Желаем вам добра и света, а главное — мирного неба над головой!

НеКасперский

Twitter снова облажался

Пренебрегая конфиденциальностью своих собственных данных, в Twitter не забывают забивать и на пользовательскую.

На этот раз «инцидент с безопасностью»
затронул приватность твитов в Twitter Circle — новом функционале соцсети, созданном специально для приватных твиттов. Да, звучит очень «по-Твиттеровски».

Дырка в безопасности обнаружилась самими пользователями, приватные посты спустя некоторое количество времени оказались видны всем пользователям соцсети.

Компания признает проблему и даже разослала всем пользователем уведомление о найденом баге.

И пока Москва хорошеет при Собянине, беза в Твиттере продолжает лететь к черту при Маске.

НеКасперский

Кто сеет ветер, пожнет бурю

В начале года мы уже рассказывали о VALL-E – голосовой нейронки от Майков, которая так и не смогла показать свой голос общественности в угоду безопасности пользователей.

На днях же, ребята из McAfee установили, что голосовые ИИ все-же добрались до рук злоумышленников и потенциально могут перевернуть наше представление о мошенниках и их инструментарии.

Уже сейчас 8 из 10 жертв мошенников теряют деньги в ходе беседы с голосовым ИИ, которые к слову, уже можно бесплатно скачать в сети без СМС и регистрации – понятно, что как раньше уже не будет.

Многие компании давно применяют примитивные способы противодействия подобному инструменту. Ещё же помните свое кодовое слово в интернет-банкинге? Теперь и антифрод от РКН уже не кажется такой пустой инициативой.

В любом случае, убеждены, что наши читатели не пойдут на поводу ИИ, а так же хорошо понимают, что представляют из себя современные нейросети, особенно, если их придумали в Microsoft.

НеКасперский

У Rutube свой календарь «праздников»

Вчера отечественный сервис подвергся хакерской атаке. Кто бы мог подумать, что это может стать традицией, но еще в прошлом году на 9 мая видеохостинг почти упал под натиском украинских хакеров.

И если в прошлый раз злоумышленникам удалось почти полностью положить всю IT-инфраструктуру, то в этот раз наглядно видно, как, принятые в «Газпром-Медиа» меры по безопасности и новый штат ИБшников сработали на упреждение.

По заявлению представителей компании, текущая атака никак не сказалась на операционной деятельности, а все ресурсы функционируют штатно. О предполагаемых хакерах пока ничего не известно, но маловероятно, что в этом теперь замешан кто-то другой.

НеКасперский

Оборотные штрафы крутятся в гробу со скоростью света

Мосгорсуд продолжает трудится во благо родине и сегодня по всей строгости закона оштрафовал VK за утечку Mail.ru.

Только по подтверженным данным, в январской утечке оказались 3,5 млн уникальных почт пользователей рунета. За столь злостное нарушение 152-ФЗ компанию обязали выплатить 60 тыс. рублей, что почти вдвое меньше максимального штрафа предусмотренного статьёй.

В апреле 2022 Мосгорсуд уже штрафовал на ₽60 тыс. за масштабную утечку. Тогда Яндекс наказали за факап с сервисом доставки еды, с которого утекло 45 млн. строк с 7 млн. уникальных номеров телефонов.

Ваши ПДн стоят не больше 0.017 рублей 👍🏼

UPD: Кстати, сегодня по этой же статье и на эту же сумму оштрафовали и ВШЭ за их утечку паспортов сотрудников и абитуриентов

НеКасперский

У Wildberries куда-то делись 650 миллионов рублей

С утра поступали сообщения об обращениях сотрудников компании в полицию, с заявлениями о взломе их компьютеров. Взлом мог привести к проблемам с отслеживанием посылок и оформлением заказа, а общий ущерб оценили в ₽654,5 млн.

Правда представители маркетплейса опровергли информацию и выкатили свою версию происходящего. Они считают, что появились специальные Telegram-боты, с помощью которых можно было пользоваться услугами рекламы на площадке, но не платить за неё.

Как алгоритмы мошенников могли повлиять на работы механизмов продвижения в маркетплейсе не пояснили, но решительно опровергли взлом. Несмотря на это, эксперты считают, что всё происходящие очень похоже на атаку шифровальщика. Компании типа Wildberries — вишенка для хакеров, т.к. жертва в этом случае может себе позволить заплатить приличный выкуп. Кроме того, шифровальщики сейчас активно развиваются в РФ.

Не знаем, что там у них с рекламой, но у нас в комментариях всё стабильно...

НеКасперский

На бумажке напишите, да и передайте нам

10-го мая Банки получили интересное письмо от ЦБ с требованием отчитаться «об использовании для автоматизации технологических процессов VPN-протоколов». По факту Банк России потребовал отправлять в РКН данные о банковских VPN по обычной электронной почте, причём «в формате Exel». Требование должно быть исполнено до 2 июня.

Не уверены, нужно ли говорить о том, что, перехватив письмо, злоумышленники смогут целенаправленно DDoS'ить допофисы банков по непубличным IP-адресам. Результативность атак просто взлетит.

Требование такое связно с тем, что через VPN работают со SWIFT, банкоматы и обменные пункты. По нормативам ЦБ, в критических ситуациях они не должны «лежать» дольше нескольких часов, инчае получат плохую оценку от ЦБ.

В Центробанке также не стали комментировать, почему нельзя переслать требуемые данные по существующему защищённому каналу ЦБ.

Ну что, паранойя пользователей ProtonMail уже не кажется такой надуманной?)

НеКасперский

Да, вот так просто

В слитых в 2020 году почтовых переписках чиновников польские журналисты обнаружили ключи доступа к конфиденциальным картографическим данным.

В одном из писем руководителя ESRI Polska содержался действующая связка логина и пароля для доступа к ресурсам картографической облачной платформы их дочки ArcGis.

На самих картах отображены планы эвакуации столицы, расположение польских военных объектов и другая оперативная информация польского Минобороны.

Со слов самих журналистов, утекшая связка давала доступ к оверлеям, координирующим действия военных, планы одного из портов с отмеченными военными объектами и, что странно, статистическим данным о пандемии коронавируса в стране.

Видимо, пшеки пересмотрели The Walking Dead и перепутали пандемию короны с зомбиапокалиписом.

НеКасперский

Собрали для вас интересные события прошедшей недели:

• На днях слили еще пачку ПДн пользователей украинских интернет-провайдеров. Znet и Корбiна любезно поделились 16 тыс. записями с данными своих клиентов. При чем в перечень попали даже пароли в открытом виде.

• На 9 мая отхватил не только Rutube. В течение майских праздников DDoS-атакам подвергались отечественные агрегаторы билетов и отелей, учреждения культуры и транспортные сервисы. Пик пришелся, очевидно, на День Победы.

• Российские электрокары Atom оборудуют не менее отечественным сетевым оборудованием от Kaspersky. Обещают «очень нужную» защиту от кибератак и возможность удаленной диагностики.

НеКасперский

Японцы делают вещи?

В эту пятницу Toyota Motor признала утечку данных 2.15 млн автовладельцев в стране восходящего солнца. Кстати, это почти полная база всех клиентов компании, которые были зарегистрированы на облачных платформах компании за 10 лет.

Инцидент затронул и подразделение Lexus. В частности, пострадали пользователи облачных систем, обеспечивающих беспилотное управление автомобилями, автоматическую парковку и другой ИИ-функционал.

В результате программного сбоя систем начиная с конца 2013 по апрель 2023 у Toyota утекали VIN-номера, номера шасси и местоположение автомобиля на момент сбоя.

В компании заявили, что подобная ошибка – человеческий фактор, и возникла из-за того, что ряд сервисов облачного ресурса изначально был ошибочно настроен для публичного, а не частного использования. Привет, Microsoft. К тому же, Toyota признала недостаток рабочих механизмов аудита подобных дыр и пообещала, что учтут опыт и не допустят подобного в будущем.

Спасибо за обещания. Катаемся дальше.

НеКасперский

Разбавим ленту интересными изменениями в ИБ-законодательстве, важными для ознакомления:

• Пока регуляторы жонглируют 152-ФЗ, внося в эту тетрадь смерти операторов ПДн новые правки, РКН выкатывает обновленный перечень вопросов для проверки добросовестного выполнения операторами требований по обработки персональных данных. Новые вопросы очевидно включили в себя последние актуальные изменения 152-ФЗ в части трансграничной передачи ПДн, уведомлений об инцидентах, уведомлении о начале обработки ПДн, блокирования и уничтожения ПДн. Кажется, до сих пор никто не сообщал об инцидентах, потому что не было вопроса в опроснике.

• Постановлением правительства Минцифры теперь отвечают за контроль в сфере идентификации и (или) аутентификации. Объекты контроля будут классифицированы по трем категориям риска – низкий, средний и высокий. Немного непонятно будет ли контроль распространятся на аккредитованные IT-компании в новых условиях их деятельности и много непонятно, что в это время будет делать ФСТЭК.

• Последний, к слову, предварительно отменив старые приказы, подготовил проекты новых приказов определяющие порядок проведения контроля за лицензиатами ТЗКИ и разработке/производству СЗКИ. Если вдруг, кажется, что ничего серьезного, то вот ряду крупных продуктовых компаний может сильно прилететь из-за внеплановой проверки с потенциальным лишением лицензии, а значит и прекращением деятельности по разработке госзаказов или даже вообще всех IT-продуктов.

• Финтеху следует готовится к новому стандарту Банка России по обеспечению безопасности своих сервисов с использованием технологии цифровых опечатков. Подробно уже рассказывали в одном из наших постов.

• На сладкое оставили проект Указа Президента, предусматривающий приравнивание документов из Госуслуг к предъявлению оригиналов таких документов. Требования определит Правительство РФ. Как видим, идея получила развитие.

НеКасперский

Загибайте пальцы

Очередной сверхзащищенный мессенджер был взломан спецслужбами, в результате чего десятки его пользователей стали подозреваемыми в уголовных делах.

Среди арестованных преступников трое крупнейших наркобаронов Балкан, их подвёл Sky ECС. Сервис такой защищённый, что для его использования разработчики продают специальные телефоны, у которых вырезаны микрофоны, GPS-модуль, камеры, а все отправленные сообщения шифруются и автоматически удаляются по истечении 30 секунд. Тем не менее, полицейские смогли взломать мессенджер ещё в 2022.

Стоит отметить, что мессенджер уже давал слабину. В марте 2021 года европейские правоохранители в результате взлома арестовали 48 человек. Тогда же Минюст США выдал орден на арест гендиректора компании.

У Редакции один вопрос: Взламывали Signal. Сливали Proton. Почему преступники, у которых в ходе обыска изымают €5 млн., снайперские и автоматические винтовки, взрывчатку и т.д., не могут позволить себе сделать свой собственный файлообменник?

НеКасперский

Сбер всё не оставляют в покое

Сегодня представители компании отчитались, что предотвратили массовую фишинговую рассылку своим сотрудникам. В недошедших письмах хакеры спрятали вредонос.

Тема рассылки — военно-учебные сборы, ссылающиеся на указ президента №333. Сразу после выхода «тревожного» распоряжения специалисты забили тревогу, спрогнозировав фишинговые рассылки по тематике. В случае Сбера, малварь содержался в прикреплённом файле с именем «мобилизационное предписание», а само письмо — якобы приглашение в военкомат для «уточнения персональных данных».

Неужели после СберСпасибо, СберЛогистики и СберПрава есть ещё что угонять?

НеКасперский

Утечки данных — угроза номер 1 в 2023 году.

В апреле было проанализировано более 2,5 тыс. ТГ-каналов противоправной тематики и даркнет-форумов, 1,2 млн доменных имен и SSL-сертификатов и 50 млн ежедневно обрабатываемых DNS-запросов.

Как итог: 123 компании потеряли более 1ТБ информации, при этом 76% — базы данных, остальные 24% — массивы документов. Всего более 300 млн строк, 61 млн почт и 144 млн телефонных номеров.

Фишинговых атак стало на 26% больше, а сам фишинг стал изощреннее, ведь злоумышленники всё активнее используют автоматизацию своих атак и защиту от обнаружения.

Такой массив данных удалось получить и обработать в сжатые сроки благодаря многовекторному мониторингу внешних цифровых угроз, проведенному с помощью Solar AURA. Сервис состоит из 8 модулей, которые можно подключать как комплексно, так и по-отдельности.

Узнать больше о преимуществах Solar AURA и оставить заявку на пилот можно здесь.

Медицинские данные почти 6 миллионов пациентов были скомпрометированы в результате атаки.

Хакеры из Money Message, недавно взломавшие MSI, воспользовались дырой в безопасности PharMerica. Компания входит в список 1000 самых крупных компаний США, работает в 50 штатах и обслуживает около 3100 мед. учреждений.

Среди украденных данных оказались:
• ФИО
• Адреса
• Даты рождения
• Номера соц.страхования
• Подробная информация о страховании здоровья (всего 5,81 млн. человек)

Компания обнаружила вторжение в свои системы только 14-го марта, через два дня после начала атаки, но уведомление об утечке было отправлено только 12-го мая. Хакеры же заявили о взломе 28 марта.

Известно, что PharMerica был выставлен ультиматум, но, так и не дождавшись выкупа, Money Message опубликовали всю украденную информацию.

НеКасперский

Telegram предоставляет доступ к веб-камере и микрофону вашего Mac

О серьёзной уязвимости в своём Twitter сегодня сообщил один из разработчиков Google. Он обнаружил и описал уязвимость ещё в феврале, однако его новость в Telegram оставили без внимания.

Команда мессенджера к вечеру подтвердила наличие уязвимости, однако они лишь раздумывают над необходимостью обновления безопасности, т.к. для эксплуатации уязвимости устройство на MacOS уже должно быть заражено вредоносом с root-доступом. К тому же, версии приложения, скаченные через официальный сайт, не подвержены уязвимости, нежели те, что были скачаны ы AppStore.

Наши подписчики считают, что вычитывание сообщений напрямую с устройства — не взлом, так что будем считать, что ничего не произошло 😁

UPD: Павел Дуров не признал брешь в безопасности мессенджера и пояснил, что уязвимость касается только заражённых малварью устройств и в таком случае, по словам основателя Telegram, доступ к камере и микрофону через мессенджер — не главная проблема.

НеКасперский

Тинькофф присоединился к платформе Standoff 365 Bug Bounty

В программу входит весь скоуп «*.tinkoff.ru».
За отчет можно получить до 400 000 рублей. Стоимость зависит от критичности бага.

❗️ Важно — пока участвовать в программе могут только индивидуальные предприниматели и самозанятые. Оформить можно за несколько минут, а сумму получите полную, так как Тинькофф компенсирует до 6% налоговых потерь.

Подробности — на странице программы.

Lockbit поднимают ставки

Индонезийский Bank Syariah стал жертвой одного из шифровальщиков Lockbit.

В результате заражения хакерской группировке удалось вытянуть из систем банка порядка 1.5 ТБ конфиденциальной информации, хранящиеся на девяти базах данных. Поскольку малварь вывела из строя системы транзакции, банку пришлось прекратить оказание услуг клиентам.

По итогу, 15 млн. клиентов банка распрощались с конфиденциальностью своих:

• ФИО;
• номера телефона;
• адресами;
• номерами карт;
• паролями и логинами от учетных записей;
• данными о транзакциях;
• чувствительной пользовательской документацией.

Сами Lockbit потребовали $20 млн. выкупа до 15 мая и, очевидно, не получив никакой реакции уже опубликовали все в сеть.

НеКасперский

RHEL и OpenShift возвращаются?

Миницфры, кажется, нашли рабочий способ легализировать иностранное ПО в РФ. При чем с выгодой для всех участников рынка.

Инициатива предполагает оплату софта через перевод средств на специальный рублевый счет, с которого зарубежный производитель сможет списывать средства. Тарификация ПО будет соответствовать ценам, актуальным до ухода вендоров.

В случаях, если правообладатели не станут списывать средства в условиях санкционного давления – остатки будут переданы в фонд обеспечения IT-отрасли, а позже распределены на механизмы поддержки IT-специалистов, IT-компаний и т.д.

Как ни странно, механизм направлен на стимулирование разработки и использования отечественного ПО. Проект инициативы предполагает применимость в рамках готовящегося закона о лицензировании, который ограничит срок использования зарубежного ПО, что должно стимулировать организации к переходу на российские аналоги.

Правда штрафы за пиратский софт так никто отменить и не решился.

НеКасперский

Безопасный экспорт

Все типы китайских БПЛА, оказывается, оснащены декларированными программными-аппаратными заплатками, ограничивающими использование аппарата против КНР.

Сторожевой модуль «watchdog tool» способен определять границы территории Китая по «электронной геостене» и блокировать разведывательное и ударное применение при приближении. При попытке отключить или демонтировать надстройку — возможен даже сценарий самоуничтожения.

Очень похоже на аналогичный бэкдор у Турецких коллег. Сделано с умом, разве что, в подобных случаях тяжело быть уверенным в 100% контроле «птички».

Разумно предположить, что похожий функционал имплементирован в большую часть техники тактического и стратегического назначения «поднебесной».

НеКасперский