbezpieczeństwa właśnie obnażyli prawdę: aplikacja jest tak dziurawa, że równie dobrze moglibyście wysyłać swoje sekrety na pocztówkach.

W świecie komunikatorów internetowych panuje zasada Dzikiego Zachodu – każdy może obiecać wszystko. TeleGuard, aplikacja stworzona przez szwajcarską firmę Swisscows, kusiła użytkowników hasłami: „Brak gromadzenia danych. Silnie szyfrowane. Szwajcarska produkcja”. Brzmi jak idealna alternatywa dla tych, którzy nie ufają gigantom technologicznym. Problem w tym, że pod maską tego marketingowego przekazu kryje się technologiczna katastrofa.

Kryptograficzny koszmarek zamiast tarczy

Aby zrozumieć, jak bardzo twórcy TeleGuard zepsuli sprawę, musimy na chwilę zajrzeć w technikalia. W prawidłowo wdrożonym, bezpiecznym szyfrowaniu typu end-to-end (E2EE), klucz prywatny służący do odczytywania wiadomości nigdy nie opuszcza Twojego telefonu. Serwer firmy jest tylko „listonoszem”, który przenosi zamkniętą kopertę, ale nie ma do niej klucza i nie jest w stanie odczytać treści wiadomości.

Jak ujawnili badacze w rozmowie z Josephem Coxem z 404 Media, TeleGuard… po prostu wysyła Twój klucz prywatny na swoje serwery podczas rejestracji. Ale czekajcie, dopiero się rozgrzewamy.

Firma mogłaby się bronić, że przesyła klucz w formie zaszyfrowanej, ale badacze odkryli, że aplikacja dołącza do niego wszystko, co jest potrzebne do jego odszyfrowania. W profesjonalnej kryptografii stosuje się dwa kluczowe mechanizmy obronne: unikalne wartości jednorazowe (działające jak kody SMS z banku, tzw. nonce; skrót od number used once) oraz tzw. sól. Ta kulinarna nazwa nie jest przypadkowa! Sól to porcja losowych danych dorzucana do Twojego klucza przed zaszyfrowaniem. Działa jak unikalna przyprawa – sprawia, że nawet jeśli dwie osoby mają identyczne hasło, po „posoleniu” i zakodowaniu algorytm „wypluwa” zupełnie inne ciągi znaków, przez co hakerzy nie mogą używać gotowych ściąg do ich łamania.

Prawidłowa sól i wartości jednorazowe muszą być generowane losowo dla każdej nowej sesji. Twórcy TeleGuarda zrobili coś absurdalnego: zakodowali je na stałe. Mówiąc obrazowo: to tak, jakby producent zamontował w milionie sejfów potężne zamki szyfrowe, po czym w każdym z nich zostawił ten sam, fabryczny PIN wpisany na sztywno. Nic dziwnego, że Dan Guido, szef renomowanej firmy cyberbezpieczeństwa Trail of Bits, podsumował to krótko: szyfrowanie w tej aplikacji jest całkowicie bezcelowe.

Twój klucz dla każdego

Złe wdrożenie kryptografii to jedno, ale TeleGuard poszedł o krok dalej. Badacze odkryli, że aby uzyskać czyjś klucz prywatny, wystarczyło wpisać w publicznym API aplikacji (interfejsie programistycznym) jego numer ID (sic!).

Ponieważ wielu użytkowników chwaliło się swoim ID w sieci, by inni mogli ich znaleźć, otwierali tym samym furtkę każdemu domorosłemu hakerowi do odczytania ich korespondencji. Ponadto same metadane – informacja o tym, kto, kiedy i z kim pisze – krążyły po sieci w formie otwartego tekstu!

Iluzja, która ma realne konsekwencje

To nie jest tylko akademicki problem programistów. Teoretycznie nieprzeniknione komunikatory to często jedyne bezpieczne okno na świat dla osób represjonowanych – np. dziennikarzy śledczych, sygnalistów i aktywistów funkcjonujących w państwach autorytarnych. Dla nich wyciek korespondencji to nierzadko wyrok. I to ten najwyższy, kosztujący dziennikarza czy sygnalistę życie.

Z drugiej strony, obietnice absolutnej anonimowości TeleGuarda przyciągnęły też przestępców, których złudne poczucie bezpieczeństwa doprowadziło ostatecznie w ręce organów ścigania. Jak donoszą amerykańskie media, FBI namierzyło jednego z nich z dziecinną łatwością, m.in. przez przechwycenie powiadomień push z aplikacji.

Cała sprawa wygląda szczególnie blado, gdy przypomnimy sobie niedawne starcie rządu Wielkiej Brytanii z Apple. Gdy Brytyjczycy próbowali wymusić na gigancie z Cupertino stworzenie backdoora w iMessage (pod pretekstem walki z przestępczością w ustawie Online Safety Bill), Apple postawiło twarde weto, grożąc całkowitym wycofaniem swoich usług komunikacyjnych z Wysp, byle tylko nie osłabić szyfrowania – i ostatecznie brytyjski rząd (pod naporem amerykańskiej administracji, ale i głosów własnych obywateli, wyborców i użytkowników Apple) się ugiął.

Wielka Brytania chciała tylnej furtki do iCloud. USA grozi zerwaniem umów

Celowy sabotaż czy historyczna niekompetencja?

Tymczasem „szwajcarska” alternatywa, która miała być ostoją prywatności, w praktyce okazała się drzwiami otwartymi na oścież. Chciałbym, żebyśmy się dobrze zrozumieli. Tak szkolne, wręcz absurdalne luki w oprogramowaniu zawierającym jakiekolwiek funkcje kryptograficzne rodzą w branży naturalne pytania: czy to tylko skrajna, niewybaczalna niekompetencja szwajcarskich programistów, czy może celowo zostawiony backdoor na prośbę służb, które dostały idealne narzędzie do inwigilacji? Choć na to drugie nie ma twardych dowodów, sytuacja rodzi mocne podejrzenia.

Dlaczego podejrzenia? Z punktu widzenia programisty, żeby zepsuć sól i unikalne wartości jednorazowe, trzeba się wręcz… postarać. Większość współczesnych, gotowych bibliotek kryptograficznych, czyli klocków, z których budujemy aplikacje zawierające funkcje kryptograficzne, domyślnie generuje te wartości losowo. Żeby wpisać je w kodzie „na sztywno”, deweloper musiał celowo zignorować standardową procedurę, nadpisać funkcje losujące i wklepać tam stały ciąg znaków. To nie jest błąd typu „oops, zapomniałem średnika”. To jest architektura zaplanowana tak, żeby nie działała.

Nawet zyskujący na popularności tzw. vibe coding (pisanie programów na szybko z pomocą sztucznej inteligencji) wyplułby tu bezpieczniejszy kod, bo każdy model AI z automatu wrzuciłby w to miejsce funkcję generującą losowość.

Wiem o czym myślicie, sam też sobie zadaję to pytanie. Czy to celowo zostawiony backdoor dla służb? Historia uczy nas zresztą, że w tej branży „szwajcarska neutralność i prywatność” potrafi być doskonałą przykrywką. Wystarczy przypomnieć słynną aferę z firmą Crypto AG (poszukajcie sobie hasła Operacja Rubicon) – szwajcarskim producentem maszyn szyfrujących, który przez dekady sprzedawał sprzęt rządom na całym świecie, podczas gdy w rzeczywistości firma była potajemnie własnością CIA i zachodnioniemieckiego BND, którzy czytali wszystko jak leci. Chyba jednak w przypadku TeleGuarda nie ma się co doszukiwać aż tak głębokiego „spisku”. Ta aplikacja zrobiona jest po prostu zbyt głupio.

Tego problemu nie da się załatać

Firma Swisscows do dziś nie odniosła się do zarzutów. Według badaczy luki nadal nie zostały załatane, a użytkownicy nie otrzymali żadnego ostrzeżenia. Jeśli więc masz TeleGuard na swoim telefonie, najrozsądniejszym krokiem jest natychmiastowe usunięcie konta i odinstalowanie programu. Zresztą, co tu łatać, jak sama architektura i fundamenty kryptograficzne tej aplikacji są z gruntu wadliwe.

Sprawa TeleGuard to lekcja dla nas wszystkich. W cyfrowym świecie słowa „military-grade encryption” czy flagi europejskich państw z rygorystycznym prawem prywatności same w sobie nie dają żadnej gwarancji. Największe zaufanie ekspertów budzą dziś te rozwiązania, których kod źródłowy jest otwarty (open-source) i regularnie sprawdzany przez niezależnych audytorów. Jeśli zależy Wam na prawdziwym bezpieczeństwie, zostawcie marketingowe obietnice i postawcie na sprawdzone narzędzia pokroju Signala.

Cloudflare na wojnie z włoskim rządem. Gigantyczna kara za odmowę cenzury

Firma Cloudflare oficjalnie odwołała się od wielomilionowej kary nałożonej przez włoskiego regulatora rynku komunikacyjnego (AGCOM).

Spór dotyczy kontrowersyjnych przepisów „Piracy Shield”, które zdaniem amerykańskiego giganta stanowią bezpośrednie zagrożenie dla fundamentalnej architektury internetu i wymuszają globalną cenzurę w imię walki z nielegalnymi transmisjami sportowymi.

Włoski system „Piracy Shield” został zaprojektowany w celu błyskawicznego odcinania dostępu do pirackich streamów. Prawo to wymaga od operatorów sieciowych i dostawców usług natychmiastowego blokowania wskazanych domen oraz adresów IP w czasie nieprzekraczającym 30 minut od otrzymania zgłoszenia od właścicieli praw autorskich.

Za odmowę wdrożenia tego radykalnego mechanizmu na swoim globalnym i popularnym serwerze DNS (1.1.1.1), włoski urząd nałożył w styczniu 2026 roku na Cloudflare karę w wysokości aż 14,2 miliona euro.

Algorytm bez nadzoru i potężne rykoszety

Cloudflare nie przebiera w słowach, nazywając włoski system niekontrolowaną „czarną skrzynką”. Według przedstawicieli firmy mechanizm ten nie posiada żadnego nadzoru sądowego, nie zapewnia elementarnej przejrzystości ani nie oferuje ścieżki odwoławczej w przypadku błędnego zablokowania legalnych treści. Zespół prawny korporacji punktuje kilka kluczowych absurdów tej sytuacji:

• Zawyżona kara: grzywna powinna wynieść maksymalnie 140 tysięcy euro (stanowiąc 2 procent włoskich dochodów firmy). AGCOM obliczył ją jednak na podstawie globalnego przychodu korporacji, zawyżając prawny limit niemal stukrotnie.
• Globalna cenzura: dyrektor generalny Cloudflare, Matthew Prince, stanowczo argumentuje, że nałożenie filtra na globalny resolver DNS 1.1.1.1 zmusiłoby firmę do cenzurowania zapytań nie tylko we Włoszech, ale na całym świecie.
• Zjawisko nadmiernego blokowania: obawy o precyzję systemu są w pełni uzasadnione. W październiku 2024 roku tarcza błędnie odcięła Włochom dostęp do usługi Google Drive, a niezależne badania przeprowadzone przez holenderski Uniwersytet Twente potwierdziły setki przypadków zablokowania dostępu do całkowicie legalnych witryn.

Wsparcie ze strony Unii Europejskiej

Cloudflare nie jest w swojej walce osamotnione. Podobne obiekcje zgłaszają również włoscy dostawcy usług internetowych (ISP), którzy ostrzegają, że nielimitowane filtrowanie generuje straty poboczne znacznie przewyższające społeczne korzyści z walki z piractwem.

Amerykańska korporacja upatruje szansy na wygraną w unijnych przepisach, argumentując, że włoska ustawa jest rażąco niezgodna z europejskim aktem o usługach cyfrowych (DSA), który wymaga zachowania ścisłych gwarancji proceduralnych. Komisja Europejska podzieliła już część tych obaw, krytykując w zeszłorocznym liście brak odpowiedniego nadzoru nad systemem. Jeśli trwająca batalia przed Regionalnym Sądem Administracyjnym w Rzymie zakończy się porażką Cloudflare, firma grozi radykalnym krokiem – całkowitym wycofaniem swoich serwerów i części usług z terytorium Włoch.

Cloudflare wprowadza „AI Labyrinth” – pułapkę na boty gromadzące dane dla AI

ZombieAgent atakuje ChatGPT – kolejna luka w systemie AI ujawniona

Czy można naprawić sztuczną inteligencję, która z natury chce każdemu dogodzić? Nowy atak na ChatGPT pokazuje, że kiedy stawiamy wyższą barierkę, ktoś po prostu znajduje dłuższą drabinę.

Czytaj dalej:
https://pressmind.org/zombieagent-atakuje-chatgpt-kolejna-luka-w-systemie-ai-ujawniona/

#PressMindLabs #chatgpt #deepresearch #radware #shadowleak #wyciekdanych

Anna’s Archive kontra Spotify. 300 TB „muzycznej Arki Noego” czy największy akt cyfrowego piractwa? Raczej po prostu chaos

W mediach (głównie technologicznych) niesie się informacja o „ataku na Spotify”. Padają różne hasła, od wieszczenia upadku szwedzkiego giganta po apologetyczne zachwyty nad hakerami „uwalniającymi muzykę”. A jaka jest prawda? Ta zwykle leży pośrodku.

Przyjrzyjmy się faktom. Grupa internetowych aktywistów (znana pod nazwą Anna’s Archive), kojarzona dotąd z „uwalniania” książek i prac naukowych, wzięła na celownik giganta streamingu. Anna’s Archive ogłosiło, że weszło w posiadanie niemal całej biblioteki Spotify. Serwis potwierdza „nikczemny atak”, ale czy faktycznie mamy do czynienia z archiwizacją muzycznego dziedzictwa ludzkości, czy po prostu z hurtową kradzieżą (prawnicy powiedzieli by „nieautoryzowanym pozyskaniem danych”) plików gorszej jakości i chaotycznym scrapingiem na dużą skalę?

Sprawa wybuchła w weekend, gdy grupa Anna’s Archive opublikowała oświadczenie o „stworzeniu kopii zapasowej Spotify”. Według ich deklaracji, udało im się zgrać (zeskrapować) 300 TB danych. Zbiór ma obejmować kompletną bazę metadanych oraz 86 milionów plików audio, co według hakerów stanowi 99,6% wszystkich odtworzeń w serwisie. Tyle, że tu już zapaliła mi się czerwona lampka. Po pierwsze 300 TB, choć wydaje się dużym zbiorem (nawet bardzo) to za mało na globalne zasoby Spotify, po drugie 99,6% odtworzeń to nie to samo co 99,6% danych (plików, utworów muzycznych, etc., wiecie o co chodzi, wrócę do tego jeszcze). Zatem rodzi się zasadne pytanie…

Co faktycznie wyciekło?

Na ten moment w sieci (poprzez torrenty) udostępniono metadane. To gigantyczna baza SQL zawierająca informacje o 256 milionach utworów – tytuły, autorów, kody ISRC, okładki itp. Pliki muzyczne (audio) na razie nie zostały upublicznione. Grupa zapowiada, że będzie je udostępniać stopniowo, zaczynając od najpopularniejszych, aby stworzyć „niezależną kopię zapasową muzyki”. Tyle że ta narracja jest fałszem, niezależnie od chęci grupy aktywistów. Po prostu jeżeli cokolwiek chcieli zarchiwizować, niezależnie od motywacji, to zdecydowanie źle się za to zabrali (zaraz to wyjaśnię).

Spotify zareagowało ostro. W oświadczeniu dla Billboard firma przyznała, że wykryła i zablokowała konta prowadzące „nieautoryzowany scraping”. Gigant wdrożył nowe zabezpieczenia, ale przyznaje, że incydent miał miejsce (czyt.: mleko się rozlało).

Spotify nareszcie z audio wysokiej jakości, ale ludzie jakoś nie skaczą z radości

Ideologia a technologia

Wróćmy jednak do tego, co faktycznie zrobili ludzie z Anna’s Archive. Grupa ta buduje wokół tego ataku narrację misyjną. Twierdzą, że streaming jest nietrwały (niekoniecznie), licencje wygasają (prawda), a utwory znikają bezpowrotnie na zawsze (nieprawda; mamy przecież instytucję domeny publicznej).

Ich „zrzut” ma być tzw. ratunkiem dla kultury. Technicznie jednak sprawa jest bardziej skomplikowana. Nawet jeśli pobrali 86 milionów plików, nie są to studyjne oryginały (mastery), lecz pliki skompresowane (najczęściej Ogg Vorbis lub AAC), przeznaczone do streamingu. Mówimy więc o kopii stratnej, a nie o cyfrowym oryginale.

Co więcej, hasło „99,6% odtworzeń” to sprytny zabieg marketingowy – oznacza, że pobrano to, co popularne (mainstream). Największą wartością archiwalną jest zazwyczaj tzw. długi ogon – niszowe, lokalne i zapomniane utwory, a te najtrudniej zeskrapować masowo. Efekt? To żadne archiwum, pozwólcie, że wyjaśnię.

Kiedy „archiwum” przestaje być archiwum

Warto oddzielić fakty od wzniosłej narracji, którą budują autorzy ataku. Aby mówić o realnej archiwizacji muzycznego dziedzictwa, a nie o największym „zrzucie” pirackim w historii, musiałoby zostać spełnionych kilka warunków, których tu brakuje:

• Jakość archiwalna: pliki ze streamingu to formaty stratne. Prawdziwa archiwizacja wymaga plików bezstratnych lub masterów. To, co pobrało Anna’s Archive, to kopia użytkowa, a nie cyfrowe dziedzictwo.
• Transparentność źródła: archiwum musi jasno wskazywać pochodzenie plików. Tu mamy do czynienia z masowym scrapingiem, czyli de facto nagrywaniem strumienia.
• Poszanowanie praw: nawet najszlachetniejsza intencja „ochrony kultury” nie zmienia faktu, że prawa do utworów należą do twórców. Archiwum, które ignoruje ten aspekt i udostępnia wszystko publicznie (torrenty), staje się serwisem pirackim, podważającym ekonomiczne podstawy bytu artystów.
• Weryfikacja: deklaracja o pobraniu „niemal całego Spotify” wymaga zewnętrznego audytu. Bez niego pozostaje jedynie internetową legendą, ale już prosta matematyka wyklucza by wspomniane 300 TB wystarczyło na faktyczne zasoby szwedzkiego potentata streamingu.

W każdym razie dopóki powyższe warunki nie są spełnione, mamy do czynienia z może i imponującym technologicznie (czy może raczej – zasięgowo), ale prawnie i etycznie wątpliwym atakiem na infrastrukturę serwisu, a nie z budową „muzycznej Arki Noego”. Innymi słowy to nie jest żaden spór o przyszłość muzyki, lecz o to, czy chaos i piractwo można dziś sprzedać jako troskę o kulturę. Moim zdaniem nie, i to nawet przy najszczerszych chęciach (czego nigdy nie możemy być pewni) tych troszczących się…

Masz wyciek danych? Rząd uruchamia cyber.gov.pl – centrum dowodzenia Twoim bezpieczeństwem w sieci

Koniec z szukaniem narzędzi do ochrony danych po różnych stronach urzędowych. Ministerstwo Cyfryzacji uruchomiło platformę cyber.gov.pl.

To jedno miejsce, które integruje rozproszone dotąd usługi: od sprawdzania wycieków haseł po skanowanie komputera w poszukiwaniu luk.

Nowy portal, uruchomiony 11 grudnia 2025 roku, ma być odpowiedzią na chaos informacyjny. Zamiast przekopywać się przez dziesiątki stron, użytkownik otrzymuje centralny hub, który wspiera zarówno zwykłego Kowalskiego, jak i duże instytucje objęte ustawą o Krajowym Systemie Cyberbezpieczeństwa (KSC) oraz dyrektywą NIS2.

Niezbędnik dla każdego obywatela

Co konkretnie znajdziemy na stronie? Platforma agreguje kilka kluczowych, bezpłatnych narzędzi:

• moje.cert.pl: pozwala błyskawicznie sprawdzić, czy nasz adres e-mail (i powiązane z nim hasła) znalazł się w znanych bazach wycieków danych.
• Artemis: to skaner podatności, który analizuje komputer lub serwer użytkownika i wskazuje potencjalne dziury w zabezpieczeniach.
• Bezpieczna Poczta: narzędzie oceniające podejrzane e-maile. Ostrzega przed złośliwymi linkami i załącznikami, pomagając uniknąć phishingu.

Wicepremier Krzysztof Gawkowski podkreśla, że celem jest uproszczenie dostępu do wiedzy, tak aby każdy mógł samodzielnie zweryfikować swoje bezpieczeństwo w sieci.

S46 Cyber Hub dla instytucji

Druga twarz portalu skierowana jest do podmiotów profesjonalnych. Platforma promuje system S46 Cyber Hub, który służy do zarządzania bezpieczeństwem w instytucjach kluczowych. Umożliwia on zgłaszanie incydentów i śledzenie zagrożeń w czasie rzeczywistym. Z rozwiązania korzysta już ponad 500 instytucji w Polsce.

Ministerstwo zapowiada też dalszy rozwój serwisu. Wkrótce cyber.gov.pl zostanie zintegrowane z Węzłem Krajowym, co pozwoli na wygodne logowanie się do usług za pomocą mObywatela czy bankowości elektronicznej, bez konieczności zakładania osobnych kont.

Duże zmiany w mObywatelu i Profilu Zaufanym. Logowanie i alerty będą obowiązkowe

#artemis #CERTPolska #cyberGovPl #cyberbezpieczeństwo #ministerstwoCyfryzacji #news #S46CyberHub #wyciekDanych

Wyciek danych ze sklepu WK DZIK

10 grudnia firma WK DZIK poinformowała mailowo swoich klientów o wycieku danych. Jak wynika z przesłanego komunikatu, do ataku miało dojść w nocy z 7 na 8 grudnia 2025 r, kiedy to włamano się do systemu informatycznego firmy i wykradziono dane. Z przeprowadzonej analizy wynika, że incydent dotyczy następujących danych...

#WBiegu #Bezpiecznedane #Wyciek #Wyciekdanych

https://sekurak.pl/wyciek-danych-wk-dzik/