🔐 Cyber Security Daily News | 21.07.2026

Codzienny przegląd ciekawszych wiadomości ze świata cyberbezpieczeństwa, do poczytania przy porannej kawie, podzielony na kluczowe kategorie.

---

📰 NEWS

HollowGraph — nowe malware używa Microsoft Graph jako niewidzialnego kanału C2

BleepingComputer, The Hacker News i HelpNetSecurity opisują przełomowe odkrycie: HollowGraph to nowe złośliwe oprogramowanie, które używa legalnej infrastruktury Microsoft 365 — kalendarzy, maili i wydarzeń Microsoft Graph API — jako ukrytego kanału komunikacji Command and Control. Polecenia dla zainfekowanych maszyn są ukryte w pozornie niewinnych wpisach kalendarza lub wiadomościach Teams, a odpowiedzi są zwracane przez te same kanały. Ruch wygląda identycznie jak normalna komunikacja Microsoft 365 — co czyni go praktycznie niewidocznym dla tradycyjnych systemów detekcji bazujących na sieciowych sygnaturach. To fundamentalne wyzwanie dla SOC-ów: jak odróżnić złośliwy ruch w legalnych usługach Microsoft od autentycznego?

Źródło: BleepingComputer [EN], The Hacker News [EN], Help Net Security [EN]

---

Hugging Face zhakowany — autonomiczny agent AI uzyskał dostęp do wewnętrznych danych i poświadczeń

BleepingComputer ujawnia poważny incydent bezpieczeństwa w Hugging Face — największej na świecie platformie do udostępniania modeli AI, dataset'ów i bibliotek uczenia maszynowego. Atakujący wykorzystali autonomiczny agent AI do przejścia przez systemy bezpieczeństwa i uzyskania dostępu do wewnętrznych zestawów danych i poświadczeń dostępowych. Hugging Face jest "GitHub dla AI" — miliony deweloperów przechowują tam swoje modele i zbiory danych. Wyciek może mieć konsekwencje dla całego ekosystemu AI: skradzione poświadczenia mogą dać atakującym dostęp do prywatnych modeli firm i badaczy.

Źródło: BleepingComputer [EN]

---

Paryż i Berlin zacieśniają sojusz wojskowy — satelity i cyfrowa suwerenność

CyberDefence24 opisuje przełomowe ustalenia szczytu France-Niemcy: oba kraje podpisały nowe porozumienie dotyczące wspólnej obrony cyfrowej — obejmujące koordynację systemów satelitarnych dla wywiadu wojskowego, wspólną architekturę chmury rządowej odpornej na zakłócenia zewnętrzne i wzajemne uznawanie certyfikatów cyberbezpieczeństwa. Porozumienie wzmacnia europejski filar NATO i jest częścią odpowiedzi na rosnące zagrożenia ze wschodu i presję geopolityczną związaną z zależnością od nieeuropejskiej technologii. Polska jako kraj frontowy obserwuje te ustalenia z uwagą.

Źródło: CyberDefence24 [PL]

---

🚨 INCYDENTY

ServiceNow — krytyczna luka RCE CVE-2026-6875 aktywnie eksploitowana w środowiskach korporacyjnych

BleepingComputer i Help Net Security potwierdzają: krytyczna podatność CVE-2026-6875 w ServiceNow — jednej z najszerzej stosowanych platform ITSM w korporacjach i centrach obsługi IT — jest aktywnie eksploitowana przez atakujących. Luka umożliwia zdalne wykonanie kodu. ServiceNow jest używany przez tysiące organizacji do zarządzania zgłoszeniami, incydentami, aktywami IT i procesami CMDB — przejęcie serwera ServiceNow daje wgląd w całą architekturę IT organizacji i historię incydentów bezpieczeństwa. Organizacje powinny natychmiast wdrożyć dostępną łatkę.

Źródło: BleepingComputer [EN], Help Net Security [EN]

---

FakeGit — kampania używa 7600 fałszywych kont GitHub do masowej dystrybucji malware

The Hacker News opisuje bezprecedensową skalę operacji: atakujący stworzyli sieć 7600 starannie przygotowanych, fałszywych kont GitHub i używają ich do masowej dystrybucji złośliwego oprogramowania ukrytego w pozornie legalnych repozytoriach. Konta mają historię, gwiazdki (wzajemne) i dokumentację tworzącą pozory autentyczności. Kampania celuje w deweloperów szukających narzędzi, bibliotek i szablonów projektowych. Skala 7600 kont wskazuje na wysoce zautomatyzowaną operację — możliwe, że AI-assisted.

Źródło: The Hacker News [EN]

---

Paidwork — wyciek danych 23 milionów użytkowników platformy zarabiania online

HelpNetSecurity i HaveIBeenPwned potwierdzają wyciek danych z Paidwork — platformy do "mikrozadań" i zarabiania online używanej przez miliony ludzi, w tym licznych Polaków. Skradzione dane 23 milionów użytkowników obejmują adresy e-mail, hasła (mamy nadzieję w formie hashowanej), dane profilowe i historię transakcji. HaveIBeenPwned dodało naruszenie do swojej bazy — sprawdź, czy twój e-mail znalazł się wśród poszkodowanych na haveibeenpwned.com. Zmień hasło na Paidwork i wszystkich platformach, gdzie używałeś tego samego hasła.

Źródło: Help Net Security [EN]

---

💡 CIEKAWOSTKI

Sprytny sposób na reverse shell przez Claude Code — implikacje bezpieczeństwa agentów AI

Sekurak opisuje badanie, w którym badacze demonstrują jak Claude Code — autonomiczny agent AI do kodowania — może być manipulowany do uruchomienia reverse shella (połączenia zdalnego do serwera atakującego) przez odpowiednie prompt injection lub spreparowane dane wejściowe. Eksperyment jest przeprowadzony w kontrolowanym środowisku i odpowiedzialnie zgłoszony Anthropic. Ilustruje fundamentalne ryzyko: agent AI z dostępem do terminala i internetu, manipulowany przez złośliwe dane w projekcie, może stać się narzędziem włamania do środowiska developera. Zasada least privilege dla agentów AI jest koniecznością — nie luksusem.

Źródło: Sekurak [PL]

---

INC Ransom — szczegółowa analiza infrastruktury i rekonstrukcja łańcucha ataku

CERT Orange Polska opublikował pogłębioną analizę techniczną grupy INC Ransom — jednej z aktywniejszych grup ransomware w 2026 roku atakujących polskie i europejskie cele. Raport rekonstruuje pełny łańcuch ataku: od wektorów wstępnego dostępu (głównie eksploitacja VPN i RDP), przez ruch boczny i eskalację uprawnień, po deployment szyfrowania. Analiza zawiera pełne IoC, techniki C2 i strukturę infrastruktury grupy. Materiał obowiązkowy dla polskich zespołów SOC i threat hunters.

Źródło: CERT Orange Polska [PL]

---

🎣 OSZUSTWA, SCAMY, EXPLOITY

Przez jedną podatną wtyczkę WordPress ujawniono dziesiątki poświadczeń SMTP

Sekurak opisuje realny przypadek: administratorzy WordPressa używający wtyczek do konfiguracji poczty wychodzącej (SMTP) nie zdawali sobie sprawy, że podatność w jednej popularnej wtyczce eksponowała wszystkie skonfigurowane poświadczenia SMTP — czyli dane logowania do serwera mailowego organizacji — w formie czytelnej dla nieautoryzowanego użytkownika. W wielu organizacjach to samo konto SMTP obsługuje tysiące e-maili dziennie — jego przejęcie to nie tylko ryzyko phishingu "od organizacji", ale też potencjalne narzędzie do masowego spamu.

Źródło: Sekurak [PL]

---

Groźba utraty dostępu do skrzynki e-mail — nowy schemat phishingowy

CERT Polska ostrzega przed aktywną kampanią phishingową o nowym mechanizmie: wiadomości e-mail informują odbiorcę, że "jego skrzynka e-mail zostanie dezaktywowana za 24 godziny z powodu braku weryfikacji" lub "nieuprawnionej aktywności". Presja czasowa i strach przed utratą dostępu do poczty skłaniają do kliknięcia linku "weryfikacyjnego" prowadzącego na stronę zbierającą dane logowania do skrzynki. Kampania jest szczególnie skuteczna, bo e-mail jest metodą komunikacji, z której trudno zrezygnować — perspektywa jej utraty wywołuje silną odpowiedź emocjonalną.

Źródło: CERT Polska / moje.cert.pl [PL]

---

Raport ESET — rośnie skala ataków quishing przez kody QR

Dobreprogramy relacjonują nowy raport ESET dokumentujący dramatyczny wzrost "quishingu" — phishingu przez kody QR — w pierwszej połowie 2026 roku. Ataki przez QR są szczególnie skuteczne, bo omijają filtry poczty elektronicznej (skaner e-maila widzi obraz, nie URL), trafiają na urządzenia mobilne (gdzie użytkownicy są mniej czujni) i są trudniejsze do rozpoznania wizualnie. Raport dokumentuje stosowanie quishingu w celach kradzieży kredencjali, dystrybucji malware i oszustw inwestycyjnych.

Źródło: Dobreprogramy [PL]

---

🌐 DEZINFORMACJA, CYBER ВОЙНА

Kontrowersje wokół Passworka — popularny menedżer haseł z rosyjskimi powiązaniami

CyberDefence24 opisuje niepokojące ustalenia dotyczące Passwork — menedżera haseł popularnego w Polsce i Europie, używanego m.in. przez firmy i instytucje: badacze wykryli powiązania właścicielskie i personalne ze strukturami rosyjskimi. Menedżer haseł z dostępem do wszystkich poświadczeń organizacji jest najbardziej wrażliwym możliwym narzędziem bezpieczeństwa — jakakolwiek wątpliwość co do lojalności dostawcy powinna prowadzić do natychmiastowej migracji. Artykuł zawiera listę weryfikowanych alternaty bez kontrowersyjnych powiązań.

Źródło: CyberDefence24 [PL]

---

Złośliwi klienci chmury mogą zniszczyć sieć energetyczną przez nadużycie usług AI

The Register opisuje niepokojący scenariusz opisany przez badaczy: masowe, skoordynowane zapytania do modeli AI hostowanych w centrach danych — przez złośliwych lub skompromitowanych klientów chmurowych — mogą wywołać tak duże skoki zapotrzebowania na energię elektryczną, że destabilizują lokalną sieć energetyczną. Centra danych AI pobierają ogromne ilości prądu, a nagłe, skoordynowane skoki mogą przekraczać zdolności lokalnych podstacji. To nowy, nieoczywisty wektor ataku na infrastrukturę krytyczną przez zasoby obliczeniowe AI.

Źródło: The Register [EN]

---

📅 Powyższe zestawienie ma charakter wyłącznie informacyjny i edukacyjny. Wszystkie informacje opierają się na publicznie dostępnych doniesieniach prasowych z dnia 20 lipca 2026 r. ⚠️ W razie podejrzenia incydentu bezpieczeństwa skonsultuj się z wykwalifikowanym specjalistą.