Agencja Wywiadu i Służba Kontrwywiadu Wojskowego ostrzegają przed cyberatakami na usługę Zimbra. Rosyjscy hakerzy wysyłają e-maile z ukrytym kodem. Wystarczy otworzyć wiadomość, by stracić dostęp do skrzynki. – Odpowiedzialne osoby powinny dawno temu zainstalować poprawione oprogramowanie i ataku by nie było – komentuje Kamil Porembiński, ekspert ds. cyberbezpieczeństwa.
- Rosyjscy hakerzy wysyłają e-maile z ukrytym kodem do użytkowników usługi pocztowej Zimbra. Wystarczy otworzyć wiadomość, by stracić kontrolę nad skrzynką.
- Kod pozwala hakerom czytać e-maile, kopiować kontakty, podglądać hasła i kody zapasowe.
- Kamil Porembiński, ekspert ds. cyberbezpieczeństwa, tłumaczy, w jaki sposób hakerzy przełamali zabezpieczenia. Podkreśla, że błąd został załatany już w listopadzie 2025 r. Ataku można było uniknąć w porę aktualizując oprogramowanie.
Agencja Wywiadu i Służba Kontrwywiadu Wojskowego ostrzegają przed wyrafinowanym atakiem rosyjskich hakerów na skrzynki pocztowe w usłudze Zimbra. To popularny system do obsługi poczty elektronicznej w przeglądarce internetowej wybierany przez wiele firm jako alternatywa dla takich rozwiązań jak Microsoft Exchange czy Gmail.
Tańsze paliwo jeszcze w wakacje? Rząd szykuje decyzję
Cyberprzestępcy postawili poprzeczkę o wiele wyżej niż w przeciętnych atakach na skrzynki pocztowe. W tym przypadku wystarczyło otworzyć zwykłego e-maila. O zagrożeniu informuje serwis Niebezpiecznik.pl.
Jak przebiegał cyberatak?
W środku zainfekowanej wiadomości był ukryty złośliwy kod. Po otwarciu e-maila sam się uruchamiał i dawał hakerom dostęp do całej zawartości poczty użytkownika. Kod był podzielony na mniejsze kawałki, co pomogło hakerom ominąć zabezpieczenia Zimbry. Docelowo przeglądarka składała go w całość i wykonywała.
Hakerzy z grupy TA488 (znanej też jako Void Blizzard lub Laundry Bear) mogli czytać wiadomości z ostatnich 90 dni. Mogli również skopiować książkę adresową użytkownika, hasła zapamiętane w przeglądarce, kody zapasowe do logowania dwuetapowego czy specjalne kody zabezpieczające.
Co gorsza, kod tworzył dodatkowe hasło o nazwie „ZimbraWeb”. Dzięki niemu hakerzy mogli później wchodzić do skrzynki jak do zwykłego programu pocztowego – nawet gdy ktoś miał włączone logowanie dwuetapowe.
Jak „zamaskowano” kod?
– Twoja poczta przez przeglądarkę to tak naprawdę program działający w tej przeglądarce – tłumaczy Kamil Porembiński, ekspert ds. cyberbezpieczeństwa. – Kiedy otwierasz maila w HTML-u, program go „rysuje”. Pokazuje tekst, obrazki, formatowanie. Normalnie po drodze wycina z niego wszelki aktywny kod, bo w mailu nie ma on prawa działać – wyjaśnia.
W przypadku tego ataku kod „zamaskowano” w taki sposób, że zabezpieczenia go przepuściły, a przeglądarka go wykonała.
A gdy taki kod już się uruchomi, działa z uprawnieniami twojej zalogowanej sesji. Może czytać twoją pocztę i kontakty dokładnie tak, jakbyś robił to ty sam. Dlatego nie trzeba było w nic klikać: samo wyświetlenie wiadomości wystarczyło, by kod ruszył. To właśnie jest istota podatności XSS – wstrzyknięcie własnego kodu, który wykonuje się w zaufanym miejscu danej usługi.
Kamil Porembiński
ekspert ds. cyberbezpieczeństwa
Co zrobić, by nie dać się zhakować?
Ataki odbywały się w 2026 r. Łatka naprawiająca dziurę w Zimbrze została udostępniona już w listopadzie 2025 r. Jeśli ktoś jeszcze jej nie zainstalował – powinien to zrobić od razu.
Warto też sprawdzić w systemie, czy nie pojawiły się dziwne hasła do aplikacji, przejrzeć nietypowe połączenia internetowe i historię kopiowania całych skrzynek. Jeśli ktoś stracił dostęp do poczty, trzeba ustalić, do jakich ważnych informacji mógł mieć dostęp.
Policja ma broń przeciw nastolatkom na crossach. Rodzice szykują po 5000 zł od główki
Celami hakerów były urzędy, uczelnie, firmy zbrojeniowe – szczególnie ukraińskie – a także administracja, szkoły, instytucje zajmujące się energetyką, media, policja i firmy technologiczne.
Niebezpiecznik: Nie tylko e-maile mogą być zagrożeniem
„Choć tu podatni na atak byli użytkownicy oprogramowania, które dawało dostęp do firmowej poczty przez przeglądarkę, to podatności XSS zdarzają się od lat w różnych aplikacjach webowych” – podkreślają eksperci Niebezpiecznika w e-mailu do Zero.pl.
Jak tłumaczą, zagrożenie może przyjść z niespodziewanej strony. „Atakujący może dzięki nim wstrzyknąć złośliwy kod – np. w komentarzu pod artykułem na znanym portalu – który w zależności od możliwości danej aplikacji będzie mógł naruszyć poufność danych użytkownika” – tłumaczą.
W ten sposób mogą wykraść dane, przejąć konto albo nawet w wiarygodny sposób przekonać użytkownika do podania danych płatniczych. „Mogą to zrobić wyświetlając okienko udające prawdziwy serwis internetowy lub wprost podmieniając np. numer rachunku bankowego na stronie w trakcie realizacji przelewu” – wyjaśniają eksperci Niebezpiecznika.
