Atak FROST na dyski SSD: jak złośliwa strona internetowa może wykraść Twoje dane bez Twojej wiedzy

Od maja 2026 roku badacze bezpieczeństwa opisują atak FROST, nową klasę zagrożeń, w której samo odwiedzenie złośliwej strony internetowej może wystarczyć, by napastnik uzyskał dostęp do danych przechowywanych na Twoim dysku SSD. Bez pobierania pliku, bez klikania w podejrzane linki. W tym artykule wyjaśniamy, jak to działa, kogo dotyczy i co konkretnie możesz teraz zrobić.

Czym jest atak FROST i dlaczego to istotna zmiana w krajobrazie cyberzagrożeń

FROST, czyli FROST Hardware Attack Vector, to nowa kategoria cyberataków odkryta i opisana w maju 2026 roku. Jej celem są fizyczne luki w kontrolerach dysków SSD. Nie jest to kolejny wariant złośliwego oprogramowania, które blokuje pliki i żąda okupu. To coś bardziej niekomfortowego: atak, który nie wymaga od ofiary właściwie żadnego działania.

FROST jest klasyfikowany jako drive-by attack. Ofiara nie pobiera żadnego pliku ani nie instaluje niczego. Wystarczy, że otworzy spreparowaną stronę w przeglądarce. Na poziomie systemu operacyjnego zachowuje się jak atak zero-click, czyli taki, w którym użytkownik poza otwarciem karty przeglądarki nie robi dosłownie nic. Atak jest już rozpoznany i sklasyfikowany przez NIST, czyli National Institute of Standards and Technology, oraz MITRE Corporation, organizacje zarządzające bazą podatności CVE i frameworkiem ATT&CK.

Żeby zrozumieć, dlaczego FROST jest ważny, warto go umieścić w szerszym kontekście. Ataki sprzętowe ewoluują od lat: Rowhammer atakował pamięć DRAM, Spectre i Meltdown celowały w procesory CPU. Te podatności były identyfikowane przez uznane europejskie laboratoria akademickie, m.in. Vrije Universiteit Amsterdam i Technische Universität Graz. FROST przesuwa wektor ataku na pamięć masową, czyli dyski SSD. To logiczny następny krok w tej ewolucji i dlatego warto traktować go poważnie, a nie jak kolejny hype z branży security.

Jak technicznie działa atak FROST: krok po kroku

Każdy dysk SSD składa się z dwóch kluczowych komponentów: komórek pamięci flash NAND, gdzie fizycznie przechowywane są dane, oraz kontrolera pamięci NAND, układu scalonego zarządzającego operacjami odczytu, zapisu i kasowania. To właśnie kontroler jest pierwotnym celem ataku FROST. Fizyczna luka w jego zabezpieczeniach umożliwia nieuprawniony dostęp do danych z poziomu przeglądarki internetowej.

Technika kanału bocznego jako narzędzie ataku

FROST wykorzystuje technikę kanału bocznego, czyli side-channel attack. Zamiast bezpośrednio atakować algorytmy szyfrowania lub protokoły sieciowe, napastnik analizuje fizyczne właściwości systemu, przede wszystkim czas wykonania operacji na dysku. Narzędziem jest JavaScript uruchomiony w przeglądarce ofiary, korzystający z precyzyjnych timerów wysokiej rozdzielczości, takich jak funkcja performance.now(). Pozwalają one na pomiary na tyle dokładne, by wykryć różnice w czasach odpowiedzi kontrolera SSD.

To nie jest nowy pomysł. Identyczny mechanizm precyzyjnych timerów JavaScript był wcześniej kluczowym narzędziem w atakach Rowhammer na pamięć DRAM i Spectre na procesory CPU. FROST przenosi ten sprawdzony wektor na pamięć masową. Jeśli znasz historię tych ataków, schemat jest znajomy.

Przebieg ataku: od złośliwej strony do wykradzionych danych

• Krok 1: Ofiara otwiera spreparowaną stronę internetową w przeglądarce. Może to być złośliwa reklama, link w e-mailu phishingowym lub zainfekowana legalna witryna.
• Krok 2: Złośliwy kod JavaScript wykonuje serię precyzyjnie odmierzonych zapytań do dysku SSD, mierząc czasy odpowiedzi kontrolera NAND.
• Krok 3: Analiza wzorców czasowych pozwala napastnikowi na wnioskowanie o zawartości lub aktywności dysku, bez bezpośredniego dostępu do plików w rozumieniu systemu operacyjnego.
• Krok 4: Skutkiem ataku może być eksfiltracja danych lub szpiegowanie aktywności użytkownika na urządzeniu.

Co konkretnie może wykraść atakujący: rzeczywisty zasięg zagrożenia

Atak FROST może prowadzić do dwóch głównych kategorii konsekwencji: eksfiltracji danych oraz szpiegowania aktywności użytkownika. Warto być precyzyjnym co do tego, co to oznacza w praktyce, żeby nie wpadać ani w panikę, ani w fałszywe poczucie bezpieczeństwa.

W zakresie eksfiltracji potencjalne cele to przede wszystkim klucze kryptograficzne, których kradzież umożliwia odszyfrowanie zaszyfrowanej komunikacji lub podszywanie się pod ofiarę. Kolejne to ciasteczka sesyjne do systemów bankowości elektronicznej, które pozwalają przejąć aktywną sesję bankową bez znajomości hasła użytkownika. To bezpośrednie zagrożenie finansowe i warto je potraktować jako sygnał alarmowy, a nie abstrakcję. Na liście celów znajdują się też dane z menedżerów haseł.

Szpiegowanie aktywności oznacza natomiast monitorowanie i rejestrowanie działań użytkownika na urządzeniu bez jego wiedzy i zgody. Wyobraź sobie, że ktoś obserwuje to, co robisz na swoim komputerze, nie mając do niego fizycznego dostępu i bez instalowania żadnego oprogramowania. To nie jest scenariusz z filmu.

Uwaga: artykuł ma charakter informacyjno-edukacyjny i nie stanowi porady prawnej ani specjalistycznej konsultacji z zakresu bezpieczeństwa IT. Wdrożenie środków zaradczych w środowiskach firmowych powinno być przeprowadzone przez wykwalifikowanych administratorów systemów.

Których dysków dotyczy podatność: producenci i modele w zasięgu ataku FROST

Podatność dotyczy dysków SSD wyposażonych w kontrolery pamięci NAND z fizyczną luką bezpieczeństwa. Kluczowi producenci tych kontrolerów to Phison Electronics z Tajwanu i Silicon Motion Technology. To właśnie oni są odpowiedzialni za wydawanie poprawek firmware na poziomie komponentu.

Na poziomie gotowych dysków podatność potwierdzono dla nośników marek:

• Samsung Electronics
• Western Digital
• Crucial (marka należąca do Micron Technology)

Każdy z tych producentów jest odpowiedzialny za wydawanie własnych biuletynów bezpieczeństwa i aktualizacji firmware dla swoich nośników. Żeby sprawdzić, czy Twój konkretny model jest podatny, musisz zajrzeć do oficjalnych Security Advisory na stronie producenta dysku. Nie ma jednej zbiorczej listy, która by to za Ciebie rozwiązała.

Skala potencjalnego problemu jest duża: dyski SSD tych producentów są stosowane powszechnie zarówno w komputerach osobistych, jak i w infrastrukturze serwerowej na całym świecie, w tym w Polsce.

Dlaczego antywirus i tryb Incognito Cię nie ochronią

To jest moment, w którym trzeba powiedzieć coś niepopularnego: większość popularnych narzędzi, na których polegasz w codziennym bezpieczeństwie cyfrowym, jest wobec ataku FROST bezużyteczna.

Systemy klasy EDR i tradycyjne programy antywirusowe nie wykrywają ataku FROST i nie chronią przed nim. Powód jest prosty: atak side-channel na poziomie firmware dysku omija mechanizmy sygnaturowe antywirusa, bo nie polega na uruchamianiu złośliwego pliku. Wykorzystuje natywne, legalne procesy sprzętowe do odczytu danych. Antywirus nie ma czego złapać.

Tryb Incognito, czyli tryb prywatny przeglądarki, również nie chroni przed FROST. Tryb incognito zapobiega jedynie lokalnemu zapisowi historii przeglądania. Nie izoluje sprzętu, nie blokuje złośliwych skryptów JavaScript i nie ogranicza dostępu strony internetowej do precyzyjnych timerów, które są kluczowym narzędziem ataku. Możesz być w trybie incognito i nadal być podatny w stu procentach.

Jeśli antywirus i incognito to Twoja jedyna strategia bezpieczeństwa, czas ją zaktualizować. Co konkretnie zamiast tego, opisujemy poniżej.

Jak się chronić przed atakiem FROST: praktyczny przewodnik po mitygacji

Istnieją trzy główne kategorie środków zaradczych: ustawienia bezpieczeństwa przeglądarki, które możesz wdrożyć natychmiast, aktualizacja firmware dysku SSD jako docelowe rozwiązanie oraz ogólne zasady ostrożności podczas przeglądania stron jako element uzupełniający.

Krok 1: Włącz rygorystyczną izolację witryn w przeglądarce (Strict Site Isolation)

Strict Site Isolation, czyli rygorystyczna izolacja witryn, to mechanizm bezpieczeństwa polegający na uruchamianiu każdej odwiedzanej witryny w oddzielnym procesie systemowym. Skutecznie ogranicza dostęp złośliwych skryptów do precyzyjnych timerów i zasobów innych witryn. To dobra wiadomość: mechanizm jest dostępny zarówno w Google Chrome, jak i w Microsoft Edge, i nie wymaga instalowania niczego dodatkowego.

• Google Chrome: wpisz w pasku adresu chrome://flags/#enable-strict-origin-isolation i włącz opcję. Możesz też sprawdzić ustawienia bezpieczeństwa Chrome pod kątem izolacji witryn.
• Microsoft Edge: mechanizm jest dostępny w ustawieniach prywatności i bezpieczeństwa przeglądarki.

Krok 2: Wyłącz kompilator JIT JavaScript jako doraźne zabezpieczenie

Wyłączenie kompilatora JIT, czyli Just-In-Time, dla JavaScriptu ogranicza precyzję wykonania kodu JavaScript w przeglądarce. W praktyce utrudnia atakującemu przeprowadzenie pomiarów side-channel niezbędnych do ataku FROST. Jest to rozwiązanie doraźne, ale skuteczne.

• Microsoft Edge: dostępny jest dedykowany tryb Super Duper Secure Mode, który wyłącza kompilator JIT. Można go włączyć w ustawieniach zabezpieczeń Edge. Nazwa brzmi niepoważnie, funkcja jest poważna.
• Google Chrome: wyłączenie JIT jest możliwe przez dedykowane ustawienia flagowe w chrome://flags. Warto wiedzieć, że wyłączenie JIT może nieznacznie obniżyć wydajność stron intensywnie korzystających z JavaScriptu. To kompromis między bezpieczeństwem a komfortem, który każdy musi ocenić sam.

Krok 3: Zaktualizuj firmware dysku SSD jako docelowa ochrona

Aktualizacja firmware dysku SSD to jedyna docelowa metoda usunięcia podatności na poziomie sprzętu. Wszystko inne to mitygacja, a nie rozwiązanie problemu u źródła.

Ważne ostrzeżenie przed przystąpieniem do aktualizacji: aktualizacja firmware dysku SSD jest procesem obarczonym ryzykiem trwałego uszkodzenia nośnika w przypadku błędu podczas instalacji. Przed aktualizacją wykonaj pełną kopię zapasową wszystkich danych. Bez wyjątków.

Jak sprawdzić dostępność aktualizacji: odwiedź strony wsparcia technicznego producenta swojego dysku. Samsung, Western Digital i Crucial mają dedykowane sekcje wsparcia z listą aktualizacji firmware. Jeśli znasz producenta kontrolera w swoim dysku, sprawdź też strony Phison i Silicon Motion.

Realistyczna uwaga: aktualizacje firmware dysków SSD rzadko są automatyzowane przez system operacyjny. Użytkownicy bardzo często pozostają niezabezpieczeni przez długi czas po tym, jak łatka jest już dostępna, po prostu dlatego że nie wiedzą, że powinni jej szukać. Aktywna weryfikacja jest tutaj konieczna.

Atak FROST w środowisku firmowym: wytyczne dla administratorów i specjalistów bezpieczeństwa

Dla specjalistów ds. cyberbezpieczeństwa i administratorów systemów kluczowym pierwszym krokiem jest przeprowadzenie oceny ryzyka obejmującej audyt posiadanych dysków SSD pod kątem podatnych modeli i kontrolerów Phison oraz Silicon Motion, ocenę dostępności łatek firmware i planowanie procesu patchowania. To nie jest zadanie do odhaczenia raz i zapomnienia.

Administratorzy zarządzający flotą urządzeń pracowniczych powinni rozważyć wdrożenie polityk bezpieczeństwa przeglądarek za pomocą Group Policy Objects, czyli GPO, wymuszających Strict Site Isolation oraz wyłączenie JIT na urządzeniach końcowych. To mierzalne, wdrażalne centralnie i możliwe do zrobienia zanim pojawią się poprawki firmware dla wszystkich podatnych dysków.

Masowe aktualizacje firmware dysków SSD w środowisku korporacyjnym wymagają starannego planowania i testowania w środowisku staging przed wdrożeniem produkcyjnym. Ryzyko utraty danych podczas aktualizacji jest realne i w środowisku produkcyjnym nieakceptowalne bez odpowiednich procedur.

Monitorowanie biuletynów bezpieczeństwa producentów sprzętu powinno stać się stałym elementem procesu zarządzania podatnościami w organizacji. Jeśli FROST jest pierwszym razem, gdy Twoja firma dowiaduje się o podatności firmware dysku z artykułu prasowego, a nie z własnego procesu monitorowania, warto przemyśleć ten proces.

FROST jako sygnał szerszego trendu: dokąd zmierzają ataki sprzętowe

Odkrycie ataku FROST w maju 2026 roku wyznacza wyraźny punkt w ewolucji zagrożeń sprzętowych. Ataki Rowhammer z lat 2014 do 2020 celowały w pamięć DRAM. Spectre i Meltdown z 2018 roku atakowały procesory CPU. FROST przesuwa wektor na pamięć masową, dyski SSD. Wzorzec jest konsekwentny.

Każda z tych klas podatności była identyfikowana przez akademickie laboratoria badawcze specjalizujące się w architekturze sprzętowej: Vrije Universiteit Amsterdam w przypadku Rowhammer, Technische Universität Graz w przypadku Spectre, a następnie klasyfikowana przez NIST i MITRE. FROST wpisuje się w tę samą ścieżkę.

Odkrycie FROST wymusi na producentach sprzętu, w szczególności na Phison i Silicon Motion jako producentach kontrolerów NAND, rewizję architektury bezpieczeństwa kolejnych generacji układów pamięci masowej. To nie jest opcja, to konieczność rynkowa, jeśli chcą zachować zaufanie klientów korporacyjnych.

Dla użytkowników indywidualnych i organizacji wniosek jest jednoznaczny i trudno go zakwestionować: bezpieczeństwo sprzętowe dysków SSD musi być traktowane jako równorzędny element strategii cyberbezpieczeństwa, obok ochrony systemu operacyjnego i aplikacji. Przez lata dyski były traktowane jako przezroczysty komponent, który po prostu przechowuje dane. FROST pokazuje, że ten czas minął. To ocena redakcji na podstawie analizy dostępnych materiałów badawczych.

Podsumowanie: co zrobić teraz, by chronić się przed FROST

Trzy natychmiastowe działania dla każdego użytkownika:

• Włącz Strict Site Isolation w Google Chrome lub Microsoft Edge.
• Rozważ włączenie trybu Super Duper Secure Mode w Edge lub wyłączenie JIT w Chrome.
• Sprawdź dostępność aktualizacji firmware swojego dysku SSD na stronie producenta i zainstaluj ją po uprzednim wykonaniu kopii zapasowej danych.

Dla organizacji: przeprowadź audyt posiadanych dysków SSD, wdróż polityki GPO dla przeglądarek na urządzeniach końcowych i uwzględnij FROST w planie zarządzania podatnościami.

Pamiętaj: ani antywirus, ani tryb incognito nie chronią przed tym typem ataku. Ochrona wymaga świadomej konfiguracji przeglądarki i regularnego monitorowania biuletynów bezpieczeństwa producentów sprzętu. To nie jest skomplikowane. Wymaga tylko kilku minut i świadomości, że problem istnieje.

Najczęściej zadawane pytania o atak FROST

Czy mój dysk SSD jest podatny na atak FROST?

Podatność dotyczy dysków SSD z kontrolerami wyprodukowanymi przez Phison Electronics lub Silicon Motion Technology. Na poziomie gotowych nośników zagrożenie potwierdzono dla dysków marek Samsung, Western Digital i Crucial. Aby sprawdzić, czy Twój konkretny model jest zagrożony, odwiedź stronę wsparcia technicznego producenta swojego dysku i sprawdź dostępne biuletyny bezpieczeństwa.

Czy antywirus chroni przed atakiem FROST?

Nie. Tradycyjne programy antywirusowe i systemy EDR nie wykrywają ataku FROST, ponieważ atak ten nie polega na uruchamianiu złośliwego pliku, lecz na wykorzystaniu precyzyjnych timerów JavaScript do ataku side-channel na kontroler dysku. Żaden złośliwy sygnaturowo plik nie jest pobierany na urządzenie ofiary.

Czy tryb incognito w przeglądarce chroni przed FROST?

Nie. Tryb incognito zapobiega jedynie lokalnemu zapisowi historii przeglądania i plików cookie. Nie izoluje sprzętu, nie blokuje złośliwych skryptów JavaScript i nie ogranicza dostępu strony internetowej do precyzyjnych timerów, które są kluczowym narzędziem ataku FROST.

Jak szybko mogę się zabezpieczyć przed FROST bez aktualizacji firmware?

Natychmiastową ochronę zapewniają dwa ustawienia przeglądarki: włączenie Strict Site Isolation oraz wyłączenie kompilatora JIT JavaScript. Oba są dostępne w Google Chrome i Microsoft Edge. W Edge dostępny jest też dedykowany tryb Super Duper Secure Mode, który automatycznie wyłącza JIT.

Czym atak FROST różni się od ataków Spectre i Rowhammer?

Wszystkie trzy należą do klasy ataków sprzętowych wykorzystujących techniki kanału bocznego. Rowhammer atakuje pamięć RAM, Spectre atakuje procesory CPU, natomiast FROST atakuje kontrolery dysków SSD. Łączy je to, że mogą być przeprowadzone z poziomu przeglądarki internetowej przy użyciu precyzyjnych timerów JavaScript, bez instalacji złośliwego oprogramowania.

Niniejszy artykuł ma charakter wyłącznie informacyjno-edukacyjny i powstał na podstawie publicznie dostępnych materiałów badawczych oraz danych technicznych dotyczących podatności sprzętowych, aktualnych na dzień publikacji, tj. 29 maja 2026 roku. Informacje o dostępności poprawek firmware dla poszczególnych modeli dysków mogą ulec zmianie, zalecamy regularne sprawdzanie oficjalnych biuletynów bezpieczeństwa producentów. Artykuł nie stanowi porady prawnej ani specjalistycznej konsultacji z zakresu bezpieczeństwa IT.