Malware w pokerze odsłonił karty; ScreenShield jest już domyślny

Ostatnia aktualizacja: 5 lis 2026, 16:47 CET: dodano aktualizację (ScreenShield domyślny od 4 lis); tytuł, meta i lid w czasie przeszłym

> Aktualizacja, 5 listopada 2026: ACR Poker podaje, że z aktualizacją oprogramowania z 4 listopada włączył ScreenShield domyślnie dla wszystkich graczy w Winning Poker Network. ACR podaje, że narzędzie ukrywa chronioną zawartość stołów, w tym karty własne, przed obsługiwanymi metodami przechwytywania i udostępniania ekranu. Gracze, którzy streamują, nagrywają lub udostępniają ekran, mogą wyłączyć je w Ustawieniach.

Według Jurojin i WIRED atakujący wsunął oprogramowanie do zdalnego dostępu do aktualizacji dwóch popularnych zewnętrznych narzędzi pokerowych, aby widzieć karty własne wybranej grupy graczy, głównie wysokostawkowych. Te narzędzia to Jurojin i IntuitiveTables, oba zewnętrzne programy do gry na wielu stołach. Zaangażowane pokerroomy zareagowały bardzo różnie, od banów i zwrotów po stanowczą odmowę zwrotów, a ACR Poker włączył ochronę stołów ScreenShield domyślnie 4 listopada.

Jak przebiegł atak

W komunikacie bezpieczeństwa, ostatnio zaktualizowanym 2 października, Jurojin pisze, że między czerwcem 2025 a styczniem 2026 atakujący „potrafił z przerwami podmieniać pakiet aktualizacji dostarczany jednej konkretnej grupie użytkowników Jurojin na zmanipulowaną wersję” oraz że „część tych pakietów zawierała narzędzie do zdalnego dostępu”. Jurojin nazywa to „wysoce ukierunkowaną operacją, a nie atakiem masowym”, wymierzoną w konkretnych rywali „w celu zdalnego podglądania ich kart własnych”. Ten okres dotyczy tylko własnego kanału aktualizacji Jurojin; według Jurojin po 28 stycznia 2026 r. na jego serwery nie wgrano już niczego innego.

WIRED w śledztwie opublikowanym 29 października nazywa program do zdalnego dostępu MeshAgent. Według badacza bezpieczeństwa WolfSec, który jako pierwszy podniósł alarm na X 29 września, twórca IntuitiveTables miał Jurojin na testowym komputerze, a ta maszyna została zainfekowana przez zmanipulowaną aktualizację. WolfSec twierdzi, że atakujący dodał potem złośliwy kod do IntuitiveTables, zanim twórca podpisał nową wersję, i że ta wersja trafiła do publicznego pobrania. WIRED przypisuje tę drogę WolfSec i nie cytuje w tej sprawie twórcy IntuitiveTables.

Według WolfSec zmanipulowana wersja IntuitiveTables działała tylko dla nazw użytkowników z listy na serwerach atakującego. WolfSec powiedział WIRED: „Jeśli byłeś na zaszytej w kodzie liście … działał jak złośliwy program … Jeśli nie byłeś na tej liście, stawał się zwykłym programem.” Według WIRED lista składała się głównie ze stałych graczy wysokostawkowych na kilku stronach.

Jak duża była skala

Tu relacje się różnią, a poniższe liczby to szacunki, nie potwierdzone sumy.

• WolfSec szacuje za pośrednictwem WIRED, że zmanipulowane oprogramowanie dotarło do ponad 1 000 użytkowników. WIRED pisze, że przez kilka lat celem miały być setki graczy.

• Źródła, z którymi rozmawiał WIRED, szacują, że atakujący miał zabrać graczom GGPoker i ACR od 1,5 do 4 mln dolarów.

• Jurojin widzi to węziej: „tylko garstka graczy wysokostawkowych poniosła szkodę, grając faktycznie przeciwko atakującemu, gdy ich karty własne były odsłonięte.” Jurojin dodaje, że „odsłonięcie nie oznacza, że urządzenie było zainfekowane.”

WIRED pisze, że opisywany przez niego gracz nie został o nic oskarżony (stan na 29 października), a my nie podajemy nazwiska osoby oskarżanej w doniesieniach ze społeczności.

Co mówią pokerroomy

ACR Poker / Winning Poker Network (WPN). W komunikacie z 16 października WPN podaje, że jego zespół Game Integrity przejrzał ponad 2 000 000 rozdań graczy, na których urządzeniach wykryto MeshAgent, „i nie znalazł dowodów, by którykolwiek gracz objęty tym przeglądem korzystał na WPN ze znajomości kart własnych”. Jedno przeglądane konto zamknięto z odrębnych powodów związanych z integralnością i zarządzaniem ryzykiem, a WPN twierdzi, że ta decyzja jest niezależna od ustaleń dotyczących kart własnych. Według WIRED ACR napisał do graczy 18 października, że nie wypłaci zwrotów.

Od 4 listopada ScreenShield, który blokuje zawartość stołów przed obsługiwanymi metodami przechwytywania i udostępniania ekranu, jest domyślnie włączony dla wszystkich graczy w całej sieci WPN, według listopadowego wydania oprogramowania ACR; WPN opisuje go jako standard całej sieci. Wcześniej działał dla wybranych graczy lub na prośbę do Support. Gracze, którzy potrzebują przechwytywania ekranu do streamingu, coachingu lub nagrań, mogą wyłączyć go sami w ustawieniach klienta. WPN włączył go już od 29 września graczom, których urządzenia spełniały jego kryteria wykrywania, i mówi, że ScreenShield nie jest „pełną odpowiedzią na każde zagrożenie cyberbezpieczeństwa”. WPN rozważa też politykę, która mogłaby zakazać oprogramowania zewnętrznego obok klienta; decyzja nie zapadła.

Osobno ACR poinformował 17 października, że błąd oprogramowania w jego kliencie stworzył „potencjalną lukę w zabezpieczeniach”, którą załatano, i że nie znalazł dowodów na przejęcie kont. ACR nie powiedział, na czym polegał błąd, ani nie powiązał go z aktualizacjami narzędzi.

GGPoker. We wpisie na blogu z 15 października GGPoker zakazał wszelkiego zewnętrznego oprogramowania pokerowego i narzędzi automatyzujących, w tym Jurojin i Intuitive Tables, oraz dodał do kontroli integralności wykrywanie nienormalnie wysokich współczynników wygranych. Wprowadził też opcjonalne funkcje bezpieczeństwa w kliencie, m.in. Screen Guard, który chroni stoły przed zrzutami ekranu, udostępnianiem ekranu i aplikacjami do zdalnego podglądu. GGPoker twierdzi, że namierzył środki do portfela kryptowalutowego i przekazał ustalenia „Coinbase, gdzie naszym zdaniem wpłacono środki”, prosząc o ograniczenie konta.

CoinPoker i ClubWPT Gold. Według WIRED CoinPoker zbanował konto i zwrócił poszkodowanym graczom ponad 100 000 dolarów, a ClubWPT Gold zbanował konto i zwrócił jednemu graczowi jego straty.

Nasza ocena

W powyższych relacjach malware wędrował w zewnętrznych narzędziach, które gracze uruchamiają obok klienta pokerowego. Odrębny błąd klienta ACR nie został z nimi powiązany. Jeśli używasz Jurojin, komunikat zaleca czystą reinstalację Windows, jeśli dostałeś jego e-mail lub zauważyłeś sygnały ostrzegawcze, i oferuje narzędzie kontrolne Jurojin Mesh Check na jurojinpoker.com; według komunikatu „czysty wynik nie jest gwarancją”. Pobieraj narzędzia wyłącznie ze strony twórcy i uważaj na wiadomości oferujące „kontrolę” lub zwrot: Jurojin twierdzi, że ten sam aktor prowadził strony phishingowe podszywające się pod pokerroomy i znane narzędzia. Zwroty zależą od każdego pokerroomu i według stanu na 31 października bardzo się różnią.

Więcej o pokerroomach i sporach: pozew Bryna Kenneya przeciwko właścicielowi GGPoker, uregulowany start pokera 888 w Albercie oraz norweskie konsultacje w sprawie pokera online Norsk Tipping. O włamaniu do kryptowalutowej strony zobacz incydent z gorącym portfelem Gamdom.

Dostępność: ACR Poker, GGPoker, CoinPoker i ClubWPT Gold nie mają licencji w każdym kraju; to, czy można w nich grać, zależy od miejsca zamieszkania.