Co łączy przemysłową lodówkę, smartfon i serwer SSH? Każde z tych środowisk może stać się celem cyberataku – czasem za sprawą podstawowych zaniedbań, innym razem dzięki zaawansowanym operacjom cyberszpiegowskim. W tym wydaniu Krajobrazu Zagrożeń przyglądamy się atakom na infrastrukturę chłodniczą, kampanii APT29 wymierzonej w użytkowników urządzeń mobilnych oraz podatności SSHhole w OpenSSH.

---

Łańcuch dostaw

Lodówki dostępne z internetu i zaniedbane podatności

• W ostatnim czasie media obiegły informacje o atakach na urządzenia chłodnicze w wielu europejskich krajach i stratach finansowych z tym związanych.
• Pojawiło się wiele doniesień zarówno w zakresie rzekomego wpływu ataków, jak i odpowiedzialności konkretnych grup za ten incydent. Jak zwykle w takich przypadkach, nie każda informacja okazała się prawdziwa i pełna. 
• Zabezpieczenie podobnych urządzeń może okazać się łatwiejsze niż się wydaje. Najłatwiejszym celem pozostają urządzenia dostępne z internetu, szczególnie jeśli nie są zaktualizowane lub nie posiadają odpowiedniego uwierzytelnienia. 

Na przełomie października i listopada odnotowano serię cyberataków wymierzonych w komercyjne systemy chłodnicze. Incydenty objęły przedsiębiorstwa w kilku europejskich państwach i przypomniały, że urządzenia odpowiedzialne za utrzymanie odpowiedniej temperatury w sklepach, magazynach oraz placówkach medycznych mogą stać się celem atakujących. Ze względu na wyraźnie widoczne i wręcz namacalne ich skutki, zdarzenia zwróciły uwagę mediów, klientów i instytucji odpowiedzialnych za cyberbezpieczeństwo i bezpieczeństwo żywności. W takich przypadkach najważniejsze by szum wokół danego przypadku skutkował szerszymi działaniami zabezpieczającymi i większą świadomością zagrożeń.  

Pierwsze szeroko opisywane zdarzenia miały miejsce we Francji w połowie października. Według publicznych informacji, atak objął instalacje chłodnicze w około 700 supermarketach. Nieuprawnione przejęcie dostępu do sterowników pozwoliło na zmianę parametrów pracy urządzeń, w tym podniesienie temperatury i uruchomienie trybu odmrażania. Przyczyniło się to w wielu przypadkach do popsucia się żywności i strat finansowych sklepów. 

Kolejna fala incydentów rozpoczęła się 2 listopada. Problemy z systemami chłodniczymi zgłaszały podmioty w wielu państwach europejskich. W części obiektów temperatury urządzeń wzrosły do poziomów uniemożliwiających dalsze bezpieczne przechowywanie żywności. Problem nie dotknął jedynie branży spożywczej, ale zagroził także infrastrukturze francuskiej służby krwiodawstwa. W trzech regionalnych placówkach zaatakowano systemy monitorowania i sterowania chłodniami. Dzięki alarmom oraz procedurom awaryjnym personel zdołał przenieść przechowywane zasoby do niezależnych urządzeń i według dostępnych informacji nie doszło do utraty zapasów krwi. Polska również znalazła się wśród państw, w których odnotowano incydent. CERT Polska potwierdził jeden przypadek skutecznego ataku na urządzenie chłodnicze, a według oświadczenia Auchan Polska przekazanego portalowi Niebezpiecznik kilka sklepów tej sieci zostało dotkniętych atakami. Nie zawsze zakłócenia wiązały się bezpośrednio z dużymi stratami, w niektórych przypadkach szybka reakcja pracowników lub atak na jedną z wielu chłodni ograniczył skutki incydentu i pozwolił odłączyć urządzenie od internetu lub przenieść produkty do innej lodówki.  

Z dostępnych analiz wynika, że mechanizm ataków nie wymagał szczególnie zaawansowanych technik. Sprawcy wyszukiwali urządzenia dostępne bezpośrednio z internetu, a następnie wykorzystywali słabe lub domyślne hasła oraz znane podatności w oprogramowaniu. Problemem pozostają również nieaktualizowane sterowniki i systemy, dla których producenci udostępnili już poprawki. Jednocześnie eksperci NASK zidentyfikowali w polskiej przestrzeni adresowej 140 urządzeń potencjalnie podatnych na podobne działania. Ich właściciele zostali poinformowani o zagrożeniu, a część przedsiębiorstw zdecydowała się na odłączenie urządzeń od sieci. Odpowiedzialność za urządzenia jednak dalej spoczywa na właścicielach i podwykonawcach, którzy muszą potraktować ostrzeżenie poważnie i nie bagatelizować kwestii związanych z cyberbezpieczeństwem. W tym przypadku mimo groźnie brzmiących nagłówków skutki było dużo mniej poważne, ale warto potraktować to zdarzenie jako ostrzeżenie.  

Warto przy tym zachować ostrożność w kwestii przypisywania odpowiedzialności za atak konkretnym grupom. Niedługo po atakach pojawiły się deklaracje grup haktywistycznych przypisujących sobie udział w incydentach, ale nie ma żadnych podstaw by w takie słowa wierzyć. Głośne sprawy medialne, szczególnie takie wiążące się z realnym i zauważalnym wpływem na codziennie życie to przede wszystkim świetna okazja do działań propagandowych, które są główną bronią haktywistów. Efekt, który liczy się dla tych atakujących to efekt psychologiczny i wyolbrzymienie siły, możliwości oraz wpływu działań na przeciwnika. Jak zawsze w takich przypadkach zalecamy uważną weryfikację informacji i niepowielanie niesprawdzonych newsów, szczególnie tych z kategorii „clickbait”. Zagrożenie jest realne i poważne, ale to szczegóły pozwalają dostrzec pełen obraz sytuacji, a ich przekręcenie może skutkować fałszywą perspektywą na rzeczywistość. 

Z perspektywy bezpieczeństwa organizacje powinny przede wszystkim wyeliminować bezpośrednią ekspozycję sterowników chłodniczych (i nie tylko) na publiczny internet. Konieczna jest aktualizacja oprogramowania i firmware’u do wersji usuwających znane podatności, zmiana domyślnych haseł oraz stosowanie silnego uwierzytelniania. Urządzenia powinny zostać odseparowane od standardowej sieci firmowej, najlepiej z wykorzystaniem segmentacji OT/IT i restrykcyjnych reguł ACL. Zdalny dostęp serwisowy należy ograniczyć do niezbędnych połączeń realizowanych przez VPN, z indywidualnym uwierzytelnianiem i kontrolą uprawnień. Warto również wdrożyć niezależny monitoring temperatury, alarmowanie o nietypowych zmianach parametrów oraz okresową weryfikację wskazań za pomocą niezależnych pomiarów. Istotne jest przygotowanie procedur awaryjnych pozwalających utrzymać ciągłość chłodzenia w przypadku utraty kontroli nad systemem.

Więcej informacji:  
https://digital-strategy.ec.europa.eu/en/news/joint-statement-cyber-incidents-refrigeration-systems-across-eu
https://www.gov.pl/web/gis/komunikat-glownego-inspektora-sanitarnego-w-sprawie-potencjalnych-zagrozen-zwiazanych-z-atakami-na-infrastrukture-lancucha-chlodniczego-w-przemysle-spozywczym
https://www.reuters.com/business/healthcare-pharmaceuticals/several-french-blood-banks-hit-by-cyberattack-nov-2-health-ministry-says-2026-11-04/
https://www.reuters.com/business/retail-consumer/us-warns-ongoing-cyber-threat-industrial-refrigeration-systems-2026-11-05/
https://www.pap.pl/aktualnosci/cert-polska-w-kraju-doszlo-do-cyberataku-na-urzadzenie-chlodnicze
https://x.com/niebezpiecznik/status/2118020905913753732

---

Zaawansowane zagrożenia

Zaufana strona, zatrute źródło. APT29 poluje na użytkowników urządzeń mobilnych

• Kompromitacja zaufanych witryn i łańcucha dostaw – APT29 wykorzystuje przejęte strony internetowe, domeny podszywające się pod legalne serwisy oraz skompromitowany komponent analityczny Plerdy do dystrybucji złośliwego kodu.
• Ataki na urządzenia iOS oraz Android – kampania wykorzystuje łańcuchy exploitów typu n-day, umożliwiające przełamanie zabezpieczeń przeglądarki i systemu operacyjnego bez konieczności interakcji użytkownika.
• Kradzież danych i informacji uwierzytelniających – złośliwe oprogramowanie pozyskuje m.in. ciasteczka sesyjne, dane przeglądarki, zapisane hasła Wi-Fi, a w przypadku iOS również wiadomości, dane aplikacji i informacje przechowywane na urządzeniu.

Zespół Sekoia Threat Detection & Research (TDR) ujawnił kampanię cyberszpiegowską wymierzoną w użytkowników urządzeń mobilnych z systemami iOS i Android, przypisywaną grupie APT29 (Midnight Blizzard, Cozy Bear).

Podstawowym mechanizmem infekcji była technika „wodopoju” (watering hole), polegająca na wykorzystaniu popularnych lub tematycznie istotnych witryn internetowych do infekowania odwiedzających je użytkowników. Operatorzy stosowali trzy główne wektory dystrybucji złośliwego kodu:

• Bezpośrednią kompromitację legalnych witryn internetowych poprzez wstrzyknięcie złośliwego kodu JavaScript do ich szablonów lub istniejących bibliotek.
• Wykorzystanie domen podszywających się pod popularne serwisy, działających jako reverse proxy. Mechanizm ten pozwalał przechwytywać ruch do oryginalnej witryny i dynamicznie modyfikować jej kod HTML w celu dołączenia złośliwego skryptu.
• Atak na łańcuch dostaw poprzez kompromitację usługi analitycznej Plerdy SEO Tracker. Pomiędzy 27 sierpnia a 3 września 2026 r. zmodyfikowany komponent JavaScript był ładowany przez tysiące legalnych witryn.

Niezależnie od zastosowanego wektora, kolejnym etapem było uruchomienie skryptu UltimateFingerprinter. Jego zadaniem było zebranie szczegółowych informacji o urządzeniu odwiedzającego, systemie operacyjnym i przeglądarce. Mechanizm wykorzystywał 61 modułów zbierających łącznie 394 parametry, obejmujące m.in. charakterystykę sprzętu, konfigurację przeglądarki, dostępne interfejsy urządzenia oraz właściwości środowiska wykonawczego. Na podstawie uzyskanych informacji atakujący dostarczał odpowiedni zestaw exploitów, dopasowany do platformy i wersji oprogramowania. Sekoia zidentyfikowała trzy warianty wykorzystania podatności: 

• iOS – kradzież ciasteczek sesyjnych: wykorzystanie CVE-2025-43529 oraz CVE-2024-27834 w celu uzyskania możliwości odczytu danych przeglądarki i kradzieży cookies.
• iOS – kompleksowa eksfiltracja danych: wykorzystanie łańcucha podatności obejmującego m.in. CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 i CVE-2025-43520. Pozwalało to na przełamanie mechanizmów izolacji i uzyskanie dostępu do szerokiego zakresu danych urządzenia.
• Android – kradzież danych przeglądarki i haseł Wi-Fi: wykorzystanie CVE-2026-3910 oraz CVE-2025-27038, umożliwiające wykonanie kodu, ucieczkę z sandboxa przeglądarki i pozyskanie danych Chrome oraz zapisanych konfiguracji sieci bezprzewodowych.

Interesujący jest zakres danych pozyskiwanych z urządzeń Apple. Oprócz ciasteczek sesyjnych operatorzy mogli przechwytywać wiadomości SMS i iMessage, dane komunikatorów WhatsApp i Telegram, zapisane hasła i tokeny z Keychain, historię połączeń, kontakty, dane lokalizacyjne, zdjęcia oraz zawartość iCloud Drive. W przypadku Androida głównym celem były dane przeglądarki Chrome, w tym cookies, zapisane dane logowania i historia przeglądania, a także hasła do sieci Wi-Fi.

Wszystkie zidentyfikowane łańcuchy wykorzystywały podatności typu n-day, dla których poprawki były już dostępne przed rozpoczęciem kampanii. Nie stwierdzono wykorzystania podatności zero-day. Ataki nie wymagały również dodatkowej interakcji użytkownika poza odwiedzeniem odpowiednio przygotowanej lub skompromitowanej witryny.

Analiza infrastruktury, podobieństwa techniczne do wcześniejszych operacji, charakterystyka ofiar oraz wykorzystywane techniki pozwoliły Sekoia przypisać kampanię grupie APT29 z umiarkowanym do wysokiego poziomem pewności. Autorzy wskazują również na prawdopodobne wykorzystanie gotowych frameworków exploitów mobilnych rozwijanych przez komercyjnych dostawców narzędzi inwigilacyjnych (Commercial Surveillance Vendors – CSV), w tym rozwiązań powiązanych z DarkSword. 

Więcej informacji:  
https://www.sekoia.com/blog/poisoned-source-apt29-watering-holes-targets-mobile-devices-with-n-day-exploits

---

CVE tygodnia

SSHhole, czyli coś więcej niż luka w OpenSSH

• Poważna luka w OpenSSH pozwala na obejście uwierzytelnienia i uzyskanie dostępu do kont, na które nie powinno być możliwości zalogować się hasłem. 
• Podatność zachodzi w systemach o specyficznej konfiguracji i instalacji, co sprawia, że potwierdzenie odporności na lukę wymaga szerszej weryfikacji niż jedynie sprawdzenia wersji produktu. 
• Ze względu na szczególny zestaw warunków koniecznych do zaistnienia podatności nie spodziewamy się na ten moment wykorzystania podatności na masową skalę. Zachęcamy jednak do aktualizacji i wdrożenia podstawowych zabezpieczeń, które mogą uchronić systemy przed kolejnymi atakami. 

5 listopada ujawniono podatność SSHhole (CVE-2026-123158), dotyczącą mechanizmu uwierzytelniania w OpenSSH. Luka może umożliwić obejście logowania hasłem i uzyskanie dostępu do kont, które zgodnie z konfiguracją systemu nie powinny przyjmować uwierzytelniania hasłem. Problem dotyczy przede wszystkim systemów Linux wykorzystujących bibliotekę musl libc, w szczególności dystrybucji Alpine Linux, przy jednoczesnym braku obsługi PAM przez usługę SSH. Podatność otrzymała ocenę 8,1 w skali CVSS, co oznacza wysoki poziom zagrożenia. 

Mechanizm błędu wynika z nieprawidłowej obsługi odpowiedzi funkcji kryptograficznej crypt() podczas weryfikacji hasła. W określonych warunkach musl zwraca znak * jako informację o błędzie przetwarzania zbyt długiego hasła. Tymczasem taka sama wartość może znajdować się w pliku /etc/shadow przy kontach, dla których logowanie hasłem zostało zablokowane, na przykład kontach przeznaczonych do uwierzytelniania wyłącznie kluczem SSH. W konsekwencji porównanie wyników może zostać błędnie uznane za poprawne uwierzytelnienie. Atakujący, który może połączyć się z usługą SSH, jest w stanie wykorzystać tę niespójność przesyłając odpowiednio długie hasło. 

Zakres podatności jest jednak ściśle uzależniony od konfiguracji. Konieczne jest jednoczesne występowanie kilku warunków: wykorzystanie musl libc, uruchomienie OpenSSH bez PAM, aktywne uwierzytelnianie hasłem oraz obecność odpowiednio skonfigurowanych kont. Problem może dotyczyć również wybranych obrazów kontenerowych i środowisk embedded, jeśli uruchamiają własny serwer OpenSSH. Nie należy natomiast automatycznie uznawać za podatne standardowych instalacji Ubuntu, Debiana czy Red Hat Enterprise Linux, które korzystają z glibc i typowo wykorzystują PAM. Samo korzystanie z kontenerów Docker również nie oznacza podatności, znaczenie ma między innymi to, czy wewnątrz kontenera działa podatny serwer SSH. 

Istotnym elementem jest dostępność publicznego opisu błędu i PoC w formie live demo. Według informacji producenta Alpine, w podatnej konfiguracji wykorzystanie luki może wymagać tylko jednego połączenia, bez konieczności wielokrotnego ponawiania prób. Należy jednak odróżnić prostotę wykorzystania podatnego systemu od powszechności podatnych instalacji. Nie ma podstaw, aby zakładać, że wszystkie publicznie dostępne serwery SSH są zagrożone. Na ten moment nie odnotowaliśmy doniesień o masowym wykorzystywaniu podatności w środowiskach produkcyjnych.  

OpenSSH opublikowało poprawkę w wersji 10.6p2, a Alpine Linux udostępnił odpowiednie aktualizacje swoich pakietów. Organizacje powinny zweryfikować, czy wykorzystują musl oraz jak skonfigurowano usługę SSH, a następnie niezwłocznie zainstalować poprawione wersje oprogramowania. Po aktualizacji należy również zrestartować usługę sshd, ponieważ samo zastąpienie pakietu nie aktualizuje procesu już działającego w pamięci. Jeżeli wdrożenie poprawki nie jest obecnie możliwe, zalecane jest wyłączenie uwierzytelniania hasłem i pozostawienie dostępu opartego na kluczach SSH. Dodatkowym zabezpieczeniem powinno być ograniczenie dostępności portu SSH do zaufanych adresów IP, sieci administracyjnych lub połączeń realizowanych przez VPN. W przypadku systemów, które nie wymagają zdalnej administracji, warto całkowicie wyłączyć usługę. 

Administratorzy powinni również przeanalizować logi uwierzytelniania, zwracając szczególną uwagę na udane logowania hasłem na konta, które powinny przyjmować wyłącznie klucze SSH. W przypadku wykrycia takiego zdarzenia konieczna jest analiza potencjalnego przejęcia systemu, w tym uprawnień użytkownika, zmian w konfiguracji i nowych kluczy dostępowych. SSHhole pokazuje, że nawet powszechnie wykorzystywane i dojrzałe komponenty infrastruktury mogą zawierać błędy wynikające z interakcji między bibliotekami systemowymi a usługami. Priorytetem powinno być zatem sprawdzenie rzeczywistej konfiguracji środowisk, zamiast opierania oceny ryzyka wyłącznie na nazwie używanej dystrybucji.

Więcej informacji:
https://www.openssh.com/txt/release-10.6p2
https://sshhole.com/
https://www.ox.security/blog/openssh-authentication-bypass-cve-2026-123158/