Akademia NIS2/KSC2 od sekuraka. 19 października start drugiej edycji!
Konferencja Mega Sekurak Hacking Party w Krakowie – 26-27 października!
Wg relacji wyciekło właśnie 6TB danych z Fakturowni…
Wg relacji Zaufanej Trzeciej Strony atakujący twierdzi, że wykradł 6 TB faktur, a dostał się do systemu za pomocą wykorzystania pewnej podatności w systemie Fakturowni.
Sama Fakturowania pisze tak:
- Wykryliśmy nieuprawniony dostęp do serwerów Fakturowni. W wyniku tego incydentu osoba nieuprawniona miała wgląd w dane kont naszych użytkowników, dane kontrahentów oraz w dokumenty wygenerowane za pośrednictwem Fakturowni.
- Po wykryciu zdarzenia zablokowaliśmy dostęp osobie nieuprawnionej, rozpoczęliśmy rotację kluczy i haseł oraz uruchomiliśmy nowe serwery Fakturowni. Razem z zewnętrznymi specjalistami ds. bezpieczeństwa dalej analizujemy sytuację.
I dalej:
- Z dotychczasowych ustaleń wynika, że osoba nieuprawniona mogła mieć dostęp do następujących danych:
- dane kont firm i użytkowników, w tym skróty haseł
- tokeny sesji, tokeny API i tokeny integracji generowane po stronie Fakturowni
- rachunki bankowe, dane o płatnościach
- dane kontrahentów klientów (wszystkich) i dane z faktur (częściowo)
- klucze i hasła systemowe aplikacji
~ms
Jestem ciekaw kiedy zobaczymy podobny artykuł dotyczący KSeF
To jest jakisz koszmar technologiczny. Czy to niekompetencje adminów czy coś innego, bo nie rozumiem tego. Za chwilę w sieci będą latały dokumenty rządowe i wojskowe. Potem możemy się spodziewać szantaży wszelkiego rodzaju, awarii dużych zakładów i ogólnego rozłożenia państwa polskiego na łopatki
To efekt AI. To co normalnie zajęłoby hakerom miesiące, teraz robi automatyzacja, a oni skupiają się na tym, by nie zostać odnalezionym. FBI też przecież już padło atakiem od OpenAI. Nikt nie myśli jednak o tym jako problem, a raczej każdy gada, ale robienie już wyglada trochę inaczej: przesunęli IPO giełdowe Anthropic ze względu na bezpieczeństwo, jest tylko gorzej a lada dzień ich witamy – i ludzie rzucą się jak na strawę po tygodniowej głodówce. Czuję wewnętrznie, że jako “Kowalscy” jesteśmy przegrani, ale odczujemy to szerzej dopiero za kilka lat.
Zbliżamy się nieuchronnie do wniosku, że co ważne, to nie powinno być wpięte do internetu a cała ta wygoda i dostępność są jak “wolna miłość” hipisów przed odkryciem wirusa HIV.
Takie mamy czasy, że coraz łatwiej znaleźć podatności, wspomagając się AI. Prowadzi to do coraz częstszych włamań/wycieków itp. U nas ostatnio myDr, Mydec czy fakturowania, a w USA – FBI czy Pentagon.
Łatwiej też je znaleźć i załatać, tylko jeszcze trzeba chcieć i to zrobić…..
Raczej nie zobaczymy podobnego artykułu dotyczącego ksef, może dopiero po ewentualnej politycznej zmianie u sterów.
Dostęp do KSeF jest zbyt cenny, żeby się nim publicznie chwalić. Wszyscy, którzy taki dostęp zdobędą (a z całą pewnością będzie ich wielu), więcej zyskają nie ujawniając tego. No chyba, że trafi się wśród nich jakiś znudzony nastolatek, który zechce “zabłysnąć”
To poprzednia ekipa wprowadziła ksef i to jeszcze pod sztandarem uszczelniania vat. Specjaliści pod patronatem pis wdrażali, testowali, czy udostępnili społeczeństwu nieobowiązkową wersję. To funkcjonowało lata przed oficjalnym startem. Nie udało im się projektu dowieźć do końca z pobudek technicznych i konieczności przygotowania przedsiębiorców, co zrobiła obecna ekipa. Można powiedzieć, że jest to wspólny projekt i to dobry. Na tym polega polityka, by za wszelką cenę oczerniać przeciwnika i pokazywać siebie w najlepszym świetle, idą za tym gigantyczne pieniądze. Społeczeństwu przy tym robi się pranie mózgu, a ty kolego dajesz się wodzić za nos jak 4-letnie dziecko.
A co ma władza do systemu ksef? Moze sobie przeczytaj raport NIK na temat cyberbezpieczeństwa w ktorym okazuje sie ze minister infrastruktury i minister cyfryzacji nie ogarniaja swoich stanowisk i nie monitoruja nawet infrastruktury krytycznej w Polsce. Przez co nawet jak wykradł ktos dane albo uzyskał dostep do systemów automatyki to nawet nikt nie wie bo podstawowa sprawa w naszym kraju zwana bezpieczeństwem jest przez tych niekompetentnych ludzi traktowana po macoszemu.
I to są systemy tych programistów którzy mówią że sa potrzebni bo AI slop robi dziurawy soft?
Hakerzy uzywaja ai do wlamania? A to programiści nie mają dostepu do ai?
Leniuchy z it ktore sie latami pasły “dziwne u mnie działa”.
Ci co zabezpieczają też mogą korzystać z AI. Niestety zbyt często pokutuje archaiczne podejście do czasu pracy specjalistów: “działa? To po co zmieniać!”
Przypominam wszystkim, że jakiś czas temu ludzie wylegli na ulice, twierdząc że unia chce cenzurować internet. Takie kradzieże są, bo nie ma nad tym żadnej kontroli, nie ma także regulacji prawnych i narzędzi dla służb. Nie chodzi o sam fakt kradzieży, bo to przestępstwo. Chodzi o samą możliwość, złodziej dysponuje całym pakietem narzędzi, dzięki którym takie działania są możliwe. Społeczeństwo budzi się teraz z ręką w nocniku. Obawiam się, że zanim obudzi się do końca i wymusi wprowadzenie odpowiedniego prawa, to wydarzy się jeszcze dużo zła.
Nie traćmy nadziei na stłumienie wykradania informacji z systemów zarządzanych przez technologie informatyczne. Oto podpowiedź scenarzystów z Hollywood – stworzyli scenariusz do filmu wyświetlanego w Polsce “Złap mnie, jeśli potrafisz”, zresztą opartego na faktach. Czyli koniecznie politycy muszą zadecydować zawczasu, o wydaniu koszmarnej (dla nas małych żuczków) ilości kasy na przekupienie potencjalnych złodziejów.
Stare przysłowie (nie jestem pewien, czy polskie) jest takie: “Kto uprawia pole przy gościńcu, powinien do jego pilnowania zatrudnić złodzieja”.