Știri
Știri din categoria Securitate cibernetică
O campanie de tip supply-chain care a compromis pachete populare din ecosistemele npm și PyPI poate expune credențiale de GitHub, cloud și CI/CD, ceea ce ridică riscul de acces neautorizat în infrastructura de dezvoltare și, implicit, de propagare a codului malițios prin actualizări legitime, potrivit Tom's Hardware.
Microsoft Threat Intelligence a transmis într-o postare pe X că investighează compromiterea pachetului PyPI „mistralai”, după ce atacatori ar fi injectat cod malițios care se executa automat la import și descărca un payload secundar deghizat ca „transformers.pyz”, lansând malware pe sisteme Linux. Conform Microsoft, versiunea compromisă ar fi „mistralai” 2.4.6, cu cod inserat în „mistralai/client/init.py”, care descărca un fișier într-un director temporar și îl executa în fundal.
Incidentul apare pe fondul unei „valuri” de compromiteri în lanțul de aprovizionare software (supply-chain), care afectează atât npm (JavaScript), cât și PyPI (Python). Firma de securitate Aikido a avertizat că versiuni malițioase asociate ecosistemului TanStack ar fi fost compromise în două valuri distincte, începând în jurul orei 19:20 UTC (22:20, ora României). Printre pachetele menționate se numără:
Aceste componente sunt descrise ca fiind descărcate „zeci de milioane de ori pe săptămână”, ceea ce amplifică riscul de răspândire rapidă în aplicații și medii de producție.
Aikido a mai spus că și mai multe pachete npm ale SDK-ului Mistral ar fi fost compromise în cadrul aceleiași campanii „Mini Shai-Hulud”, inclusiv:
În acest context, compania a recomandat dezvoltatorilor să rotească imediat (să înlocuiască) credențiale precum tokenuri GitHub, credențiale npm, chei API de cloud și secrete CI/CD, dacă au instalat pachetele afectate.
Deși Microsoft nu a atribuit public compromiterea din PyPI campaniei „Mini Shai-Hulud”, materialul notează că incidentele au trăsături comune: cod malițios introdus în pachete de încredere, descărcare în etape a payload-urilor, furt de credențiale și execuție automată la instalare sau import.
Riscul major este unul operațional: mediile moderne de dezvoltare și automatizare (workstation-uri de dezvoltatori, „CI runners” – mașini care rulează automat testele și livrările) conțin frecvent credențiale cu valoare ridicată, precum tokenuri de acces la GitHub, chei de implementare în cloud, credențiale SSH, tokenuri de publicare în npm și acces la sisteme CI/CD. Compromiterea lor poate oferi atacatorilor o cale de a publica actualizări malițioase prin canale legitime, cu efect de cascadă în ecosisteme întregi.
Microsoft a recomandat organizațiilor, între altele, să izoleze gazdele Linux afectate, să blocheze conexiunile către adresa IP malițioasă menționată în analiză, să caute indicatori precum „/tmp/transformers.pyz”, „pgmonitor.py” și „pgsql-monitor.service” și să rotească imediat credențialele potențial expuse.
Investigațiile sunt în desfășurare, iar articolul avertizează că ar putea apărea și alte pachete afectate pe măsură ce furnizorii și comunitatea audită infrastructura de publicare și credențialele compromise.
Recomandate
Un adolescent a obținut acces la o bază de date Microsoft cu 17 trilioane de rânduri și date despre 25.000 de angajați , după ce a găsit o problemă de validare a utilizatorilor într-o platformă de analiză internă, potrivit Tom's Hardware . Cazul contează mai ales prin riscul operațional: o verificare slabă a autentificării poate expune volume uriașe de date, chiar și în sisteme considerate „interne”. Incidentul vizează platforma de analiză Titan, descrisă ca fiind „presupus internă”. Autorul, care se prezintă sub numele Faav, susține că a identificat faptul că validarea utilizatorilor era „sub-optimală”, iar această lacună i-ar fi permis accesul la seturi masive de înregistrări, inclusiv 25.000 de înregistrări cu date despre angajați. Cum a fost găsită breșa Faav afirmă că a „petrecut anul” testând securitatea Microsoft „din când în când, între ore”, căutând vulnerabilități. În demersul său, a folosit un instrument propriu, Antares, descris ca un „bot orchestrator” bazat pe inteligență artificială, creat pentru scanare și automatizarea sarcinilor repetitive de securitate. În relatarea citată de publicație, Faav indică drept cauză tehnică o lipsă de validare a tokenurilor JWT (JSON Web Token – un mecanism folosit frecvent pentru autentificare și autorizare), ceea ce ar fi făcut posibilă ocolirea verificărilor de acces. Context: ținte multiple, aceeași metodă Potrivit aceleiași surse, Faav spune că a căutat vulnerabilități nu doar la Microsoft, ci și la Amazon, Google, Adobe și alți furnizori, folosind o suită proprie de instrumente pentru a accelera identificarea problemelor. Tom’s Hardware trimite și la o descriere mai amplă a pașilor, publicată de Faav pe blogul său: „How I could’ve accessed 17 trillion Microsoft records” . De ce contează pentru companii Dincolo de dimensiunea bazei de date, miza este una operațională: dacă un sistem „intern” ajunge accesibil printr-o validare deficitară a autentificării, impactul potențial include expunerea de date sensibile și costuri de remediere (investigații, audit, întărirea controalelor de acces), chiar și atunci când accesul este descoperit prin programe de tip „bug bounty” (recompense pentru raportarea vulnerabilităților). În material se menționează și o recompensă de 5.000 de dolari (aprox. 23.000 lei), însă articolul nu oferă detalii suplimentare despre calendarul remedierii sau despre ce tip de date au fost efectiv exfiltrate, dincolo de existența înregistrărilor accesibile. [...]
Compromiterea unui cont de e-mail al unei filiale CDU a dus la trimiterea a mii de mesaje de phishing către instituții și contacte cu roluri de securitate , inclusiv către cancelarul german Friedrich Merz , potrivit Agerpres , care citează dpa. Atacul a vizat contul de e-mail al filialei Uniunii Creștin-Democrate (CDU) din orașul Heilbronn. Conform unui purtător de cuvânt al poliției din Heilbronn, mesajul a fost trimis către aproximativ 6.500 de contacte, „multe dintre ele având roluri legate de securitate”. „Știm, de exemplu, că un astfel de mesaj a ajuns și la cancelarul federal”, a declarat pentru dpa un purtător de cuvânt al poliției din Heilbronn. Ce conținea mesajul și cum tratează autoritățile cazul Mesajul – ajuns inclusiv la redacția dpa – includea un link prezentat ca invitație la un eveniment la care ar fi urmat să participe „personalități importante”. Poliția tratează cazul ca pe o tentativă de phishing, adică o încercare de a obține date sensibile (de exemplu parole sau date bancare) prin mesaje false care îi determină pe destinatari să reacționeze. De ce contează: risc operațional pentru instituții și rețele cu rol de securitate Dincolo de ținta cu vizibilitate politică, elementul cu impact operațional este amploarea listei de destinatari și profilul acesteia: mii de contacte, inclusiv din departamente guvernamentale și persoane cu atribuții legate de securitate. În astfel de situații, un singur click pe un link malițios poate deschide calea către compromiterea altor conturi sau sisteme, prin furt de credențiale (date de autentificare), chiar dacă sursa nu precizează dacă au existat victime sau pagube. Autoritățile nu au comunicat, în informațiile citate, dacă mesajele au dus la acces neautorizat suplimentar sau la scurgeri de date; investigația este în curs. [...]
O breșă de tip „lanț de furnizori” a expus datele a 8,8 milioane de persoane din Danemarca , după ce atacatorii au folosit accesul legal al unei firme private la registrul central al populației, potrivit Mediafax . Cazul ridică o problemă operațională și de control: nu sistemele statului ar fi fost sparte, ci ar fi fost exploatate credențiale ale unui partener cu drept de interogare. În septembrie au fost făcute peste 14 milioane de căutări automate în registrul central al populației (CPR), iar 8,8 milioane dintre acestea au returnat date reale. Incidentul a fost observat abia când administrația registrului a încercat să factureze firmei respective căutările, deoarece companiile plătesc fiecare interogare. Cum s-a produs accesul: credențiale și un furnizor cu acces legal Conexiunea cu parola „123456” provine dintr-o investigație a cotidianului danez Politiken, citată de publicația spaniolă AS, conform aceleiași surse. Potrivit acestora, cel puțin trei conturi ale firmei Pays ApS din Odense ar fi folosit parola „123456”, inclusiv un cont de administrator. Atacatorii „nu au spart sistemele statului”, ci au folosit accesul legal la registru pe care îl avea Pays ApS, o firmă de tehnologie care, potrivit registrului comerțului danez, avea doi angajați în iulie 2026. Compania a confirmat că accesul ei legal a fost folosit abuziv. O persoană care susține că este autorul atacului a declarat că a intrat inițial cu datele de autentificare ale unui fost angajat. Autoritățile nu au stabilit încă dacă parola „123456” a fost cauza directă a breșei. Agenția daneză pentru protecția datelor investighează cum s-a produs atacul și cine răspunde. Ce date au fost accesate și de ce cifra depășește populația țării Au fost accesate nume, adrese și numere CPR (echivalentul danez al CNP-ului). Numărul de 8,8 milioane depășește populația Danemarcei (aprox. 6 milioane), deoarece registrul păstrează aproximativ 11 milioane de înregistrări, inclusiv ale persoanelor decedate sau plecate din țară. Persoanele cu adresă și nume protejate nu au fost afectate. Reacția autorităților și riscul imediat: fraudă țintită Neregulile au fost observate în seara de 2 octombrie, iar Ministerul Digitalizării a anunțat incidentul pe 5 octombrie. Ministra Christina Egelund a cerut o revizuire completă a securității registrului. Firma a fost deconectată de la sistem, iar poliția a deschis o anchetă. Autoritățile daneze avertizează că riscul imediat este frauda țintită: cu nume, adresă și număr personal, atacatorii pot construi mesaje și apeluri mai credibile. În acest context, autoritățile au transmis că simpla cunoaștere a acestor date nu mai poate fi considerată o dovadă de identitate și le cer cetățenilor să nu își divulge parolele prin telefon sau e-mail, chiar dacă interlocutorul pare să le știe datele. Conturile protejate prin MitID (autentificare în doi pași) nu au fost atinse. [...]
Atacul cibernetic asupra controlerelor de refrigerare din supermarketuri expune un risc operațional și financiar major pentru retailul alimentar , după ce hackeri au preluat controlul unor frigidere și congelatoare din sute de magazine din Franța, provocând pierderi de marfă și, în unele cazuri, incendii, potrivit CNN . În total, aproximativ 700 de retaileri alimentari au fost afectați la nivel național, după ce atacatorii s-au conectat de la distanță la echipamentele de refrigerare și au pornit cicluri de dezghețare, ceea ce a dus la compromiterea unor cantități mari de produse proaspete și congelate, conform postului BFMTV, afiliat CNN. Procuratura din Paris a preluat cazul în jurisdicție națională, iar autoritățile investighează inclusiv legătura dintre atacuri și pagubele raportate, „în termeni de alterare a alimentelor și incendii”. Ce s-a întâmplat și de ce contează pentru companii Din perspectiva operațională, incidentul arată cât de vulnerabile pot deveni lanțurile de distribuție atunci când echipamente industriale conectate la internet (în acest caz, controlerele care gestionează temperaturile din vitrine și camere frigorifice) sunt expuse public sau rămân cu software vechi. Potrivit materialului, controlerele pot fi accesate online pentru mentenanță, astfel încât firmele de service să ajusteze temperaturile de la distanță. În Franța, atacatorii ar fi pătruns în controlere operate de cel puțin trei companii, inclusiv Danfoss (Danemarca), Copeland (SUA) și Dixell, potrivit unei declarații a agenției franceze de securitate cibernetică ANSSI , care gestionează investigația. Impactul financiar ar putea fi semnificativ: executivi din retail au avertizat că pagubele s-ar putea ridica la milioane, pe fondul pierderilor de marfă și al întreruperilor operaționale. Vulnerabilități: software învechit și sisteme expuse pe internet Danfoss a recunoscut, la scurt timp după atac, că multe dintre unitățile afectate „nu mai primesc actualizări software sau de securitate” ori rulau „software învechit”, recomandând clienților să mențină sistemele suportate la zi cu cel mai recent firmware (software-ul intern al echipamentului). Copeland (care deține Dixell) a indicat o „vulnerabilitate” într-o generație de controlere scoasă din uz („end-of-life”, adică fără suport), precizând că lucrează cu clienții afectați pentru reducerea riscului. Un element cheie este expunerea la internet: înainte de atac, existau peste 1.700 de instanțe ale software-ului Danfoss afectat expuse online în Franța, ceea ce ar fi oferit atacatorilor o „plajă” largă de ținte potențiale, potrivit cercetătorului Félix Aimé (Sekoia), citat de CNN. În plus, compania de securitate Claroty semnalase anterior vulnerabilități în controlerele Danfoss AK-SM 800A, inclusiv un mecanism care ar putea fi abuzat pentru a ocoli autentificarea normală, conform unui raport publicat la începutul lunii august, menționează articolul. Cine a fost afectat: marile lanțuri, în prim-plan Atacul a lovit mai multe grupuri importante din retailul francez, potrivit datelor prezentate: până la 80 de supermarketuri Carrefour ; 5% din cele 490 de magazine Monoprix; 150 de magazine din grupul Les Mousquetaires; aproximativ 80 de magazine Coopérative U (potrivit CEO-ului Dominique Schelcher). Cine este în spatele atacului și ce spun autoritățile Nicio grupare sau persoană nu și-a asumat responsabilitatea, iar lipsa unei cereri publice de răscumpărare sugerează că scopul ar fi putut fi mai degrabă „mischief” (sabotaj) sau „neliniștirea publicului”, potrivit analistului britanic Ken Munro, citat de CNN. Motivația rămâne „necunoscută în acest stadiu”, a spus Aimé. Ministrul francez al Economiei, Roland Lescure, a numit incidentul un „semnal de alarmă pentru toată lumea”, dar a încercat să reducă temerile privind riscul unor penurii alimentare. Se extinde dincolo de Franța Problema nu pare limitată la Franța. Aimé a declarat pentru Reuters că și Spania, Portugalia, Polonia, Germania și Belgia ar fi fost afectate. Ce ar trebui să rețină companiile (și consumatorii) Pentru consumatori, „nu este mult de care să se îngrijoreze”, potrivit lui Munro, însă pentru companii mesajul este direct: sistemele de management ale echipamentelor trebuie ținute departe de internetul public și securizate corespunzător. „Nu exista nicio nevoie de business ca aceste controlere să fie accesibile pe internetul public.” Munro recomandă ca board-urile companiilor să ceară explicații furnizorilor: cine administrează efectiv aceste sisteme, cine a externalizat mentenanța și cine are responsabilitate contractuală pentru securitate. În lipsa unor controale, „un singur punct orb” poate duce la „tone de mâncare aruncată”, potrivit analistului. [...]
Atacul cibernetic a perturbat sisteme esențiale și a încetinit lucrările la tunelul Fehmarn Belt, unul dintre marile proiecte de infrastructură care ar urma să lege Danemarca de Germania, potrivit Antena 3 . Incidentul ridică un semnal de risc operațional pentru șantierele de infrastructură critică, unde dependența de sisteme digitale poate transforma un atac informatic într-o problemă de continuitate a lucrărilor. Firma vizată este Femern Link Contractors (FLC) , implicată în construcția tunelului Fehmarn Belt din Rødbyhavn, Danemarca. Conform informațiilor citate de The Copenhagen Post, ziarul danez Lolland-Falsters Folketidende susține că atacul a scos din funcțiune mai multe sisteme esențiale și a afectat „semnificativ” desfășurarea lucrărilor. Ce se știe oficial și ce rămâne neclar FLC a informat Sund & Bælt, compania de stat daneză care supraveghează marile proiecte de infrastructură de transport, în legătură cu incidentul. Directorul de comunicare al Sund & Bælt, Jens Villemoes, a transmis că instituția este în dialog cu FLC, dar că, la acest moment, nu are informații suplimentare. „Suntem în dialog cu FLC în legătură cu această situație și, în acest moment, nu avem informații suplimentare.” Sund & Bælt nu a oferit detalii despre ce sisteme au fost afectate, amploarea exactă a perturbărilor sau cine ar putea fi în spatele atacului. Context: proiect transfrontalier cu miză de conectivitate Construcția tunelului Fehmarn Belt a început pe partea daneză în 2020 și pe partea germană în 2021. Tunelul va conecta Rødbyhavn (Danemarca) de Puttgarden (Germania), iar după finalizare călătoria ar urma să dureze șapte minute cu trenul și 10 minute cu mașina. Proiectul este prezentat ca parte a unei rețele mai ample de tuneluri feroviare în Europa, menite să crească viteza și capacitatea de transport, inclusiv pentru marfă, pe coridoare feroviare vechi care traversează Alpii. În paralel, Danemarca are în derulare mai multe proiecte de legături rutiere-feroviare (tuneluri, insule artificiale și poduri) către Europa continentală și Suedia, cu un alt proiect sub Marea Baltică spre Germania vizat pentru începutul anilor 2030. [...]
Creșterea atacurilor care exploatează vulnerabilități nereparate schimbă prioritățile de securitate ale organizațiilor , într-un context în care România rămâne expusă suplimentar prin poziționarea pe flancul estic al NATO, potrivit Mediafax , care citează date din buletinul trimestrial al Directoratului Național de Securitate Cibernetică (DNSC). La nivel global, presiunea atacurilor continuă să urce: în trimestrul al doilea din 2026, o organizație a fost ținta, în medie, a 2.175 de atacuri pe săptămână, cu 9,6% peste aceeași perioadă din 2025. În iunie, media a ajuns la 2.270 de atacuri pe organizație și pe săptămână, cu 17% peste iunie 2025. Vulnerabilitățile au devenit principala „ușă” de intrare Raportul DNSC indică o schimbare relevantă pentru companii și instituții: exploatarea vulnerabilităților nereparate a ajuns la 31% dintre vectorii inițiali ai breșelor de securitate, depășind folosirea abuzivă a credențialelor (13%). Concluzia operațională este că viteza de aplicare a actualizărilor și corecțiilor (patch-uri) devine critică, în condițiile în care atacurile pornesc tot mai des de la probleme cunoscute, dar neadresate la timp. Explozie pe „ device-code phishing ” și rolul inteligenței artificiale DNSC semnalează o creștere de 1.380% a atacurilor de tip „device-code phishing”, o formă de phishing (tentativă de fraudă prin mesaje-capcană) concepută inclusiv pentru ocolirea autentificării multifactor. Atacatorii folosesc kituri comerciale care pot genera automat mesaje personalizate, ceea ce permite extinderea campaniilor la scară mai mare. România: fără incident major confirmat, dar cu alerte și campanii de fraudă Pentru România, DNSC precizează că sursele publice consultate nu indică, în trimestrul al doilea, un incident major confirmat care să fi afectat o instituție publică, un spital sau un operator de infrastructură critică. În schimb, au existat amenințări concrete: 12 alerte DNSC privind vulnerabilități critice, dintre care patru erau exploatate activ; avertizări privind campanii de fraudă online, inclusiv mesaje SMS false trimise în numele Ghișeul.ro , care invocau presupuse amenzi restante. Raportul notează și un element de pregătire: 1.126 de entități și-au autoevaluat nivelul de maturitate cibernetică printr-un proiect finanțat prin PNRR. De ce contează pentru organizații DNSC atrage atenția că poziționarea României pe flancul estic al NATO aduce riscuri suplimentare, de la operațiuni hacktiviste pro-ruse până la potențiale activități de spionaj cibernetic. În acest context, raportul pune accent pe gestionarea rapidă a vulnerabilităților și pe actualizarea sistemelor, pe fondul creșterii atacurilor care folosesc tocmai aceste puncte slabe ca punct de intrare. [...]
