YADRO: Оффер за 5 дней в команду информационной безопасности 😊

Готовы развивать карьеру в информационной безопасности и присоединиться к сильной инженерной команде?

💡 Как это работает:
1️⃣ Оставьте заявку до 28 сентября и пройдите HR-скрининг
2️⃣ Пройдите техническое и менеджерское интервью
3️⃣ Получите оффер в YADRO за 5 дней

Кого мы ждём?
Инженеров по безопасности Application Security и DevSecOps (Middle/Senior) с опытом работы от 2 лет, практическими навыками программирования и автоматизации, а также с желанием создавать продукты, устойчивые к атакам и внешним угрозам.

Вам предстоит:
🚀 Работа над безопасностью продуктов и инфраструктуры
🚀 Внедрение лучших практик SSDLC и DevSecOps
🚀 Интеграция инструментов SAST/SCA/DAST, fuzzing и автоматизация процессов
🚀 Участие в проектировании защищенной архитектуры CI/CD и устранении уязвимостей

💙 Присоединяйтесь к YADRO и станьте частью команды, которая формирует будущее безопасных технологий!

👤 Кейс с IDOR в API

Во время Bug Bounty исследователь наткнулся на подозрительный эндпоинт:

/api/user/{id}/profile

Подмена id — и чужой профиль открывается без всякой авторизации.

Дальше — по учебнику:

⚡ скрипт для перебора ID
📥 массовая выгрузка адресов, телефонов и почт
🎣 фишинг по этим email и новые компрометации

➡️ Тысячи утекших аккаунтов, репутационный урон и срочная «заплатка».

Почему так случилось:

— никакой проверки владельца ресурса
— предсказуемые ID
— отсутствие защиты от перебора

После инцидента сервис внедрил owner-check, UUID, rate limiting и добавил тесты безопасности в CI.

💡 Даже «невинный» эндпоинт без авторизации может превратиться в точку входа для масштабной атаки.

🐸 Библиотека хакера

#breach_breakdown

🤔 Чем брутфорсишь чаще

Hydra -> поддержка множества протоколов, высокая скорость.

Medusa -> стабильный многопоток, удобна для скриптов и автоматизации.

Отмечайте реакцией и пишите в комменты, почему 👇

❤️ — Hydra

👍 — Medusa

🐸 Библиотека хакера

#tool_vs_tool

🐸 Библиотека хакера

#hack_humor

📌 Подборка свежих материалов

Каждую неделю — отобранное: статьи, исследования, доклады, видео и научные работы, которые стоит прочесть. Делимся самыми вкусными ресурсами.

➡️ Как часто вы думаете о Римской империи

История технологии через мем и аналогии: от Тьюринга и Гёделя до современных LLM-ассистентов.

➡️ God-mode в руках хакера

Одна строка кода превратила npm-пакет postmark-mcp в бэкдор.

➡️ Хитроу парализован: кибератака на Collins Aerospace

Сбой в сервисах поставщика вызвал задержки и отмены рейсов по всей Европе, особенно в лондонском аэропорту Хитроу.

➡️ Разбор атаки на PassOffice

Отличный пошаговый пример «как несколько мелких ошибок дают критический инцидент».

➡️ AI Security Reports

IAM для агентных систем, безопасность LLM/ML в продакшене, сценарии злоупотреблений и планы реагирования.

🫠 Сентябрь напомнил — одна строка кода или один подрядчик могут обрушить целую отрасль.

🐸 Библиотека хакера

#resource_drop

🦇 История вируса Melissa

📂 1999 год. Вы открываете безобидный Word-файл от коллеги… и через минуту почта компании ложится.

➡️ Как он распространялся:

— заражал документы Word,
— автоматически рассылался через Outlook по адресной книге,
— каждое открытие файла превращалось в десятки новых заражений.

💥 Итог: миллионы писем, тысячи заражённых серверов, хаос в офисах и многомиллионные убытки. Компании экстренно отключали почту и сервера.

❗️ Главный урок: простая социальная инженерия оказалась мощнее сложного кода. Именно после Melissa появились фильтры макросов и ограничения на вложения.

🐸 Библиотека хакера

#zero_day_legends