Kamil Porembiński 

7.5K followers • 291 following
Posts
About
Reels
Photos
Posts
About
Reels
Photos

Most Popular

0:00 / 1:17
Trzech urzędników skarbówki w Kielcach właśnie zatrzymano. Za co? Kopiowali dane z systemów skarbowych i sprzedawali je przestępcom. Tak — twoje dane. Tym samym ludziom, którzy potem dzwonią „dzień dobry, tu bank, wykryliśmy podejrzaną transakcję”. I teraz uwaga, bo tu nie było żadnego hakera w kapturze z ciemnej piwnicy. To był pan zza biurka, z dostępem do wszystkiego, który uznał, że twój PESEL to całkiem niezła dodatkowa emerytura. Jak to działało? Dwóch z urzędu skarbowego i jeden z celno-skarbowego wyciągali dane z systemów Krajowej Administracji Skarbowej. Wszystko szło do byłej koleżanki ze skarbówki — ona była łącznikiem. Odbierała papiery i sprzedawała dalej, przestępcom. Cała czwórka się przyznała. Interes był tak prosty, że nawet nie było się czym chwalić. Grozi im pięć lat. Zawieszeni, dozór, zakaz opuszczania kraju. A twoje dane? Te już poszły w świat. Jprdl. Ale zatrzymaj się na sekundę, bo prawdziwe pytanie nie brzmi „kto to zrobił”, tylko: dlaczego w ogóle mógł? Skoro urzędnik jednym kliknięciem wynosi twoje dane ze skarbówki — a takich systemów z twoim życiem w środku jest więcej, NFZ, KSeF — to znaczy, że ktoś tam ma za duże uprawnienia. I najważniejsze: dlaczego, kiedy urzędnik zagląda w twoje dane, nie dostajesz o tym powiadomienia w mObywatelu? Bank pinguje cię o każde pięć złotych. A urząd może grzebać w twoim życiu bez śladu. Napisz w komentarzu, czy też chcesz takie powiadomienie — „ktoś właśnie sprawdził twój PESEL”. Może jak nazbiera się nas dużo, ktoś na górze wreszcie policzy te głosy. #cyberbezpieczeństwo #rodo #cybersecurity
Trzech urzędników skarbówki w Kielcach właśnie zatrzymano. Za co? Kopiowali dane z systemów skarbowych i sprzedawali je przestępcom. Tak — twoje dane. Tym samym ludziom, którzy potem dzwonią „dzień dobry, tu bank, wykryliśmy podejrzaną transakcję”. I teraz uwaga, bo tu nie było żadnego hakera w kapturze z ciemnej piwnicy. To był pan zza biurka, z dostępem do wszystkiego, który uznał, że twój PESEL to całkiem niezła dodatkowa emerytura. Jak to działało? Dwóch z urzędu skarbowego i jeden z celno-skarbowego wyciągali dane z systemów Krajowej Administracji Skarbowej. Wszystko szło do byłej koleżanki ze skarbówki — ona była łącznikiem. Odbierała papiery i sprzedawała dalej, przestępcom. Cała czwórka się przyznała. Interes był tak prosty, że nawet nie było się czym chwalić. Grozi im pięć lat. Zawieszeni, dozór, zakaz opuszczania kraju. A twoje dane? Te już poszły w świat. Jprdl. Ale zatrzymaj się na sekundę, bo prawdziwe pytanie nie brzmi „kto to zrobił”, tylko: dlaczego w ogóle mógł? Skoro urzędnik jednym kliknięciem wynosi twoje dane ze skarbówki — a takich systemów z twoim życiem w środku jest więcej, NFZ, KSeF — to znaczy, że ktoś tam ma za duże uprawnienia. I najważniejsze: dlaczego, kiedy urzędnik zagląda w twoje dane, nie dostajesz o tym powiadomienia w mObywatelu? Bank pinguje cię o każde pięć złotych. A urząd może grzebać w twoim życiu bez śladu. Napisz w komentarzu, czy też chcesz takie powiadomienie — „ktoś właśnie sprawdził twój PESEL”. Może jak nazbiera się nas dużo, ktoś na górze wreszcie policzy te głosy. #cyberbezpieczeństwo #rodo #cybersecurity
Videos
W polskich szpitalach nagle znajdują się miliony na gwiazdorskie kontrakty dla lekarzy — te, o których teraz trąbi cała Polska. A na jedno porządne hasło do systemu wentylacji? Już nie ma. I efekt masz taki: Rosja zhakowała polski szpital. Nie po to, żeby ukraść dane, nie żeby żądać okupu — po to, żeby na bloku operacyjnym podkręcić temperaturę do maksimum, dwudziestu ośmiu stopni. CBZC, właśnie to potwierdziła: za atakiem stoją obywatele Rosji. I teraz uwaga, bo to jest ta część, którą łatwo przegapić. Wentylacja szpitala wisiała w internecie tak samo jak twój inteligentny czajnik. Jeden dostęp — i ktoś siedzący w Rosji kręci temperaturą na sali operacyjnej jak gałką od termostatu w wynajętym Airbnb. I nie było to pierwszy raz. Rok wcześniej ta sama grupa pochwaliła się, że zrobiła to samo w niemal identycznym szpitalu. W Sanoku dostali się do systemu sterowania, pozmieniali parametry i wyszli. Szpital zapytany wprost — nie potwierdza i nie zaprzecza, chowa się za paragrafem. A na zachętę: kilka miesięcy temu w innym ataku na stację wody dwa i pół tysiąca ludzi zostało na sześć godzin bez wody w kranie. Tym razem obyło się bez szkód. „Tym razem”. To co? Wyebiemy kolejny milion na ortopedę czy może w końcu zajmiemy się cyberbezpieczeństwiem? #cyberbezpieczeństwo #cybersecurity
2 days ago
 
7.7K views
171
Ile jest warte twoje bezpieczeństwo według państwa? Dokładnie dziesięć tysięcy sto czterdzieści pięć złotych. Tyle wyniosła kara za to, że skany umów klientów miesiącami krążyły po prywatnych telefonach na WhatsAppie — częściowo na serwerach poza Europą. Dla dużej spółki to koszt jednej firmowej wigilii. A firma na to? Że komunikator był „tylko narzędziem pomocniczym”. Jasne. Tak jak łom jest „narzędziem pomocniczym” do cudzych drzwi. A o kogo chodzi? O Energę-Obrót, jednego z największych sprzedawców prądu w Polsce. Jak to w ogóle wyszło? Handlowcy pracujący dla Energi w pandemii chodzili od drzwi do drzwi i podsuwali ludziom aneksy do umów na prąd. Robili zdjęcia i skany podpisanych papierów — i wrzucali je na grupowego WhatsAppa. Wpadli przez przypadek: były handlowiec przyszedł do firmy po pomoc w odzyskaniu swojej kasy, pokazał telefon — a tam, obok poleceń służbowych, zrzuty umów klientów w grupie. Danych co najmniej piętnastu osób. I teraz najważniejsze, bo to dotyczy każdego, kto ma drzwi. Kiedy ktoś na nie puka i chce zrobić zdjęcie twojego dokumentu albo podpis pod „aneksem” — twoje dane za moment lądują w czyjejś prywatnej grupie na WhatsAppie. Nikomu przy drzwiach nie dajesz fotografować dowodu ani umowy. Nikomu. A jak już wiesz, że firma tak obeszła się z twoimi danymi — składasz skargę do UODO. Za darmo, przez internet. I słowo do każdego, kto pracuje — bo tu nie oberwała tylko firma. Jak wrzucasz służbowe dane klientów na swojego prywatnego WhatsAppa, „bo tak szybciej” — to nie jest sprytny skrót. To ty stajesz się tym, kto wyniósł dane. Firma pokaże papier, że cię przeszkoliła, a telefon z tymi zdjęciami jest twój. Używasz narzędzi, które dała ci firma. Nie prywatnej komórki. Wygoda na pięć minut potrafi zdjęcie umowy zamienić w twój problem. Masz w robocie taką grupę na WhatsAppie „żeby sprawniej”? No właśnie. Napisz w komentarzu, czy u ciebie też tak jest. #cyberbezpieczeństwo #cybersecurity #rodo
3 days ago
 
8K views
152
Trzech urzędników skarbówki w Kielcach właśnie zatrzymano. Za co? Kopiowali dane z systemów skarbowych i sprzedawali je przestępcom. Tak — twoje dane. Tym samym ludziom, którzy potem dzwonią „dzień dobry, tu bank, wykryliśmy podejrzaną transakcję”. I teraz uwaga, bo tu nie było żadnego hakera w kapturze z ciemnej piwnicy. To był pan zza biurka, z dostępem do wszystkiego, który uznał, że twój PESEL to całkiem niezła dodatkowa emerytura. Jak to działało? Dwóch z urzędu skarbowego i jeden z celno-skarbowego wyciągali dane z systemów Krajowej Administracji Skarbowej. Wszystko szło do byłej koleżanki ze skarbówki — ona była łącznikiem. Odbierała papiery i sprzedawała dalej, przestępcom. Cała czwórka się przyznała. Interes był tak prosty, że nawet nie było się czym chwalić. Grozi im pięć lat. Zawieszeni, dozór, zakaz opuszczania kraju. A twoje dane? Te już poszły w świat. Jprdl. Ale zatrzymaj się na sekundę, bo prawdziwe pytanie nie brzmi „kto to zrobił”, tylko: dlaczego w ogóle mógł? Skoro urzędnik jednym kliknięciem wynosi twoje dane ze skarbówki — a takich systemów z twoim życiem w środku jest więcej, NFZ, KSeF — to znaczy, że ktoś tam ma za duże uprawnienia. I najważniejsze: dlaczego, kiedy urzędnik zagląda w twoje dane, nie dostajesz o tym powiadomienia w mObywatelu? Bank pinguje cię o każde pięć złotych. A urząd może grzebać w twoim życiu bez śladu. Napisz w komentarzu, czy też chcesz takie powiadomienie — „ktoś właśnie sprawdził twój PESEL”. Może jak nazbiera się nas dużo, ktoś na górze wreszcie policzy te głosy. #cyberbezpieczeństwo #rodo #cybersecurity
4 days ago
 
239.2K views
8K
Centrum Szkolenia Łączności i Informatyki w Zegrzu. Jedyna jednostka w całym polskim wojsku, która kompleksowo szkoli żołnierzy z cyberbezpieczeństwa. I właśnie wystawiła PESEL-e prawie czterystu swoich ludzi na dysk, z którego mógł je skopiować każdy, kto miał ochotę. Wiesz, jak to wygląda? No słabo! Ci ludzie uczą całą armię, jak chronić dane. A swoje własne wrzucili do internetowego folderu z napisem „częstujcie się”. Żołnierz, który miał zajmować się rozliczeniami wypłat, wgrywa plik z danymi kolegów na OneDrive z dostępnym dla wszystkich w jednostce. I stamtąd mógł je skopiować dosłownie każdy. Imiona, nazwiska, PESEL-e, nawet wysokość świadczeń trzystu dziewięćdziesięciu dwóch żołnierzy — leżą jak ulotki w skrzynce. Centrum nazywa to „incydentem” i zapewnia, że żołnierz „miał wymagane uprawnienia”. Jasne. Uprawnienia miał. Rozumu przy jednym wgrywaniu pliku — mniej. A prezent dostał ten, kto na taki folder poluje najbardziej — obcy wywiad. Jprdl. Zapamiętaj jedną rzecz, bo dotyczy i ciebie. Kiedy udostępniasz folder na OneDrive czy Google Drive — nigdy nie klikaj „każdy z linkiem” ani „wszyscy w organizacji”. Zawsze wybierasz konkretne osoby z imienia i nazwiska. To jedno kliknięcie dzieli „udostępniłem koledze” od „udostępniłem całej firmie i pół internetowi”. Sprawdź teraz swój ostatni udostępniony folder. Jak masz tam „każdy z linkiem” — łapka w górę, że już poprawiasz. Zgadnijcie, ilu z was to ma.
a week ago
 
1.6K views
26
Dostajesz wiadomość na WhatsAppie. Twoje imię. Twój hotel. Dokładne daty pobytu. I link do dopłaty. Wszystko się zgadza — i wszystko jest oszustwem. Bo system, z którego korzysta ponad dwa tysiące polskich hoteli, właśnie oberwał SQL injection. W dwa tysiące dwudziestym szóstym roku. Dziurą starszą niż Maryla Rodowicz. A firma? Ogłosiła, że system jest „dobrze zabezpieczony". Tylko ktoś wszedł. To jak chwalić się pancernymi drzwiami, które akurat były otwarte na oścież. Wyciekło imię, nazwisko, mail, telefon, daty pobytu i kwota. Czyli dokładnie tyle, żeby napisać do ciebie idealnie wyglądającego SMS-a „od hotelu" z prośbą o dopłatę albo numer karty „dla gwarancji rezerwacji". A czy ktokolwiek uczciwie cię o tym powiadomi? No i tu robi się pięknie. Firma, która ten soft napisała, po prostu dała dupy — dała się wykiwać dziurą sprzed dwóch dekad — a potem umyła ręce. Pisze do hoteli: to WY jesteście administratorem danych, WY oceńcie ryzyko, WY biegnijcie do UODO. Czyli: my puściliśmy twoje dane w świat naszym dziurawym softem, a po naszym bałaganie ma sprzątać pani z recepcji. A wisienka na torcie? Ta sama firma, żeby cię teraz „chronić", każe użytkownikom okresowo zmieniać hasła — praktykę, którą specjaliści odradzają od lat, bo człowiek i tak dopisuje na końcu jedynkę, potem dwójkę. I zakazuje w haśle pewnych słów. Zgadnij jakiego. „Drop". Serio. Nie możesz mieć w haśle słowa „drop" — bo ktoś usłyszał, że w SQL injection przewija się komenda DROP, i uznał, że jak zabroni tego słowa w twoim haśle, to załata dziurę. Kolego. To tak nie działa. To jak zakleić kontrolkę silnika i cieszyć się, że problem zniknął. Zapamiętaj więc jedno, bo tego akurat od nikogo nie usłyszysz: żaden hotel nie zbiera dopłat ani numerów kart przez SMS-a czy link z WhatsAppa. Dostajesz taką wiadomość? Nie klikasz — dzwonisz do hotelu sam, na numer z jego oficjalnej strony, i pytasz, czy naprawdę czegoś od ciebie chcą. #wyciek #hortes #hotel #sqlinjection
4 weeks ago
 
2.3K views
22