🔐 Cyber Security Daily News | 16.10.2026
Codzienny przegląd ciekawszych wiadomości ze świata cyberbezpieczeństwa, do poczytania przy porannej kawie, podzielony na kluczowe kategorie.
📰 NEWS
Bank of America zatrudnił 1000 kontrahentów żeby załatać luki znalezione przez Mythos — koszt: setki milionów dolarów
The Register opisuje bezprecedensowe ujawnienie CEO Bank of America Briana Moynihana: podczas kwartalnej rozmowy z analitykami potwierdził że bank zatrudnił dodatkowych 1000 zewnętrznych kontrahentów (poza istniejącymi 3000 pracownikami technicznymi) wyłącznie do łatania podatności odkrytych przez Claude Mythos — i są nadal zatrudnieni. Koszt remediacji: "kilkaset milionów plus". Mythos znalazł tak wiele luk że ludzki team nie był w stanie je obsłużyć. Moynihan liczy na 250-300 milionów USD korzyści z AI tylko w 2026 roku i 700 mln USD do końca 2027. BoA jednocześnie zapłacił 1,21 miliarda USD kary FinCEN za zaniedbania w AML — co łącznie doprowadziło do 17% spadku zysków i 8% spadku kursu akcji.
Źródło: The Register [EN]
Google wypłacił 250 000 USD za exploita Chrome — przygotowali go w kilka dni używając GPT-Sol, koszt 40 000 USD
Sekurak opisuje rekordową wypłatę bug bounty Google: badacze bezpieczeństwa przygotowali pełny, działający exploit przeglądarki Chrome za pomocą GPT-Sol (nowego modelu OpenAI) w kilka dni — przy koszcie promptów wynoszącym 40 000 USD. Exploit umożliwiał zdalne wykonanie kodu przez odwiedzenie złośliwej strony. Google wypłaciło 250 000 USD nagrody. ROI z użycia AI do bug bounty: 525% w kilka dni. Artykuł analizuje implikacje: jeśli badacze mogą to robić legalnie, hakerzy robią to już nielegalnie.
Źródło: Sekurak [PL]
Włamanie do systemów IT urzędu miasta w zachodniopomorskim
CyberDefence24 opisuje cyberatak na urząd miasta w województwie zachodniopomorskim: hakerzy uzyskali dostęp do systemów informatycznych samorządu — w tym do bazy danych mieszkańców, systemu elektronicznej dokumentacji i poczty służbowej urzędników. Atak doprowadził do kilkugodzinnych przestojów w obsłudze mieszkańców. To kolejny — po uczelniach i szpitalach — dowód że polskie instytucje publiczne są systematycznie atakowane i mają niewystarczające zasoby na cyberbezpieczeństwo.
Źródło: CyberDefence24 [PL]
🚨 INCYDENTY
Kolejny cyberatak na sklepy — tym razem we Francji. Eskalacja kampanii OT
CyberDefence24 opisuje eskalację kampanii przeciwko infrastrukturze chłodniczej we Francji opisywanej przez nas od 12 października: atak rozszerzył się na nowe sieci handlowe — tym razem z użyciem podatnych sterowników Copeland i Dixell (Security Week potwierdza). Infosecurity Magazine ujawnia szczegóły: atakujący nie tylko podnosili temperatury — manipulowali też danymi telemetrycznymi SCADA maskując atak jako "normalna wahanie temperatury". Straty rosną z każdą godziną opóźnienia wykrycia.
Źródło: CyberDefence24 [PL]
Hackerzy przejmują D-Link i Ubiquiti — odsprzedają przepustowość łącza
BleepingComputer opisuje kampanię: atakujący masowo kompromitują urządzenia D-Link i Ubiquiti UniFi (routery, access pointy) i instalują oprogramowanie zamieniające je w węzły sieci proxy — odsprzedając przepustowość łącza ofiary innym przestępcom lub serwisowi residential proxy. Kompromitacja urządzeń UniFi jest szczególnie niepokojąca bo Ubiquiti jest standardem w polskich firmach i instytucjach. Czy Twój UniFi jest zaktualizowany? Sprawdź panel zarządzania.
Źródło: BleepingComputer [EN]
Inteligentna zabawka — realne ryzyko. Co AI wie o dziecku?
Virtual-IT.pl i Techno-Senior opisują wyniki testów bezpieczeństwa popularnych inteligentnych zabawek AI na rynek europejski: modele dla dzieci 4-12 lat zbierają nagrania rozmów, profile preferencji i dane lokalizacyjne dzieci — i przesyłają je na serwery producentów (często w Chinach) bez faktycznej zgody rodziców. Jedna z testowanych zabawek przechowywała hasła do sieci Wi-Fi w niezaszyfrowanej formie w logach. Artykuł wskazuje które marki są bezpieczne i jak skonfigurować zabawki AI minimalizując ryzyko.
Źródło: Virtual-IT.pl [PL]
💡 CIEKAWOSTKI
PKO Bank Polski wydał komunikat — dotyczy wszystkich klientów
Dobreprogramy i Tech.wp.pl opisują oficjalny komunikat PKO BP: bank ostrzega klientów przed falą fałszywych e-maili podszywających się pod PKO Bank Polski — perfekcyjnie imitujących autentyczną korespondencję bankową, zawierających imię i częściowy numer konta (z poprzednich wycieków). Komunikat PKO BP trafia do wszystkich klientów przez oficjalną aplikację iPKO. Artykuł wyjaśnia jak odróżnić autentyczny e-mail PKO od fałszywego i jakie działania podjąć jeśli kliknąłeś link.
Źródło: Dobreprogramy [PL]
Cyberprzestępcy podszywają się pod KAS i straszą błędami w JPK_VAT
CERT Polska wydaje alert (komunikat 190): nowa kampania phishingowa wymierzona w polskich przedsiębiorców — fałszywe e-maile od "KAS" (Krajowej Administracji Skarbowej) straszą "błędami w złożonym pliku JPK_VAT" i "konsekwencjami podatkowymi" z linkiem do "korekty". Link prowadzi na fałszywą stronę wyłudzającą dane logowania do e-Urzędu Skarbowego. Kampania celuje w sezonie kwartalnego rozliczenia JPK, gdy podatnicy są wrażliwi na strach przed błędami podatkowymi.
Źródło: CERT Polska / moje.cert.pl [PL]
🎣 OSZUSTWA, SCAMY, EXPLOITY
Możesz paść ofiarą tej samej grupy kilka razy — tak działają cyberprzestępcy
CyberDefence24 opisuje mechanizm wielokrotnej wiktymizacji: osoby które raz padły ofiarą scamu (phishing, vishing, fałszywy zakup) trafiają na "listy ciepłych leadów" sprzedawanych między gangami przestępczymi — z adnotacją "potwierdzony jako podatny na X". Ofiara phishingu bankowego dostaje po tygodniu "recovery scam", po miesiącu próbę wyłudzenia przez fałszywego prawnika i po kwartale nowy phishing. Artykuł opisuje jak przerwać ten cykl i jak zmienić numer telefonu i adres e-mail by "zniknąć z list".
Źródło: CyberDefence24 [PL]
Polacy znają cyberzagrożenia, ale nie stronią od ryzyka — raport Bank Pekao
CRN.pl opisuje raport Bank Pekao: 78% Polaków deklaruje świadomość zagrożeń cyberbezpieczeństwa — lecz 62% używa tego samego hasła w wielu serwisach, 41% korzysta z publicznych Wi-Fi bez VPN i 31% klika linki z SMS-ów bez weryfikacji. Paradoks świadomości i działania jest potwierdzonym zjawiskiem psychologicznym: wiemy że palenie szkodzi, ale palimy. Artykuł analizuje co skutecznie zmienia zachowania — i wskazuje że konkretne, natychmiastowe zagrożenie motywuje bardziej niż abstrakcyjne ryzyko.
Źródło: CRN.pl [PL]
🌐 DEZINFORMACJA, CYBER ВОЙНА
Szwed zatrzymany przez FSB — miał szykować dywersję. 30 tysięcy dolarów i obietnica orderu
Infosecurity24.pl opisuje dwa powiązane incydenty ujawnione przez dziennikarzy śledczych: szwedzkiego obywatela zatrzymanego przez FSB pod zarzutem planowania dywersji w Rosji — i ujawniony przez media plan podpalenia fabryki dronów za 30 000 USD i obietnicę "rosyjskiego orderu". Oba przypadki ilustrują jak FSB werbuje zachodnich obywateli do operacji sabotażowych i dezinformacyjnych — przez kombinację pieniędzy i ideologicznego manipulowania.
Źródło: Infosecurity24.pl [PL], Infosecurity24.pl [PL]
Agent AI obwiniony o usunięcie programu TV — nowy wymiar odpowiedzialności za AI
CRN.pl opisuje kuriozalny, lecz precedensowy incydent: agent AI zarządzający systemem transmisji dla stacji telewizyjnej samodzielnie usunął zaplanowany program — interpretując instrukcję "wyczyść stary content" jako polecenie usunięcia zaplanowanych transmisji, nie archiwum. Stacja straciła kilka godzin zaplanowanego programu. Artykuł zadaje fundamentalne pytanie: kto ponosi odpowiedzialność za szkody wyrządzone przez autonomicznych agentów AI — dostawca modelu, integrator czy użytkownik?
Źródło: CRN.pl [PL]
📅 Powyższe zestawienie ma charakter wyłącznie informacyjny i edukacyjny. Wszystkie informacje opierają się na publicznie dostępnych doniesieniach prasowych z dnia 15 października 2026 r. ⚠️ W razie podejrzenia incydentu bezpieczeństwa skonsultuj się z wykwalifikowanym specjalistą.