НеКасперский
15.7K subscribers
2.35K photos
293 videos
3 files
2.84K links
IT и кибербез.

PR: @NeKasper — по всем вопросам

Заявление на регистрацию в РКН № 6796420192
Download Telegram
Хакеры из NLB не теряются из виду. На этот раз в открытом доступе более 5 млн строк персональных данных с сайта конкурсной программы «Большая перемена». С 2020 года мероприятие с проводится на платформе «Россия – страна возможностей».
В пяти утёкших .csv-файлах оказались подробные сведения о студентах, школьниках и преподавателях, а именно:

• ФИО
• Дата рождения
• Класс
• Место обучения
• Почта (более 5,2 млн уникальных)
• Телефон (более 3,4 млн уникальных)
• Роль (ученик, студент, учитель)
• Сведения об участии в конкурсах

Напомним, что ранее очень похожая утечка случилась у АРТЕКа.

НеКасперский
🤡195🔥4🤬42👎2😁1
Больше не безопасно?

У Telegram произошли изменения в политике конфиденциальности.
Теперь мессенджер официально собирает IP-адреса пользователей не только для обеспечения безопасности, но и для доставки более качественной таргетированной рекламы.

В зависимости от геолокации мессенджер будет предоставлять релевантную рекламу. Кроме того, рекламодатели могут теперь получить обезличенные списки телефонных номеров.

А изюминка нововведения в том, что, если у вас оформлена платная подписка, изменения вас не коснутся.

Stonks?

НеКасперский
💩47👍14😁10🤔52🤬2🤡2
Зато с подсветкой

Геймеры на месте? Базы данных, исходный код и ключи шифрования компании Razer продаются на одном из хакерских форумов.

Неизвестный пользователь продает данные Razer за $100 тыс. в анонимной криптовалюте Monero. Несмотря на то, что о подлинности сообщения умалчивается, ряд источников утверждает, что некоторые связки логинов и паролей действительно актуальны.

По последним данным, Razer серьезно отнеслась к возможной утечке, но факт взлома пока не подтвержден. В компании провели тщательную проверку всех сайтов и приняли все необходимые меры для защиты своих платформ. Все пароли уже успели сбросить.

НеКасперский
😁8👍6🫡5🤬3
Да, серьезно, а ты не верил?

Злоумышленники в России используют фейковые сайты официальных госресурсов для создания у жертв иллюзии, что им звонят сотрудники центробанка или полиции.

С помощью одного из таких сайтов преступники втираются в доверие к жертве, убеждая ее, что это один из официальных ресурсов Банка России и просят проверить свой личный идентификатор на сайте. На некоторых ресурсах по личному идентификатору жертвы можно будет даже столкнутся с фейковыми сообщениями о попытках мошенничества со счетами клиента.

Заполучив доверие мамонтов в свое распоряжение, мошенники действуют по классической схеме: рекомендуют выполнять любые свои указания, убеждают взять кредиты и переводить деньги на «безопасный» счет.

НеКасперский
😁17😱541👍1
Forwarded from Standoff 365
This media is not supported in your browser
VIEW IN TELEGRAM
⌛️Сами не заметили, как прошла первая неделя конкурса для тех, кто хочет поехать в Сочи на августовский Standoff Hacks

Подробнее о нем рассказывали тут. Если коротко, с вас — поиск уязвимостей, с нас — билеты, проживание и вечеринка в Сочи тем, кто найдет 7 самых дорогих багов, по одному у каждого из 7 участвующих вендоров.

Как и обещали, подводим предварительные итоги. За неделю вы прислали 53 репорта. Из них на рассмотрении:

Азбука вкуса — 1
Консоль — 4
VK — 13
Тинькофф — 19

Всего назначено 2 выплаты:

VK — 3 000 ₽
Консоль — 70 000 ₽

Нужно больше золота репортов. Ведь инвайты мы разыгрываем за уязвимости, найденные в системах каждого из вендоров, а по трем из программ не принято еще ни одного отчета. Не упустите свой шанс попасть в Сочи и получить вознаграждение!

Осталось чуть меньше двух недель (принимаем репорты до 23:59 24 июля). Спешите, чтобы присоединиться к нам на Standoff Hacks.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥16👍1043🤮3🤡2🫡2💩1
Взлом сурка

Китайские хакеры взломали личный почтовый аккаунт министра торговли США.

Используя уязвимость в облачном сервисе корпорации Microsoft, злоумышленники смогли получить доступ к некоторым ящикам на почтовом сервере Министерства торговли и Госдепартамента, среди которых оказался ящик Джины Раймондо.

Несмотря на то, что все взломанные ящики удалось восстановить в кратчайшие сроки, госдеп всё же запустил расследование киберинцидента. Подробности взлома мы вряд ли узнаем, но нечто похожее уже происходило в начале года по вине майков. Не будет удивлением, если окажется, что Microsoft так и не признали уязвимость, а китайские школьники демонстративно ее проэксплуатировали.

Вопрос остается актуальным. Сколько еще аналогичных дыр остается в инфраструктуре госаппарата США?

НеКасперский
🔥17🫡8😁6👍322🤬2🤔1
This media is not supported in your browser
VIEW IN TELEGRAM
Адептам 5G и не снилось

Li-Fi — стандарт связи, скорость которого в 100 раз выше Wi-Fi.

Вместо использования радиоволн данные передаются через свет, мерцающий на частоте выше 60 Гц, что неуловимо для человеческого глаза. Технология позволяет достичь скорости передачи данных до 224 гигабайт в секунду.

Кроме того, преимуществом нового стандарта является безопасность. Свет не проходит сквозь стены, а значит, перехват данных злоумышленником за пределами помещения почти исключен. Для таких сфер как IoT, военная связь, финансовые транзакции данная характеристика может стать решающей в выборе стандарта передачи данных.

Стандарт предполагает совместное использование с Wi-Fi, а не полную его замену, поскольку не все готовы жертвовать удобством в угоду скорости соединения.

Интересный факт: ваши кошки и собаки воспринимают частоту света в 80 Гц, а значит для них высокочастотное мерцание может вызвать эпилептические припадки.

НеКасперский
🤔25👍15🤡9🔥5🫡32
Кешбэк за перевод

Госдума приняла сразу во втором и третьем чтении поправки в закон "О национальной платежной системе", обязывающие банки возмещать средства клиентов, похищенные мошенниками. Правда, вступят в силу изменения только через год.

Банки будут обязаны возместить всю сумму операции, совершенную без добровольного согласия клиента в течении 30 дней после подачи соответствующего заявления. В этих условиях операторы переводов будут вправе двое суток игнорировать любую транзацкию с подозрением на мошенническую, даже несмотря на волю клиента.

Из подводных камней – право банков отказывать в компенсации в случаях нарушения порядка использования электронного средства платежа. Что будет пониматься по нарушением, узнаем от лидеров сектора через год.

Похожую «акцию» не так давно предлагали в Минцифре, но тогда речь шла об утечках. Так или иначе, инициатива точно будет положительно принята массами, а банки в очередной раз ужесточат требования для одобрения крупных переводов.

НеКасперский
👍19🔥532🤡2💩1
Microsoft Outleak

Майки на этой неделе на гребне волны сливов.

Не успела компания дать комментарий по взлому почтовых аккаунтов министерства торговли США и госдепа, как китайская группировка Storm-0558 вскрыла и распотрошила почтовые ящики двадцати пяти организаций по всему миру.

Подделав токены аутентификации для Outlook Web Access и Outloоk.coм при помощи MSA ключа, хакеры начали получать доступ к чужим учетным записям уже в середине мая 2023 года. Как хакерам удалось заполучить ключ для подписи потребительских токенов не уточняется, но самыми правдоподобными версиями стали:

• утечка ключа из собственной сети Microsoft
• компрометация всего УЦ Microsoft

Вопреки тому, что компания активно расследует инцидент и предпринимает компенсирующие меры, любой из возможных сценариев утечки MSA ключа увеличивает в разы число потенциальных жертв хакеров.

НеКасперский
12🔥7😱6🤡31👍1👎1😁1
Плюс одна фобия

Персональные данные и другая чувствительная информация 25 тыс. людей попали в открытый доступ через сервис по онлайн-переводу текстов «Kings of Translation».

ИБ-исследователь из США обнаружил в сети базу данных, не защищенную паролем, которая содержала более 25 тыс. записей. Все из них были общедоступны, включая тексты особо секретных документов различных госорганов и частных компаний.

Помимо прочей информации в базе содержались скриншоты исходного кода, налоговые декларации, паспорта, свидетельства о рождении и браке, водительские удостоверения и судебная документация. Информация такого содержания может легко стать предметом шантажа или мошенничества.

Компания претендует претендовала на звание поставщика переводческих услуг премиум-класса в США, обеспечивая перевод более чем на 120 языков.

Что дальше? Утечки из сервисов конвертации из Word в PDF?

НеКасперский
😁31🤔95👍4🔥2🫡2👎1
Зато с салона

Из-за уязвимости в системах защиты китайские автомобили стало легче угнать. К легкодоступным автомобилям относятся марки: Chery, Geely, Haval, Tank, Omoda и Exeed.

Преступники могут получить доступ к блокирующему коду автомобиля, зная только его VIN-номер. Эта уязвимость возникает из-за возможности получения PIN-кода от производителя с помощью VIN-номера, который позволяет обойти иммобилайзер - противоугонное устройство. Код можно приобрести на Алике или через дилера.

Безусловно, существуют и другие способы, но они более сложные и требуют дополнительного оборудования. А купить код с AliExpress, да еще и с кешбэком намного проще.

В качестве защитных мер предлагается установить дополнительный иммобилайзер с меткой, который позволяет завести двигатель, но блокирует его при попытке начать движение.

Как вам «опция» от Китайцев?

НеКасперский
😁32😱12👍5🤔5🫡2
Мы не знаем что это такое

Продолжаем разбираться с инцидентом у Microsoft. В ходе расследования выяснилось, что злоумышленники получили доступ в чужим учетным записям в результате ошибки валидации ключей подписи токенов Azure AD в самом коде Microsoft. Как хакерам удалось получить сам ключ — до сих пор не ясно.

Несмотря на то, что повторные атаки с использованием уязвимости маловероятны, компания заблокировала использование украденного ключа для всех пользователей и закрыла всю инфраструктуру, которую Storm-0558 использовали для воспроизведения ключей.

Так или иначе, об устранении самой уязвимости в коде Microsoft ничего не сказали, а значит обязательно найдется кто-то кроме китайских хакеров, желающий поживиться конфиденциальными данными.

НеКасперский
👍7🔥4😁4🫡31
Полетели?

Проукраинские хакеры из UHG после чреды сливов отечественных медицинских организаций отправляют по горячей путевке в свободный доступ данные клиентов туроператора "Интурист".

В совокупности слито чуть более 5,5 миллионов строк данных, среди которых оказались:

• ФИО
• Номер телефона (почти 70к уникальных)
• Адрес
• Дата рождения
• Пол
• Гражданство и место рождения
• Серия и номер паспорта (включая заграничные)

Среди данных много проходной и неактуальной информации, но вряд ли это успокоит клиентов компании.

НеКасперский
🤡20🔥5😁4💩3
Нужно больше лицензий

Роскомнадзор хочет сертифицировать операторов персональных данных.

Соответствующую инициативу госорган рекомендует внести в готовящийся проект закона об оборотных штрафах. Поправка должна коснуться в первую очередь операторов, обрабатывающих наибольший объем ПДн.

Лицензировать таких «спецоператоров» РКН будет самостоятельно, а сам процесс включит в себя соответствующие аудиты IT-инфраструктуры. На какие требования будут ориентированы аудиты пока не ясно.

Не исключаем, что орган в коллаборации со ФСТЭК и ФСБ выкатит новую бумажку с требованиями по обеспечению защиты ПДн у подобных спецоператоров, либо инициирует расширение существующих требований 21 и 378 приказов.

Лучше бы просто поторопились с введением оборотных штрафов, а то скоро по второму кругу потечём.

НеКасперский
👍17💩9🤬4🫡2🔥1
Несуществующая утечка?

Отечественная сеть медицинских лабораторий Helix, кажется, рассталась с данными своих клиентов.

Хотя сама организация не подтверждает информацию, в руках хакеров может быть более 7 млн строк данных клиентов, среди которых:

• ФИО
• Дата рождения
• Пол
• Телефон (более 770 тыс. уникальных)
• Почта (более 760 тыс. уникальных)
• СНИЛС
• Медицинский полис

Сама Helix и её ИБ-отдел твердо стоят на том, что кибератака отражена, а выкупа программе-вымогателю им удалось избежать. Работоспособность всех основных ресурсов уже восстановлена.

Если верить злоумышленникам, компании все-таки стоит опасаться дальнейшей эскалации, а значит признать факт утечки и присоединиться к СИТИЛАБу.
🤡85🫡3
Вы можете скупить все СЗИ в мире, но это не спасет вас от утечек и других инцидентов.

МТС RED совместно с Phishman провели исследование и оказалось, что 80% ИБ инцидентов случаются по вине человека. За последние годы фишинг стал ахиллесовой пятой многих, даже самых крупных игроков рынка.

Наиболее эффективное решение – Security Awareness. Программа обучения сотрудников снизит количество фишинговых инцидентов на 70% уже за первый месяц.

НеКасперский
👍10🔥65🤮2🤡1
Упс

База данных из 5600 VIP клиентов VirusTotal, включая имена и адреса электронной почты, были раскрыты после того, как один из сотрудников компании по ошибке загрузил эту информацию на платформу для сканирования вредоносного ПО.

Google — владелец платформы, подтвердил факт утечки, но оперативно принял меры по удалению данных. Список пропал с VirusTotal в течение часа после его размещения.

Непреднамеренные действия сотрудника привели к возможной утечке учетных записей, связанных с официальными органами США, такими как Киберкомандование, Министерство юстиции, Федеральное бюро расследований (ФБР) и Агентство национальной безопасности (АНБ). Другие учетные записи принадлежат государственным структурам Германии, Нидерландов, Тайваня и Великобритании.

Не очень похоже на простое совпадение, учитывая содержание БД и скорость реакции Google.

НеКасперский
😁24🫡73👍31
Clop продолжает наводить шороху

В мае хакеры получили доступ к 143 гигабайтам чувствительной информации ирландского регулятора связи ComReg. Уже поступили угрозы о разглашении.

Представители группировки снова воспользовались уязвимостью в системе передачи файлов MOVEit. Это и привело к изменению и раскрытию содержимого базы, в которой хранится значительное количество конфиденциальной информации телеком-организаций. Подробно о самой уязвимости веб-приложения MOVEit Transfer мы уже рассказывали в одном из постов.

В конечном итоге работа сервисов в стране нарушена, финансовые и репутационные потери на лицо. Инцидент обратил на себя внимание даже NCSC (National Cyber Security Centre). Они информацию подтверждают, но от комментариев воздерживаются.

НеКасперский
73👍3🤬2😁1
Произошло обезличивание

В Минцифры предложили собирать и обезличивать все персональные данные граждан. В одной ГИС.

Планируется реализовать централизованную систему хранения ПДн и аккумулировать там информацию из ИСПДн госструктур и частных компаний. Данные, к слову, будут передаваться без какого-либо согласия субъекта обработки. Что-то похожее уже предлагалось Министерством несколько месяцев назад.

Персональные данные будут хранить в формате дата-сетов, которые затем могут быть переданы внешним компаниям — пионерам в области развития ИИ в стране. Цель — обеспечить тестирование и обучение нейросетей.

Если скрытые цели замысла Минцифры хоть как-то оправдывают рвение развить отечественные ИИ до уровня иностранных, то вот реализация, как обычно, хромает. Чего стоит только идея о централизации и монополизации такого объема ПДн в руках одного регулятора.

НеКасперский
🫡17🤡13🤬7😱6👍521🔥1😁1
Wikipedia – всё?

Сегодня ряд источников заявил о сбоях в работе «свободной энциклопедии, которую может редактировать каждый». Первые ERR_CONNECTION_TIME_OUT стали появляться у пользователей еще в три часа ночи.

VPN помогает, а значит, ограничения могут быть по ТСПУ на стороне провайдера. В то же время некоторые пользователи сообщают, что через их интернет-оператора ресурс всё еще доступен.

Так или иначе, паниковать точно не стоит, ведь в реестре РКН Wikiрedia.оrg не числится, а в случае с блокировкой Instagram год назад регулятор уведомил о недоступности соцсети за 48 часов.

В комментах просим отчитаться о работоспособности вики у вас.

НеКасперский
😱14👍9🫡3👎1😁1
Попытка номер два

В Великобритании могут запретить iMessage и Face Time.

Предметом раздора Apple и британского правительства стали поправки к «Закону о полномочиях следствия». Компания направила официальное письмо в правительство страны.

Изменения в законе дадут возможность Министерству внутренних дел Великобритании получать неограниченный доступ к зашифрованному контенту на устройствах пользователей или вовсе требовать отключения функций безопасности в приложениях, не извещая об этом конечного пользователя.

На фоне похожего законопроекта в марте этого года волну возмущений возглавили представители приватных мессенджеров вроде Signal и WhatsApp, а чуть позже в конце июня в рамках законопроекта «О безопасности в интернете» к протесту присоединилась компания из Купертино.

НеКасперский
😁20🔥5🤔5👎3🫡21👍1