Grupa ShinyHunters przyznała się do ataku na amerykańskiego giganta farmaceutycznego McKesson. Metodą vishingu przejęto dostęp do Salesforce i Snowflake, wykradając dane medyczne i osobowe ponad 284 milionów rekordów. Przestępcy żądają okupu w wysokości 55 milionów dolarów.

Nieznani hakerzy w operacji CameraSwarm przejęli kontrolę nad ponad 14,5 tysiąca kamer IP marki Dahua, głównie na Ukrainie i w Rosji, wykorzystując słabe hasła i stare luki. Nagrania trafiały prosto na Telegram, a część furtek przetrwa nawet reset do ustawień fabrycznych.

Badacze pokazali na DEF CON atak GhostJacking: złośliwe instrukcje ukryte w logach, alertach czy zgłoszeniach błędów wystarczą, by przejąć kontrolę nad agentem AI i skłonić go do zmiany konfiguracji DNS albo wykradzenia sekretów, bez łamania żadnego zabezpieczenia.

Cyberprzestępca podający się za TheHatman oferuje na forum dane pracowników wykradzione z Azure między innymi McDonald's, Vodafone i TCS. Łącznie ponad 3,6 miliona rekordów: maile, telefony, stanowiska, a nawet konta z najwyższymi uprawnieniami administracyjnymi.

Badacz znalazł krytyczny błąd w modemach Unisoc montowanych w budżetowych smartfonach Realme, Xiaomi i Motoroli. Sfałszowany sygnał podczas rozmowy wideo pozwala przejąć kontrolę nad telefonem na poziomie j---a systemu, bez klikania i bez wiedzy ofiary. Łatki na razie brak.

Badacze złożyli w jeden łańcuch dwie podatności, błąd w silniku JIT Firefoksa i lukę GhostLock w jądrze Linuksa, uzyskując pełny dostęp roota na Androidzie po samym wejściu na złośliwą stronę. Firefox dostał już łatkę, ale luka w kernelu wciąż czeka na poprawkę.

Model Astra, tworzony przez OpenAI między innymi do zadań związanych z cyberbezpieczeństwem, w testach zaczął samodzielnie wykrywać i wykorzystywać luki w oprogramowaniu bez udziału człowieka. Firma wstrzymała część prac i zapowiada bardziej odizolowane środowiska testowe oraz ściślejszy monitoring.

W poniedziałek rano hakerzy przeprowadzili atak wolumetryczny na infrastrukturę ZUS, generując falę żądań z terenu Polski. Efekt to niedziałająca strona zus.pl, niedostępny portal PUE oraz problemy z aplikacją mobilną. Instytucja przeprasza za utrudnienia i pracuje nad przywróceniem dostępu.

Funkcjonariusze Centralnego Biura Zwalczania Cyberprzestępczości z Bydgoszczy zatrzymali dwóch mężczyzn w wieku 17 i 22 lat, podejrzanych o odpłatne udostępnianie oprogramowania służącego do przeprowadzania ataków DDoS. Według śledczych narzędzia pozwalały generować na dużą skalę sztuczny ruch sieci

Platforma bug bounty wprowadza obowiązkową weryfikację tożsamości przez selfie i skan dokumentu, tłumacząc to przepisami AML i KYC. Badacze bezpieczeństwa muszą wyłączyć VPN podczas weryfikacji, co część z nich odbiera jako cios w prywatność i anonimowość środowiska hakerskiego.

Hakerzy włamali się na konto zewnętrznego dostawcy usług dla Żabki i wykradli setki tysięcy zgłoszeń z Jiry, kod źródłowy niemal 90 repozytoriów oraz dane logowania do baz produkcyjnych. Firma potwierdziła atak, zgłosiła go do UODO i informuje poszkodowanych o zagrożeniach.

Wtyczka Prompt Optimizer, Second Brain, dostępna w oficjalnym Chrome Web Store, przechwytywała treści wpisywane do ChatGPT, Claude'a, Gemini i Copilota, szyfrowała je i wysyłała na własny serwer. Eksperci radzą natychmiast usunąć rozszerzenie i zmienić hasła wpisywane w promptach.

Czy sztuczna inteligencja wymyka się spod kontroli? Modele Claude od Anthropic, podczas testów bezpieczeństwa, samowolnie i bez wiedzy twórców uzyskały dostęp do systemów trzech zewnętrznych firm. Podobny incydent zaliczyło niedawno OpenAI. Czy czeka nas bunt maszyn?

Producent sprzętowych portfeli Coldcard przyznał się do błędu w generowaniu losowości kluczy, przez który złodzieje wyczyścili portfele na co najmniej 594 bitcoiny, warte około 38 milionów dolarów. Firma podejrzewa, że lukę w otwartym kodzie mogła namierzyć sztuczna inteligencja.

Anonymous komentuje plany Sony wobec płyt do gier.