BIS Journal — Информационная безопасность

Безопасники из «Лаборатории Касперского» выявили вредонос под названием Stealka

Он угрожает пользователям устройств на ОС Windows. А именно крадёт их логины и пароли, данные платёжных карт и криптокошельков и другую приватную информацию.

По данным ЛК, больше всего от нового трояна пострадали россияне, но также известно о жертвах «Стилки» в Индии, Бразилии, Германии и Турции. Маскируется зловред под фейковые моды и читы для компьютерных игр, а также активаторы для различных программ. Распространяется — через GitHub, SourceForge или же специально созданные для этого злоумышленниками страницы, мимикрирующие в том числе под игровые ресурсы.

Чтобы усыпить бдительность потенциальных жертв, на одном из таких поддельных сайтов операторы вредоноса сымитировали процесс сканирования скачиваемого файла «защитным решением».

«Помимо информации из браузеров, Stealka крадёт конфиденциальные сведения из множества других источников — криптокошельков, мессенджеров, почтовых клиентов, приложений для создания заметок, игровых проектов. При этом для распространения зловреда злоумышленники могут использовать уже похищенные данные людей, например, учётные. В частности, мы обнаружили признаки того, что в одном из случаев атакующие загрузили на специализированный сайт заражённый стилером мод для игры GTA V со скомпрометированного аккаунта», — рассказал эксперт «Лаборатории» Артём Ушков.

🫡 — специалисты вовремя замечают риски, так держать
🗿 — теперь никаким модам доверять нельзя

Самостоятельное подписание документов через «Госключ» теперь доступно только в мессенджере Max — с помощью специального чат-бота

Об этом сообщил Telegram-канал «Госключ и все-все-все».

Авторы уточнили, что «сохраняется возможность направления [документов] из внешних ИС интегрированных организаций». Раньше пользователям нужно было лишь загрузить через портал госуслуг необходимый файл, указать категорию, отправить в приложение «Госключ» и подписать.

Ранее: В Минцифры «обсуждают возможность» перевода банковских SMS-уведомлений в Max до конца этого года

🫡 — надеюсь, так будет удобнее
🗿 — а можно хоть что-то делать без мессенджера?

Внутренний декабрьский отчёт Anthropic гласит: производительность труда выросла в полтора раза, но одновременно усиливаются опасения сотрудников самой компании потерять навык, ведь 27% работы вендора выполняется нейросетями

Примерно 60% инженеров-программистов Anthropic обращаются к ИИ почти ежедневно — за отладкой кода, разбором незнакомых проектов и помощью в улучшении архитектуры. Помимо этого, LLM участвуют в проектировании и планировании — здесь их влияние увеличилось десятикратно. В направлении по внедрению новых функций боты повысили долю присутствия с 14% до 37%.

Флагманское решение компании, ИИ-модель Claude, не только повысило эффективность разработчиков, но и в принципе сделало возможным решение задач, которые без условия вовлечения нейросетей руководство бы сочло избыточными по затратам. При этом персонал признаётся, что стал меньше тренировать базовые навыки: один специалист отметил, что 70% времени теперь уходит на проверку и редактирование кода вместо его написания.

Некоторые сотрудники заявили, что им не хватает творческого удовлетворения. Уменьшается также и живое взаимодействие с коллегами — младшие специалисты всё чаще обращаются за советами к машине, а не к ветеранам компании.

🔥 — круто, что ИИ помогает закрывать сложные задачи без сверхусилий
🗿 — технологии должны помогать людям, а не вытеснять из профессии

Заявление гендиректора НСПК Дмитрия Дубынина о том, что карты системы «Мир» продолжат работать и по истечении срока годности, прокомментировал эксперт по фондовому рынку «Гарда Капитал» Кирилл Селезнёв

По его мнению, это решение снизит нагрузку на финансовую инфраструктуру, потому что позволит гражданам самостоятельно выбирать время на замену «пластика»:

«Станет меньше внезапных отказов старых карт из-за истечения срока, и наступит условный иммунитет к санкциям — продление срока действия карт позволяет работать на старых импортных чипах».

Вместе с тем, отметил Селезнёв, у данной практики есть и отрицательная сторона: отказ от замены продуктов «Мира» потенциально приведёт к накоплению «технического долга» внутри системы — карточный парк будет устаревать, а инфраструктура — обновляться медленно. Также можно ожидать снижения дисциплины клиентов.

Помимо этого, решение НСПК, как считает эксперт, будет способствовать дальнейшему обособлению российского рынка, так как за границей просроченный «пластик» вряд ли будет приниматься. Наконец, повысятся риски появления уязвимостей в ИТ-системах и мошенничества, начнёт увеличиваться количество ошибок с проведением транзакций, а значит, и репутация отечественного финсектора будет ухудшаться.

Ранее: Карты платёжной системы «Мир» с истекшим сроком действия продолжат работать на постоянной основе, заверил гендиректор НСПК Дмитрий Дубынин

🫡 — и всё-таки такой шаг явно облегчит жизнь
🗿 — минусов как-то слишком много

Более половины библиотек с открытым кодом, которые используют разработчики программного обеспечения, содержат серьёзные уязвимости. С их помощью злоумышленники могут перехватить данные, ослабить криптографическую защиту, выполнить произвольный код — всё, что называется «взломом» ИT-системы. Масштаб проблемы показало ежегодное исследование AppSec Solutions, проведённое с помощью инструмента AppSec.Track. Если учесть, что, по оценкам экспертов, 90% программного кода разработчики заимствуют из открытых библиотек, масштаб риска трудно переоценить.

С какими рисками можно столкнуться, как их предотвратить с помощью композиционного анализа, анализа достижимости уязвимого кода и детектирования AI/ML-компонентов, а также с чем поможет сканер AppSec.Track, рассказал в статье Константин Крючков, руководитель продукта AppSec.Track.

Реклама. ООО «АППСЕК СОЛЮШЕНС», ИНН: 77264355251, Erid: 2VfnxvkABYV

📰 Дайджест статей и новостей за 17 декабря. BIS Journal об интересном:

⚫️ SBOM: как бизнесу увидеть, из чего состоит его софт, и сделать его безопаснее

⚫️ ITRC: Малый бизнес в США страдает от латентного «киберналога». Подавляющее большинство малых предприятий США за последний год пострадало от утечки данных или нарушений безопасности

⚫️ Угон аккаунта в Max будет равносилен компрометации онлайн-банка. В Минцифры «обсуждают возможность» перевода банковских SMS-уведомлений в Max до конца этого года

⚫️ Россиянам выдадут коробку с QR-кодами на случай шатдаунов. В случае отключения интернета в грядущем году россияне смогут воспользоваться функцией офлайн-оплаты по QR-коду

⚫️ Бесплатные proxy сливают диалоги с чат-ботами на сторону. Бесплатное браузерное расширение Urban VPN Proxy с лета начало собирать данные о переписке пользователей с популярными чат-ботами

⚫️ Реестр IMEI в обмен на ослабление масштабных блокировок? Минцифры запланировало на будущий год создание реестра IMEI — уникальных 15-значных номеров, которые присваиваются каждому смартфону, планшету, смарт-часам или модему на этапе производства

Минцифры запланировало на будущий год создание реестра IMEI — уникальных 15-значных номеров, которые присваиваются каждому смартфону, планшету, смарт-часам или модему на этапе производства

Об этом сообщил замглавы ведомства Дмитрий Угнивенко.

По словам чиновника, такая практика поможет идентифицировать не SIM‑карту или владельца, а сам гаджет:

«В случае, если мы создадим эту базу и привяжем их [IMEI] к конкретным номерам, мы точно можем тогда идентифицировать, что SIM‑карта не находится в БПЛА, и тогда, будем надеяться, что, может быть, слегка отпустит этот режим блокировок. Потому что это уже более точечная привязка».

🫡 — хорошая идея, если реализуют грамотно
🗿 — интересно, как скажется на приватности

По данным безопасников из Koi Security, бесплатное браузерное расширение Urban VPN Proxy с лета начало собирать данные о переписке пользователей с популярными чат-ботами — не логи или обезличенную статистику, а именно содержимое диалогов

Эксперты узнали, что сведения аккумулируются централизованно, а после передаются третьим сторонам на коммерческой основе. Причём продажа такого рода информации происходит в рамках бизнес-модели компании-разработчика.

Лицензионное соглашение сервиса гласит: данные проходят анонимизацию. Однако документ не гарантирует полного их удаления. Это значит, что по уникальным формулировкам покупатель может понять контекст переписки и получить доступ к маркерам, потенциально позволяющим идентифицировать пользователя.

В Koi Security увидели аналогичный паттерн и в случае с расширением 1ClickVPN Proxy. ИБ-специалисты подчеркнули системный характер проблемы: бесплатные VPN-сервисы часто монетизируются за счёт чужих данных, а рост популярности чат-ботов превратил переписку с машиной в новый ценный киберактив.

🫡 — вот почему важно внимательно относиться к установке любых расширений
🗿 — абсолютной анонимности в интернете не существует

В случае отключения интернета в грядущем году россияне смогут воспользоваться функцией офлайн-оплаты по QR-коду, который будет формироваться в смартфоне клиента

Об этом рассказал лидер направления развития СБП Национальной системы платёжных карт Никита Чухачев.

«Мы хотим развивать в следующем году два направления. Первое направление — это офлайн, это когда интернета на устройстве клиента нет. Такое часто встречается, например, в магазинах, где нет интернет-связи. В этом направлении мы будем передавать на устройство ограниченное количество QR-кодов для оплаты. То есть пока устройство находится в сети, оно получит определённое количество QR-кодов для того, чтобы их можно было использовать в офлайне. Будут обязательные требования по хранению этих QR-кодов, а также ограничена сумма платежа — до 3000 рублей. Но этот момент мы будем обсуждать с рынком», — пояснил Чухачев.

И добавил, что такой код будет иметь ограниченный срок действия, а при подключении устройства к сети — обновляться:

«Сейчас мы этот вопрос обсуждаем в рамках пилотной группы. Возможно, будет установлено ограничение на день на покупки в офлайне по таким QR-кодам».

Вторым направлением эксперт назвал интеграцию клиентского QR-кода с программами лояльности торгово-сервисных предприятий.

🔥 — отличное решение для случаев, когда связь подводит
🗿 — не возникнет ли путаница у пользователей с обновлением и порядком использования кодов?

Источники «Коммерсанта» сообщили, что в Минцифры «обсуждают возможность» перевода банковских SMS-уведомлений в Max до конца этого года

По словам одного из собеседников издания, реализация такой меры не будет «полноценной», так как у мессенджера ещё нет «прямого безопасного стыка с банками».

Ранее, добавил источник, имел место диалог с операторами связи на тему отправки всех банковских уведомлений в Max, минуя SMS, но к соглашению он не привёл. По подсчётам отраслевых экспертов, использование «пушей» и оповещений в мессенджерах уже повлекло ежегодные потери выручки телеком-компаний от рассылки SMS в 15-20 млрд рублей.

В Минцифры описанные планы опровергли, но заявили, что могут использовать Max для «обеспечения дополнительной безопасности личных данных и финансов пользователей» — эта опция входит в разрабатываемый второй комплексный антифрод-закон.

Банки, как пишет «Коммерсант», со своей стороны поддерживают использование «нацмессенджера» для отправки сервисных сообщений и называют это «экономически целесообразным» решением. Однако если Max станет единственным каналом рассылки уведомлений, любой сбой в его работе может парализовать деятельность банковских сервисов, а угон аккаунта будет равносилен компрометации онлайн-банка.

🔥 — это было бы очень удобно
🗿 — лучше, чтобы каждый мог сам выбирать способ

Согласно новому исследованию Центра ресурсов по борьбе с кражей личных данных, подавляющее большинство малых предприятий США за последний год пострадало от утечки данных или нарушений безопасности

38% в результате этого повысили цены. Отчёт организации основан на интервью с 662 владельцами бизнеса или руководителями компаний с численностью персонала менее 500 человек.

Президент ITRC Джеймс Ли утверждает, что инфляционное воздействие утечек данных действует как «скрытый киберналог» на потребителей. Он заявил, что эта информация должна послужить тревожным сигналом для законодателей и приблизить принятие новых государственных мер на уровне штатов и федеральном уровне для смягчения финансового бремени киберугроз.

«Этот теневой налог тормозит экономику США, подпитывает инфляцию и ложится непропорционально большим бременем на малые предприятия, создающие рабочие места и поддерживающие жизнь в местных сообществах. В условиях нехватки ресурсов, которыми обладают их более крупные конкуренты, они вынуждены выбирать между инвестициями в рост, поддержанием низких цен и защитой от постоянно существующей цифровой угрозы», — сказал Ли.

🫡 — ситуация изменится к лучшему, если власти примут необходимые меры
🗿 — реалии меняются, к ним приходится адаптироваться даже небольшим компаниям

Сегодня почти любое программное обеспечение — от мобильного приложения до банковской системы — создаётся не с нуля. В каждом продукте десятки или сотни внешних библиотек, фреймворков и модулей. Они ускоряют разработку, снижают издержки и позволяют быстрее выводить продукт на рынок. Но вместе с удобством приходит зависимость от чужого кода, а значит, и уязвимости, которые могут стать угрозой для бизнеса.

Аркадий Комиссарчук, ИБ-аналитик AppSec Solutions, рассказал, как компании решают эти проблемы с помощью SCA-инструментов, что такое SBOM и какие задачи он помогает решить.

🫡 — здорово, что говорят об уязвимостях в стороннем коде

📰 Дайджест статей и новостей за 16 декабря. BIS Journal об интересном:

⚫️ Композиционный анализ — третий кит безопасной разработки. О важности и способах проверки Open Source на безопасность и качество

⚫️ OpenAI совершенствует модели защиты «на передовых рубежах». В OpenAI сообщили о резком повышении производительности своих моделей, что изменило внутреннее планирование компании

⚫️ Мнение: Риски для «Мира» — QR-коды, биометрия и цифровой рубль. Ведущий аналитик Freedom Finance Global Наталья Мильчакова считает, что при возвращении Visa и Mastercard в РФ им будет сложно занять хотя бы по 10% рынка

⚫️ Решение регулятора — ещё не приговор. Причиной блокировки банковской карты или счёта может быть внесение гражданина в «чёрный список» Банка России, но эту процедуру есть шанс обжаловать

⚫️ PayPal станет банком и снизит зависимость от партнёров (?) Сервис PayPal подал документы для создания «промышленной кредитной компании»

⚫️ Teneo: ИИ не уничтожает рабочие места, но трансформирует роли. Руководители крупных организаций уверены, что распространение ИИ приведёт к постепенному возвращению найма специалистов начального уровня

Согласно свежему отчёту Teneo, руководители крупных организаций уверены, что распространение ИИ приведёт к постепенному возвращению найма специалистов начального уровня

Эксперты опросили более 350 гендиректоров публичных компаний с годовой выручкой свыше миллиарда долларов и около 400 крупных институциональных инвесторов. 67% респондентов прогнозирует, что внедрение нейросетей в бизнес-процессы обеспечит описанный эффект уже в будущем году. А 58% сообщило о планах по рекрутингу «сеньоров» и управленцев.

В Teneo пришли к выводу, что такие цифры обусловлены стремлением компаний увеличить число сотрудников, непосредственно работающих с ИИ-инструментами, ведь по мере интеграции этой технологии существующие роли претерпевают трансформацию, а рабочие места сами по себе не исчезают, как принято считать.

🫡 — вселяет надежду
🗿 — пока неясно, станет ли возвращение найма повсеместным

Сервис PayPal подал документы для создания «промышленной кредитной компании» в Федеральную корпорацию по страхованию депозитов и Департамент финансовых институтов штата Юта

По данным Reuters, это означает, что организация считает регуляторную среду, сложившуюся при администрации Трампа, «благоприятной» и готовится открыть собственный банк. Финтех- и криптоплатформам нужна банковская лицензия для расширения бизнеса в США, и в случае получения таковой, PayPal сможет улучшить кредитные предложения для местного малого бизнеса и снизить зависимость от сторонних партнёров, считают в агентстве.

🫡 — готовность к развитию в новых условиях всегда заслуживает уважения

Причиной блокировки банковской карты или счёта может быть внесение гражданина в «чёрный список» Банка России, но эту процедуру есть шанс обжаловать, напомнил «РИА Новостям» адвокат Дмитрий Пашин

Речь идёт о базе данных регулятора «О случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента» — туда попадают реквизиты, фигурировавшие в мошеннических операциях. Любой человек может самостоятельно узнать, присутствует ли он в данном реестре, — направив заявление в Центробанк через портал госуслуг. Ответ должен прийти в течение семи рабочих дней.

Чтобы собственно обжаловать внесение в БД, Пашин порекомендовал «подготовить в свободной форме заявление, в котором обязательно указать свои паспортные данные, ИНН и реквизиты заблокированного банковского счёта».

«Заявление можно направить в свой банк. В таком случае в течение следующего рабочего дня банк перенаправит заявление в ЦБ РФ», — пояснил он.

Также, добавил юрист, у гражданина есть возможность самостоятельно обратиться в ведомство через интернет-приемную — здесь принять решение обязаны в течение 15 дней:

«Если же Центробанк решит отказать в удовлетворении такого обращения, то заявитель вправе обжаловать решение ЦБ в судебном порядке».

🫡 — хорошо, что есть прозрачный механизм обжалования
🗿 — интересно, насколько реально добиться разблокировки?

Ведущий аналитик Freedom Finance Global Наталья Мильчакова считает, что при возвращении Visa и Mastercard в РФ им будет сложно занять хотя бы по 10% рынка

По данным Банка России, на начало 2022 года доля карт «Мир» в общем портфеле «пластика» не превышала 10%, а после ухода зарубежных платёжных брендов увеличилась до 41%. В текущем же квартале этот показатель достиг 80%. За всё время существования отечественной системы её внутренний оборот достиг 101 трлн рублей, а в 2025 году НСПК (оператор) обрабатывала до 86 млрд межбанковских операций в сутки.

«Карты "Мир" за последние десять лет стали основным инструментом для получения россиянами социальных выплат. Главным достижением национальной платёжной системы стал полный суверенитет в обеспечении бесперебойной оплаты товаров и услуг. Зависимость российского рынка платёжных карт от иностранных систем долгое время была очень высокой», — отметила Мильчакова.

Однако, со слов эксперта, имеются и определённые опасности:

«Из рисков для карт "Мир" можно выделить развитие альтернативных банковским картам безналичных платёжных технологий — QR-кодов, расчётам по биометрии, а также появление цифрового рубля. Мы ожидаем, что через год–два после его запуска рост рынка платёжных карт будет измеряться однозначными числами, войдя в стадию зрелости. Важно также, чтобы эта стадия сопровождалась высоким уровнем защиты владельцев карт от мошенничества».

🫡 — рынок изменился навсегда, назад дороги нет
🗿 — хороший продукт всегда удержит свою аудиторию

В OpenAI сообщили о резком повышении производительности своих моделей, что изменило внутреннее планирование компании

Согласно новому отчёту, оценка возможностей с использованием задач типа «захват флага» показала улучшение с 27% на GPT-5 в августе 2025 года до 76% на GPT-5.1-Codex-Max в ноябре.

Эксперты предупредили, что некоторые системы в будущем могут достичь «высокого» уровня возможностей в решении большого круга задач. Осознание того, что новые модели несут «высокий» риск кибербезопасности, подводит к необходимости сосредоточиться на базовой защите, считает соучредитель и гендиректор ThreatAware Джон Эбботт:

«Угрозы старой школы в сочетании с масштабом и точностью, обеспечиваемыми ИИ, представляют собой особенно опасную комбинацию».

В компании заявили, что готовят многоуровневые системы защиты, направленные на усиление оборонительных результатов. Главная цель — укрепить позиции групп безопасности, которые по-прежнему находятся в меньшинстве и испытывают нехватку ресурсов.

Помимо этого, был создан Совет по рискам на передовых рубежах для консультирования по вопросам ответственного использования технологий и дальнейшего сотрудничества в улучшении стратегий по смягчению последствий в масштабах всей экосистемы.

🫡 — такие результаты вселяют уверенность в будущее ИИ
🗿 — инновации требуют зрелой кибербезопасности

Каждая первая статья про композиционный анализ начинается с очевидной истины: современную разработку сложно представить без использования открытого стороннего программного обеспечения. Благо очевидное — готовые библиотеки решают известные задачи, за счёт чего ускоряется выпуск ваших программных продуктов на рынок.

Однако современные приложения могут содержать сотни и тысячи сторонних компонентов, за которыми важно обеспечивать контроль на предмет известных дефектов, уязвимостей и особенностей применения. Автоматизацию этого процесса обеспечивает технология композиционного анализа.

В статье «Композиционный анализ — третий кит безопасной разработки. О важности и способах проверки Open Source на безопасность и качество» основатель CodeScoring Алексей Смирнов и директор по разработке продуктов Роман Лапин разобрали технологию композиционного анализа, стандарты описания компонентов, особенности применения и не только.

🫡 — спасибо всем, кто делает разработку безопаснее

📰 Дайджест статей и новостей за 15 декабря. BIS Journal об интересном:

⚫️ Три кита РБПО. Кит №3. Архитектурный анализ

⚫️ В США появится госстандарт для LLM. Дональд Трамп подписал указ, наделяющий федеральное правительство полномочиями централизованно регулировать искусственный интеллект

⚫️ Экологи против новых дата-центров. Более 230 природозащитных, волонтёрских и благотворительных организаций подписало открытое письмо Конгрессу США, призывающее ввести мораторий на утверждение и строительство новых дата-центров

⚫️ Неясный экономический эффект тормозит развитие ИИ-технологий. В текущем году объём российского рынка генеративного ИИ увеличился более чем в четыре раза относительно 2024-го

⚫️ Сервис ГК «Солар» за две недели заблокировал 400 тысяч переходов на опасные сайты. «Ростелеком» и ГК «Солар» запустили бесплатный антифишинг-сервис для защиты абонентов от вредоносных сайтов

⚫️ ЦБ РФ: Отдельного приложения для цифрового рубля не будет. Регулятор хочет сохранить уже существующий пользовательский опыт