Sprawa nie jest nowa, bo z grudnia 2025, ale w weekend pracowałem na Notepad++ tylko na prywatnym komputerze. Kto zna ten program, wie jakie są jego zalety w stosunku do podobnych edytorów, a w szczególności do standardowego Notatnika.
W skrócie – państwowa grupa hakerska (przypisywana do Chin, np. Lotus Blossom / Zirconium) przejęła część infrastruktury aktualizacji Notepad++, aby hijackować aktualizacje i dostarczać „wzbogacone” instalatory wybranym użytkownikom. Info od Notepadd++ tutaj: Notepad++ Hijacked by State-Sponsored Hackers | Notepad++
Duże organizacje żyją pod stałą presją, bo mają setki podobnych elementów: edytory, wtyczki, biblioteki, małe narzędzia od niszowych dostawców, skrypty, automatyzacje, sterowniki. Każdy z nich to potencjalne wejście. A część z nich aktualizuje się „po cichu”, często nigdy. Takie problemy rozlewają się też na ich dostawców np. firmy zarządzające ich infrastrukturą, dostarczające oprogramowanie, czy nawet firmy, które z racji relacji biznesowych coś robią i potrzebują kont wewnątrz naszych systemów.
I tu zaczyna się temat, który coraz częściej wraca na spotkaniach z klientami: analiza ryzyka i ryzyko łańcucha dostaw. Widzę, że to nie jest akademicka dyskusja, bo co chwilę pojawiają się takie sytuacje, a Klienci pytają o rzeczy bardzo przyziemne:
- które aplikacje i dostawcy są naprawdę krytyczni,
- co się stanie, jeśli jedno „małe” narzędzie zostanie przejęte,
- jak szybko to wykryjemy,
- ile to może kosztować (czas, przestój, kary, utrata danych, reputacja).
- czy chociażby gdzie i co jest z tymi wszystkimi systemami AI
Dlatego zachęcam: warto rozumieć, czym jest analiza ryzyka i czym jest kwalifikacja ryzyka, ilościowa ocena ryzyka (risk quantification).
Analiza ryzyka pomaga ułożyć temat w głowie i na mapie: co mamy, gdzie jest najsłabsze miejsce, co jest najbardziej prawdopodobne i co boli najbardziej. Można kwalifikować, dyskwalifikować dostawców.
Kwalifikacja ryzyka idzie krok dalej: próbuje przeliczyć ryzyko na pieniądze i priorytety. Dzięki temu łatwiej rozmawiać z zarządem i decydować, co robimy najpierw, a co może poczekać.
Bo czasem „błaha” rzecz, jak edytor tekstu, przypomina wprost: bezpieczeństwo organizacji to suma drobiazgów i zwykle się coś pali. I ktoś zawsze będzie próbował uderzyć właśnie w te drobiazgi.