Black Friday 2025: Seria wyłudzeń danych. Cyberprzestępcy podszywają się pod AliExpress i HOKA

Cyberprzestępcy odpalili już własny Black Friday, jednak zamiast rabatów oferują wyczyszczone konta i wykradzione dane kart płatniczych. Z najnowszej analizy Check Point Research wynika, że co 11. nowa domena związana z Black Friday jest złośliwa, a sieć zalewa fala fałszywych sklepów i stron podszywających się pod popularne marki i największe platformy e-commerce. 

Black Friday. Fot Pixabay

Tylko w samym październiku zarejestrowano 158 nowych domen nawiązujących do Black Friday – to aż 93 proc. więcej niż średnio w innych miesiącach 2025 roku. Na początku listopada tempo jeszcze przyspieszyło, a w ciągu zaledwie dziesięciu dni przybyło ponad 330 kolejnych adresów. Eksperci ostrzegają, że do końca miesiąca w sieci pojawią się setki następnych „promocyjnych” witryn, z których wiele posłuży do wyłudzania danych. 

Szczególnie groźna jest seria stron o schematycznych nazwach, łączących rok „2025”, nazwę kraju (głównie Niemiec, Włoch i Hiszpanii) oraz hasło „Black Friday”. Na części z nich działają „sklepy” łudząco podobne do tych prawdziwych. Są pełne „superokazji”, dużych zdjęć produktów i ogólnych logo typu „ClickShop”, „ShopPay” czy „SmartShopping”. Włoskie wersje tych stron są już aktywne, reszta może zostać „włączona” w każdej chwili.      

"Tegoroczne ataki związane z Black Friday są nie tylko większe. Są inteligentniejsze, dopasowane do ofiary i zautomatyzowane. Najskuteczniejsze oszustwa wykorzystują dziś odpowiedni moment, rozpoznawalność marki i impulsywne zakupy. Przestępcy używają masowego generowania domen, podszywania się pod znane marki oraz szablonów tworzonych w stylu AI, by budować fałszywe sklepy szybciej, niż detalici są w stanie je zamykać". – uważa Omer Dembinsky, Data Group Manager w Check Point Research.   

Giganci e-commerce na celowniku       

Na Black Friday polują nie tylko łowcy okazji, ale też cyberprzestępcy, którzy masowo podszywają się pod największe marketplace’y świata. W październiku 2025 r. badacze zidentyfikowali 1519 nowych domen odnoszących się do Amazon, AliExpress lub Alibaba. To 24 proc. więcej niż we wrześniu i 12 proc. więcej niż rok wcześniej. Co 25. taka domena została oznaczona jako realne zagrożenie.        

Na liście wykrytych przekrętów znalazła się m.in. domena hokablackfriday[.]com. Pod tym adresem działał fałszywy sklep podszywający się pod coraz popularniejszą markę HOKA. Strona wykorzystywała oficjalne logo, profesjonalne zdjęcia produktów i agresywne rabaty, by skłonić ofiary do podania danych logowania oraz numerów kart. Domena została zarejestrowana 24 października 2025 r. i szybko uznana za pułapkę phishingową.          

Kolejny przykład to aliexpress62[.]com – łudząco podobna kopia AliExpress, włącznie z grafikami, układem strony i promocyjnymi banerami. Różnica polega na tym, że zamiast tanich gadżetów ofiary „kupowały” sobie problem, oddając przestępcom loginy, hasła i dane kart płatniczych.  

Badacze z Check Point Research ostrzegają, że tego typu kampanie coraz łatwiej i szybciej można zbudować z pomocą narzędzi generatywnej sztucznej inteligencji. Automatyczne systemy potrafią w kilka chwil stworzyć setki szablonów stron, przetłumaczyć je na różne języki i wypełnić grafikami oraz treściami reklamowymi. To oznacza, że Black Friday 2025 może być rekordowy nie tylko dla e-sklepów, ale i dla cyberprzestępców.         

Jak nie zostać ofiarą „czarnego piątku” w sieci?

Eksperci Check Pointa radzą, by w gorączce zakupów pamiętać o kilku zasadach:

• Nie ufaj ślepo linkom z SMS-ów i e-maili – lepiej samodzielnie wpisać adres sklepu w przeglądarce.
• Sprawdzaj dokładną pisownię domeny – literówka lub dopisek typu „62” może oznaczać pułapkę.
• Zwracaj uwagę na brakujące certyfikaty bezpieczeństwa (https) i podejrzanie niskie ceny.
• W razie wątpliwości płać kartą z limitem lub wirtualną i włącz powiadomienia o transakcjach.

Miłosz Stolarz

Czy 13-latkowie sa gotowi na social media?

Zdaniem ekspertów trzynastoletnie dzieci nie są gotowe na media społecznościowe i chcą podniesienia granicy wiekowej do piętnastu lat. 

Fot. Pixabay

Ponad 80 proc. uczniów z klas I–III szkół podstawowych ogląda YouTube’a, a połowa korzysta z mediów społecznościowych. Co czwarte publikuje w nich własne treści. Zgodnie z przepisami nie powinni mieć takiej możliwości, ponieważ użytkownik social mediów musi mieć co najmniej 13 lat. To pokazuje, że weryfikacja wieku na platformach nie jest skuteczna. Co więcej, eksperci alarmują, że granica wiekowa powinna zostać podniesiona o co najmniej dwa lata.

"Jeżeli chcemy zapewnić dzieciom bezpieczeństwo, to musimy myśleć głównie o rozwiązaniach związanych z mediami społecznościowymi" – mówi Łukasz Wojtasik z Fundacji Dajemy Dzieciom Siłę. "Jest szereg zagrożeń związanych z internetem, ale przede wszystkim z mediami społecznościowymi, bo tam dzieci spędzają najwięcej czasu, często poniżej regulaminowej granicy 13. roku życia". 

Przeprowadzone w tym roku przez Fundację Dajemy Dzieciom Siłę badanie 22 tys. uczniów i uczennic pierwszych trzech klas szkoły podstawowej, którzy teoretycznie nie powinni mieć dostępu do komunikatorów i social mediów, wskazało, że ograniczenie wiekowe do 13 lat to fikcja. Według „Sprawdzianu 13+” połowa dzieci w wieku siedmiu–dziewięciu lat korzysta z mediów społecznościowych. Podobny odsetek korzysta z WhatsAppa. Co trzecie dziecko ma konto na TikToku, podobnie jak w przypadku Messengera. Ponad 60 proc. użytkowników doświadcza w tych kanałach sytuacji ocenianych jako złe lub niepokojące.

"Konstrukcja mediów społecznościowych nie jest bezpieczna zarówno dla dzieci, nastolatków, jak i dorosłych, ale my dorośli jesteśmy na o tyle lepszej pozycji, że mamy już w pełni rozwinięty mózg i mechanizmy kontroli, potrafimy krytycznie myśleć, odróżnić dobro od zła. Dzieci często takich kompetencji nie mają, szczególnie te najmłodsze przegrywają z algorytmami. Media są bardzo szybko uzależniające, szczególnie krótkie filmy. W tym kontekście mówi się o short video addiction, nowym zjawisku, polegającym właśnie na tym, że konstrukcja tych filmów, sposób ich prezentowania, nieregularne wyrzuty dopaminy w mózgu, szczególnie młodego człowieka, po prostu uzależniają. Nie mówiąc już o treści tych filmów, która często jest przemocowa, seksualna, wulgarna" – wyjaśnia Łukasz Wojtasik. 

W swojej kampanii Fundacja Dajemy Dzieciom Siłę promuje podniesienie limitu wieku korzystania z mediów społecznościowych z 13 do 15 lat. Przytacza w niej również 15 powodów, dla których jest to wskazane. Eksperci kampanii podkreślają, że intensywne korzystanie z mediów społecznościowych wiąże się z wyższym poziomem lęku, depresji, samotności i niskiej samooceny, co szczególnie dotyczy nastoletnich dziewcząt. Może także zakłócać proces budowania swojej tożsamości i rozwijania emocji. Serwisy społecznościowe i komunikatory ułatwiają kontakt z nieznajomymi, co zwiększa ryzyko przemocy rówieśniczej i  prób manipulacji: 

"To jest wykorzystywanie seksualne, szkodliwe treści, hejt i radykalizacja. To są szkodliwe wzorce urody, szkodliwe wzorce zachowań, problemy zdrowotne, depresja i tak dalej. Tych zagrożeń jest cały szereg. Naszą rolą – rodziców, dorosłych – jest ochrona dzieci przed tymi zagrożeniami, a jednocześnie oczekiwanie od dostawców usług, że tak będą te treści podawali, tak przebudują mechanikę serwisów społecznościowych, żeby nie było to środowisko zagrażające dla najmłodszych użytkowników. Jednocześnie oczekujemy też, że będą skutecznie weryfikowali wiek" – mówi ekspert FDDS.

Celem kampanii jest dotarcie do rodziców i pokazanie im skali zagrożeń, z jakimi wiąże się obecność ich dzieci w social mediów. Za tym powinna iść edukacja i przygotowywanie dzieci do użytkowania serwisów. Drugi cel to starania na rzecz legislacyjnych rozwiązań, które usankcjonują podniesienie granicy wiekowej i zmuszą platformy do skutecznego sprawdzania wieku użytkowników i blokowania tych, którzy są zbyt młodzi: 

"Funkcjonująca aktualnie granica 13. roku życia wynika z przepisów takich jak amerykańskie CAPA czy europejskie RODO. To są przepisy dotyczące ochrony danych, ale nie są wynikiem analizy wpływu mediów społecznościowych na dzieci. Konsultowaliśmy się z psychiatrami dziecięcymi, terapeutami, psychologami, praktykami i uznaliśmy, że jeżeli chodzi o umiejętność młodych ludzi do unikania zagrożeń, ich rozwój funkcji poznawczych, kontrolnych, to jest właśnie 15. rok życia" – wyjaśnia Łukasz Wojtasik. 

Jak podkreśla, nie oznacza to jednak, że po 15. roku życia dzieci są w pełni bezpieczne w mediach społecznościowych: 

"Naszym postulatem i przy okazji narzędziem dla rodziców jest lista kompetencji. Pokazujemy, jakie kompetencje muszą mieć dzieci, na jakim poziomie rozwojowym muszą się znajdować, żeby media społecznościowe były dla nich bezpieczne. Dla jednego dziecka to może być 15. rok życia, dla innego 16. i to jest w rękach rodziców, natomiast jako minimum uznajemy 15. rok życia. To się wydaje sensownym kompromisem pomiędzy potrzebą młodych ludzi dostępu do usług cyfrowych a potrzebą zapewnienia im bezpieczeństwa w środowisku cyfrowym" – wskazuje ekspert Fundacji Dajemy Dzieciom Siłę. 

Zasada „do 15. roku życia bez serwisów społecznościowych” to jedna z rekomendacji wiekowych ekspertów programu Domowe Zasady Ekranowe. Pozostałe to: „bez ekranów do trzeciego roku życia” i „bez smartfona do 12. roku życia”. Tymczasem wśród badanych siedmio–dziewięciolatków 66 proc. ma już swój smartfon. 

Na podstawie Newseria oprac. db

Cyberprzestępcy coraz częściej atakują przedsiebiorców. Gdzie to zgłaszać?

Cyberprzestępcy coraz częściej podejmują próby cyberataków na polskich przedsiębiorców. Największym zagrożeniem jest phishing, czyli maile czy SMS-y podszywające się pod różne instytucje, mające na celu wyłudzenie danych i pieniędzy. Rośnie też liczba prób ataku ransomware, czyli szyfrowania zasobów organizacji dla okupu. Większość przedsiębiorców nic nie robi w przypadku rozpoznania próby oszustwa. Tylko niewielki odsetek zgłasza incydenty do CERT Polska, często nie wiedząc, jakie korzyści może to przynieść. 

 

Cyberprzestępcy coraz częściej atakują przedsiębiorców. Fot. px

"Patrząc na badanie KPMG „Barometr Cyberbezpieczeństwa” z 2024 roku, 2/3 firm zetknęło się z próbą cyberincydentu w swoim działaniu. Jako ING pytaliśmy klientów, jakiego typu cyberataków doświadczają. Najczęstszym typem ataków jest phishing, czyli klienci na swojego maila otrzymują z jakiegoś podejrzanego adresu załącznik bądź link do fałszywej strony" – mówi Wojciech Kordas, dyrektor Centrum Eksperckiego Przeciwdziałania Oszustwom w ING Banku Śląskim. 

Badanie przeprowadzone na zlecenie ING Banku Śląskiego wskazuje, że 56 proc. firm zetknęło się z próbą phishingu. Z kolei fałszywą fakturę czy propozycję fałszywej inwestycji otrzymało po 44 proc. badanych. KPMG wskazuje, że firmy w Polsce zgłaszają wyższy poziom dojrzałości, a 40 proc. wysoko ocenia bezpieczeństwo sieci wewnętrznej. Jednocześnie prawie co piąta firma nie kontroluje bezpieczeństwa w procesach wytwarzania oprogramowania.

"Najczęstszymi atakami wymierzonymi w firmy, jakie obserwujemy jako CERT Polska, są ataki typu ransomware, czyli takie, gdzie dochodzi do zaszyfrowania organizacji, wykradzenia danych i potem żądania okupu od organizacji, który ma ona zapłacić, żeby te dane nie były publikowane i żeby je odzyskać" – wskazuje Marcin Dudek, kierownik CERT Polska. – "Powodem ataku są głównie podatności, czyli urządzenia czy oprogramowanie wystawione do internetu, które przestępcy wyszukują w wersji posiadającej podatności i umożliwiającej atak na organizację. Tutaj najważniejsze są aktualizacje". 

Z badania ING wynika, że 90 proc. przedsiębiorców uważa, że ma przynajmniej podstawową wiedzę o bezpieczeństwie w internecie. Niekoniecznie jednak znają poszczególne rodzaje ataków i metody ochrony przed nimi. Na pytanie o to, czym jest spoofing, czyli podszywanie się przestępców pod banki czy urzędy w celu wyłudzenia danych lub pieniędzy, poprawną odpowiedź wskazała połowa badanych. Nieco mniej wiedziało, jaki jest cel ataku DDoS. Zdecydowana większość niewłaściwie wskazała najskuteczniejszą metodę ochrony przed phishingiem – nie jest nią ani firewall, ani antywirus, ale klucz U2F (wskazany przez 28 proc. badanych). 

"W momencie, kiedy wycieknie hasło, przestępcy mogą go użyć, żeby zalogować się zdalnie do firmy. Jeśli nie ma drugiego składnika, czyli np. tokenu fizycznego, urządzenia, które musi być podpięte do komputera, to przestępca uzyska pełny dostęp do firmy. Jeśli do poczty nie ma wymagania podania dodatkowego kodu SMS, to przestępca, mając hasło, będzie mógł się zalogować i przeprowadzić atak na organizację, np. wykorzystując tę skrzynkę i wysyłając wewnątrz organizacji maile wyłudzające dane czy atakujące kolejnych pracowników" – tłumaczy kierownik CERT Polska. 

Kolejny powszechny błąd to trzymanie kopii zapasowych w tej samej sieci, co pozostałe zasoby firmy. Włamanie do sieci wiąże się wówczas z ryzykiem zaszyfrowania wszystkich danych organizacji, również kopii zapasowych przygotowywanych właśnie na wypadek cyberataku. 

"Bardzo ważne jest to, żeby kopie zapasowe były odseparowane. To jest kluczowe, jeśli chodzi potem o podniesienie się po takim ataku" – mówi Marcin Dudek. 

"ING w swoim badaniu zapytało przedsiębiorców o to, jak reagują na próby ataków. Okazało się, że przedsiębiorcy zwykle ignorują tego typu próby i są zadowoleni, że nie ulegli atakowi, natomiast przeważnie nie robią więcej nic" – mówi Wojciech Kordas. 

W zależności od typu ataku od 56 proc. do 69 proc. badanych odpowiedziało, że nie zrobili nic lub nie pamiętają. Wśród przedsiębiorców, którzy reagowali, 8–22 proc. zgłosiło incydent do CERT Polska. Najczęściej dotyczyło to phishingu i fałszywych faktur. 8–14 proc. zgłosiło incydent na policję – najczęściej w reakcji na phishing, spoofing oraz złośliwe oprogramowanie. Z kolei do banków przedsiębiorcy najczęściej zgłaszali próby phishingu (19 proc.) oraz spoofingu (27 proc.). 

"Nie każda firma zgłasza atak do nas, do CERT Polska, ponieważ tylko 1/4 firm wie o tym, że CERT Polska istnieje. Widzimy więc potrzebę, żeby pomóc naszej widoczności. Z drugiej strony, nawet jak firmy wiedzą o naszym istnieniu, często boją się zgłosić, bo myślą, że to się wiąże z jakimiś konsekwencjami. Chcę więc uspokoić – nie publikujemy informacji o ataku, nie idziemy z nią do mediów, dane ze zgłoszenia są chronione, podmiot może jedynie zyskać na zgłoszeniu" – przekonuje Marcin Dudek. 

Jak podkreśla, masowe cyberoszustwa wymagają od przestępców czasu i pieniędzy na organizację. Zgłoszenie do CERT Polska może pokrzyżować im plany: 

"Musimy mieć świadomość, że tego typu cyberataki są atakami masowymi. Maile z linkami, SMS-y, telefony trafiają do tysięcy ludzi. Poprzez reakcję i zgłoszenie tego incydentu do CERT Polska możemy przerwać ten ciąg. CERT jest w stanie zablokować fałszywą stronę czy SMS-y" – podkreśla przedstawiciel ING Banku Śląskiego. 

Jednym z narzędzi opracowywanych przez ekspertów CERT Polska są wzorce SMS tworzone na podstawie zgłoszeń od obywateli. Dotychczas powstało blisko kilkaset takich wzorców, co pozwoliło zatrzymać 1,5 mln wiadomości od oszustów, zanim dotarły one do użytkowników. Zespół blokuje też dostęp do stron wyłudzających dane, na które kierują oszuści. CERT Polska w marcu 2020 roku uruchomił listę ostrzeżeń przed niebezpiecznymi stronami. Dziś wprowadza na nią średnio 265 adresów dziennie. W 2024 roku zablokowano 75 mln prób wejścia na strony z listy. 

"Zgłoszenie ataku do CERT Polska daje szereg korzyści. Przede wszystkim poprawia widoczność, co pozwala uchronić kolejne firmy. Wiemy, jakie ataki są obecnie w Polsce podejmowane, przed czym mamy ostrzegać, jak mamy edukować, żeby do ataku nie dochodziło. Ale jest też korzyść bezpośrednia, bo pomagamy w obronie przed atakami i po incydencie, wysyłamy szereg porad, jak się zachować, jak rozmawiać z mediami, jakie działania trzeba podjąć pod kątem prawnym" – wymienia Marcin Dudek. 

ING od lat wspiera klientów w dbaniu o bezpieczeństwo w sieci. Promowanie działalności CERT Polska to kolejny sposób na niwelowanie negatywnych skutków cyberprzestępczości. Na potrzeby kampanii „Cyberbezpieczeństwo dla firm” bank we współpracy z Piotrem Koniecznym, ekspertem ds. bezpieczeństwa w internecie, przygotował „10 zasad bezpiecznej firmy w sieci”. 

"W ramach kampanii przypominamy przedsiębiorcom, jak najlepiej reagować na tego typu ataki – dodaje Wojciech Kordas. – Przedsiębiorcy powinni reagować aktywnie i zgłaszać każdą próbę tego typu ataków na stronę incydent.cert.pl. To jest właściwa instytucja, która może podjąć działania w tym zakresie". 

A Ty co o tym myślisz? Czy Twoja firma przeżyła cyberatak i wyszła obronną ręką? Jakich sztuczek użył cyberprzestępca, aby wymusić na firmie określone działanie? 

Na podstawie Newseria oprac. db

Ochrona danych osobowych w dobie nowoczesnych technologii: wyzwania i rozwiązania

W dobie dynamicznie rozwijających się technologii, ochrona danych osobowych staje się coraz bardziej skomplikowanym i palącym problemem. Choć świadomość dotycząca bezpieczeństwa danych rośnie, wiele osób nadal nie zdaje sobie sprawy z potencjalnych zagrożeń związanych z korzystaniem z nowoczesnych urządzeń i aplikacji. Artykuł ten porusza kwestie związane z brakiem wiedzy użytkowników na temat przetwarzania ich danych osobowych, zagrożeniami płynącymi z nieodpowiedniego stosowania nowych technologii oraz potrzebą dostosowania prawa do szybko zmieniającej się rzeczywistości technologicznej.

 

Choć RODO działa już od niemal sześciu lat, to wciąż nie funkcjonuje tak jak zakładano. Fot. px.

Brak świadomości użytkowników i niewystarczająca kampania informacyjna 

Użytkownicy różnych aplikacji, systemów czy urządzeń nie zawsze są świadomi, czy i w jakim stopniu, przez kogo i do jakich celów będą gromadzone i wykorzystywane dane na ich temat. Nierzadko nawet nie zdają sobie sprawy z tego, że ktoś w ogóle takimi danymi zaczął administrować.

Zdaniem ekspertów to efekt z jednej strony szybkiego rozwoju technologii, która pozwala coraz większe zbiory danych gromadzić na coraz mniejszych urządzeniach, a z drugiej – braku kampanii informacyjnej o prawach związanych z tymi danymi. Za zmianami nie nadąża też system prawny. Choć RODO działa już od niemal sześciu lat, to wciąż nie funkcjonuje tak jak zakładano. W międzyczasie powstają nowe regulacje, a przed rządem stoi wyzwanie wdrożenia ich do polskiego systemu prawnego oraz opracowania norm krajowych:

"Przez coraz mniejsze urządzenia generowanych jest coraz więcej procesów związanych z pozyskiwaniem, przechowywaniem i udostępnianiem danych w błyskawiczny sposób na rzecz różnych podmiotów. Nie zawsze o tym wiemy, co się dzieje z naszymi danymi osobowymi, a mamy przecież prawa. Rzeczywistym ryzykiem dla nas, osób, których dane dotyczą, jest często brak świadomości, brak wiedzy, jak funkcjonują różne urządzenia, aplikacje, różne systemy w zakresie poszanowania naszych praw, zapewnienia nam określonych gwarancji. Brak tej wiedzy często wynika z naszego podejścia do kwestii ochrony naszej prywatności, ale też z pewnych celowych działań administratorów, posługujących się nowymi technologiami, czy też ich twórców i producentów" – mówi Monika Krasińska, dyrektorka Departamentu Orzecznictwa i Legislacji w Urzędzie Ochrony Danych Osobowych.

Zagrożenia związane z aplikacjami mobilnymi i nowymi technologiami 

Do przechwytywania danych wrażliwych często wykorzystywane są aplikacje mobilne. W ubiegłym roku eksperci ds. cyberbezpieczeństwa wielokrotnie ostrzegali przed kolejnymi aplikacjami, które zostały udostępnione w sklepie Google Play. Teoretycznie miały one służyć do takich celów jak np. obróbka zdjęć i filmów, zmiana nagrywanego głosu, dostosowywanie tapet i motywów na telefonie czy streamowanie obrazu ze smartfona na TV. W praktyce infekowały smartfona trojanem Harly, który umożliwia hakerom odczytywanie danych z urządzenia i zapisywać je do korzystania z usług premium:

"Każda technologia może stanowić zagrożenie, jeżeli będzie stosowana w celach, które są niezgodne z przepisami, jeżeli będzie realizowała określone zadania stawiane jej przez administratorów, rządzących się wyłącznie własnymi, partykularnymi interesami, a niezważającymi na sferę praw osób, których dane dotyczą. Oczywiście są też takie technologie, na które dzisiaj świat zwraca szczególną uwagę, z uwagi na ich specyfikę, kontekst przetwarzania danych osobowych i wiele ryzyk, które ich stosowanie generuje dla użytkowników. Chociażby sztuczna inteligencja, stosowanie różnych identyfikatorów biometrycznych, identyfikacja za pomocą cech biometrycznych w przestrzeni publicznej, również różnego rodzaju urządzenia i rozwiązania z wykorzystaniem geolokalizacji, stosowanie technologii RFID. Mamy wiele różnych rozwiązań, które są związane z przetwarzaniem naszych danych osobowych" – wymienia ekspertka UODO.

Przykładem technologii, która z jednej strony ułatwia zarządzanie usługami komunalnymi, a z drugiej, stanowić może teoretycznie ryzyko dla bezpieczeństwa danych osobowych jest wykorzystanie komunikacji RFID do tagowania pojemników na odpady. Jeśli gmina odpowiadająca za zapewnienie selektywnej zbiórki oraz jej podwykonawca nie zapewnią odpowiednich zabezpieczeń, istnieje ryzyko, że w niepowołane ręce trafią na przykład informacje o tym, po jakich lekach opakowania znalazły się w koszu na śmieci danej osoby.

Choć już od niemal sześciu lat obowiązuje unijne rozporządzenie o ochronie danych osobowych (RODO), to wciąż nie wszystkie instrumenty w nim przewidziane są wdrażane:

"Choć RODO jest neutralne technologicznie, to wytyczyło pewne znaki drogowe dla poszanowania praw osób, których dane dotyczą. Takim instrumentem jest projektowanie ochrony danych osobowych na jak najwcześniejszym etapie czy tak zwana domyślna ochrona danych osobowych, która ma nam zapewnić m.in. automatyczne usuwanie pewnych danych czy też automatyczne przekazywanie nam pewnych komunikatów uczulających nas na procesy przetwarzania naszych danych. Bardzo szybki rozwój nowych technologii wprowadził także szereg ryzyk, które jednak wymagały głębszego spojrzenia unijnego ustawodawcy na kompletność regulacji gwarancyjnych dla ochrony danych osobowych. Dlatego w Unii Europejskiej rozpoczęły się już wiele lat temu i częściowo zakończyły, a częściowo jeszcze trwają, prace nad licznymi, dodatkowymi regulacjami, które także mają chronić dane osobowe, zapewnić prawidłowe zarządzanie i dysponowanie nimi" – wskazuje Monika Krasińska.

Konieczność dostosowania prawa do szybko rozwijających się technologii 

Zmiany prawne mają prowadzić do sytuacji, w której zapewnione zostanie poszanowanie praw i wolności osób, których dane dotyczą. Jak dodaje ekspertka, nowy rząd będzie musiał sprostać wyzwaniom legislacyjnym związanym z przenoszeniem na polski grunt prawny rozwiązań powstających na poziomie prawa europejskiego:

"Mamy bardzo dużo rozporządzeń wydanych przez Unię Europejską, ale także dyrektyw, które czekają na to, aby właściwie dostosować przepisy krajowe do tych aktów. Przed nami bardzo dużo zadań związanych chociażby z dostosowaniem przepisów krajowych do aktu o usługach cyfrowych, aktu o zarządzaniu danymi, aktu o otwartych danych" – wymienia dyrektorka Departamentu Orzecznictwa i Legislacji w Urzędzie Ochrony Danych Osobowych. – "Wydaje się, że te kierunki zmian legislacyjnych zapewniają poszanowanie praw i wolności osób, których dane dotyczą. Niemniej jednak samo tworzenie prawa bez jego właściwego stosowania, bez tej kultury przetwarzania zgodnego z prawem nie będzie budowało jak najlepszych wzorów dla przyszłych pokoleń w zakresie ochrony danych osobowych".

Jak dodaje, potrzebne jest też zwiększanie świadomości administratorów i użytkowników oraz zapewnienie dostępu do informacji o fakcie przetwarzania danych osobowych. Kluczowy jest tu język takich komunikatów - dziś często skomplikowany, pełen technologicznych nazw i prawniczych zwrotów, przez co niezrozumiały dla użytkowników:  

"Osoby, których dane dotyczą, muszą mieć świadomość, na czym polega ten proces i muszą mieć ten przekaz informacyjny w taki sposób ukształtowany, aby zrozumiały, na czym polegać ma przetwarzanie ich danych" – mówi Monika Krasińska. – "Mamy też takie rozwiązania, które są tak zaprojektowane, że ich użytkownicy nie mają świadomości, że w ogóle ich dane są przetwarzane i to w dodatku przez tak liczne grono administratorów i przetwarzających. I tutaj rzeczywiście trzeba poprawić jakość przekazu informacyjnego". 

Ochrona danych osobowych jest jednym z najważniejszych wyzwań współczesnej ery cyfrowej. Wymaga ona zarówno świadomego podejścia użytkowników, jak i skutecznych regulacji prawnych dostosowanych do szybko zmieniających się technologii. Kluczowe jest nie tylko tworzenie nowych przepisów, ale również ich właściwe stosowanie oraz prowadzenie szeroko zakrojonych kampanii informacyjnych. Tylko w ten sposób można zapewnić rzeczywistą ochronę prywatności i praw osób, których dane są przetwarzane. Edukacja, świadomość i odpowiednie przepisy to fundamenty, na których należy budować bezpieczną przyszłość w świecie technologii. 

Oprac. na podst. Newseria, db

Social Media: Jak Nasze Dane Stają się Celem Cyberprzestępców

W erze cyfrowej nasze profile na portalach społecznościowych to prawdziwa kopalnia danych dla cyberprzestępców. Eksperci ds. cyberbezpieczeństwa ostrzegają przed ryzykiem związanym z publikowaniem zbyt wielu informacji. 

 

Udostępnianie zdjęć z wakacji, lokalizacji czy filmików z własnym głosem może prowadzić do przestępstw takich jak włamania czy tworzenie deepfake'ów. Niestety, europejskie prawodawstwo wciąż nie w pełni chroni użytkowników przed takimi zagrożeniami. 

 

W erze cyfrowej nasze profile na portalach społecznościowych to prawdziwa kopalnia danych dla cyberprzestępców. Fot. px

Profile na portalach społecznościowych to dla przestępców prawdziwa kopalnia danych – ostrzegają eksperci cyberbezpieczeństwa i wymieniają możliwe zagrożenia. Wrzucanie publicznych postów z wakacji i oznaczanie lokalizacji, pokazywanie wnętrz mieszkań czy zamieszczanie filmików z własnym głosem mogą być wykorzystane na przykład do zaplanowania rabunku czy wygenerowania deepfake’ów. Tymczasem unijne prawodawstwo nie do końca jeszcze chroni dane użytkowników. Jednym z problemów jest to, że większość platform nie działa zgodnie z europejską literą prawa.

Jednym z najczęstszych celów ataków cyberprzestępców jest sektor medyczny, w którym gromadzone są dane szczególnie wrażliwe, bo dotyczące zdrowia pacjentów. Z raportu „Cyberzagrożenia opieki zdrowotnej”, opublikowanego przez Cyber360, wynika, że od kwietnia 2022 do marca 2023 roku w dark web o 35 proc. wzrosła liczba postów z danymi dotyczącymi opieki zdrowotnej. Łącznie było ich 450. W tym samym czasie ujawniono prawie 1,2 tys. prób phishingu, wymierzonych w podmioty służby zdrowia. 63,5 proc. domen phishingowych, podszywających się pod witryny organizacji opieki zdrowotnej w ciągu ostatniego roku korzystało z protokołu HTTPS.

"Dochodzi do różnego rodzaju sytuacji absurdalnych, jak słynne już w memach listy kolejkowe pacjentów w przychodniach, gdzie anonimizowano pacjentów poprzez nadawanie im pseudonimów. Pytanie, czy to faktycznie poprawia komfort i ochronę danych osobowych tych pacjentów w sytuacji, w której chociażby kilka miesięcy później dostajemy informację o wycieku danych chociażby z ALAB-u. Sektor medyczny jest jednym z częściej atakowanych i jednym z najsłabiej chronionych. Nie chodzi o to, że firmy nie dbają o cyberbezpieczeństwo, ale o to, że w sektorze medycznym jest cała masa bocznych furtek. Ot zwykła drukarka podłączona do sieci Wi-Fi to już może być boczna furtka, którą cyberprzestępcy wykorzystają do tego, żeby po prostu zinfiltrować naszą sieć" – wyjaśnia dr Piotr Łuczuk, ekspert do spraw cyberbezpieczeństwa, wicedyrektor Instytutu Edukacji Medialnej i Dziennikarstwa Uniwersytetu Kardynała Stefana Wyszyńskiego.

To jednak sytuacja, na którą jako osoby udostępniające dane osobowe niekoniecznie możemy mieć wpływ. Równie groźna może być jednak zdaniem ekspertów nieostrożność, towarzysząca nam na co dzień podczas korzystania z social mediów.

"Udostępniamy w internecie na nasz temat masę danych, dotyczących tego, kogo znamy, z kim się spotykamy, gdzie i co jemy, gdzie się znajdujemy. To są wszystko dane. Tak naprawdę w rozmowie o danych musimy zastanowić się, czy wrócić do kwestii samego pojęcia, czym są dla nas dane, które czy na szczeblu państwowym, czy na szczeblu europejskim, czy w ogóle globalnym należałoby chronić. Czy będziemy mówić o danych wrażliwych, typu imię, nazwisko, numer PESEL, ewentualnie jakiś numer ubezpieczenia czy numer konta bankowego? Wydaje mi się, że nikt przy zdrowych zmysłach nie biega po ulicy z kartą kredytową i np. nie krzyczy, że to jest mój numer PIN do bankomatu. Tymczasem, kiedy przejrzymy portale społecznościowe, tam możemy zobaczyć, jak wiele właśnie tych danych ujawniamy na nasz temat. Okazuje się, że np. na podstawie takich zdjęć czy filmików z mediów społecznościowych jesteśmy w stanie po prostu zweryfikować, czy ktoś jest w danym momencie w domu, mieszkaniu, czy ma założony system alarmowy, gdzie znajdują się czujki alarmowe" – mówi dr Piotr Łuczuk.

Okazuje się, że na podstawie tego, co pokazujemy w mediach społecznościowych, potencjalny złodziej może się też na przykład dowiedzieć, że wyjechaliśmy na wakacje, a także dokładnie poznać topografię mieszkania i zweryfikować, czy pod nieobecność domowników ktoś go pilnuje.

"Z filmów pamiętamy taki obraz, że szpiedzy czy oficerowie wywiadu obserwowali np. swojego figuranta czy potencjalną ofiarę, zapoznawali się z rytmem dnia, z kręgiem znajomych i szukali jakiegoś punktu przełomu. Przecież w tym momencie te wszystkie dane są dostępne na wyciągnięcie ręki, dosłownie. Jednym kliknięciem jesteśmy w stanie zrobić sobie bardzo szybki research i dowiedzieć się bardzo wielu rzeczy na temat naszych przyjaciół, wrogów, kontrahentów, wspólników czy biznesowych przeciwników. Ten cyfrowy ślad, który po sobie zostawiamy, ciągnie się setkami kilometrów za nami" – dodaje ekspert.

Kolejną groźną sytuacją jest ta, w której cyberprzestępcy uzyskują dostęp do kont w mediach społecznościowych lub urządzeń, takich jak telefon, w pamięci których nierzadko znajdują się chociażby zdjęcia awersu i rewersu dowodu osobistego. Często do przechwycenia danych logowania do banku mogą służyć na przykład wysyłane w fałszywych SMS-ach linki. CERT Polska stworzył serwis Bezpieczna Poczta, który ma chronić użytkowników poczty elektronicznej. Od połowy sierpnia 2023 roku użytkownicy sprawdzili za jego pomocą prawie 19 tys. domen, a prawie 8 tys. zostało sprawdzonych więcej niż raz. CERT Polska zainaugurował też projekt Artemis, którego głównym celem jest wzmocnienie zdolności do wykrywania, analizowania i reagowania na incydenty bezpieczeństwa cyfrowego w sposób bardziej efektywny i zautomatyzowany. W 2023 roku łącznie przeskanowano niemal 51 tys. domen i adresów IP oraz ponad 250 tys. subdomen. Zgłoszono prawie 184,8 tys. podatności lub błędnych konfiguracji.

"Upowszechnienie albo zdobycie danych na nasz temat może poskutkować wygenerowaniem masy sztucznych tożsamości, które będą się pod nas podszywać, żeby oszukiwać inne osoby, legitymizować się niejako w sieci, prowadzić kampanie dezinformacyjne, angażować się w trolling internetowy. Tak że tutaj tych pól wykorzystania naszych danych, niewinnych teoretycznie, imię, nazwisko, coś, co w zasadzie znajdziemy ot tak w ciągu milisekundy przy wyszukiwaniu chociażby czy przeglądaniu mediów społecznościowych" – mówi wicedyrektor Instytutu Edukacji Medialnej i Dziennikarstwa Uniwersytetu Kardynała Stefana Wyszyńskiego.

Nawet na podstawie tak podstawowych danych, połączonych z informacjami o tym, gdzie mieszkamy, w jakim kręgu kulturowym żyjemy, jak się wysławiamy, można opracować mechanizm do szkolenia sztucznej inteligencji, która wygeneruje deepfake. To zjawisko, którego ofiarami padają m.in. znani politycy czy biznesmeni.

"Prezes InPostu właśnie ostatnio informował o tym, że został obiektem deepfake’a, spreparowano materiały rzekomo z jego udziałem, w których mówi rzeczy, których w życiu raczej by nie powiedział. Te materiały zostały opublikowane w mediach społecznościowych i próba ich usunięcia stamtąd, próba negocjowania chociażby z władzami czy administracją Facebooka niestety okazała się nierealna. Więc też to pokazuje, że prawo prawem, pomysły na legislację to jest jedna strona medalu, natomiast egzekwowanie później swoich praw i możliwości usunięcia danych np. na nasz temat, jakichś prezentujących kłamliwe treści, to już jest znacznie, znacznie trudniejsze zadanie" – przytacza dr Piotr Łuczuk.

W ślad za rosnącymi wyzwaniami na szczeblu prawodawstwa unijnego budowane są rozwiązania, które mają chronić dane osobowe, zarówno w przestrzeni publicznej, jak i sieci. Sztandarowym przykładem jest RODO, czyli Ogólne rozporządzenie o ochronie danych. Kolejną unijną konstrukcją jest dyrektywa NIS2, skupiająca się na w sektorach takich jak energetyka, transport czy ochrona zdrowia, a także podmioty z branży cyfrowej, w tym dostawcy usług społecznościowych czy pocztowych. Jej elementami są m.in. audyty bezpieczeństwa IT i opracowywanie polityki bezpieczeństwa.

"Problem polega na tym, że większość mediów społecznościowych nie jest utworzona, wytworzona i nie prowadzi stricte swojej działalności w oparciu o europejski system prawny, więc znowu to jest przepychanka legislacyjna, którą myślę, że z powodzeniem zajęliby się prawnicy. Natomiast całkiem realnie mówiąc, jeżeli dane medium społecznościowe funkcjonuje w oparciu o przepisy prawa amerykańskiego albo przepisy prawa chińskiego, w tym momencie trudno jest np. wyobrażać sobie to, że TikTok będzie naginał się do dyrektyw unijnych. On może to zrobić, tak samo jak może to zrobić Facebook czy całe imperium Marka Zuckerberga, pytanie, czy to zostanie zrobione" – zastanawia się badacz.

W obliczu rosnących zagrożeń, zarówno indywidualni użytkownicy, jak i instytucje muszą zachować większą ostrożność i stosować zaawansowane środki ochrony danych. Wdrożenie skutecznych rozwiązań prawnych oraz technologicznych jest kluczowe dla zapewnienia bezpieczeństwa w świecie cyfrowym. Dbajmy o swoje dane i bądźmy świadomi zagrożeń, które mogą wynikać z ich nieostrożnego udostępniania.

Oprac. na podst. Newseria, db

Centrum danych powinno być fortecą

Rosnąca liczba zagrożeń i bardziej zaawansowane techniki przeprowadzania cyberataków prowadzą do wniosku, że centra danych powinny być fortecami nie do zdobycia, i to zarówno drogą cyfrową, jak i fizyczną. 

Data Center powinna być fortecą nie do zdobycia. Fot. px.

 

Cyber-defensywa przede wszystkim

To jeden z najważniejszych wniosków z przygotowanego przez firmę Service Express opracowania Data Center and Infrastructure Report 2022. Niemal połowa (49%) zaproszonych do badania specjalistów IT związanych z branżą centrów danych potwierdziła, że poprawa i „umocnienie” systemów zabezpieczania danych to kluczowy punkt planu działań na ten rok. Niżej uplasowało się usprawnienie wewnętrznych procesów administracyjnych (37%) oraz rozwijanie umiejętności i kompetencji personelu IT (32%). Jednocześnie, praca nad nieustannym uszczelnianiem infrastruktury i rozwijaniem systemów dbających o jej bezpieczeństwo jest także największym wyzwaniem na 2022r – zgodnych co do tego było aż 60% respondentów. W znacznie mniejszym stopniu akcentowano natomiast problem z niedostatkiem personelu (44%) czy redukcję bądź zamrożenie budżetów (41%).

"Branża, obserwując obecną sytuację, zdaje sobie sprawę z potrzeby zadbania o bezpieczeństwo z jeszcze większym zaangażowaniem nich dotychczas. Nie oznacza to oczywiście, że dotąd bagatelizowała zagrożenia, o czym niewątpliwie świadczą nakłady na ten cel, jednak dziś wyzwania w tym obszarze stają się jeszcze większe. To za sprawą rosnącej niepewności czy nowych identyfikowanych sposobów przeprowadzania cyberataków" – tłumaczy Marcin Zmaczyński, Head of Marketing CEE w Aruba Cloud.

Ataki hakerskie co 11 sekund

Analitycy bezpieczeństwa w cyberprzestrzeni z firmy ESET natrafili niedługo po rosyjskiej agresji na Ukrainę na nowe typy ataków: HermeticWiper oraz IsaacWiper. Na pierwszy rzut oka wyglądają na klasyczne ataki ransowmare, jednak w przeciwieństwie do nich nie pozwalają na odzyskanie danych po opłaceniu okupu, niszcząc zainfekowane pliki czy uniemożliwiając dalszą pracę fizycznych dysków. Generalnie, ransomware staje się coraz bardziej niebezpieczną bronią – jak dowiódł ostatni ekspertyment ekspertów z firmy Splunk, atak tego typu jest dziś w stanie zainfekować kilkaset tysięcy plików w ciągu zaledwie kilku minut. To także jedna z najpopularniejszych technik internetowych przestępców – w minionym roku incydenty bezpieczeństwa powodowane przez ransomware rejestrowano na całym świecie co 11 sekund.

Niezmiennie, dużą popularnością cieszą się też ataki DDoS, które stanowią coraz szybciej zyskujące na sile wyzwania dla infrastruktur IT. Wg. analityków Akamai nowe metody ich generowania pozwalają na osiąganie dotąd niespotykanej skali, zdolnej sięgać nawet 11Gb/s i wysyłania co sekundę 1,5 miliona pakietów blokujących systemy informatyczne. 

"Cyberataki, szczególnie te blokujące dostępność systemów IT takie jak DDoS, potrafią trwać nawet kilka dni, więc po przemnożeniu strat ponoszonych w ciągu minuty przez kilkadziesiąt godzin otrzymujemy już bardzo wysokie wartości strat finansowych. Dla przykładu – posługując się średnią z analizy RISKIQ, firma „zblokowana” na 3 dni może stracić ponad 120 tysięcy $, czyli niemal 460 tysięcy złotych. Sposobem na zminimalizowanie ryzyka jest dobór partnera, który gwarantuje najwyższe standardy bezpieczeństwa, potwierdzone zarówno odpowiednimi certyfikatami jak i wieloletnim doświadczeniem w utrzymywaniu i zarządzaniu danymi swoich klientów" – dodaje Marcin Zmaczyński z Aruba Cloud.

Zyski osiągane przez ciemną stronę internetowej aktywności osiągają już na całym świecie skalę trudną do szybkiego zwizualizowania. Analiza Cybersecurity Ventures przewiduje, że z poziomu 3 bilionów dolarów w 2015 wzrosną one w ciągu dekady aż do 10,5 biliona (w 2025 roku).

Nie tylko cybersfera

Warto zauważyć, że pod pojęciem „fortecy” w odniesieniu do centrum danych kryje się nie tylko bardzo dobrze zabezpieczona przed cyberatakami infrastruktura sieciowa, ale także rozwiązania umożliwiające mu „przetrwanie” szeregu zagrożeń zupełnie innej natury. Mowa tutaj o ryzyku niedostępności usług IT spowodowanych przez katastrofy czy anomalie klimatyczne, pożary, brak dostępu do sieci elektrycznej i internetowej czy awarie sprzętu, w tym choćby zasilaczy UPS. 

"Tutaj, szczególną uwagę firm myślących o outsourcingu swoich zasobów IT powinny zwrócić posiadany przez operatora stopień certyfikacji ANSI lub Uptime Institute, Jeśli danemu data center przynano najwyższy 4 poziom, to oznacza, że dysponuje odpowiednim rozkładem pomieszczeń, wieloma niezależnymi sieciami zasilania oraz internetowymi, najwydajniejszą wentylacją czy autonomicznymi systemami gaśniczymi i jest w stanie zapewnić maksymalny, wspominany wcześniej, wariant dostępności. Niezależnie od tego, z czym „przyszłoby mu się mierzyć” – stwierdza Marcin Zmaczyński z Aruba Cloud.

Branża Data Center staje zatem w obliczu niemałych wyzwań związanych z szybkim i skutecznym odpowiadaniem na szereg zagrożeń dla dostępności danych. Wiele wskazuje na to, że coraz więcej obiektów tego typu będzie „fortecami” już od momentu powstania. Choćby dlatego, że ze względu na dynamiczny przyrost danych i firmową migrację do chmur obliczeniowych powstaje coraz więcej największych i najlepiej „strzeżonych” hiperskalowych centrów danych – obecnie jest ich na świecie już ponad 700. Jeszcze w 2016 liczba ta nie przekraczała 340, co oznacza, że w ciągu 5 lat przybyło ich niemal dwukrotnie więcej.

Newseria, oprac. db