„Na spadek zysku netto w ujęciu rocznym wpłynęły przede wszystkim koszty związane z serwisowaniem Cyberpunka oraz pracami badawczymi nad nowymi projektami, znajdującymi się na wczesnym etapie produkcji, ujmowane bezpośrednio w rachunku wyników bieżącego okresu” – wyjaśnia Piotr Nielubowicz, wiceprezes CD Projektu ds. finansowych.

Spółka uprzedzała po I półroczu br., że w III kw. 2021 r. „wyniki grupy mogą być pod presją kosztów związanych z kontynuacją prac nad aktualizacjami do gry Cyberpunk 2077”, tym niemniej skala spadku zaskoczyła analityków, którzy liczyli średnio na ok. 35 mln zł zysku netto, czyli większy zysk niż w III kw. ub.r.

O 55 mln zł więcej środków

Jednocześnie stan rezerw finansowych grupy (gotówka, lokaty, obligacje skarbowe) w III kw. br. wzrósł o 55 mln zł – zapewnia CFO.

Największy polski producent gier zwiększył, tak jak zapowiadał na początku br., aktywność na rynku fuzji i przejęć. Przejął kanadyjskie studio Digital Scapes (obecnie CD Projekt Red Vancouver), a ostatnio The Molasses Flood w USA.

Kanadyjski zespół włączony w struktury CD Projekt Red wspiera produkcję realizowanych projektów, natomiast The Molasses Flood będzie produkował grę w ramach jednej z franczyz CD Projektu – zapowiedziano.

Cyberpunk na nowe konsole w I kw. 2022 r.

Firma twierdzi, że kontynuowała prace nad aktualizacjami do Cyberpunka 2077 i wersją gry na konsole najnowszej generacji. Jej premierę, planowaną początkowo na koniec br., przesunięto na I kw. 2022 r. Teraz CD Projekt potwierdził ten termin.

W I kw. 2022 r. ma pojawić się też kolejna aktualizacja Cyberpunka na wszystkie platformy. Producent pracuje też nad wersją Wiedźmina 3 nowej generacji i dodatkiem do Cyberpunka – poinformowała spółka.

Kontynuowana jest też transformacja studia, zapowiedziana wiosną w zaktualizowanej strategii.

Artykuł CD Projekt: zysk zjechał o 30 proc. pochodzi z serwisu CRN.

CD Projekt nie wyda w tym roku wersji Cyberpunka 2077 i Wiedźmina 3: Dziki Gon na konsole nowej generacji.

Zarząd spółki informuje, iż „bazując na rekomendacji osób zarządzających produkcją”, zdecydował o przedłużeniu prac nad oboma projektami. Obecnie celuje w I kw. 2022 r. jako termin wydania Cyberpunka 2077 na nowe konsole (czyli Xbox X|S i PlayStation 5), a w przypadku Wiedźmina 3: Dziki Gon – w II kw. 2022 r.

Dotychczas planowano wydanie gier na nowe konsole jeszcze w 2021 r. Zamiar ten potwierdzono w końcu sierpnia br. w sprawozdaniu finansowym za I poł. 2021 r.

Cyberpunk 2077 w końcu czerwca br. został ponownie udostępniony do sprzedaży w PlayStation Store. „Jednocześnie studio CD Projekt Red potwierdziło, że w drugiej połowie 2021 r. ukaże się wersja tytułu dedykowana konsolom najnowszej generacji, która pozwoli mu wykorzystać potencjał PlayStation 5 oraz Xbox Series X/S” – poinformował CD Projekt w sprawozdaniu za pierwsze półrocze 2021 r.

Zespół zaangażowany w aktualizacje Cyberpunka

Cyberpunk 2077 ukazał się 10 grudnia 2020 r. i zawiódł jakością wersji konsolowej (na urządzenia poprzedniej generacji). Na początku września br. wiceprezes Piotr Nielubowicz przyznał, że nadal znaczna część zespołu deweloperskiego jest zaangażowana w prace nad aktualizacjami Cyberpunka.

Spółka uprzedzała ponadto po I półroczu br., że w III kw. br. „wyniki grupy mogą być pod presją kosztów związanych z kontynuacją prac nad aktualizacjami do gry Cyberpunk 2077”.

W I poł. 2021 r. grupa CD Projekt miała 471 mln zł przychodów, o 29 proc. więcej niż przed rokiem, do czego przyczyniła się zwłaszcza sprzedaż Cyberpunka 2077 i Wiedźmina 3: Dziki Gon. Zysk netto spadł natomiast o 28 proc. r/r, do 105 mln zł, głównie ze względu na słabszy I kw. 2021 r.

Artykuł CD Projekt: poślizg z Cyberpunkiem na nowe konsole pochodzi z serwisu CRN.

Więcej funduszy gra na spadki CD Projektu. Ujawnił się kolejny (Kintbury Capital), który zajął tzw. krótką pozycję na 0,5 proc. akcji największej polskiej firmy gamingowej. W sumie jest już znanych trzech inwestorów obstawiających zjazd na akcjach spółki (łącznie mają 1,95 proc.), z tym że poniżej progu 0,5 proc. nie ma obowiązku ujawniania „shortów”, więc graczy na spadki jest zapewne więcej.

Ujawnienie kolejnej krótkiej pozycji nastąpiło niedługo po tym, jak zarząd przesunął termin publikacji raportu za I półrocze 2021 z 26 sierpnia na 1 września br., tłumacząc to opóźnieniem dostarczenia spółce raportu sprzedaży przez jednego z kluczowych partnerów dystrybucyjnych.

Przełożono także termin publikacji raportu finansowego za III kw. 2021 r.

Ponadto analitycy (Goldman Sachs, Trigon, a wcześniej DM BOŚ) rekomendowali ostatnio sprzedaż papierów spółki. W lipcu Goldman Sachs ściął cenę docelową z 182 zł do 156 zł. Brak wiary we wzrosty widać mimo powrotu Cyberpunka 2077 do Sony PlayStation Store w końcu II kw. br., o co spółka zabiegała przez kilka miesięcy.

„Wyniki zapowiadają się słabo”

„Wyniki pierwszego pełnego kwartału po długo wyczekiwanej premierze okazały się znacznie gorsze od rynkowych oczekiwań. W związku z brakiem powrotu Cyberpunka do PS Store przez większą cześć tego kwartału [wrócił 21 czerwca], dalszym spadkiem zainteresowania produktem wyniki 2Q’21 zapowiadają się równie słabo” – stwierdził Dom Maklerski BDM w czerwcowej rekomendacji dla CD Projektu, wyceniając akcje na 167 zł.

Spodziewa się natomiast, że wraz z powrotem flagowej gry do PlayStation Store wyniki spółki w III kw. br. zaczną się powoli odbudowywać.

W całym 2021 r. DM BDM prognozuje 980,3 mln zł przychodów CD Projektu oraz 305,1 mln zł zysku netto, czyli sporo mniej niż w ub.r. (w 2020 r. było odpowiednio 2,14 mld zł przychodów oraz 1,15 mld zł zysku).

Po ujawnieniu wiadomości o kolejnej krótkiej pozycji kurs CD Projektu spadł 23 sierpnia do 164,20 zł, jednak następnie odbił i ok. godz. 16.50 za papiery spółki na GPW płacono 165,60 zł.

Artykuł Zwątpili we wzrosty CD Projektu pochodzi z serwisu CRN.

Sprawa pozwów zbiorowych przeciwko CD Projektowi złożonych w USA wchodzi w kolejny etap. W czerwcu br. sąd dokonał ich konsolidacji, tzn. wszystkie będą rozpatrywane w ramach jednego ewentualnego postępowania. Aktualnie uzupełniane jest powództwo.

Prof. SGH Marcin J. Menkes, z kancelarii Queritius, ocenia w rozmowie z PAP Biznes, że zarzuty, które postawiono polskiej spółce, „specjalnie niepokojące nie są”. Ma również wątpliwości, co do ich zasadności. Jednocześnie zaznacza, że sprawy nie należy lekceważyć.

Wiodącego powoda reprezentuje nowojorska kancelaria Rosen Law Firm. Informacja o konsolidacji i złożeniu pozwu ma przyciągnąć kolejnych poszkodowanych i ułatwić prawnikom zebranie kolejnych danych. Z pozwami wystąpiono w imieniu inwestorów, którzy nabyli amerykańskie papiery wartościowe oparte na akcjach CD Projektu (“OTGLY” oraz “OTGLF”) okresie od 16 stycznia do 17 grudnia 2020 r. Pozwana została zarówno spółka, jak i osoby z zarządu: Adam Kiciński, Piotr Nielubowicz i Michał Nowakowski.

Nawet 3 lata zanim dojdzie do procesu

Marcin Menkes przypuszcza, że powód skupi się na zarzucie wprowadzania w błąd inwestorów (co stanowi naruszenie amerykańskiej ustawy SEC). O ile w CD Projekcie mogło dojść do błędów biznesowych, to jednak zdaniem eksperta udowodnienie, że spółka celowo oszukiwała inwestorów, nie będzie łatwe.

Pozew Rosen Law Firm, jak i pozostałe, zarzucają spółce „fałszywe” i „wprowadzające w błąd” informacje dotyczące Cyberpunka 2077 przed premierą gry, jaka miała miejsce w grudniu ub.r. Skutkiem miały być straty nieświadomych inwestorów po załamaniu kursu akcji. Ewentualna kwota odszkodowania z tego tytułu, jaka może pojawić się w sprawie, na razie nie jest znana.

Zdanie prawnika SGH sprawa może ciągnąć się nawet 3 lata, zanim dojdzie do fazy sądowej. Bardziej prawdopodobna wydaje się wcześniejsza ugoda. W USA niecałe 10 proc. postępowań prowadzi do procesu w sądzie, a i wówczas najczęściej finałem jest ugoda – informuje ekspert dla PAP Biznes.

Artykuł Pozwy wobec CD Projektu. Udowodnienie winy nie będzie łatwe pochodzi z serwisu CRN.

Sprzedaż Cyberpunka 2077 na platformie Steam nadal jest słaba. W II kw. br. może być niższa niż w I kw. br. – uważa Dom Maklerski Banku Ochrony Środowiska w nowym raporcie. Ocenia, że jeżeli ten trend nie zmieni się na bardziej pozytywny jeszcze w czerwcu, to wyniki CD Projektu za II kw. br. mogą być równie słabe, co przewidywane na I kw. br. Według DM BOŚ na platformie Steam schodzi 70-80 proc. łącznej sprzedaży Cyberpunka 2077.

Rekomendację wydano jeszcze przed publikacją wyników CD Projektu za I kw. 2021 r., które faktycznie rozczarowały. Firma miała prawie 3-krotnie niższy zysk (32,5 mln zł) niż przed rokiem.

DM BOŚ prognozuje, że w 2021 r. CD Projekt osiągnie 0,3 mld zł zysku netto, co przełożyłoby się na wskaźnik PE 63x (cena/zysk). W 2022 r. zysk ma być wyższy – 0,8 mld zł.

W 2020 r. zysk netto CD Projektu wyniósł 1,15 mld zł, co także rozczarowało analityków.

Analityk rekomenduje sprzedaż akcji CD Projektu (poprzednio: neutralnie). Obniżył wycenę papierów spółki (skorygowaną o 5 zł dywidendy) do 137 zł ze 142 zł poprzednio.

W dniu 7 czerwca na zakończenie notowań na GPW za 1 akcję CD Projektu płacono 169,76 zł. Kurs odbił po dołku sprzed kilku dni. W dniu wydania rekomendacji papiery spółki kosztowały ok. 173 zł.

Artykuł Cięcie wyceny CD Projektu. Rekomendacja: „sprzedaj” pochodzi z serwisu CRN.

W 2020 r. przychody ze sprzedaży grupy CD Projekt wyniosły 2,14 mld zł i były ponad czterokrotnie wyższe niż rok wcześniej (521 mln zł). To zasługa grudniowej premiery Cyberpunka 2077 – największej gry w historii studia.

Skonsolidowany zysk netto w 2020 r. wyniósł 1,154 mld zł, tak jak uprzedzano we wstępnych wynikach. Wzrost wobec 2019 r. (175 mln zł) był ponad sześciokrotny.

Wyniki mimo rekordowych poziomów są poniżej konsensusu analityków, którzy spodziewali się średnio 2,4 mld zł przychodów i 1,3 mld zł zysku netto (według PAP).

Blisko 14 mln Cyberpunków

Do końca 2020 r. sprzedano 13,7 mln kopii Cyberpunka 2077 – poinformowała spółka. Gra weszła na rynek 10 grudnia ub.r. (ale nieco wcześniej rozpoczęła się przedsprzedaż).

To także mniej, niż zakładali analitycy wg PAP (średnio 14,7 mln szt.).

„Jeśli chodzi o premierę, nie wszystko poszło po naszej myśli. To była dla nas ogromna lekcja, której nigdy nie zapomnimy” – przyznaje prezes CD Projektu Adam Kiciński.

„Produkcja Cyberpunka 2077 była bezsprzecznie największym i najbardziej skomplikowanym projektem, jaki kiedykolwiek zrealizowaliśmy. Wkraczaliśmy na nieznane obszary i podejmowaliśmy ryzyko” – stwierdził szef spółki w liście do akcjonariuszy.

Koszt produkcji gry to ok. 1,2 mld zł (a to nie koniec, biorąc pod uwagę kontynuację prac).

Błędy w konsolowej wersji Cyberpunka rozczarowały rynek i mocno nadszarpnęły reputację studia. Kurs akcji poleciał na łeb, sprzedaż tytułu zawieszono w Sony Playstation Store (do dziś tam nie wrócił), a inwestorzy w USA pozwali spółkę.

Jak informuje CD Projekt, wszystkie pozwy po wybraniu wiodącego przedstawiciela pozywających rozpatrywane będą w ramach jednego ewentualnego postępowania sądowego. Spółka zapowiada aktywną obronę przed wszelkimi tego typu roszczeniami.

„Dajemy z siebie wszystko”

„Dajemy z siebie wszystko, aby dopracować Cyberpunka do takiego stopnia, by gracze mogli czerpać z niego pełną przyjemność niezależnie od platformy, na której grają” – deklaruje szef spółki.

W ramach aktualizacji strategii CD Projekt zrezygnował natomiast z wydania Cyberpunka w wersji dla wielu graczy, oceniając to przedsięwzięcie jako obarczone zbyt dużym ryzykiem.

Gog.com dzięki mocnemu IV kw. 2020 r., do którego przyczyniła się premiera Cyberpunka 2077, osiągnął przychody blisko 344 mln zł, a zysk netto wyniósł ponad 20 mln zł.

Wiedźmin nadal ma duże wzięcie

Wiedźmin 3 ma za sobą drugi najlepszy rok pod względem liczby sprzedanych kopii (ponad 30 mln szt.) – lepiej sprzedawał się tylko w roku premiery, czyli niemal 6 lat temu. Cała trylogia sprzedała się już w ponad 50 mln egzemplarzy.

Dwa filary rozwoju

Wiedźmin i Cyberpunk to dwie marki, w oparciu o które CD Projekt będzie rozwijał swoje projekty w kolejnych latach – zapowiedziano. Są filarami rozwoju firmy i stanowią jedną z osi aktualizacji strategii, którą spółka przedstawiła w marcu br.

Co dalej

Poza kolejnymi aktualizacjami Cyberpunka i darmowymi DLC, w drugiej połowie 2021 r. spółka planuje wydać Cyberpunka i Wiedźmina 3 w wersji na konsole najnowszej generacji.

Kolejną premierą wkrótce będzie The Witcher: Monster Slayer – lokalizacyjna gra mobilna wykorzystująca technologię rozszerzonej rzeczywistości.

Pół miliarda złotych na dywidendę
CD Projekt zamierza wypłacić rekordową dywidendę – 503,7 mln zł – z jednostkowego zysku spółki za 2020 r., który wyniósł 1,13 mld zł. Taki jest wniosek zarządu w sprawie podziału zysku. Daje to 5 zł dywidendy na 1 akcję spółki.

Większa załoga
Na koniec 2020 r. grupa CD Projekt zatrudniała 1177 osób, o 9 proc. więcej niż w 2019 r. W tym 948 było związanych z warszawskim oddziałem.

Artykuł CD Projekt poniżej oczekiwań pochodzi z serwisu CRN.

CD Projekt w 2020 r. osiągnął 1,154 mld zł zysku netto przy przychodach ze sprzedaży wynoszących 2,139 mld zł – poinformowała spółka. Są to szacunkowe skonsolidowane dane.

Zarząd wskazuje, że wyniki obejmują dane niezaudytowane, i mogą różnić się od ostatecznych, które producent gier zaprezentuje 22 kwietnia br. (termin po raz kolejny przesunięto).

Szacunkowy wynik netto oznacza imponującą rentowność na poziomie 54 proc. Jest jednak nieco niższy, niż przewidywali analitycy (średnio ok. 1,3 mld zł). DM BOŚ w jednej z ostatnich rekomendacji, z marca br., zakładał wynik na poziomie 1,175 mld zł i sprzedaż Cyberpunka 2077 w ub.r. wielkości 15,5 mln szt.

Dane pokazują również, że premiera Cyberpunka 2077 mimo wpadek i krytyki przyniosła firmie (zgodnie z oczekiwaniami) duże pieniądze. W 2019 r. zysk spółki wyniósł 175 mln zł, a przychody 521 mln zł (rentowność netto blisko 34 proc.).

CD Projekt w końcu marca br. ogłosił zmiany w strategii.

Szef spółki poinformował również, że firma rozgląda się za przejęciami.

Artykuł Ponad 1 mld zł zysku CD Projektu pochodzi z serwisu CRN.

CD Projekt rozgląda się za możliwościami przejęć. Celem jest tworzenie równolegle dwóch wysokobudżetowych gier od 2022 r. – poinformował Reutersa prezes spółki Adam Kiciński. Zamiar takiego prowadzenia prac spółka ogłosiła w ramach zmian w strategii w końcu marca br.

Studio od przyszłego roku chce równolegle pracować nad flagowymi grami i dodatkami do już wydanych tytułów z najwyższego segmentu. Plan obejmuje także zmianę w zarządzaniu produkcją.

CD Projekt kupił kanadyjskie studio

W minionym miesiącu CD Projekt poinformował o przejęciu kanadyjskiej firmy Digital Scapes, dyrektor finansowy Piotr Nielubowicz zapowiedział większą aktywność w obszarze fuzji i przejęć w celu rozwoju technologicznego studia.

Jak twierdzi prezes Adam Kiciński dla Reutersa, przejęcia nie będą ograniczone geograficznie. Celem ewentualnych akwizycji nie jest także poprawa wyników finansowych.

Jednocześnie szef spółki zwrócił uwagę, że CD Projekt kilka lat temu podjął kroki by ograniczyć ryzyko, iż stanie się obiektem wrogiego przejęcia. Prawa głosu akcjonariuszy ograniczono do 20 proc.

Cyberpunk 2077 nie pójdzie w odstawkę
Adam Kiciński zapewnił jednocześnie, że prace nad Cyberpunkiem 2077 będą kontynuowane. Rezygnację ze stworzenia wersji dla wielu graczy, co także ogłoszono w końcu marca br., wyjaśnił zbyt dużym ryzykiem takiego przedsięwzięcia.

Luka w oprogramowaniu powodem cyberataku

Szef CD Projektu utrzymuje także, że wskutek cyberataku, jaki miał miejsce w lutym br., firma nie straciła żadnych danych. Incydent opóźnił natomiast o 2-3 tygodnie prace developerskie.

Według prezesa ataku dokonano wykorzystując lukę w zewnętrznym oprogramowaniu.

Z informacji z poprzednich tygodni wynika, że jedna z grup hakerskich dokonała ataku ransomware na CD Projekt, kradnąc i szyfrując kluczowe dane, w tym kody źródłowe flagowych gier. CD Projekt poinformował wówczas, że zablokowane dane przywrócono z backupu, odrzucił możliwość płacenia okupu cyberprzestępcom.

Pozwy w USA nadal w sądach

Z informacji Adama Kicińskiego wynika, że w USA spółka nadal stoi w obliczu pozwów zbiorowych złożonych w imieniu inwestorów w grudniu i styczniu ub.r.
Zarzucono w nich ukrywanie informacji i wprowadzanie w błąd w sprawie Cyberpunka 2077 przed premierą gry, która ujawniła poważne niedociągnięcia w konsolowej wersji.

Wyłączono natomiast CD Projekt z pozwu złożonego w Kalifornii wobec różnych producentów gier w związku z zarzutami naruszania przepisów ochrony konkurencji.

Artykuł CD Projekt celuje w przejęcia pochodzi z serwisu CRN.

Specjaliści ds. bezpieczeństwa jednoznacznie zaczęli wskazywać na tę grupę osób jako wewnętrzne zagrożenie dla bezpieczeństwa firmowych danych. Aby zminimalizować ryzyko ataku, którego skutkiem może być wyciek danych lub próba infiltracji firmowego środowiska IT, rekomendują przede wszystkim rewizję reguł polityki bezpieczeństwa, ustalenie czytelnych zasad zdalnej pracy, a następnie instalację narzędzi (jeżeli firma jeszcze ich nie posiada), które umożliwią wdrożenie nowych zasad oraz kontrolę ich przestrzegania. Nie powinno się oczywiście zapominać o zapewnieniu pracownikowi oprogramowania zabezpieczającego urządzenia końcowe, a jeśli korzysta z prywatnego sprzętu, to warto zarekomendować klientom udostępnienie takim osobom dodatkowych licencji, aby środowisko ochrony w całym przedsiębiorstwie było spójne.

W badaniu przeprowadzonym przez Acronis aż 31 proc. firm z całego świata zgłosiło, że ich pracownicy zdalni w ubiegłym roku byli atakowani codziennie. Eksperci szacują, że ten odsetek będzie znacząco rósł w 2021 r., gdyż zabezpieczenia systemów poza siecią korporacyjną pozostaną łatwiejsze do złamania. Cele ataków to głównie urządzenia osobiste i routery, ale widać też zintensyfikowane próby wykorzystania luk w coraz popularniejszych rozwiązaniach Internetu rzeczy. Z kolei analitycy Trend Micro zwracają uwagę, że najbardziej na ryzyko narażeni będą użytkownicy końcowi, którzy uzyskują regularny dostęp do wrażliwych danych, w tym dysponujący dostępem do danych personelu pracownicy działów HR, kierownicy sprzedaży operujący z wrażliwymi informacjami o klientach czy też zarząd wyższego szczebla, który zarządza poufnymi danymi liczbowymi. Natomiast nie można łudzić się, że aktywność cyberprzestępców zostanie ograniczona tylko do wymienionych osób czy grup.

Działy bezpieczeństwa w gotowości

W czasie pandemii na baczność postawione zostały działy bezpieczeństwa oraz wszyscy administratorzy w przedsiębiorstwach. Metody prowadzenia ataków nie zmieniły się znacząco i tradycyjnie wśród nich dominuje wykorzystanie inżynierii społecznej do zmanipulowania potencjalnej ofiary oraz nakłonienia jej do wykonania jakiejś czynności (kliknięcia w link, podania danych do logowania, przesłania konkretnego dokumentu itd.). Z raportu Evil Internet Minute 2020 firmy RiskIQ wynika, że w ubiegłym roku co minutę powstawały trzy witryny phishingowe oraz 375 innych cyberzagrożeń.

Ale jest jedna bardzo wyraźna zmiana – oszukańcze wiadomości e-mail czy komunikaty przesyłane w mediach społecznościowych są teraz dopieszczone pod kątem językowym w każdym calu. Tradycyjnie e-maile phishingowe były łatwe do wykrycia z powodu niepoprawnej odmiany, błędnych sformułowań i widocznego braku autentyczności. Ale wraz z wybuchem pandemii pojawiło się mnóstwo spamu bez literówek i innych błędów, na dodatek zawierającego logotypy organizacji lub firm, pod które podszywali się oszuści. Oczywiście tematem przewodnim była pandemia i aktualna sytuacja związana z lockdownami, niedostępnością artykułów pierwszej potrzeby, szczepionkami itd. Należy spodziewać się kontynuowania tego trendu w 2021 r., a eksperci wskazują przede wszystkim na rosnącą popularność fałszywych wiadomości, w których napastnicy poproszą o dane karty kredytowej w zamian za dostarczenie do domu szczepionki przeciw COVID-19.

Generalnie rosnąca skala ataków w 2020 r. postawiła na nogi wszystkich, od których zależeć mogło bezpieczeństwo firmowej infrastruktury IT i danych. Badacze z firmy Kaspersky wykrywali dziennie średnio 360 tys. nowych szkodliwych plików – o 5,2 proc. więcej niż w poprzednim roku. O 40,5 proc. wzrosła liczba trojanów odpowiedzialnych za szyfrowanie danych i ich wycieki, zaś backdoorów, które przekazują atakującym zdalną kontrolę nad zainfekowanym urządzeniem – o 23 proc. Wzrosła też liczba robaków napisanych w języku VisualBasicScript, które w większości należały do rodziny Dinihou. Z kolei oprogramowanie adware, bombardujące ofiary niechcianymi reklamami, odnotowało spadek o 35 proc. w porównaniu z 2019 r. Ogromna większość wykrytego szkodliwego kodu (89,8 proc.) była rozprzestrzeniana za pośrednictwem plików Windows PE – formatu typowego dla systemów operacyjnych Windows. Jednocześnie liczba nowych zagrożeń dla systemu operacyjnego Android zmniejszyła się o 13,7 proc.

Eksperci Acronisu podkreślają również, że starsze, tradycyjne rozwiązania cyberochronne obecnie z trudem nadążają za zmieniającym się charakterem cyfrowych ataków, a przede wszystkim za zwiększonym wyrafinowaniem i częstotliwością nowych zagrożeń. Średnia długość życia próbki złośliwego oprogramowania w 2020 r. wynosiła bowiem zaledwie 3,4 dnia. Cyberprzestępcy aktywnie wykorzystują automatyzację, co oznacza konieczność wdrażania nowatorskich rozwiązań zabezpieczających, które potrafią radzić sobie z tak często zmieniającą się naturą cyberataków.

Dotkliwe konsekwencje

Gra toczy się o dużą stawkę. We wspomnianym raporcie firma RiskIQ szacuje, że udana działalność hakerska naraża każde ze skutecznie zaatakowanych przedsiębiorstw na koszty rzędu 24,7 dolarów co minutę (w tym czasie globalnie do kieszeni cyberprzestępców trafia 11,4 mln dol.). Wysokość strat oczywiście zależy od charakteru oraz skali ataku, ale w ponad 70 proc. przypadków należy przygotować się na wydatki związane z identyfikacją incydentu, jego oceną oraz powstrzymaniem, a także pomocą prawną i zarządzaniem kryzysowym. Po ataku często konieczne jest przywrócenie infrastruktury IT do stanu pierwotnego, co może trwać nawet kilka tygodni. W przedsiębiorstwach, które w znacznym stopniu bazują na systemach informatycznych, tego rodzaju przestój wiąże się ze spadkiem obrotów i wzrostem kosztów operacyjnych. Ewentualny wyciek danych warunkuje kolejne wydatki, takie jak grzywny za łamanie regulacji  prawnych czy odszkodowania wynikające z roszczeń osób trzecich.

Do przewidzenia zatem był wzrost zainteresowania ubezpieczeniami od cyberataków, co jeszcze do niedawna było dość egzotycznym zjawiskiem. Według raportu Allianz Global Corporate & Specialty (AGCS), firmy najczęściej zgłaszają ubezpieczycielom szkody będące następstwem błędów pracowników bądź problemów technicznych. W badaniu „Managing the Impact of Increasing Interconnectivity – Trends In Cyber Risk” dokonano analizy 1736 roszczeń ubezpieczeniowych związanych z cyberbezpieczeństwem o wartości 660 mln euro, które dotyczyły AGSC oraz kilku innych instytucji ubezpieczeniowych i obejmowały lata 2015–2020.

W 2016 r. do AGCS zgłoszono 77 szkód z tytułu cyberbezpieczeństwa, zaś w 2019 r. było już 809 tego typu przypadków. Natomiast w pierwszych trzech kwartałach ubiegłego roku do tego ubezpieczyciela wpłynęło 770 zgłoszeń. Taki stan rzeczy jest pokłosiem wzrostu o 70 proc. średniej straty finansowej spowodowanej cyberatakiem oraz wzrostu o 60 proc. liczby naruszeń bezpieczeństwa. Szkody wywołane przez ataki DDoS, phishing oraz malware stanowiły 85 proc. wartości analizowanych roszczeń. Największą bolączką klientów biznesowych, którzy padli ofiarą ataku, były przerwy w działalności stanowiące około 60 proc. wartości wszystkich analizowanych szkód.

Ransomware spędza sen z powiek

Chociaż wykorzystywanie działań cyberprzestępczych do szantażu ma swoją długą historię, to dopiero wzrost popularności kryptowalut, w których należy opłacić okup, wyniósł ataki typu ransomware na podium. Dziś należą one do najbardziej lukratywnych odmian przestępczości, co sprawiło, że cybergangi toczą ze sobą zaciekłą rywalizację, przyczyniającą się do dywersyfikacji i zwiększonej złożoności złośliwego kodu. Według danych należącego do Fortinetu laboratorium FortiGuard Labs, w drugiej połowie 2020 r. (w porównaniu z pierwszą) nastąpił siedmiokrotny wzrost całkowitej liczby ataków z użyciem ransomware’u.

Co więcej, zmianie uległa także taktyka ich działania. Wiele firm tak zmodyfikowało swoje systemy backupowe, aby niemożliwe było zaszyfrowanie również kopii danych – w przypadku skutecznego ataku ransomware po prostu szybko odtwarzają utracone informacje. Dlatego przestępcy, równolegle z procesem szyfrowania danych, kradną je, a później szantażują upublicznieniem. To zaś przynosi ryzyko nie tylko ujawnienia konkurencji własności intelektualnej, ale w przypadku danych osobowych naraża na konsekwencje prawne. Rośnie też popularność usług ataku z wykorzystaniem ransomware’u (Ransomware-as-a-Service). Niestety, eksperci szacują, że takie działania staną się w tym roku normą.

Można też zauważyć postępującą „specjalizację” wśród gangów atakujących za pomocą ransomware’u. Jedne z nich w maksymalny sposób automatyzują proces szyfrowania i pobierania okupu, aby uzyskać efekt jak największej skali rażenia w nadziei na łatwe zdobycze. Inne skupiają się na przedsiębiorstwach z różnych branż, niestety, nie oszczędzając nawet placówek ochrony zdrowia. Ubiegłoroczny atak na centrum medyczne w Vermont spowodował koszty w wysokości 1,5 mln dol. dziennie. Rzecznik instytucji przyznał, że po czterdziestu dwóch dniach od ataku szpital oszacował straty na około 63 mln dol., nie licząc kosztów przywrócenia i uruchomienia swoich systemów.

Wiele grup zaczęło bardzo precyzyjnie dobierać swoje ofiary, przeprowadzać wstępny wywiad, w wyniku którego szacują czy firma lub instytucja w ogóle będzie w stanie zapłacić okup. Blady strach padł na dostawców usług chmurowych, bo w 2021 r. to wielu z nich będzie na linii strzału – włamanie się do każdego z nich w celu kradzieży danych wielu klientów jest bardziej opłacalne niż atakowanie pojedynczych ofiar. Co ciekawe, odnotowano też pierwsze próby kontaktu telefonicznego przedstawicieli cybergangów z ofiarami ataków. Sytuacja ta dotyczyła wyłącznie tych firm, które próbowały we własnym zakresie odszyfrować dane, a tym samym uniknąć płacenia haraczu.

Haker do wynajęcia

Wspomniane już usługi ataku na wskazane przez zleceniodawcę ofiary stały się w ostatnim czasie bardzo chodliwym towarem na czarnym rynku. Przedstawiciele firmy Kaspersky szacują, że w 2021 r. ich popularność wzrośnie jeszcze bardziej, przy czym twórcy malware’u oraz cyberprzestępcy skoncentrują się na świadczeniu wysoce specjalizowanych usług, w tym również APT. Dlatego firmy będą zmuszone zaktualizować swoje strategie dotyczące zapobiegania zagrożeniom, aby skupić się na identyfikacji taktyk i technik zazwyczaj kojarzonych z wyrafinowanymi napastnikami. Tymczasem obecny stan zabezpieczeń w przypadku małych i średnich firm nie jest odpowiednio przygotowany do radzenia sobie z atakami APT.

Przykładem takiego zaawansowanego cybergangu, oferującego za opłatą usługi hakerskie w celu kradzieży wrażliwych informacji biznesowych należących do firm z branży finansowej i prawniczej, jest DeathStalker. Badacze z firmy Kaspersky po raz pierwszy informowali o aktywności tej grupy w sierpniu ubiegłego roku. Rozsyła ona za pomocą wiadomości phishingowych nowe szkodliwe narzędzie – backdoor PowerPepper, w którym zastosowano kilka technik unikania wykrycia, w tym steganografię (metodę ukrywania danych w plikach graficznych). W przypadku backdoora PowerPepper szkodliwy kod jest osadzony w zwykłych obrazkach paproci lub papryczek (stąd nazwa), a następnie wyodrębniany przez skrypt modułu ładującego. Gdy to nastąpi, PowerPepper zaczyna wykonywać wysyłane przez operatorów zdalne polecenia, których celem jest kradzież wrażliwych informacji biznesowych.

W poszukiwaniu najsłabszego ogniwa

Kolejną innowacyjną metodą działania cyberprzestępców jest eksploracja tzw. cyfrowych łańcuchów dostaw (digital supply chain) i wyszukiwanie ich słabych punktów. Chodzi o możliwość wykrycia miejsca w technicznych procesach przekazywania informacji, gdzie można ją zmodyfikować lub „dokleić” własną. Ofiarą tego typu ataku padła w ubiegłym roku firma SolarWinds – hakerzy umieścili back-door Sunburst w pakiecie aktualizacji wysyłanym użytkownikom rozwiązań tego producenta.

Przypadków modyfikowania firmware’u różnych urządzeń w celu uzupełnienia go o złośliwy kod będzie coraz więcej. Może on pojawić się w komponentach komputera– płytach głównych, kartach graficznych, dźwiękowych, kamerach itd. Napastnik po zainfekowaniu może szpiegować aktywność użytkownika, wyciągać dane z pamięci systemu, zdalnie kontrolować elementy urządzenia lub system operacyjny, a nawet unieruchomić sprzęt. Oczywiście wyzwaniem jest nakłonienie użytkownika do instalacji spreparowanej wersji firmware’u, ale – jak widać – czasem nawet wiarygodne źródło może okazać się skompromitowane. Dlatego w polityce bezpieczeństwa nie można zakładać tylko działań zabezpieczających przed atakiem, ale też trzeba pamiętać o umiejętności poradzenia sobie z nim.

Eksperci do spraw cyberbezpieczeństwa ostrzegają także przed coraz chętniej podłączanymi do internetu urządzeniami, z których może płynąć więcej szkody niż pożytku. IoT jest ciekawą koncepcją, ale nie bez powodu coraz częściej nazywane jest „Internet of Threats”, zamiast „Internet of Things”. W ostatnim czasie wiele krwi administratorom ds. bezpieczeństwa w firmach napsuł trojan IP Storm atakujący urządzenia bazujące na architekturze ARM, nie uznawanej za całkiem bezpieczną.

Przejęte przez IP Storm inteligentne urządzenia, takie jak telewizor czy lodówka, były wykorzystywane jako narzędzie do dalszych ataków, w tym na infrastrukturę w firmie zdalnego pracownika. Wykrycie tego trojana u zarażonego użytkownika często skutkowało też wprowadzeniem jego adresu IP na czarną listę, czego konsekwencją było uniemożliwienie korzystania z wielu dostępnych w chmurze narzędzi, które stosują mechanizmy reputacyjne do oceny wiarygodności podłączającego się pracownika.

Eksperci z firmy ESET wskazują na jeszcze jeden rodzaj zagrożenia. Chodzi o zyskujące w dobie pandemii coraz większą popularność inteligentne zabawki „dla dorosłych” – te wyposażone w kamery, mikrofony i możliwość analizy głosu. Do jeszcze szybszego bicia serca może więc przyczynić się fakt, że dostęp do zgromadzonych danych będzie miała nie tylko osoba po drugiej stronie internetowego łącza, ale też cyberprzestępcy, którzy mogą później dopuścić się szantażu.

Przykłady najciekawszych cyberataków z ostatnich miesięcy

• Niebezpieczne narzędzia zabezpieczające Najpoważniejszy atak hakerski w 2020 r. dotknął, paradoksalnie, dostawcę rozwiązań ochronnych, – firmę SolarWinds. Wykorzystano w nim platformę SolarWinds Orion, służącą do scentralizowanego monitorowania środowiska IT w firmach. Pobiera ona i koreluje ogromne ilości różnych danych, zatem jest traktowana przez użytkowników, jak też rozwiązania ochronne tego producenta, jako zaufana. Tymczasem hakerzy wbudowali backdoor w aktualizację oprogramowania platformy Orion. Uzyskanie dostępu do narzędzia monitorującego pozwoliło hakerom „zadomowić się” w innych systemach ofiar. Problem dotknął w sumie 18 tys. klientów, w tym wiele agencji rządowych USA (m.in. Departament Skarbu oraz Pentagon). Również Microsoft przyznał, że stał się celem ataku i znalazł złośliwe pliki binarne w oprogramowaniu platform Azure oraz Active Directory. Krajem, z którego miał być zainicjowany atak, jest prawdopodobnie Rosja.

• Cyberatak w świecie Cyberpunka To z kolei największy (przynajmniej wizerunkowo) w ostatnich miesiącach atak ransomware w Polsce. Jego ofiarą padł CD Projekt – złodzieje zaszyfrowali serwery oraz wykradli kod źródłowy i wiele innych danych dotyczących gier „Cyberpunk 2077”, „Wiedźmin 3” i „Gwint”. Twierdzą też, że skopiowali wszystkie dokumenty z działów księgowości, prawnego, HR oraz relacji inwestorskich. CD Projekt nie podjął negocjacji z przestępcami, zamiast tego skupił się na prowadzeniu działań ograniczających konsekwencje ewentualnego upublicznienia danych. Nie opłacił też okupu za odszyfrowanie danych – odzyskał je z backupu.

• Iran inwigiluje W jednym z holenderskich centrów danych wykryto podejrzany serwer należący do firmy zarejestrowanej na Cyprze. Urządzenie było wykorzystywane przez irański rząd do inwigilacji swoich krytyków mieszkających za granicą. Przez komunikator internetowy Telegram przesyłane były pliki zainfekowane złośliwym oprogramowaniem, jakie już wcześniej wykorzystywały irańskie służby specjalne. Malware nagrywał rozmowy oraz wykonywał zrzuty ekranu.

• Po szczepienie bez kolejki W USA popularne stały się kampanie phishingowe, w ramach których proponowane jest zaszczepienie przeciw COVID-19 bez konieczności wielomiesięcznego oczekiwania. FinCEN, oddział Departamentu Skarbu USA zajmujący się wykrywaniem przestępstw finansowych, wydał ostrzeżenie przed atakami ransomware, oszustwami i innymi cyberprzestępstwami, wykorzystującymi kontekst szczepionek i ich dystrybucji. Wymieniono takie działania cyberprzestępców jak: oferowanie nieistniejących lub podrobionych szczepionek, nielegalne przekierowywanie oryginalnych preparatów na czarny rynek czy proponowanie dostępu do szczepień poza obowiązującym harmonogramem. Wcześniej w sieci pojawiały się oferty nieistniejących maseczek, zestawów do testowania, „cudownych” leków, jak też próby wyłudzenia danych pod pozorem fałszywych odszkodowań dla chorych.

• Prawie jak Netflix W styczniu 2021 r. nastąpił lawinowy wzrost ataków phishingowych wymierzonych przeciwko polskim użytkownikom serwisu Netflix. Oszuści wysyłali do klientów wiadomość o problemach związanych z opłatą subskrypcji i groźby zawieszenia ich członkostwa. Dołączony link, pod którym oferowana jest pomoc, prowadzi do strony łudząco przypominającej serwis Netflixa, na której użytkownik po „zalogowaniu” musi podać dane osobowe, numer karty płatniczej, jej datę ważności oraz kod CVV. Charakterystyczną, bo statystycznie nietypową cechą tych komunikatów jest bardzo poprawny język, bez literówek czy błędów gramatycznych.

• Ogołoceni z danych Prawie dwa miliony rekordów, które wyciekły w grudniu 2020 r. z bazy danych erotycznego serwisu MyFreeCams.com, zostały sprzedane na podziemnym forum internetowym w darknecie. Napastnik otrzymał dostęp do poufnych danych po wstrzyknięciu kodu SQL, w wyniku czego pozyskał nazwy użytkowników, ich adresy e-mail, hasła oraz stan kont wykorzystywanych w tej witrynie tokenów MFC. Badacze z CyberNews wyliczyli na podstawie analizy portfela kryptowalut, że sprawca zarobił na sprzedaży nielegalnie pozyskanych rekordów około 22 tys. dol.

• Wodę można zatruć przez internet Włamanie do systemu komputerowego wodociągów w mieście Oldsmar (Floryda) mogło skończyć się zatruciem szkodliwymi chemikaliami całej sieci wodnej. System nie był odpowiednio chroniony – najprawdopodobniej wszystkie komputery podłączone do sieci zabezpieczono tym samym hasłem, które wcześniej wyciekło. Dowody wskazują, że atakujący wykorzystał TeamViewera do uzyskania zdalnego dostępu, a następnie próbował zatruć wodę poprzez zwiększenie zawartości wodorotlenku sodu ze 100 do 11,1 tys. jednostek na milion. Na szczęście obsługa wodociągów została w odpowiednim momencie zaalarmowana.

Artykuł Pandemia cyfrowych przestępstw pochodzi z serwisu CRN.

Krytyka niedociągnięć w grze Cyberpunk 2077 jest uzasadniona, jednak reakcja na błędy była przesadzona i niesprawiedliwa – uważa Josef Fares, reżyser filmowy, projektant gier oraz założyciel szwedzkiego studia Hazelight Studios (wyprodukowało ostatnio gry wydane przez Electronic Arts).

„Cyberpunk got an ufair amount of sh**” – stwierdził Fares mocno w wywiadzie zamieszczonym na Twitterze.

Zwrócił uwagę na „polowanie na czarownice” jakie według niego miało miejsce. Serwis thegamer.com komentuje, że założyciel Hazelight być może odnosi się do rzekomych gróźb śmierci, jakie mieli otrzymać developerzy CD Projektu (o czym informowano w grudniu ub.r.).

Josef Fares nawiązał do Cyberpunka 2077 pytany o wyzwania związane z tworzeniem gier podczas pandemii i lockdownów. Przyznał, że jego studio miało szczęście, utrzymując harmonogram, współczuje natomiast trudnego wyboru innym twórcom. Wielu musiało opóźnić wydania.

Premiera przekładana od stycznia ub.r.

Dla przypomnienia pierwsze przesunięcie premiery Cybepunka 2077 ogłoszono jeszcze przed pandemią, w styczniu 2020 r. z planowanego terminu w kwietniu na wrzesień 2020 r. Kolejny raz datę przełożono w czerwcu 2020 r. (z września na listopad). Ostatecznie gra wyszła 10 grudnia 2020 r.

Cyberpunk 2077 rozczarował po premierze błędami w konsolowej wersji gry. Kurs akcji zanurkował o ok. 40 proc., za oceanem złożono pozwy zbiorowe inwestorów wobec spółki.

Dodatkowym ciosem dla CD Projektu był atak ransomware z początku lutego, który doprowadził do kradzieży (według hakerów) i zaszyfrowania danych na serwerach (według spółki przywrócono je z kopii zapasowych). Atak utrudnił pracownikom zdalny dostęp i opóźnił wprowadzenie dużej aktualizacji Cyberpunka. Zamiast w lutym będzie dostępna w drugiej połowie marca.

1 mld zł zysku

Atak spowodował także przełożenie publikacji raportu finansowego spółki za ub.r. Według nowej analizy mBanku CD Projekt w 2020 r. mimo problemów z Cyberpunkiem osiągnął ponad 1 mld zł zysku netto. To kilka razy więcej niż w 2019 r. (175,3 mln zł).

Także w rekomendacji z grudnia ub.r. Biuro Maklerskie mBanku przewidywało ponad 1 mld zł zysku CD Projektu i cenę docelową akcji spółki na poziomie 232 zł. Co ciekawe, dokładnie tyle wyniósł kurs w piątek 5 marca na zakończenie notowań na GPW.

Artykuł CD Projekt ofiarą „polowania na czarownice” pochodzi z serwisu CRN.