Ataki hakerów: kradzież danych i nowe phishingi

Dwie różne kampanie, wspólny mianownik: słaba kontrola dostępu

Dwa najnowsze incydenty pokazują, jak dużo może kosztować połączenie kradzionych poświadczeń, zbyt słabej segmentacji systemów i niewystarczającego monitoringu. We Francji atakujący przez tygodnie wynosili dane z systemów administracji podatkowej, a równolegle rosyjska grupa Star Blizzard zaczęła stosować szersze kampanie phishingowe, by skuteczniej przejmować konta i podsłuchiwać cele na całym świecie.

Francuska administracja podatkowa przez 7 tygodni bez wykrycia

W przypadku francuskiego fiskusa sprawa dotyczy administracji DGFIP, która obsługuje portal podatkowy impots.gouv.fr. Atakujący wykorzystał skradzione hasła pracowników i przez długi czas pobierał dane z systemów związanych z obsługą podatników.

Według ujawnionych informacji wyciek objął:

• ponad 350 tys. osób fizycznych,
• ponad 250 tys. firm.

Co ważne, nie doszło do przejęcia kont podatników ani ich haseł. Wyciek obejmował jednak bardzo wrażliwe informacje, m.in.:

• identyfikator podatkowy,
• dane kontaktowe,
• sytuację rodzinną,
• dochód referencyjny,
• stawkę zaliczki na podatek,
• historię wiadomości wymienianych z administracją.

W części przypadków mogła zostać skopiowana także treść wiadomości. W przypadku osób prawnych chodziło m.in. o nazwę firmy, numer SIREN, adres i podstawowe informacje z korespondencji.

Atak rozpoczął się najpóźniej w maju, a dane zaczęły wypływać z kilku ścieżek dostępu. Jedna z nich prowadziła przez systemy pracownicze, które przyjmowały wyłącznie hasło, bez dodatkowego kroku uwierzytelniania. Druga wykorzystywała portal dla partnerów, gdzie obok hasła stosowano kod jednorazowy wysyłany e-mailem. To nie wystarczyło, ponieważ po przejęciu skrzynki pocztowej lub sesji atakujący mógł obejść zabezpieczenie.

Dlaczego nikt nie zauważył wycieku?

Kluczowy problem polegał na tym, że reset hasła nie kończył aktywnych sesji w innych portalach. W praktyce oznaczało to, że nawet po wykryciu podejrzanego logowania atakujący mógł nadal pobierać dane.

Do tego:

• monitoring nie obejmował wszystkich aplikacji biznesowych,
• nie łączono ze sobą sygnałów ostrzegawczych,
• nie analizowano anomalii w wolumenie pobieranych danych,
• zbyt późno reagowano na sygnały o skompromitowanych kontach.

Śledczy wskazują też na użycie infostealerów do kradzieży zapisanych haseł z prywatnych lub słabo zarządzanych urządzeń pracowników. To kolejny dowód na to, że brak polityki zakazującej dostępu z prywatnych komputerów potrafi otworzyć drogę do poważnego incydentu.

Co zaleca ANSSI

Francuska agencja cyberbezpieczeństwa wskazała zestaw działań naprawczych, w tym:

• wdrożenie MFA na wszystkich aplikacjach,
• używanie metod odpornych na kradzież hasła, najlepiej kluczy sprzętowych lub aplikacji uwierzytelniających,
• kończenie wszystkich aktywnych sesji po zmianie hasła,
• objęcie wszystkich aplikacji monitoringiem w SIEM,
• ograniczenie liczby rekordów i zapytań, które można pobrać w określonym czasie,
• wyłączenie dostępu z prywatnych urządzeń.

Star Blizzard zmienia taktykę

Drugi wątek dotyczy rosyjskiej grupy Star Blizzard, kojarzonej z wywiadem Federacji Rosyjskiej. Microsoft opisuje, że grupa zaczęła odchodzić od klasycznych, bardzo selektywnych ataków spear-phishingowych na rzecz szerszych kampanii phishingowych.

W 2026 roku zaobserwowano kampanie, w których do potencjalnych ofiar trafiały dziesiątki, a nawet setki wiadomości. Celem były przede wszystkim:

• organizacje pozarządowe,
• think tanki,
• instytucje rządowe,
• podmioty wspierające Ukrainę,
• instytucje finansowe.

Ataki dotknęły w szczególności cele w Stanach Zjednoczonych i Wielkiej Brytanii, a liczba zaatakowanych organizacji przekroczyła 100.

Jak działa nowy łańcuch ataku

Nowością jest złośliwe oprogramowanie nazwane RedFlick. Jego zadaniem jest przygotowanie gruntu pod instalację backdoora CosmicPulse. Mechanizm został zaprojektowany tak, by utrudnić wykrycie: uruchamia zaplanowane zadania i obniża próg koniecznej interakcji użytkownika.

W praktyce wystarczy jedno kliknięcie lub jedna reakcja ofiary. Najczęstsze przynęty to:

• zaproszenia na ekskluzywne wydarzenia,
• informacje o rzekomych kontrolach podatkowych,
• powiadomienia o płatnościach,
• wezwania do uregulowania kar lub opłat.

Microsoft podkreśla, że od stycznia 2026 roku widocznych było co najmniej 13 odrębnych kampanii na szeroką skalę. Początkowo były one wymierzone głównie w Ukrainę, ale wiosną grupa rozszerzyła działania poza ten obszar.

Co łączy te incydenty?

Oba przypadki pokazują, że atakujący nie zawsze potrzebują wyrafinowanych exploitów. Często wystarczą:

• skradzione hasła,
• brak MFA,
• słaba segmentacja sieci,
• zbyt rzadkie korelowanie alertów,
• nieuwzględnianie aktywnych sesji po zmianie hasła.

W świecie cyberbezpieczeństwa to właśnie takie „prozaiczne” zaniedbania najczęściej zamieniają pojedynczy incydent w wyciek o dużej skali.