W biegu

Masz kamerkę składującą informacje w cloudzie, więc w sumie wygodnie, możesz zobaczyć z poziomu smartfona co tam ciekawego działo się w domu/mieszkaniu. Nie trzeba też backupów. Wszystko OK, ale pytanie czy pracownicy danej firmy nie uzyskują dostępu do nagrań z kamer? FTC właśnie podniosło ten problem w przypadku RINGa (wykupionego…

Wpis (https://securelist[.]com/operation-triangulation/109842/) zaczyna się tak: While monitoring the network traffic of our own corporate Wi-Fi network dedicated for mobile devices using the Kaspersky Unified Monitoring and Analysis Platform (KUMA), we noticed suspicious activity that originated from several iOS-based phones. Co okazało się po analizie telefonów? Kaspersky zaznacza, że kampania cały…

Jeden z czytelników poinformował nas o takim e-mailu rozsyłanym do wybranych szkół przez Librus. Email wysyłany jest z adresu: librus@librusmail.pl co może budzić podejrzenie, że to jakaś próba phishingu. To nie phishing. W każdym razie czytamy tam: Nasi regularni czytelnicy zapewne podejrzewają, że może chodzić o ostatnią aferę z dużym…

O podatności w urządzeniach Barracuda pisaliśmy niedawno. Teraz pojawiło się więcej informacji. Exploit był dość prosty i polegał na wysłaniu złośliwego maila do odbiorcy-celu. Mail trafiał na bramkę pocztową, która miała filtrować złośliwe maile. Ale tutaj klops – sama bramka była atakowana oraz infekowana: The vulnerability stemmed from incomplete input…

Na stronie Politechniki można zobaczyć taki komunikat: Jeśli poszukamy nieco więcej informacji o „awarii”, znajdziemy takie oświadczenie: Trochę niejasne jest wskazane powiązanie ćwiczeń z awarią infrastruktury przeciwpożarowej. W każdym razie wygląda na to, że pył gaśniczy trwale unieruchomił serwery. Poza stroną informacyjną, nie działa szereg aplikacji / usług oferowanych przez…

Obserwujemy trochę skrajnych podejść jeśli chodzi o temat, który jako pierwszy opisała Z3S. Tutaj możesz sprawdzić czy Twoje dane znalazły się w wycieku. Rzeczywiście w sieci pojawiła się duża baza (czy raczej plik) zwierający dane należące w dużej mierze do polskich użytkowników (m.in. adresy / loginy / hasła). Warto jednak…

Chodzi o ostatni „incydent”, o którym jeszcze napiszemy. Tymczasem zerknijcie na tego tweeta: No właśnie, bezpiecznedane.gov.pl wymagają zalogowania Profilem Zaufanym (więc przynajmniej w teorii administratorzy serwisu wiedzą, kto wyszukiwał jakie dane), później mamy dostęp do prostej wyszukiwarki: Jak widać pojawiają się tutaj również pierwsze znaki hasła: Dla pewności – wpis…

Uwierzytelnienie vs. autoryzacja Różnica pomiędzy uwierzytelnieniem (ang. authentication) i autoryzacją (ang. authorization) została już wyjaśniona w niejednej publikacji, więc tylko sobie przypomnijmy: proces uwierzytelnienia potwierdza, że na pewno jesteśmy osobą, za którą się podajemy, a autoryzacja sprawdza, do czego mamy dostęp jako ta osoba. Intuicyjnym przykładem jest budynek firmy i…

Scamy z falszywym policjantem raczej nie słabną, ostatnio wspominaliśmy o takim przypadku sygnalizowanym przez policję w Malborku: Do 83-latki, na telefon stacjonarny, zadzwonił mężczyzna. Rozmówca przedstawił się jako policjant i poinformował kobietę, że wspólnie z prokuratorem rozpracowuje grupę przestępczą dokonującą kradzieży pieniędzy z kont bankowych. Twierdził, że pieniądze seniorki na…

Dość prosty, ale niestety skuteczny scam opisuje właśnie mazowiecka policja: (…) podszyli się pod prezesa siedleckiej firmy, stworzyli adres mailowy łudząco podobny do tego prawdziwego i przesłali księgowej spreparowaną fakturę do zapłaty na kwotę ponad 12 tys. zł. Kobieta z racji tego, że wielokrotnie otrzymywała takie polecenia od szefa drogą…

Wspomniana w tytule podatność została zidentyfikowana w urządzeniu od Barracuda. Więcej szczegółów znajdziecie tutaj. Gratulacje dla autora opisu, bo mamy tutaj samą esencję: A remote command injection vulnerability exists in the Barracuda Email Security Gateway (appliance form factor only) product effecting versions 5.1.3.001-9.2.0.006. The vulnerability arises out of a failure…

Czytelnicy informują nas o takim SMSie, który otrzymuje część klientów banku ING: Wg innej relacji ING podaje nieco więcej informacji na chacie: Otrzymaliśmy alert o tym, że u jednego z merchantów/sprzedawców nastąpił wyciek danych. Dlatego wysłaliśmy SMS z taką informacją oraz profilaktycznie zablokowaliśmy kartę i dodatkowo: „nie mogą poinformować skąd…

Podatność jest nietypowa, bo opiera się na automatycznym rozwiązaniu wartości URN. Od strony technicznej, badacz pisze tak: It is possible to trigger a URN resolution by assigning an URN value to a text field inside a profile and using a decoration expansion in a voyager query. W bardziej dosadny sposób,…

Tym razem antybohaterem jest plugin Beautiful Cookie Consent Banner. Może i jest „Beautiful”, ale nie jest – czy raczej nie był – bezpieczny. Ktoś namierzył w nim podatność klasy persistent XSS (jeśli ktoś nie czuje się pewnie w temacie tej podatności – może nadrobić zaległości, czytając bezpłatny rozdział naszej książki)….

Niecodzienna historia miała miejsce jakiś czas temu w Wielkiej Brytanii. Najpierw pewna firma „oberwała” ransomware. Standardowa historia: ransom note + informacja e-mailem gdzie należy wpłacić środki (w kryptowalucie) aby uzyskać dostęp do zdeszyfrowanych danych / uniknąć ujawnienia danych. Teraz wkracza do akcji ekipa pracowników specjalizujących się w cyberbezpieczeństwie. A co…