📇 10 ТБ данных подписчиков The Telegraph оказались в общем доступе.

Одна из крупнейших газет и сетевых СМИ Великобритании The Telegraph не защитила должным образом одну из своих баз данных, в результате чего было раскрыто 10 ТБ данных пользователей.

Информация включает внутренние журналы, полные имена подписчиков, адреса электронной почты, информацию об устройстве, URL-запросы, IP-адреса, токены аутентификации и уникальные идентификаторы читателей.

Утекшие данные могут подвергнуть пользователей риску атак со стороны мошенников и преступников. Злоумышленники могут использовать утекшие URL-запросы для создания истории просмотров пользователей на новостной платформе. Украденные токены доступа могут быть использованы для доступа к контенту, заблокированному без платного доступа.

По словам представителей The Telegraph, в общем доступе оказалось лишь небольшое количество записей — менее 0,1% пользователей (примерно 600 человек). Хотя данные были раскрыты, они не были скомпрометированы.

🛡Данные клиентов страховой компании Zurich оказались в открытом доступе.

В открытый доступ попал полный SQL-дамп базы данных испанского филиала страховой компании Zurich.

“Утекшая” база содержит 4,246,656 строк с данными страховых полисов клиентов компании: имена и фамилии, номера полисов, адреса электронной почты, телефоны, адреса, номера и марки автомобилей.

Cообщается, что дамп базы был сделан 29 июня 2021 года с помощью уязвимости в IT-инфраструктуре компании.

🔮 Произошла утечка исходного кода Twitch и заработков топовых блогеров.

В открытом доступе оказались данные о заработке известных стримеров за 3 года. Кроме того, хакер выложил внутренние инструменты и SDK сервиса, а также файлы Vapor (аналог Steam от Amazon Game Studios с интеграцией функций Twitch). Утечка произошла на площадке 4chan, куда злоумышленник выложил файл размером 125 ГБ.

Теперь любой желающий может ознакомиться с информацией о заработке любимого стримера. Точность данных о выручке пока под вопросом и изначально выложенные данные оказались не верными. Общий заработок перечисленных стримеров, вероятно, заметно больше, поскольку слитые данные не включают донаты, спонсорство и многие другие источники дохода.

Таблица стримеров с указанным заработком до налогов с 2019 года включает такие известные имена, как Asmongold, Shroud, xQc, Tfue, TimTheTatman, DrLupo и CohhCarnage.

Хакер утверждает что это не последняя утечка и в ближайшее время будет выложена новая информация.

👨‍💻 Уволенный админ отомстил школе, уничтожив данные в ее сети.

29-летний "мститель" удалил все данные из компьютерных систем средней школы в Великобритании и изменил пароли сотрудников IT-компании, а все потому, что его уволили. В результате действий экс-сотрудника школьники не могли обучаться на дому во время пандемии коронавируса.

Злоумышленник предстал в суде на этой неделе и признал себя виновным по двум обвинениям в хакерских атаках. Теперь ему грозит наказание в виде до 10 лет лишения свободы. Мера наказания мужчине будет объявлена 27 января 2022 года.

По словам хакера, он проник в системы школы от нечего делать и из скуки стал стирать данные. Однако, когда мужчина понял, что его могут вычислить, решил прибегнуть к более вредоносным действиям.

🍎Apple потребует от разработчиков приложений упростить процесс удаления учетных записей.

Удаление стороннего приложения на устройстве от Apple не является трудной задачей. Однако данный процесс не охватывает удаление учетной записи, созданной пользователем в программе. В связи с этим, начиная с 31 января 2022 года сторонние разработчики будут обязаны оптимизировать процесс удаления аккаунтов.

Во многих случаях разработчики приложений проектируют механизмы удаления своих учетных записей максимально трудоемкими, часто намеренно подталкивая пользователей перейти к специальной форме в браузере или отправить кому-то электронное письмо для инициации удаления их аккаунтов.

Новое требование появилось вслед за другими недавно представленными обновлениями руководящих принципов App Store, включая усиление контроля за «повторяющимся манипулятивным или вводящим в заблуждение поведением или другим мошенническим поведением» приложений.

🇷🇺В России создадут систему для борьбы с киберпреступлениями.

Концерн госкорпорации «Ростех» «Автоматика», АО «Национальная инжиниринговая корпорация» и компания «Ти Хантер» создадут программно-аппаратный комплекс для борьбы с киберпреступлениями. Об этом сообщает пресс-служба «Ростеха».

В рамках форума «Микроэлектроника-2021» компании заключили соглашение о сотрудничестве. Результатом соглашения станет разработка уникального программно-аппаратного комплекса (ПАК), предназначенного для автоматизации сбора и анализа доказательственной информации, присутствующей в сети интернет в открытых источниках, в рамках предупреждения и расследования высокотехнологичных преступлений.

Кроме того, будет создан «центр компетенций в области противодействия высокотехнологичным преступлениям». В центре будут развиваться технологии, касающиеся кибербезопасности, совершенствоваться механизмы предупреждения киберпреступлений.

🆕 В России создан первый Центр правовой помощи гражданам в цифровой среде. Его специалисты бесплатно консультируют россиян, которые стали жертвами незаконного использования персональных данных.

Центр начал прием заявителей в середине сентября. Только за первую неделю работы поступило несколько десятков обращений. Эксперты уже начали готовить документы для подачи исков в суды и жалоб в другие инстанции.

Директор Центра правовой помощи гражданам в цифровой среде Людмила Куровская рассказала о ключевых задачах и функциях новой организации.

Если вы пострадали от незаконного использования ваших личных данных, можете обратиться к юристам центра по тел.: +7 (499) 550-80-03 или по почте: 4people@grfc.ru.

ФНС создаст социальную сеть для передачи налоговой тайны с согласия её владельца

https://vc.ru/finance/303772-fns-sozdast-socialnuyu-set-dlya-peredachi-nalogovoy-tayny-s-soglasiya-ee-vladelca?from=yandex&utm_source=yxnews&utm_medium=mobile&utm_referrer=https%3A%2F%2Fyandex.ru%2Fnews%2Fsearch%3Ftext%3D

💰В сеть утекли данные 10 миллионов записей букмекерской конторы.

В даркнете выставили на продажу базу данных с почти 10 миллионами учетных записей букмекерской конторы и онлайн-казино Pin-Up.bet. Об этом сообщает РБК со ссылкой на компанию BI.ZONE.

Уточняется, что из общего числа более 7,8 миллиона аккаунтов были зарегистрированы в России. Также пострадали пользователи из Великобритании, Турции, США, Германии, Бразилии и Азербайджана. Злоумышленникам оказались доступны финансовая информация клиентов, адреса, даты рождения, номера телефонов, а также любимая игра, в которой сделано наибольшее количество ставок.

Хакер выставил базу на продажу и просит за нее десять тысяч долларов в криптовалюте.

🤬Приложения научились автоматически устанавливаться на устройства через рекламу.

В Сети растет число жалоб пользователей на навязчивую рекламу, которая тайно устанавливает на их устройства другие приложения.

Как сообщают участники обсуждения на Reddit, целый ряд рекламных баннеров устанавливает ПО на устройства без ведома пользователей и в обход Google Play. Баннеры якобы только рекламируют приложения из магазина, однако при попытке их закрыть начинается процесс загрузки и установки ПО, не требующий никакого участия пользователя.

Как показало дальнейшее исследование, подобная активность обеспечивается продуктами техасской компании Digital Turbine - DSP-платформой Appreciate и системным приложением DT Ignite, которое обходит взаимодействие с Play Store и диалог ручной установки APK. С помощью этих продуктов приложение из рекламы загружается и устанавливается на устройство прямиком с серверов Digital Turbine, хочет того пользователь или нет.

В настоящее время Digital Turbine готовят комментарий о ситуации.

🇺🇦 Украинские силовики задержали хакера, создавшего стотысячную «армию ботов».

Огромная армия ботов использовалась для осуществления DDoS-атак, рассылки спама или кражи учётных данных пользователей. Ботнет также использовался для выявления слабых мест различных сайтов в рамках подготовки к возможным будущим кибератакам. Заказы на осуществление атак хакер получал через интернет-форумы и Telegram. СБУ удалось отследить хакера благодаря его учётной записи в платёжном сервисе WebMoney, где злоумышленник разместил свой реальный адрес.

Как удалось установить СБУ, злоумышленником оказался житель Ивано-Франковской области. Кроме кибератак и взлома сайтов он занимался подбором паролей к ящикам электронной почты на удаленных платформах так называемым «брутфорсом».

В ходе обысков, проведенных по адресам регистрации и фактического проживания злоумышленника, изъято компьютерное оборудование с доказательствами противоправной деятельности.

👁 Власти Москвы передадут фото с mos.ru в систему распознавания лиц.

Система распознавания, которая используется для поиска преступников и выписки штрафов, получит доступ к фотографиям профиля пользователей портала mos.ru. Кроме того, власти будут собирать данные со смартфонов.

Правительство Москвы разместило заказ на доработку портала mos.ru — все загруженные фотографии пользователей должны будут передаваться в систему распознавания лиц, которую используют для поиска преступников полицейские, пишет «Коммерсантъ».

Издание цитирует техническое задание, по которому на mos.ru следует внедрить процедуру сохранения «эталонной фотографии из профиля пользователя в дополнительную галерею подсистемы автоматической регистрации сценариев индексирования видеоинформации (ПАРСИВ) Единого центра хранения данных (ЕЦХД) ГУ МВД по Москве». ЕЦХД обрабатывает данные с камер наружного наблюдения, подключенных к системе распознавания лиц, отмечает издание.

💣Microsoft сообщила о крупнейшей из когда-либо зафиксированных DDoS-атак.

Специалистам компании Microsoft зафиксировали DDoS-атаку мощностью в 2,4 Тбит/с в августе нынешнего года. Атака была нацелена на клиента Microsoft Azure в Европе и на 140% превышала максимальную пропускную способность атаки, зафиксированной Microsoft в 2020 году.

Атака длилась более 10 минут с кратковременными всплесками трафика, «Трафик исходил примерно из 70 тыс. источников и из нескольких стран Азиатско-Тихоокеанского региона, таких как Малайзия, Вьетнам, Тайвань, Япония и Китай, а также из США», — пояснили эксперты.

Количество DDoS-атак на Azure увеличилось в 2021 году, однако максимальная пропускная способность атак снижалась вплоть до 625 Мбит/. Microsoft не называет клиента Azure в Европе, ставшего целью атаки, но такие действия преступников также могут использоваться в качестве прикрытия для вторичных атак с целью распространения вредоносного ПО и взлома систем компании.

35% россиян, получивших предложение о сдаче биометрических данных вне связи с загранпаспортами и визами, согласились сдать их, сообщается в исследовании сервиса поиска работы SuperJob. При этом такие предложения поступили только каждому восьмому участнику опроса, поэтому доля согласившихся на сдачу биометрии составляет 4,5% от общего количества респондентов. 44% россиян, которым поступили предложения, отказались от них, 21% не определились.
Любопытно, что в пресс-релизе SuperJob, посвящённому этому опросу, цитируется глава компании InfoWatch Наталия Касперская, никакого отношения к SuperJob не имеющая.
Вывод: PR-битва между Касперской и "Ростелекомом" продолжается.

❗️Подписчики тг-каналов, признанных в Беларуси экстремистскими, будут привлечены к уголовной ответственности

«Подписчики экстремистских телеграм-каналов и чатов будут привлекаться к уголовной ответственности по статье 361-1 Уголовного кодекса (до семи лет лишения свободы) как участники экстремистского формирования», — сообщило главное управление по борьбе с организованной преступностью МВД Беларуси.

В Беларуси признаны экстремистскими уже более 200 Telegram-каналов и чатов. Недавно силовики задержали около 200 человек за комментарии об убитом в перестрелке с КГБ Андрее Зельцере.

👀 Британца оштрафовали на 100 тыс. фунтов, за то, что его дверная камера снимала забор соседки.

Судья в британском графстве Оксфордшир обязала местного жителя выплатить более 100 тыс. фунтов стерлингов женщине, чей дом попадал в поле зрения его камер видеонаблюдения, которые он установил на своем крыльце и гараже с целью обезопасить автомобиль от угона.

Не обеспечив прозрачность обработки данных, снимаемых «умным» дверным звонком, мужчина нарушил GDPR.

Подробнее

🍎 Apple запрещает загрузку приложений из сторонних магазинов в целях безопасности.

Компания Apple не разрешает пользователям загружать приложения из сторонних магазинов приложений для iOS из-за соображений конфиденциальности и безопасности. Как пояснил техногигант, пользователи Android-устройств в 15-47 раз чаще сталкиваются с вредоносными программами по сравнению с пользователями iOS-устройств.

Документ компании был опубликован в связи с тем, что Apple в настоящее время находится под антимонопольным расследованием в ЕС за антиконкурентную практику, а именно за принуждение разработчиков приложений использовать App Store для установки приложений и платежей.

По словам компании, ее iOS-устройства закреплены за App Store, поскольку это единственный безопасный способ установки приложений и группы безопасности компании могут сканировать приложения на предмет вредоносного контента, прежде чем они достигнут пользователей.

🥸 Подросток решил пошалить и случайно нашел критические уязвимости в IPTV-системе Exterity.

Подросток Минх Зыонг из Иллинойса (США) обнаружил критические уязвимости в системах IPTV Exterity во время шалости, которую он устроил в своем школьном округе перед выпуском.

Зыонг и группа близких друзей перехватили контроль над всеми подключенными к Сети телевизорами и другими дисплеями в шести школах округа 214 с целью транслировать известную песню Рика Эстли - Never Gonna Give You Up, замаскировав ее под важное объявление.

Взлом компьютерных систем включал сканирование школьной сети на предмет подключенных устройств, анализ их прошивки на наличие уязвимости и установку полезной нагрузки для тщательно спланированной атаки. По словам Минха, на осуществления взлома потребовались годы.

Решающую роль сыграла серия уязвимостей повышения привилегий в продуктах Exterity IPTV. Округ использовал устройства для потоковой передачи и управления своими внутренними камерами безопасности и сетевыми дисплеями.

🔮 Вредоносный блокировщик рекламы внедряет рекламу в поисковую выдачу.

Специалисты ИБ-компании Imperva обнаружили вредоносное расширение для браузера под названием AllBlock. Расширение, доступное для Chrome и Opera, внедряет в поисковую выдачу рекламу или код реферальных партнеров.

Как пояснили исследователи, после того, как пользователь установит AllBlock, расширение внедряет рекламу в каждую новую вкладку. Оно действительно блокирует легитимную рекламу, но кроме этого еще и собирает список URL-адресов со страниц. Этот список отправляется на удаленный сервер, который в ответ отправляет список ссылок, которыми нужно заменить URL-адреса на странице или которые нужно внедрить в страницу. Как правило, ссылки содержат партнерские коды, позволяющие мошенникам получать прибыль с каждой регистрации нового пользователя и каждой сделанной им покупки.

На момент написания новости расширение AllBlock было удалено из магазинов Opera и Chrome.

👄Мошенники похитили $35 млн у банка в ОАЭ с помощью дипвойса.

Преступники ограбили банк в ОАЭ на сумму в $35 млн, подделав голос с помощью технологий искусственного интеллекта. Используя дипфейк-голос, злоумышленники обманули сотрудника банка, убедив его отправить им деньги. Сам сотрудник был уверен, что переводит средства в рамках легитимной бизнес-транзакции.

Мошенники убедили сотрудника в том, что компания вот-вот заключит крупную сделку на $35 млн, и он последовал их указаниям, начав переводить средства на "новые" счета мнимой компании.

Как показало следствие, мошенники использовали голосовой дипфейк или так называемый "дипвойс", чтобы подделать голос директора компании. В общей сложности в мошеннической схеме участвовали 17 человек, а похищенные деньги были переведены на множество банковских счетов по всему миру.

Данный случай является уже вторым известным случаем использования дипвойса для похищения средств. В 2019 году британская электроэнергетическая компания попала в такую же ситуацию.

🤖Android-телефоны постоянно следят за своими пользователями.

Эксперты провели анализ устройств Samsung, Xiaomi, Realme и Huawei под управлением Android или двух форков ОС — LineageOS и /e/OS.

По словам исследователей, даже когда телефон минимально настроен и простаивает, Android передает значительный объем информации Google, а также третьим сторонам (Microsoft, LinkedIn, Facebook и пр.), чьи приложения предустановлены на устройстве. ОС отправляет конфиденциальные пользовательские данные, включая постоянные идентификаторы, сведения об использовании приложений и телеметрическую информацию.

Как отметили специалисты, отказаться от сбора данных нельзя, поэтому пользователи Android-устройств бессильны против такого типа телеметрии.

Даже если пользователь сбрасывает рекламные идентификаторы для своей учетной записи Google на Android, система сбора данных может повторно связать новый идентификатор с тем же устройством и добавить его в исходную историю отслеживания.