Взлом OpenCode: утекли сохранённые API-ключи
16 октября 2026 года неизвестные получили доступ к устаревшей системе OpenCode, и под угрозой оказались API-ключи OpenAI, Anthropic и Google, которые пользователи сохраняли в OpenCode Console. По предварительным подсчётам, это 1,4% пользователей Console, а часть пострадавших уже пишет о несанкционированных списаниях от нескольких сотен до 1700 долларов.
Ключи из CLI и десктопного приложения хранятся локально в SQLite и на серверы OpenCode не передаются, поэтому атака их не затронула. Простого удаления ключа из Console мало: пока провайдер его не отзовёт, копию можно использовать для платных запросов, а в OpenCode упомянули возможную компенсацию расходов.
Что делать
— Если хранили ключ ИИ-провайдера в сервисе, отзовите его у самого провайдера
— Создайте новый ключ и проверьте историю списаний и расходов в аккаунте
— Для каждого сервиса заводите отдельный ключ, чтобы утечку было проще локализовать
Источник: Xakep.ru
Наш сервис: мобильный интернет за границей. eSIM желательно регистрировать после покупки — в стране прилёта.
Ещё у нас: приложение, долларовая карта, номера для SMS.
#утечки #защита
16 октября 2026 года неизвестные получили доступ к устаревшей системе OpenCode, и под угрозой оказались API-ключи OpenAI, Anthropic и Google, которые пользователи сохраняли в OpenCode Console. По предварительным подсчётам, это 1,4% пользователей Console, а часть пострадавших уже пишет о несанкционированных списаниях от нескольких сотен до 1700 долларов.
Ключи из CLI и десктопного приложения хранятся локально в SQLite и на серверы OpenCode не передаются, поэтому атака их не затронула. Простого удаления ключа из Console мало: пока провайдер его не отзовёт, копию можно использовать для платных запросов, а в OpenCode упомянули возможную компенсацию расходов.
Что делать
— Если хранили ключ ИИ-провайдера в сервисе, отзовите его у самого провайдера
— Создайте новый ключ и проверьте историю списаний и расходов в аккаунте
— Для каждого сервиса заводите отдельный ключ, чтобы утечку было проще локализовать
Источник: Xakep.ru
Наш сервис: мобильный интернет за границей. eSIM желательно регистрировать после покупки — в стране прилёта.
Ещё у нас: приложение, долларовая карта, номера для SMS.
#утечки #защита
XAKEP
Взлом OpenCode привел к утечке ключей API и несанкционированным списаниям
Разработчики опенсорсного ИИ-инструмента OpenCode сообщили об инциденте, из-за которого произошла утечка API-ключей OpenAI, Anthropic и Google. По предварительным подсчетам, проблема затронула 1,4% пользователей OpenCode Console, но некоторые пострадавшие…
👏1
Пароль 123456 открыл данные 8,8 млн датчан
В датский реестр населения CPR получили доступ злоумышленники: имена, адреса и идентификационные номера примерно 8,8 млн записей, число больше населения страны, потому что в реестре есть умершие и эмигранты. Атакующий воспользовался доступом субподрядчика Pays ApS, а автор атаки рассказал журналистам, что пароль был 123456 и стоял минимум на трёх учётных записях, включая административную.
С 10 по 20 сентября через это подключение прошло около 14 млн автоматических запросов, а заметили это только 2 октября, когда сотрудник ведомства увидел счёт с необычным объёмом операций. Подключение Pays заблокировали, но данные уже были у злоумышленников; они вроде бы пообещали ничего не публиковать, однако судьба данных неясна.
Что делать
— Смените простые пароли на длинные и разные для каждого сайта.
— Включите двухфакторную аутентификацию там, где она доступна.
— Храните пароли в менеджере паролей, а не в голове или заметках.
Источник: Хабр — Информационная безопасность
Наш сервис: временный номер для SMS — личный остаётся при вас.
Ещё у нас: приложение, долларовая карта, eSIM.
#пароли #утечки
В датский реестр населения CPR получили доступ злоумышленники: имена, адреса и идентификационные номера примерно 8,8 млн записей, число больше населения страны, потому что в реестре есть умершие и эмигранты. Атакующий воспользовался доступом субподрядчика Pays ApS, а автор атаки рассказал журналистам, что пароль был 123456 и стоял минимум на трёх учётных записях, включая административную.
С 10 по 20 сентября через это подключение прошло около 14 млн автоматических запросов, а заметили это только 2 октября, когда сотрудник ведомства увидел счёт с необычным объёмом операций. Подключение Pays заблокировали, но данные уже были у злоумышленников; они вроде бы пообещали ничего не публиковать, однако судьба данных неясна.
Что делать
— Смените простые пароли на длинные и разные для каждого сайта.
— Включите двухфакторную аутентификацию там, где она доступна.
— Храните пароли в менеджере паролей, а не в голове или заметках.
Источник: Хабр — Информационная безопасность
Наш сервис: временный номер для SMS — личный остаётся при вас.
Ещё у нас: приложение, долларовая карта, eSIM.
#пароли #утечки
Хабр
Как простые пароли наносят убытки на миллионы долларов: эпичные факапы инфобеза
Когда читаешь о крупном взломе, обычно представляешь что-нибудь технически сложное. Уязвимость нулевого дня, хитро устроенный вредонос или долгую подготовку к очень точному персональному фишингу....
FirstVDS: взлом через уязвимость в VMmanager 6
17 октября 2026 года злоумышленники через уязвимость в VMmanager 6 получили доступ к части узлов виртуализации хостинга FirstVDS и украли данные с некоторых клиентских серверов: пароли, SSH- и API-ключи, токены, конфигурационные файлы, данные криптокошельков. Затронута только часть инфраструктуры, пострадавшим владельцам серверов компания отправила уведомления по почте и через личный кабинет.
Программа-стилер подключала диски клиентских виртуальных серверов в режиме «только для чтения» и отправляла собранное на сервер атакующих. Внутри самих виртуальных машин она не запускалась и ничего не меняла на дисках, поэтому серверы работали штатно, а следов атаки в гостевых системах могло не остаться.
Что делать
— Получили уведомление от FirstVDS: считайте, что все данные с сервера скопированы
— Переведите средства с кошельков на новые, созданные на чистом устройстве
— Отзовите старые пароли и ключи, а не просто выпустите новые
Источник: Xakep.ru
Наш сервис: Наше приложение для Android. eSIM, номера для SMS и доступ к сервисам
Ещё у нас: долларовая карта, eSIM, номера для SMS.
#утечки #пароли #защита
17 октября 2026 года злоумышленники через уязвимость в VMmanager 6 получили доступ к части узлов виртуализации хостинга FirstVDS и украли данные с некоторых клиентских серверов: пароли, SSH- и API-ключи, токены, конфигурационные файлы, данные криптокошельков. Затронута только часть инфраструктуры, пострадавшим владельцам серверов компания отправила уведомления по почте и через личный кабинет.
Программа-стилер подключала диски клиентских виртуальных серверов в режиме «только для чтения» и отправляла собранное на сервер атакующих. Внутри самих виртуальных машин она не запускалась и ничего не меняла на дисках, поэтому серверы работали штатно, а следов атаки в гостевых системах могло не остаться.
Что делать
— Получили уведомление от FirstVDS: считайте, что все данные с сервера скопированы
— Переведите средства с кошельков на новые, созданные на чистом устройстве
— Отзовите старые пароли и ключи, а не просто выпустите новые
Источник: Xakep.ru
Наш сервис: Наше приложение для Android. eSIM, номера для SMS и доступ к сервисам
Ещё у нас: долларовая карта, eSIM, номера для SMS.
#утечки #пароли #защита
XAKEP
Компания FirstVDS сообщила о взломе
Хостинг-провайдер FirstVDS пострадал от хакерской атаки: 17 октября 2026 года злоумышленники воспользовались уязвимостью в VMmanager 6 и получили доступ к части инфраструктуры компании. В результате с некоторых клиентских серверов были похищены пароли, ключи…
🔥1
Signal: баг оставлял микрофон включённым после звонка
В библиотеке RingRTC, на которой построены голосовые и видеозвонки Signal, исправили критическую уязвимость CVE-2026-113380 (9,3 балла по CVSS). Из-за неё звонок мог не завершиться, и микрофон или камера продолжали работать после того, как пользователь повесил трубку.
Если один из участников засыпал очередь событий звонка запросами, она переполнялась, и запрос на завершение «застревал» в ней. Потенциально это позволяло слышать происходящее рядом с устройством жертвы или получать картинку с камеры; исследователь, нашедший баг, опубликовал PoC-скрипт на Python. Уязвимость затрагивала все версии RingRTC до 2.72.0, а Signal Desktop получил исправленную версию ещё в сентябре. Когда она попала в мобильные версии на Android и iOS, неясно.
Что делать
— Обновите Signal на всех устройствах до последней версии
— После важного звонка проверьте, не горит ли индикатор микрофона или камеры
— Если на телефоне включён индикатор доступа к микрофону и камере, поглядывайте на него после звонков
Источник: Xakep.ru
Наш сервис: Виртуальная карта в долларах. Оплата софта, доменов и подписок
Ещё у нас: приложение, eSIM, номера для SMS.
#защита #обновления #приватность
В библиотеке RingRTC, на которой построены голосовые и видеозвонки Signal, исправили критическую уязвимость CVE-2026-113380 (9,3 балла по CVSS). Из-за неё звонок мог не завершиться, и микрофон или камера продолжали работать после того, как пользователь повесил трубку.
Если один из участников засыпал очередь событий звонка запросами, она переполнялась, и запрос на завершение «застревал» в ней. Потенциально это позволяло слышать происходящее рядом с устройством жертвы или получать картинку с камеры; исследователь, нашедший баг, опубликовал PoC-скрипт на Python. Уязвимость затрагивала все версии RingRTC до 2.72.0, а Signal Desktop получил исправленную версию ещё в сентябре. Когда она попала в мобильные версии на Android и iOS, неясно.
Что делать
— Обновите Signal на всех устройствах до последней версии
— После важного звонка проверьте, не горит ли индикатор микрофона или камеры
— Если на телефоне включён индикатор доступа к микрофону и камере, поглядывайте на него после звонков
Источник: Xakep.ru
Наш сервис: Виртуальная карта в долларах. Оплата софта, доменов и подписок
Ещё у нас: приложение, eSIM, номера для SMS.
#защита #обновления #приватность
XAKEP
Уязвимость в Signal оставляла микрофон и камеру активными после завершения разговора
В библиотеке RingRTC, которую мессенджер Signal использует для голосовых и видеозвонков, исправили критическую уязвимость. Из-за бага звонок мог не завершиться корректно, в результате чего микрофон или камера устройства продолжали работать даже после попытки…
RedWing: Android-троян под видом видео и приложений
По данным компании F6, в России распространяется Android-троян RedWing: он маскируется под поддельные приложения и видео. Троян позволяет управлять телефоном удалённо, перехватывает SMS, показывает поверх приложений поддельные окна и проксирует трафик.
Перехват SMS опасен тем, что коды подтверждения платежей и входа в аккаунты попадают к злоумышленникам. Какие банки пострадали, в статье не названо, а о масштабе заражений данных нет.
Что делать
— Ставьте приложения только из официальных магазинов, а не по ссылкам из чатов
— Не открывайте файлы и «видео», которые просят установить что-то для просмотра
— Не сообщайте коды из SMS никому, даже если просят от имени банка
Источник: Хабр — Информационная безопасность
Наш сервис: eSIM для путешествий. eSIM желательно регистрировать после покупки — в стране прилёта.
Ещё у нас: приложение, долларовая карта, номера для SMS.
#мошенничество #защита
По данным компании F6, в России распространяется Android-троян RedWing: он маскируется под поддельные приложения и видео. Троян позволяет управлять телефоном удалённо, перехватывает SMS, показывает поверх приложений поддельные окна и проксирует трафик.
Перехват SMS опасен тем, что коды подтверждения платежей и входа в аккаунты попадают к злоумышленникам. Какие банки пострадали, в статье не названо, а о масштабе заражений данных нет.
Что делать
— Ставьте приложения только из официальных магазинов, а не по ссылкам из чатов
— Не открывайте файлы и «видео», которые просят установить что-то для просмотра
— Не сообщайте коды из SMS никому, даже если просят от имени банка
Источник: Хабр — Информационная безопасность
Наш сервис: eSIM для путешествий. eSIM желательно регистрировать после покупки — в стране прилёта.
Ещё у нас: приложение, долларовая карта, номера для SMS.
#мошенничество #защита
100 ИИ-агентов за 5 часов взломали 5 аккаунтов автора
Автор статьи поручил примерно сотне ИИ-агентов на моделях без защитных ограничений взломать любой из его онлайн-аккаунтов, и за пять часов они справились пять раз: три раза через уязвимости в его старых пет-проектах, ещё два раза перебором паролей. Критически важные аккаунты, включая Gmail, 1Password и банковские, агентам не поддались, а уязвимостей нулевого дня они не нашли.
Один из паролей агент подобрал как слегка изменённую версию другого пароля автора, хотя в утечках он не встречался. Кроме того, агенты по бесплатным сервисам поиска людей и профилям знакомых выяснили его телефон и домашний адрес, а к попыткам социальной инженерии у автора не было вопросов только потому, что сообщения выглядели сгенерированными и ссылки вызывали подозрения.
Что делать
— Не делайте новый пароль вариацией старого: каждый должен быть уникальным
— Включите двухфакторную защиту на почте и в менеджере паролей
— Найдите себя в сервисах поиска людей и попросите удалить данные
Источник: Хабр — Информационная безопасность
Наш сервис: номера для SMS — не светите личный номер при регистрации.
Ещё у нас: приложение, долларовая карта, eSIM.
#защита #пароли #приватность
Автор статьи поручил примерно сотне ИИ-агентов на моделях без защитных ограничений взломать любой из его онлайн-аккаунтов, и за пять часов они справились пять раз: три раза через уязвимости в его старых пет-проектах, ещё два раза перебором паролей. Критически важные аккаунты, включая Gmail, 1Password и банковские, агентам не поддались, а уязвимостей нулевого дня они не нашли.
Один из паролей агент подобрал как слегка изменённую версию другого пароля автора, хотя в утечках он не встречался. Кроме того, агенты по бесплатным сервисам поиска людей и профилям знакомых выяснили его телефон и домашний адрес, а к попыткам социальной инженерии у автора не было вопросов только потому, что сообщения выглядели сгенерированными и ссылки вызывали подозрения.
Что делать
— Не делайте новый пароль вариацией старого: каждый должен быть уникальным
— Включите двухфакторную защиту на почте и в менеджере паролей
— Найдите себя в сервисах поиска людей и попросите удалить данные
Источник: Хабр — Информационная безопасность
Наш сервис: номера для SMS — не светите личный номер при регистрации.
Ещё у нас: приложение, долларовая карта, eSIM.
#защита #пароли #приватность
Хабр
Я запустил 100 ИИ‑агентов, чтобы они меня взломали. Пять раз у них получилось
В эти выходные я поручил примерно сотне ИИ‑агентов , развёрнутых на собственной инфраструктуре, попытаться взломать любые из моих онлайн‑аккаунтов. За пять часов эксперимента они:...
👍1
Что NIST изменил в правилах для паролей
В июле 2025 года американский институт стандартов NIST опубликовал окончательную редакцию рекомендаций SP 800-63B-4. Если пароль служит единственным фактором входа, его минимальная длина должна быть 15 символов, а при использовании вместе с многофакторной аутентификацией допустимо от восьми.
Обязательную смесь заглавных букв, цифр и спецзнаков стандарт больше не поддерживает: предлагается ориентироваться на длину и проверку по спискам скомпрометированных паролей. Принудительная смена каждые 30, 60 или 90 дней без признаков взлома тоже не рекомендуется, менять пароль стоит при подозрении на компрометацию, например после ввода на фишинговой странице.
Что делать
— Для каждого сайта заведите отдельный случайный пароль и храните его в менеджере паролей
— Меняйте пароль, если ввели его на подозрительной странице или нашли свой адрес в утечке
— Основную почту и менеджер паролей защитите особенно тщательно, включите passkey, если сервис его поддерживает
Источник: Хабр — Информационная безопасность
Наш сервис: Приложение CyberCompass для Android. Всё в одном месте, без настройки
Ещё у нас: долларовая карта, eSIM, номера для SMS.
#пароли #защита
В июле 2025 года американский институт стандартов NIST опубликовал окончательную редакцию рекомендаций SP 800-63B-4. Если пароль служит единственным фактором входа, его минимальная длина должна быть 15 символов, а при использовании вместе с многофакторной аутентификацией допустимо от восьми.
Обязательную смесь заглавных букв, цифр и спецзнаков стандарт больше не поддерживает: предлагается ориентироваться на длину и проверку по спискам скомпрометированных паролей. Принудительная смена каждые 30, 60 или 90 дней без признаков взлома тоже не рекомендуется, менять пароль стоит при подозрении на компрометацию, например после ввода на фишинговой странице.
Что делать
— Для каждого сайта заведите отдельный случайный пароль и храните его в менеджере паролей
— Меняйте пароль, если ввели его на подозрительной странице или нашли свой адрес в утечке
— Основную почту и менеджер паролей защитите особенно тщательно, включите passkey, если сервис его поддерживает
Источник: Хабр — Информационная безопасность
Наш сервис: Приложение CyberCompass для Android. Всё в одном месте, без настройки
Ещё у нас: долларовая карта, eSIM, номера для SMS.
#пароли #защита
Хабр
Требования к паролям в 2026 году: что изменилось и как теперь защищать свои аккаунты
Придумать пароль из восьми символов, обязательно добавить заглавную букву, цифру и специальный знак, а через три месяца повторить процедуру. Еще недавно подобные требования считались нормой...
👍1
Channel name was changed to «Связь для путешественников — CyberCompass»
Plex Media Server взламывают через цепочку Plex2Shell
Четыре уязвимости Plex2Shell в Plex Media Server позволяют выполнить код на сервере без логина, и их уже массово эксплуатируют. Исправления вышли летом 2026 года, но подробности раскрыли только в октябре, когда исследователь Зак Мэйн опубликовал описание и PoC-эксплоит; сразу после этого начались атаки.
На взломанные серверы злоумышленники ставят майнер XMRig и обратный прокси myawesomeproxy. Через зараженные машины пропускают чужой трафик с домашних IP-адресов жертв, в том числе для доступа к корпоративным VPN и почте.
Что делать
— Обновите Plex Media Server до версии 1.43.3 или новее
— Если сервер был открыт в интернет на старой версии, проверьте процессы и файлы на подозрительное
— Не пользуетесь удаленным доступом к Plex — отключите его
Источник: Xakep.ru
Наш сервис: Виртуальная карта в долларах — подписки, зарубежные магазины, хостинг. Выпуск онлайн
Ещё у нас: приложение, eSIM, номера для SMS.
#обновления #защита
Четыре уязвимости Plex2Shell в Plex Media Server позволяют выполнить код на сервере без логина, и их уже массово эксплуатируют. Исправления вышли летом 2026 года, но подробности раскрыли только в октябре, когда исследователь Зак Мэйн опубликовал описание и PoC-эксплоит; сразу после этого начались атаки.
На взломанные серверы злоумышленники ставят майнер XMRig и обратный прокси myawesomeproxy. Через зараженные машины пропускают чужой трафик с домашних IP-адресов жертв, в том числе для доступа к корпоративным VPN и почте.
Что делать
— Обновите Plex Media Server до версии 1.43.3 или новее
— Если сервер был открыт в интернет на старой версии, проверьте процессы и файлы на подозрительное
— Не пользуетесь удаленным доступом к Plex — отключите его
Источник: Xakep.ru
Наш сервис: Виртуальная карта в долларах — подписки, зарубежные магазины, хостинг. Выпуск онлайн
Ещё у нас: приложение, eSIM, номера для SMS.
#обновления #защита
XAKEP
Уязвимости Plex2Shell в Plex Media Server подвергаются активным атакам
ИБ-эксперты предупреждают, что хакеры начали массово эксплуатировать четыре уязвимости в Plex Media Server, получившие общее название Plex2Shell. Эти проблемы позволяют без аутентификации выполнить код на уязвимом сервере, а в реальных атаках злоумышленники…
👍1
Новая Зеландия: что на самом деле изменилось для поездки
Заголовок статьи обещает визы за двенадцать часов и автоматическую маршрутизацию рейсов, но само издание пишет, что таких заявлений официальные источники не подтверждают. Отдельной визы для цифровых кочевников и системы одобрений за 12 часов нет; реально с 27 января 2025 года посетители по визитной визе или NZeTA могут работать удалённо на работодателей и клиентов за пределами страны.
Работать на новозеландского работодателя или оказывать услуги местным людям и компаниям по этим условиям нельзя, обычные требования к визе и NZeTA сохраняются. Что касается рейсов, Air New Zealand добавила сезонные рейсы Квинстаун — Брисбен на 16 500 мест и сообщила о росте мощностей из восточной Австралии в Квинстаун зимой 2026 года на 40%, а изменения расписаний между странами неравномерны: где-то рейсов больше, где-то меньше.
Что делать
— Для работы удалённо сверьтесь с условиями визитной визы или NZeTA
— Не планируйте работу на местных клиентов по визитным условиям
— Перед покупкой билетов проверьте актуальное расписание перевозчика
Источник: Travel And Tour World
Наш сервис: номер для SMS-кода, чтобы не раздавать свой.
Ещё у нас: eSIM, долларовая карта.
#путешествия #документы #транспорт
Заголовок статьи обещает визы за двенадцать часов и автоматическую маршрутизацию рейсов, но само издание пишет, что таких заявлений официальные источники не подтверждают. Отдельной визы для цифровых кочевников и системы одобрений за 12 часов нет; реально с 27 января 2025 года посетители по визитной визе или NZeTA могут работать удалённо на работодателей и клиентов за пределами страны.
Работать на новозеландского работодателя или оказывать услуги местным людям и компаниям по этим условиям нельзя, обычные требования к визе и NZeTA сохраняются. Что касается рейсов, Air New Zealand добавила сезонные рейсы Квинстаун — Брисбен на 16 500 мест и сообщила о росте мощностей из восточной Австралии в Квинстаун зимой 2026 года на 40%, а изменения расписаний между странами неравномерны: где-то рейсов больше, где-то меньше.
Что делать
— Для работы удалённо сверьтесь с условиями визитной визы или NZeTA
— Не планируйте работу на местных клиентов по визитным условиям
— Перед покупкой билетов проверьте актуальное расписание перевозчика
Источник: Travel And Tour World
Наш сервис: номер для SMS-кода, чтобы не раздавать свой.
Ещё у нас: eSIM, долларовая карта.
#путешествия #документы #транспорт
Travel And Tour World
New Zealand Deploys Automated Flight Routing at Auckland Airport and Fast-Tracks Tech Visas to Twelve Hours as Trans-Tasman Winter…
New Zealand advances fuel-efficient aviation, tourism infrastructure and business events as trans-Tasman capacity changes.
👏1