Ну вот и терминалы потекли

Вчера у отечественной компании по производству «умных» онлайн-касс, платежных терминалов и софта «Эвотор» обнаружилась крупная утечка клиентских данных в банковском сегменте.

По данным исследователей, все из-за уязвимости в ПО терминалов, из-за которой в общий доступ могло попасть порядка 2,6 млн. строк пользовательских данных и часть данных администраторов терминалов.

Среди того, что утекло:

• ФИО
• Пароль (пользовательский и администратора)
• Номер телефона
• Сведения о платежных операциях

Уязвимость скрывалась в криво написанном софте. Очередной некорректно настроенный секрет с открытым доступом содержал в себе ключи от баз данных, которые в свою очередь хранили полный перечень аутентификационных данных пользователей. Очевидная цепочка компрометации с последующим получением доступов к целевым узлам и стала причиной утечки.

Об инциденте уже уведомили как саму компанию, так и РКН. В Эвотор хоть и заявили, что устранили уязвимость, саму утечку не подтвердили.

Сказывается Сберовское воспитание дочек, ведь компания давно рекламируется «зелеными», а часть времени почти на 70% принадлежала банку вплоть до момента ее продажи в мае прошлого года.

UPD: Пиар-менеджеры компании нам заявляют, что уязвимость они не устраняли, т. к. вовсе отрицают её существование.

НеКасперский

Новостей накопилось достаточно, а значит время рассказать об интересном в мире инфобеза за прошедшие несколько недель:

• Минцифры планирует обновить требования к объектам критической информационной инфраструктуры. Соответствующий законопроект уже готовят в скором времени внести в Госдуму. Несмотря на секретность содержания законопроекта, уже известно о введении ограничений на использования забугорного программного обеспечения на объектах КИИ. Будьте готовы к тому, что завезут и новые условия категорирования ряда объектов КИИ.

• ФСТЭК не хочет отставать от своего нового главного конкурента в регулировании ИБ и планирует подготовить перечень стратегически важных объектов и организаций в области информационной безопасности. Стоит ожидать послаблений и льгот для участников готовящегося перечня, кроме того, попавшие в «золотой список» компании нельзя будет ликвидировать в военное время.

• Минцифры отчитались об эффективности bug bounty проекта на платформах BI.ZОNE и Positive Technologies. Почти 8 тыс. самых этичных среди самых хакеров обнаружили на «Госуслугах» 34 уязвимости, а максимальная выплата составила ₽350 тыс. Не, ну как и обещали – «до миллиона».

• РТУ МИРЭА предлагает маркировать контент созданный нейросетями и обеспечить защиту КИИ от атак с применением ИИ. Инициативу уже отправили на согласование в Минцифры. Надеемся, инициатива британских ученых не успеет коснуться новых требований к КИИ от Минцифры.

• Отвлечемся от регуляторов, ведь Discord на днях уведомил пользователей об утечке в результате компрометации аккаунтов одного из сотрудников службы поддержки. Ничего критичного, поскольку утекли только почтовые адреса пользователей и сами обращения в поддержку. Компания отреагировала оперативно и даже внедрила сторонний сервис по противодействию подобным инцидентам.

НеКасперский

Разбираем подробнее

Только вчера рассказали вам про утечку у Эвотор, а уже утром к нам в дверь очень суетливо постучался PR компании с опровержением факта утечки.

В течении дня разбирали ситуацию и собирали материал. Вам достанутся только факты. Верим, что правильные выводы сделаете сами:

• Теперь в компании отрицают даже факт наличия уязвимости, не говоря уже об утечке

• Исходная статья от CyberNews об уязвимости и утечке обновилась, в частности пропали сведения о кол-ве утёкших данных, но сам факт инцидента все еще опубликован. В веб-архиве и в кеше оригинал не сохранился

• В ходе общения с представителями компании попросили у них отчет по результатам аудита, на что получили ответ, что аудит даже не планировался

• Есть сведения, что в одном из крупнейших банков страны, клиена Эвотор, уже планируется проведение лютейшего аудита, а все операции по терминалам моментально прекратились

Ситуация и так противоречивая, а PR-суета вызывает еще больше сомнений.

НеКасперский

Ну вот это мы точно не заслуживаем

Оказывается, данные с экрана смартфона можно украсть даже через сведения о нагреве и частоте процессора устройства.

Группа ученых из Корнеллского университета доказала, что, замерив простые аналоговые параметры, вполне реально отследить взаимосвязь между температурными метриками любого АРМ процессора и сведениями о выполняемых им инструкций.

Побочный канал утечки образуется из-за использования современными камнями технологии DVFS, а уязвимость можно эксплуатировать просто запустив Java-скрипт на устройстве жертвы.

Таким образом исследователи смогли даже получить сведения об истории браузера и пиксельную визуализацию, отображаемой информации на экране.

Параноики, чистящие историю, вошли в чат?

НеКасперский

Немецкие журналисты из Handelsblatt обнародовали архив жалоб водителей Tesla

В эти выходные никто кроме C.A.S. не отличился, поэтому расскажем об интригах зарубежом.

Как оказывается, Tesla не самый добросовестный поставщик услуг. Компания всячески игнорировала проблемы с безопасностью, выбирая вклад в юристов.

Жалобы водителей связаны с фирменным автопилотом, среди инцидентов: произвольные ускорения (более 2400 записей), проблемы с тормозами (более 1500 случаев, 139 из которых — экстренное торможение), ложные остановки (383). Аварий в архиве набралось более 1000. Самые старые жалобы датируется 2015 годом, а самые свежие — мартом 2022. Общий вес архива превышает 100Гб и состоит из более чем 23 тыс. Внутренних файлов компании.

Журналисты выяснили, что американский автопроизводитель ведёт очень грязную игру. Опрошенные водители, данные которых содержались в архиве, жаловались, что компания не была нацелена на решение их проблем, главными оставались репутационные риски. Похоже, что у сотрудников есть даже специальная методичка. Всё общение с недовольными велось приоритетно в устной форме, чтобы было меньше поводов для судебных тяжб.

НеКасперский

Годы идут, а в SuperVPN ничему не учатся

Как-то рассказывали вам об утечке у популярных VPN-сервисов пару лет назад, а на днях выяснилось, что один из «протёкших» представителей списка с того момента не предпринял ровным счетом ничего, за что и поплатился еще большими потерями.

У популярнейшего SuperVPN в открытый доступ попала база данных с 133 ГБ конфиденциальной информации. Утекло более 360 млн. записей пользовательских данных, где, среди различной технической информации, оказались:

• Почтовый адрес
• UUID
• Ключ шифрования
• IP-адрес
• Геолокация
• Сведения об устройстве
• История VPN-подключений и др.

Несмотря на то, что после механизмы безопасности в БД были уставосстановлены, представители VPN-провайдера так и не дали каких-либо комментариев. К слову, в официальной политика сервиса подразумевает, что сведения о пользователях не собираются и не хранятся. Зато теперь они хранятся на теневых площадках…

Мы пополняем список, а вы выбирайте VPN с умом или ищите альтернативы.

НеКасперский

S.T.A.L.K.E.R. 2 уже вышел!

Правда пока только на торрентах. Хакеры из паблика «Вестник «Того Самого Сталкера» опубликовали билд ещё невышедшей игры от первой половины этого года. Их торрент-файл «stablevalidationb49ee388» весит 194ГБ.

Напомним, что в прошлый раз разработчики украинской GSC Game World не пошли на встречу русскоязычной аудитории, поэтому хакеры публиковали архив с данными о разработке игры: скриншоты, ассеты, сюжет и много чего ещё.

НеКасперский

Слито и точка

Бурное было начало недели, чуть не упустили, что в понедельник протекла теперь уже отечественная сеть ресторанов быстрого питания.

Неизвестные хакеры выложили в открытый доступ SQL-дамп с данными всех кандидатов на рабочие места портала «Работа и точка». Среди почти 300 тыс. строк оказалась служебная информация о потенциальных сотрудниках, среди которой:

• ФИО
• Возраст
• Гражданство
• Телефон (215 тыс. уникальных)
• Вакансия
• Текущее место работы
• Результат теста для соискателей

Самые актуальны сведения датируются 25 мая 2023 года, а самые старые – началом января 2018, что весьма странно, ведь сеть быстрого питания официально появилась в РФ как минимум не раньше лета 2022 года. Видимо, продалась сеть вместе с персональными данными соискателей. Кандидатов «естественно» уведомили о передаче ПДн.

Па-ра-па-па-паам

НеКасперский

Хакнуть хакера за то, что тот хакал не хакеров

Ещё год назад владельца RaidForums вместе с его подельниками скрутили службы США и Европола, форум был захвачен, и история вроде бы закончилась.

Однако, вчера в открытом доступе появился дамп базы пользователей форума, который сам является плацдармом утечек.

Всего в дампе содержится около 478 тыс. записей, содержащих:

• Логин
• Почту (все уникальные)
• Даты рождения, регистрации и последней активности
• «О себе» пользователя
• Пароли в хеше и соль к ним

Самая первая запись датируется мартом 2015, последняя — сентябрём 2020.

Похоже, что Европол переиграл и уничтожил теневых швалей)

НеКасперский

S.T.A.L.K.E.R. 2 вышел. Теперь точно.

Хакеры, которые позавчера объявили о том, что добыли предрелизный билд игры, сегодня опубликовали ключи для его дешифровки.

Многие наши подписчики успели побухтеть на тему того, что билд зашифрован и новость не несёт ценности. Мы же, в свою очередь, забыли упомянуть, что хакеры пообещали расшифровать билд. Как мы видим, обещание сдержали 🦾

Бегом бегом смотреть че там русофобы успели наворотить!

НеКасперский