W tym tygodniu hakerzy podgrzewali sklepowe lodówki. Nie w przenośni. CERT Polska znalazł w sieci 140 sterowników chłodni, które każdy mógł otworzyć z internetu. To nasze podsumowanie tygodnia dla firm za 01.11–07.11.2026. Jak zwykle w formie piosenki, bo najlepiej zapamiętujesz to, co nuciłeś w samochodzie.
Muzykę wygenerowało AI, a każdą linijkę tekstu sprawdził człowiek. AI przyspiesza, człowiek odpowiada.
Poniżej masz fakty, które stoją za piosenką: luki, rachunki za cudze AI, KSeF od stycznia i UOKiK przed Black Friday. Na końcu jest checklista na ten tydzień dla małej firmy. Poprzedni tydzień znajdziesz we wpisie „Jeden laptop, sześć miliardów i łatka na PHP”.
Lodówka online: urządzenia w sieci i strona bez patcha
CERT Polska znalazł 140 urządzeń chłodniczych dostępnych z internetu i 4–5 listopada potwierdził pierwszy incydent: ktoś zdalnie podnosił temperaturę w sklepowych chłodniach. GIS zwołał naradę, a wicepremier zapowiedział, że ujawni firmy, które zignorują ostrzeżenia (wiadomoscihandlowe.pl, wiadomoscihandlowe.pl).
W małej firmie takim „sterownikiem” bywa nie tylko chłodnia. To też kamera, rejestrator, router, klimatyzacja czy panel alarmu. Jeśli ma własny adres w sieci i hasło z instrukcji, zakładaj, że ktoś już je sprawdził. Tym zajmujemy się w ramach bezpieczeństwa systemów.
W tym samym tygodniu:
- WordPress. 3 listopada amerykańska CISA uznała lukę w rdzeniu WordPressa (CVE-2026-119977) za aktywnie atakowaną. Wordfence zablokował 13 095 ataków w ciągu doby. Poprawka jest w wersji 7.1.4 (BleepingComputer).
- OpenSSH na Alpine. Wersje starsze niż 10.6p2 na systemach z musl pozwalały obejść logowanie hasłem. Poprawka wyszła 5 listopada (Sekurak).
- Routery z WPS. Błąd w układach Wi-Fi Broadcoma pozwala przejąć router z zasięgu sieci. Jest znany od około 2010 roku i nadal nie ma pełnej poprawki (Sekurak).
Co zrobić:
- Spisz urządzenia, które mają panel w przeglądarce. Każdemu zmień hasło fabryczne.
- Panele sterowników schowaj za VPN. Nie wystawiaj ich wprost do internetu.
- Sprawdź wersję WordPressa. Jeśli jest starsza niż 7.1.4, zaktualizuj ją jeszcze dziś. Najlepiej w ramach stałego utrzymania strony.
- W routerze biurowym wyłącz WPS.
Rachunek za cudze AI: klucze API, LLMjacking i update z backdoorem
Google i Mandiant opisali 3 listopada ataki LLMjacking: niektóre firmy traciły ponad 100 tys. USD dziennie, bo ktoś używał ich kluczy do modeli AI. Jedna z przestępczych usług wykonała ponad 500 tys. wywołań API w niespełna 8 godzin (BleepingComputer).
Skąd biorą się te klucze? Na przykład z hostingu. Railway podał 6 listopada, że w październiku zagrożonych mogło być do 100 tys. workspace’ów i ich zmienne środowiskowe, głównie klucze do dostawców AI (Sekurak).
A czasem zło przychodzi w aktualizacji. Przejęty mechanizm auto-update cPGuard zainstalował backdoor na 2946 serwerach hostingowych i kradł hasła oraz klucze SSH (BleepingComputer).
Dla małej firmy oznacza to jedno: klucz do AI to dziś karta kredytowa bez limitu. Jeśli wycieknie z repozytorium, laptopa albo hostingu, rachunek przyjdzie do Ciebie.
Co zrobić:
- Ustaw u dostawcy AI twardy limit wydatków i alert e-mail.
- Sprawdź, czy klucze nie leżą w kodzie lub w repozytorium. Trzymaj je w sejfie na sekrety.
- Po każdym incydencie u dostawcy hostingu wymień klucze, nawet jeśli „nic nie wskazuje” na wyciek.
- Daj zespołowi zatwierdzone narzędzie AI. Według ankiety ESET 35% pracowników obeszłoby firmowe blokady AI (Niebezpiecznik).
KSeF i podatki od 2027: co już wiadomo, a co jeszcze może się zmienić
Od 1 stycznia 2027 KSeF obejmie każdą firmę, także tę, która fakturuje do 10 tys. zł miesięcznie. Faktur z kasy fiskalnej nie będzie już można wystawiać. Kary za błędy mają być jednak przesunięte na 31 grudnia 2027: nowelizacja przeszła 6 listopada drugie czytanie w Sejmie i jeszcze może się zmienić (Prawo.pl).
Brak kary to nie brak obowiązku. Faktura wystawiona poza systemem nadal będzie błędem, tylko na razie tańszym.
W tym samym tygodniu Senat bez poprawek przyjął zmiany w PIT i CIT (Prawo.pl). Ustawa czeka na podpis prezydenta, więc jeszcze może się zmienić. Najważniejsze dla małych firm:
- skala PIT z trzema progami: 12% do 130 tys. zł, 24% do 150 tys. zł i 32% powyżej;
- limit przychodów na ryczałcie spada z 2 mln euro do 250 tys. euro, czyli około 1,09 mln zł.
Do prezydenta trafiła też wyższa opłata cukrowa od 2027 r. Za kofeinę lub taurynę ma wynosić 1 zł zamiast 10 gr za litr (Prawo.pl).
Co zrobić:
- Sprawdź, czy Twój program do faktur wysyła je już do KSeF, a nie tylko „jest gotowy”.
- Jeśli wystawiasz faktury z kasy fiskalnej, zaplanuj zmianę jeszcze w tym roku, nie w styczniu.
- Na ryczałcie z przychodem blisko 1 mln zł policz z księgową wariant na 2027.
- Sklepy i gastronomia: przygotuj nowe ceny napojów w kasie i sklepie internetowym, ale wprowadź je dopiero po podpisie ustawy.
E-commerce pod lupą UOKiK przed Black Friday
UOKiK nałożył 5 listopada ponad 220 tys. zł kar na sprzedawców fałszywych opinii do Google, Ceneo i Tripadvisora (UOKiK). Decyzje nie są prawomocne. Urząd przypomniał przy okazji, że sklep musi napisać, czy i jak sprawdza opinie klientów.
Dwa dni wcześniej sąd potwierdził naruszenie w promocji dużej sieci handlowej typu „zwrot 100%”. Karę obniżył z prawie 105 do około 84 mln zł, ale uznał, że warunki promocji były trudne do znalezienia (UOKiK). Wyrok nie jest prawomocny.
Klienci i tak będą kupować. Według BCG Polacy mają najniższe budżety na Black Friday spośród 10 badanych rynków, ale najwięcej z nich chce wydać więcej niż rok temu (wiadomoscihandlowe.pl). Wygra sklep, który pokaże cenę uczciwie i nie padnie pod ruchem.
Co zrobić:
- Dodaj w sklepie stronę „Jak weryfikujemy opinie” i zbieraj je tylko od kupujących.
- Przy przekreślonej cenie pokaż najniższą cenę z 30 dni przed obniżką.
- Warunki promocji pisz obok hasła, a nie w regulaminie na trzecim ekranie.
- Zrób test obciążeniowy sklepu przed 27 listopada.
Checklista na ten tydzień dla małej firmy
- Spisz urządzenia z panelem w przeglądarce (chłodnie, kamery, router, alarm) i zmień im hasła fabryczne.
- Panele sterowników schowaj za VPN.
- Zaktualizuj WordPressa do 7.1.4 albo nowszego i ustaw stałe okno aktualizacji.
- Ustaw limit wydatków i alert u każdego dostawcy AI, z którego korzystasz.
- Przenieś klucze API z kodu do sejfu na sekrety i wymień te, które leżały u hostingodawcy.
- Sprawdź, czy faktury trafiają już do KSeF, a nie tylko „będą trafiać od stycznia”.
- Zrób kopię zapasową poza firmą i raz ją odtwórz, żeby wiedzieć, że działa.
FAQ
Tak, od 1 stycznia 2027 KSeF obejmie wszystkie firmy, także te z fakturami do 10 tys. zł miesięcznie. Kary za błędy mają być przesunięte na koniec 2027 roku, ale ta nowelizacja jeszcze może się zmienić.
LLMjacking to kradzież dostępu do płatnych modeli AI, najczęściej przez wyciekły klucz API. Przestępca korzysta z modelu, a rachunek trafia do firmy, której klucz wyciekł. Najprostsza ochrona to limit wydatków u dostawcy i trzymanie kluczy poza kodem.
Najprościej poprosić o skan adresu IP firmy z zewnątrz. Pokaże on, które panele i porty odpowiadają z sieci. Wszystko, co nie musi być publiczne, powinno trafić za VPN.
Co najmniej 7.1.4. W tej wersji jest poprawka luki CVE-2026-119977, którą CISA oznaczyła jako aktywnie atakowaną.
Bo refren zapamiętasz, a listę 50 newsów raczej nie. Piosenka to skrót, a pełne fakty ze źródłami masz w tym wpisie. Muzykę generuje AI, tekst pisze i sprawdza człowiek.
Tekst piosenki „Ktoś mi grzeje lodówkę”
Intro (lektor)
Z ostatniej chwili.
W sklepie zrobiło się ciepło.
Sto czterdzieści lodówek wisi online.
Do ocieplenia nikt się na razie nie przyznaje.
Zwrotka 1
Rano w sklepowej chłodni rośnie mi gorączka,
a pokrętła nie ruszyła niczyja rączka.
Sterownik stoi w sieci z fabrycznym hasłem,
a pierogi się topią razem z moim masłem.
Na stronie patch czeka, nikt go nie odpalił,
trzynaście tysięcy ataków w dobę — ktoś się zapalił.
W kontenerze SSH wpuszcza bez hasła,
a ja myślałam, że ta luka dawno zgasła.
Przedrefren
Nikt nie dzwonił, nikt nie pukał,
a ktoś w moim sklepie czegoś szukał.
Ciepło… cieplej… gorąco.
Refren
Ktoś mi grzeje lodówkę — to nie żadna wymówka,
ktoś mi gada z AI, a na mnie idzie rachunek.
Sto czterdzieści sterowników wisi w sieci online,
patch leży w szufladzie — kto przyjdzie na ratunek?
Ktoś mi grzeje lodówkę, ktoś mi grzeje chmurę,
a ja czekam, aż ktoś inny wreszcie zamknie dziurę.
Zwrotka 2
Klucz API w chmurze miałam schowany pięknie,
sto tysięcy workspace’ów zagrożonych — serce mi pęknie.
Pół miliona zapytań w osiem godzin nocy,
ktoś z chatbotem gada, a ja płacę bez pomocy.
Przyszedł update od strażnika z bramy,
prawie trzy tysiące serwerów — i backdoora mamy.
Router w biurze mruga, przycisk WPS kusi,
haker z parkingu wchodzi — nawet pukać nie musi.
Przedrefren
Nikt nie dzwonił, nikt nie pukał,
a ktoś w moim sklepie czegoś szukał.
Ciepło… cieplej… gorąco.
Refren
Ktoś mi grzeje lodówkę — to nie żadna wymówka,
ktoś mi gada z AI, a na mnie idzie rachunek.
Sto czterdzieści sterowników wisi w sieci online,
patch leży w szufladzie — kto przyjdzie na ratunek?
Ktoś mi grzeje lodówkę, ktoś mi grzeje chmurę,
a ja czekam, aż ktoś inny wreszcie zamknie dziurę.
Bridge
Państwo daje hakerom oficjalne zaproszenie,
nawet Władysławowo wystawia się na sprawdzenie.
Za lukę do dwudziestu tysięcy złotych płacą,
a u ciebie ktoś ją znajdzie gratis — i wyjdzie z całą twoją pracą.
Breakdown (mówione)
Raz: sterowniki za VPN-em, a nie na widoku.
Dwa: patch w ramach bieżącego utrzymania, a nie po roku.
Trzy: klucze API w sejfie i z limitem.
Cztery: backup offsite — i śpisz spokojnie.
Refren końcowy
Nikt mi nie grzeje lodówki — już nie szukam wymówki,
AI pracuje dla mnie, a ja trzymam rachunek.
Sto czterdzieści sterowników zamkniętych za VPN-em,
patch wgrany w ramach utrzymania — to był mój ratunek.
Nikt mi nie grzeje lodówki, nikt nie grzeje chmury,
spokojny fachowiec przyszedł i zamknął wszystkie dziury.
Outro (lektor)
W sklepie znowu jest zimno. Pierogi są bezpieczne.
AI pracuje dla nas — nie my dla AI.
AI przyspiesza. Człowiek odpowiada.
Ta piosenka powstała z AI. Tekst sprawdził człowiek.
