#wycieki — Public Fediverse posts

Wyciekły dane osób zamawiających jedzenie przez internet

Jeśli zamawialiście kiedykolwiek jedzenie online w serwisie NaWynos.elblag.pl to niestety mamy dla Was smutną informację. Można było pobrać dane wszystkich osób, które od 2011 roku korzystały z usług tego serwisu, a zdaniem administratora portalu, to nie jest duży problem i nie są to dane w żaden sposób wrażliwe.
Co i jak wyciekło?
O sytuacji poinformował nas Hubert z agencji ztl.agency, który szukał dla siebie jakiejś opcji zamówienia jedzenia w Elblągu. I znalazł serwis NaWynos.elblag.pl, ale mając specyficzne zawodowe przyzwyczajenia, postanowił przed złożeniem zamówienia “zajrzeć w konsolę”. Wkrótce ustalił, że ten serwis ma endpoint, pod który można, bez zalogowania, wysłać …numer zamówienia i w odpowiedzi otrzymać informacje na temat tego zamówienia.
Sprawdziliśmy. Ustalenia Hieronima się potwierdziły.

Okazało się, że przechowywane są dane zamówień sprzed wielu lat. Nam udało się dotrzeć do zamówienia nr 1500 z 2011 roku.
Najwyższy numer zamówienia jaki trafiliśmy to 600605. Uwaga – nie wszystkie identyfikatory z tego zakresu (1500-600605) zwracały jakąś odpowiedź, choć większość zwracała. Trudno ocenić faktyczny rozmiar wycieku bez masowego odpytywania, a tego robić nie chcieliśmy.

Chcesz nauczyć się atakować i zabezpieczać aplikacje webowe?
Weź udział w naszym 2 dniowym, praktycznym szkoleniu pt. “Atakowanie i Ochrona Webaplikacji” dzięki któremu dowiesz się jak wykrywać błędy w serwisach internetowych, niezależnie od języka/frameworka w którym zostały one stworzone. Najbliższe terminy tego szkolenia znajdziesz poniżej:

Kraków: 20-21 listopada 2025r. — UWAGA: zostało tylko 1 wolne miejsce
Ostatnio ktoś zarejestrował się 12 listopada 2025r. → zarejestruj się na to szkolenie
[...]

#UODO #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/wyciekly-dane-osob-zamawiajacych-jedzenie-przez-internet/

Wyciekły dane osób zamawiających jedzenie przez internet

Jeśli zamawialiście kiedykolwiek jedzenie online w serwisie NaWynos.elblag.pl to niestety mamy dla Was smutną informację. Można było pobrać dane wszystkich osób, które od 2011 roku korzystały z usług tego serwisu, a zdaniem administratora portalu, to nie jest duży problem i nie są to dane w żaden sposób wrażliwe.
Co i jak wyciekło?
O sytuacji poinformował nas Hubert z agencji ztl.agency, który szukał dla siebie jakiejś opcji zamówienia jedzenia w Elblągu. I znalazł serwis NaWynos.elblag.pl, ale mając specyficzne zawodowe przyzwyczajenia, postanowił przed złożeniem zamówienia “zajrzeć w konsolę”. Wkrótce ustalił, że ten serwis ma endpoint, pod który można, bez zalogowania, wysłać …numer zamówienia i w odpowiedzi otrzymać informacje na temat tego zamówienia.
Sprawdziliśmy. Ustalenia Hieronima się potwierdziły.

Okazało się, że przechowywane są dane zamówień sprzed wielu lat. Nam udało się dotrzeć do zamówienia nr 1500 z 2011 roku.
Najwyższy numer zamówienia jaki trafiliśmy to 600605. Uwaga – nie wszystkie identyfikatory z tego zakresu (1500-600605) zwracały jakąś odpowiedź, choć większość zwracała. Trudno ocenić faktyczny rozmiar wycieku bez masowego odpytywania, a tego robić nie chcieliśmy.

Chcesz nauczyć się atakować i zabezpieczać aplikacje webowe?
Weź udział w naszym 2 dniowym, praktycznym szkoleniu pt. “Atakowanie i Ochrona Webaplikacji” dzięki któremu dowiesz się jak wykrywać błędy w serwisach internetowych, niezależnie od języka/frameworka w którym zostały one stworzone. Najbliższe terminy tego szkolenia znajdziesz poniżej:

Kraków: 20-21 listopada 2025r. — UWAGA: zostało tylko 1 wolne miejsce
Ostatnio ktoś zarejestrował się 12 listopada 2025r. → zarejestruj się na to szkolenie
[...]

#UODO #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/wyciekly-dane-osob-zamawiajacych-jedzenie-przez-internet/

Wyciekły dane osób zamawiających jedzenie przez internet

Jeśli zamawialiście kiedykolwiek jedzenie online w serwisie NaWynos.elblag.pl to niestety mamy dla Was smutną informację. Można było pobrać dane wszystkich osób, które od 2011 roku korzystały z usług tego serwisu, a zdaniem administratora portalu, to nie jest duży problem i nie są to dane w żaden sposób wrażliwe.
Co i jak wyciekło?
O sytuacji poinformował nas Hubert z agencji ztl.agency, który szukał dla siebie jakiejś opcji zamówienia jedzenia w Elblągu. I znalazł serwis NaWynos.elblag.pl, ale mając specyficzne zawodowe przyzwyczajenia, postanowił przed złożeniem zamówienia “zajrzeć w konsolę”. Wkrótce ustalił, że ten serwis ma endpoint, pod który można, bez zalogowania, wysłać …numer zamówienia i w odpowiedzi otrzymać informacje na temat tego zamówienia.
Sprawdziliśmy. Ustalenia Hieronima się potwierdziły.

Okazało się, że przechowywane są dane zamówień sprzed wielu lat. Nam udało się dotrzeć do zamówienia nr 1500 z 2011 roku.
Najwyższy numer zamówienia jaki trafiliśmy to 600605. Uwaga – nie wszystkie identyfikatory z tego zakresu (1500-600605) zwracały jakąś odpowiedź, choć większość zwracała. Trudno ocenić faktyczny rozmiar wycieku bez masowego odpytywania, a tego robić nie chcieliśmy.

Chcesz nauczyć się atakować i zabezpieczać aplikacje webowe?
Weź udział w naszym 2 dniowym, praktycznym szkoleniu pt. “Atakowanie i Ochrona Webaplikacji” dzięki któremu dowiesz się jak wykrywać błędy w serwisach internetowych, niezależnie od języka/frameworka w którym zostały one stworzone. Najbliższe terminy tego szkolenia znajdziesz poniżej:

Kraków: 20-21 listopada 2025r. — UWAGA: zostało tylko 1 wolne miejsce
Ostatnio ktoś zarejestrował się 12 listopada 2025r. → zarejestruj się na to szkolenie
[...]

#UODO #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/wyciekly-dane-osob-zamawiajacych-jedzenie-przez-internet/

Wyciekły dane osób zamawiających jedzenie przez internet

Jeśli zamawialiście kiedykolwiek jedzenie online w serwisie NaWynos.elblag.pl to niestety mamy dla Was smutną informację. Można było pobrać dane wszystkich osób, które od 2011 roku korzystały z usług tego serwisu, a zdaniem administratora portalu, to nie jest duży problem i nie są to dane w żaden sposób wrażliwe.
Co i jak wyciekło?
O sytuacji poinformował nas Hubert z agencji ztl.agency, który szukał dla siebie jakiejś opcji zamówienia jedzenia w Elblągu. I znalazł serwis NaWynos.elblag.pl, ale mając specyficzne zawodowe przyzwyczajenia, postanowił przed złożeniem zamówienia “zajrzeć w konsolę”. Wkrótce ustalił, że ten serwis ma endpoint, pod który można, bez zalogowania, wysłać …numer zamówienia i w odpowiedzi otrzymać informacje na temat tego zamówienia.
Sprawdziliśmy. Ustalenia Hieronima się potwierdziły.

Okazało się, że przechowywane są dane zamówień sprzed wielu lat. Nam udało się dotrzeć do zamówienia nr 1500 z 2011 roku.
Najwyższy numer zamówienia jaki trafiliśmy to 600605. Uwaga – nie wszystkie identyfikatory z tego zakresu (1500-600605) zwracały jakąś odpowiedź, choć większość zwracała. Trudno ocenić faktyczny rozmiar wycieku bez masowego odpytywania, a tego robić nie chcieliśmy.

Chcesz nauczyć się atakować i zabezpieczać aplikacje webowe?
Weź udział w naszym 2 dniowym, praktycznym szkoleniu pt. “Atakowanie i Ochrona Webaplikacji” dzięki któremu dowiesz się jak wykrywać błędy w serwisach internetowych, niezależnie od języka/frameworka w którym zostały one stworzone. Najbliższe terminy tego szkolenia znajdziesz poniżej:

Kraków: 20-21 listopada 2025r. — UWAGA: zostało tylko 1 wolne miejsce
Ostatnio ktoś zarejestrował się 12 listopada 2025r. → zarejestruj się na to szkolenie
[...]

#UODO #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/wyciekly-dane-osob-zamawiajacych-jedzenie-przez-internet/

Wyciekły dane osób zamawiających jedzenie przez internet

Jeśli zamawialiście kiedykolwiek jedzenie online w serwisie NaWynos.elblag.pl to niestety mamy dla Was smutną informację. Można było pobrać dane wszystkich osób, które od 2011 roku korzystały z usług tego serwisu, a zdaniem administratora portalu, to nie jest duży problem i nie są to dane w żaden sposób wrażliwe.
Co i jak wyciekło?
O sytuacji poinformował nas Hubert z agencji ztl.agency, który szukał dla siebie jakiejś opcji zamówienia jedzenia w Elblągu. I znalazł serwis NaWynos.elblag.pl, ale mając specyficzne zawodowe przyzwyczajenia, postanowił przed złożeniem zamówienia “zajrzeć w konsolę”. Wkrótce ustalił, że ten serwis ma endpoint, pod który można, bez zalogowania, wysłać …numer zamówienia i w odpowiedzi otrzymać informacje na temat tego zamówienia.
Sprawdziliśmy. Ustalenia Hieronima się potwierdziły.

Okazało się, że przechowywane są dane zamówień sprzed wielu lat. Nam udało się dotrzeć do zamówienia nr 1500 z 2011 roku.
Najwyższy numer zamówienia jaki trafiliśmy to 600605. Uwaga – nie wszystkie identyfikatory z tego zakresu (1500-600605) zwracały jakąś odpowiedź, choć większość zwracała. Trudno ocenić faktyczny rozmiar wycieku bez masowego odpytywania, a tego robić nie chcieliśmy.

Chcesz nauczyć się atakować i zabezpieczać aplikacje webowe?
Weź udział w naszym 2 dniowym, praktycznym szkoleniu pt. “Atakowanie i Ochrona Webaplikacji” dzięki któremu dowiesz się jak wykrywać błędy w serwisach internetowych, niezależnie od języka/frameworka w którym zostały one stworzone. Najbliższe terminy tego szkolenia znajdziesz poniżej:

Kraków: 20-21 listopada 2025r. — UWAGA: zostało tylko 1 wolne miejsce
Ostatnio ktoś zarejestrował się 12 listopada 2025r. → zarejestruj się na to szkolenie
[...]

#UODO #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/wyciekly-dane-osob-zamawiajacych-jedzenie-przez-internet/

Atak na klientów 9000 różnych polskich sklepów internetowych

Dziś rano platforma sky-shop.pl, która umożliwia każdemu założenie swojego sklepu internetowego (i której twórcą jest Przemo od “phpBB2 by Przemo”), poinformowała swoich klientów (czyli właścicieli sklepów) o tym, że dane ich klientów (czyli zapewne sporej części z Was, drodzy internauci) zostały wykradzione. Poszkodowanych ma być 9000 różnych sklepów, nie podano jednak sumarycznej liczby użytkowników, których dane pozyskał włamywacz.
Jak ustalić, czy byłem klientem sklepu na platformie sky-shop.pl?
Zacznijmy od najważniejszego. Sky-shop poinformowało właścicieli sklepów, ale to nie sky-shop będzie informować użytkowników tych sklepów. To zadanie dla administratorów poszczególnych sklepów i o ile wedle naszej wiedzy sky-shop wskazał im jak można to zrobić za pomocą platformy, to obawiamy się, że to może oznaczać, iż niektórzy z Was dowiedzą się o tym, że Wasze dane wyciekły dopiero za kilka (kilkanaście?) dni, a może nawet nigdy, jeśli właściciel sklepu, często bardzo małego, komunikat od Sky-shopu po prostu zignoruje.
Dlatego kluczowe wydaje się samodzielne ustalenie, czy kiedykolwiek skorzystaliście ze sklepu, który był hostowany na zhakowanej platformie sky-shop.pl? Jak to zrobić? Część sklepów w stopce ma taki napis:

I te sklepy można namierzyć przez przeszukanie Google:

Ale niestety na wielu sklepach nigdzie nie znajdziecie wzmianki, że korzystają ze zhackowanej platformy sky-shop.pl. Takie sklepy można próbować namierzyć za pomocą zaawansowanych wyszukiwarek przeszukujących tagi HTML:

Nie wiedziałeś że tak się da? Da się o wiele więcej, bo narzędzi i technik pozyskiwania informacji na temat osób i firm jest multum. Pokazujemy je wszystkie na naszych silnie praktycznych szkoleniach z OSINT-u, które przydadzą się każdemu, [...]

#Wycieki

https://niebezpiecznik.pl/post/atak-na-klientow-9000-roznych-polskich-sklepow-internetowych/

Dane Twoich klientów wyciekły. Co teraz? Poznaj praktyczne rady!

Ktoś wykradł dane Twoich klientów lub użytkowników. To nie musiał być atak ransomware, to mogła być pomyłka Twojego współpracownika albo incydent u “partnera technologicznego”. Czy wiesz jak się teraz zachować? Od czego zacząć? Na zgłoszenie incydentu do UODO masz tylko 72 godziny. Ale co wpisać w formularzu? A czego lepiej nie wpisywać? Czy musisz informować klientów? A jeśli tak, jak to zrobić, żeby nie pogorszyć sytuacji? Jak (nie) rozmawiać z dziennikarzami, którzy już zaczynają dzwonić?
Zapisz się na nasz LIVE!
Na te pytania — i wiele innych — odpowiemy na LIVE w środę 29 października o 19:00. Zapisz się, nawet jeśli ten termin Ci nie pasuje, bo każdemu prześlemy dostęp do nagrania na 30 dni, wiec na pewno zdążysz się z nim zapoznać. A zapoznać się warto, gdyż — bądźmy szczerzy — prędzej czy później i Tobie trafi się jakiś incydent. Dobrze więc zawczasu dowiedzieć się, jak na niego poprawnie zareagować i jakich błędów komunikacyjno-prawno-technicznych uniknąć:

Jeśli chcesz opłacić swój udział z firmowego budżetu szkoleniowego i potrzebujesz faktury pro-forma, wybierz wariant “bilet dla firm” — w kolejnym kroku będziesz mógł wygenerować i pobrać fakturę.
Do udziału zachęcamy przede wszystkim prawników oraz managerów IT i przedstawicieli działów PR. Ale to spotkanie powinno być obowiązkowe również dla każdego właściciela i członków zarządu, bo oni też mogą ponieść odpowiedzialność za błędy w obsłudze incydentu.
Kto i o czym będzie mówić?
To krótkie szkolenie online zawiera informacje, których nie znajdziesz w książkach. To czysta, wieloletnia praktyka i porady prosto z pierwszej linii frontu od ludzi, którzy pomagali w obsłudze setek [...]

#Niebezpiecznik #ObsługaIncydentu #Ransomware #RODO #Szkolenia #UODO #Webinar #Wyciek #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/co-robic-po-wycieku-danych/

Dane Twoich klientów wyciekły. Co teraz? Poznaj praktyczne rady!

Ktoś wykradł dane Twoich klientów lub użytkowników. To nie musiał być atak ransomware, to mogła być pomyłka Twojego współpracownika albo incydent u “partnera technologicznego”. Czy wiesz jak się teraz zachować? Od czego zacząć? Na zgłoszenie incydentu do UODO masz tylko 72 godziny. Ale co wpisać w formularzu? A czego lepiej nie wpisywać? Czy musisz informować klientów? A jeśli tak, jak to zrobić, żeby nie pogorszyć sytuacji? Jak (nie) rozmawiać z dziennikarzami, którzy już zaczynają dzwonić?
Zapisz się na nasz LIVE!
Na te pytania — i wiele innych — odpowiemy na LIVE w środę 29 października o 19:00. Zapisz się, nawet jeśli ten termin Ci nie pasuje, bo każdemu prześlemy dostęp do nagrania na 30 dni, wiec na pewno zdążysz się z nim zapoznać. A zapoznać się warto, gdyż — bądźmy szczerzy — prędzej czy później i Tobie trafi się jakiś incydent. Dobrze więc zawczasu dowiedzieć się, jak na niego poprawnie zareagować i jakich błędów komunikacyjno-prawno-technicznych uniknąć:

Jeśli chcesz opłacić swój udział z firmowego budżetu szkoleniowego i potrzebujesz faktury pro-forma, wybierz wariant “bilet dla firm” — w kolejnym kroku będziesz mógł wygenerować i pobrać fakturę.
Do udziału zachęcamy przede wszystkim prawników oraz managerów IT i przedstawicieli działów PR. Ale to spotkanie powinno być obowiązkowe również dla każdego właściciela i członków zarządu, bo oni też mogą ponieść odpowiedzialność za błędy w obsłudze incydentu.
Kto i o czym będzie mówić?
To krótkie szkolenie online zawiera informacje, których nie znajdziesz w książkach. To czysta, wieloletnia praktyka i porady prosto z pierwszej linii frontu od ludzi, którzy pomagali w obsłudze setek [...]

#Niebezpiecznik #ObsługaIncydentu #Ransomware #RODO #Szkolenia #UODO #Webinar #Wyciek #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/co-robic-po-wycieku-danych/

Dane Twoich klientów wyciekły. Co teraz? Poznaj praktyczne rady!

Ktoś wykradł dane Twoich klientów lub użytkowników. To nie musiał być atak ransomware, to mogła być pomyłka Twojego współpracownika albo incydent u “partnera technologicznego”. Czy wiesz jak się teraz zachować? Od czego zacząć? Na zgłoszenie incydentu do UODO masz tylko 72 godziny. Ale co wpisać w formularzu? A czego lepiej nie wpisywać? Czy musisz informować klientów? A jeśli tak, jak to zrobić, żeby nie pogorszyć sytuacji? Jak (nie) rozmawiać z dziennikarzami, którzy już zaczynają dzwonić?
Zapisz się na nasz LIVE!
Na te pytania — i wiele innych — odpowiemy na LIVE w środę 29 października o 19:00. Zapisz się, nawet jeśli ten termin Ci nie pasuje, bo każdemu prześlemy dostęp do nagrania na 30 dni, wiec na pewno zdążysz się z nim zapoznać. A zapoznać się warto, gdyż — bądźmy szczerzy — prędzej czy później i Tobie trafi się jakiś incydent. Dobrze więc zawczasu dowiedzieć się, jak na niego poprawnie zareagować i jakich błędów komunikacyjno-prawno-technicznych uniknąć:

Jeśli chcesz opłacić swój udział z firmowego budżetu szkoleniowego i potrzebujesz faktury pro-forma, wybierz wariant “bilet dla firm” — w kolejnym kroku będziesz mógł wygenerować i pobrać fakturę.
Do udziału zachęcamy przede wszystkim prawników oraz managerów IT i przedstawicieli działów PR. Ale to spotkanie powinno być obowiązkowe również dla każdego właściciela i członków zarządu, bo oni też mogą ponieść odpowiedzialność za błędy w obsłudze incydentu.
Kto i o czym będzie mówić?
To krótkie szkolenie online zawiera informacje, których nie znajdziesz w książkach. To czysta, wieloletnia praktyka i porady prosto z pierwszej linii frontu od ludzi, którzy pomagali w obsłudze setek [...]

#Niebezpiecznik #ObsługaIncydentu #Ransomware #RODO #Szkolenia #UODO #Webinar #Wyciek #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/co-robic-po-wycieku-danych/

Dane Twoich klientów wyciekły. Co teraz? Poznaj praktyczne rady!

Ktoś wykradł dane Twoich klientów lub użytkowników. To nie musiał być atak ransomware, to mogła być pomyłka Twojego współpracownika albo incydent u “partnera technologicznego”. Czy wiesz jak się teraz zachować? Od czego zacząć? Na zgłoszenie incydentu do UODO masz tylko 72 godziny. Ale co wpisać w formularzu? A czego lepiej nie wpisywać? Czy musisz informować klientów? A jeśli tak, jak to zrobić, żeby nie pogorszyć sytuacji? Jak (nie) rozmawiać z dziennikarzami, którzy już zaczynają dzwonić?
Zapisz się na nasz LIVE!
Na te pytania — i wiele innych — odpowiemy na LIVE w środę 29 października o 19:00. Zapisz się, nawet jeśli ten termin Ci nie pasuje, bo każdemu prześlemy dostęp do nagrania na 30 dni, wiec na pewno zdążysz się z nim zapoznać. A zapoznać się warto, gdyż — bądźmy szczerzy — prędzej czy później i Tobie trafi się jakiś incydent. Dobrze więc zawczasu dowiedzieć się, jak na niego poprawnie zareagować i jakich błędów komunikacyjno-prawno-technicznych uniknąć:

Jeśli chcesz opłacić swój udział z firmowego budżetu szkoleniowego i potrzebujesz faktury pro-forma, wybierz wariant “bilet dla firm” — w kolejnym kroku będziesz mógł wygenerować i pobrać fakturę.
Do udziału zachęcamy przede wszystkim prawników oraz managerów IT i przedstawicieli działów PR. Ale to spotkanie powinno być obowiązkowe również dla każdego właściciela i członków zarządu, bo oni też mogą ponieść odpowiedzialność za błędy w obsłudze incydentu.
Kto i o czym będzie mówić?
To krótkie szkolenie online zawiera informacje, których nie znajdziesz w książkach. To czysta, wieloletnia praktyka i porady prosto z pierwszej linii frontu od ludzi, którzy pomagali w obsłudze setek [...]

#Niebezpiecznik #ObsługaIncydentu #Ransomware #RODO #Szkolenia #UODO #Webinar #Wyciek #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/co-robic-po-wycieku-danych/

Dane Twoich klientów wyciekły. Co teraz? Poznaj praktyczne rady!

Ktoś wykradł dane Twoich klientów lub użytkowników. To nie musiał być atak ransomware, to mogła być pomyłka Twojego współpracownika albo incydent u “partnera technologicznego”. Czy wiesz jak się teraz zachować? Od czego zacząć? Na zgłoszenie incydentu do UODO masz tylko 72 godziny. Ale co wpisać w formularzu? A czego lepiej nie wpisywać? Czy musisz informować klientów? A jeśli tak, jak to zrobić, żeby nie pogorszyć sytuacji? Jak (nie) rozmawiać z dziennikarzami, którzy już zaczynają dzwonić?
Zapisz się na nasz LIVE!
Na te pytania — i wiele innych — odpowiemy na LIVE w środę 29 października o 19:00. Zapisz się, nawet jeśli ten termin Ci nie pasuje, bo każdemu prześlemy dostęp do nagrania na 30 dni, wiec na pewno zdążysz się z nim zapoznać. A zapoznać się warto, gdyż — bądźmy szczerzy — prędzej czy później i Tobie trafi się jakiś incydent. Dobrze więc zawczasu dowiedzieć się, jak na niego poprawnie zareagować i jakich błędów komunikacyjno-prawno-technicznych uniknąć:

Jeśli chcesz opłacić swój udział z firmowego budżetu szkoleniowego i potrzebujesz faktury pro-forma, wybierz wariant “bilet dla firm” — w kolejnym kroku będziesz mógł wygenerować i pobrać fakturę.
Do udziału zachęcamy przede wszystkim prawników oraz managerów IT i przedstawicieli działów PR. Ale to spotkanie powinno być obowiązkowe również dla każdego właściciela i członków zarządu, bo oni też mogą ponieść odpowiedzialność za błędy w obsłudze incydentu.
Kto i o czym będzie mówić?
To krótkie szkolenie online zawiera informacje, których nie znajdziesz w książkach. To czysta, wieloletnia praktyka i porady prosto z pierwszej linii frontu od ludzi, którzy pomagali w obsłudze setek [...]

#Niebezpiecznik #ObsługaIncydentu #Ransomware #RODO #Szkolenia #UODO #Webinar #Wyciek #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/co-robic-po-wycieku-danych/

Wadowice zhackowane, dane mieszkańców mogły zostać wykradzione

W niedzielę doszło do poważnego incydentu w infrastrukturze IT, która hostowała bazy danych Urzędu Miejskiego w Wadowicach. Zaszyfrowano dane, a więc mamy do czynienia z atakiem ransomware. Jak otwarcie przyznają przedstawiciele Urzędu Miasta — “istnieje wysokie ryzyko że przynajmniej część z danych dotyczących mieszkańców gminy Wadowice została wykradziona i może zostać ujawniona w internecie”. Co grozi mieszkańcom papieskiego miasta?

Wyciek danych mieszkańców Wadowic
Celem ataków ransomware jest wyłudzenie okupu lub sabotaż (to w przypadku grup, które nie planują odszyfrowania danych nawet po uzyskaniu okupu). Ponieważ nie ujawniono jaka grupa stoi za atakiem, ciężko nam wiarygodnie wskazać scenariusz z którym mamy do czynienia. Faktem natomiast jest to, że większość grup ransomware nie tylko szyfruje, ale też kradnie dane po to, aby w przypadku braku otrzymania pieniędzy, opublikować je w Darknecie. Wtedy na dane rzucić mogą się wszyscy zainteresowani, od cyberprzestępców, którzy wykorzystają je do przeprowadzania ataków kradzieży tożsamości lub ulepszenia swoich socjotechnik, przez wszelkiej maści badaczy, detektywów i osintowców, aż do każdego wścibskiego sąsiada. Dlatego utrzymujący istotne systemy powinni wiedzieć jak na takie ataki się przygotować i jak na nie poprawnie reagować. Dla mieszkańców natomiast rozsądnym będzie więc założyć najczarniejszy scenariusz:
Jeśli jesteś mieszkańcem Wadowic, załóż że wszystkie dane jakie miał na Twój temat Urząd Miejski zostaną ujawnione. Zapewne będą to dane osobowe, a być może także szczegóły nieruchomości, wysokości podatków, treści wszelkich urzędowych pism i wniosków.
Jestem z Wadowic, co teraz robić, jak żyć?
Mieszkańcom Wadowic [...]

#PESEL #Ransomware #Wadowice #Wyciek #WyciekDanych #Wycieki

https://niebezpiecznik.pl/post/wadowice-zhackowane-dane-mieszkancow-mogly-zostac-wykradzione/

AI i wycieki danych – nowe unikatowe szkolenie od sekuraka!

Czy tego chcemy, czy nie, od AI nie da się już uciec. Sztuczna inteligencja zagościła w naszym świecie na dobre, kusząc możliwością szybszego wykonywania zadań służbowych lub wręcz ich automatyzacji. Niestety, często zapominamy o tym że AI, wykorzystywana przez osoby nieświadome zagrożeń, może przyczynić się do wycieku danych osobowych lub...

#Aktualności #Ai #Awareness #Szkolenie #Wycieki

https://sekurak.pl/ai-i-wycieki-danych-nowe-unikatowe-szkolenie-od-sekuraka/

Rickroll w repo i bomba w (niezbyt) głębokim ukryciu

Podatności aplikacji webowych miewają różną genezę. Mogą być niezawinione – błędom typu 0-day nie da się skutecznie zapobiec. Mogą być w pełni zawinione – gdy w trzeciej dekadzie XXI wieku programista pisze kod podatny na SQL injection. Mogą być też wynikiem roztargnienia lub nieuwagi – np. wtedy, gdy na świat wystawione zostanie repozytorium kodu, w którym przechowywana jest owa aplikacja. Nieuprawniony dostęp do takiego repozytorium może oznaczać przejęcie kontroli nad całą webaplikacją – gdy w kodzie źródłowym albo plikach konfiguracyjnych znajdziemy hasło do bazy danych, klucze prywatne do usług chmurowych albo plik tekstowy z hasłem administratora. Podobnie stanie się, gdy operator zapisze kopię bezpieczeństwa do pliku backup.zip zlokalizowanego w głównym katalogu witryny.
Ja postanowiłem zażartować sobie z osób, które szukają takich podatności.
Autorem artykułu jest Tomasz Zieliński, autor szkolenia z automatyzacji pobierania danych z internetu (scrapowanie.pl), w wolnych chwilach prowadzący bloga Informatyk Zakładowy (informatykzakladowy.pl). Za publikację nie otrzymaliśmy wynagrodzenia, ale otrzymamy świadczenie barterowe.
Trojański backup.zip, który wybucha
Z kopią bezpieczeństwa było łatwo – plik https://informatykzakladowy.pl/backup.zip to tak zwana ZIP-bomba. Jest to archiwum plików spreparowane w taki sposób, aby zawartość po rozpakowaniu zajmowała możliwie najwięcej miejsca. Skorzystałem z wariantu opisanego na stronie bamsoftware.com – choć sam plik ZIP ma niespełna 10 megabajtów, to do zapisania zdekompresowanej zawartości potrzeba 281 terabajtów. Dla porównania – typowy dysk twardy w domowym komputerze ma nie więcej niż dwa terabajty.
W dzisiejszych czasach ZIP-bomby są raczej [...]

#ARTYKUŁSPONSOROWANY #Śmieszne #Git #Repozytoria #Scraping #Scrapowanie #Wycieki

https://niebezpiecznik.pl/post/rickroll-w-repo-i-bomba-w-niezbyt-glebokim-ukryciu/

Wyciek danych klientów Empiku

Jak informuje nas czytelnik Arkadiusz, na jednym z cyberprzestępczych forów ktoś opublikował ogłoszenie sprzedaży bazy, która ma zawierać dane ponoć 24 milionów klientów Empiku. Oto screen dodanego ogłoszenia:

Sprzedawca do ogłoszenia dodał próbkę, która zawiera dane kilkudziesięciu klientów:

Jak widać, dane które wyciekły to:

Imię i nazwisko
Numer telefonu
Adres zamieszkania (dostawy?)
E-mail
Informacje dotyczące zamówień (liczba, daty)

Ani ogłoszenie, ani ujawniona przez sprzedawcę próbka nie zawiera haseł. Nazwy kolumn sugerują, że źródłem może być jakiś system związany z reklamami. Podejrzanie wysoka i bardzo dziwnie podana jest też liczba rekordów (czy na pewno chodzi o 24 miliony użytkowników? Część osób sugeruje, że to zapis stosowany w Indiach i oznacza 2,4 miliona…), ale być może w pełnej bazie, która ma ważyć 47GB po prostu są “duplikaty”, co dodatkowo wspierałoby teorię dotyczącą systemu reklamowego/trackingowego.
Wysłaliśmy zapytania do Empiku w sprawie tego ogłoszenia. Po otrzymaniu informacji, zaktualizujemy ten artykuł.
Ale już teraz, na wszelki wypadek, wszystkim klientom Empiku zalecamy prewencyjną zmianę hasła i założenie, że dane, które podaliście podczas zakupów na tej platformie stały się jawne i ktoś może ustalić Wasz:
adres zamieszkania na podstawie e-maila albo numeru telefonu albo nazwiska
numer telefonu na podstawie e-maila albo adresu albo nazwiska
e-mail na podstawie adresu lub numeru telefonu albo nazwiska
nazwisko na podstawie e-maila albo numeru telefonu albo adresu zamieszkania.
Kupowałem w Empiku — co robić, jak żyć?
O tym jak chronić się przed wyciekami danych (tymi, które już nastąpiły i tymi które niebawem nastąpią) oraz o tym jak sprawdzić, co w internecie krąży na nasz temat informowaliśmy w tym nagraniu, pokazując dziesiątki narzędzi, [...]

#Empik #WyciekDanych #Wycieki

https://niebezpiecznik.pl/post/wyciek-danych-klientow-empiku/

Poważna wpadka Netfliksa w Polsce. Dane kilku tysięcy Polaków wyciekły

Jeśli chcieliście przerażającej zabawy w Squid Game Arena, to będziecie mieli przerażającą zabawę. Wasze dane wyciekły… (teraz lecą te kolorowe paski i dżingiel)
OK, dość żartów, bo sprawa jest poważna.
Miał być konkurs od Netfliksa, a jest wyciek danych
Squid Game to emitowany na Netfliksie południowokoreański serial telewizyjny. Opowiada on o ludziach, którzy biorą udział w bardzo niebezpiecznej rywalizacji, w której do wygrania jest 45,6 miliarda koreańskich wonów (jeden won jest warty ok 0,0030 PLN). W związku z tym serialem organizowane jest wydarzenie Squid Game Arena, podczas którego odbywa się premierowy pokaz odcinka nowego sezonu, a ponadto uczestnicy biorą udział w aktywnościach fizycznych. Jak zapewne się domyślacie, dla fanów serialu wejściówka na to wydarzenie jest dość cenna.
Wejściówkę da się wygrać w ramach konkursu organizowanego w Polsce za pośrednictwem strony Squidgamearena[.]pl W regulaminie konkursu wydarzenie jest opisane jako poważna i “niebezpieczna” sprawa.
Udział w Evencie związany będzie z intensywną aktywnością fizyczną, w związku z tym może okazać się nieodpowiedni dla osób, które ze względu na swój stan zdrowia lub kondycję fizyczną (np. ciąża, niepełnosprawność fizyczna) nie będa mogły w nim uczestniczyć. W przypadku wątpliwości Uczestnik powinien skonsultować możliwość wzięcia udział w Konkursie z lekarzem lub specjalistą.
Uczestnicy tego konkursu musieli też wypełnić i przesłać formularz zgłoszeniowy podając w nim swoje imię, numer telefonu oraz adres e-mail, a także odpowiedź na pytanie konkursowe:
„Wyobraź sobie hipotetyczną sytuację: Dostajesz szansę wymyślenia nowej gry w Squid Game. Jest jeden warunek – musi bazować na zabawie z Twoich lat [...]

#Netflix #Wyciek #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/powazna-wpadka-netfliksa-w-polsce-dane-kilku-tysiecy-polakow-wyciekly/

Kara dla Morele.net podtrzymana przez sąd. Bo “UODO ma kompetencje”

Morele.net ma zapłacić 3,8 mln zł kary za wyciek danych klientów sprzed sześciu lat – uznał Wojewódzki Sąd Administracyjny.  Minęło już 5 lat od wydania pierwszej decyzji UODO w tej sprawie, a sprawa sciąż nie jest całkiem przesądzona.
Dawno temu o wycieku z Morele.net było głośno. Po pierwsze, wyciek był naprawdę znaczący. Po drugie, RODO ma w Polsce zastosowanie od 2018 r., zatem pierwsza decyzja nałożeniu kary na Morele.net w wysokości aż 3 mln zł była dla niektórych szokująca. Dziś wypada blado przy ostatniej karze dla mBanku (ponad 4 mln zł), ale przed laty mówiono o “dodatkowym karaniu ofiary”. Sklep nie zgodził się z karą i poszedł do sądu. Spory prawne ciągną się do dziś i wywołują w branży sprzeczne komentarze. Niektórzy mówią, że “kary UODO nic nie znaczą” bo przecież UODO kilka razy przegrał z Morele.net i do tej pory kara nie została wpłacona. Inni mówią, że “nie warto było szaleć tak” bo Morele.net też kilka razy przegrał i grozi mu kara wyższa niż pierwotnie nałożona.
Gdzie jesteśmy teraz?
16 września Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę na ostatnią decyzję Prezesa Urzędu Ochrony Danych Osobowych. To oznacza, że zdaniem sądu spółka Morele.net powinna zapłacić karę i to podwyższoną względem tej, którą na spółkę nałożono w roku 2019. Sąd przyznał też, że UODO posiada wiedzę i kompetencje potrzebne do oceny, czy środki zabezpieczeń zastosowane przez administratora były wystarczające. UODO nie musiał – zdaniem WSA – powoływać jakiegoś dodatkowego biegłego, a to było istotną osią sporu dotyczącego pierwszej decyzji o karze.
Pozwólcie, że nie będziemy po raz kolejny przytaczać historii całego wycieku. [...]

#DaneOsobowe #OchronaDanych #UODO #UrządOchronyDanychOsobowych #Wycieki

https://niebezpiecznik.pl/post/kara-dla-morele-net-podtrzymana-przez-sad-bo-uodo-ma-kompetencje/

Śmierdzące Wi-Fi jej zaszkodziło!

Według YouTube, to właśnie ten tytuł z kilku proponowanych klika się najlepiej. Ale w 3 odcinku z cyklu “Piotrek o Cyber” tematów jest więcej. Poniżej ich pełna lista:
Zobacz PoC_v3
Ten odcinek zaczynam od podsumowania eksperymentu z wyłączeniem reklam pod poprzednim odcinkiem i porównuję zasięgi. Potem jest o możliwościach wsparcia projektu PoC i przechodzimy do wydarzeń. Jest o:

karze dla mBanku za wyciek danych klientów,
akcji polskiej cyberpolicji, która rozmontowała call-center scamerów,
dziwnej wypowiedzi wicepremiera i ministra cyfryzacji Krzysztofa Gawkowskiego,
ośmieszeniu Radosława Sikorskiego przez rosyjskich komików,
wycieku nagich fotek z apki do randkowania,
odszkodowaniu dla pacjentów, których dokumentację medyczną (z nagimi zdjęciami) wykradziono i opublikowano w internecie,
śmierdzącym Wi-Fi potajemnie zainstalowanym na okręcie wojennym,
tym jak Ford chce podsłuchiwać ludzi w samochodach
wycieku danych z dużej wypożyczalni aut
nowym zabezpieczeniu w Google Chrome (i tym jak je obejść)
podsłuchiwaniu komputerów na podstawie dźwięku jaki wydaje RAM w trakcie pracy
wykradaniu danych poprzez emisję z monitorów LCD
zero-dayu w Adobe Readerze, ciekawie wykrytym

Żeby dostać powiadomienie o kolejnych to trzeba dać suba w górę na niebezpiecznikowym kanale na YouTube, a poprzednie odcinki można zobaczyć tutaj.

#0Day #Adobe #CBZC #Chrome #Exploit #Ford #Google #KrzysztofGawkowski #LCD #MBank #Motoryzacja #PiotrekOCyber #PoC #RadosławSikorski #RAM #Rosja #Samochody #Tempest #WyciekDanych #Wycieki #YouTube

https://niebezpiecznik.pl/post/smierdzace-wi-fi-jej-zaszkodzilo/

Wyciek danych z wielu polskich sex-shopów

W nocy klienci kilku internetowych sex shopów otrzymali e-maila od włamywacza, który wykradł ich dane i szczegóły zamówień. Szantażysta w wiadomości cytował co konkretnie kupili, informował że zna adres wysyłki i żądał zapłaty 500 PLN za usunięcie ich danych z wykradzionych baz, których zawartość za kilka dni zamierza upublicznić.

Oto pełna treść wiadomości, jaką otrzymał jeden z naszych Czytelników. Wszystkie pozostałe przesłane nam przypadki miały takie samo brzmienie — różnił się tylko cytowany zakup:
Rozległe wycieki danych z AtomStore, Sote, RedCart, Selly w tym sklepów internetowych sensu[.]pl, sekrecik[.]pl, erozkosz[.]pl, kraina-doznan[.]pl są skutkiem rażącego niedbalstwa, ignorancji i niskiej jakości kodu programistycznego platform ecommerce. Od kilku miesięcy o wyciekach kodów źródłowych oraz danych można przeczytać w sieci. Wymienione sklepy internetowe i platformy ecommerce wiedzą o wyciekach, nie były zainterestowane współpracą. Dotychczas żadne dane nie zostały przeze mnie opublikowane i zamierzam to zmienić.
Przykład wycieku danych to Państwa zamówienie o ID [NUMER] złożone 2024-04-29 08:01:22 na erozkosz[.]pl
Kod produktu | Nazwa
4049369015108 | Satisfyer Pro Penguin Next Generation – bezdotykowy masażer łechtaczki
Posiadam dane teleadresowe podane podczas składania zamówienia.
Proszę wpłacić równowartość 500 zł do pierwszego października 2024 roku na adres [ADRES PORTFELA] B i t c o i n a można nabyć anonimowo za gotówkę w lokalnym kantorze walut wirtualnych. Zrealizowanie płatności to usunięcie wszystkich Państwa danych przed publikacją. Wszystkie zamówienia niepłacących klientów zostaną opublikowane w formacie CSV, tak aby każdy zainteresowany miał przystępny dostęp do danych.
Wiadomości mail z możliwością [...]

#BitCoin #Okup #Sex #Sexshop #Szantaż #Wyciek #Wycieki

https://niebezpiecznik.pl/post/wyciek-danych-z-wielu-polskich-sex-shopow/

Wyciek danych z wielu polskich sex-shopów

W nocy klienci kilku internetowych sex shopów otrzymali e-maila od włamywacza, który wykradł ich dane i szczegóły zamówień. Szantażysta w wiadomości cytował co konkretnie kupili, informował że zna adres wysyłki i żądał zapłaty 500 PLN za usunięcie ich danych z wykradzionych baz, których zawartość za kilka dni zamierza upublicznić.

Oto pełna treść wiadomości, jaką otrzymał jeden z naszych Czytelników. Wszystkie pozostałe przesłane nam przypadki miały takie samo brzmienie — różnił się tylko cytowany zakup:
Rozległe wycieki danych z AtomStore, Sote, RedCart, Selly w tym sklepów internetowych sensu[.]pl, sekrecik[.]pl, erozkosz[.]pl, kraina-doznan[.]pl są skutkiem rażącego niedbalstwa, ignorancji i niskiej jakości kodu programistycznego platform ecommerce. Od kilku miesięcy o wyciekach kodów źródłowych oraz danych można przeczytać w sieci. Wymienione sklepy internetowe i platformy ecommerce wiedzą o wyciekach, nie były zainterestowane współpracą. Dotychczas żadne dane nie zostały przeze mnie opublikowane i zamierzam to zmienić.
Przykład wycieku danych to Państwa zamówienie o ID [NUMER] złożone 2024-04-29 08:01:22 na erozkosz[.]pl
Kod produktu | Nazwa
4049369015108 | Satisfyer Pro Penguin Next Generation – bezdotykowy masażer łechtaczki
Posiadam dane teleadresowe podane podczas składania zamówienia.
Proszę wpłacić równowartość 500 zł do pierwszego października 2024 roku na adres [ADRES PORTFELA] B i t c o i n a można nabyć anonimowo za gotówkę w lokalnym kantorze walut wirtualnych. Zrealizowanie płatności to usunięcie wszystkich Państwa danych przed publikacją. Wszystkie zamówienia niepłacących klientów zostaną opublikowane w formacie CSV, tak aby każdy zainteresowany miał przystępny dostęp do danych.
Wiadomości mail z możliwością [...]

#BitCoin #Okup #Sex #Sexshop #Szantaż #Wyciek #Wycieki

https://niebezpiecznik.pl/post/wyciek-danych-z-wielu-polskich-sex-shopow/