#wyciekidanych — Public Fediverse posts

Co zrobić po wycieku danych? Osobowych. Medycznych. Wszystkich.

Znów mamy incydent bezpieczeństwa dotyczący wielu milionów Polaków. Znów są to dane szczególnie wrażliwe — dane medyczne. Pewnych rad udzielaliśmy w tym zakresie tuż po wycieku z ALAB. Ale zawsze warto przypomnieć:

co powinniśmy zrobić, jeśli nasze dane wyciekły?
na co powinno się uważać po wycieku swoich danych?
co zrobić, aby zminimalizować ryzyko kolejnego wycieku naszych danych?

Na te pytania, odpowiada poniższy film, który prezentuje 7 porad (przy czym 5. jest tylko dla bardzo odważnych).

Jeśli macie swoje “dodatkowe” patenty, podzielcie się nimi w komentarzu.

#Ataki #DaneMedyczne #MyDr #PESEL #Wycieki #WyciekiDanych #ZastrzeżeniePESEL

https://niebezpiecznik.pl/post/co-zrobic-po-wycieku-danych/

Wyciekły dane osób zamawiających jedzenie przez internet

Jeśli zamawialiście kiedykolwiek jedzenie online w serwisie NaWynos.elblag.pl to niestety mamy dla Was smutną informację. Można było pobrać dane wszystkich osób, które od 2011 roku korzystały z usług tego serwisu, a zdaniem administratora portalu, to nie jest duży problem i nie są to dane w żaden sposób wrażliwe.
Co i jak wyciekło?
O sytuacji poinformował nas Hubert z agencji ztl.agency, który szukał dla siebie jakiejś opcji zamówienia jedzenia w Elblągu. I znalazł serwis NaWynos.elblag.pl, ale mając specyficzne zawodowe przyzwyczajenia, postanowił przed złożeniem zamówienia “zajrzeć w konsolę”. Wkrótce ustalił, że ten serwis ma endpoint, pod który można, bez zalogowania, wysłać …numer zamówienia i w odpowiedzi otrzymać informacje na temat tego zamówienia.
Sprawdziliśmy. Ustalenia Hieronima się potwierdziły.

Okazało się, że przechowywane są dane zamówień sprzed wielu lat. Nam udało się dotrzeć do zamówienia nr 1500 z 2011 roku.
Najwyższy numer zamówienia jaki trafiliśmy to 600605. Uwaga – nie wszystkie identyfikatory z tego zakresu (1500-600605) zwracały jakąś odpowiedź, choć większość zwracała. Trudno ocenić faktyczny rozmiar wycieku bez masowego odpytywania, a tego robić nie chcieliśmy.

Chcesz nauczyć się atakować i zabezpieczać aplikacje webowe?
Weź udział w naszym 2 dniowym, praktycznym szkoleniu pt. “Atakowanie i Ochrona Webaplikacji” dzięki któremu dowiesz się jak wykrywać błędy w serwisach internetowych, niezależnie od języka/frameworka w którym zostały one stworzone. Najbliższe terminy tego szkolenia znajdziesz poniżej:

Kraków: 20-21 listopada 2025r. — UWAGA: zostało tylko 1 wolne miejsce
Ostatnio ktoś zarejestrował się 12 listopada 2025r. → zarejestruj się na to szkolenie
[...]

#UODO #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/wyciekly-dane-osob-zamawiajacych-jedzenie-przez-internet/

Dane Twoich klientów wyciekły. Co teraz? Poznaj praktyczne rady!

Ktoś wykradł dane Twoich klientów lub użytkowników. To nie musiał być atak ransomware, to mogła być pomyłka Twojego współpracownika albo incydent u “partnera technologicznego”. Czy wiesz jak się teraz zachować? Od czego zacząć? Na zgłoszenie incydentu do UODO masz tylko 72 godziny. Ale co wpisać w formularzu? A czego lepiej nie wpisywać? Czy musisz informować klientów? A jeśli tak, jak to zrobić, żeby nie pogorszyć sytuacji? Jak (nie) rozmawiać z dziennikarzami, którzy już zaczynają dzwonić?
Zapisz się na nasz LIVE!
Na te pytania — i wiele innych — odpowiemy na LIVE w środę 29 października o 19:00. Zapisz się, nawet jeśli ten termin Ci nie pasuje, bo każdemu prześlemy dostęp do nagrania na 30 dni, wiec na pewno zdążysz się z nim zapoznać. A zapoznać się warto, gdyż — bądźmy szczerzy — prędzej czy później i Tobie trafi się jakiś incydent. Dobrze więc zawczasu dowiedzieć się, jak na niego poprawnie zareagować i jakich błędów komunikacyjno-prawno-technicznych uniknąć:

Jeśli chcesz opłacić swój udział z firmowego budżetu szkoleniowego i potrzebujesz faktury pro-forma, wybierz wariant “bilet dla firm” — w kolejnym kroku będziesz mógł wygenerować i pobrać fakturę.
Do udziału zachęcamy przede wszystkim prawników oraz managerów IT i przedstawicieli działów PR. Ale to spotkanie powinno być obowiązkowe również dla każdego właściciela i członków zarządu, bo oni też mogą ponieść odpowiedzialność za błędy w obsłudze incydentu.
Kto i o czym będzie mówić?
To krótkie szkolenie online zawiera informacje, których nie znajdziesz w książkach. To czysta, wieloletnia praktyka i porady prosto z pierwszej linii frontu od ludzi, którzy pomagali w obsłudze setek [...]

#Niebezpiecznik #ObsługaIncydentu #Ransomware #RODO #Szkolenia #UODO #Webinar #Wyciek #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/co-robic-po-wycieku-danych/

Poważna wpadka Netfliksa w Polsce. Dane kilku tysięcy Polaków wyciekły

Jeśli chcieliście przerażającej zabawy w Squid Game Arena, to będziecie mieli przerażającą zabawę. Wasze dane wyciekły… (teraz lecą te kolorowe paski i dżingiel)
OK, dość żartów, bo sprawa jest poważna.
Miał być konkurs od Netfliksa, a jest wyciek danych
Squid Game to emitowany na Netfliksie południowokoreański serial telewizyjny. Opowiada on o ludziach, którzy biorą udział w bardzo niebezpiecznej rywalizacji, w której do wygrania jest 45,6 miliarda koreańskich wonów (jeden won jest warty ok 0,0030 PLN). W związku z tym serialem organizowane jest wydarzenie Squid Game Arena, podczas którego odbywa się premierowy pokaz odcinka nowego sezonu, a ponadto uczestnicy biorą udział w aktywnościach fizycznych. Jak zapewne się domyślacie, dla fanów serialu wejściówka na to wydarzenie jest dość cenna.
Wejściówkę da się wygrać w ramach konkursu organizowanego w Polsce za pośrednictwem strony Squidgamearena[.]pl W regulaminie konkursu wydarzenie jest opisane jako poważna i “niebezpieczna” sprawa.
Udział w Evencie związany będzie z intensywną aktywnością fizyczną, w związku z tym może okazać się nieodpowiedni dla osób, które ze względu na swój stan zdrowia lub kondycję fizyczną (np. ciąża, niepełnosprawność fizyczna) nie będa mogły w nim uczestniczyć. W przypadku wątpliwości Uczestnik powinien skonsultować możliwość wzięcia udział w Konkursie z lekarzem lub specjalistą.
Uczestnicy tego konkursu musieli też wypełnić i przesłać formularz zgłoszeniowy podając w nim swoje imię, numer telefonu oraz adres e-mail, a także odpowiedź na pytanie konkursowe:
„Wyobraź sobie hipotetyczną sytuację: Dostajesz szansę wymyślenia nowej gry w Squid Game. Jest jeden warunek – musi bazować na zabawie z Twoich lat [...]

#Netflix #Wyciek #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/powazna-wpadka-netfliksa-w-polsce-dane-kilku-tysiecy-polakow-wyciekly/

Jak polskie nastolatki używają wycieków danych by dokuczać swoim rówieśnikom?

O wyciekach danych piszemy w Niebezpieczniku od 15 lat. Informowaliśmy o leakach baz danych pacjentów (i ich historii leczenia), o wyciekach wstydliwych zakupów i potężnych bazach adresów i telefonów pozyskiwanych z setek polskich sklepów internetowych. Pisaliśmy, że takie wycieki są wykorzystywane nie tylko do zdobywania informacji na temat osób i firm. Dzięki korelacji informacji na temat tego samego człowieka z różnych wycieków, ofiary można wiarygodnie okradać ale także boleśnie stalkować i nękać oraz prześladować, zwłaszcza w połączeniu z techniką spoofingu.
Jeden z naszych Czytelników właśnie dał nam znać, jak wycieki baz danych wykorzystują nie OSINT-owcy czy psychopaci, a uczniowie szkół średnich. I jest to jeden z najbardziej niecodziennych sposobów, aby robić sobie “żarty”, o jakim ostatnio słyszeliśmy. Zaraz po wysyłaniu zlewów pod konkretny adres ;)
Szukają w wyciekach swoich znajomych
Nastolatkowie pobierają bazy danych wykradzione z polskich firm, wyszukują w nich nazwiska swoich znajomych i w ten sposób docierają do dodatkowych informacji teleadresowych, najczęściej poprzez rekordy dotyczące rodziców swoich rówieśników. Następnie nastolatkowie wchodzą na stronę internetową Świadków Jehowy i …zamawiają wizytę pod adres ofiary.

Jehowwing
Może czegoś nie rozumiemy, może mamy inne poczucie humoru lub (nie)wrażliwość społeczną, ale taki atak jest chyba bardziej szkodzący dla samej organizacji ŚJ (marnowanie ich czasu) niż dla ofiary.

Wizyta ŚJ, w najgorszym przypadku, skończy się wymianą dwóch zdań. W najlepszym, “ofiara” ataku, pożegna ŚJ już na etapie domofonu. Taki atak jest zdecydowanie mniej stresujący niż tłumaczenie się np. z tego, że “to nie my zamawialiśmy pizzę pod nasz adres” [...]

#ŚwiadkowieJehowy #Swatting #WyciekiDanych

https://niebezpiecznik.pl/post/nastolatki-dzieci-wycieki-danych-szkola/

Kara dla Morele.net “urosła” do 3,8 mln. Nowa decyzja UODO

Mamy kolejny zwrot akcji w serialu pt. “Morele.net dostaje karę za ogromny wyciek”. Po przegranej w NSA prezes UODO jeszcze raz przeanalizował naruszenie przepisów RODO i zdecydował o nowej karze.

Zgadujemy, że jeśli czytasz ten tekst to zadajesz sobie jedno pytanie. “Czy to jakaś nowa sprawa, czy ciągle ta stara historia z Morelami?”. No więc to jest dalszy ciąg historii sprzed lat. Zacznijmy od przypomnienia.

23 listopada 2018 ostrzegliśmy, że coś niepokojącego dzieje sie w Morele. Na redakcyjnej skrzynce mieliśmy pełno zgłoszeń od klientów tego sklepu. Dostawaliście fałszywe SMS-y i wyglądało na to, że ktoś ma dostęp do bazy danych Morele.
18 grudnia 2018 Morele przyznało, że sklep był źródłem danych klientów.
20 grudnia 2018 ujawnił się włamywacz. Szantażował sklep. Stało się jasne, że wykradziono PESEL-e i skany dowodów klientów.
27 grudnia 2018 informowaliśmy o tym, ze dane krążą po sieci. Kilkaset tysięcy haseł było już złamanych, a w bazie znajdowały się też dane klientów, którzy …usunęli konta.
2 lutego 2019 informowaliśmy, że dane z bazy Morele są wykorzystywane jako wielka książka telefoniczna Polaków, a pozyskiwane z niej numery są używane do prześladowań niewinnych osób.

Potem był drugi sezon serialu, czyli do akcji weszło UODO, prawnicy Morele.net i sądy administracyjne.

10 września 2019 UODO nałożył na sklep karę w wysokości 3 mln zł. Kontrowersyjne było karanie ofiary przestępstwa, ale podobne rzeczy już się wcześniej w Europie zdarzały.
Spółka odwołała się do Wojewódzkiego Sądu Administracyjnego w Warszawie. Ten zgodził się z UODO. Sąd uznał, że spółka mająca tak dużą bazę klientów powinna bardziej się pilnować (to był 3 września 2020).
Morele.net złożyła skargę [...]

#DaneOsobowe #RODO #UODO #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/kara-dla-morele-net-urosla-do-38-mln-nowa-decyzja-uodo/

Przestępcy na gwiazdkę podarowali sobie dane (być może Twoje)

Ludzka dobroć może mieć złe oblicze. Dowodem na to jest kampania “FreeLeaksmas”, w ramach której przestępcy postanowili udostępnić za darmo wycieki danych, oraz zestawienia pochodzące ze starszych wycieków. 

Skąd przestępcy pozyskują nasze dane? Mają kilka możliwości, ale jednym z popularniejszych są fora udostępniające kompletne bazy z wycieków. Funkcjonują one zarówno w tzw. darknecie jak i poza nim. W takich miejscach dane z wycieków bywają udostępniane są za darmo, ale częściej za opłatą. Na ich użytkowników nakładane są pewne ograniczenia np. możliwość wyświetlenia tylko wybranych wątków, albo dostęp do ograniczonej liczby wątków miesięcznie. To z jednej strony reguluje społeczność i umożliwia zarabianie, ale z drugiej strony ogranicza liczbę osób, które położą swoje łapy na danych.
Wyciekowa gwiazdka
Niestety na jednym z takich forów przestępcy postanowili uczcić święta Bożego Narodzenia. Zamiast ograniczyć widoczność wycieków (co byłoby jakimś prezentem dla ludzkości) poszli w drugą stronę i opublikowali sporo danych za darmo. Ten “akt dobroci” określili jako “FreeLeaksmas”.
Zapowiedź kampanii “FreeLeaksmas”
W ramach kampanii udostępniono kilka wycieków pochodzących z Polski, ale na szczęście nie były one znaczące. Owszem, wyciek z pewnego lokalnego serwisu ogłoszeniowego miał postać pliku  SQL o rozmiarze 207 MB, ale znalazły się w nim głównie dane niedotyczące ludzi (np. opisy treści ze strony czy listy publikowanych obrazków). Jest też wyciek z firmy umożliwiającej wysyłanie paczek, w którym znalazły się adresy e-mail, loginy, hasze haseł i nazwiska, ale zaledwie kilkudziesięciu osób. Jeszcze inny wyciek o polskim źródle zawierał dane teleadresowe, ale powiązane [...]

#FreeLeaksmas #Przestępcy #Wycieki #WyciekiDanych

https://niebezpiecznik.pl/post/przestepcy-na-gwiazdke-podarowali-sobie-dane-byc-moze-twoje/