Co się wydarzyło
Incydent. W komunikacie z 13 listopada Autopay podało, że 11 listopada stwierdziło nieautoryzowany dostęp do infrastruktury oraz części danych dotyczących płatności. Spółka zablokowała dostęp, zabezpieczyła system i zgłosiła zdarzenie Prezesowi UODO, Policji oraz CSIRT KNF. Skopiowania ani wykorzystania danych nie potwierdziła, ale – jak pisze – nie może tego całkowicie wykluczyć.
Przebieg według Autopay. Szczegóły spółka przekazała Sekurakowi 13 listopada wieczorem, w rozmowie z Security Managerem i w oficjalnym e-mailu. Atakujący przechodzili między strefami przez systemy, którym środowisko ufa z definicji: monitoring, CI/CD, automatyzację wdrożeń i zarządzanie hasłami. Stacji roboczych nie atakowali. Pojedyncze kroki nie wyzwalały typowych alertów.
Wątek AI. Autopay twierdzi też, że ma dowody na automatyzację wspieraną przez AI: serie operacji na dziesiątkach zasobów w ciągu sekund, zmianę ścieżki po każdej blokadzie i narzędzia pisane pod środowisko spółki. Sekurak zaznacza, że to relacja spółki, a nie niezależnie potwierdzone ustalenia.
Najważniejsze ustalenia
- 11 listopada 2026 – wykrycie incydentu; 13 listopada – komunikat spółki i zgłoszenia do UODO, Policji i CSIRT KNF.
- Według Autopay większość działań wykonano legalnymi poświadczeniami i narzędziami administracyjnymi.
- Droga ataku: monitoring, CI/CD, automatyzacja wdrożeń i zarządzanie hasłami – bez infekowania stacji roboczych.
- Spółka unieważniła poświadczenia, odizolowała i odbudowała zaatakowane serwery oraz wymienia klucze z partnerami. Opis działania sprawców przekazała CSIRT KNF do dystrybucji w sektorze.
- Autopay nie podało, skąd atakujący mieli poświadczenia ani jakie dane mogły wyciec.