Trzeci kwartał 2025 roku potwierdził to, co wielu z nas odczuwało przez cały rok: centrum ciężkości cyberprzestępczości stanowią ludzie. Przestępcy nie tylko próbują włamać się do urządzeń. Pracują nad tym, aby wprowadzić użytkowników w pułapki, które wyglądają i sprawiają wrażenie legalnych, na dużą skalę i z dużą szybkością. Generatywna sztuczna inteligencja obniżyła koszty perswazji i podniosła poziom zaawansowania oszustw. W rezultacie powstał krajobraz zagrożeń, w którym przekonująca wiadomość, ładnie zaprojektowana strona internetowa lub przyjazny głos mogą być równie niebezpieczne jak exploit typu zero-day.
Spis treści
- Przedmowa
- Najważniejsze informacje dotyczące zagrożeń: III kwartał 2025 r.
- Wyróżnione historie: Konsumenci pod ostrzałem
- VibeScams — fabryki phishingu oparte na sztucznej inteligencji
- Zagrożenia SMS-owe: krótkie wiadomości, które przestępcy uwielbiają
- Cracking Midnight: kiedy ransomware typu „kopiuj-wklej” zapomina o matematyce
- Podsumowanie
Przedmowa
Wzory, które podkreślaliśmy na początku tego roku, stały się bardziej wyraźne. Techniki „Scam-Yourself” nadal rozprzestrzeniają się w codziennych kanałach, takich jak SMS-y, e-maile i media społecznościowe. Phishing odszedł od prymitywnych kopii na rzecz tzw. VibeScams, gdzie sztuczka polega mniej na kodzie, a bardziej na wrażeniu, jakie strona wywiera na pierwszy rzut oka. Atakujący łączą również różne formaty. Wiadomość tekstowa może zawierać link do strony logowania, która wygląda jak oryginalna, a następnie przekierowuje ofiarę do czatu na żywo lub rozmowy telefonicznej. Schemat działania jest prosty. Koordynacja stojąca za nim jest przestępcza.
Obrońcy również się dostosowują. Nasze laboratoria Gen Threat Labs pracują nad obiema stronami problemu: zrozumieniem strategii przestępców i zapewnieniem ochrony, która pomaga prawdziwym ludziom w czasie rzeczywistym. W każdym tygodniu może to oznaczać inżynierię odwrotną rodziny oprogramowania ransomware, aby pomóc ofiarom odzyskać pliki bez konieczności płacenia, szkolenie modeli w celu wykrywania ukrytych wzorców oszustw w skrzynkach odbiorczych lub publikowanie praktycznych wskazówek, które rodziny mogą zastosować w ciągu kilku minut. Uważamy, że badania muszą przekładać się na rzeczywiste działania.
To, co znajdziesz w tym raporcie, odzwierciedla to podejście. Nasze artykuły tematyczne przedstawiają rzeczywiste przykłady tego, co obserwujemy. Pierwszy z nich dotyczy VibeScams, rozwoju fabryk phishingowych opartych na sztucznej inteligencji oraz tego, dlaczego „właściwe spojrzenie” przez dwie sekundy wystarczy obecnie, aby ukraść pieniądze lub dane uwierzytelniające. Drugi artykuł skupia się na SMS-ach – wiadomości tekstowe pozostają jednym z najbardziej uniwersalnych i najczęściej wykorzystywanych kanałów, a w tym kwartale pojawiły się nowe taktyki łączące automatyzację z tonem i timingiem przypominającym ludzki. Trzeci artykuł dotyczy wydania nowego dekodera i tego, co ujawnił on na temat technik ataków, ekonomii i błędów. Przypomina on, że w przypadku oprogramowania ransomware nie chodzi tylko o zapobieganie. Chodzi również o zapewnienie ofiarom drogi powrotu, gdy najgorsze już się wydarzyło.
Oprócz artykułów tematycznych, Threat Landscape łączy punkty od pierwszego kontaktu do ostatecznej straty. Link sponsorowany prowadzi do podobnej strony, SMS zachęca do kolejnego kliknięcia, a „weryfikacja” skrzynki odbiorczej kończy zadanie. Dokumentujemy te przekazania za pomocą telemetrii i studiów przypadków, podkreślamy złośliwą reklamę jako częsty punkt wyjścia i pokazujemy rosnący związek między przeglądaniem mediów społecznościowych a oszustwami poza platformą. Tam, gdzie liczby mogą być mylące, dodajemy krótkie uwagi dotyczące definicji i zakresu.
Śledzimy również nadużycia w mediach społecznościowych związanych z handlem, gdzie „kup teraz” i tagowanie twórców popychają użytkowników do pułapek płatniczych poza platformą; rosnącą rolę sztucznej inteligencji w pętli, z klonami głosowymi i asystentami czatu na żywo w połączeniu z SMS-ami lub e-mailami, aby zamknąć oszustwo; oraz zmiany w systemach płatności w kierunku natychmiastowych przelewów i przynęt refundacyjnych, które skracają czas na odzyskanie środków.
Dziękujemy wszystkim, którzy przyczynili się do powstania tego raportu, oraz wszystkim czytelnikom, którzy korzystają z niego w celu ochrony swoich rodzin i zespołów. Przestępcy handlują zaufaniem. Pracujemy nad tym, aby uniemożliwić ten handel, kliknięcie po kliknięciu.
Czytaj dalej, zachowaj sceptycyzm i utrzymuj przewagę.
Luis Corrons, ewangelista bezpieczeństwa (znany również jako „Threat Whisperer”)
Najważniejsze informacje dotyczące zagrożeń: III kwartał 2025 r.
W III kwartale 2025 r. zagrożenia dla cyberbezpieczeństwa nadal ewoluowały na platformach mobilnych i stacjonarnych, a dominowały oszustwa mobilne i oprogramowanie reklamowe. Użytkownicy urządzeń mobilnych byli szczególnie narażeni na ataki typu Scam-Yourself i oprogramowanie reklamowe HiddenAds przebrane za fałszywe aplikacje, często dystrybuowane za pośrednictwem oficjalnych sklepów. Na komputerach stacjonarnych nadal aktywne były trojany zdalnego dostępu, takie jak Wincir, a w różnych regionach utrzymywały się kampanie sextortion, oszustwa hazardowe i TechScam.
Oprócz zagrożeń na poziomie urządzeń wzrosła częstotliwość naruszeń bezpieczeństwa danych, przy czym dane finansowe pozostawały ważnym problemem, na czele z nadużyciami związanymi z pożyczkami wypłacanymi w dniu wypłaty, podejrzaną aktywnością bankową oraz pojawiającymi się oszustwami typu web skimming i fakturowanie.
Zagrożenia bezpieczeństwa i oszustwa
W trzecim kwartale wyraźnie widać było, jak ściśle powiązane są obecnie zagrożenia bezpieczeństwa i oszustwa, ewoluujące razem na urządzeniach mobilnych, stacjonarnych i nie tylko.
Adware w tym kwartale przeniosło się z komputerów stacjonarnych na urządzenia mobilne. Po wzroście liczby ataków na komputery stacjonarne w poprzednim kwartale i powrocie Dealply, zaobserwowaliśmy wyraźny wzrost liczby ataków na urządzenia z systemem Android. Liczba zablokowanych ataków adware wzrosła o 77% w ujęciu kwartalnym na urządzeniach mobilnych, głównie za sprawą aplikacji typu HiddenAds, które wykorzystują techniki zaciemniania kodu i ukrywają się po instalacji, często podszywając się pod proste gry. Znaczna część ataków pochodziła z oficjalnego sklepu Google Play, co pomaga wyjaśnić ten wzrost, ponieważ użytkownicy ufają temu sklepowi, a wiele urządzeń nadal działa bez aktywnej ochrony.
Na komputerach stacjonarnych trojany zdalnego dostępu (RAT) pozostały niezmienne, a wskaźnik ryzyka wzrósł o 10,67% w ujęciu kwartalnym. Wzrost spowodowany przez Wincir w poprzednim kwartale utrzymał się po spokojniejszym okresie w połowie roku i odnotowaliśmy wyraźny wzrost liczby trojanów RAT w regionach takich jak Chile (+77,89%), Hiszpania (+43,87%) i Brazylia (+40,75%).
Niektóre ataki są obecnie przeprowadzane za pośrednictwem zaufanych kanałów aktualizacji. W sierpniu przestępcy na krótko wprowadzili złośliwą aktualizację do popularnego narzędzia programistycznego (Nx), które próbowało skopiować hasła i inne poufne informacje z komputera. Wniosek jest prosty. Nawet oprogramowanie pochodzące ze znanych źródeł może być szkodliwe, jeśli zostanie uruchomiona złośliwa aktualizacja. Podstawowe zasady nadal mają znaczenie: należy włączyć automatyczne aktualizacje, instalować mniej dodatków, korzystać z oprogramowania znanych wydawców, a jeśli coś wygląda podejrzanie, zmienić hasła i wylogować się z połączonych aplikacji.
Ryzyko to nie jest abstrakcyjne — ma wpływ na codzienne życie, gdy dochodzi do awarii krytycznych systemów. Jesteśmy bardziej niż kiedykolwiek zależni od połączonych systemów, co sprawia, że awarie i ataki są odczuwalne w realnym świecie. Dwa przykłady z trzeciego kwartału pokazują to wyraźnie. Zakłady Jaguar Land Rover w Wielkiej Brytanii wstrzymały produkcję na ponad trzy tygodnie po cyberataku, a urzędnicy oceniają obecnie szersze skutki dla łańcucha dostaw. 20 września cyberatak na oprogramowanie MUSE firmy Collins Aerospace do odprawy i wejścia na pokład zakłócił działalność głównych europejskich lotnisk, w tym Heathrow, Brukseli, Berlina i Dublina, zmuszając do ręcznej odprawy i powodując opóźnienia i odwołania lotów.
Ataki typu „Scam-Yourself”, nowy rodzaj zagrożenia, który śledziliśmy w poprzednich kwartałach w sieci i na komputerach stacjonarnych, w trzecim kwartale wyraźnie rozszerzył się na urządzenia mobilne. W systemach Android i iOS zaobserwowaliśmy wzrost liczby fałszywych skanów, rodzaju ataków typu „Scam-Yourself”, które imitują ostrzeżenia systemowe, twierdząc, że wykryto złośliwe oprogramowanie, i nakłaniając użytkowników do kliknięcia złośliwych linków. Dzisiejsze zagrożenia mobilne nadal są głównie związane z oszustwami, a nie z wykorzystywaniem luk w zabezpieczeniach.
W sierpniu odnotowano wzrost aktywności związanej z sextortion, osiągając poziom podobny do poprzednich szczytów. Krótko trwały również oszustwa hazardowe, które polegały na nakłanianiu użytkowników do obstawiania zakładów, a następnie odmawianiu wypłaty wygranych, często wykorzystując adresy URL zawierające słowa takie jak „szczęście”, aby zwabić ofiary. TechScam nadal zyskiwał na popularności, odnotowując znaczny wzrost w Meksyku (1650%), Chile (1326%), Czechach (974%) i Kolumbii (700%), zazwyczaj pod postacią fałszywych monitów z prośbą o podanie jednorazowego kodu PIN w celu „przywrócenia” dostępu do wiadomości lub mediów społecznościowych.
Oszustwa są wszechobecne i przemieszczają się przez granice tak łatwo, jak wiadomości tekstowe lub e-maile. Organy ścigania i firmy zajmujące się bezpieczeństwem podejmują działania, aby je powstrzymać lub przynajmniej zminimalizować ich skutki. Dobrym przykładem jest koordynowana przez INTERPOL akcja przeprowadzona tego lata pod nazwą Operacja Serengeti 2.0. Akcja trwała od czerwca do sierpnia w 18 krajach afrykańskich przy wsparciu Wielkiej Brytanii i doprowadziła do 1209 aresztowań, udaremnienia prawie 88 000 przestępstw, odzyskania 97,4 mln USD oraz likwidacji 11 432 złośliwych infrastruktur wykorzystywanych do oszustw i cyberprzestępczości.
Sprawy objęte operacją Serengeti 2.0 obejmowały zarówno codzienne oszustwa, jak i duże sieci przestępcze. W Zambii władze rozbiły piramidę inwestycyjną związaną z kryptowalutami, która dotknęła 65 000 ofiar i spowodowała straty szacowane na 300 mln USD. W Angoli policja zamknęła 25 nielegalnych centrów wydobywania kryptowalut i przejęła 45 nielegalnych elektrowni. W Wybrzeżu Kości Słoniowej śledczy rozbili międzynarodowe oszustwo spadkowe, które spowodowało straty w wysokości około 1,6 mln USD. Według INTERPOLU operacja zakończyła się sukcesem, ponieważ policja z wyprzedzeniem udostępniła partnerom z sektora prywatnego informacje o podejrzanych adresach IP, domenach i serwerach dowodzenia, a partnerzy z sektora prywatnego dostarczyli dane wywiadowcze dotyczące zagrożeń i przeprowadzili szkolenia. Takie wyniki pokazują, że skoordynowane działania mogą pomóc w odzyskaniu środków, zlikwidowaniu infrastruktury i zmniejszeniu skuteczności kolejnej fali oszustw.
Skoordynowane działania nie są w stanie powstrzymać wszystkich oszustw, ale zwiększają koszty i eliminują infrastrukturę, która w przeciwnym razie nadal szkodziłaby konsumentom.
Ataki i obrona oparte na sztucznej inteligencji
W trzecim kwartale warstwa sztucznej inteligencji przeszła z fazy nowości i badań do fazy poważnego zagrożenia. Wyróżniły się trzy trendy: atakujący manipulujący asystentami AI, atakujący dodatki i rozszerzenia obsługujące narzędzia AI oraz eksperymentujący z metodami bezpośredniego wbudowywania AI w ataki. Trendy te narastały przez cały rok, co pomaga wyjaśnić, dlaczego oszustwa wydają się teraz szybsze i bardziej przekonujące.
Najbardziej widocznym punktem nacisku było nadużywanie asystentów i agentów. Badacze pokazali sposoby, w jakie można nakłonić lub po cichu przekierować popularnych asystentów korporacyjnych do ujawnienia informacji lub podjęcia niezamierzonych działań. Wniosek jest prosty. Jeśli asystent ma dostęp do Twoich plików lub kalendarza, należy traktować go z taką samą ostrożnością, jak każdą potężną aplikację, stosując ścisłe uprawnienia i zdrowy nawyk odrzucania nieoczekiwanych monitów.
Zauważyliśmy również pojawienie się ryzyka związanego z łańcuchem dostaw w narzędziach AI. W lipcu rozszerzenie Amazon Q Developer dla Visual Studio Code zostało na krótko dostarczone ze złośliwymi poleceniami po tym, jak osoba atakująca manipulowała ścieżką kodu. Amazon szybko naprawił ten problem, ale incydent ten pokazał, że nawet zaufane rozszerzenia AI mogą stać się drogą do szkodliwych działań poprzez normalne aktualizacje. Rozszerzenia i wtyczki należy traktować jak aplikacje: należy je aktualizować, wybierać sprawdzonych wydawców i usuwać te, których nie używasz.
W naszym poprzednim raporcie dotyczącym zagrożeń opisaliśmy przykład tego, jak sztuczna inteligencja zmienia tradycyjne zagrożenia. Był to FunkSec, pierwsze oprogramowanie ransomware, w którym przestępcy wykorzystali sztuczną inteligencję do napisania kodu ransomware. W tym kwartale badacze zgłosili proof-of-concept (nieprawdziwe złośliwe oprogramowanie znalezione w środowisku naturalnym) o nazwie PromptLock, które idzie o krok dalej. Zamiast wykorzystywać sztuczną inteligencję podczas tworzenia, wykorzystuje ono mały model na urządzeniu podczas ataku do generowania poleceń w czasie rzeczywistym. Dzięki temu zachowanie jest bardziej elastyczne i teoretycznie trudniejsze do wykrycia przez starsze, statyczne metody wykrywania. Nawet jako demo wskazuje ono, w jaki sposób oprogramowanie ransomware może ewoluować dzięki sztucznej inteligencji.
W tym kwartale wyróżniły się również badania nad perswazją. Proste sygnały ramowe, takie jak autorytet i pilność, sprawiały, że chatboty były bardziej skłonne do udzielania odpowiedzi na pytania, które powinny odrzucić. Ta sama psychologia napędza dzisiejsze phishingowe ataki typu „vibe-correct”, w których fałszywe strony na pierwszy rzut oka wyglądają i sprawiają wrażenie legalnych. Sztuczna inteligencja pomaga przestępcom dostosować wygląd, język i czas, dlatego nasz artykuł poświęcony VibeScams jest tak aktualny.
Obserwujemy również, że podmioty państwowe stosują tę samą strategię. W połowie lipca badacze bezpieczeństwa poinformowali o kampanii Kimsuky, w której wykorzystano ChatGPT do generowania realistycznych obrazów południowokoreańskich legitymacji wojskowych, aby e-maile typu spear-phishing wyglądały na oficjalne; link dostarczał złośliwe oprogramowanie, a nie legitymację. Ten sam raport łączy tę działalność z wcześniejszymi przynętami w stylu ClickFix i pokazuje, w jaki sposób sztuczna inteligencja jest wykorzystywana do dopracowania „frontu” ataku. Osobno firma Anthropic udokumentowała przypadki operatorów z Korei Północnej wykorzystujących Claude do fałszowania tożsamości i zdawania testów kodowania w celu uzyskania pracy zdalnej. Wszystkie te przypadki pokazują, że sztuczna inteligencja jest czynnikiem wzmacniającym skuteczność socjotechniki, a nie tylko pisania kodu.
To samo wzmocnienie AI pojawia się w wiadomościach tekstowych. W naszym artykule poświęconym zagrożeniom SMS wyjaśniamy, w jaki sposób narzędzia AI tworzą i lokalizują wiadomości smishingowe, które pasują do tonu marki, zawierają wiarygodne szczegóły i docierają o odpowiedniej porze. Dlatego powiadomienia o dostawie, alerty bankowe i wiadomości o zablokowaniu konta wydają się bardziej pilne i wiarygodne niż kiedyś.
Jak wspomniano wcześniej, oszustwa wykorzystujące sztuczną inteligencję są obecnie realną częścią krajobrazu zagrożeń. Podobnie, w naszej telemetrii Gen zaczynamy dostrzegać wczesne trendy dotyczące oszustw wideo i deepfake’ów. Trzeci kwartał jest naszym pierwszym kwartałem z telemetrią z Media Shield, naszej nowej ochrony przed deepfake’ami na urządzeniach z systemem Windows AI. Funkcja ta jest nadal we wczesnej fazie wdrażania i ma ograniczoną bazę instalacyjną, więc wyniki te mają charakter orientacyjny, a nie odzwierciedlają sytuację na całym rynku. Mimo to można dostrzec pewne wzorce. Większość wykrytych przypadków została oznaczona jako deepfake audio, a mniejsza część to oszukańcze filmy wideo. Wśród tych oszustw dominowały kryptowaluty i zachęty finansowe, a pozostałe były bardziej ogólnymi próbami oszustwa. Co ważne, prawie wszystkie oszukańcze klipy miały niewielki zasięg, a bardzo niewiele z nich miało ponad 10 000 wyświetleń, co sugeruje, że oszustwa deepfake są bardziej powszechne w niszowych treściach niż w popularnych filmach wideo.
Są to wczesne wskaźniki, a nie trendy dotyczące całej populacji, ale pokazują one, w jaki sposób manipulowane media są obecnie wykorzystywane: mniej chodzi o dążenie do wirusowości, a bardziej o przekonanie mniejszej grupy odbiorców do rozstania się z pieniędzmi.
Obraz, który się wyłania, jest jasny. Atakujący osiągają wyniki dzięki koordynacji i perswazji, a nie tylko dzięki sprytnemu kodowi. Obrońcy przechodzą od pisemnych zasad do wbudowanych zabezpieczeń, które działają podczas korzystania z produktu: wyraźniejsze bariery ochronne w czacie, bezpieczniejsze ustawienia domyślne i bardziej rygorystyczne ograniczenia dotyczące dostępu narzędzi pomocniczych. Dla konsumentów praktycznym wnioskiem jest zachowanie szczególnej ostrożności w przypadku wszystkiego, co wymaga od asystenta dostępu do plików, wiadomości lub finansów, ograniczenie możliwości wtyczek oraz traktowanie idealnie wyglądających stron z zdrową dozą sceptycyzmu, zwłaszcza gdy proszą one o podanie hasła lub dokonanie płatności.
Prywatność
Korzystając z produktów cyfrowych, pozostawiasz ślady. Witryny i aplikacje gromadzą informacje o Twoim urządzeniu, przeglądarce i sposobie poruszania się po stronie. Połączone sygnały tworzą „cyfrowy odcisk palca”, który pozwala zidentyfikować osobę w różnych witrynach i sesjach. Odciski palców są szeroko stosowane w Internecie i umożliwiają śledzenie osób nawet bez plików cookie, dlatego mają znaczenie dla konsumentów, którzy uważają, że wystarczy wyczyścić pliki cookie.
Nasza telemetria pokazuje, że od lipca 2025 r. blokujemy średnio 247 milionów trackerów miesięcznie i obserwujemy prawie 37 milionów cyfrowych odcisków palców miesięcznie, co stanowi wzrost o 1% w ujęciu kwartalnym. To pokazuje nam, że śledzenie jest nadal aktywne i zyskuje na popularności. Odciski palców pozwalają na identyfikację użytkownika nawet bez plików cookie, umożliwiając firmom i brokerom danych tworzenie szczegółowych rejestrów tego, co użytkownik czyta, kupuje i wyszukuje. Profil ten może wpływać na ceny wyświetlane użytkownikowi, napędzać nieustanne targetowanie i dostarczać oszustom wystarczających szczegółów, aby fałszywe wiadomości wydawały się prawdziwe.
Podczas gdy cyfrowe odciski palców pozwalają na śledzenie każdego ruchu użytkownika w Internecie, szyfrowanie zapewnia prywatność codziennych rozmów, zdjęć i kopii zapasowych, a także może utrudniać prowadzenie dochodzeń kryminalnych. Niektórzy decydenci opowiadają się za specjalnym dostępem dla organów ścigania, podczas gdy eksperci ds. bezpieczeństwa i prywatności ostrzegają, że każde wbudowane obejście osłabia ochronę wszystkich użytkowników. W tym kwartale w Wielkiej Brytanii polityka szyfrowania przypomniała wszystkim, że debata w tej sprawie nie jest jeszcze zakończona. W lutym firma Apple usunęła opcję zaawansowanej ochrony danych dla usługi iCloud w Wielkiej Brytanii po otrzymaniu tajnego nakazu sądowego na mocy ustawy o uprawnieniach śledczych i skierowała sprawę do sądu ds. uprawnień śledczych. W sierpniu sytuacja uległa zmianie, gdy dyrektor amerykańskiej agencji wywiadu krajowego poinformował, że Wielka Brytania zgodziła się wycofać żądanie dotyczące tylnych drzwi. Dla konsumentów sygnał jest prosty: silne szyfrowanie nadal ma potężnych obrońców, ale pozostaje przedmiotem ożywionej debaty politycznej.
W całej UE rządy nadal spierają się nad propozycją nazwaną „kontrolą czatów”, która pozwoliłaby organom wydawać nakazy wykrywania wymagające od usługodawców skanowania treści związanych z wykorzystywaniem dzieci i uwodzeniem. Stanowisko Parlamentu odrzuca ogólne skanowanie i ma na celu ochronę szyfrowania typu end-to-end, podczas gdy Rada pozostaje podzielona, a kilka krajów, w tym Niemcy, sprzeciwia się skanowaniu po stronie klienta, a inne popierają je przed planowanym głosowaniem. W rezultacie zasady dotyczące prywatności wiadomości są nadal ustalane, a wyniki mogą się różnić w poszczególnych krajach w nadchodzących miesiącach.
Kolejne przypomnienie dotyczące prywatności otrzymałem w tym kwartale od Sama Altmana, dyrektora generalnego OpenAI. Ostrzegł on, że rozmowy terapeutyczne z ChatGPT nie są chronione tak samo jak rozmowy z lekarzem lub prawnikiem, a ich transkrypcje mogą zostać zażądane w ramach postępowania sądowego. Traktuj rozmowy z AI jak każdą inną formę komunikacji online: jeśli nie powiedziałbyś tego w zatłoczonym pomieszczeniu, nie wklejaj tego do chatbota, zwłaszcza jeśli dotyczy to zdrowia, spraw prawnych lub finansów.
Zaufanie i tożsamość
Kradzież tożsamości cyfrowej skupia się wokół produktów zapewniających szybki dostęp do gotówki i rutynowego sprawdzania kont. Przestępcy składają wnioski o krótkoterminowe pożyczki i nowe karty w imieniu ofiar, a następnie sprawdzają dostęp do istniejących kont bankowych.
W tym kwartale odnotowaliśmy więcej przypadków naruszeń, ale były one mniejsze. Łączna liczba naruszeń wzrosła o 76%, podczas gdy ogólna liczba ujawnionych rekordów spadła o 81%. Mówiąc prościej, było więcej incydentów, ale każdy z nich dotyczył mniej osób. Niepokojącym aspektem tego trendu jest rodzaj danych, które zostały ujawnione. Odsetek naruszeń zawierających hasła gwałtownie wzrósł do ponad 83%, nawet pomimo spadku liczby naruszeń dotyczących adresów e-mail. Oznacza to, że z punktu widzenia przestępców „jakość” skradzionych danych poprawiła się, ponieważ dane uwierzytelniające są znacznie cenniejsze niż listy kontaktów.
Incydent naruszenia oznacza każdy oddzielny przypadek ujawnienia danych, natomiast naruszone dane odnoszą się do całkowitej liczby ujawnionych indywidualnych rekordów. Nawet jeśli całkowita liczba rekordów spada, większa liczba incydentów oznacza więcej unikalnych usług i użytkowników, którzy mogą być potencjalnie dotknięci naruszeniem. Połączenie mniejszych, częstszych naruszeń z bogatszymi danymi pokazuje, że atakujący koncentrują się na precyzji i wartości, a nie na skali.
Wśród alertów finansowych w III kwartale największy udział w liczbie unikalnych użytkowników, którzy otrzymali alerty, miały pożyczki wypłacane w dniu wypłaty (32%), a następnie nowe wnioski o karty kredytowe (15%), które zazwyczaj były próbami oszustwa polegającymi na otwarciu kart na nazwisko ofiary. Blokady ochronne dotyczące pożyczek wypłacanych w dniu wypłaty stanowiły 10% i odzwierciedlały skuteczne blokady zastosowane po próbie oszustwa. Aktualizacje istniejących rachunków bankowych (nieautoryzowane zmiany) i nowe wnioski o samochody stanowiły po 6%.
Jeśli chodzi o transakcje, najwięcej alertów dotyczyło podejrzanej aktywności na kontach bankowych (42%) oraz aktywności kart kredytowych (20%). Mniejsze, ale godne uwagi udziały obejmują szare opłaty — niewielkie, technicznie autoryzowane opłaty cykliczne, takie jak przedłużenia okresu próbnego i dodatkowe „kluby” — (9%), niezwykłe opłaty (8%) oraz błędy logowania w instytucjach finansowych (7%). Schemat ten odzwierciedla znaną taktykę: szybkie działanie w celu zamiany dostępu na gotówkę, a następnie testowanie limitów istniejących kont.
Wzory alertów odzwierciedlają szerszy trend, w którym dostęp stron trzecich i systemy wsparcia służą jako częste punkty wejścia. W tym kwartale fala ataków wykorzystywała ekosystemy Salesforce firm, często poprzez połączone integracje stron trzecich. FBI wydało ostrzeżenie dotyczące dwóch klastrów — UNC6040 i UNC6395 — opisujące taktyki, takie jak vishing w celu uzyskania danych uwierzytelniających do wsparcia technicznego oraz nadużywanie skompromitowanych tokenów OAuth z integracji Salesloft–Drift w celu eksportowania danych klientów. Eksportowane dane mogą obejmować teksty zgłoszeń do pomocy technicznej zawierające nazwiska, dane kontaktowe, a nawet osadzone tajemnice. Rezultatem jest bardzo przekonujące phishingowe oszustwo, które odwołuje się do prawdziwych przypadków.
Kilka firm potwierdziło narażenie związane z tą działalnością. Cloudflare zgłosiło wyciek danych ze swojego konta Salesforce między 12 a 17 sierpnia 2025 r., ograniczony do obiektów zgłoszeń do pomocy technicznej. Prasa branżowa i technologiczna opisała podobne potwierdzenia i działania łagodzące w całej branży.
Szereg naruszeń miało również wpływ na znane marki spoza branży technologicznej. Air France–KLM poinformowało, że platforma zewnętrzna używana przez jego centra kontaktowe została naruszona w tygodniu rozpoczynającym się 28 lipca, co spowodowało ujawnienie danych kontaktowych klientów i informacji dotyczących lojalności. Incydenty te nie zawsze obejmują hasła lub numery kart, ale dają oszustom dokładnie to, czego potrzebują, aby spersonalizować przynęty i przeprowadzić skuteczne ataki polegające na resetowaniu kont.
Luksusowy handel detaliczny dostarczył kolejnego przykładu, dlaczego dane „profilowe” mają znaczenie. W połowie września firma Kering potwierdziła czerwcowe włamanie, które doprowadziło do kradzieży danych klientów marek takich jak Gucci i Balenciaga. Raporty odnotowały dane kontaktowe i łączne kwoty wydatków, które mogą zostać wykorzystane do ukierunkowania oszustw na nabywców o wysokiej wartości.
Dobre samopoczucie finansowe
Przestępcy przenoszą kradzieże finansowe tam, gdzie faktycznie odbywają się płatności: na strony internetowe z kasami i konta płatnicze. W trzecim kwartale zaobserwowaliśmy dwa kluczowe wzorce w kradzieżach finansowych: więcej prób skimmingu danych kart bezpośrednio ze stron płatniczych sprzedawców oraz odbicie w postaci fałszywych lub zmienionych faktur, które przekierowują pieniądze podczas płatności dostawców.
Na komputerach stacjonarnych próby skimmingu internetowego wzrosły w ujęciu kwartalnym. Są to ataki polegające na wprowadzeniu kodu do strony płatności sklepu w celu przechwycenia numerów kart i danych rozliczeniowych podczas ich wpisywania. Odnotowaliśmy również ponowny wzrost liczby oszustw związanych z fakturami po letnim spadku, z nową falą ataków skierowanych do osób zajmujących się rozliczaniem rachunków i płatnościami dla dostawców.
Niezależne raporty dotyczące zagrożeń wskazują, że poziom skimmingu internetowego pozostawał wysoki przez cały 2025 r., a w pierwszej połowie roku i później dotknął on tysiące witryn e-commerce. Jedna z lipcowych kampanii uderzyła w sklepy OpenCart, ukrywając skimmery wśród tagów analitycznych, takich jak Google Tag Manager i Meta Pixel. Badacze opisali również warianty, które weryfikują karty za pomocą starszej wersji API Stripe, a nawet przenoszą skimming do złośliwych rozszerzeń przeglądarek. Analizując te trendy łącznie, jasne jest, że płatności po stronie klienta są gorącym celem ataków.
Standardy branży płatności zareagowały na tę sytuację. PCI DSS 4 kładzie nacisk na autoryzację skryptów i wykrywanie zmian na stronach płatności, odzwierciedlając ryzyko związane z kodami stron trzecich i po stronie klienta. Dla konsumentów konsekwencje są proste: strona może wyglądać na godną zaufania, a mimo to być narażona na atak na stronie, na której dokonuje się płatności.
W trzecim kwartale, po krótkiej letniej przerwie, wzrosła również liczba oszustw związanych z fakturami, w których atakujący podszywali się pod zaufanych dostawców i oficjalne instytucje, aby przekierować płatności. Odzwierciedla to szersze sygnały ze strony organów regulacyjnych i organów ścigania, w tym raport Europolu i EUIPO z maja, w którym zwrócono uwagę na znaczny wzrost liczby fałszywych faktur w całej UE, często wspieranych przez spoofing e-maili i domeny podobne do oryginalnych, oraz najnowszy raport FBI IC3, w którym odnotowano rekordowe straty spowodowane przejmowaniem firmowych kont e-mail, co nadal prowadzi do przekierowywania faktur i oszustw związanych z płatnościami dostawców.
Patrik Holop, główny analityk danych
Luis Corrons, ewangelista bezpieczeństwa
Peter Kováč, główny analityk danych
Jakub Vávra, starszy inżynier ds. analizy zagrożeń
Wyróżnione historie: Konsumenci pod ostrzałem
Cyberzagrożenia zazwyczaj nie ogłaszają się migającymi ostrzeżeniami ani złożonymi exploitami. Coraz częściej pojawiają się one w codziennym życiu ludzi: strona internetowa, która „wydaje się” w porządku, SMS, który pojawia się podczas porannej kawy, plik, który nagle blokuje pulpit. To, co łączy te ataki, to nie tylko technologia, która za nimi stoi, ale także sposób, w jaki wykorzystują one rutynę, zaufanie i czas.
W tym kwartale przedstawiamy trzy bardzo różne fronty tej samej walki. Nasza historia o VibeScams pokazuje, jak twórcy stron internetowych opartych na sztucznej inteligencji zamieniają phishing w usługę typu „plug-and-play”, gdzie zagrożeniem nie jest niechlujny kod, ale bezbłędny „klimat”. Artykuł SMS Threats ujawnia, jak najmniejsze SMS-y mogą doprowadzić ofiary do oszustw na dużą skalę, stając się jednym z najbardziej uporczywych i niedocenianych wektorów ataku. A nasz raport na temat Midnight Ransomware przypomina nam, że nawet najbardziej zaawansowane cyberwymuszenia mogą zawieść: kiedy przestępcy kopiujący i wklejający kod zapominają o matematyce, obrońcy mogą wykorzystać okazję, aby odwrócić sytuację.
Wszystkie te artykuły pokazują rzeczywistość konsumentów znajdujących się w stanie oblężenia: zagrożenia są szybsze, bardziej zwodnicze i bliższe codziennemu życiu niż kiedykolwiek wcześniej, ale także bardziej kruche, gdy zostaną wystawione na działanie odpowiednich środków obronnych.
VibeScams — fabryki phishingu oparte na sztucznej inteligencji
Nowy rodzaj phishingu
Nazywamy je VibeScams, ponieważ sztuczka nie polega na kodzie, ale na odczuciu. Strony te przechodzą „test klimatu”: kolory, odstępy, umiejscowienie logo, a nawet małe linki w stopce, których nikt nie czyta, ale wszyscy rozpoznają. Na pierwszy rzut oka wydają się w porządku, a to wystarczy, aby oszukać ludzi i skłonić ich do przekazania pieniędzy lub danych uwierzytelniających.
To, co wyróżnia VibeScams, to fakt, że przestępcy stojący za nimi często nie są ekspertami technicznymi. Podobnie jak VibeCoding pozwala każdemu tworzyć oprogramowanie bez kodowania, tak te platformy pozwalają każdemu tworzyć oszustwa bez wiedzy na temat phishingu lub umiejętności projektowania stron internetowych. Wystarczy wpisać kilka słów w kreatorze opartym na sztucznej inteligencji, aby wygenerować dopracowaną stronę przypominającą markową, którą można od razu wykorzystać do nadużyć.
Otrzymujesz wiadomość tekstową z informacją, że za dostawę paczki DHL lub FedEx należy uiścić niewielką opłatę. Potrzebujesz swojej paczki, więc szybko klikasz link. Wyświetlona strona przechodzi audyt marki: żółty kolor (lub fioletowy, w zależności od marki), odstępy. Jutro będzie to „weryfikacja portfela” Coinbase lub logowanie do Microsoft. Wszystko wygląda świetnie, aż do momentu, gdy znikną Twoje pieniądze.
Dzięki sztucznej inteligencji łańcuch dostaw phishingu został całkowicie ulepszony. Twórcy stron internetowych opartych na sztucznej inteligencji zamienili „stworzyć stronę, która wygląda jak X” w jednozdaniowe polecenie. Niektórzy tworzą nawet strony na podstawie zrzutu ekranu. Bez HTML, bez szkoły projektowania, bez kosztownych godzin programowania — po prostu wiarygodna, markowa kopia w kilka minut. Ta zmiana obniża barierę wejścia dla oszustów i zwielokrotnia ryzyko dla wszystkich innych.
Dlaczego to działa
Nasi badacze sami przetestowali to pod kątem odporności. Korzystając z bezpłatnych ofert, poprosiliśmy kilku popularnych twórców stron internetowych o pomoc w odtworzeniu klimatu TikTok, Microsoft, Instagram, Coinbase i Binance. Wyniki były alarmująco realistyczne: dopracowane układy, znane elementy, automatycznie generowane teksty, które wydawały się „wystarczająco oficjalne” oraz publikowanie jednym kliknięciem. Innymi słowy: phishing typu „plug-and-play”.
Nie jest to zjawisko marginalne. Obserwujemy gwałtowny wzrost liczby fałszywych stron internetowych tworzonych przez sztuczną inteligencję na znanych platformach: myślę tu o markach dostawczych, operatorach komórkowych, portfelach kryptowalutowych, ubezpieczycielach, aplikacjach społecznościowych. Wiele z nich jest niemal nie do odróżnienia na pierwszy rzut oka, zwłaszcza na urządzeniach mobilnych, gdzie pasek adresu URL jest niewielki, a wygląd strony ma największy wpływ na przekonanie użytkownika. Od stycznia 2025 r. zablokowaliśmy około 140 000 różnych stron internetowych wygenerowanych przez sztuczną inteligencję, co daje średnio około 580 nowych złośliwych stron dziennie. W tym samym okresie ochroniliśmy prawie 190 000 naszych użytkowników, przy czym najbardziej dotknięte były Stany Zjednoczone, Francja, Brazylia i Niemcy. To ogromna liczba „prawie prawdziwych” stron, które łapią ludzi w pracowity wtorek.
Za kulisami
Dlaczego to działa tak dobrze na osoby, które zazwyczaj są ostrożne? Ponieważ stare sygnały ostrzegawcze (literówki, nieporęczne układy, dziwne odstępy) nie pojawiają się, gdy strona jest tworzona przez asystenta projektowania AI. Oszustwo odnosi sukces dzięki atmosferze: kolorowi, logo, tonowi mikrotekstu, umiejscowieniu przycisku „Kontynuuj” dokładnie tam, gdzie oczekuje tego kciuk. Lokalizacja jest teraz również banalna. Jeśli kampania jest skierowana dzisiaj do osób mówiących po hiszpańsku w Madrycie, a jutro do osób mówiących po niemiecku w Monachium, konstruktor po prostu zmienia szablon, dodając nowy tekst. A ponieważ konfiguracja jest tania lub bezpłatna, przestępcy mogą testować nagłówki, ikony i monity metodą A/B, tak jak robią to zespoły ds. rozwoju, a następnie zachować tylko to, co się sprawdza.
W rzeczywistości proces ten jest niezwykle prosty.
Krok pierwszy: poproś twórcę o wygenerowanie strony, która wygląda i działa jak zaufana marka, lub prześlij zrzut ekranu, który ma naśladować. Krok drugi: „podłącz” formularze za pomocą wbudowanych narzędzi lub eksportując szablon i prosząc inną sztuczną inteligencję o obsługę przesyłania i eksfiltracji. Krok trzeci: opublikuj, zmierz, powtórz. Kiedy host usuwa jedną stronę, w ciągu kilku minut pojawia się nowa kopia gdzie indziej. To phishing jako usługa, a zapasy nigdy się nie wyczerpują.
Aby zrozumieć, do czego przestępcy faktycznie wykorzystywali te generowane przez sztuczną inteligencję strony, nie poprzestaliśmy na blokowaniu adresów URL. Nasz zespół zbadał wykryte domeny i przeanalizował strukturę oraz zachowanie stron. Obejmowało to sprawdzenie zawartych na nich formularzy, danych, które próbowały przechwycić, oraz następujących po tym przepływów przekierowań. W niektórych przypadkach cel był oczywisty: pola poświadczeń sklonowane z loginów bankowych lub e-mailowych. W innych przypadkach linki prowadziły do portali „inwestycyjnych” kryptowalut, formularzy skimmingowych kart płatniczych lub pobierania oprogramowania do zdalnego wsparcia. W przyszłości atakujący mogliby równie łatwo wdrożyć fałszywe strony „weryfikacyjne” kryptowalut, które wyczerpują frazy seed. Klasyfikując w ten sposób każdą stronę, stworzyliśmy podział rodzajów zagrożeń przedstawiony na wykresie, gdzie dominuje phishing, tuż za nim plasują się oszustwa kryptowalutowe, a mniejszy odsetek stanowią próby oszustw związanych z pomocą techniczną i inne.
Rzeczywiste wyniki są zgodne z przewidywalnymi wzorcami. Logowanie w celu pozyskania danych uwierzytelniających prowadzi do przejęcia kont. Oszustwa związane z kryptowalutami próbują nakłonić ofiary do fałszywych inwestycji. Strony z opłatami za dostawę skradają dane kart kredytowych w ramach małych „testów” przed większymi atakami. Podszywające się pod pomoc techniczną strony nakłaniają do instalacji oprogramowania do zdalnego sterowania. Szczegóły się różnią, ale mechanizm jest taki sam: wiarygodna fasada pozwala zdobyć kilka sekund zaufania, wystarczająco długo, aby ukraść coś wartościowego.
Odwrócenie sytuacji
Oto dobra wiadomość: nie jest to gra przegrana. Po naszej stronie blokujemy ten proces. Wykrywamy i zatrzymujemy znane złe subdomeny kreatorów oraz typosquaty przed załadowaniem strony, dzięki czemu „atmosfera” nie ma szansy Cię oszukać.
Niektórzy twórcy również podejmują działania. Kiedy zgłosiliśmy nadużycia, dostawcy tacy jak Lovable, Elementor, Flazio, Softr, Webflow i WebWave szybko podjęli działania, aby je usunąć. Pokazuje to, że odpowiedzialne zgłaszanie nadużyć działa, a czujność użytkowników również odgrywa ważną rolę. Im szybciej zgłaszane są podejrzane strony, tym szybciej są one usuwane. Jednak łatwość tworzenia nowych klonów oznacza, że samo usuwanie stron nie wystarczy; kluczowe znaczenie mają nadal zapobieganie i ochrona.
Dlatego też śledzimy przypadki podszywania się pod marki w wielu kreatorach stron internetowych i współpracujemy bezpośrednio z dostawcami, aby ograniczyć nadużycia. W naszych produktach konsumenckich funkcje takie jak Scam Protection i Scam Guardian pomagają użytkownikom sprawdzić linki i strony w momencie, gdy jest to najbardziej potrzebne.
Co czytelnicy powinni robić inaczej? Zacznij od nieufności do wyglądu. Jeśli strona „wydaje się” w porządku, ale żądanie jest nietypowe — frazy seed, kody 2FA, pilne zwroty kosztów — potraktuj tę niezgodność jako sygnał ostrzegawczy. Nie korzystaj z linków logowania z SMS-ów lub wiadomości prywatnych; używaj własnych zakładek lub oficjalnej aplikacji. W przypadku dostaw przejdź samodzielnie do znanego adresu URL, zamiast klikać w linki. Używaj unikalnych haseł z włączoną funkcją MFA, aby jeden błąd nie odblokował wszystkiego.
Podsumowanie
VibeScams nie oznaczają, że internet jest zepsuty. Oznaczają one, że phishing stał się bardziej zaawansowany. Szybkość, skala i dostępność są obecnie atutami atakujących; precyzja, weryfikacja i wielopoziomowa ochrona muszą być naszymi atutami.
Phishing nie wymaga już phisherów, wystarczy tylko monit. Jeśli projekt można sfałszować w ciągu kilku sekund, zaufanie musi opierać się na czymś trudniejszym do sfałszowania — na przykład na adresie URL wpisanym samodzielnie, narzędziach zabezpieczających, które blokują złe strony, oraz nazwyczajaniu się do zatrzymywania się, gdy coś wydaje się zbyt idealne.
Chcesz dowiedzieć się więcej? W naszym pełnym wpisie na blogu VibeScams omówiono szczegółowe studia przypadków, przykłady stron internetowych stworzonych przez sztuczną inteligencję, które odkryliśmy, oraz sposoby, w jakie przestępcy dostosowują swoje taktyki.
Zagrożenia SMS-owe: krótkie wiadomości, które przestępcy uwielbiają
Sygnał o 8:12 rano.
Wiadomość pojawia się, gdy parzysz kawę:
„Twoje konto zostało otwarte z nowego urządzenia. Jeśli to nie Ty, zadzwoń do nas teraz: <numer telefonu>”
Wiadomość pojawia się nawet w tym samym wątku, którego używa Twój bank. W ciągu mniej niż minuty możesz rozmawiać z przekonującym „agentem” i przekazać mu jednorazowe kody, bo kto ignoruje ostrzeżenie dotyczące bezpieczeństwa?
Taka jest siła SMS-ów jako wektora ataku: są tanie, natychmiastowe i sprawiają wrażenie osobistych. Podczas gdy nagłówki gazet ścigają bardziej spektakularne zagrożenia, oszustwa inicjowane za pomocą SMS-ów po cichu się nasilają. Tylko w 2024 r. ludzie zgłosili 470 mln dolarów strat, które zaczęły się od SMS-a, czyli 5 razy więcej niż w 2020 r. Podsumowanie amerykańskiego regulatora jest dosadne: wysyłanie SMS-ów jest „tanie i łatwe”, a oszuści wiedzą, że trudno zignorować ding.
Operatorzy i organy nadzorujące branżę nie spodziewają się szybkiej poprawy sytuacji. Badania przeprowadzone wśród globalnych operatorów pokazują, że ponad połowa z nich spodziewa się w tym roku wzrostu liczby oszustw SMS-owych, a nie ich spadku, ponieważ przestępcy wykorzystują zmiany cen, słabe punkty w routingu i sztucznie zawyżony ruch. Tymczasem świadomość społeczna pozostaje w tyle. W Wielkiej Brytanii tylko 15% użytkowników telefonów komórkowych wie o istnieniu bezpłatnego numeru 7726, pod który można zgłaszać oszukańcze SMS-y; tylko 6% z nich z niego skorzystało, co oznacza, że sieci tracą sygnały, które pomogłyby im szybciej filtrować wiadomości. Jak ostrzegają organy ścigania, fale oszustw typu smishing dotyczących opłat drogowych/parkingowych mogą w ciągu kilku tygodni przenosić się z jednego stanu do drugiego, dezorientując ofiary i osoby zajmujące się ochroną.
Najgorsze SMS-y tego kwartału
W tym kwartale przeanalizowaliśmy miliony złośliwych SMS-ów wysyłanych do użytkowników na całym świecie. Poniżej przedstawiamy pięć najczęściej występujących kampanii, które śledziliśmy. Każda pozycja odnosi się do jednej konkretnej kampanii, a podany przykład pochodzi z tej kampanii. Procenty odzwierciedlają udział wszystkich oszukańczych SMS-ów przypisanych do tej konkretnej kampanii w naszej telemetrii w danym okresie. Nie jest to ranking wszystkich rodzajów oszustw. Łącznie te pięć kampanii stanowi 26% wszystkich złośliwych SMS-ów zaobserwowanych w tym kwartale:
- Oszustwa związane z zatrudnieniem (8% wszystkich oszukańczych SMS-ów)
- Fałszywe zwroty (7%)
- Zwroty podatków / grzywny (6%)
- Inwestycje (3%)
- Dostawy (3%)
Jak niewielki tekst może wyrządzić ogromne szkody
Sztuczka nie polega na zaawansowanym złośliwym oprogramowaniu. Chodzi o tarcie — a raczej jego brak. SMS-y funkcjonują tam, gdzie funkcjonuje prawdziwe życie: aktualizacje dostaw, kody dwuskładnikowe, przypomnienia o spotkaniach. Oszuści ukrywają się w tym szumie i wygrywają pierwsze pięć sekund: krótki link, krótki termin i decyzja podjęta, zanim kawa zacznie działać. Badania branżowe sugerują, że czterech na dziesięciu użytkowników smartfonów spotkało się z próbami smishingu w 2023 r., co przypomina, że górna część lejka jest szeroka, nawet przed zawężeniem oficjalnych statystyk przez niedoszacowanie.
Dwie dynamiki sprawiają, że SMS-y są niedoceniane i rzadko omawiane. Po pierwsze, są one z założenia wielokanałowe. Wiele kampanii szybko przenosi użytkownika z SMS-ów (na numer oddzwaniania lub aplikację do przesyłania wiadomości), gdzie presja działa lepiej, a zabezpieczenia są słabsze. Operatorzy komórkowi mogą filtrować wiadomości tekstowe na poziomie sieci, a na niektórych rynkach organy regulacyjne wymagają od nich, aby to robili; nie mogą jednak kontrolować połączeń telefonicznych w czasie rzeczywistym. Po drugie, sygnały są subtelne. Telefony mogą grupować wiadomości według nazwy nadawcy, więc fałszywe powiadomienie bankowe może trafić do prawdziwego wątku bankowego. Dodaj skrócony adres URL i przekonującą domenę, a większość z nas jest o jedno kliknięcie od kłopotów.
Sztuczki stosowane w wiadomościach tekstowych
Smishing nie wygrywa, ponieważ atakujący przechytrzają telefon. Wygrywa, ponieważ kanał wydaje się rutynowy, a przebrania są proste, ale skuteczne. Większość wiadomości tekstowych trafia do tej samej skrzynki odbiorczej, co aktualizacje dostaw i jednorazowe kody; przestępcy ukrywają się w tym szumie i proszą o coś niewielkiego, zanim mózg przełączy się z „trybu administracyjnego” na „tryb bezpieczeństwa”.
Strategia działania jest połączeniem psychologii człowieka (pilność, autorytet, wygoda) i drobnych sztuczek technicznych, które sprawiają, że niebezpieczna wiadomość wygląda zwyczajnie przez trzy sekundy potrzebne do jej kliknięcia.
W rzeczywistości nie ma w tym żadnej magii, tylko jednorazowe domeny i sztuczki, które pozwalają ominąć szybką kontrolę wzrokową i podstawowe filtry. Kiedy przynęta wymaga więcej czasu lub nacisku, rozmowa przenosi się na inny kanał — rozmowę telefoniczną lub czat WhatsApp — gdzie zabezpieczenia są słabsze, a spokojny „agent” może przeprowadzić ofiarę przez resztę procesu. A jeśli ktoś się waha lub zbyt późno zda sobie sprawę, pojawia się druga fala oferująca „usługi odzyskiwania”, które pobierają opłatę za „odzyskanie pieniędzy”.
Oto mechanizmy, które obecnie wyrządzają najwięcej szkód, oraz sposoby, w jakie omijają one zarówno filtry, jak i zapracowanych ludzi:
- Maskowanie adresów URL: publiczne skracacze (np. cutt.ly, tinyurl.com, rb.gy) i jednorazowe domeny ukrywają miejsca docelowe na tyle długo, aby skłonić użytkownika do kliknięcia.
- Adresy internetowe przypominające marki: subdomeny, które na pierwszy rzut oka wyglądają na oficjalne, takie jak flhsmv.govturim[.]vip, wykorzystują nasz zwyczaj czytania tylko początku adresu URL.
- Phishing z wykorzystaniem nazwy użytkownika w adresie URL: https://www.fedex.com@… nadal wprowadza w błąd w wiadomościach SMS, ponieważ prawdziwa nazwa hosta znajduje się po znaku @.
- Zamaskowanie Unicode: SMS obsługuje UTF-16, więc podobne znaki zamieniają Amazon w Αmаzon; filtry i ludzie popełniają błędy.
- Przejście na komunikatory głosowe/tekstowe: przeniesienie ofiar do WhatsApp/Telegram lub rozmowa telefoniczna segmentuje atak na różne platformy: trudniej wykryć, łatwiej wywrzeć presję. Publiczne ostrzeżenia dotyczące smishingu związanego z opłatami drogowymi/parkingowymi pokazują, jak szybko ewoluują te fale.
- „Ratunek” po oszustwie: oferty usług odzyskiwania danych („Oszukano Cię? Możemy pomóc — porozmawiaj z nami tutaj”) są skierowane do osób, które już poniosły straty, i mają na celu wyłudzenie kolejnej opłaty.
Czytelnicy, którzy chcą zapoznać się z bardziej szczegółowymi informacjami na temat tych kategorii, mogą przeczytać nasz wpis na blogu „Zagrożenia związane z SMS-ami: wiele twarzy małego tekstu”, który zawiera zrzuty ekranu, przykłady i szczegółowe porady.
Kiedy pojawia się sztuczna inteligencja
Sztuczna inteligencja po cichu zmienia ten krajobraz. Tam, gdzie kiedyś przestępcy polegali na nieporadnych, pełnych literówek tekstach, teraz mogą generować płynne, zlokalizowane wiadomości na dużą skalę, z których każda jest dostosowana do języka i sformułowań kraju docelowego. Sztuczna inteligencja może również tworzyć nieskończoną liczbę wariantów, sprawiając, że filtry oparte na wykrywaniu powtarzających się wzorców są znacznie mniej skuteczne.
Nie chodzi tylko o tekst. Atakujący zaczynają łączyć SMS-y z generowanymi przez sztuczną inteligencję połączeniami głosowymi lub chatbotami na WhatsApp, tworząc płynne, wielokanałowe oszustwo, które wydaje się niezwykle profesjonalne. W rezultacie oszustwa, które kiedyś budziły podejrzenia, teraz wyglądają jak wiadomości, które naprawdę otrzymujesz od banków, kurierów lub urzędów skarbowych. Dla obrońców oznacza to, że poprzeczka jest coraz wyżej, a dla konsumentów – że sceptycyzm musi stać się drugą naturą.
SMS-y mogą nie być tak popularne jak ransomware czy zero-day, ale ich cicha skuteczność jest właśnie tym, o co chodzi. Docierają do wszystkich, wtapiają się w codzienne sprawy administracyjne i niemal bez przeszkód kierują ofiary do oszustw o większej wartości. Dopóki świadomość (i zgłaszanie) nie nadążą, najmniejsza wiadomość na Twoim telefonie będzie nadal wyrządzać ogromne szkody — jedna wibracja po drugiej.
Cracking Midnight: kiedy ransomware typu „kopiuj-wklej” zapomina o matematyce
Ransomware od dawna uważane jest za nie do pokonania: pliki są blokowane, matematyka jest nie do złamania, a ofiary są zmuszone do podjęcia strasznej decyzji: zapłacić lub stracić swoje dane. Ransomware Midnight pokazuje coś innego.
Oparte na ujawnionym kodzie źródłowym Babuka, Midnight jest częścią nowej fali projektów ransomware typu „kopiuj-wklej”. Jednak zamiast ulepszyć oryginał, jego autorzy osłabili go. Analizując kod, nasi badacze odkryli krytyczną słabość kryptografii Midnight, rodzaj błędu, który rzadko występuje we współczesnym ransomware. Dzięki zidentyfikowaniu i wykorzystaniu tej luki zespół był w stanie opracować bezpłatny dekrypter, który daje ofiarom możliwość wyjścia z sytuacji bez konieczności płacenia.
Midnight w praktyce
Na pierwszy rzut oka Midnight nie różni się zbytnio od innych programów ransomware. Blokuje pliki, pozostawia notatkę z żądaniem okupu o nazwie How To Restore Your Files.txt i żąda zapłaty. W większości przypadków ofiary widzą, że ich pliki zostały przemianowane z rozszerzeniem .Midnight lub .endpoint, co jest wyraźnym znakiem infekcji.
Wcześniejsze wersje Midnight atakowały głównie dane o dużej wartości, takie jak bazy danych i kopie zapasowe, ale nowsze wersje rozszerzyły zakres ataku na prawie wszystkie popularne typy plików, pozostawiając nietknięte tylko pliki programów. Aby działać szybko, wykorzystuje również sztuczkę zwaną szyfrowaniem przerywanym, dotykając tylko tyle pliku, aby uczynić go bezużytecznym, jednocześnie przyspieszając działanie systemu.
Na pierwszy rzut oka wszystko to wygląda jak zwykła działalność ransomware. Jednak w rzeczywistości autorzy Midnight popełnili krytyczne błędy w projekcie szyfrowania, które stały się szansą dla obrońców.
Od Babuk do złamanych forków
Wyciek Babuk w 2021 roku był punktem zwrotnym dla ekosystemu ransomware. Nagle zaawansowany kod źródłowy stał się dostępny dla każdego, kto chciał spróbować swoich sił w cyberwymuszeniach. Wyciek ten spowodował powstanie wielu spin-offów, z których niektóre odniosły większy sukces niż inne. Midnight jest jednym z nich, a jego historia ilustruje ważny trend.
Wyciek Babuk nie doprowadził do powstania nowego „super szczepu”, ale wywołał falę pośpiesznych, amatorskich forków. Midnight jest podręcznikowym przykładem: przestępcy ponownie wykorzystali kod, wprowadzili „ulepszenia”, których nie do końca rozumieli, i otrzymali produkt, który sabotował sam siebie.
Nasi badacze odkryli słabe punkty w jego konstrukcji kryptograficznej, rzadkie błędy, które otworzyły drzwi do stworzenia działającego dekodera. Dla obrońców nawet jeden tego rodzaju błąd jest cenny; w przypadku Midnight szansa była jeszcze większa.
Bezpłatne wyjście
Dzięki tym spostrzeżeniom opracowaliśmy bezpłatny Midnight Ransomware Decryptor. Ofiary mogą go użyć do bezpiecznego odzyskania plików bez płacenia okupu.
Zamiast powielać tutaj szczegóły techniczne, opublikowaliśmy pełną analizę na naszym blogu badawczym, zawierającą wskaźniki naruszenia bezpieczeństwa, zrzuty ekranu i instrukcje krok po kroku dotyczące deszyfrowania. Ten raport przedstawia szerszy obraz sytuacji.
Dla obrońców i badaczy, którzy chcą poznać szczegóły techniczne, nasz kolega Samuel Vojtáš opublikował analizę Midnight na blogu Gen. Jego artykuł przedstawia ewolucję oprogramowania ransomware od Babuk, podkreśla jego dziwactwa i zawiera instrukcje krok po kroku dotyczące korzystania z naszego bezpłatnego dekodera.
Dlaczego Midnight ma znaczenie
Midnight może nie być najbardziej rozpowszechnionym oprogramowaniem ransomware w 2025 roku. Jednak wnioski, jakie można z niego wyciągnąć, wykraczają daleko poza liczbę ofiar:
- Kopiujący przestępcy. Wyciekający kod źródłowy napędza powstawanie niezliczonych odmian oprogramowania ransomware, ale nie wszystkie z nich są silniejsze. Midnight dowodzi, że kopiowanie skrótów może osłabić atakujących.
- Rzadkie luki w szyfrowaniu. Znalezienie pojedynczych luk w szyfrowaniu oprogramowania ransomware, które można wykorzystać, jest rzadkością, ale Midnight dowodzi, że przestępcy nie zawsze potrafią poprawnie obliczyć.
- Nadzieja dla ofiar. Midnight pokazuje, że oprogramowanie ransomware nie zawsze oznacza koniec drogi. Istnieją darmowe deszyfratory, a zapłacenie okupu nie jest jedyną opcją.
- Szum wokół sztucznej inteligencji a rzeczywistość. Podczas gdy nagłówki gazet skupiają się na eksperymentach z oprogramowaniem ransomware wspomaganym sztuczną inteligencją, Midnight pokazuje drugą stronę ekosystemu — pośpieszne projekty oparte na ujawnionym kodzie, pełne błędów nowicjuszy. Świat oprogramowania ransomware dzieli się: niektóre grupy eksperymentują ze sztuczną inteligencją, podczas gdy inne sabotują samych siebie. Ta fragmentacja stwarza nowe możliwości dla obrońców.
Szersza perspektywa
Ekosystem oprogramowania ransomware ulega fragmentacji. Zamiast kilku dużych, zdyscyplinowanych grup dominujących w tej dziedzinie, obserwujemy rosnącą liczbę błędnych rozgałęzień, pospiesznych eksperymentów i naśladowców opartych na ujawnionym kodzie. To dobra wiadomość dla obrońców: im więcej błędów popełniają przestępcy, tym więcej mamy możliwości, aby ich zneutralizować.
Midnight jest tego dobrym przykładem — oprogramowanie ransomware, które próbowało oprzeć się na dziedzictwie Babuka, ale ostatecznie podkopało samą siebie.
Dla ofiar nasz dekrypter oznacza odzyskanie danych bez konieczności płacenia okupu. Dla branży jest to przypomnienie, że oprogramowanie ransomware nie zawsze jest nie do złamania. A dla przestępców przesłanie jest jasne: recykling cudzego kodu nie gwarantuje sukcesu.
Branislav Kramár, inżynier ds. analizy zagrożeń
Daniel Beneš, starszy badacz zagrożeń
Jan Rubín, kierownik zespołu ds. badań zagrożeń
Ladislav Zezula, starszy badacz złośliwego oprogramowania
Luis Corrons, ewangelista bezpieczeństwa
Samuel Vojtáš, inżynier ds. analizy zagrożeń
Tadeáš Zíka, analityk zagrożeń
Podsumowanie
W tym kwartale potwierdziła się zmiana, którą obserwowaliśmy przez cały rok: cyberprzestępczość atakuje przede wszystkim ludzi. Dzięki sztucznej inteligencji oszustwa wyglądają i sprawiają wrażenie prawdziwych, od podróbek VibeScam po SMS-y, które kierują ofiary do „pomocy technicznej” na żywo. Oprogramowanie ransomware nadal jest głośne, ale ciche zwycięstwa wynikają ze zmniejszenia luki między pierwszym kontaktem a pierwszą ochroną. Skupiamy się na ochronie w czasie rzeczywistym w miejscach, w których ludzie już rozmawiają i robią zakupy, zapewniając jasną pomoc w razie wątpliwości.
Wraz ze zbliżającym się okresem świątecznym nadchodzi szczyt sezonu zakupowego. Należy spodziewać się oszustw związanych z dostawami, problemami z zamówieniami, zbyt dobrymi, aby były prawdziwe ofertami, fałszywym wsparciem i oszustwami „w platformie” na rynkach i w mediach społecznościowych. Przewodnik dla czytelników jest prosty: zwolnij tempo, sprawdź nadawcę i adres URL, nigdy nie udostępniaj jednorazowych kodów, używaj uwierzytelniania dwuskładnikowego lub kluczy dostępu i płać tylko w zaufanych kasach. Spotkamy się z przestępcami w rozmowie, wykorzystując zabezpieczenia, które wykrywają oszustwa i zapobiegają stratom. Do zobaczenia w następnym kwartale z wynikami.
Przedsiębiorstwo Informatyczne CORE
Producent, importer i reseller oprogramowania, wydawca serwisów internetowych. Działa od 2001 roku. Oficjalny dystrybutor AVG. Programy rozprowadzane są przez siatkę ponad 1300 resellerów na terenie całej Polski, zapewniona jest pełna polska pomoc techniczna oraz wsparcie handlowe i marketingowe.
