W najnowszym wydaniu Krajobrazu Zagrożeń przyglądamy się zdarzeniom, które pokazują, jak często atakujący wykorzystują istniejącą infrastrukturę zamiast budować własną od podstaw. Przejęte kamery mogą dostarczać informacji o chronionych obiektach, podatne serwery pocztowe stają się punktem wejścia do organizacji, a zaatakowane strony WordPress mogą zostać wykorzystane jako element infrastruktury kolejnych kampanii. Wspólnym mianownikiem tych przypadków jest niewłaściwie zabezpieczona lub wystawiona do Internetu infrastruktura. Automatyzacja pozwala atakującym prowadzić działania na dużą skalę – od masowego skanowania i przejmowania urządzeń CCTV, przez wykorzystanie podatności w Zimbrze, po budowanie rozproszonych sieci przejętych stron wykorzystywanych do dystrybucji malware i ClickFix. Pokazujemy również, że samo usunięcie podatności lub odzyskanie kontroli nad urządzeniem nie zawsze kończy incydent. Kluczowe staje się ustalenie, w jaki sposób przejęty zasób został wykorzystany i czy nie stał się częścią większej operacji.

Zaawansowane zagrożenia

CCTV bez nadzoru 

• Kamery IP, rejestratory i systemy zdalnego podglądu wymagają takiej samej ochrony jak pozostałe urządzenia sieciowe. Ryzyko zwiększają wystawienie usług do internetu, słabe lub domyślne hasła, brak aktualizacji oraz aktywne funkcje zdalnego dostępu.
• Ataki na CCTV mogą być prowadzone masowo i automatycznie. Skanowanie internetu, próby logowania oraz wykorzystanie znanych podatności pozwalają wyszukiwać podatne urządzenia na dużą skalę.
• Przejęty obraz ma wartość wywiadowczą. Może naruszać prywatność, ujawniać sposób działania organizacji, a w pobliżu infrastruktury transportowej lub obiektów strategicznych wspierać rozpoznanie operacyjne.

System CCTV jest zwykle kojarzony z ochroną fizyczną. Kamera IP, rejestrator NVR czy serwer zarządzający obrazem są jednak urządzeniami sieciowymi, które mogą być dostępne z internetu i podatne na te same klasy błędów co inne elementy infrastruktury IT. Dotyczy to zarówno instalacji domowych, jak i systemów działających w biurach, placówkach handlowych, magazynach czy zakładach przemysłowych.

Problem obejmuje więcej niż samą kamerę. Powierzchnię ataku tworzą także rejestratory, interfejsy administracyjne, strumienie RTSP, aplikacje mobilne, konta do zdalnego dostępu oraz funkcje P2P. Jeżeli urządzenie jest widoczne z internetu, używa domyślnych danych dostępowych albo pracuje na nieaktualnym oprogramowaniu, może stać się celem automatycznych prób uzyskania dostępu.

Skala takich działań wynika przede wszystkim z automatyzacji. Między 17 czerwca a 22 lipca 2026 roku w operacji CameraSwarm pojedynczy operator skompromitował ponad 14,5 tys. urządzeń Dahua. Według analizy wykorzystano równolegle skanowanie internetu, próby odgadywania haseł, znane błędy uwierzytelniania oraz mechanizmy P2P. Część urządzeń posiadała trwałe konto backdoor, zainstalowane za pośrednictwem RPC po obejściu zabezpieczeń. Jest ono przechowywane niezależnie od hasła administratora i pozostaje aktywne nawet po zmianie hasła oraz, w przypadku większości oprogramowania sprzętowego, po przywróceniu ustawień fabrycznych.

Nie tylko starsze podatności Dahua są wykorzystywane w atakach. Przykład Hikvision pokazuje z kolei, że również starsze podatności pozostają użyteczne, gdy urządzenia nie są aktualizowane. W październiku 2025 r. opisywano wzrost zautomatyzowanych żądań kierowanych do interfejsów urządzeń tej marki, powiązanych z podatnością CVE-2017-7921 (10.0 w CVSS v3.0). To pokazuje jak kluczowe znaczenie ma regularne instalowanie aktualizacji. Nawet od dawna znane podatności pozostają zagrożeniem, jeśli urządzenie działa na nieaktualnym oprogramowaniu.

Nieautoryzowany dostęp do obrazu bywa postrzegany przede wszystkim jako naruszenie prywatności, lecz jego skutki mogą obejmować także nękanie użytkowników i dalsze rozpowszechnianie materiałów. Szczególnie dotkliwe są przypadki dotyczące kamer działających w mieszkaniach, pokojach dziecięcych, placówkach opiekuńczych i medycznych, a także w miejscach, w których przebywają klienci lub pracownicy. NASK opisał oferty sprzedaży dostępu do przejętych kamer IP, w tym urządzeń z Polski, pojawiające się na Telegramie, zamkniętych serwerach Discord i w obrocie na czarnym rynku.

Dla organizacji znaczenie takiego dostępu może być szersze. Obraz z kamer może ujawniać układ obiektu, godziny pracy, ruch pracowników i pojazdów, procedury ochrony, miejsca załadunku oraz schematy dostaw. Wartość tych informacji rośnie w przypadku kamer obejmujących magazyny, terminale, obiekty przemysłowe, stacje kolejowe czy infrastrukturę graniczną.

Ten aspekt został wyraźnie wskazany we wspólnym raporcie opublikowanym przez służby i agencje cyberbezpieczeństwa państw sojuszniczych, w tym Polski. Autorzy przypisali rosyjskiej jednostce GRU 26165, powiązanej z Rosją, działania wymierzone w podmioty logistyczne i technologiczne wspierające Ukrainę. Według analizy aktorzy prawdopodobnie wykorzystywali dostęp do prywatnych kamer w pobliżu przejść granicznych, instalacji wojskowych i stacji kolejowych, aby śledzić przemieszczanie materiałów do Ukrainy. Wykorzystywali także legalnie dostępne miejskie kamery drogowe.

W tym samym dokumencie opisano kampanię przeciw serwerom RTSP, prowadzoną co najmniej od marca 2022 r. Atakujący mieli identyfikować urządzenia i podejmować próby uzyskania dostępu do ich transmisji, między innymi z użyciem powszechnie znanych domyślnych danych dostępowych oraz generycznych prób odgadywania haseł. W próbce obejmującej ponad 10 tys. kamer objętych tymi działaniami 81 proc. prób dotyczyło Ukrainy, a 4 proc. — Polski. Odsetek odnosi się do prób zarejestrowanych w analizowanej próbce, nie do liczby skutecznie przejętych urządzeń.

Taki kontekst wymaga ostrożnej interpretacji. Nie każda kamera wystawiona do internetu jest celem działań państwowych, a nie każdy materiał rozpowszechniany w komunikatorach potwierdza skuteczne włamanie. Obraz może pochodzić z transmisji publicznej albo z urządzenia błędnie skonfigurowanego przez właściciela. Z perspektywy bezpieczeństwa rezultat pozostaje jednak podobny: osoba nieuprawniona może obserwować miejsce, które właściciel uznawał za chronione.

Użytkownicy domowi i małe firmy powinni zmienić fabryczne dane logowania, stosować unikalne hasła, regularnie aktualizować firmware oraz unikać bezpośredniego udostępniania kamer i rejestratorów w internecie. Gdy zdalny podgląd jest potrzebny, bezpieczniejszym rozwiązaniem jest dostęp przez VPN. Zaleca się również wybieranie sprzętu objętego wsparciem producenta.

W organizacjach system CCTV powinien być objęty ewidencją aktywów, segmentacją sieci i kontrolą kont administracyjnych. Należy ograniczyć dostęp zdalny do uzasadnionych przypadków, wyłączyć nieużywane usługi oraz kontrolować logowania i zmiany konfiguracji. Konieczne jest aktualizowanie urządzeń, wymiana sprzętu niewspieranego przez producenta, wyłączenie zbędnego zdalnego dostępu, stosowanie VPN i MFA dla kont zarządzających – jeśli urządzenie obsługuje tę funkcję – a także wyłączenie UPnP, P2P i niepotrzebnych usług.

Przy wyborze systemu CCTV organizacje powinny oceniać również ryzyko związane z dostawcą i łańcuchem dostaw. Dotyczy to w szczególności systemów instalowanych w obiektach o znaczeniu operacyjnym, w infrastrukturze krytycznej, logistyce, administracji publicznej lub w miejscach przetwarzających obraz osób i procesów wrażliwych. Ocena powinna uwzględniać m.in. strukturę właścicielską i jurysdykcję dostawcy, lokalizację przetwarzania danych, rolę usług chmurowych i P2P, sposób dostarczania aktualizacji, politykę obsługi podatności oraz możliwość zastąpienia rozwiązania w razie utraty wsparcia lub zmiany uwarunkowań regulacyjnych. Przykładowo w Wielkiej Brytanii rząd ograniczył wdrażanie systemów monitoringu produkowanych przez firmy podlegające chińskiej ustawie o wywiadzie narodowym w obiektach wrażliwych; decyzję uzasadniano rosnącymi możliwościami i łącznością tych systemów oraz oceną zagrożeń dla bezpieczeństwa państwa.

Patrząc szerzej

CCTV pozostaje obszarem, który łatwo wypada poza standardowe procesy cyberbezpieczeństwa. System bywa wdrażany przez zewnętrznego instalatora, utrzymywany przez dział administracji lub ochrony fizycznej, a następnie pozostaje poza regularnym cyklem aktualizacji i kontroli dostępu. Dla użytkownika prywatnego skutkiem może być utrata kontroli nad obrazem z domu. Dla organizacji dochodzą ryzyka związane z prywatnością pracowników i klientów, ujawnieniem informacji operacyjnych oraz osłabieniem bezpieczeństwa fizycznego obiektu. 

W organizacjach system CCTV powinien działać w wydzielonym segmencie sieci, z ograniczoną komunikacją do systemów niezbędnych do jego obsługi. Dzięki temu przejęcie kamery lub rejestratora nie powinno automatycznie otwierać drogi do sieci biurowej ani innych zasobów organizacji. W każdym z tych przypadków ekspozycja do internetu, nieaktualne oprogramowanie i niekontrolowany dostęp zdalny tworzą ryzyko, które powinno być uwzględnione w zarządzaniu bezpieczeństwem.

Więcej informacji:  
https://media.defense.gov/2025/May/21/2003719846/-1/-1/0/CSA_RUSSIAN_GRU_TARGET_LOGISTICS.PDF
https://www.nask.pl/aktualnosci/podgladani-we-wlasnych-domach-czy-twoja-kamera-jest-bezpieczna
https://hunt.io/blog/operation-cameraswarm-dahua-cameras-compromised
https://cyberdefence24.pl/cyberbezpieczenstwo/prywatnosc/prorosyjskie-grupy-podgladaja-polakow-przez-kamery-ip

Cybercrime

Przejęta strona to dopiero początek – WordPress jako infrastruktura cyberataków 

• Przejęcie legalnej strony internetowej coraz częściej nie jest celem ataku, ale sposobem na zbudowanie infrastruktury do kolejnych kampanii – od hostowania malware, przez przekierowania i watering hole, aż po serwery C2 i miejsce przechowywania wykradzionych danych.
• WordPress jest szczególnie atrakcyjnym celem, ponieważ ogromna liczba działających instalacji, nieaktualizowanych wtyczek i podatnych serwisów daje atakującym możliwość budowania rozproszonej infrastruktury bez konieczności utrzymywania własnych domen i serwerów.
• Coraz częściej przejęte strony służą również do dostarczania ClickFix i fałszywych CAPTCHA. Nasza obserwacja kilkudziesięciu zaatakowanych domen .pl w ostatnim tygodniu pokazuje, że nie jest to wyłącznie globalny trend opisywany przez zagraniczne zespoły badawcze.

Jeszcze niedawno przejęcie strony internetowej kojarzyło się przede wszystkim z defacementem, przekierowaniem użytkowników albo wykorzystaniem serwera do hostowania phishingu. Dziś sama witryna może być jednym z elementów większego systemu służącego do prowadzenia kampanii przeciwko kolejnym ofiarom. Atakujący mogą wykorzystać przejęty serwis jako miejsce dostarczania kolejnych etapów malware, serwer C2, redirector, miejsce zbierania logów czy magazyn danych wykradzionych z komputerów ofiar.

Dobrym przykładem jest opisana przez Check Point Research operacja StopAndProtect. Przejęte strony nie były jedynie miejscem umieszczenia złośliwego kodu, ale zostały przekształcone w elementy własnej infrastruktury atakujących. Check Point znalazł m.in. złośliwy must-use plugin WordPressa (wp-content/mu-plugins/wp-sec.php), który dodawał ukryty endpoint REST API (/wp-json/wp-sec/v1/upload) umożliwiający, po uwierzytelnieniu, przesyłanie plików do praktycznie dowolnej lokalizacji w katalogu WordPressa, w tym plików .php. Po wykonaniu zadania mechanizm mógł zostać usunięty, ograniczając ślady kompromitacji. Przejęte strony były następnie wykorzystywane do dostarczania ClickFix – użytkownik trafiał na fałszywą CAPTCHA lub komunikat imitujący mechanizm bezpieczeństwa i był nakłaniany do wykonania polecenia PowerShell.

W analizowanej kampanii łańcuch infekcji obejmował fake CAPTCHA – ClickFix – PowerShell – .NET loader – malware, a kolejne komponenty odpowiadały m.in. za ransomware, propagację i kradzież danych. Jednocześnie przejęte serwery pełniły funkcję magazynu danych ofiar – Check Point znalazł ponad 700 archiwów zawierających m.in. dokumenty, listy plików i dane zbierane z komputerów, a w ramach analizy zebrano około 31 000 screenshotów. Istotna była również skala automatyzacji: badacze znaleźli narzędzie umożliwiające operatorom masowe zarządzanie przejętymi witrynami, w tym przesyłanie i usuwanie plików, aktywowanie lub dezaktywowanie fake CAPTCHA oraz zmianę konfiguracji stron. Odzyskane listy domen, pogrupowane według statusu kampanii, pokazują, że nie był to przypadkowy zbiór zainfekowanych serwisów, ale zarządzana sieć przejętej infrastruktury, którą można było wykorzystywać zależnie od potrzeb prowadzonej operacji.

Przejęta strona jest bardzo atrakcyjnym komponentem środowiska przestępców. Przede wszystkim daje im gotową, wiarygodną infrastrukturę. „Wygrzana” domena ma historię, reputację, ruch i często jest już indeksowana przez wyszukiwarki, dzięki czemu znacznie łatwiej wykorzystać ją do dotarcia do użytkowników niż świeżo zarejestrowany adres. Taka strona może również posiadać ważny certyfikat TLS, działający hosting i legalną zawartość, przez co jej wykorzystanie jest trudniejsze do odróżnienia od normalnego ruchu. WordPress jest szczególnie atrakcyjnym celem ze względu na ogromną liczbę instalacji oraz częste problemy z aktualizacjami, wtyczkami i konfiguracją. Po uzyskaniu dostępu atakujący nie musi więc budować infrastruktury od podstaw – przejmuje istniejący zasób i nadaje mu nową funkcję: hostowania malware, przekierowywania użytkowników, dostarczania ClickFix, prowadzenia C2 czy przechowywania danych ofiar. W efekcie koszt przygotowania infrastruktury spada, a jednocześnie rośnie jej wiarygodność i odporność na proste mechanizmy blokowania.

W ostatnim tygodniu również w naszej telemetrii znaleźliśmy kilkadziesiąt stron w domenie .pl, które zostały zmodyfikowane i wykorzystywane do prezentowania fałszywych CAPTCHA pod scenariusz ClickFix. Nie mamy tutaj do czynienia wyłącznie z pojedynczym incydentem dotyczącym jednej witryny. Widzimy powtarzalny model, w którym wiele niezależnych, legalnie działających stron może zostać wykorzystanych jako rozproszona platforma do prowadzenia kampanii przeciwko użytkownikom.

Patrząc szerzej

Najciekawsze w tym trendzie nie jest samo wykorzystanie WordPressa, ale sposób w jaki zmienia się rola przejętej infrastruktury. Atakujący coraz rzadziej potrzebuje własnego serwera, własnej domeny i własnej reputacji. Może po prostu „pożyczyć” je od kogoś innego.

Jedna przejęta strona może być miejscem dostarczenia malware. Inna może pełnić funkcję redirectora. Kolejna może wyświetlać ClickFix. Jeszcze inna może służyć jako C2 albo magazyn danych. Z punktu widzenia ofiary wszystkie wyglądają jak zwykłe, legalne strony internetowe.  

To powoduje, że granica pomiędzy „zaatakowaną stroną” a „infrastrukturą atakującego” coraz bardziej się zaciera.Nasze obserwacje kilkudziesięciu zmodyfikowanych stron .pl w ciągu zaledwie jednego tygodnia, zestawione z globalną operacją StopAndProtect obejmującą około 2000 przejętych domen, pokazują skalę problemu.

Dlatego patrząc na incydent dotyczący strony WWW, warto zastanowić się  – do czego atakujący wykorzystuje tę stronę po przejęciu. Odpowiedź może być znacznie ważniejsza niż samo ustalenie, w jaki sposób doszło do włamania.

Więcej informacji:
https://research.checkpoint.com/2026/thousands-of-hacked-wordpress-sites-one-operation-unmasking-stopandprotect/

Podatność tygodnia

Krytyczna podatność w Zimbrze wykorzystywana w atakach

• CVE-2026-73570 to krytyczna podatność typu OS Command Injection w Zimbra Collaboration Suite, która pozwala nieuwierzytelnionemu atakującemu na wykonanie poleceń systemowych z uprawnieniami użytkownika zimbra.
• Podatność jest aktywnie wykorzystywana w atakach.   Shadowserver zidentyfikował ponad 12 tys. instancji Zimbra dostępnych z Internetu oraz ponad 270 potencjalnie skompromitowanych serwerów.
• Samo zainstalowanie poprawki nie powinno kończyć analizy. W przypadku podatności aktywnie wykorzystywanej należy również sprawdzić, czy serwer nie został wcześniej skompromitowany.

Zimbra Collaboration Suite jest szeroko wykorzystywaną platformą do obsługi poczty elektronicznej i pracy grupowej. Jej centralna rola w środowisku organizacji sprawia, że przejęcie serwera może oznaczać znacznie więcej niż uzyskanie dostępu do pojedynczej usługi.

W sierpniu CERT Polska poinformował o aktywnie wykorzystywanej podatności CVE-2026-73570, sklasyfikowanej jako OS Command Injection. Problem dotyczy komponentu monitorowania SNMP i występuje w określonych konfiguracjach, w których włączone są powiadomienia SNMP (snmp_notify) oraz działa usługa swatchdog. Podatność pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemowych z uprawnieniami użytkownika zimbra. Podatność została naprawiona w wersji Zimbra 10.1.20, wydanej 20 lipca 2026 r.

Istotą CVE-2026-73570 jest możliwość wykonania poleceń bez wcześniejszego uwierzytelnienia. Błąd znajduje się w przetwarzaniu powiadomień SNMP – niewłaściwa sanitizacja danych wejściowych pozwala na przekazanie spreparowanych danych prowadzących do wykonania poleceń systemowych. Oznacza to, że podatny, wystawiony do Internetu serwer pocztowy może stać się punktem wejścia dla atakującego bez konieczności posiadania prawidłowych danych logowania. Uprawnienia zimbra nie oznaczają jeszcze pełnego dostępu administracyjnego do systemu, ale dają atakującemu możliwość działania w kontekście samej platformy. Kolejne kroki mogą obejmować rozpoznanie środowiska, utrzymanie dostępu, instalację dodatkowych komponentów, kradzież danych czy wykorzystanie serwera jako punktu wejścia do dalszej części infrastruktury.

Kompromitacja Zimbry może prowadzić nie tylko do przejęcia samej usługi, ale również do dostępu do korespondencji, danych użytkowników oraz informacji wykorzystywanych później w kolejnych kampaniach phishingowych lub BEC.

W tym przypadku nie mówimy jedynie o podatności opisanej w biuletynie bezpieczeństwa. CVE-2026-73570 jest wykorzystywana w rzeczywistych atakach. CERT Polska opublikował 17 sierpnia ostrzeżenie o aktywnej eksploatacji, a Shadowserver poinformował o identyfikacji ponad 270 potencjalnie skompromitowanych instancji Zimbra podczas poszukiwania artefaktów związanych z wykorzystaniem podatności. Jednocześnie Shadowserver obserwuje ponad 12 tys. serwerów Zimbra dostępnych z Internetu. Sama ekspozycja nie oznacza podatności ani kompromitacji, ale pokazuje skalę potencjalnej powierzchni ataku. Większość obserwowanych instancji znajduje się w Europie i Azji.

Istotny jest również odstęp czasowy. Poprawka była dostępna od 20 lipca, natomiast aktywna eksploatacja została publicznie potwierdzona przez CERT Polska 17 sierpnia. Oznacza to, że przez kilka tygodni organizacje miały możliwość zabezpieczenia systemów przed rozpoczęciem obserwowanej kampanii.

Skala zagrożenia spowodowała również dodanie CVE-2026-73570 przez CISA do katalogu Known Exploited Vulnerabilities (KEV) oraz wydanie nakazu pilnego zabezpieczenia systemów przez amerykańskie agencje federalne.

W przypadku podatności aktywnie wykorzystywanej samo wykonanie aktualizacji nie powinno kończyć analizy. Jeżeli serwer był podatny w okresie prowadzonej eksploatacji, należy również sprawdzić, czy nie doszło już do kompromitacji. CERT Polska wskazuje konkretne artefakty przydatne podczas triage.

Patrząc szerzej

CVE-2026-73570 jest kolejnym przykładem podatności w systemie infrastrukturalnym, w którym czas pomiędzy ujawnieniem luki a rozpoczęciem jej masowej eksploatacji ma bezpośrednie znaczenie dla obrońców. W przypadku Zimbry ryzyko jest szczególnie istotne, ponieważ serwery pocztowe są często bezpośrednio dostępne z Internetu i przetwarzają dane o wysokiej wartości – korespondencję, informacje organizacyjne oraz dane wykorzystywane w procesach uwierzytelniania.

Zimbra od lat znajduje się również w zainteresowaniu grup APT. Podatności w tej platformie były wykorzystywane m.in. przez Winter Vivern, APT29 oraz APT28 w operacjach wymierzonych w organizacje rządowe i inne cele. CVE-2026-73570 wpisuje się więc w dobrze znany schemat: publicznie dostępny system infrastrukturalny, podatność umożliwiająca zdalne wykonanie kodu i szybkie przejście od eksploatacji luki do uzyskania dostępu do środowiska.

Z perspektywy obrony samo załatanie systemu nie zamyka tematu. W przypadku podatności aktywnie wykorzystywanej konieczne jest również ustalenie, czy dana instancja była dostępna i podatna w okresie prowadzonej eksploatacji oraz czy w tym czasie nie doszło już do kompromitacji. Aktualizacja eliminuje podatność, ale nie usuwa skutków wcześniejszego wykorzystania luki.  

Więcej informacji:
https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories
https://moje.cert.pl/komunikaty/2026/145/aktywnie-wykorzystywana-podatnosc-w-zimbra-collaboration-suite