Cyberbezpieczeństwo — wiadomości
Fałszywe kupony Rossmanna prowadzą do subskrypcji za kilkaset złotych
Oszuści rozsyłają wiadomości z fałszywym kuponem programu lojalnościowego Rossmanna. Kliknięcie może uruchomić płatną subskrypcję kosztującą nawet kilkaset złotych.
Fałszywa karta Rossmanna za 2000 zł kończy się subskrypcją 12,30 zł co 7 dni
CERT Orange Polska ostrzega przed kampanią na WhatsAppie i Messengerze. Kliknięcie w link oznacza dwa płatne SMS-y i subskrypcję, łącznie ok. 75 zł na start.
Wyciek danych klientów sklepu Muve.pl przez lukę w aplikacji do obsługi płatności
Sklep Muve.pl, który sprzedaje gry i doładowania, informuje klientów mailowo o wycieku danych osobowych. Przestępcy wykorzystali podatność aplikacji do obsługi płatności.
Przejęte sterowniki chłodnicze w sklepach w Europie grzały do 50 stopni
Przestępcy przełączyli lodówki w supermarketach w kilku krajach Europy z chłodzenia na grzanie. Straty idą w miliony, a poprawki nie będzie, bo urządzenia nie mają już wsparcia.
Fałszywy zwrot podatku z podatki.gov.pl wyłudza PESEL i dane do banku
Wróciła kampania phishingowa podszywająca się pod podatki.gov.pl. Fałszywa strona zbiera PESEL, telefon i numer konta, a potem dane logowania do bankowości elektronicznej.
PKO BP ostrzega przed fałszywymi e-mailami o aktywacji klucza bezpieczeństwa iPKO
Do klientów iPKO trafiają e-maile o ponownej aktywacji klucza bezpieczeństwa. Link prowadzi na podrobioną stronę logowania, a bank zaznacza, że jego wiadomości nie zawierają linków.
CERT Polska uruchomił bug bounty dla administracji z pulą miliona złotych
Na platformie hack.cert.pl ruszył program bug bounty dla administracji publicznej. Pula wynosi milion złotych, nagrody sięgają 20 tys. zł, a na start objęto pięć programów, m.in. GOV.PL i mSzyfr.
Pomorski Urząd Wojewódzki zarejestrował 40 tys. cyberataków w 90 dni
System urzędu w Gdańsku był atakowany średnio niemal 450 razy dziennie. Na konta pracowników gdańskiego magistratu w 2025 roku próbowano włamać się ponad 430 tys. razy.
38% Polaków boi się utraty pieniędzy przy zakupach online, głównie przez fałszywe linki
Badanie IBRiS dla Santander Consumer Banku pokazuje, że kupujący w sieci najbardziej boją się fałszywych linków do płatności. Sprzedaży w mediach społecznościowych ufa tylko 29% badanych.
Oszuści podszywają się pod UODO i żądają informacji o monitoringu wizyjnym
Pojawiły się fałszywe prośby wysyłane w imieniu Urzędu Ochrony Danych Osobowych o szczegółowe informacje o monitoringu wizyjnym. W lipcu 2026 UODO nałożył pierwszą karę za prywatny monitoring: 26 711 zł.
PSE utworzą CSIRT Energia do koordynacji incydentów w sektorze energetycznym
Polskie Sieci Elektroenergetyczne utworzą CSIRT Energia. Zespół będzie wspierał spółki energetyczne w reagowaniu na cyberzagrożenia i koordynował obsługę incydentów.
Ponad połowa badanych urzędów nie ma zasad korzystania z AI, wynika z badania Fortinet
Badanie Fortinet w 200 urzędach: 83,5 proc. przypisuje cyberbezpieczeństwu dużą wagę, 72,5 proc. wskazuje zbyt szerokie obowiązki pracowników, a co drugi ocenia kadry jako niewystarczające.
Fałszywe iPKO biznes pod adresem biznes.rzad-pl[.]net wyłudza login, hasło i kod
CERT Orange Polska ostrzega przed phishingiem podszywającym się pod PKO BP. Strona imitująca iPKO biznes przejmuje login, hasło i drugi składnik logowania.
Pięć podatności w ARKETEAM Protectel, poprawki w PROTECTELMAJ 6.5.19 i BDF 6.4.67
CERT Polska koordynował ujawnienie pięciu luk w modułach PROTECTELMAJ i BDF produktu ARKETEAM Protectel, w tym SQL Injection i Stored XSS. Usunięto je w wersjach 6.5.19 i 6.4.67.
Trzy luki XSS w Request Tracker i RTIR, poprawki w wersjach 5.0.11 i 6.0.4
Mateusz Szymaniec z CERT Polska wykrył trzy luki XSS w Request Tracker i RTIR, które można wykorzystać e-mailem bez logowania. Poprawki są w wersjach 5.0.11 i 6.0.4.
Szafir łata trzy luki w buildzie 708 wersji 2.0, Szafir Weryfikująca bez poprawki
CERT Polska ujawnia trzy podatności w programie Szafir: XXE, path traversal i brak weryfikacji certyfikatu. Poprawka jest w buildzie 708 wersji 2.0, Szafir Weryfikująca jej nie dostała.
Dwie luki Stored XSS w Zimbra Collaboration, poprawka w wersji 10.1.21
CERT Polska opisał podatności CVE-2026-66911 i CVE-2026-66912 w Zimbra Collaboration. Spreparowany e-mail uruchamia kod JavaScript w przeglądarce ofiary. Poprawka jest w wersji 10.1.21.
PKO BP wysyła PUSH i SMS po czasowej blokadzie karty za nietypową transakcję
Od 28 października PKO Bank Polski powiadamia w aplikacji IKO i SMS-em o czasowej blokadzie karty po nietypowej płatności lub wypłacie gotówki. O dalszych krokach klient decyduje w IKO.
Wing FTP Server z luką CVE-2026-105420, poprawka w wersji 8.2.6
Luka w Wing FTP Server pozwala administratorowi zapisywać pliki poza folderem bazowym i może prowadzić do zdalnego wykonania kodu jako root. Poprawka jest w wersji 8.2.6.
Oszuści przejmują konta graczy i dopisują się jako dzieci w funkcji rodzinnej
Napastnicy dopisują się jako dzieci do grupy rodzinnej przejętego konta na platformie konsolowej. Takiego członka nie da się usunąć, a może on kupować z podpiętej karty.
CBZC zatrzymało 21 osób za skrypt podrabiający dokument tożsamości z mObywatela
Centralne Biuro Zwalczania Cyberprzestępczości zablokowało fałszywą wersję mObywatela i zatrzymało 21 osób, w tym 13 nieletnich. Trzech pełnoletnich sprawców trafiło do aresztu.
Łódzka cyberpolicja zatrzymała 6 osób za pranie blisko 2 mln zł z oszustw w sieci
Sześć osób w wieku od 19 do 34 lat za opłatą udostępniało przestępcom swoje konta bankowe. Trzy z nich trafiły do aresztu, grozi im do 15 lat więzienia.
Fałszywe e-maile od PKO BP do firm. CERT Polska ostrzega przed wyłudzaniem loginów
CERT Polska ostrzega: oszuści podszywają się pod PKO BP, piszą do firm o aktualizacji dokumentacji i linkiem kierują do fałszywej bankowości, żeby przejąć dane logowania.
KGS Software tia Viewer z luką Stored XSS CVE-2026-105987, poprawka w wersji 1.2.8
Luka CVE-2026-105987 w KGS Software tia Viewer pozwala zalogowanemu napastnikowi umieścić kod JavaScript w adnotacji i przejąć sesję użytkownika. Producent naprawił ją w wersji 1.2.8.
Fotografowie i fotogalerie online udostępniają zdjęcia klientów bez logowania
Niebezpiecznik: w branży fotograficznej powszechne jest udostępnianie danych osobowych klientów, w tym zdjęć ślubnych, bez uwierzytelnienia.
Trzy luki we wtyczce 2FA dla Roundcube pozwalają ominąć drugi składnik logowania
CERT Polska opisał trzy podatności we wtyczce twofactor_gauthenticator dla Roundcube. Atakujący, który zna hasło, może obejść 2FA. Poprawka jest w commicie 4640889.
Fałszywe reklamy na Facebooku i Instagramie prowadzą do firmy AIO Software
Zespół 150proc. STOP SCAM sprawdził 8 mln reklam w mediach społecznościowych, 907 tys. uznał za podejrzane. Ślad techniczny prowadzi do AIO Software, firmy z ZEA powiązanej z Rosją.
CERT Polska ostrzega przed fałszywymi sklepami ze zniczami przed Wszystkimi Świętymi
Fałszywe sklepy ze zniczami i dekoracjami nagrobnymi przy zamówieniu wyłudzają dane kart płatniczych i loginy do bankowości. Do CERT Polska trafiają zgłoszenia takich witryn.
Cztery luki w boneIO Black, dwie poprawione w wersji 1.6.0
CERT Polska opisał cztery podatności w boneIO Black (CVE-2026-77052 do CVE-2026-77055), w tym Node-RED i API bez uwierzytelnienia. Wersja 1.6.0 wymusza logowanie do API i nie zwraca haseł.
Seniorka z Zielonej Góry straciła prawie 290 tys. zł przez reklamę z wizerunkiem polityków
Fałszywa platforma inwestycyjna ze zdjęciami znanych polityków, program zainstalowany z linku od rzekomego doradcy i kilka miesięcy przelewów. Sprawę opisuje policja w Zielonej Górze.
Wyciek z Fakturownia.pl: Centrum Medyczne Luxmed ostrzega klientów
Od 27 do 28 września 2026 r. osoba nieuprawniona skopiowała część bazy Fakturownia.pl. Centrum Medyczne Luxmed w Lublinie ostrzega klientów, których dane były na jego koncie.
Fałszywy mDowód za kilka złotych. Nieletni pokazują podróbki mObywatela w sklepach
Podrobione mDowody udające aplikację mObywatel kosztują w sieci kilka do kilkunastu złotych. Była pracownica Żabki potwierdza, że nieletni pokazują je przy zakupie alkoholu.
CleanShot X dla macOS: luka CVE-2026-16477 pozwala uruchomić kod przez plik projektu
CERT Polska koordynował ujawnienie luki CVE-2026-16477 w CleanShot X. Złośliwy plik .cleanshot uruchamia kod na Macu ofiary. Poprawki są w wersjach 4.5.2, 4.6.3, 4.7.8 i 4.8.10.
Cztery luki w szpitalnym systemie: dokumenty pacjentów bez logowania i kod jako root
CERT Polska koordynował ujawnienie czterech podatności w polskim systemie dla szpitali. Dwie mają poprawkę, dla dwóch pozostałych poprawki jeszcze nie ma.
Sekurak uczy weryfikować e-sklepy technikami OSINT, bezpłatne szkolenie 29 października
29 października o 19:00 Sekurak prowadzi bezpłatne, 90-minutowe szkolenie online o sprawdzaniu wiarygodności sklepów internetowych przy użyciu darmowych narzędzi OSINT.
Nabór na Lokalne Centra Cyberbezpieczeństwa przedłużony do 30 października
Samorządy mają czas do 30 października 2026 r. na wnioski o granty z puli blisko 270 mln zł. Najwięcej obaw budzi obowiązek utrzymania LCC przez 5 lat po grancie.
Fałszywe odszkodowanie za opóźniony pociąg, PKP Intercity ostrzega przed linkiem
Oszuści podpisani jako Intercity obiecują odszkodowanie za opóźnioną podróż. Link nie prowadzi na stronę przewoźnika, a PKP Intercity zaleca skasowanie wiadomości.
Fałszywe SMS-y o dopłacie celnej podszywają się pod Pocztę Polską
CERT Poczty Polskiej wykrył kampanię SMS-ów z żądaniem dopłaty celnej. Link prowadzi do podróbki serwisu operatora, która wyłudza dane kart płatniczych i dane osobowe.
Alior Bank ostrzega przed e-mailami z przyciskiem „Potwierdź dane”
Fałszywe wiadomości prowadzą na stronę udającą logowanie do Alior Banku i mają przejąć dane klienta. Prawdziwa domena serwisu to aliorbank.pl.
SMS o zaległości wobec skarbówki prowadzi na fałszywy e-Urząd Skarbowy i logowanie do
CERT Orange Polska ostrzega przed SMS-ami o rzekomej zaległości wobec urzędu skarbowego. Link prowadzi na podróbkę e-Urzędu Skarbowego, a potem na fałszywe logowanie do banku.
NordVPN dla Windows: luka CVE-2026-106030 pozwala zatrzymywać usługi, poprawka w 8.12
CERT Polska: podatność CVE-2026-106030 w NordVPN dla Windows pozwala lokalnemu użytkownikowi z niskimi uprawnieniami zatrzymywać usługi systemu. Błąd naprawiono w wersji 8.12.
CERT Polska wydał poradnik o komunikacji kryzysowej po incydencie
CERT Polska opublikował jednostronicowy poradnik o tym, co mówić klientom, pracownikom, partnerom i mediom po incydencie. Materiał otwiera nowy portal wiedza.cert.pl.
Raport Pekao: 44 proc. Polaków lub ich bliskich doświadczyło oszustwa lub cyberataku
Bank Pekao SA: różne hasła do serwisów stosuje tylko 38 proc. badanych, kopie zapasowe robi 22 proc., a logowanie dwuskładnikowe włącza 56 proc.
PKO Bank Polski ostrzega przed e-mailami z plikiem Excel o potwierdzeniu operacji
Oszuści podszywają się pod PKO Bank Polski i wysyłają e-maile z plikiem Excel albo linkiem do fałszywej strony logowania. Bank nie wysyła potwierdzeń operacji w plikach .xls.
Luka XXE w narzędziu do modelowania systemów bez poprawki, producent nie odpowiada
CERT Polska ujawnił lukę XXE w programie do modelowania systemów. Spreparowany plik XML pozwala odczytać dowolne pliki z komputera ofiary, a poprawki brak.
Slican: trzy podatności w centralach telefonicznych, poprawka w IPx 6.62.0100
CERT Polska koordynował ujawnienie trzech luk w centralach Slican, w tym SQL Injection w WebCTI. Seria IPx ma poprawkę w wersji 6.62.0100, centrale bez wsparcia aktualizacji nie dostaną.
270 mln zł z FERC na Lokalne Centra Cyberbezpieczeństwa, wnioski do 30 listopada
Partnerstwa gmin i powiatów mają czas do 30 listopada 2026 na wnioski o blisko 270 mln zł z FERC. Dofinansowanie może pokryć nawet 100% kosztów.
Gawkowski wydał rekomendacje dla wodociągów: OT bez internetu, MFA i kopie zapasowe
Pełnomocnik rządu ds. cyberbezpieczeństwa zaleca wodociągom odseparowanie OT od internetu, MFA przy zdalnym dostępie, zmianę domyślnych haseł i kopie zapasowe.
Fałszywe e-maile od Alior Banku prowadzą na domenę aktualizacja-pl[.]net
CERT Orange ostrzega przed phishingiem wymierzonym w klientów Alior Banku. E-maile straszą blokadą konta i prowadzą na podrobioną stronę logowania.
Bank Pekao ostrzega przed telefonami oszustów podszywających się pod bank i policję
Centrum Bezpieczeństwa Banku Pekao S.A. w komunikacie z 12 października 2026 r. ostrzega wszystkich klientów przed telefonami o rzekomym włamaniu na konto.
Payload CMS z luką SQL injection CVE-2026-63316, poprawka w wersji 3.90.0
CERT Polska ujawnił podatność SQL injection w Payload CMS w parametrach in i not_in. Błąd naprawiono w wersjach 3.90.0 oraz 4.0.0-canary.34.
Dane 130 tys. członków polskiego związku sportowego wciąż dostępne przez SQL injection
Badacze zgłosili lukę przez CERT Polska w kwietniu 2025 roku. Według nich dodany później WAF nie zablokował błędu, a imiona, nazwiska i daty urodzenia nadal da się pobrać.
Ollama: luka CVE-2026-103663 pozwala wykonać kod jako root, poprawka w 0.35.0
CERT Polska opisał podatność path traversal w endpoincie /api/pull Ollama. Atakujący bez logowania może podrzucić plik, który uruchomi się z uprawnieniami root. Poprawka jest w wersji 0.35.0.
Akt oskarżenia wobec 5 osób za pobranie z eWUŚ danych ponad 11 mln pacjentów NFZ
Prokuratura Regionalna w Poznaniu oskarżyła 5 osób, które przez przejęte konta pracowników placówek korzystających z MyDr pobrały z eWUŚ dane ponad 11 mln świadczeniobiorców NFZ.
ENEL-MED powiadamia pacjentów o kradzieży danych, w tym danych o zdrowiu
Centrum Medyczne ENEL-MED wykryło cyberatak 24 września 2026 r. Napastnik pobrał dane pacjentów, w tym dane o zdrowiu i dane kontaktowe. Numery PESEL nie wyciekły.
IQ Dental: nieuprawniony dostęp do danych pacjentów 36 gabinetów stomatologicznych
1 października przez osiem godzin ktoś miał dostęp do konta administratora IQ Dental i przez API pobierał dane pacjentów i wizyt z 36 placówek. Spółka zaleca zgłoszenie do UODO i włączenie 2FA.
NSA: kamera obejmująca posesję sąsiada narusza RODO mimo maski prywatności
Naczelny Sąd Administracyjny orzekł 8 września (III OSK 649/24), że nagrywanie cudzej posesji narusza RODO, nawet gdy kamera zaczernia jej fragment maską prywatności.
Błąd IDOR w panelu wydawcy Legimi ujawnił dokumenty 183 osób
22 września osoba nieuprawniona wykorzystała błąd kontroli uprawnień w panelu wydawcy Legimi i pobrała dokumenty 183 osób. Firma wdrożyła poprawkę i zgłosiła naruszenie Prezesowi UODO.
GNU Aspell z trzema podatnościami, poprawki trafią do wersji 0.60.8.3
CERT Polska ujawnił trzy luki w GNU Aspell, które przez spreparowane pliki mogą wywołać awarię procesu lub wyciek danych z pamięci. Poprawki wejdą do wersji 0.60.8.3.
Fałszywi kontrolerzy biletów pobierają płatności zbliżeniowe w komunikacji miejskiej
Oszuści podający się za kontrolerów podsuwają pasażerom zamaskowany terminal płatniczy. Rzecznik Finansowy wskazuje, że bank powinien zwrócić taką transakcję.
Włamanie do Wakacje.pl: wyciekły dane osobowe i paszportowe klientów
29 września ktoś włamał się do systemu obsługi klientów Wakacje.pl i kilku skrzynek pracowników. Spółka zaleca zastrzeżenie paszportu i ostrożność wobec próśb o płatność.
Cyberkaretka za milion złotych pomoże szpitalom po ataku ransomware
Ministerstwo Zdrowia i Centrum e-Zdrowia uruchomiły mobilną serwerownię z KPO. Wjedzie do szpitala, który po ataku ransomware stracił prąd, sieć albo internet.
CERT Polska zachęca, by zapisać w kontaktach numer 8080 do zgłaszania podejrzanych SMS-ów
Numer 8080 obsługiwany przez CERT Polska przyjmuje podejrzane SMS-y do analizy. Wiadomość przekazuje się w całości, razem z nazwą lub numerem nadawcy.
Ataki na routery MikroTik: minister zaleca aktualizację RouterOS do 7.24.2 lub 6.49.21
CERT Polska wykrył ataki łączące dwie luki w MikroTik RouterOS, które pozwalają przejąć router bez uwierzytelniania przez SSH. Minister cyfryzacji zaleca aktualizację i sprawdzenie urządzeń.
Fakturownia informuje klientów o wycieku obejmującym każde konto w serwisie
Fakturownia rozesłała klientom informację o wycieku. Incydent dotyczy każdego konta, a strona statusu wymienia, jakie dane wyciekły i z jakiego okresu.
FELG potwierdza wyciek danych, sprawca podaje 2,4 mln pacjentów stomatologów
Twórca oprogramowania dla gabinetów stomatologicznych potwierdził incydent. Według firmy wyciek może dotyczyć około 2 mln osób, w tym numerów PESEL, danych medycznych i e-recept.
FELG Software potwierdza atak, napastnicy deklarują dane 2,4 mln pacjentów
Dostawca oprogramowania dla 16 000 gabinetów dentystycznych zgłosił incydent do prokuratury i UODO. Grupa Horus twierdzi, że ma dane 2,4 mln pacjentów z numerami PESEL oraz 1,2 mln recept.
CBZC zatrzymało dwóch Polaków, którzy obiecywali ofiarom oszustw odzyskanie pieniędzy
Grupa działająca w Polsce i we Włoszech brała na cel osoby poszkodowane w oszustwach inwestycyjnych i przejmowała ich konta na giełdach kryptowalut. Obaj podejrzani są w areszcie.
UODO pyta GIF, czy systemy w ponad 4 tys. aptek przekazywały hurtowniom dane pacjentów
Prezes UODO chce ustalić, czy moduły raportujące w aptekach wysyłały do hurtowni Neuca, Farmacol i PGF nie tylko dane o sprzedaży, ale też PESEL i informacje o zdrowiu pacjentów.
Włamanie do Fakturowni: mogły wyciec skróty haseł, numery kont i faktury
Napastnik wykorzystał lukę w systemach Fakturowni, z której korzysta ponad 600 tysięcy firm. Ministerstwo Finansów podaje, że KSeF nie został naruszony.
Włamanie do Fakturownia.pl, atakujący mógł wykraść faktury i dane kontrahentów
Fakturownia.pl potwierdziła incydent: mogły wyciec faktury, dane kontrahentów, skróty haseł i tokeny. Spółka unieważniła klientom tylko klucze API.
ENISA: 38 proc. cyberataków w Europie wymierzono w sektor publiczny
Według ENISA udział sektora publicznego w udokumentowanych cyberatakach wzrósł w ciągu roku z 19 do 38 proc. Blisko 9 na 10 instytucji publicznych w Europie straciło dane.
NASK zbuduje Krajowe Centrum Odzyskiwania Danych za 360 mln zł
Krajowe Centrum Odzyskiwania Danych powstanie w strukturach NASK. Jego eksperci mają pomagać zaatakowanym podmiotom odzyskać dane i przywrócić działanie już minuty po wykryciu ataku.
1470 zł kary od UODO za kamerę obejmującą posesję sąsiadów mimo prawomocnego zakazu
Prezes UODO ukarał mieszkańca, który mimo prawomocnej decyzji dalej nagrywał posesję sąsiadów i drogę publiczną, a nagrania przekazywał policji.
NIK: sześciu z ośmiu operatorów usług kluczowych ignorowało krytyczne alerty
Żaden z ośmiu operatorów energii, wody i transportu skontrolowanych przez NIK nie zapewnił systemom odporności. Sześciu systematycznie ignorowało krytyczne alerty.
Fałszywy konsultant banku dzwoni z numeru infolinii i każe instalować AnyDesk
Przestępcy podrabiają numer infolinii banku, straszą blokadą konta i proszą o kody SMS albo o instalację AnyDesk lub TeamViewer.
Cyberatak na ENEL-MED, napastnicy mieli dostęp do danych do 3 proc. pacjentów
ENEL-MED wykrył 24 września 2026 r. incydent, w którym uzyskano dostęp do danych co najwyżej 3 proc. pacjentów. Spółka zaleca zastrzec PESEL i ostrożnie reagować na SMS-y, e-maile i telefony.
UODO skontroluje Qbusoft po wycieku danych medycznych z systemu Medyc
Po cyberataku na system Medyc mogły wyciec dane medyczne nawet 5 mln Polaków. Prezes UODO zapowiedział kontrolę w Qbusoft, a firma nie zgłosiła incydentu do CERT Polska ani CSIRT CeZ.
Fingerprint twierdzi, że wykradł z Fakturownia.pl dane klientów i 6 TB faktur
Sprawca włamań do dwóch serwisów medycznych przekazał zrzuty ekranu z dostępu do serwera aplikacji i eksportu bazy Fakturownia.pl. Skali wycieku nie potwierdzono.
Luka CSRF w Quick.Cart (CVE-2026-41875) pozwala zmienić login i hasło administratora
CERT Polska opisał podatność CVE-2026-41875 w Quick.Cart. Spreparowana strona może zmienić dane logowania administratora. Poprawka jest w łatce do wersji 6.7.
Luka CVE-2026-85520 w module Google Merchant Center Feed dla PrestaShop
Moduł MyPresta Google Merchant Center Feed dla PrestaShop pozwala bez logowania zapisać na serwerze plik i wykonać kod PHP. Poprawka jest w wersji 2.3.9.
Das U-Boot z CVE-2026-15390 pozwala wykonać kod, poprawka jest w wersji 2026.07
CERT Polska ujawnił podatność CVE-2026-15390 w Das U-Boot. Przy włączonym CONFIG_IP_DEFRAG=y zduplikowane fragmenty IP pozwalają wykonać dowolny kod. Poprawka jest w wersji 2026.07.
Eskalacja uprawnień w narzędziu do dokumentów dla Windows, poprawki jeszcze nie ma
CERT Polska opisał lukę w narzędziu do przetwarzania dokumentów dla Windows. Lokalny użytkownik może wykonać kod z uprawnieniami innego procesu. Poprawki na razie nie ma.
Pekao ostrzega wszystkich klientów przed wyłudzeniami z użyciem danych osobowych
Bank Pekao S.A. przypomina, że dane osobowe i kontaktowe służą do wyłudzeń. Przy podejrzeniu oszustwa radzi zastrzec karty i zablokować dostęp pod numerem 519 222 222.
Enel-Med potwierdza nieuprawniony dostęp do danych części pacjentów
Centrum Medyczne Enel-Med wykryło 24 września nieuprawniony dostęp do części infrastruktury IT. Naruszenie może dotyczyć ok. 3 proc. bazy pacjentów.
Kraków ostrzega przed fałszywymi kodami QR na parkomatach
Urząd Miasta Krakowa ostrzega przed naklejkami z kodem QR na parkomatach. Kod prowadzi do nieznanej aplikacji, która przejmuje dane karty płatniczej.
Enel-Med potwierdza cyberatak, naruszenie może dotyczyć ok. 20 tys. pacjentów
Enel-Med 24 września wykrył nieuprawniony dostęp do części infrastruktury i danych pacjentów. Naruszenie może dotyczyć ok. 3 proc. z ok. 700 tys. osób w bazie.
Wyciek w Enel-Med i do 2660 ataków tygodniowo na polskie organizacje
Enel-Med wykrył 24 września nieuprawniony dostęp do części infrastruktury IT, naruszenie objęło około 3% klientów. Check Point Research: polskie organizacje odpierają 2110-2660 ataków tygodniowo.
Fałszywe oferty pracy od Adecco i Randstad w SMS-ach kończą się żądaniem przelewu
CERT Orange Polska blokuje coraz więcej SMS-ów podszywających się pod Adecco i Randstad. Oszuści na Telegramie najpierw wypłacają pieniądze, potem żądają przelewów do dziesiątek tysięcy zł.
Wyciek danych pacjentów z aplikacji Medyc.pl, za atakiem stoją sprawcy wycieku MyDr
Z systemów Qbusoft, producenta aplikacji gabinetowej Medyc.pl, wykradziono bazę z PESEL, adresami i telefonami pacjentów. Sprawcą jest „fingerprint” od wycieku MyDr.
Wyciek z oprogramowania Medyc: PESEL i wypisy szpitalne pacjentów placówek medycznych
Przez podatność SQL injection skradziono bazę dostawcy oprogramowania medycznego Medyc. Wśród danych są imiona, nazwiska, PESEL i prawdopodobnie wypisy szpitalne.
Dwie luki w routerze pozwalają bez logowania pobrać konfigurację i przejąć sesję
CERT Polska ujawnił dwie podatności w oprogramowaniu układowym routera. Atakujący bez logowania pobierze kopię konfiguracji i uzyska identyfikator sesji. Poprawki na razie nie ma.
Trzy luki w programie do obsługi płac, producent nie odpowiada i poprawki brak
CERT Polska ujawnił trzy podatności w oprogramowaniu płacowym, w tym dwie do wykorzystania bez logowania. Producent nie odpowiedział na zgłoszenie, poprawki nie ma.
Pięć luk w module automatyki budynku, w tym stały klucz SSH do konta root, bez poprawki
CERT Polska ujawnił pięć podatności w module smart home do automatyki budynku. Stały klucz SSH daje dostęp root, a API w sieci lokalnej działa bez uwierzytelnienia. Poprawki na razie nie ma.
Po wycieku z MyDr ministerstwo zapowiada przepisy o bezpieczeństwie danych medycznych
Krzysztof Gawkowski zapowiada nowe przepisy po atakach na MyDr, Zdrowit, Enel-Med i Qbusoft. CSIRT CeZ wydał 16 września zalecenia dla podmiotów medycznych.
Fałszywe SMS-y o opłacie parkingowej wyłudzają dane karty, ostrzega CERT Polska
CERT Polska ostrzega przed powracającą kampanią SMS o rzekomo zaległej opłacie parkingowej. Link prowadzi do fałszywej strony, która wyłudza dane karty i numer rejestracyjny.
Strona do sprawdzania numerów wyłudziła PIN i uruchomiła płatną subskrypcję SMS
CERT Orange opisał przypadek internautki, której po wpisaniu PIN-u na stronie do sprawdzania numerów zaczęto naliczać cykliczne opłaty. Subskrypcję odwołuje SMS o treści STOP.
Enel-Med zgłasza incydent bezpieczeństwa IT i naruszenie poufności danych
Enel-Med poinformował o incydencie bezpieczeństwa IT i naruszeniu poufności danych, o którym dowiedział się wieczorem 24 września. Skala i zakres danych nie są znane.
Atak na system Medyc: sprawcy twierdzą, że mają dane 5 mln pacjentów i 8 mln zdjęć
Grupa „fingerprint” twierdzi, że wykradła z systemu Medyc firmy Qbusoft dane 5 mln pacjentów i 8 mln zdjęć. Incydent potwierdził minister Gawkowski, danych dotąd nie opublikowano.
Zdrowit S.A. potwierdza cyberatak, przestępcy opublikowali plik 90 GB
Zdrowit S.A. potwierdziła nieuprawniony dostęp do systemów IT i zaszyfrowanie części zasobów. Przestępcy opublikowali plik 90 GB, który ma zawierać wykradzione dane.
Fałszywa „aktualizacja PDF” z Facebooka prowadziła do aplikacji Messenger Pro w Google
CERT Polska: reklamy na Facebooku o „aktualizacji PDF” prowadziły do aplikacji Messenger Pro w Google Play, która na telefonach z polską kartą SIM pobierała moduł wysyłający SMS Premium.
WEBCON BPS: luka CVE-2026-92419 ujawnia grafiki urlopów innych pracowników
CERT Polska opisał lukę IDOR w WEBCON BPS: zalogowany użytkownik mógł podejrzeć urlopy innych pracowników. Poprawka jest w wersjach 2025.2.1.177 i 2026.1.1.20.
Fałszywe reklamy Meta prowadziły do 17 aplikacji z toll fraud w Google Play
CERT Polska zabezpieczył 1235 reklam Meta. 852 z nich promowały 17 aplikacji z Google Play, m.in. Messenger Pro, która na polskich telefonach uruchamiała płatne usługi bez zgody abonenta.
SMS z ofertą 35 euro za godzinę prowadzi na Telegram do rzekomej rekruterki
Polacy dostają SMS-y z ofertą pracy zdalnej za 35 euro na godzinę i 10 euro za samą odpowiedź. Link prowadzi na Telegram, wiadomości podszywają się pod znane biuro pośrednictwa pracy.
CERT Polska ostrzega przed fałszywymi sklepami Militaria.pl w reklamach na Facebooku
CERT Polska odnotował wzrost liczby reklam w mediach społecznościowych prowadzących do stron podszywających się pod sklep Militaria.pl. Zniżki sięgają 80 i 90 procent.
CERT Orange o SMS-ach z rzekomą weryfikacją pracownika banku
CERT Orange opisuje falę SMS-ów z kodem i nazwiskiem konsultanta, wysyłanych przez oszusta w trakcie rozmowy. Nadawcy podszywają się pod PKO BP, ING, mBank i NBP.
MikroTik łata RouterOS, część luk zgłosił CERT Polska
MikroTik wydał 3 września 2026 poprawki RouterOS 7.25beta3, 7.24.2, 7.23.4 i 6.49.21. Część podatności zgłosił CERT Polska w ramach skoordynowanego ujawniania.
20-latek z Sosnowca z 17 zarzutami oszustw przy sprzedaży sprzętu
Sąd zdecydował o trzymiesięcznym areszcie dla 20-latka z Sosnowca. Usłyszał 17 zarzutów oszustw przy ogłoszeniach sprzedaży telefonów i laptopów od czerwca do listopada 2024 r.
Radio Rekord Mazowsze bez sygnalu po ataku, antena milczala do nastepnego dnia
6 wrzesnia Radio Rekord Mazowsze 88,7 FM stracilo program po ataku hakerskim. Nadawanie przywrocono dopiero nastepnego dnia, po kilkunastu godzinach ciszy.
Fałszywy SMS klika 29,4 proc. pracowników, e-mail tylko 4,5 proc
W symulacjach Nimblr link w fałszywym SMS-ie kliknęło 29,4 proc. pracowników, przy 4,5 proc. dla phishingu e-mailowego. CERT Polska: 1,9 mln zablokowanych SMS-ów w 2025 r.
Zastrzeżony PESEL: zmiana raz na 30 minut, blokada przy wypłacie
Status PESEL w mObywatelu można przełączać najwyżej raz na 30 minut. Przy wypłacie powyżej 12 tys. zł bank wstrzyma pieniądze na 12 godzin, jeśli numer był zastrzeżony.
Fałszywe SMS-y od GITD o mandacie za autostradę wyłudzają dane karty
CERT Orange Polska ostrzega przed SMS-ami rzekomo od GITD o nieopłaconym przejeździe autostradą. Link prowadzi do fałszywej strony rządowej, która wyłudza numer karty, datę ważności i CVV.
SMS z kodem i nazwiskiem „doradcy banku” uwiarygadnia oszusta w trakcie rozmowy
CERT Orange Polska wykrył serię SMS-ów bez linków, które oszust wysyła podczas rozmowy telefonicznej, żeby klient uznał go za prawdziwego doradcę banku.
PKO Bank Polski ostrzega przed SMS-ami o nowej aplikacji i stronie logowania
PKO Bank Polski ostrzega klientów przed wiadomościami z linkiem do rzekomo nowej aplikacji lub strony logowania. Bank nie wysyła takich linków i nie prosi o BLIK ani hasło.
Fałszywe e-maile PGE obiecują 998 zł zwrotu i wyłudzają dane karty
CERT Polska ostrzega przed kampanią phishingową, w której oszuści podszywają się pod PGE. Wiadomość o błędzie kalibracji APZ prowadzi do fałszywego eBOK, który wyłudza login oraz numer karty z kodem CVV.
Revolut przekazał dane klientów oszustom, sprawcy żądają 10 000 BTC okupu
Przestępcy podszyli się pod agencję rządową i wyłudzili od Revoluta dane części klientów. Teraz je publikują i żądają okupu. Wśród poszkodowanych mają być Polacy.
Instrat: ponad jedna trzecia przychodów Mety z Polski pochodzi z oszukańczych reklam
Fundacja Instrat szacuje, że Meta zarabia w Polsce na oszukańczych reklamach około 760 mln zł rocznie, czyli około 2,08 mln zł dziennie.
CERT Polska ostrzega przed fałszywymi e-mailami o włączeniu Amazon Prime
CERT Polska opisuje kampanię phishingową pod szyldem Amazon. Link do anulowania rzekomej subskrypcji Prime prowadzi na stronę, która wyłudza hasło do poczty i dane karty.
SMS bez linku z nazwiskiem doradcy. CERT Orange Polska opisuje nowe oszustwo na bank
CERT Orange Polska wykrył kampanię, w której fałszywy doradca banku w trakcie rozmowy wysyła SMS z nazwiskiem i kodem. Wiadomość nie ma linku i jest podpisana ing24, ipko24, mBank lub alior24.
Pięć luk w routerach 5G pozwala wejść do panelu bez logowania i odczytać hasła
CERT Polska koordynował ujawnienie pięciu podatności w oprogramowaniu układowym routerów 5G. Pozwalają one ominąć logowanie, wstrzyknąć polecenia systemowe i pobrać hasło administratora oraz WiFi.
Pacjent żąda 30 tys. zł za wyciek danych z MyDr, po 10 tys. zł za każdą placówkę
Pan Przemysław, którego dane wyciekły z MyDr, domaga się w wezwaniu przedsądowym 30 tys. zł zadośćuczynienia. Prawnik przypomina, że poszkodowany musi wykazać szkodę i jej związek z naruszeniem.
Fałszywy OLX z prawdziwym ogłoszeniem ofiary prowadzi do podstawionej strony banku
SMS o weryfikacji konta, najczęściej od nadawcy Verify, prowadzi do kopii prawdziwego ogłoszenia z danymi sprzedającego. Kilka ekranów dalej oszuści podstawiają fałszywą stronę banku.
Pięć osób oskarżonych o fałszywe sklepy internetowe, 496 poszkodowanych klientów
Prokuratura Regionalna w Katowicach oskarżyła pięć osób o prowadzenie fałszywych sklepów idealoffice[.]pl i lesportif[.]pl. Straty co najmniej 496 klientów to 785 738,20 zł.
VeloBank ostrzega przed smishingiem: fałszywe SMS-y trafiają do wątku z bankiem
VeloBank ostrzega przed SMS-ami o blokadzie konta, dopłacie do przesyłki i zwrocie podatku. Podejrzane wiadomości można bezpłatnie zgłaszać na numer 8080 CSIRT NASK.
CERT Polska: fałszywy eUrząd Skarbowy wyłudza dane logowania, PESEL i dane kart
CERT Polska ostrzega przed wiadomościami o zwrocie nadpłaty podatku. Link prowadzi do fałszywego eUrzędu Skarbowego, który wyłudza dane logowania, PESEL i dane kart płatniczych.
Fałszywe faktury Play na blisko 157 zł wyłudzają dane karty płatniczej
CyberRescue ostrzega przed nową kampanią maili z fałszywą fakturą Play na blisko 157 zł. Link prowadzi do podróbki portalu operatora, która wyłudza e-mail, numer telefonu i dane karty.
Moduł „raty” Alior Banku dla PrestaShop z dwiema lukami SQL Injection, poprawka w 9.0.8
CERT Polska opisał dwie podatności SQL Injection w module „raty” Alior Banku dla PrestaShop (CVE-2026-7848 i CVE-2026-15600). Obie usuwają wersje 9.0.8 i 8.1.12.
CERT Orange Polska ostrzega przed aplikacją MandatGO, która instaluje trojana Koktevrat
Fałszywa aplikacja MandatGO jest reklamowana na Facebooku jako sposób na tańsze mandaty. Instaluje na Androidzie trojana Koktevrat, który przejmuje SMS, schowek i dane logowania do banku.
Policja ostrzega przed fałszywym mObywatelem, podróbkę kupiło ponad 3000 osób
Fałszywe aplikacje i zrzuty ekranu udające mObywatela służą do wyłudzania towarów i usług. W lutym 2026 roku policja zatrzymała cztery osoby, które sprzedawały podróbkę.
drEryk Gabinet przed wersją 11.5.0 ma zaszyte poświadczenia API (CVE-2026-17038)
CERT Polska: drEryk Gabinet w wersjach starszych niż 11.5.0 ma zaszyte poświadczenia API. Pozwalają one odczytywać i modyfikować zgłoszenia. Poprawka jest w wersji 11.5.0.
CERT Polska: dwie krytyczne luki w MikroTik RouterOS wykorzystywane na żywo
Sześć podatności, dwie krytyczne. Ich połączenie, nazwane MikroTrick, daje pełną kontrolę nad urządzeniem bez logowania i jest już wykorzystywane na routerach z SSH w internecie.
Podatność w GNU wget zgłoszona przez polski zespół AFINE
CVE-2026-16599: serwer FTP może zawiesić klienta wget spreparowanym numerem sekwencji w uwierzytelnianiu OPIE/S-KEY. Dotyczy wszystkich wersji do 1.25.0 włącznie.