12 czerwca 2026 grupa World Leaks wystawiła na swojej stronie w sieci Tor ponad 200 tysięcy plików — 630 GB danych skradzionych z Tata Electronics, indyjskiego partnera montującego dziś mniej więcej co czwartego iPhone’a na świecie. Sieć Apple nie została tknięta. Najlepiej strzeżone sekrety firmy i tak trafiły do sieci.
W paczce znalazło się to, czego Apple pilnuje bardziej niż czegokolwiek: co najmniej sześć dokumentów mapujących setki komponentów iPhone’a 18 Pro na konkretnych dostawców, specyfikacje układów, baterii i modułów aparatu, dokumentacja inżynierska, wewnętrzne zapisy produkcyjne oraz zdjęcia prototypów z testów zrzutowych. Wyciekły też skany paszportów pracowników. I — co okazało się istotne dopiero przy analizie zbioru — dokumenty Tesli, Qualcomma i TSMC, bo na serwerach Taty leżały zestawy plików wielu klientów naraz.
Nie szyfrowali. Ukradli i zagrozili publikacją
World Leaks nie działa jak klasyczny ransomware. To model hack-and-leak: napastnicy nie blokują systemów, tylko wynoszą dane i wymuszają okup groźbą ich upublicznienia. Ta sama grupa odpowiada za wyniesienie 1,3 TB z Della w lipcu 2025 i 1,4 TB z Nike w styczniu 2026. Tata potwierdziła, że wśród opublikowanych plików były także skany dokumentów tożsamości pracowników — element, który z incydentu przemysłowego czyni równocześnie naruszenie ochrony danych osobowych.
Tata potwierdziła incydent w oświadczeniu przesłanym agencji Reutera 22 czerwca, zaznaczając, że „nie miał on wpływu na operacje, które pozostają niezakłócone”. Firma odcięła dostępy, powiadomiła klientów i zleciła śledztwo zewnętrznej firmie. Pod koniec czerwca Apple przyznało, że sprawę bada. 3 lipca indyjskie Ministerstwo Elektroniki i Informatyki potwierdziło, że incydent jest badany i został zgłoszony do CERT-In, krajowego zespołu reagowania.
Z perspektywy reakcji na incydent Tata poradziła sobie sprawnie. I to jest właśnie najbardziej niewygodna część tej historii: przy modelu hack-and-leak sprawna reakcja nie ratuje niczego. Nie było czego odszyfrowywać ani co przywracać z kopii. Dane wypłynęły, zanim ktokolwiek zauważył, że coś się dzieje, a każda kolejna godzina sprawnego reagowania nie zmieniła już ich statusu.
Dlaczego tego typu dane Apple w ogóle leżały u Taty
Bo bez tego nie da się złożyć telefonu. Montaż wymaga pełnej listy materiałowej: co dokładnie wchodzi w urządzenie, kto dostarcza każdą część, w jakim harmonogramie i jakie są zatwierdzone alternatywy. Apple musiało przekazać te dane partnerowi, żeby partner mógł wykonać swoją pracę.
Napastnicy nie musieli więc włamywać się do Apple. Klejnoty koronne zostały wcześniej, legalnie i z konieczności, skopiowane na serwery firmy trzeciej. Nie doszło do obejścia żadnego zabezpieczenia Apple — doszło do wykorzystania architektury, która działała dokładnie tak, jak ją zaprojektowano.
Skala tej koncentracji rosła zresztą szybciej, niż nadążały za nią przeglądy ryzyka. Tata weszła w montaż iPhone’ów w 2023 roku i w ciągu trzech lat przeszła od produkcji komponentów do pełnego montażu. Indie odpowiadają dziś za około 26 procent światowej produkcji iPhone’ów wobec 6 procent cztery lata wcześniej. Im większy udział partnera, tym więcej wrażliwych danych w jednym miejscu — i tym bardziej opłacalny cel.
To nie jest historia o Indiach
Łatwo z tego zrobić opowieść „indyjska produkcja jest niebezpieczna, w Chinach by się nie zdarzyło”. Wygodny skrót, po który sięgnięto natychmiast: chińskie media państwowe i technicy z Huaqiangbei zaczęli w sierpniu powtarzać, że „coś takiego nigdy nie wydarzyłoby się w Chinach”, a dziennik powiązany z Komunistyczną Partią Chin pisał o „systemowych słabościach «Made in India»”. To nie jest analiza ryzyka, tylko argument w walce o utrzymanie produkcji w chińskim łańcuchu dostaw — i warto go czytać z tą świadomością.
Mechanizm nie ma narodowości. Analityk Paolo Pescatore mowi wprost, wyniesienie takiego wolumenu nie jest akcją typu „wbiegł i ukradł” — wymaga przyczółka w organizacji, przejętych poświadczeń albo słabej kontroli dostępu i możliwości niezauważonego poruszania się po sieci. I najczęściej dzieje się to u dostawcy, nie u zleceniodawcy. Precedens leży zresztą w tej samej grupie kapitałowej: kilka miesięcy wcześniej ransomware dostał Jaguar Land Rover, również należący do koncernu Tata.
Jest tu też konkret techniczny wart zapamiętania. Nowoczesne zakłady spinają systemy ERP i MES, łącząc korporacyjne IT z halą produkcyjną. Włamanie po stronie IT wynosi pełną dokumentację inżynierską, nie zatrzymując ani jednej linii montażowej — dlatego komunikat „produkcja nie została zakłócona” jest prawdziwy i jednocześnie nic nie znaczy. Powierzchnia ataku to warstwa informacji, nie fizyczna produkcja.
Dlaczego lista dostawców jest groźniejsza niż zdjęcia prototypu
Nagłówki obiegły zdjęcia niezapowiedzianego telefonu, ale to najmniej szkodliwa część zbioru. Prototyp i tak trafi do sklepów we wrześniu, a przeciek wyprzedził premierę o kilka tygodni. Mapowanie komponentów na dostawców nie ma daty ważności.
Ta informacja robi trzy rzeczy naraz, i każda działa przeciwko Apple. Po pierwsze, pokazuje, gdzie firma ma jedynego dostawcę danego podzespołu, a gdzie może wybierać między kilkoma — czyli gdzie jest podatna na nacisk cenowy, a gdzie sama go wywiera. Jak zauważa CPO Magazine, ujawnienie tej struktury osłabia pozycję negocjacyjną Apple wobec każdego z wymienionych dostawców z osobna. Po drugie, daje gotową listę celów: żeby zakłócić premierę, nie trzeba już atakować Apple ani Taty — wystarczy jeden producent modułu, o którym do wczoraj nikt nie wiedział, że jest w łańcuchu. Po trzecie, jest to mapa dla podrabiających, którzy dotąd musieli ustalać skład urządzenia metodą inżynierii wstecznej.
Różnica jest fundamentalna i przekłada się wprost na każdą mniejszą organizację: dane operacyjne starzeją się, dane o strukturze zależności nie. Wyciek faktury sprzed roku boli przez tydzień. Wyciek informacji o tym, kto dostarcza ci uwierzytelnianie, kto trzyma twoje kopie zapasowe i kto ma zdalny dostęp do twojego środowiska, jest użyteczny dla napastnika przez lata.
Co z tego wynika dla polskiej organizacji?
Nie jesteś Apple, ale mechanizm jest identyczny i skaluje się w dół bez żadnych zmian. Twoje najcenniejsze dane są dokładnie tam, gdzie musiałeś je wysłać, żeby ktoś wykonał swoją pracę: u integratora, biura rachunkowego, dostawcy IT, firmy robiącej backupy. Trzy rzeczy do zrobienia w tym tygodniu:
- Wypisz, co faktycznie wyszło na zewnątrz. Nie listę dostawców — listę zbiorów danych. Kto ma kopię twojej bazy, dokumentacji, zrzutu środowiska testowego z produkcyjnymi danymi. Termin: do piątku, na jednej kartce. Większość organizacji odkrywa przy tym ćwiczeniu co najmniej jeden zbiór, o którym zapomniała.
- Przy trzech najważniejszych dostawcach zamień klauzulę poufności na pytania techniczne. Czy dostęp do twoich danych wymaga MFA odpornego na phishing. Czy trzymają logi dostępu i jak długo. Czy dane są szyfrowane w spoczynku. W jakim czasie umownie powiadomią cię o incydencie. Umowa NDA nie jest kontrolą techniczną — jest podstawą do pozwu po fakcie.
- Sprawdź, czy twój plan reakcji obsługuje wariant „dane wyciekły, nic nie padło”. Większość planów opisuje przywracanie z kopii i odtwarzanie usług. Przy hack-and-leak nie ma czego przywracać — są za to obowiązki informacyjne wobec RODO, klientów i regulatora, liczone w godzinach. Jeśli tego scenariusza w planie nie ma, dopisz go teraz, nie w trakcie.
Zdanie, które warto zapamiętać
Tata nie zawiodła w sposób spektakularny. Nie było tu zaniedbanej łatki sprzed pięciu lat ani hasła „admin1234″ — jest firma, która wykryła incydent, odcięła dostępy, powiadomiła klientów i regulatora, i której produkcja ani na chwilę nie stanęła. Wszystkie podręcznikowe kroki wykonane poprawnie. Mimo to 630 GB cudzej własności intelektualnej leży w sieci Tor i zostanie tam na zawsze.
Nie da się zabezpieczyć cudzej sieci. Da się natomiast policzyć, ile twoich danych znajduje się w cudzych sieciach — i to jest jedyna liczba w tej historii, na którą masz realny wpływ.