SecurityLab.ru

🆕 Еженедельный обзор киберновостей В Молдове хакеры за пять дней вытащили из госсистем данные 750 тысяч граждан, а в США за неделю до выборов пришлось отключить систему финансовых отчётов кандидатов. В России тем временем привезённые из отпуска смартфоны предлагают регистрировать через «Госуслуги», а VPN начал появляться в ходатайствах об аресте — собрали самые интересные новости недели в одном месте, чтобы вы ничего не пропустили. 🌎 В мире В Молдове хакеры за пять дней вытащили из госсистем данные около 750 тысяч граждан, и властям пришлось отключить 82 цифровых сервиса. Из-за попытки взлома Федеральная избирательная комиссия США за неделю до выборов в Конгресс отключила систему приёма отчётов о расходах кандидатов. Сенаторы обвинили власти США в незаконном сокрытии решения секретного суда FISC, который нашёл нарушения при поиске переписки американцев в разведданных. Полиция Сеула вычислила бывшего пентестера-самоучку, который с сообщниками и с помощью ИИ взломал около 90 организаций и похитил 8,2 млн записей. Участник группировок Hive и Nefilim Артём Стрижак получил в США почти шесть лет тюрьмы за атаки, среди жертв которых были больницы. 🇷🇺 В России Власти обсуждают обязательную регистрацию по IMEI через «Госуслуги» для смартфонов, ввезённых без таможенного оформления, иначе через две недели аппарат отключат от сети. Следователи стали приводить VPN, исчезающие сообщения и скрытые контакты как довод для ареста, хотя УПК таких оснований не предусматривает. Бывший сотрудник подведомственного Роскомнадзору ГРЧЦ, работавший над системой контроля блокировок, оказался разработчиком VPN, который обещает прятать трафик от сетевых фильтров. Минцифры согласилось, что провайдер сохранит право собственности на сеть даже после отзыва лицензии, но реформу лицензирования связи это не отменяет. МВД накрыло пять криптообменников и форум, через которые прошло 185 тысяч операций наркомаркета. ℹ️Новости в сфере ИБ Британские власти впервые допустили, что за взломы чере… Читать полностью →

Тысяча найденных уязвимостей — это отчёт для аудита или реальная защита? И нужен ли вообще AppSec, если код всё чаще пишет ИИ? Эти и другие вопросы честно и по делу обсудим 18 ноября на Positive AppSec Conf — первой конференции Positive Technologies по безопасной разработке. Площадка — Кибердом в Москве, для удалённых участников будет онлайн-трансляция. О чём говорим: 🤖 ИИ-генерация кода: где заканчивается ускорение разработки и начинаются уязвимости в проде 🔍 SAST/DAST/IaC-сканеры: что реально снижает риски, а что осталось формальностью для аудита ⛓️ атаки через цепочку поставок и open-source-библиотеки 😎 переход от подсчёта находок к оценке эксплуатируемости и бизнес-риска 💸 обоснование бюджета на AppSec через риски и окупаемость Для кого: AppSec- и DevSecOps-специалисты, архитекторы ИБ, CISO и технические директора — для каждой роли в программе есть свои темы. Формат: офлайн + онлайн, участие бесплатное, регистрация проходит через подтверждение. Зарегистрироваться

📍📍📍 ПДн без белых пятен: процессы, системы и требования ❔ В каких системах обрабатываются ПДн? Кто отвечает за базы данных? Что изменилось после запуска нового сервиса? Чтобы ответить, приходится собирать сведения по отделам, сверять таблицы и выяснять, какие документы уже устарели. 🗓 12 ноября, 11:00 Максим Шаманаев, консультант по ИБ SECURITM, покажет, как объединить эти сведения в связанную модель и организовать их регулярную актуализацию. Разберём на практике: 🔴 Процессы обработки. Как учитывать цели, категории ПДн, основания обработки и ответственных, связывая эти сведения с другими объектами организации. 🔴 Системы и базы данных. Как отразить взаимосвязи между процессами обработки, ИСПДн, базами данных и их владельцами в SECURITM. 🔴 Требования и пробелы. Как оценивать соответствие применимым требованиям по ПДн, выявлять недостатки и планировать мероприятия по их устранению. 🔴 Рутина и контроль. Как использовать задачи, опросы и автоматизацию для актуализации сведений, внутреннего контроля и отслеживания исполнения. 🔥 На живом примере покажем, как связать процессы обработки, инфраструктуру, требования, защитные меры и задачи в единую систему управления ПДн. Регистрируйтесь на вебинар.

Где проходит граница между рациональным использованием банковских продуктов и злоупотреблением их условиями? Профессиональные кешбэкеры, передача банковских карт третьим лицам, перепродажа привилегий и схемы заработка на программах лояльности. Все эти практики могут влиять на экономику банковских продуктов. Как ОТП Банк выявляет подобные случаи? Какие инструменты использует для анализа клиентского поведения? И как отличает систематический абьюз от обычного использования карты? Об этом рассказал Александр Широков, начальник управления контроля информационной безопасности и финансовых операций ОТП Банка. В основе подхода лежит анализ совокупности факторов, а не отдельных операций или объёма полученного кешбэка. При этом одна из ключевых задач банка заключается в том, чтобы контролировать риски, не создавая ограничений для добросовестных клиентов. 🤩Читать статью

Пароль отключили, а вход остался. OpenSSH допустила ошибку с одной звёздочкой Разработчики OpenSSH выпустили экстренное обновление 10.6p2 для устранения уязвимости SSHhole, которая открывала доступ к защищённым аккаунтам Linux с помощью одной произвольной строки длиной от 257 байт. Ирония ошибки CVE-2026-123158 заключается в том, что жертвами атаки становятся учётные записи, которым администраторы принудительно запретили вход по паролю ради безопасности и оставили только авторизацию по SSH-ключам. При такой настройке в системном файле теневых паролей вместо хеша ставится символ звёздочки, который в штатном режиме блокирует любые попытки подобрать комбинацию для входа. Однако при проверке логина в сборках OpenSSH без модулей PAM сервер берёт соль другого пользователя для маскировки времени ответа и передаёт введённые данные функции шифрования из библиотеки musl. Если отправить на вход строку длиннее 256 байт, функция в musl возвращает точно такую же звёздочку в качестве признака ошибки, после чего SSH-сервер сравнивает два одинаковых символа и засчитывает успешную авторизацию. Несмотря на пугающую простоту эксплуатации, в реальной инфраструктуре атака сработает только при одновременном совпадении нескольких специфических условий. Сервер должен работать на базе библиотеки musl вместо стандартной для большинства дистрибутивов glibc, использовать сборку OpenSSH без поддержки PAM, разрешать парольный вход и содержать хотя бы один соседний аккаунт с хешем SHA-256 или SHA-512. Поэтому владельцам серверов на Debian, Ubuntu и Fedora беспокоиться не о чем, тогда как администраторам легковесных сборок потребуется срочно обновить пакеты и перезапустить службу sshd. #OpenSSH, #Linux, #уязвимости @SecLabNews

❤️ Отказоустойчивость, гибкость инсталляции и демо Гарда WAF 3.3 Несколько активных площадок и георезервирование помогают сохранять доступность веб-приложений при сбоях. Но с ростом инфраструктуры усложняется управление защитой: общие правила нужно применять ко всем ресурсам, а требования к фильтрации запросов у микросервисов могут различаться. 12 ноября в 11:00 МСК эксперты «Гарды» Михаил Селезнев и Игорь Гиркин расскажут, как Гарда WAF 3.3 помогает поддерживать доступность цифровых сервисов и управлять их защитой в геораспределенной инфраструктуре. В формате диалога спикеры обсудят: 🟣георезервирование и защиту микросервисов; 🟣гибкость развертывания и отказоустойчивость WAF; 🟣управление политиками безопасности большого количества ресурсов. Покажем новые возможности продукта в работе и ответим на вопросы. Регистрируйтесь по ссылке и присылайте свои вопросы. Авторы лучших вопросов получат фирменный мерч «Гарды».