# Ktoś mi grzeje lodówkę: 140 sterowników online i rachunek za cudze AI. Podsumowanie tygodnia dla firm (01.11–07.11.2026) Źródło: https://pixlab.pl/podsumowanie-tygodnia-dla-firm-ktos-mi-grzeje-lodowke Artykuł, opublikowano 09.11.2026. Autor: Dominik Kaczmar (Prowadzenie projektów, relacje z klientami) W tym tygodniu hakerzy podgrzewali sklepowe lodówki. Nie w przenośni. CERT Polska znalazł w sieci 140 sterowników chłodni, które każdy mógł otworzyć z internetu. To nasze podsumowanie tygodnia dla firm za 01.11–07.11.2026. Jak zwykle w formie piosenki, bo najlepiej zapamiętujesz to, co nuciłeś w samochodzie. „Ktoś mi grzeje lodówkę” · 4:26 · włącz dźwięk Muzykę wygenerowało AI, a każdą linijkę tekstu sprawdził człowiek. AI przyspiesza, człowiek odpowiada. Poniżej masz fakty, które stoją za piosenką: luki, rachunki za cudze AI, KSeF od stycznia i UOKiK przed Black Friday. Na końcu jest checklista na ten tydzień dla małej firmy. Poprzedni tydzień znajdziesz we wpisie [„Jeden laptop, sześć miliardów i łatka na PHP”](/podsumowanie-tygodnia-dla-firm-jeden-laptop). ## Lodówka online: urządzenia w sieci i strona bez patcha CERT Polska znalazł 140 urządzeń chłodniczych dostępnych z internetu i 4–5 listopada potwierdził pierwszy incydent: ktoś zdalnie podnosił temperaturę w sklepowych chłodniach. GIS zwołał naradę, a wicepremier zapowiedział, że ujawni firmy, które zignorują ostrzeżenia ([wiadomoscihandlowe.pl](https://www.wiadomoscihandlowe.pl/handel-i-dystrybucja/handel-detaliczny/cert-i-gis-ostrzegaja-sieci-handlowe-2539173), [wiadomoscihandlowe.pl](https://www.wiadomoscihandlowe.pl/konsument-i-trendy-zakupowe/bezpieczenstwo-i-higiena-zywnosci/gawkowski-stawia-ultimatum-2539202)). W małej firmie takim „sterownikiem” bywa nie tylko chłodnia. To też kamera, rejestrator, router, klimatyzacja czy panel alarmu. Jeśli ma własny adres w sieci i hasło z instrukcji, zakładaj, że ktoś już je sprawdził. Tym zajmujemy się w ramach [bezpieczeństwa systemów](/bezpieczenstwo). W tym samym tygodniu: - **WordPress.** 3 listopada amerykańska CISA uznała lukę w rdzeniu WordPressa (CVE-2026-119977) za aktywnie atakowaną. Wordfence zablokował 13 095 ataków w ciągu doby. Poprawka jest w wersji 7.1.4 ([BleepingComputer](https://www.bleepingcomputer.com/news/security/cisa-flags-wordpress-rce-flaw-as-actively-exploited-in-attacks/)). - **OpenSSH na Alpine.** Wersje starsze niż 10.6p2 na systemach z musl pozwalały obejść logowanie hasłem. Poprawka wyszła 5 listopada ([Sekurak](https://sekurak.pl/korzystacie-z-openssh-na-hostach-z-musl-libc-lepiej-patchujcie-i-wylaczcie-passwordauthentication/)). - **Routery z WPS.** Błąd w układach Wi-Fi Broadcoma pozwala przejąć router z zasięgu sieci. Jest znany od około 2010 roku i nadal nie ma pełnej poprawki ([Sekurak](https://sekurak.pl/luka-w-ukladach-wi-fi-broadcoma-pozwala-na-rce-blad-jest-znany-od-16-lat-a-podatnych-moze-byc-miliony-urzadzen/)). **Co zrobić:** - Spisz urządzenia, które mają panel w przeglądarce. Każdemu zmień hasło fabryczne. - Panele sterowników schowaj za VPN. Nie wystawiaj ich wprost do internetu. - Sprawdź wersję WordPressa. Jeśli jest starsza niż 7.1.4, zaktualizuj ją jeszcze dziś. Najlepiej w ramach stałego [utrzymania strony](/utrzymanie-i-wsparcie). - W routerze biurowym wyłącz WPS. ## Rachunek za cudze AI: klucze API, LLMjacking i update z backdoorem Google i Mandiant opisali 3 listopada ataki LLMjacking: niektóre firmy traciły ponad 100 tys. USD dziennie, bo ktoś używał ich kluczy do modeli AI. Jedna z przestępczych usług wykonała ponad 500 tys. wywołań API w niespełna 8 godzin ([BleepingComputer](https://www.bleepingcomputer.com/news/security/google-llmjacking-attacks-rack-up-1-million-in-cloud-ai-charges/)). Skąd biorą się te klucze? Na przykład z hostingu. Railway podał 6 listopada, że w październiku zagrożonych mogło być do 100 tys. workspace’ów i ich zmienne środowiskowe, głównie klucze do dostawców AI ([Sekurak](https://sekurak.pl/railway-podalo-szczegoly-incydentu-bezpieczenstwa-zagrozone-mogly-byc-zmienne-srodowiskowe-100-tys-workspaces/)). A czasem zło przychodzi w aktualizacji. Przejęty mechanizm auto-update cPGuard zainstalował backdoor na 2946 serwerach hostingowych i kradł hasła oraz klucze SSH ([BleepingComputer](https://bleepingcomputer.com/news/security/hackers-hijack-cpguard-autoupdate-to-deploy-backdoor-steal-data)). Dla małej firmy oznacza to jedno: klucz do AI to dziś karta kredytowa bez limitu. Jeśli wycieknie z repozytorium, laptopa albo hostingu, rachunek przyjdzie do Ciebie. **Co zrobić:** - Ustaw u dostawcy AI twardy limit wydatków i alert e-mail. - Sprawdź, czy klucze nie leżą w kodzie lub w repozytorium. Trzymaj je w sejfie na sekrety. - Po każdym incydencie u dostawcy hostingu wymień klucze, nawet jeśli „nic nie wskazuje” na wyciek. - Daj zespołowi zatwierdzone narzędzie AI. Według ankiety ESET 35% pracowników obeszłoby firmowe blokady AI ([Niebezpiecznik](https://niebezpiecznik.pl/post/pracownicy-czuja-sie-zagrozeni-ale-laduja-dane-firm-do-ai-raport-eset/)). ## KSeF i podatki od 2027: co już wiadomo, a co jeszcze może się zmienić Od 1 stycznia 2027 KSeF obejmie każdą firmę, także tę, która fakturuje do 10 tys. zł miesięcznie. Faktur z kasy fiskalnej nie będzie już można wystawiać. Kary za błędy mają być jednak przesunięte na 31 grudnia 2027: nowelizacja przeszła 6 listopada drugie czytanie w Sejmie i jeszcze może się zmienić ([Prawo.pl](https://www.prawo.pl/podatki/mf-nie-bedzie-kar-za-bledy-w-ksef-do-konca-2027-roku,1552882.html)). Brak kary to nie brak obowiązku. Faktura wystawiona poza systemem nadal będzie błędem, tylko na razie tańszym. W tym samym tygodniu Senat bez poprawek przyjął zmiany w PIT i CIT ([Prawo.pl](https://www.prawo.pl/podatki/sejm-ponownie-uchwalil-zmiany-w-pit-i-cit-senat-bez-poprawek,1556805.html)). Ustawa czeka na podpis prezydenta, więc jeszcze może się zmienić. Najważniejsze dla małych firm: - skala PIT z trzema progami: 12% do 130 tys. zł, 24% do 150 tys. zł i 32% powyżej; - limit przychodów na ryczałcie spada z 2 mln euro do 250 tys. euro, czyli około 1,09 mln zł. Do prezydenta trafiła też wyższa opłata cukrowa od 2027 r. Za kofeinę lub taurynę ma wynosić 1 zł zamiast 10 gr za litr ([Prawo.pl](https://www.prawo.pl/podatki/sejm-odrzucil-poprawki-senatu-doustawy-podnoszacej-oplate-cukrowa,1556780.html)). **Co zrobić:** - Sprawdź, czy Twój program do faktur wysyła je już do KSeF, a nie tylko „jest gotowy”. - Jeśli wystawiasz faktury z kasy fiskalnej, zaplanuj zmianę jeszcze w tym roku, nie w styczniu. - Na ryczałcie z przychodem blisko 1 mln zł policz z księgową wariant na 2027. - Sklepy i gastronomia: przygotuj nowe ceny napojów w kasie i sklepie internetowym, ale wprowadź je dopiero po podpisie ustawy. ## E-commerce pod lupą UOKiK przed Black Friday UOKiK nałożył 5 listopada ponad 220 tys. zł kar na sprzedawców fałszywych opinii do Google, Ceneo i Tripadvisora ([UOKiK](https://uokik.gov.pl/opinie-ktorym-nie-mozna-ufac-kolejne-decyzje-prezesa-uokik)). Decyzje nie są prawomocne. Urząd przypomniał przy okazji, że sklep musi napisać, czy i jak sprawdza opinie klientów. Dwa dni wcześniej sąd potwierdził naruszenie w promocji dużej sieci handlowej typu „zwrot 100%”. Karę obniżył z prawie 105 do około 84 mln zł, ale uznał, że warunki promocji były trudne do znalezienia ([UOKiK](https://uokik.gov.pl/100-proc-obietnicy-mniej-informacji-sad-potwierdzil-naruszenie-biedronki)). Wyrok nie jest prawomocny. Klienci i tak będą kupować. Według BCG Polacy mają najniższe budżety na Black Friday spośród 10 badanych rynków, ale najwięcej z nich chce wydać więcej niż rok temu ([wiadomoscihandlowe.pl](https://www.wiadomoscihandlowe.pl/konsument-i-trendy-zakupowe/trendy-zakupowe-i-konsumenckie/polacy-boja-sie-wojny-i-inflacji-ale-na-black-friday-wydadza-wiecej-nowy-raport-bcg-2539068)). Wygra sklep, który pokaże cenę uczciwie i nie padnie pod ruchem. **Co zrobić:** - Dodaj w sklepie stronę „Jak weryfikujemy opinie” i zbieraj je tylko od kupujących. - Przy przekreślonej cenie pokaż najniższą cenę z 30 dni przed obniżką. - Warunki promocji pisz obok hasła, a nie w regulaminie na trzecim ekranie. - Zrób test obciążeniowy sklepu przed 27 listopada. ## Checklista na ten tydzień dla małej firmy - Spisz urządzenia z panelem w przeglądarce (chłodnie, kamery, router, alarm) i zmień im hasła fabryczne. - Panele sterowników schowaj za VPN. - Zaktualizuj WordPressa do 7.1.4 albo nowszego i ustaw stałe okno aktualizacji. - Ustaw limit wydatków i alert u każdego dostawcy AI, z którego korzystasz. - Przenieś klucze API z kodu do sejfu na sekrety i wymień te, które leżały u hostingodawcy. - Sprawdź, czy faktury trafiają już do KSeF, a nie tylko „będą trafiać od stycznia”. - Zrób [kopię zapasową poza firmą](/backup-offsite) i raz ją odtwórz, żeby wiedzieć, że działa. ## FAQ ### Czy KSeF będzie obowiązkowy dla małych firm od 2027 roku? Tak, od 1 stycznia 2027 KSeF obejmie wszystkie firmy, także te z fakturami do 10 tys. zł miesięcznie. Kary za błędy mają być przesunięte na koniec 2027 roku, ale ta nowelizacja jeszcze może się zmienić. ### Co to jest LLMjacking? LLMjacking to kradzież dostępu do płatnych modeli AI, najczęściej przez wyciekły klucz API. Przestępca korzysta z modelu, a rachunek trafia do firmy, której klucz wyciekł. Najprostsza ochrona to limit wydatków u dostawcy i trzymanie kluczy poza kodem. ### Jak sprawdzić, czy urządzenia w mojej firmie są widoczne z internetu? Najprościej poprosić o skan adresu IP firmy z zewnątrz. Pokaże on, które panele i porty odpowiadają z sieci. Wszystko, co nie musi być publiczne, powinno trafić za VPN. ### Którą wersję WordPressa trzeba mieć po luce z listopada 2026? Co najmniej 7.1.4. W tej wersji jest poprawka luki CVE-2026-119977, którą CISA oznaczyła jako aktywnie atakowaną. ### Dlaczego podsumowanie tygodnia w formie piosenki? Bo refren zapamiętasz, a listę 50 newsów raczej nie. Piosenka to skrót, a pełne fakty ze źródłami masz w tym wpisie. Muzykę generuje AI, tekst pisze i sprawdza człowiek. **Porozmawiaj z człowiekiem, nie z botem. W kwadrans ustalimy, które z tych punktów dotyczą Twojej firmy i co da się zrobić od ręki: od VPN dla sterowników, przez utrzymanie strony, po integrację z KSeF.** ## Tekst piosenki „Ktoś mi grzeje lodówkę” **Intro (lektor)** Z ostatniej chwili. W sklepie zrobiło się ciepło. Sto czterdzieści lodówek wisi online. Do ocieplenia nikt się na razie nie przyznaje. **Zwrotka 1** Rano w sklepowej chłodni rośnie mi gorączka, a pokrętła nie ruszyła niczyja rączka. Sterownik stoi w sieci z fabrycznym hasłem, a pierogi się topią razem z moim masłem. Na stronie patch czeka, nikt go nie odpalił, trzynaście tysięcy ataków w dobę — ktoś się zapalił. W kontenerze SSH wpuszcza bez hasła, a ja myślałam, że ta luka dawno zgasła. **Przedrefren** Nikt nie dzwonił, nikt nie pukał, a ktoś w moim sklepie czegoś szukał. Ciepło… cieplej… gorąco. **Refren** Ktoś mi grzeje lodówkę — to nie żadna wymówka, ktoś mi gada z AI, a na mnie idzie rachunek. Sto czterdzieści sterowników wisi w sieci online, patch leży w szufladzie — kto przyjdzie na ratunek? Ktoś mi grzeje lodówkę, ktoś mi grzeje chmurę, a ja czekam, aż ktoś inny wreszcie zamknie dziurę. **Zwrotka 2** Klucz API w chmurze miałam schowany pięknie, sto tysięcy workspace’ów zagrożonych — serce mi pęknie. Pół miliona zapytań w osiem godzin nocy, ktoś z chatbotem gada, a ja płacę bez pomocy. Przyszedł update od strażnika z bramy, prawie trzy tysiące serwerów — i backdoora mamy. Router w biurze mruga, przycisk WPS kusi, haker z parkingu wchodzi — nawet pukać nie musi. **Przedrefren** Nikt nie dzwonił, nikt nie pukał, a ktoś w moim sklepie czegoś szukał. Ciepło… cieplej… gorąco. **Refren** Ktoś mi grzeje lodówkę — to nie żadna wymówka, ktoś mi gada z AI, a na mnie idzie rachunek. Sto czterdzieści sterowników wisi w sieci online, patch leży w szufladzie — kto przyjdzie na ratunek? Ktoś mi grzeje lodówkę, ktoś mi grzeje chmurę, a ja czekam, aż ktoś inny wreszcie zamknie dziurę. **Bridge** Państwo daje hakerom oficjalne zaproszenie, nawet Władysławowo wystawia się na sprawdzenie. Za lukę do dwudziestu tysięcy złotych płacą, a u ciebie ktoś ją znajdzie gratis — i wyjdzie z całą twoją pracą. **Breakdown (mówione)** Raz: sterowniki za VPN-em, a nie na widoku. Dwa: patch w ramach bieżącego utrzymania, a nie po roku. Trzy: klucze API w sejfie i z limitem. Cztery: backup offsite — i śpisz spokojnie. **Refren końcowy** Nikt mi nie grzeje lodówki — już nie szukam wymówki, AI pracuje dla mnie, a ja trzymam rachunek. Sto czterdzieści sterowników zamkniętych za VPN-em, patch wgrany w ramach utrzymania — to był mój ratunek. Nikt mi nie grzeje lodówki, nikt nie grzeje chmury, spokojny fachowiec przyszedł i zamknął wszystkie dziury. **Outro (lektor)** W sklepie znowu jest zimno. Pierogi są bezpieczne. AI pracuje dla nas — nie my dla AI. AI przyspiesza. Człowiek odpowiada. Ta piosenka powstała z AI. Tekst sprawdził człowiek.