--- title: "Fałszywa strona WatchGuard wykradała dane administratorów, a potem pobierała prawdziwy instalator VPN" description: "Eksperci wykryli fałszywą stronę WatchGuard, która zbierała dane logowania do VPN, a następnie udostępniała autentyczny instalator. Atak mógł ułatwić dostęp do firmowych sieci, mimo że pobierane oprogramowanie nie było zmodyfikowane." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/technologie/falszywa-strona-watchguard-wykradala-dane-administratorow-a-potem-pobierala-prawdziwy-instalator-vpn" markdown_url: "https://najnowsze-informacje.pl/technologie/falszywa-strona-watchguard-wykradala-dane-administratorow-a-potem-pobierala-prawdziwy-instalator-vpn/index.md" date_published: "2026-10-18T22:49:29.565Z" date_modified: "2026-10-18T22:49:35.893Z" author: "Redakcja" category: "Technologie" tags: - "cyberbezpieczeństwo" - "vpn" - "kradzież danych" - "bezpieczeństwo firm" - "fałszywe strony" source_url: "https://www.techradar.com/pro/fake-vpn-download-site-steals-administrator-credentials-to-give-attackers-direct-access-to-corporate-networks-but-delivers-official-signed-software-so-victims-never-suspect-a-thing" source_name: "TechRadar" image_url: "https://najnowsze-informacje.pl/api/media/file/tech-unsplash-1792346470318.jpeg" image_alt: "red padlock on black computer keyboard" image_credit: "© FlyD / Unsplash" image_credit_url: "https://unsplash.com/@flyd2069" --- # Fałszywa strona WatchGuard wykradała dane administratorów, a potem pobierała prawdziwy instalator VPN > Fałszywa strona pobierania VPN WatchGuard kradła dane administratorów, a następnie kierowała ofiary do prawdziwego, podpisanego instalatora. ## Kluczowe informacje - Fałszywa witryna zbierała adres serwera, nazwę użytkownika i hasło do VPN. - Po przejęciu danych udostępniała prawdziwy, cyfrowo podpisany instalator WatchGuard. - Pierwsze wysłanie formularza było odrzucane, co mogło skłaniać ofiarę do ponownego podania hasła. - Firmy powinny resetować przejęte hasła, włączyć MFA i sprawdzić logowania VPN. Badacze bezpieczeństwa z firmy Huntress opisali kampanię, w której fałszywa strona pobierania oprogramowania WatchGuard zbierała dane potrzebne do połączenia z firmowym VPN. Witryna była przygotowana tak, aby przypominać oficjalną stronę producenta, a po przesłaniu formularza kierowała użytkownika do autentycznego instalatora. Dzięki temu ofiara mogła przejść instalację bez zobaczenia komunikatu o podejrzanym lub zmodyfikowanym pliku. ## Najpierw kradzież danych, później prawdziwe oprogramowanie Dochodzenie rozpoczęło się po wykryciu podejrzanej aktywności związanej z administratorem pracującym dla dostawcy usług zarządzanych. Użytkownik wyszukał w Bing instalator VPN firmy WatchGuard, a następnie odwiedził domenę watchguard-vpn[.]net. Strona oferowała rzekome pobranie klienta Mobile VPN with SSL i wyświetlała formularz z polami na adres serwera, nazwę użytkownika oraz hasło. Wszystkie te informacje odpowiadają danym, których może wymagać prawdziwy klient VPN, więc formularz mógł wyglądać jak zwykły etap konfiguracji. - Dane z formularza były przesyłane do osobnej domeny watchguard-ssl[.]online. - Po pierwszym wysłaniu formularz odrzucał dane i czyścił pola. - Użytkownik był proszony o ponowne wpisanie tych samych informacji, co mogło przekazać atakującym więcej niż jedną próbę hasła. - Badacze nie zaobserwowali w analizowanym incydencie pobrania pliku z oficjalnego serwera, więc użytkownik mógł nie ukończyć obu wysłań formularza. ## Autentyczny instalator utrudniał wykrycie oszustwa Po drugim przesłaniu danych witryna uruchamiała pobieranie z oficjalnej sieci dostarczania treści WatchGuard, zamiast udostępniać podrobiony instalator. Chodziło o klienta Mobile VPN with SSL w wersji 12.11.5. Plik miał ważny podpis cyfrowy firmy WatchGuard Technologies oraz znacznik czasu z 4 listopada 2025 roku. Huntress sprawdził, że po podpisaniu instalator nie został zmieniony. W analizowanym pliku nie znaleziono więc dowodów na jego modyfikację przez operatorów kampanii. Taki schemat różni się od ataków, w których przestępcy rozpowszechniają zainfekowane instalatory lub złośliwe biblioteki. W tamtych przypadkach oprogramowanie ochronne może wykryć podejrzaną zawartość podczas analizy pliku. Tutaj głównym celem była przeglądarka i dane wpisane do formularza, a prawdziwy instalator zmniejszał szansę, że użytkownik uzna całą operację za podejrzaną. Sam fakt poprawnego zakończenia instalacji nie oznaczał jednak, że dane logowania pozostały bezpieczne. ## Co wiadomo o infrastrukturze kampanii Huntress ustalił, że domena używana do pobierania została zarejestrowana 22 sierpnia 2026 roku. Domena służąca do zbierania danych pojawiła się 14 września. WatchGuard wcześniej zgłaszał podobny adres w styczniu, ale w tamtym czasie badacze nie znaleźli dział mechanizmu prowadzącego odwiedzających przez fałszywy proces pobierania. Główna domena była niedostępna 13 października, jednak nie przesądza to o wyłączeniu powiązanej infrastruktury. Wykrycie nastąpiło 21 sekund po otwarciu złośliwej strony. Zespół operacji bezpieczeństwa mógł dzięki temu przekazać instrukcje naprawcze, zanim badacze zaobserwowali dalszą eskalację. Organizacje, których pracownicy mogli użyć podobnej witryny, powinny zresetować przejęte hasła, włączyć uwierzytelnianie wieloskładnikowe, przejrzeć historię logowań VPN pod kątem nietypowych połączeń i kierować użytkowników wyłącznie do oficjalnych stron pobierania oprogramowania. Warto również pamiętać, że poprawny podpis instalatora nie potwierdza bezpieczeństwa formularza, z którego ten instalator został pobrany. ## Wyjaśnienie pojęć ### [wirtualna sieć prywatna](https://najnowsze-informacje.pl/definicje/wirtualna-siec-prywatna) Technologia tworząca szyfrowane połączenie między urządzeniem użytkownika a serwerem, dzięki czemu ruch internetowy może wyglądać tak, jakby pochodził z innej lokalizacji. ### [uwierzytelnianie wieloskładnikowe](https://najnowsze-informacje.pl/definicje/uwierzytelnianie-wieloskladnikowe) Metoda logowania wymagająca co najmniej dwóch różnych elementów potwierdzających tożsamość użytkownika. ### [podpis cyfrowy](https://najnowsze-informacje.pl/definicje/podpis-cyfrowy) Podpis cyfrowy pozwala sprawdzić pochodzenie pliku i wykryć jego zmianę po podpisaniu. W tym przypadku instalator miał ważny podpis firmy WatchGuard. ## Źródło pierwotne [TechRadar](https://www.techradar.com/pro/fake-vpn-download-site-steals-administrator-credentials-to-give-attackers-direct-access-to-corporate-networks-but-delivers-official-signed-software-so-victims-never-suspect-a-thing) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-10-18T22:49:29.565Z - **Ostatnia aktualizacja:** 2026-10-18T22:49:35.893Z - **Kategoria:** Technologie - **Adres kanoniczny:** [https://najnowsze-informacje.pl/technologie/falszywa-strona-watchguard-wykradala-dane-administratorow-a-potem-pobierala-prawdziwy-instalator-vpn](https://najnowsze-informacje.pl/technologie/falszywa-strona-watchguard-wykradala-dane-administratorow-a-potem-pobierala-prawdziwy-instalator-vpn) - **Wersja Markdown:** [https://najnowsze-informacje.pl/technologie/falszywa-strona-watchguard-wykradala-dane-administratorow-a-potem-pobierala-prawdziwy-instalator-vpn/index.md](https://najnowsze-informacje.pl/technologie/falszywa-strona-watchguard-wykradala-dane-administratorow-a-potem-pobierala-prawdziwy-instalator-vpn/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Fałszywa strona WatchGuard wykradała dane administratorów, a potem pobierała prawdziwy instalator VPN”, 2026-10-18, https://najnowsze-informacje.pl/technologie/falszywa-strona-watchguard-wykradala-dane-administratorow-a-potem-pobierala-prawdziwy-instalator-vpn