🗡 В 2025 году российские организации выплатили багхантерам 100 млн рублей за 2,5 тысячи принятых отчетов об уязвимостях на BI.ZONE Bug Bounty

Со своими программами по поиску уязвимостей активно выходят компании из сферы онлайн-услуг, ИТ-сектора и госсектора. С каждым годом число организаций, выбравших проактивную защиту, продолжает расти, что способствует развитию рынка Bug Bounty в России.

👤 100 млн рублей за 2,5 тысячи отчетов — позитивный сигнал для российского Bug Bounty, рассказал в беседе с ComNews Сергей Зыбнев, ведущий специалист отдела по работе с уязвимостями в Бастионе.

Как отметил эксперт, динамика роста количества программ, особенно в онлайн-формате, говорит о том, что компании начинают воспринимать Bug Bounty не как PR-инструмент, а как реальный элемент проактивной защиты. Бюджет в 100 млн рублей — это не потолок, а база. Если текущая динамика роста платформ и цен сохранится, то в 2026 году мы сможем увидеть рост до 150–180 млн рублей.

🔗 Подробнее в материале ComNews.

#Эксперты

@bastiontech подписаться

🗡 Криптофлешки: надежный сейф для данных или очередная маркетинговая пустышка?

На российском рынке полно флешек, предлагающих аппаратное шифрование данных: «флешка с кодовым замком», «флешка с аппаратным шифрованием», «зашифрованный USB-накопитель», наконец, эталонное название — «криптографический модуль».

Звучит солидно, стоит дорого. Но так ли они надежны на самом деле? Мы решили не доверять маркетинговым заявлениям и провели собственное исследование.

👤 Иван Глинкин, руководитель группы аппаратных исследований Бастиона, взломал несколько криптофлешек методами аппаратного реверс-инжиниринга, извлек данные, определил применяемые типы шифрования, а также вскрыл устройства и прочитал чипы памяти. Результаты получились интересными.

🔗 Подробности — в материале на Хабре.

#Эксперты_объясняют #Хабр

@bastiontech подписаться

👥 Одна из центральных проблем развертывания собственного SOC — не технологии, а поиск квалифицированных кадров

Как выяснила «Лаборатория Касперского», половина крупных российских компаний в ближайшие два года планирует создать собственные центры мониторинга киберугроз. Однако развертывание собственных SOC — задача непростая и дорогостоящая, и эффективность таких систем в первую очередь зависит от команды, занимающейся мониторингом.

👤 Михаил Шеховцов, руководитель центра мониторинга ИБ в Бастионе, в разговоре с ComNews отметил: «SOC — это в первую очередь люди».

Для поддержания работы центра, его своевременного обновления и адаптации к меняющимся условиям необходимы тщательно подобранные высококвалифицированные кадры. Нередко заказчики забывают, что без надежной команды специалистов SOC не будет своевременно адаптироваться как к изменяющемуся ИТ-ландшафту самой организации, так и к новым видам внешних угроз.

🔗 Подробнее читайте в материале ComNews.

#Эксперты

@bastiontech подписаться

✅ Наличие приложения в App Store или Google Play — не гарантия его безопасности

Злоумышленники активно эксплуатируют доверие пользователей и неидеальную модерацию для распространения шпионского ПО через легитимные магазины приложений. Они маскируют свои решения под полезные сервисы, но после установки приложения похищают данные и денежные средства жертв.

👤 Семён Рогачев, руководитель отдела реагирования на инциденты Бастиона, рассказал читателям «Известий», что в основном злоумышленники маскируют свое вредоносное ПО под три категории:

🔵системные приложения (сканеры QR-кодов, оптимизаторы и так далее);
🔘финансовые приложения (маскировка под приложения банков, а также приложения для криптовалютных операций);
🔵развлекательные приложения (различные игры, клоны социальных сетей и так далее).

При размещении в официальных магазинах злоумышленники следят за тенденциями: если какое-то приложение или их класс набирают популярность, с высокой вероятностью появятся и маскирующиеся под них программы-шпионы.

🔗 Подробнее в материале «Известий».

#Эксперты

@bastiontech подписаться

🗡 Белый фишинг — полноценный инструмент прогнозирования и снижения рисков ИБ

Он позволяет не просто фиксировать ошибки, но и системно снижать вероятность реальных инцидентов безопасности. Имитация кибератак на сотрудников дает надежные измеримые результаты: кто открыл письмо, кто перешел по ссылке, кто ввел учетные данные, а кто сообщил в службу безопасности.

При этом цель белого фишинга — не поймать сотрудника на ошибке и систематически пугать коллектив ответственностью за выявленные проколы. Эффективные программы строятся вокруг обучения, прозрачных правил и корректной интерпретации результатов. Ошибка пользователя — это не провал, а сигнал о том, где процессы, интерфейсы или коммуникации создают избыточную нагрузку и повышают риск компрометации.

👤 Всеволод Овчинников, специалист группы социально-технического тестирования Бастиона, рассказал читателям журнала Information Security об организации фишинговых учений: как их корректно провести, как повысить правдоподобность рассылок с помощью психологических приемов, а также учесть юридические и этические ограничения.

🔗 Подробности в материале Information Security.

#Эксперты_объясняют

@bastiontech подписаться

👀 Терминатор подождет: eval() и хакеры все еще страшнее восстания машин

Мы выросли на трех законах робототехники Азимова. Но что они значат в мире, где злоумышленник может заставить робота нарушить любой из этих законов?

Стоило Илону Маску пообещать нам создание умных помощников вроде C-3PO, как безопасники тут же решили проверить аналогичные модели на прочность. Исследователи Dark Navy приобрели популярного робота-гуманоида Unitree G1 за $16 тысяч, взломали и с пугающей легкостью превратили его в хакерскую марионетку.

Команда специалистов Бастиона проанализировала это нашумевшее исследование Dark Navy. Эксперты детально разобрали цепочку уязвимостей: от перехвата нестандартного радиопротокола через SDR до инъекций кода в LLM-мозги робота и получения root-доступа.

🔗 Читайте в статье на Хабре, как удалось обойти защиту кода, выполнить джейлбрейк робота и захватить над ним полный контроль.

#Хабр

@bastiontech подписаться