Newsy AudytBiura.pl #4: 5-11 października 2026

Cotygodniowy przegląd tego, co naprawdę wydarzyło się w cyberbezpieczeństwie: bez żargonu, z podanymi źródłami i jasną odpowiedzią na pytanie „czy to dotyczy też mojej firmy”.

Wydanie #4 Okres: 05.10-11.10.2026 Publikacja: 16.10.2026 Poziom tygodnia: PODWYŻSZONY
Zamów 1‑dniowy audyt cyberbezpieczeństwa IT Zobacz archiwum Newsów

TL;DR: najważniejsze z tygodnia

Najważniejsze wydarzenia tygodnia

Fałszywe zapytania ofertowe z Remcosem

CERT Polska ostrzega przed kampanią wymierzoną w firmy, złośliwy załącznik Excel instaluje trojana dającego zdalny dostęp do komputera.

Zobacz szczegóły niżej ↓

Zero-click podatność w WordPress

CVE-2026-93485: wystarczyło wyświetlenie komentarza przez zalogowanego admina, żeby przejąć całą stronę. Łatka w wersji 7.1.1.

Zobacz szczegóły niżej ↓

Wycieki danych pacjentów: IQ Dental i ENEL-MED

Dwa niezależne incydenty w sektorze medycznym w tym samym tygodniu, dostawca oprogramowania dla dentystów i sieć klinik ENEL-MED.

Zobacz szczegóły niżej ↓

Ostrzeżenia i oszustwa tygodnia

CERT Polska (moje.cert.pl) opublikował w tym tygodniu ostrzeżenie wymierzone bezpośrednio w firmy i ich pracowników obsługujących zapytania handlowe.

06.10.2026: fałszywe „zapytania ofertowe”

Przestępcy wysyłają e-maile udające standardowe zapytania handlowe, z prośbą o odpowiedź na „zapytanie ofertowe” zawarte w załączonym pliku Excel (.xls). Po otwarciu załącznika, zamiast obiecanej treści, na komputerze instaluje się Remcos: złośliwe oprogramowanie typu RAT (Remote Access Trojan, czyli program dający atakującemu zdalny dostęp do zainfekowanego komputera). Pozwala to na rejestrowanie naciskanych klawiszy, włączenie kamery i mikrofonu, robienie zrzutów ekranu oraz pełne przejęcie kontroli nad urządzeniem, a także kradzież danych firmowych i instalację kolejnego złośliwego oprogramowania.

Źródło: moje.cert.pl, komunikat 185/2026

Na co zwrócić uwagę

  • Celem są przede wszystkim osoby, które z zawodu odpowiadają na zapytania handlowe, dział sprzedaży, zakupów, obsługi klienta.
  • Przynęta jest celowo mało podejrzana: zwykłe „zapytanie ofertowe” to codzienność w skrzynce wielu firm, co ułatwia kliknięcie bez zastanowienia.
  • Zagrożeniem jest sam fakt otwarcia pliku .xls z nieznanego źródła, nie trzeba niczego dalej klikać, żeby doszło do infekcji.
  • CERT Polska zaleca: nie otwierać załączników od nieznanych nadawców, weryfikować nadawcę i wiarygodność wiadomości, trzymać systemy i aplikacje na bieżąco aktualizowane oraz zgłaszać podejrzane wiadomości przez incydent.cert.pl lub usługę „Bezpiecznie w sieci” w aplikacji mObywatel.

Wycieki danych w sektorze medycznym: co wiadomo

W tym samym tygodniu ujawniono dwa niezależne incydenty dotyczące danych pacjentów, żaden z nich nie jest, według dostępnych informacji, powiązany z grupą „Fingerprint”, która wcześniej atakowała systemy MyDR, Medyc i Fakturownię.

IQ Dental: dostawca oprogramowania dla gabinetów dentystycznych

Atak trwał od około 4:00 do 12:00 w czwartek 01.10.2026, a firma wykryła go w poniedziałek 05.10.2026 ok. godz. 12:00, podczas kontroli systemów po fali ostatnich atakow na branżę medyczną. Atakujący uzyskał nieuprawniony dostęp do konta administracyjnego systemu i wygenerował klucz API umożliwiający odpytywanie danych wybranych klinik. Według przedstawiciela firmy, incydent dotyczy 36 klinik z ok. 6500 gabinetów współpracujących z IQ Dental. Potencjalnie narażone dane: imiona, nazwiska, numery PESEL, adresy oraz notatki z wizyt (mogące zawierać informacje o leczeniu). Firma deklaruje brak żądań okupu i brak na razie dowodów na dostęp do recept czy danych o lekach.

Źródło: niebezpiecznik.pl (07.10.2026)

ENEL-MED: sieć klinik medycznych

Spółka poinformowała pacjentów o cyberataku, który zidentyfikowała 24.09.2026. ENEL-MED twierdzi, że atak został szybko zatrzymany, a numer PESEL nie został objęty incydentem. Dane, do których atakujący mógł uzyskać dostęp, to imię, nazwisko, data urodzenia i inne dane identyfikacyjne, dane kontaktowe oraz dane zdrowotne. Według wcześniejszych deklaracji spółki incydent dotyczy ok. 3% pacjentów (niebezpiecznik.pl szacuje to na ok. 25 tys. osób, to szacunek redakcji, nie oficjalna liczba firmy). Incydent zgłoszono do CBZC, CERT Polska i Prezesa UODO.

Źródło: niebezpiecznik.pl (09.10.2026)

W tle: akt oskarżenia w sprawie danych 11,1 mln świadczeniobiorców NFZ

To nie jest nowy wyciek, ale ważny rozwój starszej sprawy: Prokuratura Regionalna w Poznaniu skierowała 05.10.2026 akt oskarżenia wobec pięciu osób, które w marcu 2024 roku, wykorzystując przejęte konta pracowników dwóch podmiotów medycznych korzystających z systemu MyDR, wysłały ponad 18 mln automatycznych zapytań do systemu eWUŚ (Elektroniczna Weryfikacja Uprawnień Świadczeniobiorców), uzyskując dane ok. 11,1 mln osób (imiona, nazwiska, numery PESEL, informacje o uprawnieniach do świadczeń). NFZ podkreśla, że nie doszło do przełamania zabezpieczeń jego własnych systemów. Oskarżonym grozi od 8 do 12 lat więzienia.

Źródło: sekurak.pl (09.10.2026)

Co zrobić, jeśli korzystasz z zewnętrznego oprogramowania medycznego/branżowego

  • Zapytaj dostawcę, czy incydent dotyczy Twojej placówki/klientów i jakie dane mogły zostać objęte.
  • Sprawdź, czy dostawca wymusza uwierzytelnianie dwuskładnikowe (2FA) na kontach administracyjnych, oba incydenty dotyczyły właśnie takich kont.
  • Rozważ zablokowanie swojego numeru PESEL przez aplikację lub stronę mObywatel albo w urzędzie, to ogranicza możliwość wykorzystania danych w razie wycieku u dowolnego dostawcy, z którym masz kontakt.

Podatności i aktualizacje

CVE-2026-93485: WordPress, komponent komentarzy (krytyczna, zero-click). Błąd w sposobie, w jaki mechanizmy filtrowania treści w WordPressie (KSES, wpautop() i wptexturize()) przetwarzają znak nowej linii w atrybucie cite cytatu, pozwalał niezalogowanemu użytkownikowi umieścić w komentarzu kod JavaScript. Samo wyświetlenie takiego komentarza przez zalogowanego administratora (bez żadnego dodatkowego klikania) mogło uruchomić skrypt instalujący złośliwą wtyczkę i wykonujący polecenia na serwerze, czyli pełne przejęcie strony. Błąd załatano w WordPress 7.1.1.

Czy to dotyczy mojej firmy?

Jeśli firma prowadzi własną stronę WordPress (a to bardzo popularne rozwiązanie wśród małych firm), tak, dotyczy bezpośrednio. Moderacja komentarzy ogranicza ryzyko, ale go nie eliminuje, bo zagrożenie pojawia się już w momencie wyświetlenia komentarza w panelu administracyjnym, zanim zostanie zatwierdzony do publikacji.

Zalecenie: zaktualizować WordPressa do wersji 7.1.1 (lub nowszej) jak najszybciej oraz rozważyć włączenie automatycznych aktualizacji rdzenia WordPressa.

Uwaga do kalendarza: comiesięczna, duża aktualizacja zabezpieczeń Microsoft („Patch Tuesday”) wypadła w tym miesiącu 13.10.2026, czyli już po zakresie dat tego wydania (05-11.10). Omówimy ją w kolejnym numerze.

Co zrobić w tym tygodniu

Najczęstsze pytania

Skąd wiadomo, że „zapytanie ofertowe” w mailu jest fałszywe?

Nie da się tego ocenić ze 100% pewnością na pierwszy rzut oka, dlatego zasada jest prosta: nie otwieraj załączników Excel/Word od nieznanych nadawców bez weryfikacji, a w razie wątpliwości zadzwoń do nadawcy na numer znany z innego źródła niż sama wiadomość.

Czy muszę aktualizować WordPressa natychmiast, jeśli nie moderuję komentarzy publicznie?

Tak: zagrożenie pojawia się już w momencie wyświetlenia komentarza w panelu administracyjnym, a nie dopiero po jego publicznym opublikowaniu, więc wyłączenie komentarzy na stronie nie chroni przed tym konkretnym błędem.

Wyciek u NFZ/IQ Dental/ENEL-MED, czy to dotyczy mojej firmy, jeśli nie jestem pacjentem żadnej z tych placówek?

Bezpośrednio nie, jeśli nie jesteś pacjentem. Pośrednio tak, jeśli Twoja firma korzysta z zewnętrznego oprogramowania branżowego (nie tylko medycznego), te incydenty są dobrym przypomnieniem, żeby zapytać własnych dostawców o standardy zabezpieczeń kont administracyjnych.

Powiązane materiały

Źródła

Newsy AudytBiura.pl to redakcyjne podsumowanie tygodnia oparte na publicznie dostępnych komunikatach CERT Polska (moje.cert.pl) i branżowych źródłach cyberbezpieczeństwa. To nie jest oficjalna publikacja CERT Polska.

1‑dniowy audyt cyberbezpieczeństwa IT

Co sprawdzę

  • Pocztę, hasła, konta współdzielone
  • MFA i dostęp zdalny
  • Backup i możliwość odtworzenia danych

Co otrzymasz

  • Raport ryzyk i priorytety napraw
  • Plan działań na 30 i 60 dni
  • Szkolenie phishing & smishing

Dla kogo

  • MŚP i organizacje bez własnego zespołu monitorującego bezpieczeństwo (SOC)
  • Firmy objęte NIS2
  • Zarządy i właściciele, którzy potrzebują udokumentowanego przeglądu ryzyk

Nie przegap kolejnego wydania Newsów

Co piątek: krótkie podsumowanie tygodnia w cyberbezpieczeństwie, prosto na maila.

Sprawdź, czy Twoja firma jest narażona

W 1 dzień sprawdzam, gdzie Twoja firma może stracić dane, pieniądze albo dostęp do poczty.

Audyt kosztuje 1 500 zł netto i kończy się prostym raportem z listą rzeczy do poprawy.

Zobacz audyt za 1 500 zł

Radek Rzążewski - audyt bezpieczeństwa IT

Autor: Radek Rzążewski (AudytBiura.pl)
Zobacz profil na LinkedIn

Na co dzień zajmuję się cyberbezpieczeństwem (SOC / monitoring / analiza zagrożeń). Newsy AudytBiura.pl to cotygodniowe podsumowanie tego, co naprawdę warto wiedzieć: bez żargonu i bez straszenia na wyrost.

Ostatnia aktualizacja:

Radek Rzazewski