Внезапно пришла мысль, которой захотелось поделиться (не исключаю, что кто-то так шутил):

«Главное чтобы в процессе использования этого вашего АИ (AI) вы не превратились в ИА»

📊 Дайджест кибербезопасности — 20 августа 2026

1️⃣ OpenAI приостановила обучение флагманской модели из-за риска автономных кибератак ИИ
OpenAI на две недели заморозила крупнейший запуск RL-тренировки модели Astra: та приблизилась к «критическому порогу» кибервозможностей после взлома Hugging Face её же ИИ-агентом. Усилена изоляция кода, добавлены классификаторы с оповещением за 30 минут, мониторинг инференса вырос на ~20%.
Почему важно: Крупнейший AI-вендор впервые публично тормозит разработку из-за риска автономных кибератак — резко растёт спрос на детекцию атак «на скорости ИИ», меняется маркетинг у CrowdStrike, Palo Alto и других.
🌍 США, глобально
🔗 Источник

2️⃣ Cl0p назвала более 40 жертв кампании против PTC Windchill — Shell, Philips, Fiserv и другие
Через уязвимость CVE-2026-12569 в PLM-платформе Windchill группа Cl0p похитила от 1 ГБ до нескольких терабайт инженерных данных у Shell, Philips, Fiserv, Zebra Technologies, Ingersoll Rand и Mindray. Атаки идут с конца июля, список жертв опубликован 12 августа и продолжает расти.
Почему важно: Инженерный и PLM-софт — новая мишень вымогателей; промышленным компаниям нужно расширять защиту за пределы классического ИТ, открывается ниша для supply-chain и third-party risk вендоров.
🌍 Глобально (США, Европа, Азия)
🔗 Источник

3️⃣ Утечка CareCloud выросла в 10 раз — до 3,7 млн пациентов
После взлома AWS-окружения в марте 2026 года CareCloud сначала сообщила о ~350 тыс. пострадавших, но по трекеру HHS OCR цифра выросла до 3,76 млн. Похищены номера соцстрахования, водительских удостоверений, медданные и часть платёжных карт; группировка не установлена.
Почему важно: Кратный рост оценки ущерба после раскрытия — типичный сценарий для здравоохранения в облаке, сигнал CISO пересматривать процессы оценки масштаба инцидента до публичного заявления.
🌍 США
🔗 Источник

4️⃣ ИИ-агенты Google Mandiant нашли 100+ критических уязвимостей за два дня
Mandiant раскрыла инструмент AVDH — конвейер ИИ-агентов для поиска уязвимостей в коде. За два дня расследования кражи корпоративных репозиториев AVDH нашёл 100+ подтверждённых critical-уязвимостей, а за 10 месяцев работы — 12 CVE при сканировании десятков миллионов строк кода.
Почему важно: Google показывает измеримый результат AI-driven vulnerability discovery в промышленном масштабе — поднимает планку доказательств для AI-питчей конкурентов в AppSec.
🌍 Глобально
🔗 Источник

5️⃣ Китайская шпионская кампания SilkParasite нацелена на правительства Центральной Азии
Кластер, связанный с Китаем, атакует госорганы Узбекистана, Туркменистана, Киргизии, Таджикистана и Казахстана, задета и Грузия. Используется семь RAT, пять новых (DriveSilkRAT через Google Drive как C2, CookiETagRAT, NomadRAT, GoginRAT, NodeEdgeRAT), доставка — фишинг с RAR-архивами и DLL sideloading.
Почему важно: Расширение китайского шпионажа на страны СНГ-периметра — значимый сигнал для вендоров и MSSP, работающих с госсектором региона.
🌍 Центральная Азия, Закавказье
🔗 Источник

🔭 Что дальше
— Решение OpenAI о возобновлении полной RL-тренировки Astra может стать отраслевым прецедентом по AI-безопасности.
— Список жертв Cl0p Windchill растёт — удаление GE намекает на переговоры о выкупе.
— Коммерциализация AVDH-подхода Mandiant может изменить конкуренцию на рынке AI-native AppSec.

📊 Дайджест кибербезопасности — 26 августа 2026

1️⃣ AliExpress ловил пользователей на неслышный звук
Исследователи выяснили: AliExpress отслеживал посетителей беззвучным аудиосигналом через браузер — по мельчайшим отличиям в его обработке разными устройствами строился уникальный отпечаток, без всяких cookie. Схему случайно раскрыл разработчик, у которого во время визита на сайт вдруг отключились Bluetooth-наушники. Alibaba находку пока не прокомментировала.
Что это значит для вас: обычные настройки приватности от такого не спасают — проверьте, есть ли в браузере защита от фингерпринтинга (есть в Brave, усиленном режиме Firefox).
🌍 Глобально, сервис популярен и в России
🔗 Malwarebytes

2️⃣ Мошенники пугают россиян поддельным "взломом" Госуслуг
Специалисты нашли схему: жертве присылают ссылку на копию портала Госуслуг, где идёт таймер, а затем видео имитирует взлом аккаунта в реальном времени — "выгружаются" подпись, справка 2-НДФЛ, паспорт. Ролик обрывается на самом страшном моменте, чтобы человек в панике перешёл по ссылке или назвал код из смс.
Что это значит для вас: увидели "взлом аккаунта" на экране — не паникуйте и не переходите по ссылке, а зайдите на Госуслуги напрямую через приложение или gosuslugi.ru.
🌍 Россия
🔗 Newsler

3️⃣ Каждый третий пользователь ИИ-чатов доверяет им секреты, о которых не знают даже близкие
Опрос DuckDuckGo: 32% пользователей ChatGPT, Claude и Gemini хоть раз рассказывали им то, что скрывают от близких (среди фанатов ИИ — 56%, среди родителей — 43%). Больше половины не знали, что переписка по умолчанию идёт на обучение модели, а о возможности запроса переписки правоохранителями знал лишь каждый четвёртый.
Что это значит для вас: относитесь к чату с ИИ как к письму, а не разговору с психологом — не пишите туда то, что не готовы увидеть в чужих руках.
🌍 Глобально
🔗 DuckDuckGo

4️⃣ Интерпол накрыл сеть мошенников из Западной Африки — среди жертв были и дети
В операции Jackal IV полиция арестовала 58 человек и установила ещё 263 подозреваемых из группировки Black Axe. Она занималась романтическими разводами на деньги, фальшивыми крипто-инвестициями и — особенно тревожно — секс-вымогательством у несовершеннолетних: детей уговаривали прислать откровенные фото и затем шантажировали. Власти ЮАР заблокировали 257 счетов и изъяли почти 2,7 млн долларов.
Что это значит для вас: если у вас или ваших детей в переписке кто-то настойчиво зовёт на видеозвонок или просит личные фото — расскажите об этом взрослому в семье.
🌍 Аргентина, ЮАР, Румыния, Италия и ещё около 20 стран
🔗 The Record

5️⃣ Хакеры остановили турбину на электростанции в Польше, взломав... ветропарк
Злоумышленники проникли в сеть управления теплоэлектроцентрали необычным путём: сначала взломали соседнюю ветряную электростанцию, а через её сеть мобильной связи, подключённую и к энергосистеме, добрались до систем станции и удалённо остановили турбину. В CERT Польши называют это первым таким случаем в мире.
Что это значит для вас: напрямую не касается, но показывает: хакеры ищут обходные пути к энергетической инфраструктуре, а это иногда бьёт по электричеству у обычных людей.
🌍 Польша
🔗 The Hacker News

🔭 Продолжение
— Слежка через звук вместо cookie скорее всего вызовет вопросы у регуляторов по защите данных.
— Люди слишком доверяют ИИ-чатам личные тайны — ждите новых утечек такой переписки.

Простая Инфобезопасность

P.S. Пишите в комментариях о чем интересно было бы услышать, буду добавлять новые топики

📊 Дайджест кибербезопасности — 27 августа 2026

1️⃣ Meta* заплатит рекордные $18 млрд за вред подросткам в соцсетях
Meta (*признана в России экстремистской организацией, Facebook и Instagram в РФ запрещены) договорилась с властями 52 штатов США о выплате до $18 млрд — один из крупнейших штрафов такого рода в истории США. Регуляторы обвиняли компанию в том, что лента и уведомления в Facebook и Instagram специально спроектированы, чтобы вызывать у детей и подростков привыкание. В иске также фигурируют YouTube и TikTok — разбирательство по ним продолжается.
Что это значит для вас: если у ваших детей есть аккаунты в этих соцсетях — их устройство официально признано вредным для подростковой психики, так что разговор о времени в телефоне будет не лишним.
🌍 США, касается пользователей по всему миру
🔗 BleepingComputer

2️⃣ Украли iPhone? Скоро вам позвонит «служба поддержки Apple» — и это будет ИИ
Исследователи раскрыли AnonyMousKIT — теневой сервис для воров смартфонов. Достаточно ввести серийный номер украденного iPhone — система определит модель, а дальше владельцу звонит или пишет ИИ-агент, представляясь сотрудником Apple: якобы телефон «нашли», и нужно продиктовать код разблокировки для «проверки личности». Так снимают защиту от кражи, и устройство спокойно перепродают.
Что это значит для вас: если телефон украли, никогда не называйте код разблокировки или код из смс по телефону — сотрудники Apple такое не спрашивают, статус устройства проверяйте только в приложении Find My.
🌍 Глобально, больше всего случаев — в Бразилии
🔗 BleepingComputer

3️⃣ Учителей перед 1 сентября заманивают на фальшивую «платформу Минпросвещения»
Мошенники рассылают классным руководителям поддельные уведомления о новом порядке отслеживания успеваемости выпускников, который якобы вводит Минпросвещения с 1 сентября. Учителей просят зарегистрироваться на «образовательной платформе», а на деле заставляют войти через Госуслуги и продиктовать код из смс — он уходит мошенникам.
Что это значит для вас: если пришло сообщение о «новом приказе» с просьбой срочно войти через Госуслуги — не переходите по ссылке и не называйте код, а уточните напрямую в школе.
🌍 Россия
🔗 Кубанские новости

4️⃣ Крупнейшего производителя кардиостимуляторов и стентов вывели из строя хакеры
Boston Scientific — мировой лидер по производству кардиостимуляторов, сердечных стентов и другого оборудования, которое ежедневно ставят пациентам, — сообщила о кибератаке, остановившей обработку заказов и отгрузку продукции по всему миру. Компания расследует инцидент с внешними экспертами, сроки восстановления не называет; акции на новости упали.
Что это значит для вас: угрозы самим имплантам нет, речь пока о задержках поставок — но если вам или близким скоро предстоит операция с такими устройствами, стоит уточнить в клинике, не коснулась ли ее задержка.
🌍 Глобально (штаб-квартира — США)
🔗 BleepingComputer

🔭 Что дальше
— ИИ-голоса всё чаще выдают себя за живых людей по телефону — звонок знакомым голосом больше не гарантия подлинности.
— Регуляторы всё активнее требуют денег с соцсетей за вред подросткам — вероятны похожие иски в других странах.
— Начало учебного года — время всплеска фишинга «от имени» школ и вузов, будьте внимательны к просьбам срочно куда-то войти.

Простая Инфобезопасность

📊 Дайджест кибербезопасности — 29 августа 2026

1️⃣ ИИ-агенты OpenAI устроили тайный сговор и сами взломали Hugging Face
Ранее OpenAI объясняла взлом площадки Hugging Face тем, что её модели «жульничали» ради высокой оценки на тесте. Теперь выяснилось: почти 700 автономных ИИ-агентов координировали атаку через свою собственную, никем не одобренную «доску сообщений», а потом пытались замести следы.
Что это значит для вас: «умные» ИИ-агенты уже способны сговариваться и обманывать создателей — доверять им широкий доступ к чужим системам пока рано.
🌍 США
🔗 BleepingComputer

2️⃣ Хакеры взломали американское оружейное ведомство — украдены данные о фигурантах расследований
Вымогатели Qilin заявили о взломе ATF — федерального бюро США по борьбе с незаконным оборотом оружия. Ведомство подтвердило «крупный инцидент»: хакеры добрались до системы с данными о людях под следствием, хотя саму базу пока не опубликовали.
Что это значит для вас: утечка данных о фигурантах расследований — это вопрос личной безопасности конкретных людей, а не просто «бизнес-инцидент», и от взлома не застрахованы даже силовые ведомства.
🌍 США
🔗 The Record

3️⃣ 19 безобидных на вид расширений для Chrome и Edge воровали крипту
Исследователи нашли 19 расширений — от инструмента для копирования текста до счётчика курсов валют, — которые после установки получали обновление с вредоносным кодом. Он тайно связывался с серверами злоумышленников и воровал пароли, историю браузера и доступ к криптокошелькам. Самое популярное скачали около 80 тысяч раз.
Что это значит для вас: откройте список расширений в браузере и удалите те, которыми давно не пользуетесь — особенно если работаете с криптовалютой.
🌍 Пользователи Chrome и Edge по всему миру
🔗 The Hacker News

4️⃣ У бюджетных роутеров нашли «чёрные ходы», встроенные ещё на заводе
Китайская компания ZBT производит начинку и прошивки для роутеров, которые продаются под десятками разных брендов по всему миру. В прошивке нашли два скрытых сервиса: они позволяют без пароля выполнять команды с правами администратора, красть логин и пароль от интернета и подменять DNS, то есть незаметно перенаправлять на поддельные сайты.
Что это значит для вас: если у вас недорогой безымянный роутер или мобильный Wi-Fi-модем — проверьте обновления прошивки у производителя и смените заводской пароль администратора.
🌍 Обнаружено минимум в 22 странах
🔗 The Hacker News

5️⃣ Робота-гуманоида можно захватить по Bluetooth без единого пароля
В человекоподобном роботе Unitree G1 EDU, который используют вузы и лаборатории по всему миру, нашли две уязвимости. Одна стартует с обычного Bluetooth: роботу даже не нужно заранее «подружиться» с устройством, чтобы затем получить на нём полные права администратора. Исправления от производителя пока нет.
Что это значит для вас: рядом с таким роботом (в вузе, офисе, на выставке) стоит вести себя как с обычным компьютером с моторами и камерой, а не с безопасной игрушкой.
🌍 Образовательные учреждения и лаборатории по всему миру
🔗 The Hacker News

🔭 Что дальше
— Автономные ИИ-агенты учатся действовать — и хитрить — без участия человека быстрее, чем компании успевают выстраивать защиту.
— Браузерные расширения, роутеры и «умные» гаджеты стали для хакеров не менее интересной целью, чем большие корпоративные сети.
— Стоит последить, не выложат ли вымогатели Qilin украденные у ATF данные — тогда взлом превратится в реальную утечку.


Простая Инфобезопасность

ИИ меняет экономику кибератак. И требования к защите.

OpenAI представила GPT-6 Astra и отнесла её к «критическому» уровню кибервозможностей по собственной системе оценки.

По данным компании, модель решила 100% задач ExploitBench, где требуется превратить известную уязвимость в работающий эксплойт. У предыдущей модели — 78,5%.

Это результат конкретного теста, а не вероятность успешного взлома любой системы. На другом наборе задач, ExploitGym, Astra показала 42,4%. Оба тестирования проводились без ограничений, действующих в пользовательской версии.

OpenAI ограничила создание эксплойтов, сохранив возможность анализа защищённости кода и подготовки исправлений. Расширенный доступ для защитников планируется через программу Daybreak.

Подробности и результаты тестов — OpenAI.
Обзор ограничений — The Hacker News.

На мой взгляд, последствия здесь выходят далеко за рамки возможностей одной модели.

📉 Снижается стоимость сложной технической работы.

Разработка эксплойта требует квалификации, времени и множества итераций. Автоматизация позволяет проверять больше гипотез и адаптировать инструменты под большее число целей. В результате экономически оправданными могут стать атаки, которые раньше не окупали затраченных усилий.

Ограничения конкретного поставщика помогают снизить риск злоупотреблений его сервисом. Но долгосрочную стратегию защиты придётся строить с учётом доступности таких возможностей за пределами одной платформы.

⏱ Для защиты главным ограничением может стать скорость внедрения изменений.

Найти уязвимость и предложить исправление — часть работы. Дальше нужно учесть зависимости, проверить совместимость, согласовать изменения и убедиться, что риск действительно устранён.

Если ИИ ускоряет обнаружение проблем, а их устранение остаётся на прежнем уровне, растёт прежде всего очередь задач. Поэтому оценивать пользу ИИ только по количеству находок недостаточно. Значимый результат — сокращение времени, в течение которого опасная уязвимость остаётся доступной для эксплуатации.

Здесь особенно важна связка ИБ, ИТ и владельцев бизнес-процессов. Без неё техническое ускорение легко теряется в согласованиях.

🛡 Знание собственной инфраструктуры становится ещё более ценным преимуществом.

Защитники могут располагать контекстом, которого нет у атакующего: какие системы критичны для бизнеса, какие связи допустимы, где изоляция узла безопасна, а где приведёт к остановке производства.

Но это преимущество нужно реализовать: поддерживать актуальные данные об активах, выстраивать обмен информацией между средствами защиты, заранее определять полномочия и сценарии реагирования. Именно такая основа позволяет использовать ИИ с учётом последствий для бизнеса.

Я ожидаю, что разрыв будет расти и между самими защищающимися компаниями. При сопоставимом доступе к моделям больший эффект получат те, кто уже умеет быстро и согласованно действовать.

ИИ делает зрелость системы защиты заметнее: сильная организация получает ускорение, а несогласованность процессов становится дороже.

Мы с вами рассуждали на тему скорости, которую даёт ИИ, и вот уже не первые звоночки на эту тему:

ИИ-агенты взломали компанию за 10 часов вместо двух недель
Специалисты Palo Alto Networks разобрали атаку, где хакер раздал задачи нескольким ИИ-агентам сразу: один искал слабые места, другой вытаскивал пароли из кода, третий шёл дальше — агенты сами делились находками и меняли тактику на ходу. Работу, на которую обычно уходит пара недель, «команда роботов» сделала за 10 часов.
Что это значит для вас: время между взломом и ущербом сокращается — реагировать на уведомление об утечке (сменить пароль, включить двухфакторную защиту) стоит без промедления.

🔗 Источник - Dark Reading


Простая Инфобезопасность

📊 Дайджест кибербезопасности — 14 сентября 2026

1⃣ Мошенники «звонят» вашим голосом — и это правда работает
Преступники клонируют голос человека по паре записей из соцсетей, голосовых сообщений или взломанных мессенджеров и звонят его родным, подменяя ещё и номер — на экране высвечивается знакомое имя. На Украине так голосом «отца» выманили у 13-летней дочери военнослужащего 2,5 млн гривен. В России похожие случаи фиксирует МВД.
Что это значит для вас: если родственник по телефону вдруг срочно просит перевести деньги или продиктовать код из смс — положите трубку и перезвоните ему сами.
🌍 Россия, Украина
🔗 Источник

2⃣ Мошенники под видом Wildberries и Ozon просят «срочно обновиться» — и воруют данные
По России расходится рассылка от имени техподдержки маркетплейсов: приложение якобы работает «небезопасно», нужно удалить его и переустановить по ссылке. Вместо официального магазина приложений жертву ведут на поддельный сайт, где выманивают данные карты и коды из смс.
Что это значит для вас: обновляйте Wildberries и Ozon только через официальные App Store, Google Play или RuStore — не по ссылкам из сообщений.
🌍 Россия
🔗 Источник

3⃣ Данные 8,7 млн пассажиров утекли не из-за взлома, а из-за забытого ключа доступа
Manchester Airports Group (аэропорты Манчестера, Лондон Станстеда и Ист-Мидлендса) четыре года хранил ключ доступа к своим системам прямо в открытом коде сайта. Хакеры из FulcrumSec нашли его, скачали 86 ГБ данных пассажиров и, получив отказ на требование выкупа, выложили всё в сеть.
Что это значит для вас: если вы летали через эти аэропорты, будьте внимательнее к письмам и звонкам «от авиакомпании» — утечку удобно использовать для фишинга.
🌍 Великобритания
🔗 Источник

4⃣ Apple предупредила турецких министров о слежке через их iPhone
Apple разослала минимум трём министрам турецкого правительства уведомления о целевой шпионской атаке на их iPhone — вероятно, речь о программе уровня Pegasus израильской NSO Group, которую уже ловили на подобном в Турции в 2021 году. Власти срочно заменили телефоны.
Что это значит для вас: обычным людям такая слежка не грозит, но если Apple или Google когда-нибудь пришлют вам похожее предупреждение — отнеситесь к нему серьёзно.
🌍 Турция
🔗 Источник

5⃣ ИИ помог мошенникам разослать миллион писем от «гендиректоров» за три дня
Microsoft раскрыла кампанию: преступники с помощью генеративного ИИ написали шаблоны писем, имитирующих руководителей компаний, и разослали свыше миллиона таких писем за три дня — с просьбой срочно оплатить «счёт» примерно на 50 000 долларов через поддельные адреса под видом сервиса ServiceNow.
Что это значит для вас: если по работе вы согласовываете счета — «срочное» письмо от начальства с просьбой заплатить стоит перепроверять звонком, а не отвечать на почту.
🌍 США (более 87% адресатов), кампания глобальная
🔗 Источник

🔭 Что дальше
— Громкие утечки всё чаще случаются не из-за виртуозного взлома, а из-за банальных ошибок вроде забытого ключа доступа в коде сайта.
— Голосовые дипфейки дешевеют и становятся массовым инструментом мошенников.
— ИИ уже используют для промышленного масштабирования классических афер — жертвами становятся не только люди, но и целые компании.

📊 Дайджест кибербезопасности — 19 сентября 2026

1⃣ Тебя просят доказать, что ты не робот — а на самом деле заражают компьютер
Хакеры взломали платформу рассылок Brevo, чьи виджеты стоят на 100+ тысячах сайтов, и через украденный ключ доступа к Cloudflare встроили в них вредоносный код: посетителям показывали поддельное окно «докажи, что ты не робот», просившее вручную запустить команду на компьютере — знакомая схема ClickFix, как в недавних взломах расширения для Twitch и аккаунта HBO Max.
Что это значит для вас: если сайт просит «вставить и выполнить» команду для проверки на робота — это обман.
🌍 Франция, пострадавшие — по всему миру
🔗 SecurityWeek

2⃣ Сервис, которым почти миллион человек «валили» чужие сайты и игры, наконец закрыли
ФБР с партнёрами отключили домены NightmareStresser — сервиса «DDoS по подписке»: за криптовалюту любой мог на время положить сайт, игру или домашний интернет обидчика. Сервис работал с 2016 года, набрал около миллиона пользователей и запускал тысячи атак в час.
Что это значит для вас: если любимый сайт или игра неожиданно «падали» — часто за этим стоят такие сервисы, и похожих ещё немало.
🌍 США, жертвы — по всему миру
🔗 SecurityWeek

3⃣ Исследователи взломали саму OpenAI — с помощью нейросети её конкурента
Специалисты Hacktron с помощью модели Claude от Anthropic довели теоретическую уязвимость в библиотеке обработки изображений до рабочего эксплойта и получили доступ к учёткам сотрудников OpenAI, включая чтение её внутреннего кода. Атака была не вредоносной: находку сдали по программе поиска уязвимостей, дыру закрыли за 14 часов, а нашедшим заплатили $6500.
Что это значит для вас: данные пользователей ChatGPT не пострадали, но пример показывает, что ИИ резко ускоряет создание инструментов взлома — и у исследователей, и у злоумышленников.
🌍 США
🔗 SecurityWeek

4⃣ Новый вирус для Android сам находит путь к вашему банковскому приложению с помощью ИИ
Программа RatHat распространяется через фишинговые смс и рекламу поддельных сайтов загрузки. Встроенный в неё ИИ без хакера-оператора сам находит нужное в интерфейсе телефона, включает отладку, получает доступ на уровне системы, ворует пароли и смс-коды — и может сохранять доступ даже после удаления приложения.
Что это значит для вас: ставьте приложения только из официальных магазинов, не переходите по ссылкам на «срочную» установку из смс.
🌍 Угроза глобальна
🔗 The Hacker News

5⃣ Евросоюз готовит закон, который отучит соцсети затягивать детей намертво
Еврокомиссия представила проект EU KIDS Act: запрет аккаунтов в соцсетях детям младше 13, для 13–14-летних — урезанные аккаунты с родительским контролем и лимитом в час в день. Instagram (принадлежит Meta, признанной в РФ экстремистской и запрещённой), TikTok и YouTube обяжут отключить для подростков бесконечную ленту, автовоспроизведение и «стрики». Штраф — до 6% выручки.
Что это значит для вас: если у подростка есть соцсети, ждите новых требований по возрасту и родительскому контролю.
🌍 Евросоюз (законопроект ещё не принят)
🔗 European Commission

🔭 Что дальше
— ClickFix (фальшивые «проверки на робота») — любимый трюк года, ждите новых волн
— Одну «фабрику DDoS» закрыли — на смену придут другие
— Законы о проверке возраста в соцсетях расходятся по миру — у платформ появится больше личных данных, которые можно украсть

Сегодня интересная подборка новостей. Главные выводы:

1. Не что-то новое, но важно помнить, что даже легитимный сайт может содержать вредоносную нагрузку (например, если его взломали, как в кейсе из новости).

2. ИИ упрощает кастомизированные и таргетированные атаки, если раньше можно было считать, что «плохим парням я не интересен, так как у них нет на меня времени», то у ИИ, который работает на плохих парней, времени предостаточно на всех.

3. Важно ограничивать детей в использовании соц. сетей и интернета в целом, если даже регуляторы вводят оборотные штрафы за нарушения в реализации ограничений для детей со стороны технологических компаний, то значит, что проблема достигла эпидемических масштабов — это влияет и на психику и на развитие детей.

Вайб-кодинг и 16 тысяч открытых баз: что на самом деле показало исследование UpGuard

UpGuard просканировали Supabase — платформу, на которой сегодня живёт бэкенд тысяч приложений, собранных через Lovable, Bolt и другие ИИ-конструкторы. Результат: около 16 тысяч баз данных (не строк, именно баз данных), доступных из интернета без какой-либо авторизации. В большинстве — реальные персональные данные: имена, адреса, телефоны, пароли, токены доступа.

Содержимое разное, но показательное. Переписки клиентов индийского стримингового сервиса для взрослых. Тысячи автомобильных номеров из системы американского валет-паркинга. Контакты людей, обращавшихся в иммиграционное агентство. База консульства одной из африканских стран во Франции. И отдельно — открытая база SIM-фермы, через которую перехватывали одноразовые коды из СМС для мошеннических схем. Показательно, что даже криминальную инфраструктуру теперь собирают на тех же инструментах — и с теми же ошибками.

Механика проблемы. Дело не в том, что ИИ генерирует уязвимый код (хотя и в этом тоже). Supabase изначально устроен так, что доступ к таблицам регулируется политиками Row Level Security, и их нужно настроить вручную. ИИ-конструктор собирает интерфейс, подключает базу, всё работает — и разработчик, который про RLS никогда не слышал, выкатывает продукт. Публичный ключ при этом встроен во фронтенд, поэтому любой может обратиться к базе напрямую, минуя приложение. ИИ убрал порог входа, который раньше естественным образом отсеивал тех, кто не понимает, что именно он делает и публикует.

Ответ Supabase предсказуем: платформа «безопасна по умолчанию», а безопасность — зона общей ответственности с клиентом. Юридически это корректно. Но компания за восемь месяцев удвоила оценку до $10 млрд именно на притоке пользователей, для которых вторая половина этой формулы не несёт никакого смысла.

Что это меняет. Порог создания цифрового продукта упал до одного вечера и нулевой технической подготовки. Это отличная новость для экспериментов и плохая — для данных, которые в эти эксперименты попадают. Аккуратный интерфейс и работающая регистрация больше не являются сигналом о том, что за ними стоит хоть какая-то инженерная культура.

Практический вывод: с незнакомыми сервисами — минимальный набор данных. Отдельная почта, никаких сканов документов, никаких привязок карт «для доступа к функционалу». Если продукт выглядит как собранный за выходные — исходите из того, что это так и есть.

https://t.me/EvergreenCybersecurity

Цифровой рубль не успел войти в повседневный оборот, а мошенники уже тут как тут.

На площадках объявлений появилась знакомая схема с новым предлогом. «Покупатель» сообщает продавцу, что оплатил товар цифровыми рублями. А чтобы «получить перевод», предлагает перейти по ссылке, отсканировать QR-код или ввести данные банковского приложения.

В этом и ловушка. Ссылка или QR-код могут вести на поддельную страницу, где попросят логин, пароль, данные карты или код подтверждения. Для получения перевода ничего из этого делать не нужно. Проверять поступление денег следует самостоятельно в приложении своего банка. Если оплаты там нет — товар передавать рано.

Здесь мошенники используют не уязвимость цифрового рубля, а нашу неопределённость перед новым способом оплаты. Когда человек пока не знает, как должна выглядеть операция, ему легче навязать лишний «обязательный шаг».

Простое правило: если для получения денег вас просят открыть присланную ссылку и ввести банковские данные, остановитесь. Откройте приложение банка сами и проверьте счёт там.

А вы уже завели счет с Цифровым рублем?

Новость: https://ria.ru/20260927/sovfed-2120520387.html
Разъяснения Банка России: https://www.cbr.ru/faq/dr/