Kryzys cyberbezpieczeństwa września 2025: Rekordowy wzrost ataków ransomware i nowe zagrożenia

Pierwsze dni września 2025 roku przyniosły niepokojącą eskalację cyberzagrożeń na globalnym rynku. W ciągu ostatniego tygodnia odnotowano gwałtowny wzrost ataków ransomware o 57% w sektorze produkcyjnym, podczas gdy największe firmy technologiczne znalazły się w centrum zaawansowanych kampanii kradzieży danych. Ataki na łańcuchy dostaw SaaS, wykorzystujące zaufane platformy takie jak Salesforce, osiągnęły nowy poziom wyrafinowania, podczas gdy krytyczne luki zero-day w systemach SAP i routerach TP-Link są aktywnie eksploatowane przez cyberprzestępców.¹²³

Szczególną uwagę zwracają ataki na platformy OAuth oraz kampanie spear-phishingu wykorzystujące sztuczną inteligencję do obejścia tradycyjnych mechanizmów bezpieczeństwa. Infrastruktura krytyczna w Ameryce Północnej stała się głównym celem, czego przykładem są ataki na Bridgestone oraz Nevada State - pierwszy w historii atak ransomware na poziomie stanowym.⁴

Najważniejsze Incydenty Cyberbezpieczeństwa (1-7 września 2025)

- Masowy atak na łańcuch dostaw Salesforce-Drift (sierpień-wrzesień 2025)

• Firmy: Cloudflare, Palo Alto Networks, Zscaler, Google, setki innych organizacji⁵⁶⁷
• Mechanizm: Kompromitacja tokenów OAuth w integracji Salesloft Drift, eksfiltracja przez Bulk API 2.0⁶⁵
• Skutki: Kradzież kluczy AWS, haseł, tokenów Snowflake; Cloudflare wykryła 104 skompromitowane tokeny API⁷⁵
• Typ: Supply chain attack, OAuth token compromise (UNC6395/GRUB1)⁵⁶

- Krytyczna luka SAP S/4HANA (CVE-2025-42957) - aktywnie eksploatowana

• System: SAP S/4HANA (wszystkie wersje Private Cloud i On-Premise)⁸²¹
• Mechanizm: Code injection ABAP przez RFC z niskimi uprawnieniami¹⁸
• Skutki: Pełne przejęcie systemu, tworzenie kont SAP_ALL, download hashy haseł⁸¹
• CVSS: 9.9 - łatka dostępna od sierpnia 2025, ale aktywnie wykorzystywana²¹

- Cyberatak na Bridgestone Americas - zakłócenia produkcji

• Data: 2 września 2025⁹¹⁰¹¹
• Zasięg: Wszystkie zakłady w Ameryce Północnej (według burmistrza Joliette)¹¹⁹
• Skutki: Zatrzymanie produkcji, pracownicy bez płacy lub konserwacja za pełną płacę¹⁰⁹
• Typ: Prawdopodobnie ransomware (nieupotwierdzony)¹²¹³

- Zero-day w routerach TP-Link - wykorzystywane przez botnet Quad7

• CVE: CVE-2025-50224, CVE-2025-9377, CVE-2020-24363³¹⁴¹⁵
• Modele: Archer C7, TL-WR841N/ND, TL-WA855RE¹⁴³
• Mechanizm: Password spray attacks na konta Microsoft 365 przez skompromitowane routery³¹⁴
• Status: CISA dodała do KEV, urząd zaleca wycofanie EOL urządzeń¹⁵¹⁴

- Naruszenie Chess.com - 4500 użytkowników

• Data: 5-18 czerwca 2025 (ujawnione 3 września)¹⁶¹⁷¹⁸
• Mechanizm: Kompromitacja narzędzia third-party file transfer¹⁷¹⁶
• Skutki: Kradzież nazwisk i danych osobowych, brak haseł/płatności¹⁶¹⁷
• Zasięg: Mniej niż 0,003% z 150 milionów użytkowników¹⁷

- Wealthsimple - naruszenie danych finansowych

• Data: 30 sierpnia 2025 (ujawnione 5 września)¹⁹²⁰²¹
• Mechanizm: Skompromitowany pakiet oprogramowania third-party²⁰¹⁹
• Skutki: Kradzież SIN, numerów kont, dat urodzenia, IP (<1% z 3 mln klientów)²¹¹⁹
• Ochrona: 2 lata bezpłatnego monitoringu tożsamości²⁰²¹

- Aktywnie eksploatowane luki Android - spyware zagrożenie

• CVE: CVE-2025-48543 (Android Runtime), CVE-2025-38352 (Linux kernel)²²²³²⁴
• Mechanizm: Local privilege escalation bez interakcji użytkownika²³²²
• Status: Wykryte przez Google TAG jako "ograniczone, ukierunkowane ataki"²⁵²²
• Zasięg: Android 13-16, prawdopodobnie mercenary spyware²³²⁵

- Wzrost ataków ransomware o 57% w produkcji

• Statystyki: 506 ataków w sierpniu vs 473 w lipcu (+7% ogólnie)⁴
• Sektor: Produkcja +57% (113 vs 72), healthcare, food & beverage⁴
• Nowy rekord: Pierwszy atak ransomware na poziomie stanu (Nevada)⁴
• Grupy: Qilin (86 ataków), Akira (57), Sinobi (36)⁴

Podsumowanie

Pierwszy tydzień września 2025 roku ujawnił systemową podatność globalnej infrastruktury cyfrowej na wyrafinowane ataki na łańcuchy dostaw. Kampania Salesforce-Drift udowodniła, jak pojedyncza skompromitowana integracja może zagrozić setkom organizacji, włączając liderów cyberbezpieczeństwa. Równoczesna eksploatacja krytycznych luk SAP (CVE-2025-42957) i aktywne wykorzystanie zero-day w Androidzie sygnalizują rosnące zagrożenie ze strony zaawansowanych grup APT i dostawców spyware.

Trendy alarmujące obejmują 57% wzrost ataków ransomware w produkcji, pierwszy stanowy atak ransomware w historii USA oraz masowe wykorzystanie skompromitowanych routerów domowych do ataków na infrastrukturę korporacyjną. Sztuczna inteligencja coraz częściej służy zarówno do ataków (automatyzacja exploitów) jak i obrony, tworząc nowy wymiar wyścigu zbrojeń cybernetycznych.

Kluczowym wnioskiem jest konieczność holistycznego podejścia do bezpieczeństwa łańcucha dostaw, wykraczającego poza tradycyjne perimetry bezpieczeństwa i obejmującego głęboką weryfikację integracji third-party oraz proaktywne monitorowanie tokenów OAuth w środowiskach SaaS.

⁂

Footnotes

1. https://securitybridge.com/blog/critical-sap-s-4hana-code-injection-vulnerability-cve-2025-42957/ ↩ ↩² ↩³ ↩⁴ ↩⁵

2. https://thehackernews.com/2025/09/sap-s4hana-critical-vulnerability-cve.html ↩ ↩² ↩³

3. https://www.malwarebytes.com/blog/news/2025/09/tp-link-warns-of-botnet-infecting-routers-and-targeting-microsoft-365-accounts ↩ ↩² ↩³ ↩⁴

4. https://industrialcyber.co/control-device-security/comparitech-reports-ransomware-attacks-rose-for-a-second-month-hitting-healthcare-manufacturing-food-sectors/ ↩ ↩² ↩³ ↩⁴ ↩⁵

5. https://www.securityweek.com/security-firms-hit-by-salesforce-salesloft-drift-breach/ ↩ ↩² ↩³ ↩⁴

6. https://cloud.google.com/blog/topics/threat-intelligence/data-theft-salesforce-instances-via-salesloft-drift ↩ ↩² ↩³

7. https://blog.cloudflare.com/response-to-salesloft-drift-incident/ ↩ ↩²

8. https://pathlock.com/blog/security-alerts/cve-2025-42957-critical-sap-s-4hana-code-injection-vulnerability/ ↩ ↩² ↩³

9. https://cybersecuritynews.com/bridgestone-cyberattack/ ↩ ↩² ↩³

10. https://www.bleepingcomputer.com/news/security/tire-giant-bridgestone-confirms-cyberattack-impacts-manufacturing/ ↩ ↩²

11. https://www.cryptika.com/bridgestone-confirms-cyberattack-impacts-manufacturing-facilities/ ↩ ↩²

12. https://cybernews.com/security/bridgestone-cyberattack-auto-manufacturer-disrupted-jaguar-link/ ↩

13. https://www.linkedin.com/pulse/bridgestone-cyberattack-disrupts-manufacturing-raises-anna-ribeiro-pniac ↩

14. https://thehackernews.com/2025/09/cisa-flags-tp-link-router-flaws-cve.html ↩ ↩² ↩³ ↩⁴

15. https://cybernews.com/security/tp-link-whatsapp-vulnerabilities-exploited-by-hackers/ ↩ ↩²

16. https://www.bleepingcomputer.com/news/security/chesscom-discloses-recent-data-breach-via-file-transfer-app/ ↩ ↩² ↩³

17. https://hackread.com/chess-com-data-breach-3rd-party-file-transfer-tool/ ↩ ↩² ↩³ ↩⁴

18. https://cybernews.com/security/chess-com-data-breach-third-party/ ↩

19. https://cybersecuritynews.com/wealthsimple-data-breach/ ↩ ↩² ↩³

20. https://www.bleepingcomputer.com/news/security/financial-services-firm-wealthsimple-discloses-data-breach/ ↩ ↩² ↩³

21. https://www.ctvnews.ca/canada/article/wealthsimple-says-personal-client-data-accessed-in-security-breach/ ↩ ↩² ↩³

22. https://thehackernews.com/2025/09/android-security-alert-google-patches.html ↩ ↩² ↩³

23. https://thecyberexpress.com/cve-2025-48543-and-cve-2025-38352/ ↩ ↩² ↩³

24. https://www.bleepingcomputer.com/news/security/google-fixes-actively-exploited-android-flaws-in-september-update/ ↩

25. https://www.helpnetsecurity.com/2025/09/04/google-fixes-actively-exploited-android-vulnerabilities-cve-2025-48543-cve-2025-38352/ ↩ ↩²