Вход через Apple ID и Google отключат с 6 июля

Российские приложения начали предупреждать пользователей, что вход через Apple ID и Google станет недоступен. В уведомлениях сервисы просят привязать номер телефона, чтобы сохранить профиль. В качестве даты отключения приложения указывают 6 июля и ссылаются на требования закона №149-ФЗ.

По действующим правилам российские сайты и приложения должны проводить регистрацию и вход через российский номер телефона, портал «Госуслуги», Единую биометрическую систему или сервис авторизации, который контролирует российский владелец. Ранее изменения связывали именно со способами авторизации через Apple ID, Google и другие иностранные сервисы.

В июне Госдума приняла поправки в КоАП, а позднее президент РФ подписал закон об административной ответственности за авторизацию пользователей через зарубежные сервисы. Владельцам ресурсов грозит штраф от 500 тыс. до 700 тыс. руб. для юрлиц, от 30 тыс. до 50 тыс. руб. для должностных лиц и от 10 тыс. до 20 тыс. руб. для физлиц.

#авторизация #AppleID #Google
@SecLabNews

Злоумышленник может уже быть в инфраструктуре

Отсутствие инцидентов не всегда означает отсутствие компрометации. Атакующие могут годами оставаться незамеченными, прежде чем нанести удар.

Классические проверки помогают находить уязвимости, но не всегда позволяют выявить следы уже произошедшей атаки. Эту задачу решает compromise assessment — практика поиска признаков компрометации и скрытого присутствия злоумышленников.

Как работает такой подход, когда он особенно полезен и что компания получает по итогам проверки — рассказал Владимир Гришанов, руководитель BI.ZONE Compromise Assessment, в статье для SecurityLab.

Читать материал

Сменил смартфон — попал в базу: как заработает новый реестр мобильных устройств

Операторов связи обяжут в течение часа передавать в единую базу IMEI данные о телефоне, в котором заработала сим-карта абонента. Такое правило прописано в проекте постановления правительства о работе реестра мобильных устройств.

Базу планируют использовать для блокировки украденных и потерянных телефонов, а также устройств с запретом на использование в России. Если владелец заявит о краже или утере, оператор должен будет заблокировать сим-карту в течение одного рабочего дня. Номер из перечня запрещенных отключат быстрее, в течение часа.

Минцифры утверждает, что гражданам не придется отдельно ставить смартфоны на учет. Спорная часть проекта связана с незаконно ввезенными устройствами: участники рынка считают, что для такой блокировки нужна отдельная правовая настройка и связка с ФТС и МВД. Новые правила должны заработать 1 марта 2027 года.

#IMEI #БазаДанных #Безопасность
@SecLabNews

Exploitarium: витрина уязвимостей, которую снесли, но интернет не забыл

Обычно об уязвимостях сначала сообщают разработчикам и дают время на исправление, а детали раскрывают позже. На GitHub появился проект, работающий наоборот: пользователь под ником bikini создал репозиторий Exploitarium и начал публиковать данные о ещё не закрытых уязвимостях нулевого дня сразу в нескольких проектах. Ни одной из них на момент публикации не присвоили официальный идентификатор CVE.

Одна из записей в репозитории касалась архиватора 7-Zip. Для версии 26.01 под Windows описали цепочку действий с RAR5-архивом, где метка MotW хранилась через альтернативный поток данных ADS. Windows использует такие признаки для файлов, скачанных из интернета. Цепочка указывала на вероятную ошибку в парсере формата 7z, а вскоре после публикации разработчик Игорь Павлов выпустил исправление, которое, вероятно, закрыло эту брешь.

К моменту выхода новости GitHub заблокировал репозиторий Exploitarium и аккаунт bikini. Копия проекта осталась доступна через Web Archive. До блокировки пользователи успели отправить автору Pull request с новой информацией об известных им уязвимостях.

#уязвимости #zeroday #кибербезопасность
@SecLabNews

Каждый 67-й Android в России мог попасть под контроль Mamont

Около 1,5 млн Android-устройств в России уже могут быть скомпрометированы. По оценкам специалистов, речь идет примерно о 1,5% всех таких смартфонов в стране, то есть почти о каждом 67-м аппарате. За первое полугодие число выявленных заражений мобильных устройств выросло на 70%, а одной из главных угроз остается банковский троян Mamont.

Рост атак связывают с массовой установкой APK-файлов из сторонних источников. Пользователи скачивают приложения из мессенджеров, поисковиков и сторонних сайтов, пытаясь установить недоступные сервисы, обновления или новые ИИ-инструменты. Вместе с такими файлами на смартфон может попасть вредоносное ПО, которое получает доступ к СМС, банковским данным и личной информации. На фоне роста цифрового мошенничества совокупный ущерб российских пользователей в 2025 и 2026 годах уже превысил 600 млрд руб.

Инфраструктура Mamont заметно разрослась. Если в первом полугодии 2025 года специалисты находили лишь несколько десятков управляющих серверов, то осенью их среднемесячное число превысило 100, а в марте 2026 года достигло 200. Хотя в последние месяцы эксперты фиксируют снижение темпов распространения, Mamont остается одной из главных мобильных угроз для Android.

#ИнформационнаяБезопасность #Android #Мошенники
@SecLabNews

Твой телефон можно «уронить» одним запросом — и пароль для этого не нужен

AirDrop и Quick Share стоят на более чем 5 млрд гаджетов по всему миру. Немецкие исследователи из CISPA нашли шесть дыр в этих протоколах — и главная беда в том, что оба принимают сигналы ещё до проверки, кто их отправляет.

Что нашли: три способа «положить» AirDrop (в том числе обрушить системную службу sharingd одним HTTP-запросом), плюс уязвимость use-after-free в Quick Share для Windows, теоретически дающая атакующему удалённый доступ. Достаточно быть в 10–30 метрах от жертвы — привет, метро и торговые центры.

Хорошая новость: Apple, Google и Samsung уже в курсе и чинят баги. Плохая — исследователи уверены, что это только вершина айсберга: код фаззера AirFuzz уже в открытом доступе, так что находки наверняка продолжатся.

#AirDrop #QuickShare #уязвимости
@SecLabNews