Techniczne podsumowania podatności, wycieków i kampanii ataków — pisane przez praktyków, dla zespołów IT.
Narzędzia Uruchomiliśmy darmowy, bezstanowy skaner bezpieczeństwa stron. Sprawdza HTTPS, nagłówki, cookies, SPF/DMARC i więcej — bez zapisu danych. Zobacz, co potrafi.
Narzędzia Przeskanowałeś stronę i widzisz ocenę oraz listę problemów — co dalej? Tłumaczymy każdy typ znaleziska i pokazujemy, jak konkretnie go naprawić.
Bezpieczeństwo web HSTS, CSP, X-Frame-Options, Permissions-Policy, CORS i flagi ciasteczek — które nagłówki bezpieczeństwa wdrożyć, jak je poprawnie ustawić i jak zweryfikować.
Pentest Pentest, audyt i skan podatności to trzy różne rzeczy, często mylone. Wyjaśniamy, czym się różnią, ile kosztują i którą usługę wybrać do swojej sytuacji.
Pentest Zanim padnie pierwszy atak, przestępca robi rozpoznanie. Pokazujemy, co OSINT ujawnia o Twojej firmie z publicznych źródeł i jak zmniejszyć swój cyfrowy ślad.
Pentest Dobrze przygotowany pentest daje więcej wartości za te same pieniądze. Jak wygląda proces, co ustalić przed startem i jak czytać raport.
AI w firmie Agenci AI wykonują zadania, nie tylko odpowiadają. Gdzie automatyzacja daje zwrot, jak wdrażać ją etapami i jak zachować kontrolę nad dostępem i kosztami.
Podatności Rok 2026 potwierdza niepokojący trend: podatności są wykorzystywane szybciej, niż producenci wydają poprawki. Co to znaczy dla obrony i jak nadążyć.
Reagowanie na incydenty Improwizacja w trakcie incydentu kosztuje najwięcej. Pokazujemy sześć faz reagowania według NIST, gotowe playbooki i to, co przygotować, zanim zadzwoni telefon.
Compliance Nowelizacja ustawy o KSC wdraża NIS2 i obowiązuje od 3 kwietnia 2026. Wyjaśniamy, kogo dotyczy, jakie są terminy i co trzeba zrobić.
AppSec Threat modeling to najtańszy sposób na wykrycie błędów projektowych — zanim trafią do kodu. Wyjaśniamy metodę STRIDE, diagramy przepływu danych i praktyczne podejście.
Uwierzytelnianie Passkeys eliminują hasła i są odporne na phishing. Wyjaśniamy, jak działają, czym różnią się od MFA i jak zacząć je wdrażać w firmie.
AI w firmie Chatbot potrafi odciążyć obsługę klienta — albo skompromitować markę jedną odpowiedzią. Przewodnik po bezpiecznym wdrożeniu: od architektury po testy.
DevSecOps Bezpieczeństwo na końcu procesu jest drogie i spóźnione. Pokazujemy, jak wpleść SAST, SCA, skan sekretów i kontrolę pipeline'u w potok CI/CD — bez zabijania tempa zespołu.
Deepfake Fałszywe reklamy z wizerunkiem znanych osób zalewają media społecznościowe. Wyjaśniamy, jak działa oszustwo inwestycyjne oparte na deepfake i po czym je poznać.
Monitoring Nie potrzebujesz SOC-a za miliony, żeby wykrywać ataki. Jak średnia firma buduje monitoring: co logować, na co alarmować i kiedy sięgnąć po pomoc.
Phishing Kod QR omija filtry pocztowe i prowadzi na fałszywą stronę wprost z telefonu. Wyjaśniamy, jak działa quishing i jak się przed nim bronić.
Oszustwa Atak SIM swap pozwala przejąć Twój numer telefonu, a z nim SMS-y, kody i konta. Wyjaśniamy, jak działa, po czym go poznać i jak się zabezpieczyć.
Podatności Każdego dnia publikowane są dziesiątki nowych podatności. Pokazujemy, jak odróżnić te, które realnie Cię dotyczą, od szumu informacyjnego.
Phishing Przestępcy podszywają się pod KSeF, e-Urząd i domeny gov.pl, atakując księgowość firm. Pokazujemy, jak wygląda ten phishing i jak się zabezpieczyć.
Chmura Microsoft 365 to serce firmy — i główny cel ataków na konta. Dziesięć konfiguracji, które zamykają najczęstsze ścieżki przejęcia tenanta.
Smishing Kampania podszywa się pod mObywatela — spoofing nadawcy i fałszywy mandat 200 zł. Wyjaśniamy, czemu wygląda wiarygodnie i jak się nie nabrać.
Oszustwa Business Email Compromise to jedno z najkosztowniejszych oszustw dla firm. Pokazujemy, jak działa podmiana faktury i „pilny przelew od prezesa”.
Uwierzytelnianie MFA to najtańsza redukcja ryzyka, jaką znamy — ale tylko dobrze wdrożona. Różnice między metodami, plan wdrożenia etapami i pułapki, które psują efekt.
Łańcuch dostaw Jeden zależny pakiet potrafi skompromitować tysiące firm naraz. Wyjaśniamy, jak działają ataki na łańcuch dostaw i jak ograniczyć ryzyko zależności.
Malware Infostealery to najczęstsze złośliwe oprogramowanie kradnące hasła, ciasteczka i portfele. Wyjaśniamy, jak infekują, dlaczego omijają MFA i jak się chronić.
Ransomware Ataki ransomware rzadko zaczynają się od szyfrowania. Rozkładamy łańcuch ataku na czynniki i pokazujemy, gdzie najtaniej go przerwać.
Ciągłość działania Backup, którego nikt nie testował, to tylko założenie. Zasada 3-2-1, niezmienne kopie odporne na ransomware i plan odtwarzania, który zadziała.
Bezpieczeństwo web WordPress napędza większość stron w sieci i jest głównym celem ataków. Dziesięć praktycznych kroków, które zabezpieczą Twoją stronę bez wiedzy programistycznej.
Bankowość Kampania podszywa się pod BLIK-a: spoofing SMS i fałszywe panele logowania. Pokazujemy, jak przestępcy przejmują bankowość i jak to przerwać.
DevSecOps Kubernetes daje ogromną elastyczność i równie dużą powierzchnię ataku. Omawiamy najczęstsze błędy — RBAC, sekrety, sieć — i priorytety hardeningu.
Vishing Telefon z numeru banku, spokojny „konsultant” i rzekome włamanie na konto. Rozkładamy oszustwo na pracownika banku i pokazujemy, jak je przerwać.
Compliance DORA obowiązuje od stycznia 2025 i dotyczy nie tylko banków. Pięć filarów wymagań, obowiązkowe testy odporności i obowiązki dostawców ICT.
API API to dziś najczęstszy cel ataków na aplikacje. Omawiamy najważniejsze klasy podatności z OWASP API Top 10 — z BOLA na czele — i jak ich unikać.
Poradnik Fałszywe sklepy, podrobione płatności i przechwycone karty. Praktyczny poradnik, jak rozpoznać oszukańczy sklep i bezpiecznie płacić w internecie.
Phishing Phishing wciąż odpowiada za większość udanych włamań. Wyjaśniamy, dlaczego sama edukacja pracowników nie wystarcza i co dodać do obrony.
Łańcuch dostaw Twoje bezpieczeństwo kończy się na najsłabszym dostawcy. Jak ocenić ryzyko kontrahentów, co wpisać do umów i jak monitorować dostawców bez armii audytorów.
Wycieki danych Twoje hasła i dane prawie na pewno są w jakimś wycieku. Wyjaśniamy, jak to bezpiecznie sprawdzić, co realnie oznacza wyciek i jakie kroki podjąć.
Zarządzanie ryzykiem Pracownicy używają kilkukrotnie więcej aplikacji, niż zatwierdziło IT. Skąd bierze się shadow IT, czym grozi i jak nad nim zapanować bez blokowania.
Smishing Fałszywe SMS-y o dopłacie do przesyłki to jeden z najczęstszych scenariuszy phishingu w Polsce. Wyjaśniamy, dlaczego mała kwota jest celowa.
AppSec Przewodnik po OWASP Top 10 dla zespołów, które chcą rozumieć realne ryzyka — od błędnej kontroli dostępu, przez injection, po SSRF.
Podatności Skaner to najłatwiejsza część. Jak zbudować proces zarządzania podatnościami: inwentaryzacja, priorytety po ryzyku, SLA naprawy i sensowne metryki.
Chmura Większość wycieków z chmury nie wynika z luk dostawcy, lecz z błędnej konfiguracji po stronie klienta. Oto pięć najczęstszych pułapek.
Poradnik Twój telefon wie o Tobie więcej niż komputer. Dwanaście praktycznych ustawień i nawyków, które realnie chronią Twoje dane, konta i prywatność.
Praca zdalna Praca zdalna została na stałe — a z nią firmowe dane na domowych sieciach i prywatnym sprzęcie. Praktyczny standard: urządzenia, dostęp, Wi-Fi i procesy.
Oszustwa Podszycia pod OLX i Vinted to najczęściej zgłaszane oszustwa w Polsce. Wyjaśniamy mechanizm „bezpiecznej płatności”, który okrada sprzedającego.
Hardening Active Directory to najczęstszy cel po wejściu do sieci. Omawiamy typowe ścieżki ataku — Kerberoasting, nadmiarowe uprawnienia — i jak je zamknąć.
Prywatność Reklamy obiecują, że VPN daje anonimowość i pełne bezpieczeństwo. Wyjaśniamy, co VPN naprawdę robi, przed czym nie chroni i kiedy warto go używać.
Wycieki danych Co robić, gdy dojdzie do wycieku danych — od potwierdzenia incydentu, przez ograniczenie skutków, po obowiązki wynikające z RODO.
Uwierzytelnianie Współdzielone hasła w arkuszu to tykająca bomba. Jak działa firmowy menedżer haseł, jak go wybrać i wdrożyć oraz co zrobić z hasłami wspólnymi.
Oszustwa Seniorzy są najczęstszym celem oszustów: na wnuczka, na policjanta, na pracownika banku. Poznaj schematy i praktyczne sposoby, jak ochronić rodziców i dziadków.
Architektura Model „twardej skorupy i miękkiego środka” już nie działa. Wyjaśniamy, czym jest Zero Trust, od czego zacząć wdrożenie i czego unikać.
Oszustwa Przejęte konto znajomego prosi o kod BLIK albo skan dowodu. Tłumaczymy, jak dochodzi do przejęcia konta i dlaczego łańcuch zaufania jest najsłabszym ogniwem.
RODO „Odpowiednie środki techniczne” — ale jakie konkretnie? Art. 32 RODO jako lista kontrolna dla IT: szyfrowanie, dostęp, logi, kopie i testy.
Ochrona tożsamości Skradzione dane osobowe pozwalają wziąć kredyt czy założyć firmę na Twoje nazwisko. Wyjaśniamy, jak dochodzi do kradzieży tożsamości i jak się zabezpieczyć.
Bezpieczeństwo AI Wdrożenie modeli językowych otwiera klasę zagrożeń, których nie znały klasyczne aplikacje. Omawiamy prompt injection, wyciek danych i uprawnienia agentów.
Podatności CVE-2026-35616 (CVSS 9.8) w Fortinet FortiClient EMS jest aktywnie wykorzystywany i trafił do CISA KEV. Wyjaśniamy zagrożenie i jak zareagować.
Podatności Krytyczne RCE w stosie TCP/IP Windows, zdalne i bez interakcji użytkownika — potencjalnie samorozprzestrzeniające się. Wyjaśniamy ryzyko i priorytet łatania.
MŚP Mała firma nie potrzebuje działu bezpieczeństwa, żeby nie być łatwym celem. Plan na 90 dni: co zrobić samodzielnie, co kupić, a co zlecić.
Uwierzytelnianie Zmieniać hasło co 30 dni? Wymyślać skomplikowane ciągi znaków? Wyjaśniamy, które zasady dotyczące haseł to przestarzałe mity, a co naprawdę chroni Twoje konta.
Podatności SharePoint znów na celowniku: CVE-2026-32201 ma „tylko” 6.5 w CVSS, ale jest aktywnie wykorzystywany i w KEV. Idealny przykład, że wynik to nie wszystko.
Hardening Praktyczny przewodnik po utwardzaniu serwerów Linux — bez kopiowania stuelementowych checklist, za to z naciskiem na działania o największym efekcie.
Ransomware Wiosną 2026 kilka polskich szpitali padło ofiarą ransomware w krótkim odstępie. Analizujemy, czemu ochrona zdrowia jest celem i jak ograniczyć skutki.
Poradnik Jak chronić dziecko w sieci bez inwigilacji i zakazów? Praktyczny przewodnik po zagrożeniach, ustawieniach kontroli rodzicielskiej i rozmowie, która działa.
Bezpieczeństwo poczty Bez SPF, DKIM i DMARC każdy może wysyłać e-maile podszywające się pod Twoją domenę. Wyjaśniamy te trzy mechanizmy prosto i pokazujemy, jak je wdrożyć.
Infrastruktura krytyczna Destrukcyjny atak na polską energetykę i prorosyjskie DDoS-y pokazują, że infrastruktura krytyczna jest celem. Co to znaczy dla firm i jak się przygotować.
Podatności Ivanti EPMM padł ofiarą 0-daya wykorzystywanego jeszcze przed ujawnieniem (CVE-2026-1281 i 1340). Wyjaśniamy, kogo dotyczy i co zrobić natychmiast.
Infrastruktura krytyczna 2025 był dla Polski rokiem rekordów: ataki na szpitale, DDoS-y na infrastrukturę i dezinformacja. Podsumowujemy zagrożenia i wnioski dla firm.
Łańcuch dostaw Jesienią 2025 robak Shai-Hulud zainfekował setki pakietów npm, sam się rozprzestrzeniając. Analizujemy atak na łańcuch dostaw i obronę pipeline'u.
Łańcuch dostaw W 2025 kradzież tokenów OAuth z integracji Salesloft dała dostęp do danych Salesforce setek firm — bez łamania haseł. Lekcja o ryzyku integracji.
Podatności Latem 2025 CVE-2025-53770 w SharePoint Server pozwalał przejmować serwery bez logowania. Analizujemy łańcuch ToolShell i wnioski dla firm.
Podatności CVE-2025-5777 pozwalał wyciągać z bram Citrix NetScaler tokeny sesji omijające MFA. Analizujemy CitrixBleed 2 i skuteczną obronę.
Ransomware W 2025 Scattered Spider sparaliżował brytyjski handel. Bronią nie był 0-day, lecz telefon do helpdesku. Analizujemy technikę i obronę.
Podatności CVE-2025-31324 w SAP NetWeaver pozwalał wgrać webshell bez logowania i przejąć serwer ERP. Analizujemy atak na serce firmy i ochronę.
Podatności CVE-2025-29824 to kolejny 0-day w sterowniku CLFS Windows, użyty przez ransomware do przejęcia SYSTEM. Czemu ta klasa luk wraca i jak ograniczyć ryzyko.
Wycieki danych W lutym 2025 z giełdy Bybit zniknęło 1,5 mld USD w krypto. Rozkładamy atak Lazarus i to, co zawiodło mimo cold wallet.
Raz w miesiącu wysyłamy zwięzłe podsumowanie najważniejszych podatności, wycieków i zagrożeń. Bez spamu — możesz wypisać się w każdej chwili.
