🤫В последнее время все чаще ловлю себя на мысли: в информационной безопасности стало слишком много «формального присутствия» и слишком мало реальной глубины.

😫Настроить базовый firewall и раз в месяц прогнать сканер - этого уже недостаточно даже для минимального уровня.

👨‍💻 Ландшафт угроз меняется быстрее, чем обновляются многие команды. Те, кто действительно следит за индустрией, понимают: сегодня выигрывает не тот, у кого есть инструменты, а тот, кто постоянно в контексте - читает, анализирует, сравнивает подходы и кейсы.

Наткнулся на подборку каналов и источников, которые помогают держать руку на пульсе, посмотрите по ссылке ниже и выберите понравившиеся каналы, которые соответствуют вашим ценностям.

😕Если вы тоже чувствуете, что просто «поддерживать процессы» уже недостаточно, возможно, эта подборка окажется полезной как дополнительный слой информации и взглядов.

🙃Ссылка на папку пока открыта:
https://xn--r1a.website/addlist/NhRvYozhVvBmZDli

💥Дайджест. Топ-9 новостей мая на канале BELYAEV_SECURITY
🔈 Этот дайджест — удобный способ за 10 минут погрузиться в самые топовые темы мая, которые по вашим реакциям и просмотрам приковали особое внимание. 😊

1️⃣ ❓Выпуск Nº17: Почему компании не закрывают уязвимости

2️⃣ 🔥Майский топ ИБ каналов

3️⃣ 🔓Foxconn взломан: хакеры украли
схемы Apple, Nvidia и ещё кучи компаний

4️⃣ 🤝Сотрудничество

5️⃣ 💋ТОП-5 свежих новостей из мира ИБ

6️⃣ ⭐️Коллаб/партнерство

7️⃣ 😱Пока все спорят, заменит ли АІ программистов, Al уже заменяет...
мошенников

8️⃣ 🤙Ищем новых героев на проект

9️⃣ 🧠Первый боевой
Al-эксплойт: ИИ перестал играть в песочнице

💬 Поделитесь им с друзьями, близкими и коллегами.
🔵Такой контент повышает цифровую грамотность окружения и делает ваш круг общения чуть более защищённым.

📝 Автор: Альбина

📞 Связаться: @BELYAEV_SECURITY_bot

💬 [MAX] 💪[Стикеры] |🎙 [Проект BST] | | 📺 [Rutube] | 📺 [VK] | 🎵 [Мои подкасты] | 💰 [Буст Канала] | 💬 [Откомментировать]
#дайджест@belyaevsec

Криптоматы-мошенники: $389 млн потерь и банкротство BitcoinDepot

«Позвоните в Microsoft», «вас взломал хакер», «переведите деньги через биткоин-банкомат, чтобы защитить счёт» - звучит как очевидный развод. Но в 2025 году американцы потеряли через такие схемы почти $389 миллионов. Это больше, чем в 2024-м - на 58%.

Что произошло: ФБР опубликовало предупреждение о резком росте мошенничества с использованием криптовалютных киосков. В 2025 году Центр жалоб ФБР (IC3) получил более 13 400 обращений, потери превысили $388 миллионов. Более 76% потерь понесли люди старше 60 лет. Параллельно крупнейший оператор крипто-ATM - Bitcoin Depot - объявил о банкротстве. По данным ICIJ и CNN, через сотни его машин в Circle K прошло минимум $1.5 млн мошеннических транзакций.

Схема работает так: жертве звонят «из службы безопасности банка» или «техподдержки Microsoft», убеждают, что счёт скомпрометирован, и направляют к ближайшему криптоматомату для «защиты» средств.

Аналогия: Это как если бы у банка убрали всех кассиров и заменили машинами на углах улиц - без камер, без кассира, с мгновенным переводом в любую точку мира. Именно такой инфраструктурой пользуются мошенники. Криптомат - это идеальный инструмент для обналичивания доверия жертвы.

Что делать
Пользователям: запомните раз и навсегда: ни одна служба безопасности, банк, Microsoft, Amazon или ФСБ никогда не попросит вас снять деньги и положить их в банкомат криптовалюты. Никогда. Это 100% мошенничество. Предупредите родителей и бабушек.

Бизнесу / CEO: если ваши сотрудники или клиенты могут стать жертвами таких схем - проведите awareness-тренинг. Внедрите внутренние политики: любой перевод в криптовалюту на сумму выше X - автоматическая пауза и верификация через независимый канал.

$389 млн - и это только официальная статистика. Реальная цифра, по моей оценке, в 3-5 раз выше. Криптоматы решили проблему «последней мили» для мошенников: анонимность, скорость, необратимость. Регуляторы медленно реагируют, а мошенники - быстро адаптируются. Через год ожидаю существенного ужесточения KYC-требований для операторов криптокиосков - как минимум в США и ЕС.

Автор: Беляев Дмитрий

〰️〰️〰️
📝 Связаться с Дмитрием
〰️〰️〰️
↘️ [Все проекты]
🤔 [Стикеры]
📚 [Менторство]
💰 [Буст BS]

🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥


#крипто #мошенничество #BitcoinATM #scam #кибербезопасность

HackerOne заморозил BugBounty: ИИ нашёл так много багов, что платить не успевают

Bug bounty - это священная корова безопасности последних 15 лет. «Платим исследователям - они находят баги - все в плюсе». В мае 2026 года HackerOne поставил программу на паузу. Причина: ИИ нашёл слишком много уязвимостей, и экосистема не выдержала.

Что произошло: HackerOne объявил о приостановке выплат в рамках Internet Bug Bounty (IBB) program - программы, работавшей с 2012 года и выплатившей более $1.5 млн исследователям. Причина: взрывной рост AI-powered submissions, из-за которого баланс между discovery и remediation «существенно сдвинулся». Open-source maintainers физически не успевают закрывать то, что ИИ находит быстрее. Node.js стал первым пострадавшим - его исследователи больше не получают выплат.

Эта история - продолжение тренда: Google OSS VRP и проект Curl ранее также запретили AI-generated submissions. На ЦИПР-2026 в разгар дискуссий об ИИ хакеры атаковали сам форум с применением ИИ - в 2/3 сканирований зафиксированы следы ChatGPT.

Аналогия: Представьте, что нанимаете 10 детективов для поиска утечек. Отлично работало годами. Потом даёте ИИ задание - и он за ночь находит 10 000 потенциальных утечек. Ваш персонал не справляется. Детективы обижены, что их не ценят. Система ломается не потому, что стало хуже - а потому что стало слишком быстро.

Что делать
Пользователям (разработчикам): если вы ведёте open-source проект - готовьтесь к волне AI-репортов уязвимостей. Настройте политику принятия репортов с обязательной верификацией вручную, иначе потонете в шуме.

Бизнесу / CEO: bug bounty - не замена внутренней безопасности. Это дополнение. Если вы полагаетесь только на внешних исследователей - ваша программа уязвимости управления выглядит как «отдел безопасности за чужой счёт». Инвестируйте в SAST/DAST/ASPM внутри - ИИ уже доступен и вам тоже.

HackerOne обнажил системный парадокс эпохи ИИ: мы научились находить уязвимости быстрее, чем умеем их чинить. Bug bounty как модель придётся переизобретать - возможно, с акцентом не на количество находок, а на помощь в remediation. Через год я ожидаю появления «AI-remediation bounty» - платим не за нахождение бага, а за помощь в его автоматическом исправлении. Рынок уже ждёт этой модели.

Автор: Беляев Дмитрий

〰️〰️〰️
📝 Связаться с Дмитрием
〰️〰️〰️
↘️ [Все проекты]
🤔 [Стикеры]
📚 [Менторство]
💰 [Буст BS]

🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥

#BugBounty #HackerOne #AIсecurity #VulnerabilityManagement #cybersecurity

Итоги БеКон’26: когда безопасность контейнеров перестаёт быть теорией

📌2 июня я стоял перед входом в лофт ГОЭЛРО на Большой Почтовой, держал в руках бейдж в виде морской свинки‑пирата - фирменный мерч БеКона - и думал: вот это правильный тон для серьёзной конференции. Без пафоса, без маркетинговых лозунгов: несколько сотен инженеров вокруг и разговоры только о том, как не дать злоумышленникам уйти из вашего кластера с ключами от всего.

🔈БеКон - четвёртая по счёту и, по сути, единственная в России конференция, целиком посвящённая безопасности контейнеров и Kubernetes.

⚡️Организатор - Luntry, компания, которая системно развивает тему защиты контейнерных сред и с 2023 года собрала вокруг конференции довольно плотное комьюнити. Формат принципиально офлайн: никакого стрима, потому что половина ценности - это кулуарные разговоры и разбор чужих шишек вживую.

📰Программа поделена на два трека. «Ингредиенты» - чистая техника: hardening кластеров, runtime‑защита, policy‑as‑code, сканирование образов, supply chain‑безопасность. «Рецепты» - про людей и процессы: как выстраивать команду SecK8S, как договариваться Dev/Sec/Ops, как проживать требования регуляторов и не убивать продуктивность.

🎙Доклады по 30 минут, без вендорского онбординга - только практики, кейсы и инструменты.

🏆Открывал технический трек доклад Дмитрия Рыбалки (Mindbox) «SLSA — язык доверия: от CI до Runtime». Контекст: в марте 2026 года группировка TeamPCP скомпрометировала open source‑сканер Trivy от Aqua Security, похитив токен GitHub Actions и выкатив вредоносные Docker‑образы с инфостилером. Эти образы собирали секреты прямо с CI‑раннеров, а число затронутых организаций пошло на тысячи. Именно через этот кейс Дмитрий показал, зачем нужен SLSA 1.2: L1 — машиночитаемое описание сборки (provenance), L2 — подписанный builder’ом provenance и принцип «неподтверждённый артефакт не должен попадать в execution path», L3 - изоляция среды и жёсткие границы доверия.

🔥Отдельный блок доклада - что Aqua реально изменила после инцидента. В их post‑mortem чёрным по белому: pin GitHub Actions к конкретным commit SHA, immutable‑релизы в Docker Hub и GitHub Releases, защита тегов в артефактных репозиториях, добавление SLSA‑provenance к релизам Trivy, SSO и IP allow‑listing, отказ от long‑lived credentials в пользу scoped tokens.

Это редкий пример, когда фреймворк не просто обсуждают на слайдах, а сразу превращают в политику и чек‑лист.

📈 Остальные доклады закрывали почти всю палитру задач: от пентестов Kubernetes‑кластеров и защиты от криптоджекинга до GitOps‑подхода к политикам безопасности и практики прохождения ФСТЭК‑сертификации для контейнерных решений. В кулуарах было не менее интересно, чем в зале: банки, маркетплейсы, критка - у всех свои боли, но похожие шаблоны ошибок.

📁 Уезжал с БеКона с простым выводом: supply chain‑атаки - это уже не «мировой тренд», а наша повседневность. SLSA в этой картине - не серебряная пуля, а язык, на котором платформа и ИБ наконец могут договориться о доверии к артефактам от стадии сборки до runtime. Если вы живёте в Kubernetes‑экосистеме, БеКон - это не «ещё одна конференция», а та самая точка, где можно сверить часы и уйти с конкретным планом, что менять в своём пайплайне уже завтра.


Автор: Беляев Дмитрий

〰️〰️〰️
📝 Связаться с Дмитрием
〰️〰️〰️
↘️ [Все проекты]
🤔 [Стикеры]
📚 [Менторство]
💰 [Буст BS]

🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥

ShinyHunters: серийные взломщики 2026 года
275 миллионов студентов. 6 миллионов туристов. 13 миллионов телеком-клиентов. Одна банда. Три месяца.

Если вы ещё не слышали о ShinyHunters - познакомьтесь с самой результативной хакерской группой 2026 года. Эти ребята умудрились взломать Canvas (учебная платформа от Instructure), Charter Communications (телеком под брендом Spectrum) и Carnival Corporation (крупнейший круизный оператор планеты) - и всё это в промежутке апрель-май 2026 года.

Что именно произошло:

Атака на Canvas началась в конце апреля. ShinyHunters утверждают, что украли терабайты данных - имена, email-адреса, ID студентов и приватные сообщения около 275 миллионов пользователей из тысяч учебных заведений. Когда Instructure не заплатила выкуп - хакеры вернулись и дефейснули страницы входа сотен университетов прямо в сезон финальных экзаменов. Жёстко. В итоге компания всё же договорилась и заплатила - данные якобы уничтожены.

С Charter Communications история проще и циничнее: один звонок, один сотрудник, один скомпрометированный аккаунт - и доступ к CRM с базой клиентов. Дедлайн по выкупу прошёл без ответа, и миллионы записей ушли в публичный доступ.

Carnival - почти копия: сотрудник попался на социнженерию, и данные миллионов клиентов (имена, даты рождения, номера документов) вылетели наружу.

Аналогия простая: представьте взломщика, который ограбил школу, офис телефонной компании и круизный лайнер - пока все смотрели друг на друга и ждали, кто первый вызовет полицию.

Что делать:

Обычным пользователям: проверить свой email на утечки, включить двухфакторку, не кликать на «официальные» письма от этих компаний - фишинг по горячим следам почти гарантирован.

Бизнесу/CEO: ShinyHunters - это не «богоподобные хакеры». Это группа, которая побеждает вашего сотрудника в телефонном разговоре и входит через парадную дверь. Пересмотрите политику верификации при доступе к критичным SaaS-системам. CRM + доступ без жёсткой MFA-проверки = катастрофа.

Мое мнение: ShinyHunters показывают индустриализацию вымогательства. Они не ломают стены - они покупают ключи или уговаривают сторожа. В ближайший год мы увидим десятки таких же историй: звонок - доступ - шантаж. Кто ставит всё на «технологическую защиту» и экономит на людях, будет в сводках.

Автор: Беляев Дмитрий

〰️〰️〰️
📝 Связаться с Дмитрием
〰️〰️〰️
↘️ [Все проекты]
🤔 [Стикеры]
📚 [Менторство]
💰 [Буст BS]

🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥

#ShinyHunters #DataBreach #утечкаданных #ransomware #кибербезопасность

🔥Топ-5 новостей ИБ за неделю

▪️Новый масштабный фишинг через WhatsApp😱
Исследователи зафиксировали волну атак, когда злоумышленники отправляют сообщения от имени банков и криптокошельков. Жертвы получают «срочные уведомления» о заморозке счетов или подозрительных переводах. Схема простая: установить «защитное приложение», которое на самом деле крадет пароли и данные карт.

😂💬Если сообщение начинает с «Срочно обнови пароль», вспомни - единственное, что стоит обновлять - это чувство самосохранения.

▪️Уязвимость в Microsoft Exchange снова в ходу⭐️
Уязвимость ProxyShell позволяет удаленно выполнять код на серверах Exchange без аутентификации. Злоумышленники используют её для установки веб-оболочек, шифровальщиков и кражи корпоративной информации. Microsoft уже выпустил патч, но миллионы серверов пока не обновлены.

😂

💬

Microsoft, ты как тот друг, который каждый год обещает «всё исправить»… но уязвимость снова на вечеринке.

▪️Рекордный слив данных в Латинской Америке🔓
Хак-группа RansomHouse опубликовала 150 ГБ данных крупного телеком-оператора. Среди утекших данных: номера телефонов, адреса, контракты и платежная информация. По оценкам экспертов, утечка затрагивает миллионы клиентов.

😂

💬

Миллионы клиентов теперь знают, что их данные - почти как Wi-Fi соседа: «доступно для всех».

▪️Новый ботнет на базе IoT-устройств❓
Исследователи обнаружили ботнет «Hydra», который заражает камеры наблюдения, умные телевизоры и роутеры через стандартные пароли. Зараженные устройства используют для DDoS-атак, рассылки спама и даже майнинга криптовалют.

😂

💬

Похоже, твой умный холодильник решил стать майнером… и теперь пьет больше электричества, чем кофе утром.

▪️Обновление правил киберсанкций США против России 🚫
Министерство финансов США добавило новые ограничения на экспорт технологий, включая серверное оборудование, ПО для кибербезопасности и облачные сервисы. Ограничения направлены на сдерживание использования высокотехнологичных инструментов в России.

😂

💬

Америка говорит: «Серьезно, ребята, так не играем» - а российский ИТ-бизнес думает: «А у нас есть VPN, правда?»

🥰Вывод недели ⬇️
Главный тренд последних дней - хакерам по-прежнему не нужны сложные схемы, когда есть неустановленные патчи, стандартные пароли и доверчивые пользователи. Пока одни компании считают, что обновления могут подождать до понедельника, злоумышленники уже считают количество украденных записей в базах данных.
Берегите свои данные, обновляйте системы вовремя и помните: самый надежный пароль - тот, который не совпадает с названием вашего кота и датой рождения.


Автор: Альбина
✏️Связаться с Дмитрием
〰️〰️〰️
↘️ все проекты
👍стикеры
📚 менторство
💰 буст
〰️〰️〰️ #новости_ИБ #CISO
#кибербезопасность #утечкаданных #infosec #cybersecurity

ФБР взломали - и это «крупный инцидент»
Когда взламывают тех, кто следит за хакерами - это не просто конфуз. Это пять тревожных звонков одновременно.

В начале 2026 года ФБР официально присвоило статус «major incident» кибератаке на свою систему слежки. Хакеры - предположительно, связанные с Китаем - получили доступ к данным о людях, находящихся под федеральным наблюдением. Там и метаданные звонков, и информация по расследованиям, и персональные данные.

Как это произошло: атака шла не в лоб, а через цепочку поставок - через коммерческого подрядчика, который обслуживал инфраструктуру. Не пробили стену - нашли открытое окно у соседа. Классика supply chain: взломали не того, кто «самый защищённый», а того, кто получил доверие и доступ.

Мини-история: представьте, что у вас есть самый надёжный сейф в городе. Но ключи от сейфа хранятся у курьера, который возит их в рюкзаке без замка. Именно так и выглядела «защита» критической системы ФБР.

Что это значит:

Обычным людям: если вы когда-либо были рядом с судебными разборками, расследованиями или просто общались с фигурантами - ваши данные могли оказаться в чужих руках. И это не сценарий фильма, а реальность.

Бизнесу/CEO: если китайцы взломали ФБР через вендора - ваш бизнес не менее уязвим через своих подрядчиков. Аудит цепочки поставок - это не «инициатива безопасности», это условие выживания. Знаете ли вы, сколько внешних компаний имеют технический доступ в вашу инфраструктуру и по каким каналам?

Моё мнение: эта история окончательно добивает миф «у нас подрядчик, они всё сделают безопасно». Нет. Ваша безопасность заканчивается там, где заканчивается ваш контроль. В ближайшие годы крупнейшие инциденты будут приходить именно через «надёжных партнёров». Если у вас нет real-time видимости того, что делают подрядчики - вы уже в риске.

Автор: Беляев Дмитрий

〰️〰️〰️
📝 Связаться с Дмитрием
〰️〰️〰️
↘️ [Все проекты]
🤔 [Стикеры]
📚 [Менторство]
💰 [Буст BS]

🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥


#SaltTyphoon #FBI #ChinaHack #кибершпионаж #cybersecurity

Тренинг 11 июня

Давно раскрываю темы: NGFW, ИИ в безопасности, личную кибербезопасность — всё есть на YouTube, Rutube и в канале.

Я дважды выиграл конкурс "Продай за 3 минуты". Формат простой: три минуты рассказываешь про продукт, шесть реальных CISO голосуют — купят или нет. Оба раза все шесть проголосовали "куплю". Хотите такой же результат?

Я уже 10 лет читаю курс как выступать, как убеждать, как говорить так, чтобы слушали. Чаще всего приходят два типа людей: руководители, которым надо блистать на сцене и технари, которым важно повысить конверсию из проведенной встречи в пилот. От этого выигрывают и те кто читает лекции и те кто слушает - все быстро достигают своих целей.

Запускаю отработанный годами готовый тренинг для технарей в паблик — идет один день, оффлайн, максимум обучаю 10 человек, с обязательной практикой.

За день разберём то, что технарям обычно никто не объясняет:
🟢 зачем вы вообще выступаете — и почему "показать продукт" это не цель
🟢 как структурировать презентацию на 5, 15, 30, 60 минут
🟢 что делать с руками, голосом и волнением
🟢 как читать аудиторию прямо во время выступления
🟢 как отвечать на неудобные вопросы и возражения

И главное — каждый выступит дважды и получит живой фидбек.

Не будет голой теории. Вы уйдёте с навыком, который уже опробовали и сможете применять!

Есть еще места. Если придете 11 июня, то работает скидка 30%. Напишите в комментариях — пришлю детали.

✏ Информация для экспертов, которые хотят лучше выглядеть на встречах и сцене
✏ Информация для руководителей, которые хотят отправить своих сотрудников

#Экспертам

Тема: «КИИ 2026: как регуляторка душит одних и спасает других»
Подкаст рубрики: "За кулисами ИБ"

Ведущий: Беляев Дмитрий
🏆 ТОП‑100 Лидеров ИТ (GlobalCIO) 2023/25/26
🏆ТОП‑25 директоров по кибербезопасности России (Ассоциация менеджеров и Коммерсантъ)
🥇 CISO года, по версии комьюнити (Сайберус и КиберДом)
🏆 «Кибергерой года» (премия «Время инноваций»)

Гость: Разоренов Степан

Степан Разоренов — тот самый человек, которого ассоциируют с практической безопасностью критической инфраструктуры в России. Один из немногих, кто говорит о КИИ не цитатами из нормативных актов, а языком реального операционного опыта.
За его плечами — построение систем безопасности транспортных и финансовых проектов в полном соответствии с требованиями КИИ, ГИС, ПДн и PCI DSS. Взаимодействие с НКЦКИ. Реальные учения по противодействию DDoS. Внедрение современных средств защиты в инфраструктуре, где нельзя ошибиться.


Дата: 9 июня, 20:00 – 21:30 (GMT+3)
Ссылка для подключения:

https://belyaev-st.ktalk.ru/y0c5873o3egh


#BelyaevPodcast