W biegu

Epoka koronawirusa chyba sprzyja przetępcom. Co dopiero pisaliśmy o oszustwie na amerykańskiego żołnierza (skradziono 350 000 PLN), czy o rolniku, z którego konta wyczyszczono ~400 000 PLN. Teraz czas na coś nowego – dziennik.pl donosi o oszustwie na kryptowalutę, w wyniku którego 82-latek stracił 60 000 PLN. Możecie zapytać –…

Niektórzy zastanawiają się czy w krótkim czasie można uzyskać nieautoryzowany dostęp do rozwiązania e-commerce, inni rozmyślają nad RODO (w końcu wskazuje ono na regularne testowanie bezpieczeństwa). W każdym razie proponujemy Wam pełną symulację ataku na sklep (tzw. testy penetracyjne czy audyt bezpieczeństwa, a jako efekt przedstawiamy raport, który wskazuje następujące…

Jeśli ktoś jakimś przypadkiem nie kojarzy jeszcze podatności XSS, powinien nadrobić zaległości. W obecnych czasach ten problem potrafi przerodzić się m.in. w RCE (wykonanie kodu) u ofiary. Świeżym przypadkiem ilustrującym problem jest Cisco Jabber – czyli wygodny, okienkowy komunikator: Wygląda jak normalna aplikacja, prawda? W zasadzie tak, tylko pod spodem…

Ostatnio coraz głośniej o grubych oszustwach ocierających się o cybersecurity czy socjotechnikę. Wczoraj pisaliśmy o akcji z duplikatem karty SIM (poszkodowany rolnik stracił  ~400 000 PLN), dzisiaj dwa słowa o akcji socjotechnicznej, o której donosi świętokrzyska policja: Pod koniec lipca, 39-latka za pośrednictwem jednego z portali społecznościowych poznała mężczyznę, który…

Kolejny przypadek ataku SIM Swap opisuje Polsat News: Rolnik Zbigniew Kołodziej spod Świebodzina padł ofiarą oszustów, którzy przejęli dostęp do prowadzonych przez niego internetowych kont bankowych. W sumie wybrali 370 tys. zł. Udało im się to, bo wyrobili duplikat jego karty SIM. Atak zaczął się, gdy panu Zbigniewowi nagle przestał…

UODO doniósł o tym fakcie dość lakonicznie (szczegóły zapewne pojawią się ~na dniach): Dziś WSA w Warszawie potwierdził zasadność kary nałożonej przez Prezesa UODO na spółkę https://t.co/5oS4Wilqar. Szczegóły dot. nałożenia kary na https://t.co/5oS4Wilqar dostępne są pod linkiem: https://t.co/p31iYETNj9 — Urząd Ochrony Danych Osobowych (@UODOgov_pl) September 3, 2020 Chodzi o sprawę…

Wysokości nagród w ramach programów bug bounty bywają naprawdę różne. Ostatnio pisaliśmy o krytycznej podatności w Slacku, za którą wypłacono zaledwie $1750, co nieco wzburzyło środowisko researcherów. Tym razem mamy pozytywny przykład solidnego bounty ($22500). Opis podatności w Shopify może być momentami lekko niejasny (choć dostępny jest również film :)…

Od kilku dni głośno jest o błędzie w Slacku, który umożliwiał wykonanie dowolnego kodu na komputerze, gdzie jedyną interakcją użytkownika było kliknięcie na wiadomość: Aplikacja Slacka opiera się o Electrona, zatem jest de facto aplikacją webową „udającą” aplikację desktopową. W normalnej przeglądarce webowej, JavaScript jest sandboxowany; nie ma więc możliwości…

Pojedynczy przypadek czy hurtowa sprawa? O sporym problemie donosi jeden z użytkowników Wykopu: Trochę ponad tydzień temu zakupiłem sobie starter Play i od razu zarejestrowałem numer w sklepie. W domu instaluję aplikację Play24 w celu aktywacji promocyjnych 100GB. Ku mojemu zdziwieniu kod pin został wysłany na inny numer, niż ma…

Teraz kiedy puścimy jakieś śmieci na produkcję, będzie można powiedzieć – „dołączyliśmy do najlepszych” ;-) Najpierw mBank, teraz Microsoft: Doniesienia o testowych komunikatach w różnej liczbie, pojawiają się w zasadzie z całego świata, również z Polski. Microsoft na razie nie wie o co chodzi: Niektórzy sugerują, że może być to hack…

Jak donosi The Hackers News, Rosjanin jak gdyby nigdy nic wjechał do USA na wizie turystycznej a następnie zaproponował solidną łapówkę za instalację backdoora w infrastrukturze pewnej firmy. Na dalszym etapie całość miała służyć do propagacji ransomware: The FBI has arrested a Russian national who recently traveled to the United…

Ataki phishingowe to już codzienność, a obrona przed nimi może polegać wielu czynnikach. Jednym ze sposobów na skuteczne uchronienie się przed skutkami phishingu jest MFA, ale czy zawsze jest ono w pełni skuteczne? Uwierzytelnienie wieloskładnikowe (MFA) przedstawiane jest jako zabezpieczenie przed 99,9% ataków phishingowych (jak twierdzi Microsoft) i powinno być…

Koledż w Michigan postanowił walczyć z COVID za pomocą broni atomowej. W jej rolę wcieliła się appka, która urzeczywistnia chyba wszystkie czarne sny obrońców prywatności. Po pierwsze aplikacja jest obowiązkowa, po drugie śledzi lokalizację użytkowników w trybie 24/7: There’s a catch. The app is designed to track students’ real-time locations around the…

ZDNet donosi: (…) criminal gangs appear to have found a bug in the software of Santander ATMs. The bug allowed members of criminal groups to use fake debit cards or valid preloaded debit cards to withdraw more funds from ATMs than the cards were storing. W USA aresztowano już dziesiątki…

Wszystkie tematy z tytułu mamy nagrane w ramach regularnego remote Sekurak Hacking Party (lista poniżej). Najbliższe wydarzenie jest 19.08.2020, 20:00 (jeszcze można się zapisać :) Jak uzyskać dostęp do wszystkich prezentacji poniżej oraz awansem – kolejnych? Wystarczy wykupić u nas dowolny abonament dostępowy na udział w rSHP. W abonamencie uzyskujecie dostęp…