Хуже Макса?

На прошлой неделе набирающая популярность Telega тихонько выкатила обновление, которое позволяет ее разработчикам читать в открытом виде все переписки пользователей.

С 18 марта приложение фактически становится MitM. Перед отправкой сообщений на легитимные сервера telegram они теперь проходят через прокси, по косвенным признакам принадлежащий холдингу VK.

Более того, команда зеркала добавила собственный RSA-ключ, которого нет в оригинальном приложении. Это, как предполагают исследователи, может помочь прокси полностью расшифровать все переписки, прошедшие через прокси.

Ну и вишенка на торте. Нашли их тестовые стенды панелей модерации Zeus и Cerberus. В них присутствовали тикеты с email‑адресом stream@rkn.gov.ru, что указывает на прямую интеграцию с РКН 🙃

Откровенно говоря, глупо было ожидать, что небольшой стартап из Казани проявит чудо независимости. Откуда у небольшой команды деньги на закупку 24-х блоков адресов вопрос в целом риторический.

Будте бдительны в поисках альтернативы.

НеКасперский

В России арестован администратор хак-форума LeakBase

Российские правоохранители задержали 33-летнего жителя Таганрога, которого считают предполагаемым администратором хак-форума LeakBase. Ранее в этом месяце ресурс был закрыт в ходе международной операции правоохранительных органов.

https://xakep.ru/2026/03/26/leakbase-arrest/

Поездатое решение

В РЖД оспорили штраф за утечку конфиденциальных данных сотрудников.

Разбирательство началось ещё в прошлом году, когда проукраинские хакеры слили в сеть базу на 17 миллионов строк. РКН инициировал проверку, после чего Арбитражный суд Москвы назначил компании штраф в размере 150 тысяч рублей.

Федеральный перевозчик решил, что сумма для него слишком велика, поэтом организация подала апелляцию, заявив, что все возможные меры защиты были предприняты, а взлом информационных систем стал следствием преступления, по которому уже ведётся уголовное дело.

В феврале штраф отменили, объяснив это тем, что выводы были сделаны преждевременно. Исследователи считают, что суд не оправдал саму утечку, а лишь подтвердил отсутствие в России модели строгой ответственности, для штрафа регулятору необходимо доказать конкретные нарушения.

На том и порешали.

НеКасперский

TeamPCP has done ANOTHER supply chain attack.

My Brother in Christ, how many of these fuckin' things are you going to do? YOU'VE DONE 50 FUCKING SUPPLY CHAIN ATTACKS. 50 SUPPLY CHAIN ATTACKS IN EIGHT FUCKING DAYS.

March 19th:
- Trivy

March 20th:
- EmilGroup (28 packages)
- OpenGov (16 packages)
- Teale-io (eslint-config)
- AIRTM (uuid-base32)
- PypeSteam (floating-ui-dom)

March 23rd:
- Checkmarx

March 24th:
- LiteLLM

March 27th:
- Telnyx