Переговоры с хакерами-вымогателями уже стали отдельным бизнесом

Переговоры с хакерами-вымогателями уже стали отдельным бизнесом внутри ransomware-атак. Группировки перестали быть кучкой одиночек с одним ноутбуком на всех, у них есть аналитики, переговорщики и даже колл-центры на аутсорсе, а вымогательство больше похоже на конвейер с чётким разделением труда. Об этом рассказал Дэйв Росс, старший директор Intelligence Fusion Team в Intel 471, который несколько лет наблюдает за внутренней кухней вымогателей.

Ещё до первого письма жертве группировка обычно знает её выручку, штат сотрудников и наличие киберстраховки. Аналитики сводят это в один профиль и на его основе выставляют сумму, обычно в диапазоне 1-5% годового дохода компании. Жёсткой формулы нет, крупным и небольшим жертвам могут выставить разные проценты, а часть группировок вообще запрещает своим партнёрам слишком быстро сбрасывать цену, чтобы не терять деньги на столе.

Список того, что операторы обычно выясняют про будущую жертву ещё до контакта:

▫️годовая выручка и маржинальность бизнеса;
▫️численность сотрудников и структура принятия решений;
▫️отраслевые штрафы и нормативные риски за утечку;
▫️наличие и лимит киберстраховки;
▫️репутационная чувствительность бренда на рынке.

Дедлайн в требовании о выкупе редко бывает жёстким сроком. Если жертва быстро выходит на связь и задаёт вопросы, злоумышленники иногда смягчают тон, а если организация молчит, сумма может резко расти с каждым днём промедления. В одном из случаев, которые разбирал Росс, стартовое требование в 600 000 долларов упало до 320 000 за удаление украденных файлов, а затем опустилось до 200 000.

Стоит обратить внимание, что первая цифра в переписке почти никогда не финальная, а сумма может как расти за каждый день молчания, так и падать после нескольких раундов торга.

Чтобы жертва поверила в реальность угрозы, вымогатели бесплатно расшифровывают пару тестовых файлов, обычно не самых ценных. Дальше жертву переводят в удобный для атакующих канал общения. Схема работает одинаково против компаний из любой страны, и российский бизнес здесь не исключение, если у него есть выручка и что скрывать.
Обычно контакт с жертвой держат на нескольких типах площадок:

▫️корпоративная или личная почта сотрудников;
▫️мессенджеры вроде Telegram и Tox;
▫️закрытые Tor-порталы с чатом и таймером обратного отсчёта;
▫️телефонные звонки через колл-центр на аутсорсе.

Доверие в этой нише работает по своим правилам. Если группировка получила деньги и не прислала ключ или всё равно опубликовала файлы, следующие жертвы просто откажутся платить, увидев её имя в переписке с коллегами по цеху. Поэтому после оплаты вымогатели чаще всего действительно выполняют обещание, не из порядочности, а потому что репутация конвертируется в будущую выручку.

Уточняется, что название группировки в записке о выкупе тоже часть игры, жертва может заранее посмотреть предыдущие сделки команды и понять, склонна ли она публиковать данные после оплаты.

Внутри крупных группировок работа давно поделена по ролям, а не держится на одном хакере, который умеет всё. Первый контакт с жертвой может устанавливать рядовой партнёр по программе, а как только сумма выглядит крупной, переговоры передают более опытному специалисту.

Вокруг вымогательства выросла отдельная экономика подрядчиков. Есть колл-центры, которые раньше работали на классическое телефонное мошенничество, а теперь берут заказы от ransomware-групп, потому что там платят больше. Есть команды, которые за отдельный чек разбирают украденные архивы и подсказывают, какие файлы бьют по жертве больнее всего. Юридические консультанты помогают оценить, какая информация формально подпадает под регуляторку, из-за чего угроза публикации выглядит для юротдела жертвы куда убедительнее.

🔗 Другие новости про хакеров, мошенников, утечки, ИБ, ИИ и ИТ можно прочитать здесь.

📤 Подписывайтесь на CISOCLUB в MAX

Claude работает даже когда вы спите — просто не на вас

Anthropic подтвердила случаи несанкционированного списания токенов с платных аккаунтов Claude. Злоумышленники получают доступ к активным сессиям пользователей через вредоносные программы и запускают от чужого имени Claude Code. Владелец подписки может неделями не замечать пропажу лимита, потому что сервис не показывает детальную статистику расходов.

У независимого ИИ-консультанта из Великобритании Гранта Де Свардта был тариф Claude Max 20x за 200 долларов в месяц. Показатель использования продолжал расти в дни, когда он вообще не открывал сервис. Он отключил все связанные инструменты, закрыл Cowork и Dispatch, убил локальные процессы Claude Code. Расход не остановился, за один цикл лимит подскочил с 45% до 55% без единой активной задачи.

В ходе проверки всплыли такие детали:

▫️лимит рос без единого запущенного процесса;
▫️Cowork и Dispatch были отключены заранее;
▫️локальных задач Claude Code не осталось вообще;
▫️тариф поднялся с 45% до 55% за один цикл без активности.

Anthropic признала проблему, но полного отчёта не выдала. Аккаунт временно заблокировали, все активные сессии и серверные OAuth-токены Claude Code аннулировали. За неиспользованный период подписки вернули 44,49 фунта стерлингов.

Для Де Свардта простой обошёлся не только деньгами. Он помогает малому и среднему бизнесу внедрять ИИ-агентов, которые берут на себя рутину, переносят данные из заказов в бухгалтерию и закрывают административные задачи. Заблокированный Claude выпал из рабочего стека целиком, а не просто перестал отвечать на пару запросов. Программирование, веб-дизайн и часть админки у него завязаны на агентов, поэтому 2 недели без доступа фактически поставили работу на паузу.

Отмечается, для человека, у которого Claude встроен в ежедневную работу, 2 недели без доступа ощущаются как отключение половины рабочего стека.

Пост Де Свардта на Reddit собрал около 80 комментариев, и там всплыли похожие жалобы других владельцев Claude.
Пользователи описывали разные варианты одной и той же проблемы:

▫️тариф автоматически переключился на более дорогой без согласия владельца;
▫️использование выросло с 0% до 49% за 12 минут;
▫️дневной лимит обнулялся 3 дня подряд без единого запуска;
▫️на GitHub всплыли те же жалобы от других разработчиков.

Похожая уязвимость касается и российских пользователей Claude, которые часто заходят в сервис через сторонние прокси и обходные сборки клиентов. Каждая такая прокладка добавляет точку, где сессию можно перехватить, а обратиться в поддержку напрямую заметно сложнее.

По данным Anthropic, злоумышленники используют распространённые инфостилеры — вредоносные программы, ворующие данные авторизации прямо с компьютера жертвы. Взломщику не нужен пароль, достаточно перехваченной сессии, чтобы зайти в чужой Claude и расходовать чужой лимит.
Источником заражения чаще всего становятся:

▫️пиратский или модифицированный софт;
▫️фейковые сборки популярных приложений;
▫️вредоносные ссылки в чатах и рассылках;
▫️заражённая реклама на сомнительных сайтах.

Сама платформа Claude при этом не является причиной заражения, уточняет Anthropic. Де Свардт утверждал, что не нашёл следов взлома на своём компьютере и так и не выяснил, каким образом злоумышленники получили доступ к аккаунту.

Стоит обратить внимание, чем щедрее лимит по подписке, тем привлекательнее он выглядит не только для честного разработчика, но и для того, кто зашёл в чужой аккаунт без спроса.

Разработчик и блогер OrcDev в 2026 году прогнал через два тарифа по 200 долларов около 235 млрд токенов. По обычным API-расценкам такой объём стоил бы около 157 143 долларов. Итоговые расходы составили 400 долларов за месяц.

🔗 Другие новости про хакеров, мошенников, утечки, ИБ, ИИ и ИТ можно прочитать здесь.

📤 Подписывайтесь на CISOCLUB в MAX

Россия обогнала весь мир по числу утекших баз данных

За 2025 год и первую половину 2026-го в паблик утекли 326 баз данных российских компаний. Это почти вдвое больше, чем суммарно набралось по всем остальным регионам планеты, от Латинской Америки до Азиатско-Тихоокеанского региона (всего 164 случая). Цифры посчитали специалисты F6, они мониторят даркнет и профильные чаты в поисках слитых корпоративных баз.

Базы редко всплывают просто так. Их постят на профильных форумах, продают в закрытых Telegram-каналах или вообще выкладывают бесплатно ради хайпа и репутации среди своих. Иногда слив это часть шантажа компании, а иногда просто способ засветиться в комьюнити хакеров.

Есть и третий вариант, когда базу сливают конкуренты или обиженные сотрудники, и мотив тут вообще не про деньги. F6 собирает и разбирает каждый такой кейс отдельно, а не просто считает общее число публикаций.

Суммарный объём того, что оказалось в открытом доступе по российским компаниям, составил около 1,175 млрд строк. Одна строка не равна одному человеку, тут есть нюанс. В одной записи может лежать сразу пачка данных, имя, почта, паспорт, логин с паролем и прочие плюшки для мошенника. По сути каждая утечка это не просто цифра в отчёте, а готовый набор для фишинга или звонков от «службы безопасности банка». В одной записи может лежать:

▫️имя и фамилия;
▫️электронная почта;
▫️паспортные данные;
▫️логин и пароль от сервиса;
▫️номер телефона и домашний адрес.

По количеству публикаций Россия рвёт всех в клочья, а вот по объёму данных внутри одной утечки на первое место выходят совсем другие страны, забавный парадокс в чистом виде. Базы СНГ оказались куда толще и сочнее для скупщиков на теневых рынках, получается своего рода цифровая гонка, где одна страна лидирует по числу опубликованных наборов, а соседи по региону выдают гигантские объёмы информации внутри буквально пары сливов.

Отмечается, что две базы одинакового «веса» в мегабайтах способны нести совершенно разный улов для злоумышленников, где-то минимум полезной инфы, а где-то полноценные цифровые досье с контактами и паролями.

Если вычесть российские базы из общей статистики, лидером по числу случаев становится Латинская Америка с 33%. Ближний Восток и Африка вместе взяли 29%, Азиатско-Тихоокеанский регион 8%, а остальные страны СНГ всего 4%.
Расклад по остальным регионам мира:

▫️Латинская Америка, 33%;
▫️Ближний Восток и Африка, 29%;
▫️Азиатско-Тихоокеанский регион, 8%;
▫️прочие страны СНГ, 4%.

На Центральную Азию пришлось около 257 млн строк, это больше трети всех записей в исследованных утечках по миру, и с объёмом ситуация тут переворачивается с ног на голову. Для российских пользователей это не сухая цифра из отчёта, ведь многие сервисы работают на общих серверах и делят инфраструктуру со странами СНГ, поэтому чужой слив легко может задеть и наши аккаунты.

Основной вклад внёс Таджикистан, 217 млн строк, это 84% всей центральноазиатской статистики. Казахстан занял второе место с 25 млн строк (10%), а на Узбекистан пришлось 15 млн строк (6%).

🔗 Другие новости про хакеров, мошенников, утечки, ИБ, ИИ и ИТ можно прочитать здесь.

📤 Подписывайтесь на CISOCLUB в MAX

ФСТЭК России обновила правила защиты значимых объектов КИИ перед запуском новых механизмов оценки

📤 Подписывайтесь на CISOCLUB в MAX

ФСТЭК России утвердила новые требования к защите значимых объектов критической информационной инфраструктуры. Основная часть норм заработает с 1 марта 2027 года. Владельцам таких объектов придётся регулярно замерять уровень защищённости и зрелость собственных процессов, а при провале показателей быстро реагировать и закрывать дыры.

Два числа теперь определяют, насколько объект защищён на самом деле, а не на бумаге. Первое — фактический уровень защищённости, то есть насколько система реально держит удар от актуальных типовых угроз. Второе — зрелость процессов вокруг безопасности, то есть насколько отлажена сама работа внутри организации, а не только технические заглушки для галочки.

Оба параметра ФСТЭК будет мерить по собственным методичкам, самодеятельность для бизнеса тут не предусмотрена. Для айтишников это фактически два новых KPI, которые теперь считает не сама компания, а федеральный регулятор.
На практике это разбивается на два трека:

▫️показатель защищённости — соответствие объекта минимальным требованиям против актуальных угроз;
▫️показатель уровня зрелости — насколько отлажены процессы вокруг безопасности внутри компании.

Показатель защищённости нужно будет пересчитывать не реже раза в полгода. Если цифра ниже нормативных значений, руководитель обязан узнать об этом не позже чем через три календарных дня и решить, как усиливать защиту объекта.

Отмечается, три календарных дня на реакцию — это меньше, чем средний ИБ-отдел тратит на один цикл работы с багтрекером, так что теперь и внутренняя бюрократия компаний идёт под секундомером.

Показатель зрелости процессов считается реже, не чаще одного раза в три года, но результат всё равно показывает, насколько системно выстроена защита, а не собрана на скорую руку перед проверкой. Метрика ловит компании, которые годами живут на одних и тех же регламентах без реального применения на практике. Раньше такие компании проходили любую проверку одной подписью ответственного, теперь одной подписью не отделаться.
Коротко по срокам:

▫️показатель защищённости — расчёт не реже раза в полгода;
▫️уведомление руководителя при провале — не позже трёх календарных дней;
▫️показатель зрелости — расчёт не реже раза в три года;
▫️решение об усилении защиты — после каждого провального замера.

ФСТЭК распространила новые требования и на подрядчиков. Если компания привлекает стороннего исполнителя для обработки или хранения данных значимого объекта, для разработки информационных систем, для сопровождения эксплуатации либо для работ по защите информации, этому подрядчику тоже придётся считать показатель зрелости. Закрепить такое требование в договоре обязан владелец объекта КИИ, а не сам подрядчик.
Для подрядчика правила простые:

▫️рассчитать показатель уровня зрелости до получения доступа к значимому объекту;
▫️повторять расчёт не реже одного раза в три года;
▫️передавать результаты владельцу объекта КИИ для контроля.

Если цифры подрядчика не дотягивают до нормативов, руководитель субъекта КИИ снова получает уведомление в течение трёх дней и снова решает, что делать с рисковым звеном в цепочке поставки.

🔗 Другие новости про хакеров, мошенников, утечки, ИБ, ИИ и ИТ можно прочитать здесь.

📤 Подписывайтесь на CISOCLUB в MAX

Основные #мероприятия следующей недели 🗓

1️⃣ PKI-Форум Россия 2026 (с 15.09.2026 10:00 до 17.09.2026). Зарегистрироваться

2️⃣ Техно-дискуссия Deep Patch от К2 Кибербезопасность на тему «Зумеры vs Бумеры: ИБ edition» (15.09.2026 с 19:00 до 20:00). Зарегистрироваться

3️⃣ Вебинар «ИТ-ландшафт под огнем: как выстроить процессы, чтобы управлять рисками и минимизировать потери?» (16.09.2026 с 10:00 до 11:00). Зарегистрироваться

4️⃣ Вебинар «Невидимые хакерские атаки: как Astra Linux предотвращает компрометацию инфраструктуры» (16.09.2026 с 11:00 до 12:00). Зарегистрироваться

5️⃣ Ai Swap Table (16.09.2026 с 18:30 до 22:30). Зарегистрироваться

6️⃣ Ежегодная конференция Positive Tech Days (17.09.2026 в 08:00). Зарегистрироваться

7️⃣ Вебинар «Простое решение сложных задач с UserGate WAF 7.7.0» (17.09.2026 с 10:00 до 12:00). Зарегистрироваться

8️⃣ Вебинар «От угроз к возможностям: Использование DLP для стратегического управления рисками» (17.09.2026 в 11:00). Зарегистрироваться

9️⃣ Вебинар «Больше чем мониторинг конечных точек с BI.ZONE EDR и практическая ценность для команд аналитиков SOC» (17.09.2026 в 11:00). Зарегистрироваться

🔟 Вебинар «Что важнее SOCа?» (17.09.2026 в 11:00). Зарегистрироваться

1️⃣1️⃣ Вебинар «Защита сети государственных информационных систем по требованиям 117 приказа ФСТЭК России» (17.09.2026 с 11:00 до 12:00). Зарегистрироваться

1️⃣2️⃣ Вебинар «Модель угроз — это только начало. Как за 10 шагов превратить формальность в реальное управление рисками» (17.09.2026 в 11:00). Зарегистрироваться

✅ Все мероприятия: https://cisoclub.ru/category/event/

📤 Подписывайтесь на CISOCLUB в MAX

Безопасность бизнеса начинается там, где видна полная картина

Обсудим, как находить слепые зоны в защите бизнеса, на онлайн-конференции «Совершенно безопасно».

📆 Когда: 22 сентября с 10:00 до 16:30 мск
▶️ Где: в прямом эфире

На одной площадке соберем экспертов рынка безопасности и представителей бизнеса, обсудим цифровые, экономические и управленческие риски в одном поле зрения.
Главные ракурсы конференции:
✅ Новый ландшафт рисков: как меняются функции безопасности и управления.
✅ Искусственный интеллект: часть защитного механизма или новая уязвимость.
✅ Портрет современного инсайдера: какие практики становятся отраслевым стандартом.
Спикеры конференции:
▪️Никита Лисенков, член Международной ассоциации корпоративной безопасности ICSA
▪️Сергей Сергеев, руководитель по корпоративной безопасности девелопера «Брусника»
▪️Лука Сафонов, бизнес-партнер по инновационному развитию компании «Гарда»
▪️Юрий Драченин, эксперт по информационной безопасности Контур.Эгиды и Staffcop
▪️Даниил Бориславский, эксперт по информационной безопасности Контур.Эгиды и Staffcop

Участие бесплатное, нужно только 👉 зарегистрироваться

Реклама. АО «ПФ «СКБ Контур». ИНН 6663003127

А воз и ныне там: в Кибердоме обсудят проблемы внедрения и эксплуатации NGFW-продуктов

Все мы помним басню Крылова, где лебедь, рак и щука тянули воз в разные стороны. Похожая история происходит с российским рынком NGFW: сертификация тянет в одну сторону, практика — в другую, а заказчики и вендоры вообще смотрят в третью.

Чтобы нащупать согласие, 28 сентября более 250 представителей ИБ-индустрии соберутся на ежегодном NGFW-дне. Будет обсуждаться, что сегодня происходит с российским рынком сетевой безопасности и насколько существующие решения отвечают реальным запросам бизнеса.

Одна из главных интриг программы — результаты закрытого опроса 30 CISO крупнейших российских компаний. Они рассказали, с какими проблемами сталкиваются при внедрении и эксплуатации NGFW. Ответы вынесут на сцену, а представители рынка попробуют проверить, насколько хорошо они знают своих заказчиков.

Также в программе:
💜 где проходит граница между требованиями регуляторов и реальной защищённостью;
💜 чего заказчики ждут от российских NGFW и что получают на практике;
💜 насколько прозрачной должна быть архитектура отечественных решений;
💜 как защищать сложную распределённую инфраструктуру — от касс и терминалов до камер и рабочих станций.

Участие бесплатное по предварительной регистрации с корпоративной почтой.

➡️ Регистрация

Когда: 28 сентября, 10:00 – 16:00
Где: Кибердом, 2-я Звенигородская ул., 12 стр. 18

За $200 в даркнете можно купить готового «цифрового Франкенштейна» для KYC

📤 Подписывайтесь на CISOCLUB в MAX

На теневых площадках и в Telegram-каналах продают набор для сборки полностью фейковой личности, способной пройти автоматическую проверку KYC. Средняя цена комплекта $200, а внутри реальные украденные данные соединяются со сгенерированными нейросетью именами, фото и голосами. Получившегося персонажа исследователи прозвали «цифровым Франкенштейном», и для систем идентификации он проходит как живой человек с цельным цифровым профилем.

Аналитики Coveron и NordLayer Intelligence прогнали 22 поисковых запроса и разобрали больше 362 тыс. постов на даркнет-форумах и в Telegram, где обсуждают кражу личности, дипфейки и синтетические профили. За основу такого профиля обычно берут ворованный номер соцстрахования или другие настоящие данные жертвы, а сверху накручивают вымышленное имя, ИИ-фото, поддельные документы и клон голоса.
В типовой комплект «цифрового Франкенштейна» входит:

▫️украденный номер соцстрахования или другой реальный идентификатор жертвы;
▫️вымышленные имя и адрес, не привязанные к реальному человеку;
▫️сгенерированное нейросетью фото лица;
▫️поддельные документы, подогнанные под легенду;
▫️голосовой клон, синтезированный под конкретную личность.

Проблема бьёт по автоматическим системам проверки, которые сверяют отдельные признаки, а не пытаются понять, стоит ли за анкетой живой человек с непротиворечивым цифровым следом. Если KYC-сервис ограничивается сравнением фото с документом, синтетический профиль спокойно проходит фильтр и получает доступ к финансовым сервисам. Для российских пользователей эта штука не с другого континента, те же слитые из отечественных баз данные отлично встраиваются в такие наборы и продаются на тех же теневых площадках.

Отмечается, что синтетическая личность это не захват чужого аккаунта, а рождение нового пользователя, которого никогда не было в реальности. Захват берёт готовый профиль, а тут мошенник с нуля лепит персонажа под конкретную задачу.

Спрос на такие услуги в 2026 году подскочил резко. В среднем за год фиксируется 255 публикаций о дипфейках в месяц против 40 в начале 2024-го. Числа по кварталам такие:

▫️в I квартале 2024 года фиксировалось около 40 публикаций о дипфейках в месяц;
▫️во II квартале 2026 года показатель поднялся до 307 публикаций в месяц, это рост больше чем в 7 раз;
▫️на протяжении всего 2025 года активность держалась примерно на одном уровне;
▫️в среднем по 2026 году показатель составил 255 публикаций в месяц.

ИИ тут не придумывает новый вид мошенничества с нуля, а сносит порог входа в старую схему. Раньше скамеру приходилось долго собирать данные на конкретную жертву и вручную подгонять фото под документы. Сейчас недостающие куски генерируются на автомате за минуты, и собрать профиль под чужую личность может человек без всякой технической подготовки.
Цена вопроса разбивается по частям:

▫️сгенерированное фото лица или клон голоса стоит от $10 за штуку;
▫️полный комплект с документами и легендой обходится в среднем в $200;
▫️предложений готовых наборов за последний год набралось больше 10 тыс.;
▫️часть продавцов собирает профиль под ключ, часть продаёт отдельные компоненты россыпью.

Уточняется, что один пароль или селфи для проверки KYC уже давно не гарантия, потому что фото можно сгенерировать, голос клонировать, а остальные данные добрать из слитых баз.

🔗 Другие новости про хакеров, мошенников, утечки, ИБ, ИИ и ИТ можно прочитать здесь.

📤 Подписывайтесь на CISOCLUB в MAX

Автономные ИИ-агенты в рабочих процессах: Делегирование, Аудит и Экстренное торможение

Эпоха «ИИ-собеседников» плавно перетекает в эру «ИИ-агентов». Если раньше нейросети просто генерировали текст или код по запросу, то теперь они сами планируют шаги, используют внешние инструменты (API, базы данных, браузер) и выполняют многошаговые задачи.

Но автономность рождает новые риски: агент может уйти в бесконечный цикл, удалить важные данные или отправить клиенту галлюцинацию вместо счета. Как выстроить работу с ИИ-агентами так, чтобы они приносили пользу, а не создавали хаос? Разберем три столпа безопасной агентной автоматизации: делегирование, журналирование и контроль.

Прочитать статью от АСИЕ-ГРУПП можно здесь.

📤 Подписывайтесь на CISOCLUB в MAX