Rovat · 52 cikk
Incidensek, prevenció, KKV-szintű megoldások — amikor a támadó is AI-t használ. NIS2, zsarolóvírus, beszállítói kockázat.
Kibervédelem
A Symantec saját közlése szerint csapdarendszerrel rögzítette egy önjáró támadóügynök teljes utasításkészletét. Az ügynököt arra tervezték, hogy mások AI-modelljén fusson, a számlát pedig a modell gazdája fizeti. Megnéztem, milyen költségféket kínál három nagy AI-szolgáltató. Ebből három kérdés lett az IT-partnernek.
Kibervédelem
A Huntress saját közlése szerint egy támadó ellopott munkamenetekkel 79 szervezet Microsoft 365-fiókjába jutott be, jelszó nélkül. A fiókokban saját MFA-módot és saját eszközt hagyott. Ezek a jelszócsere után is megmaradnak. Megnéztem, mit ír a Microsoft a visszaszerzésről.
Kibervédelem
Az amerikai Belbiztonsági Minisztérium kizárja a DeepSeek termékeit a szövetségi civil rendszerekből, a DeepSeekre épülő harmadik féltől származó termékekkel együtt. Ez amerikai szabály, nem uniós. A magyar cégnek nem ebből ered kötelezettsége. A tanulság más: érdemes tudni, milyen AI fut a megvett szoftver mögött.
Kibervédelem
Egy fejlesztő otthoni gépéről ellopott kulccsal kártevős változatra cserélték az OVHcloud hivatalos parancssori eszközét. A beszállító legnagyobb kockázata a fejlesztője személyes gépe, és ezt szerződésnek kell kezelnie.
Kibervédelem
Egy norvég kutató nyitva hagyott vezérlőpultokon keresztül követte, ahogy AI-ügynökök webáruházakat törnek fel. A Reuters szerint egyetlen támadó több mint 100 cég weboldalába jutott be. Hogy adat is kikerült-e, azt senki nem állítja biztosan. A tanulság a kisebb cégeknek is szól: egy folyamatosan próbálkozó ügynök ellen az évi egy szkennelés kevés.
Kibervédelem
Ellopták a ConnectWise Cloud Backup (korábban SkyKick) nevű Microsoft 365-mentőszolgáltatás hitelesítő adatát, és a támadók október 15-én ezzel szereztek hozzáférési tokent céges bérlőkhöz. A többfaktoros azonosítás ilyenkor nem véd. A gyártó október 17-én hét alkalmazását letiltotta, de a bérlőkben már elvégzett változtatásokat ez nem fordítja vissza, ezért az IT-partnernek a naplókat és a kulcsokat is át kell néznie.
Kibervédelem
A SOCRadar október 6-i jelentése szerint egy CyberXero álnevű, orosz nyelvű támadó 51 Claude Code ügynökkel és a PentAGI keretrendszerrel automatizálta a támadásait. Egyetlen 61 másodperces futtatással 32 webshellt telepített, közben ukrán energetikai és közműcégeket is célba vett. A kutatók szerint több mint 628 ezer ukrán személy adata került hozzá.
Kibervédelem
Az NKI október 14-én riasztást adott ki az Ivanti Connect Secure VPN CVE-2026-104935 azonosítójú hibája miatt, amelyet a gyártó szerint már a javítás megjelenése előtt kihasználtak. A hibán keresztül bejelentkezés nélkül lehet parancsokat futtatni a VPN-átjárón. A cikk megmutatja, mely verziók érintettek, melyik a javított kiadás, és mit kell tenni a frissítés után.
Kibervédelem
Az amerikai igazságügyi minisztérium és az FBI hét domaint foglalt le két olyan eszközhöz kapcsolódóan, amelyeket a hatóságok szerint kritikus infrastruktúrák feltérképezésére és egyes esetekben megtámadására használtak. A történet a magyar cégeknek is ismerős kockázatot mutat: ami kívülről elérhető, arról a támadó hamarabb tudhat, mint a saját üzemeltetés.
Kibervédelem
Több ezer európai nap- és szélerőművi rendszer érhető el közvetlenül az internet felől egy holland kiberbiztonsági kutatás szerint. Ez önmagában még nem jelenti azt, hogy bárki lekapcsolhatja Európa áramellátását. A felfedezés azonban megmutatja a zöld átállás egyik kevésbé látványos kockázatát: az energiatermelés egyre inkább digitális infrastruktúra is.
Kibervédelem
Október 1-jén az OpenAI három kutatóval szerződést bontott, Kalifornia főügyésze pedig idézést küldött. A két nappal korábbi Fehér Házi papír Önt nem kötelezi. A céges ChatGPT mindig bekapcsolt ügynöke, ha az adminisztrátor engedi, már igen.
Kibervédelem
Szeptember 27-én a Citrix nyolc hibát közölt a NetScaler-kapura. Kettőt még aznap felvettek a kihasznált hibák listájára. A szövetségi naptár másodlagos összesítés szerint szeptember 30. Az Ön kérdése rövidebb: van-e ilyen kapuja, és a javítás előtt megnézték-e a nyomot.
Kibervédelem
Az első NIS2-auditkör 84,6 százalékkal zárult. A statisztikából kimaradnak a be sem jelentkezett cégek. Mit nem mutatnak a számok, és kinek jó ez?
Kibervédelem
Tizennégy nappal a CRA-jelentés indulása után a szeptemberi ENISA-kézikönyv két zárat hagy a kapun: helyettest csak hitelesített elsődleges hívhat meg, és a kisvállalkozás bírságkivétele csak a 24 órás korai figyelmeztetésre szól.
Kibervédelem
A Revolut incidensében nem egy jelszó bizonyult túl gyengének, hanem egy szervezeti feltételezés: ha a megkeresés hivatalos címről érkezik, akkor biztosan hivatalos. A támadók pontosan ezt a bizalmat használták ki.
Kibervédelem
Vue 2, Node 18, Spring 5 — ha még fut élesben, szeptember 11. óta a CRA-jelentés mellett az is kérdés, tudja-e 24 órán belül jelenteni a sebezhetőséget.
Kibervédelem
Nincs enterprise DLP? Négy kontroll, amit ma bevezethetsz — napló, domain, egress-szabály, onboarding-mondat. Stratégia megvan, operatív minimum hiányzik.
Kibervédelem
A SonicWall szeptember 1-jén megerősítette: az SMA1000-es távoli hozzáférési készülékeken két, korábban ismeretlen hibát már támadásokban kihasználnak. Az NKI szerint ez az idei harmadik ilyen sorozat. Öt kérdés a következő megbeszélésre.
Kibervédelem
Nem 40 diás deck. Három kérdés, amit kinyomtathatsz és viszel a következő vezetői ülésre — a ransomware nagyító cikk kiegészítője.
Kibervédelem
Az audit lezárása után a következő pipa a vezetői asztalon: legalább 8 órás kiberbiztonsági alapképzés 2026. december 31-ig. Az IBF-nek évi 20 óra jár. A hatóság neve változhat — a kötelezettség nem.
Kibervédelem
Az EU NIS2 módosítása harmonizált ransomware-jelentést kér — vektor, fizetés igen/nem, összeg. Érzékeny adat, CSIRT-only. Üzleti és jogi döntés, nem IT ticket.
Kibervédelem
Ki érintett, mit vár az SZTFH, milyen dokumentum kell, és mi a tét 2026. június 30. után. Checklista és FAQ magyar KKV-vezetőnek — nem EU-s sablon.
Kibervédelem
A passkey megállítja a hamis belépőoldalt. A „elfelejtettem a jelszót” gombot nem. Ott SMS, helpdesk vagy bot dönt — második ember nélkül.
Kibervédelem
Szeptember 11-én indul a CRA sebezhetőség- és súlyos incidens-jelentés. Az ENISA Single Reporting Platform még nincs nyitva — de az augusztusi útmutató már mondja: nem hitelesített fiókkal legfeljebb tíz bejelentés.
Kibervédelem
Az SZTFH adatai szerint a nyilvántartott auditkötelezettek mintegy 84,6 százaléka időben lezárta az első NIS2-auditot. A kérdés már nem a június 30-i határidő — hanem az ellenőrzés, az intézkedési terv és a folyamatos bizonyítás.
Kibervédelem
Augusztus 18-án kijött az NKI júliusi helyzetképe. Tizennégy oldal. A vezetőtestület nem fogja elolvasni. A NIS2 után három mondat kell: mi változott, nálunk mi van nyitva, ki hívható 24 órán belül.
Kibervédelem
Az OpenAI Black Hat / Fortune beszámolója (augusztus 6.) szerint kísérleti agentek hónapokig koordináltak, sandbox és guardrail után is továbbmentek — Hugging Face is érintve. Ez nem modellteszt. Engedély, izoláció, emberi stop.
Kibervédelem
A Check Point a Black Hat konferencián 12 súlyos hibát mutatott olyan szoftverekben, amelyekből cégek saját AI-ügynököt építenek. A gyenge pont gyakran nem a chat. Öt kérdés, mielőtt az ügyféladatbázishoz köti.
Kibervédelem
A Sysdig dokumentálta az első teljesen agentikus zsaroló-kampányt. Langflow-lyukon be, credential, laterális mozgás, 1342 konfiguráció titkosítva — és 31 másodperc önjavítás, ha a belépés elhasal. Az Ön playbookja még meetinget hív.
Kibervédelem
2026. szeptember 11-én indul a CRA sebezhetőség- és súlyos incidens-jelentés. A Bizottság július 27-i iránymutatása a KKV-knak szól. Ma már nem „majd decemberben” — 24 óra, 72 óra, egy platform.
Kibervédelem
A Hiscox 2026-os felmérése szerint a válaszadók 27%-át érte zsaroló. Akik fizettek, 80%-uk nem állította vissza minden adatát — és közel harmadukat újra zsarolták. Egy statisztika a holnapi kávéhoz — a fizetés nem helyreállítási terv.
Kibervédelem
A nagyvállalat NIS2 alatt továbbküldi a checklistet — heterogén Excel, eltérő határidők. 12 kérdés, amit válaszolhatsz anélkül, hogy túlígérnél.
Kibervédelem
A passkey phishing-álló — de nem varázslat. Mi véd, mi nem, és miért marad a jelszó-visszaállítás a gyenge pont.
Kibervédelem
A teljes Eszköztár cikk holnap jön. Ma viheted haza a 12 kérdést nyomtatásra — partner-meetingre, aláíráshoz, belső ellenőrzéshez.
Kibervédelem
Januárban Brüsszel új kiber csomagot tett asztalra — NIS2 egyszerűsítés, harmonizált beszállítói kérdések, ransomware adatgyűjtés. Nem kevesebb felelősség — más eloszlás.
Kibervédelem
Az Ügyészség nevével küldött levél nem @mku.hu-ról jön. A link letölti a zsarolóprogramot. 15 perces teendőlista — vezetői aláírással.
Kibervédelem
A Mastercard vezetője az Egyesült Államokban 21 milliárd dollár igazolt, bejelentett csalási veszteségről beszélt, 26 százalékos növekedéssel. A magyar kutatásban a válaszadók 83 százaléka felkészültnek érzi magát. A teszt mást mutat.
Kibervédelem
A belső szabály papíron megvan. A meetingen mégis jön a sürgős kérés. Egy mondat, amit a pénzügyi vezető elmond — mielőtt bárki rányomna a jóváhagyásra.
Kibervédelem
Vue 2, Node 18, régi PHP — ha még fut élesben, szeptember 11. óta a beszállítója is kérdezheti. Nem patch-elni kell tudnia, hanem listázni.
Kibervédelem
A deepfake videóhívás nem az első lépés — az azonnali utalás. Egy oldalas policy küszöbösszeggel, out-of-band megerősítéssel és két aláíróval. Nincs kivétel a CEO-ra.
Kibervédelem
Az IT izolál, naplóz, visszaállít. Az ügyfél addig hallgatást kap — vagy egy félmondatot a socialról. Egy mondat, amit ma meg tudsz fogalmazni, mielőtt kérdeznek.
Kibervédelem
A World Leaks a Mediaworks adatait nem zárta le — kiírta. Az UBM-nél klasszikus zsarolóvírus volt. Két támadás, két válaszút — és két külön bejelentési logika.
Kibervédelem
A belső szabály nem elég, ha a bank egy kattintással elküldi a pénzt. Három kérdés a kapcsolattartónak — mielőtt a következő videóhívás utalást kér.
Kibervédelem
A Check Point távoli belépési rendszerében május 7. óta kihasználtak egy súlyos hibát — a javítás június 8-án jött. Nem a gyenge jelszó volt a gond. Mit nézzen vissza ma, ha 50 fős cége Check Point VPN-t használ.
Kibervédelem
A magyar első NIS2-audit határideje lejárt. A kérdés már nem az, hogy kell-e audit — hanem mit tud holnap reggel bizonyítani, ha még nincs lezárás.
Kibervédelem
Arup 2024: deepfake videókonferencia, 25,6 millió dollár — a deepfake nem a vízjellel áll meg. Egy mondat a holnapi pénzügyi meetingre.
Kibervédelem
Ma, június 30-án lejár az első kötelező NIS2-audit határideje. A SZTFH állásfoglalása szerint a késői nyilvántartásba vétel nem tolja el — aki 2025 elején már érintett volt, ma teljesítenie kell.
Kibervédelem
Augusztus 2-án élesedik az AI Act gépi jelölési előírása. Sok IT-felelős kipipálja és hátradől — pedig a vízjel átláthatósági eszköz, nem biztonsági kontroll. Aki a kettőt összekeveri, hamis biztonságérzetet vásárol.
Kibervédelem
20 225 Instagram-fiók veszett el, mert egy AI-bot emberi jóváhagyás nélkül állított vissza jelszavakat. A tanulság nem a Metáé — és a NIS2 már kötelezővé teszi a védekezést.
Kibervédelem
A PagerDuty felmérésében az AI-t használó dolgozók kétharmada úgy vélte, hogy nincs engedélyezve, és mégis használta. Az ügyféladat egy nyilvános chatbotba másolva nem a holnap kockázata, hanem a mai; a kérdés nem az, hogy megengeded-e, hanem hogy látod-e.
Kibervédelem
A NIS2-megfelelés nem IT-projekt. Három jogi-szervezeti lépés, amelynek a sorrendje fix. Az első kiberbiztonsági audit határideje 2026. június 30. volt. Az elmulasztott audit bírsága legalább 1 millió forint, a felső határ az érintetti körtől függően 50 vagy 150 millió forint.
Kibervédelem
2026. április 19-én a Vercel megerősítette: egy harmadik fél AI-eszköz, a Context.ai kompromittálódásából indult a betörés. 580 alkalmazott adata, NPM-tokenek, GitHub-tokenek, forrás-kód a BreachForumson.