Cyberbezpieczeństwo firmy coraz rzadziej zależy wyłącznie od tego, jak dobrze chroniona jest jej własna infrastruktura. Możemy mieć aktualne systemy, poprawnie skonfigurowane zabezpieczenia i dobrze chronione serwery, a mimo to stać się elementem cyberataku.
Wystarczy, że problem pojawi się u jednego z naszych dostawców.
Dobrym przykładem jest incydent dotyczący platformy reklamowej Adform, opisany 1 sierpnia 2026 roku przez The Hacker News.
Atakujący zmodyfikowali legalny plik JavaScript wykorzystywany przez Adform. W efekcie zaufany komponent, automatycznie ładowany przez strony internetowe klientów, zaczął wykonywać kod kontrolowany przez cyberprzestępców.
Co się wydarzyło?
Celem ataku był plik trackpoint-async.js, udostępniany z infrastruktury Adform.
Cyberprzestępcy dodali do niego kod pozwalający na wykrywanie adresów portfeli kryptowalutowych Bitcoin, Ethereum i Tron oraz zastępowanie ich adresami należącymi do atakujących.
Mechanizm był szczególnie niebezpieczny, ponieważ nie ograniczał się wyłącznie do obserwowania schowka.
Kod mógł przechwytywać operacje kopiowania i wklejania, modyfikować zawartość pól formularzy oraz zmieniać adresy portfeli bezpośrednio w elementach strony.
W praktyce użytkownik mógł skopiować prawidłowy adres portfela, ale podczas wykonywania transakcji posłużyć się już adresem podstawionym przez przestępców.
Adform poinformował, że wykrył incydent 27 lipca 2026 roku, usunął złośliwy kod, powiadomił klientów oraz odpowiednie organy. Publicznie dostępne informacje nie pozwalają jednak jeszcze określić pełnej skali zdarzenia ani liczby potencjalnie dotkniętych stron i użytkowników.
Dlaczego ten incydent jest ważniejszy niż kradzież kryptowalut?
Najważniejszym elementem tej historii nie jest Bitcoin, Ethereum ani nawet sam Adform.
Jest nim łańcuch dostaw oprogramowania — software supply chain.
Współczesna strona internetowa praktycznie nigdy nie składa się wyłącznie z kodu stworzonego i kontrolowanego przez jej właściciela.
Ładuje biblioteki JavaScript, narzędzia analityczne, systemy reklamowe, widgety, systemy płatności, narzędzia marketingowe, mechanizmy monitoringu i wiele innych komponentów pochodzących od zewnętrznych dostawców.
Każdy taki element tworzy dodatkową relację zaufania.
I właśnie tę relację wykorzystują ataki supply chain.
Cyberprzestępca nie musi atakować osobno setek czy tysięcy firm. Znacznie bardziej efektywne może być przejęcie jednego komponentu wykorzystywanego przez wiele organizacji.
Jeden dostawca → jeden zmodyfikowany komponent → potencjalnie wiele stron → tysiące użytkowników.
To zasadniczo zmienia sposób, w jaki firmy powinny patrzeć na cyberbezpieczeństwo.
„Nasza firma nie korzysta z kryptowalut” nie jest odpowiedzią
Łatwo uznać ten przypadek za problem dotyczący przede wszystkim branży kryptowalutowej.
To błąd.
Tym razem zmodyfikowany JavaScript podmieniał adresy portfeli. Ten sam mechanizm techniczny mógłby jednak zostać wykorzystany do innych celów.
Złośliwy kod uruchamiany w przeglądarce użytkownika potencjalnie może próbować przechwytywać dane formularzy, manipulować numerami rachunków bankowych, zmieniać informacje wyświetlane użytkownikowi, przekierowywać ruch albo przygotowywać kolejne etapy ataku.
Dlatego prawdziwe pytanie brzmi:
Czy wiemy, jaki zewnętrzny kod działa dziś na naszych stronach internetowych i kto faktycznie może go zmienić?
W wielu organizacjach odpowiedź będzie niestety niepełna.
Third-Party Risk staje się częścią cyberbezpieczeństwa
Incydent Adform pokazuje również, dlaczego klasyczne podejście do bezpieczeństwa IT przestaje wystarczać.
Nie możemy analizować wyłącznie własnych serwerów, komputerów, firewalli i kont użytkowników.
Trzeba analizować również dostawców.
Organizacja powinna wiedzieć:
jakie zewnętrzne skrypty i biblioteki wykorzystuje,
skąd są one pobierane,
jakie mają uprawnienia,
jakie dane mogą przetwarzać,
kto odpowiada za ich bezpieczeństwo,
jak szybko dostawca informuje o incydencie,
oraz co stanie się z naszym biznesem, jeśli taki komponent zostanie przejęty.
To już nie jest wyłącznie problem działu IT.
To obszar Third-Party Risk Management, Vendor Risk Management oraz cyber risk management.
Co powinny zrobić firmy?
Pierwszym krokiem powinien być rzeczywisty audyt komponentów zewnętrznych wykorzystywanych przez strony i aplikacje firmy.
Nie wystarczy lista dostawców znajdująca się w dokumentacji zakupowej.
Potrzebna jest wiedza o tym, jaki kod rzeczywiście wykonuje się w środowisku użytkownika.
Warto również ograniczać liczbę niepotrzebnych integracji, stosować odpowiednio skonfigurowaną Content Security Policy (CSP), monitorować zmiany zewnętrznych zasobów oraz — tam, gdzie jest to technicznie możliwe — stosować mechanizmy kontroli integralności kodu.
Równie istotne jest uwzględnienie tego rodzaju scenariuszy w procesie oceny dostawców i planach reagowania na incydenty.
Najważniejsza lekcja
Przez wiele lat podstawowe pytanie cyberbezpieczeństwa brzmiało:
„Czy ktoś może włamać się do naszej firmy?”
Dzisiaj trzeba dodać kolejne:
„Czy ktoś może włamać się do firmy, której kodowi zaufaliśmy?”
Incydent Adform bardzo dobrze pokazuje zmianę charakteru współczesnego cyberzagrożenia.
Granica infrastruktury organizacji przestaje być jednocześnie granicą jej ryzyka.
Firma może zabezpieczyć własne systemy, ale nadal pozostaje częścią znacznie większego ekosystemu technologicznego — dostawców chmurowych, bibliotek, platform marketingowych, systemów płatności, API i zewnętrznych skryptów.
Dlatego zarządzanie cyberbezpieczeństwem coraz bardziej staje się zarządzaniem zaufaniem w całym cyfrowym łańcuchu dostaw.
Źródło: The Hacker News, “Hackers Poison Adform Script to Swap Crypto Wallet Addresses Across Customer Sites”, Swati Khandelwal, 1 sierpnia 2026 r.
https://thehackernews.com/2026/08/hackers-poison-adform-script-to-swap.html
