Infostealery i wielkie wydarzenia: jak działa rynek skradzionych poświadczeń

Dlaczego wielkie wydarzenie jest szablonem, a nie wyjątkiem

Wydarzenie nie tworzy nowej techniki ataku. Tworzy warunek, którego napastnikowi zwykle brakuje: tłum ludzi szukających w tym samym tygodniu tej samej rzeczy, gotowych zapłacić i mających powód, żeby się spieszyć. Reszta jest standardowa. ENISA w raporcie Threat Landscape 2025 przypisuje inżynierii społecznej (phishingowi, vishingowi, malspamowi i malvertisingowi liczonym razem) około 60% obserwowanych przypadków pierwszego włamania. Wykorzystanie podatności odpowiada za 21,3%. Wydarzenie nie zmienia tych proporcji. Zwiększa liczbę osób, wobec których pierwsza pozycja tej listy zadziała.

Infrastruktura powstaje z wyprzedzeniem i da się ją policzyć. FortiGuard Labs naliczył ponad 13 000 nowych domen nawiązujących do Mistrzostw Świata 2026, zarejestrowanych między styczniem a majem 2026 roku, z czego 8,8% zakwalifikowano jako złośliwe lub podejrzane. FBI w ostrzeżeniu IC3 z 27 maja 2026 opisało ten sam zestaw technik: podrobione strony organizatora, literówki w nazwie domeny, inne rozszerzenie zamiast oryginalnego oraz wykupione wyniki sponsorowane przechwytujące ruch, który miał trafić na stronę oficjalną.

Ten sam schemat powtarza się poza sportem. CERT Polska opisywał go już w 2024 roku na rynku biletów koncertowych: grupy sprzedażowe w mediach społecznościowych, serwisy imitujące legalną platformę i wariant łączący oba kanały, w którym rozmowa zaczyna się w komunikatorze, a kończy na spreparowanej stronie płatności. Zmienia się nazwa wydarzenia i zestaw słów kluczowych. Mechanika, kanały i moment największej skuteczności zostają te same.

Dla zespołu bezpieczeństwa płynie z tego praktyczny wniosek: publiczny kalendarz jest sygnałem wyprzedzającym. Jeżeli w firmie pracują ludzie, którzy w danym miesiącu będą kupować bilety, rezerwować przeloty albo szukać transmisji, to jest miesiąc, w którym rośnie prawdopodobieństwo infekcji na urządzeniu mającym dostęp do firmowej poczty. Nie dlatego, że ktokolwiek celuje akurat w tę firmę.

Anatomia kampanii wokół wydarzenia

Kampania rzadko opiera się na jednym kanale. Napastnik ustawia kilka wejść prowadzących do tego samego punktu: do momentu, w którym ofiara sama uruchomi plik albo sama wpisze dane. Poniższe elementy powtarzają się w udokumentowanych kampaniach niezależnie od tego, jakie wydarzenie akurat trwa, a każdy z nich odpowiada technice opisanej w przewodniku po rodzajach phishingu.

Zatrute wyniki wyszukiwania i reklama, która wygląda oficjalnie

Wynik sponsorowany stoi nad organicznym, a użytkownik szukający biletów rzadko odróżnia jedno od drugiego. FBI zaleca wprost, by nie korzystać z wyników sponsorowanych i wpisywać adres organizatora ręcznie albo otwierać go z zakładki. To nie jest ostrożność na wyrost: malvertising jest w klasyfikacji ENISA liczony razem z phishingiem w tych 60% przypadków pierwszego włamania, a Microsoft wskazuje zatruwanie wyników wyszukiwania i malvertising jako jedną z głównych dróg dostarczania rodzin StealC i Amadey.

Podrobione domeny biletowe

Domena jest tania, a rejestracja natychmiastowa, więc powstaje ich tyle, ile trzeba. FBI w ostrzeżeniu z maja 2026 wymieniło przykłady z trzech rodzin: literówkę w nazwie marki, podmianę rozszerzenia domeny na inne niż oryginalne oraz nazwy łączące markę wydarzenia ze słowem „tickets”, rokiem albo nazwą miasta gospodarza. Część takich domen nie sprzedaje niczego. Służy wyłącznie zebraniu danych karty i poświadczeń do konta biletowego, które u wielu osób jest tym samym kontem co poczta.

Fałszywy CAPTCHA, czyli ClickFix

ClickFix odwraca klasyczny schemat: nie próbuje niczego pobrać za ofiarę, tylko namawia ją, by sama wkleiła polecenie do systemowego okna uruchamiania. Ekran udaje weryfikację „nie jestem robotem” albo komunikat o błędzie przeglądarki. ENISA odnotowała nasilenie tej techniki od pierwszego kwartału 2025 roku, najczęściej pod postacią podrobionego CAPTCHA na przejętych lub spreparowanych stronach, wykorzystywanego do dostarczania infostealerów metodą drive-by. W samej kampanii ClearFake, dystrybuującej tą drogą rodziny Lumma i Vidar, ENISA raportuje 9300 potwierdzonych infekcji.

Podrobiony dysk w chmurze

Ostatnie przekierowanie w łańcuchu prowadzi zwykle na stronę udającą znaną usługę plikową. W kampanii udokumentowanej przez Flare strona imitowała dysk w chmurze i wyświetlała plakietki „przeskanowano antywirusem” oraz „bezpieczny transfer”, które nie sprawdzały niczego. Prawdziwy adres pobierania był ukryty w kodzie strony, a przycisk kopiowania linku ponownie uruchamiał pobieranie. Skrypty na stronie wykrywały otwarcie narzędzi deweloperskich i czyściły zawartość, blokowały prawy przycisk myszy i zaznaczanie tekstu; utrudnianie analizy jest tu elementem produktu, nie dodatkiem.

Transmisje, aplikacje i „darmowe” narzędzia

Kto nie kupił biletu, szuka transmisji. I to jest drugi szczyt ruchu, na którym da się zarobić. FortiGuard Labs opisał wokół jednego wydarzenia fałszywe aplikacje bukmacherskie i streamingowe, pliki instalacyjne dla Androida pobierane poza oficjalnym sklepem oraz ponad 1700 podszywających się profili i kanałów, z czego około 90% w dwóch największych serwisach społecznościowych. Do tego dochodzi kanał zupełnie niezwiązany z wydarzeniem, a najskuteczniejszy przez cały rok: wyszukiwanie darmowego lub złamanego oprogramowania.

Łańcuch infekcji krok po kroku

Poniższy przebieg pochodzi z jednej udokumentowanej infekcji opisanej przez Flare i jest reprezentatywny dla całej klasy. Zwróć uwagę, że nie ma w nim żadnego wykorzystania podatności. Każdy krok jest albo decyzją użytkownika, albo standardowym zachowaniem systemu operacyjnego.

Ten sam loader był jedną z siedmiu rodzin zneutralizowanych w majowej fazie Operation Endgame w 2025 roku, a rok później, w czerwcu 2026, ta sama operacja uderzyła w infrastrukturę rodzin StealC, Amadey i SocGholish: 326 serwerów, 142 domeny i blisko 27 milionów odzyskanych poświadczeń. Takedowny działają, ale rynek się odbudowuje: po każdej z tych operacji miejsce zdjętej rodziny zajmowała kolejna.

Co konkretnie zabiera infostealer

Infostealer nie szuka jednego hasła. Wykonuje jeden przebieg po wszystkim, co przeglądarka i aplikacje trzymają lokalnie, pakuje to w ustrukturyzowany plik zwany logiem i wysyła na serwer operatora. Rozbiór rodzin StealC i Amadey opublikowany przez Microsoft w czerwcu 2026 wymienia zakres typowy dla całej klasy:

• Poświadczenia i ciasteczka z przeglądarek: Chrome, Edge, Firefox i pochodnych
• Rozszerzenia portfeli kryptowalutowych
• Hasła zapisane w klientach poczty
• Poświadczenia klientów FTP i SFTP
• Dane sesji aplikacji desktopowych, w tym platform gamingowych
• Zrzuty ekranu i zawartość autouzupełniania formularzy

Dlaczego ciasteczko sesyjne boli bardziej niż hasło

Hasło da się zmienić. Ciasteczko sesyjne to dowód, że uwierzytelnienie już się odbyło, łącznie z drugim składnikiem. Napastnik, który wstawi je do własnej przeglądarki, nie loguje się. Wchodzi do trwającej sesji. Nie ma monitu o hasło, nie ma pytania o kod, nie ma powiadomienia o nowym logowaniu, bo z punktu widzenia aplikacji żadne nowe logowanie się nie wydarzyło. Microsoft opisuje to wprost jako drogę obejścia uwierzytelniania wieloskładnikowego, szczególnie groźną przy tokenach VPN i logowania jednokrotnego zebranych z urządzeń prywatnych.

To zmienia sens reakcji na incydent. Reset hasła nie unieważnia sesji: dopóki system nie odetnie aktywnych tokenów, skradzione ciasteczko działa dalej, czasem tygodniami. ENISA wymienia przejmowanie sesji obok kradzieży poświadczeń i pośrednictwa w sprzedaży dostępów jako trzy podstawowe funkcje, które infostealery pełnią w łańcuchu przestępczym. Mechanikę obchodzenia drugiego składnika rozkładamy na czynniki przy okazji ataków na kadrę zarządzającą.

Co dzieje się potem: rynek logów, brokerzy dostępu, ransomware

Log rzadko jest wykorzystywany przez tego, kto go zebrał. Trafia na rynek. ENISA opisuje infostealery sprzedawane na przestępczych rynkach jako trwały i powszechny element łańcucha dostaw cyberprzestępczości, obsługujący trzy funkcje naraz: kradzież poświadczeń, przejmowanie sesji i pośrednictwo w sprzedaży dostępów. Ta trzecia funkcja jest tu kluczowa: broker dostępu kupuje logi hurtowo, sprawdza, które poświadczenia wciąż działają, i odsprzedaje zweryfikowane wejście do konkretnej organizacji dalej.

Dalej zwykle jest ransomware, a odstęp czasowy jest mierzalny. Verizon w raporcie DBIR 2026 podaje, że 73% ofiar ransomware miało w poprzedzającym roku infekcję infostealerem albo zdarzenie wycieku poświadczeń, przy czym u połowy odstęp nie przekroczył 95 dni. Ten sam raport pokazuje, że nadużycie poświadczeń pojawia się na którymś etapie w 39% wszystkich naruszeń, nawet jeśli jako sam wektor wejścia zostało wyprzedzone przez wykorzystanie podatności. Co dzieje się po sprzedaży dostępu, opisujemy krok po kroku w tekście o tym, jak przebiega atak ransomware.

Praktyczna konsekwencja tych 95 dni jest taka, że okno reakcji istnieje i jest szerokie. Poświadczenia wyciekają wcześniej, niż uderza szyfrowanie. Warunkiem wykorzystania tego okna jest wiedza, że wyciek w ogóle nastąpił, a ta nie przyjdzie z systemów wewnętrznych, bo z ich perspektywy nic się nie stało. Dlatego monitorowanie własnych domen w logach infostealerów i na listach combo traktujemy jako osobną kontrolę, realizowaną przez monitoring ekspozycji i dark webu, a nie jako element ochrony endpointa.

• Log kupuje broker dostępu, a nie autor infekcji: dlatego między kradzieżą a wykorzystaniem mija czas
• Poświadczenia są weryfikowane automatycznie, więc martwe konta odpadają, a działające zyskują na wartości
• Jeden log obejmuje konta firmowe i prywatne z tego samego urządzenia, bez rozróżnienia
• Te same dane wracają w listach combo długo po pierwszej sprzedaży, więc jednorazowy reset nie zamyka sprawy
• Wykrycie po stronie ofiary następuje zwykle dopiero na etapie skutku: nietypowego logowania, przelewu albo szyfrowania

Urządzenia prywatne, czyli gdzie ryzyko firmowe naprawdę powstaje

Pracownik kupujący bilety w przerwie na firmowym laptopie i pracownik logujący się do firmowej poczty na prywatnym komputerze wykonują z punktu widzenia infostealera tę samą czynność. Malware nie rozróżnia kontekstu: czyta magazyn poświadczeń przeglądarki w całości. Jeżeli w tym profilu jest zapisane logowanie do poczty służbowej, panelu SaaS albo VPN, znajdzie się w tym samym logu co konto sklepu i serwisu streamingowego.

Tu leży realny problem organizacyjny: urządzenie prywatne jest poza zasięgiem polityk firmowych, a mimo to bywa punktem wejścia do firmy. Verizon odnotowuje, że udział naruszeń z komponentem podmiotu trzeciego wzrósł do 48%, a typowe przyczyny (brak uwierzytelniania wieloskładnikowego, brak rotacji poświadczeń, nadmiarowe uprawnienia) są dokładnie tymi, które sprawiają, że pojedynczy skradziony log wystarcza. Skala jest krajowa, nie niszowa: CERT Polska zarejestrował w 2025 roku 260 783 unikalne incydenty, z czego 78 391 zaklasyfikowano jako phishing, i wpisał na listę ostrzeżeń 244 341 domen służących wyłudzaniu danych.

• Rozdziel profile przeglądarki: konto służbowe i prywatne nie powinny współdzielić magazynu haseł ani ciasteczek
• Nie pozwalaj przeglądarce zapisywać haseł do systemów firmowych; menedżer haseł z osobnym odblokowaniem jest inną klasą celu
• Zapewnij ścieżkę zgłoszenia bez konsekwencji: pracownik, który wie, że uruchomił coś nie tego, musi mieć powód, żeby zgłosić to w ciągu minut, a nie dni

Jak to wykryć u siebie

Statyczne wskaźniki starzeją się w dniach: domeny przekierowujące są jednorazowe, a sumy kontrolne zmieniają się przy każdej kompilacji. Trwałe jest zachowanie: proces uruchomiony z katalogu zapisywalnego przez użytkownika, biblioteka ładowana obok przemianowanego pliku podpisanego cyfrowo, kopia bazy poświadczeń przeglądarki powstająca poza profilem. Poniższe zapytania napisano w języku KQL dla zaawansowanego wyszukiwania w Microsoft Defender XDR i korzystają wyłącznie z udokumentowanych tabel i kolumn.

// 1. ClickFix: the system shell launches an interpreter that downloads or decodes
DeviceProcessEvents
| where Timestamp > ago(30d)
| where InitiatingProcessFileName in~ ("explorer.exe", "mshta.exe", "wscript.exe", "cscript.exe")
| where FileName in~ ("powershell.exe", "pwsh.exe", "cmd.exe", "mshta.exe", "curl.exe")
| where ProcessCommandLine has_any ("-enc", "-EncodedCommand", "FromBase64String",
                                    "Invoke-Expression", "DownloadString", "iwr ", "irm ",
                                    "-w hidden", "-WindowStyle Hidden")
| project Timestamp, DeviceName, AccountName, FileName, ProcessCommandLine, InitiatingProcessFileName
| order by Timestamp desc

// 2. DLL side-loading: a library from a user directory, rare across the fleet
DeviceImageLoadEvents
| where Timestamp > ago(30d)
| where FolderPath has_any (@"\AppData\Local\Temp", @"\Downloads", @"\AppData\Roaming")
| where FileName endswith ".dll"
| where InitiatingProcessFolderPath has_any (@"\AppData", @"\Downloads", @"\Temp")
| summarize Loads = count(), Devices = dcount(DeviceId),
            Procs = make_set(InitiatingProcessFileName, 10)
        by FileName, FolderPath
| where Devices <= 3
| order by Loads desc

// 3. A copy of a browser credential store created outside the browser profile
DeviceFileEvents
| where Timestamp > ago(30d)
| where ActionType in ("FileCreated", "FileRenamed")
| where FileName in~ ("Login Data", "Cookies", "Local State", "Web Data", "logins.json", "key4.db")
| where not (FolderPath has_any (@"\Google\Chrome\User Data", @"\Microsoft\Edge\User Data",
                                 @"\Mozilla\Firefox\Profiles"))
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, FolderPath
| order by Timestamp desc

// 4. Traffic to fresh event-themed domains in extensions abused for disposable registrations
DeviceNetworkEvents
| where Timestamp > ago(30d)
| where RemoteUrl has_any ("ticket", "tickets", "final", "hospitality", "stream", "live")
| where RemoteUrl matches regex @"\.(cfd|top|xyz|shop|icu|sbs|cab|click)(/|:|$)"
| summarize Hits = count(), Devices = dcount(DeviceId) by RemoteUrl, InitiatingProcessFileName
| order by Hits desc

Zapytanie 2 celowo ogranicza wynik do bibliotek rzadkich w skali floty: bez tego progu zwróci każdy legalny instalator. Zapytanie 3 wykrywa krok, który stealer wykonuje tuż przed eksfiltracją, więc trafienie tam jest zwykle warte pilnego sprawdzenia. Zapytanie 4 nie jest detekcją, tylko materiałem do przeglądu: samo wejście na świeżo zarejestrowaną domenę niczego nie dowodzi, ale w zestawieniu z trafieniem z zapytania 1 lub 3 daje kolejność zdarzeń.

Runbook: pracownik uruchomił infostealer

Poniższa procedura zakłada podejrzenie, nie potwierdzenie. Potwierdzenie przychodzi zwykle za późno, a większość kroków jest odwracalna, więc koszt uruchomienia jej niepotrzebnie jest niski. Kolejność dwóch pierwszych kroków jest istotna i najczęściej bywa odwracana błędnie.

1. Minuty 0–30Helpdesk lub SOC
   Odetnij urządzenie, ale go nie wyłączaj

   Izolacja sieciowa przez agenta ochrony endpointa albo fizyczne odłączenie od sieci. Nie wyłączaj systemu i nie usuwaj plików: część śladów loadera istnieje wyłącznie w pamięci, a wyłączenie kasuje je razem z dowodami. Zabezpiecz zrzut pamięci, jeśli masz taką możliwość.

2. Godziny 0–2Zespół tożsamości
   Unieważnij sesje, dopiero potem zmień hasła

   Kolejność ma znaczenie. Najpierw wymuś globalne wylogowanie i unieważnienie tokenów odświeżających dla wszystkich kont używanych na tym urządzeniu, potem zmień hasła. Odwrotna kolejność zostawia napastnikowi działającą sesję, w której nowe hasło niczego nie blokuje. Usuń nieznane zarejestrowane metody uwierzytelniania wieloskładnikowego i sprawdź, czy nie dodano nowych.

3. Godziny 2–8SOC
   Ustal zakres logu

   Odpowiedz na jedno pytanie: co ta przeglądarka miała zapisane. Przejrzyj profile przeglądarek, magazyny haseł, klientów poczty i FTP oraz aplikacje desktopowe z zapisaną sesją. Każde konto z tej listy traktuj jako skompromitowane niezależnie od tego, czy widzisz ślad wykorzystania.

4. Godziny 8–48SOC i zespół IT
   Poszukaj śladów wykorzystania

   Sprawdź logowania z nietypowych lokalizacji i urządzeń, nowe reguły przekierowania poczty, nowe integracje aplikacji, zmiany danych rozliczeniowych i eksporty danych. To są typowe pierwsze ruchy po przejęciu konta, wykonywane zwykle zanim ktokolwiek zorientuje się, że doszło do infekcji.

5. Dni 2–14CISO lub właściciel ryzyka
   Odbuduj urządzenie i zamknij pętlę

   Przeinstaluj system, nie czyść go. Włącz monitorowanie ekspozycji dla domen firmowych, żeby wychwycić ten sam log, gdy pojawi się na rynku po raz drugi. Zapisz, jaką drogą doszło do infekcji, i sprawdź, czy ta droga jest nadal otwarta dla pozostałych pracowników; najczęściej jest.

Najczęstsze pytania

Podsumowanie

Mundial 2026 dał temu zjawisku widoczność i policzalne dane: ponad 13 000 domen tematycznych w pięć miesięcy, ostrzeżenie FBI, tysiące adresów powiązanych z organizatorem w logach infostealerów. Nie stworzył jednak ani jednej nowej techniki. Cała mechanika (zatrute wyniki wyszukiwania, podrobione domeny, ClickFix, fałszywa strona pobierania, log, broker dostępu, ransomware) działała przed tym wydarzeniem i będzie działać po nim, przy kolejnej dacie w kalendarzu. Dlatego obrona nie może być sezonowa. Kontrole, które mają sens, są trwałe: rozdzielenie tożsamości prywatnej od służbowej, możliwość unieważnienia sesji jednym ruchem, wykrywanie zachowań zamiast sum kontrolnych i stała wiedza o tym, co z Twoich poświadczeń już krąży poza organizacją. Skalę zjawiska w sektorze finansowym pokazujemy w opracowaniu o wycieku danych logowania w fintechu EMEA.

Nikt nie musiał atakować konkretnej organizacji, żeby zdobyć jej poświadczenia: wypadły z tysięcy zwykłych infekcji na prywatnych komputerach. To właśnie czyni ten mechanizm groźnym: działa bez intencji, przez cały rok, a wielkie wydarzenie tylko podkręca mu przepustowość.