Wyciek danych w Berlinie. Co się stało?

11 września 2026

Klik i robisz co chcesz, czyli ClickFix („kliknij, by naprawić błąd”) - atak, który daje naprawdę dużo. Zadziałał i tym razem, gdy pracownik urzędu w Berlinie kliknął w coś przypominające CAPTCHA i potwierdził, że jest człowiekiem. Co było dalej?

O co chodzi? Pracownik otrzymał wiadomość prowadzącą na stronę z fałszywą weryfikacją Cloudflare. Strona kazała mu wkleić do terminala komendę - ta uruchomiła złośliwy program, który otworzył atakującym drogę dalej, a w rezultacie do wycieku blisko 6 TB danych. Potem poszło z górki -> żądanie okupu, odmowa, publikacja w darknecie. Dane pracowników, kontrahentów i dokumentacja infrastruktury krytycznej krążą po sieci. Do tego tydzień odcięcia dwóch resortów i ponad 50 tys. gospodarstw czekających na dodatek mieszkaniowy.

Czy można było tego uniknąć? Zazwyczaj pokazuję Wam, że dobry system zarządzania bezpieczeństwem informacji to ogromne wzmocnienie odporności. Czy tak mogłoby być i tym razem?

Według relacji prasowych złożyło się na to wiele - hasła otwartym tekstem w plikach na serwerach, słaba segmentacja sieci, terminal dostępny dla wszystkich, wykrycie po tygodniu i masz babo placek. I tu ważna rzecz - świadomość pracownika to pierwsza warstwa obrony, nie jedyna. Dobrze wdrożony system zakłada, że ktoś w końcu kliknie i ma jeszcze kilka miejsc, w których zatrzyma atak, zanim kliknięcie zamieni się w szok. I niedowierzanie.

Jak to wygląda? Świetnie spreparowany e-mail, strona łudząco podobna do prawdziwej weryfikacji „człowieczeństwa”. Cloudflare nie kłamie, ciągle na to trafiamy. Wklejamy komendę do terminala (strona podpowiada, jak otworzyć Windows Terminal albo PowerShell - ten wariant Microsoft nazwał TerminalFix) i załatwione.

Dalej (w uproszczeniu) ładuje się tzw. loader, czyli program dostarczający właściwe złośliwe oprogramowanie, które m.in. zestawia ukryty tunel do serwera atakujących. Wszystko wygląda jak normalny ruch HTTPS (port 443). Potem patrzymy, co mamy, i wyceniamy. A tu hasła do ważnych systemów leżą na serwerach bez zabezpieczeń. No to przechodzimy z jednego resortu do drugiego.

Tak pozyskane informacje można wykorzystać do szantażu (tu zaledwie 30 BTC), odsprzedać lub udostępnić. Najgorsze, że niewiedza otwiera drzwi, a brak zabezpieczeń determinuje, jak daleko atakujący się dostanie.

Dlatego szkolmy pracowników z nowych zagrożeń - zresztą ustawa o KSC czyni z edukacji personelu i cyberhigieny obowiązkowy element systemu zarządzania bezpieczeństwem informacji (art. 8 ust. 1 pkt 2 lit. i oraz j), za który kierownik podmiotu odpowiada osobiście (art. 8c).

Świat cyberbezpieczeństwa nie śpi. Jednym ze sposobów przygotowania się jest wejście w rolę atakującego i spojrzenie na naszą powierzchnię ataku - na to, co może być „wejściem” do systemów.

O tym przy innej okazji, bo LinkedIn ma limit : ) Szykuję coś dla Was. Jeśli chcecie to przetestować już teraz, dajcie znać w komentarzu.