PressXAI-Mind^TM
- eliminacja źródeł cyberprzestępczości.

Przykład dwóch ataków, które CERT-y traktują jako różne odsłony tej samej kampanii.
To są dwa odrębne ataki, odległość między nimi jest jak z Ziemi do końca wszechświata.

Atak drugi odbył się z Wietnamu, dokładnie w dzień wizyty polskiej delegacji rządowej.
Celem hakerów mogą być też członkowie delegacji, używający lokalnego internetu.


Łapanie pojedynczych domen to łapanie wiatru w polu.
PressXAI-Mind^TM identyfikuje sieci przestępcze.

23.10.2026 - Phishing nr 1 na PKOBP.PL.

https://x.com/CERT_Polska/status/2113650593545765147/

Otrzymujemy liczne zgłoszenia dotyczące kampanii,
w której cyberprzestępcy podszywają się pod PKO Bank Polski.

Zamiast niekończących się ostrzeżeń, PressXAI-Mind^TM zidentyfikował źródła przestępczości.

 (1 ip-decimal)  (2 city)       (3 co)  (6 organization)            (7 criminal-host-name)
 (630507525)     (Strasbourg)   (FR)    (AS21499 Host Europe GmbH)  (ipkobiznes.app)

 (630507525)     (Strasbourg)   (FR)    (AS21499 Host Europe GmbH)  (abklarna.com)
 (630507525)     (Strasbourg)   (FR)    (AS21499 Host Europe GmbH)  (login-klarna.com)
 (630507525)     (Strasbourg)   (FR)    (AS21499 Host Europe GmbH)  (identity-klarna.com)

 (630507525)     (Strasbourg)   (FR)    (AS21499 Host Europe GmbH)  (..cdef0123.wcindruk.nl)
 (630507525)     (Strasbourg)   (FR)    (AS21499 Host Europe GmbH)  (..01234.brabantboom.nl)
 (630507525)     (Strasbourg)   (FR)    (AS21499 Host Europe GmbH)  (..12345.anniekbeije.nl)
 (630507525)     (Strasbourg)   (FR)    (AS21499 Host Europe GmbH)  (..3.bnbdenieuwenhof.nl)
 (1 ip-decimal)  (2 city)       (3 co)  (6 organization)            (7 criminal-host-name)

Ten dostawca usług jest pośrednikiem, infrastruktura przestępcza jest znacznie głębsza.
CERT.PL przesunął na listę ostrzeżeń kilka domen, w rzeczywistości jest tysiąc.

Część z nich jest ofiarą tzw. domain hijacking.

27.10.2026 - Phishing nr 2 na PKOBP.PL.

https://x.com/CERT_Polska/status/2114746169326800989?s=20
'To kolejna odsłona obserwowanej kampanii'.

CERT.PL się myli, to nie jest 'kolejna odsłona obserwowanej kampanii', to inny atak.

1) Domeny przestępcze przesuwane są na listę ostrzeżeń przez CERT.PL od 2.01 w nocy do 7.28 rano.

 (1 no) (2 criminal-domain-name--------) (3 day-----) (4 hour-) (5 city) (6 co) (7 provider)
 (0001) (sesja-5v-PKOBIZNES.RZAD-PL.com) (2026 10 26) (2 01 09) (Hanoi-) (VN--) (VNPT Corp)
 (0002) (sesja-7z-PKOBIZNES.RZAD-PL.com) (2026 10 26) (2 01 43) (Hanoi-) (VN--) (VNPT Corp)
....
....
 (0032) (sesja-4l-PKOBIZNES.RZAD-PL.com) (2026 10 26) (6 10 06) (Hanoi-) (VN--) (VNPT Corp)
 (0033) (sesja-5j-PKOBIZNES.RZAD-PL.com) (2026 10 26) (7 28 13) (Hanoi-) (VN--) (VNPT Corp)
 (1 no) (2 criminal-domain-name--------) (3 day-----) (4 hour-) (5 city) (6 co) (7 provider)

2) Powyższe domeny są tylko elementem zmasowanego ataku, którego CERT.PL już nie widzi.

 (1 no) (2 criminal-domain-name--------) (4 city) (6 co) (7 provider)
 (0121) (sesja-2ga-PKOBIZNES.WLADZE.net) (Hanoi-) (VN--) (VNPT Corp)
 (0122) (sesja-3se-PKOBIZNES.WLADZE.net) (Hanoi-) (VN--) (VNPT Corp)
....
....
 (0122) (sesja-4x4-PKOBIZNES.WLADZE.net) (Hanoi-) (VN---) (VNPT Corp)
 (0123) (sesja-8j6-PKOBIZNES.WLADZE.net) (Hanoi-) (VN---) (VNPT Corp)
 (1 no) (2 criminal-domain-name--------) (4 city) (6 co)  (7 provider)

Dopóki nie zgłoszą się ofiary tego ataku, nikt nic nie robi, aby mu zapobiec.


3) Kiedy po zgłoszeniach CERT.PL go zauważy, hakerzy przeniosą się na kolejne domeny.

Tutaj kilka domen przygotowanych do ataku, dla bezpieczeństwa nazwy są skrócone.
 (0 domain-prepared)
 (...namento-it.net)
 (....padeit-cy.com)
 (....cybkit-us.net)
 (0 domain-prepared)

Powinno być zneutralizowane WSZYSTKO, inaczej to jest tylko pseudo-cyberbezpieczeństwo.