Wyciek z MyDr: pięć naruszeń, jeden brakujący kanał zgłoszeń

12 sierpnia 2026 MyDr sp. z o.o., polski dostawca oprogramowania do elektronicznej dokumentacji medycznej, potwierdził na własnej stronie o incydencie, że „stał się celem zewnętrznego, celowego działania przestępczego”, które objęło „część danych”. Osobno napastnicy przekazali Zaufanej Trzeciej Stronie, że mają 18 814 422 unikalne numery PESEL. MyDr nie potwierdza ani tej liczby, ani żadnej innej.

Z czterema innymi dużymi naruszeniami na trzech kontynentach łączy ten incydent coś znacznie węższego i łatwiejszego do naprawienia niż którakolwiek z przyczyn źródłowych. Kiedy ktoś z zewnątrz chciał coś zgłosić, nie miał jak tego zrobić.

Program ujawniania podatności (VDP) nie powstrzymałby żadnego z tych pięciu naruszeń. To argument o tym, kto dowiaduje się pierwszy i jak długo to trwa.

Co się stało w MyDr i trzy liczby, które się nie zgadzają

MyDr dostarcza polskim przychodniom oprogramowanie do prowadzenia dokumentacji i do zarządzania placówką; grupa Docplanner (ZnanyLekarz) ogłosiła jego przejęcie 9 stycznia 2023. W obiegu są dziś trzy liczby i nie da się ich pogodzić.

• Twierdzą napastnicy: 18 814 422 unikalne numery PESEL i około 2,5 TB. Zaufana Trzecia Strona zaznacza, że nie zdołała zweryfikować ani jednego, ani drugiego.
• Mówi rząd: wicepremier Krzysztof Gawkowski powiedział 12 sierpnia, że skradziono blisko 19 milionów rekordów, „co potwierdza sama firma” (Bankier, 2026).
• Potwierdza MyDr: nic. Strona firmy, zaktualizowana tego samego dnia o 18:35, mówi, że spółka nie jest w stanie potwierdzić ilości ani rodzaju ujawnionych danych, a same dane opisuje jako „najprawdopodobniej archiwalne, z roku 2024 i lat wcześniejszych”.

Dwa z tych źródeł są pierwotne, opublikowane w odstępie kilku godzin i sprzeczne w najważniejszym punkcie. Potwierdzonej liczby rekordów dziś nie ma. Zaufana Trzecia Strona zweryfikowała wprawdzie część próbki od napastników, w tym rekord polityka wysokiego szczebla i trzy trafienia w teście na pięciu numerach PESEL. To potwierdza, że napastnicy mają prawdziwe dane wyglądające na pochodzące z MyDr. Liczby 18,8 miliona nie potwierdza.

Przyczynę źródłową znamy wyłącznie z relacji napastników i nikt jej nie zweryfikował. Podatność XXE w obsłudze certyfikatów prowadząca do wykonania kodu, skradziony klucz API do GitHuba, potem AWS. MyDr nie opublikował żadnych szczegółów technicznych, a atrybucja jest celowo zaciemniona, więc nie należy wskazywać ani grupy, ani kraju. Dat wykrycia nie znamy, bo firma informuje, że nie może ich podać w trakcie postępowania; nie da się więc wyliczyć, jak długo napastnicy siedzieli w środku.

Liczy się kolejność zdarzeń. 5 sierpnia napastnicy pokazali dziennikarzom zrzut ekranu wiadomości, którą mieli wysłać prezesowi właściciela platformy. Był w niej link do PDF-a zabezpieczonego hasłem, a hasłem był PESEL samego prezesa. 8 sierpnia odezwali się do mediów. Pierwsze oświadczenie MyDr padło 10 sierpnia, tego samego dnia, w którym dziennikarze opublikowali tekst.

Pacjenci wciąż nie mają jak sprawdzić, czy ich to dotyczy. MyDr jest podmiotem przetwarzającym w rozumieniu RODO, więc komunikat UODO z 12 sierpnia nakłada obowiązek zawiadomienia osób na administratorów, czyli na tysiące przychodni, które korzystały z oprogramowania. Rządowy serwis do sprawdzania wycieków informuje, że danych z MyDr do niego nie wgrano.

A gdyby ktoś chciał zgłosić błąd? Stan na 12 sierpnia 2026. Adres mydr.pl/.well-known/security.txt przekierowuje na stronę zbiorczą, a pro.mydr.pl zwraca 404. Jedyny w całej grupie plik security.txt (RFC 9116) leży pod konsumencką marką znanylekarz.pl i ma 44 bajty: jedną linię Contact:, bez pola Expires, którego RFC wymaga.

To obserwacja o kanale, nie teza o przyczynie. Nic nie wskazuje na to, żeby ktokolwiek kiedykolwiek próbował cokolwiek zgłosić.

Skąd firmy dowiadują się, że ktoś się do nich włamał?

W 2025 roku tylko 52% organizacji samodzielnie wykryło złośliwą aktywność jako pierwsze. 34% dowiedziało się od podmiotu z zewnątrz, na przykład od organów ścigania albo CERT-u, a 14% od samego napastnika, zwykle z żądania okupu (Mandiant M-Trends 2026, 2026).

Mediana czasu, przez jaki napastnik pozostawał niezauważony, wyniosła 14 dni wobec 11 rok wcześniej — 9 dni przy wykryciu wewnętrznym i 25 dni, gdy pierwszy zauważył ktoś inny. Ta różnica to cena braku kanału, którym ktoś z zewnątrz mógłby cię ostrzec.

Change Healthcare: 190 milionów osób i jedna niedokończona migracja

Raport 10-K UnitedHealth za rok obrotowy 2024 mówi o „około 190 milionach” osób. Wyższa liczba, 192,7 miliona, pochodzi z portalu naruszeń HHS OCR i z prasy branżowej, a nie z jakiegokolwiek dokumentu złożonego do SEC; liczba zgłoszona do OCR rosła zresztą od zastępczej wartości 500 osób przez blisko półtora roku.

Przyczynę źródłową znamy z zeznań prezesa Andrew Witty’ego złożonych pod przysięgą. 12 lutego 2024 przestępcy wykorzystali przejęte dane logowania, żeby dostać się do portalu Citrix, który „nie miał uwierzytelniania wieloskładnikowego”, przeszli dalej w głąb sieci i wynieśli dane między 17 a 20 lutego. Ransomware odpalił 21 lutego, dziewięć dni po wejściu do sieci. Kilka serwisów obwiniło CitrixBleed; żadne źródło pierwotne tego nie potwierdza.

Zapytany, dlaczego serwer wystawiony do internetu nie miał MFA, UnitedHealth odpowiedział Senatowi, że „chodzi o odziedziczony serwer Change Healthcare, a nasz zespół pracował nad doprowadzeniem go do standardów UHG”. Przejęcie zamknięto szesnaście miesięcy wcześniej. Formularz 8-K w trybie Item 1.05 poszedł dzień po wykryciu, ale listy do poszczególnych poszkodowanych ruszyły dopiero pod koniec lipca 2024, jakieś pięć miesięcy po tym, jak dane wyjechały z firmy.

Kanał istniał i nic by nie dał. Polityka zgłaszania podatności UnitedHealth, dostępna co najmniej od 2019 roku, nie oferowała nagród, safe harbor ani żadnego SLA na odpowiedź. Zakazywała „aktywnego skanowania lub testowania podatności”, wykluczała „naruszenie »dobrych praktyk«” i zapowiadała, że firma „nie będzie ujawniać, omawiać ani potwierdzać problemów bezpieczeństwa”. Brama wystawiona do internetu bez MFA to dokładnie ta klasa problemu, którą badacz zauważy tylko przy aktywnym skanowaniu. I dokładnie ta, którą osoba triażująca może zamknąć jako naruszenie dobrych praktyk.

Salesloft Drift: wyciek, którego VDP nie miał szans wychwycić

Ten przypadek jest tu dlatego, że przemawia przeciwko tezie całego tekstu. Od marca do czerwca 2025 napastnik śledzony jako UNC6395 miał dostęp do konta GitHub Salesloftu, potem przeszedł do środowiska AWS należącego do Drifta, gdzie trzymano tokeny OAuth klientów, i tymi całkowicie legalnymi tokenami sięgnął do instancji Salesforce tych klientów. Google Threat Intelligence Group stwierdza, że problem „nie wynika z podatności w samej platformie Salesforce”. Salesloft do dziś nie ujawnił, jak stracił konto na GitHubie.

MFA i monitoring logowań zostały ominięte z definicji: aplikacja była autoryzowana, a tokeny prawdziwe. Napastnikowi chodziło o dane uwierzytelniające wklejane do ticketów w supporcie. Cloudflare znalazł w treści własnych wykradzionych ticketów 104 działające tokeny API i wymienił wszystkie, a cały ten zbiór wyjechał w 3 minuty i 22 sekundy.

Od pierwszego dostępu do GitHuba do ujawnienia incydentu 20 sierpnia 2025 minęło blisko pięć miesięcy, a od końca zaobserwowanego wycieku do unieważnienia tokenów tylko dwa dni.

VDP tego by nie wychwycił. Przejęcie konta na GitHubie i scentralizowany magazyn tokenów we własnym AWS dostawcy nie są widoczne z zewnątrz, a towarzyszące im słabości to decyzje architektoniczne, które większość zakresów VDP i tak wyklucza.

Weźmy dla kontrastu defekt w sam raz dla VDP, w tym samym ekosystemie i tym samym kwartale. Noma Security znalazło w Salesforce Agentforce podatność ForcedLeak (CVSS 9,4), czyli wygasłą domenę, która wciąż wisiała na liście dozwolonych w CSP i którą dało się kupić za jakieś 5 dolarów. Zgłoszenie 28 lipca 2025, potwierdzenie 31 lipca, poprawka 8 września, publikacja 25 września. Znalezione z zewnątrz, zgłoszone, naprawione, opisane.

Free Mobile: 42 mln euro kary, a cztery miliony poszkodowanych dawno odeszły

Decyzje CNIL ze stycznia 2026 ustalają potwierdzoną skalę na 24 633 469 umów: 19 460 891 mobilnych i 5 172 577 stacjonarnych, a w przypadku klientów korzystających z obu usług także imiona i nazwiska, adresy, daty urodzenia oraz numery IBAN (CNIL, 2026).

Napastnik dotarł do narzędzia do zarządzania abonentami przez VPN Free Mobile, którego uwierzytelnianie CNIL uznał za „niewystarczająco odporne”, wytykając brak uwierzytelniania urządzenia i brak MFA dla użytkowników. Drugi zarzut: firma nie wdrożyła wystarczających środków wykrywania podejrzanej aktywności ani na tym VPN-ie, ani w sieci wewnętrznej, ani w samym narzędziu. Trzymanie logów to jeszcze nie zabezpieczenie.

Trzeci zarzut założyciele lekceważą najbardziej. Wystarczy arytmetyka. Ujawniono 19,46 miliona umów mobilnych, a aktywnych abonentów mobilnych było na 31 grudnia 2024 około 15,51 miliona. Naruszenie objęło więc blisko cztery miliony umów więcej, niż firma miała wtedy aktywnych klientów.

Free Mobile naruszyło osobno art. 5 ust. 1 lit. e, trzymając ponad piętnaście milionów zakończonych umów dłużej niż pięć lat, a trzy miliony dłużej niż dziesięć. Polityka przechowywania danych była zabezpieczeniem, a jej brak powiększył skalę szkód o miliony osób.

Dostęp trwał od 28 września do 22 października 2024, a CNIL odnotowuje, że firmę zaalarmował 21 października napastnik, który był już w jej systemach. Free zgłosiło naruszenie do CNIL w wymaganych 72 godzinach i mimo to przegrało na art. 34, bo zdaniem organu treść e-maila nie pozwoliła milionom poszkodowanych rozwiać wątpliwości co do własnej sytuacji. Kary: 27 mln euro dla FREE MOBILE, 15 mln euro dla FREE.

free.fr wystawia dziś security.txt podpisany PGP, sprawdzony 12 sierpnia 2026 — kanoniczny URL, dwa kontakty, data Expires, odcisk klucza OpenPGP. Nie ma linii Policy:, czyli nie ma ani zakresu, ani safe harbor. Skrzynka mailowa to jeszcze nie program, a ten włamywacz i tak poszedł na forum przestępcze.

Tea: znalazcą był 4chan, a poprawka przyszła po publikacji

Tea Dating Advice potwierdziło dostęp do 72 000 zdjęć, w tym 13 000 selfie weryfikacyjnych i skanów dokumentów tożsamości (NBC News, 2025); reszta pochodziła z postów, komentarzy i wiadomości, a ucierpiały wyłącznie użytkowniczki zarejestrowane przed lutym 2024 (TechCrunch, 2025).

Zawiadomienie złożone prokuratorowi generalnemu Kalifornii jest węższe. Mowa w nim o nieuprawnionym dostępie 24 lipca 2025 lub w okolicach tej daty do zasobu z rekordami weryfikacyjnymi, z przesłankami wskazującymi na dostęp do „większości lub prawdopodobnie wszystkich”, co ujawniło imiona i nazwiska, daty urodzenia oraz numery prawa jazdy i paszportów.

Przyczyna źródłowa mieści się w jednym zdaniu, które 404 Media zacytowało z wpisu na 4chanie: „Żadnego uwierzytelniania, w ogóle nic. To publiczny bucket”. Żadnych danych logowania, żadnego łańcucha exploitów, sam adres URL. Potem druga luka, baza Firestore z wiadomościami prywatnymi, którą mógł odczytać dowolny zalogowany użytkownik Tea. 404 Media pisało o ponad 1,1 miliona wiadomości, zweryfikowanych na próbce; Tea nigdy nie potwierdziło liczby, mówiąc tylko, że sięgnięto po część wiadomości.

Dwie luki, dwa kanały i żaden z nich nie prowadził do firmy. Pierwsza trafiła na 4chana w czwartkowy wieczór, a zawiadomienie użytkowniczek poszło 28 sierpnia 2025, czyli 35 dni później według kalifornijskiego rejestru.

Druga trafiła do dziennikarza. Niezależny badacz Kasra Rahjerdi znalazł bazę wiadomości, zrezygnował z publikacji i przekazał ustalenia za pośrednictwem 404 Media oraz samemu Tea, bo to był kanał, który działał. Tea wyłączyło wiadomości prywatne dwa dni później, już po publikacji. Publicznie nie pojawiło się żadne działanie nadzorcze regulatora; to jednak brak komunikatu, a nie dowód braku postępowania.

Pięć przypadków obok siebie

Co łączy tę piątkę

Jeden dostawca, tysiące firm ponoszących skutki (3 z 5). MyDr przetwarza dane dla tysięcy przychodni, Change Healthcare obsługuje dużą część amerykańskich rozliczeń medycznych, Drift siedzi jako aplikacja wewnątrz środowisk Salesforce setek innych firm. We wszystkich trzech przypadkach zaatakowano jeden podmiot, a ucierpieli klienci zupełnie innych. Dziś 72-godzinny zegar z art. 33 tyka tysiącom małych polskich przychodni, które nie mają jak samodzielnie ustalić, co się stało.

Dane trzymane długo po tym, jak przestały być potrzebne (3 z 5). Free to przypadek udowodniony przez regulatora. Tea to rozjazd między obietnicą a praktyką: polityka prywatności mówiła, że selfie weryfikacyjne są kasowane zaraz po użyciu, a 13 000 z nich leżało w publicznym buckecie. MyDr to przypadek asekuracyjnej formuły. „Najprawdopodobniej archiwalne, z roku 2024 i lat wcześniejszych” brzmi uspokajająco, ale czytane jako zdanie o okresie przechowywania mówi, że archiwalne rekordy wciąż były dostępne z systemów produkcyjnych.

Powiadomienie przyszło, ale nie od życzliwego znalazcy (4 z 5). MyDr: napastnicy napisali do prezesa. Free: włamywacz przerwał dwadzieścia trzy dni ciszy. Tea: 4chan, potem dziennikarz. Change Healthcare: samo zaszyfrowanie danych. Salesloft: nie wiadomo, i ta luka w wiedzy powinna luką zostać. Liczby Mandianta mówią, że to norma, a nie seria pechowych zbiegów okoliczności.

Identyfikatory, których nie da się wymienić (3 z 5). Hasło, klucz API czy token OAuth wymienisz; Cloudflare wymienił 104 w tydzień. Numeru PESEL, IBAN-u, numeru paszportu ani daty urodzenia nie wymienisz. Oficjalne zalecenia dla obywateli sprowadzają się dziś do zastrzeżenia numeru PESEL w mObywatelu i czekania, aż napisze do ciebie przychodnia. Każdy dodatkowy rok przechowywania to kolejny rok, w którym trwałe identyfikatory czekają w systemie, do którego ktoś w końcu dotrze.

Odziedziczony zasób (2 z 5). UnitedHealth domknął przejęcie Change Healthcare w październiku 2022, a niezabezpieczona brama w lutym 2024 wciąż figurowała na liście do migracji. MyDr przejęto w styczniu 2023, a jedyny w grupie plik security.txt (RFC 9116) leży pod inną marką i z innym adresem kontaktowym. Scalanie spółek i scalanie ich obszarów bezpieczeństwa to dwa osobne projekty, a ten drugi zwykle przegrywa.

Nie było gdzie wysłać zgłoszenia (5 z 5). To jedyna cecha wspólna dla całej piątki, a dwa przypadki pokazują, dlaczego opublikowanie strony nie jest metą. Change Healthcare dowodzi, że kanał nie wystarczy: polityka zakazująca skanowania i wykluczająca ustalenia z kategorii dobrych praktyk odfiltrowuje dokładnie tę klasę zgłoszeń, która miała znaczenie. Salesloft dowodzi, że kanał bywa zwyczajnie nie na temat.

Co kanał realnie daje, najlepiej ujął Verizon, pisząc o odsłoniętych zasobach danych: „najczęściej odkrywają je badacze bezpieczeństwa, którzy potem próbują kogoś powiadomić, o ile zdołają ustalić, czyje to dane. Nie wiemy natomiast, jak często te same dane napotykają inni, mniej obywatelsko nastawieni ludzie, kopiują je i po cichu znikają” (Verizon 2026 DBIR, 2026). Bucket Tea to ten akapit z dopisaną nazwą.

Bez kanału opcje, jakie zostają znalazcy, niosą dla niego realne ryzyko. Studenci i wykładowca z Malty w październiku 2022 napisali do firmy o podatnościach. Trzy tygodnie później do ich mieszkań weszła uzbrojona policja, a ułaskawienie dostali dopiero w lipcu 2025.

Jeśli twoim jedynym punktem przyjmowania zgłoszeń jest skrzynka supportu i dział prawny, to i tak opublikowałeś politykę, tyle że złą. Więcej w tekście o safe harbor i groźbach prawnych wobec badaczy bezpieczeństwa.

Gdzie VDP wymaga już prawo, a gdzie nie

Tu trzeba precyzji, bo w większości publikacji jej nie ma.

Unijny Cyber Resilience Act (rozporządzenie 2024/2847). Załącznik I część II pkt 5 wymaga od producentów produktów z elementami cyfrowymi, by „wprowadzili i egzekwowali politykę skoordynowanego ujawniania podatności”. Zwróć uwagę na czasownik: sama opublikowana strona tego nie spełnia. Zegar z art. 14 (24 godziny na wczesne ostrzeżenie, 72 na powiadomienie, 14 dni na raport końcowy przy aktywnie wykorzystywanych podatnościach) obowiązuje od 11 września 2026, a całe rozporządzenie od 11 grudnia 2027. Wiąże producentów wprowadzających produkty na rynek unijny, więc firma działająca wyłącznie w modelu SaaS zwykle jest poza zakresem. Szczegóły w naszym omówieniu obowiązków ujawniania z CRA.

NIS2 (dyrektywa 2022/2555). Art. 12 wiąże państwa członkowskie i ENISA, a nie pojedyncze firmy. Wdrażająca ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) weszła w życie 3 kwietnia 2026, jakieś siedemnaście miesięcy po unijnym terminie, a rejestracja podmiotów ma nastąpić do 3 października 2026. Incydent MyDr wypada dokładnie w tym czasie, zanim zaczną obowiązywać terminy zgodności i zanim ruszą kary.

Brytyjska PSTI (SI 2023/1007). Egzekwowana od 29 kwietnia 2024 dla produktów z łącznością. Załącznik 1 wymaga opublikowanego kontaktu oraz informacji, kiedy zgłaszający dostanie potwierdzenie i aktualizacje statusu, dostępnej bez wcześniejszej prośby, bezpłatnie i bez pytania go o dane osobowe. Ten ostatni warunek wyklucza formularze wymagające podania danych i strony kontaktowe schowane za logowaniem.

CISA BOD 20-01. Od 2020 obowiązkowa dla amerykańskich federalnych agencji cywilnych: polityka pod sztywną ścieżką /vulnerability-disclosure-policy, z podanym zakresem, dozwolonymi testami i jasnym zapisem, że zgłoszenia mogą być anonimowe. Platforma VDP prowadzona przez CISA odnotowała ponad 12 000 zgłoszeń w 51 programach agencyjnych łącznie do 2023 roku, z czego ponad 2400 uznano za zasadne.

Czego nikt nie wymaga. NIS2 nie każe firmom prowadzić VDP, PCI DSS 4.0 też nie; wytyczne PCI SSC mówią tylko, że programy ujawniania „mogą pomóc” przy wymaganiach 6.3.3 i 12.10.1. W amerykańskich zamówieniach federalnych nie ma obowiązku wynikającego z FAR. Miałby go wprowadzić projekt ustawy H.R. 872, przyjęty przez Izbę Reprezentantów 3 marca 2025 i na 12 sierpnia 2026 wciąż nieuchwalony.

Rachunek nie czeka na przepisy. IBM wyliczył, że w 2026 średni globalny koszt naruszenia sięgnął rekordowych 4,99 mln dolarów, o 12% więcej niż rok wcześniej (IBM Cost of a Data Breach 2026). HackerOne wypłacił 81 mln dolarów nagród w 1950 programach w roku zakończonym 30 czerwca 2025, ale 51 mln z tego zgarnęła setka największych programów, więc na typowy program zostaje rzędu 16 000 dolarów rocznie. Program bez nagród kosztuje jeszcze mniej.

A kontaktu prawie nikt nie publikuje. Opublikowane w recenzowanym czasopiśmie badanie listy Tranco znalazło security.txt w 34,0% stu największych domen, ale tylko w 1,0% pierwszego miliona (styczeń 2023, Hilbig i in., ACM DTRAP). Do stycznia 2025 udział w pierwszym milionie urósł do zaledwie 1,25%, a zgodnych z RFC było 44% istniejących plików (URIports, 2025).

Co opublikować w tym tygodniu

Nic z tego nie wymaga budżetu na nagrody ani umowy z platformą. Minimum, które w każdym z tych pięciu przypadków dałoby znalazcy adres, pod który mógłby napisać:

1. security.txt zgodny z RFC 9116 z działającym Contact:, datą Expires: i linią Policy:. Expires jest obowiązkowe i to na takich detalach wykłada się większość opublikowanych plików.
2. Strona z polityką, która prostym językiem opisuje zakres, dozwolone testy i safe harbor. Spółka matka Change Healthcare zakazała akurat tego skanowania, którego znalazca by potrzebował; Free ma skrzynkę, ale polityki żadnej.
3. Zobowiązanie do potwierdzenia zgłoszenia. To dobra praktyka, nie przepis: napisz, jak szybko potwierdzisz odbiór, i tego się trzymaj.
4. Konkretna osoba odpowiedzialna i kolejka. Zgłoszenia lądujące we wspólnej skrzynce triażuje ten, kto ma najmniej pracy, czyli nikt.
5. Oś czasu, którą da się wyeksportować. Kiedy regulator albo dziennikarz zapyta, co i kiedy wiedziałeś, „podeszliśmy do sprawy odpowiedzialnie” nie jest dowodem. Chronologia każdego zgłoszenia jest.

Wersja krok po kroku: jak uruchomić program ujawniania podatności.

Obsługa zgłoszeń bez budowania jej od zera

Opublikowanie kontaktu to jedno popołudnie. Obsługa tego, co przyjdzie, psuje się niezauważenie, bo kolejka zgłoszeń zachowuje się jak każda inna: zalega, zegar biegnie, a nikt tego nie widzi, dopóki nie zobaczy ktoś z zewnątrz.

Moduł CSIRT w Kit jest warstwą operacyjną dokładnie do tego i do niczego więcej. Generuje security.txt i prowadzi publiczny portal zgłoszeń, obok którego widnieje twój zakres, więc cele w zakresie i poza zakresem są wypisane wprost, a nie pozostawione domysłom. Nowe zgłoszenia są sprawdzane względem tego zakresu, duplikaty odsiewane, a reszta trafia na zegar SLA z celami na potwierdzenie i na rozwiązanie według poziomu ważności. Dochodzi do tego śledzenie zagrożonych terminów, żeby przekroczone zobowiązanie było widać, zanim zgłaszający zacznie eskalować.

Badacze mają trwałe profile i karmę, więc powracający autor wartościowych zgłoszeń nie zginie w szumie. Nagrody są opcjonalne: matryca poziomów ważności, głosowanie nad propozycjami, księga finansowa i przekazanie wypłaty czekają, jeśli płacisz, i śpią, jeśli nie. Każde zgłoszenie ma oś czasu do eksportu.

Ograniczenia są tu tak samo istotne jak funkcje. Kit nie zapobiegłby żadnemu z tych pięciu naruszeń. To nie EDR, nie segmentacja i nie MFA; przejęcia konta GitHub w Saleslofcie też by nie wykrył. Nie składa zgłoszeń na platformie ENISA, nie robi za ciebie zawiadomień z art. 33 i 34 i nie jest poradą prawną. Uczciwa teza jest węższa: w czterech z tych pięciu przypadków pierwszy dowiedział się ktoś inny niż firma, a opublikowany kanał zmienia to, kto dowiaduje się pierwszy.

Pięć firm, trzy kontynenty, pięć różnych przyczyn źródłowych. Jedyne, co je łączyło, to że ktoś z zewnątrz chciał im coś powiedzieć i nie miał jak. To nie jest kwestia dojrzałości ani budżetu. To brakujący interfejs, w dodatku najtańszy z tych, jakie masz na liście.