BIS Journal — Информационная безопасность

Концепция банка как неприступной крепости в 2026 году рискует полностью утратить актуальность на фоне смещения вектора атак от прямых взломов периметра к эксплуатации уязвимостей программных интерфейсов и облачных сред.

Согласно данным исследования Singleton Security, проведённого совместно с Медиа Группой «Авангард», на инциденты в цепочках поставок уже приходится до 50% успешных компрометаций со средним ущербом в 6,2 млн долларов, что обосновывает необходимость пересмотра протоколов защиты доверенных каналов взаимодействия.

В статье «API и подрядчики станут главными угрозами для банков в 2026 году» авторы разбирают, что привело к нынешнему положению дел, почему привычные инструменты безопасности теряют актуальность, в чём опасность подрядчиков и почему фокус нужно смещать в сторону защиты непосредственно массивов данных.

🫡 — вчерашние методы уже не работают, реагировать нужно современными решениями

Около 1,5% Android-устройств в России заражено различными вредоносами

Почти в половине случаев речь идёт о трояне удалённого доступа Mamont, который аналитики департамента Fraud Protection компании F6 назвали одной из главных угроз будущего года для клиентов отечественных банков.

Безопасниками было исследовано примерно 100 млн гаджетов — «Мамонт» обнаружился в 47% из них. Зловред, известный с сентября 2023 года, в текущем уже нанёс россиянам ущерб минимум в 150 млн рублей, а средняя сумма списания в результате успешных атак с помощью этого ПО за данный период составила порядка 30 тысяч рублей.

Эксперты предупредили, что в 2025 году злоумышленники компрометируют устройства пользователей, рассылая вредоносный файл в открытых группах популярных мессенджеров или распространяя фишинговые ссылки среди контактов жертвы. Mamont — 2025 позволяет атакующим читать SMS владельца смартфона (включая архивные), находить в системе приложения банков, маркетплейсов и соцсетей, а также получать данные о SIM-картах и отправлять USSD-запросы.

🫡 — пора активнее пользоваться антивирусами
🗿 — пугают такие цифры

По данным сервиса Rusprofile, в январе — ноябре этого года число эпизодов банкротства российских ИТ‑компаний достигло 630

Это на 25% больше по сравнению с тем же периодом 2024-го — тогда этот показатель равнялся 491. Одновременно количество ликвидированных игроков рынка увеличилось на 11%.

При подсчёте учитывались юрлица и ИП с кодами ОКВЭД 26, 62 и 63 со всеми подкатегориями, которые относятся к производству компьютеров, разработке ПО и ИТ-деятельности. Также выяснилось, что из зарегистрированных в 2022 году компаний к концу текущего продолжило работу лишь немногим больше половины (20,6 тысячи из 37,9 тысячи).

В Минцифры не подтвердили эти данные, так как «не знакомы с результатами и методикой исследования». Ведомство ведёт собственный реестр — в нём, однако, только аккредитованные ИТ‑компании (сегодня таковых около 20 тысяч). В 2025 году было создано и аккредитовано 450 организаций, а ликвидировано — примерно 150, добавили представители министерства.

При этом обе стороны отметили: объём зарегистрированных ИТ‑игроков в стране продолжает расти, и в последние 11 месяцев эта цифра прибавила 15%.

🫡 — даже при наличии трудностей рост числа компаний вызывает оптимизм
🗿 — сможет ли отрасль удержать стабильность?

Методы проектирования программного обеспечения значительно изменились и продолжают совершенствоваться. Если десять лет назад вопросам безопасности уделяли не так много внимания, то сегодня это стало обязательным требованием на всех этапах жизненного цикла разработки.

Евгений Тодышев, руководитель направления безопасной разработки УЦСБ, в беседе с BIS Journal рассказал, что поменялось в подходах к безопасности разработки ПО, как применяется моделирование угроз при разработке ПО, какие архитектурные решения сегодня считаются более предпочтительными и не только.

Реклама. ООО «УЦСБ», ИНН: 6672235068, Erid: 2VfnxwCqd8m

📰 Дайджест статей и новостей за 22 декабря. BIS Journal об интересном:

⚫️ Статический анализатор PVS-Studio за пределами РБПО

⚫️ Искусственный интеллект: без ограничений — есть риск вырастить монстра

⚫️ Аксаков: Использование цифрового рубля снизит риски хищения бюджетных средств. Массовое внедрение цифрового рубля не столкнётся с техническими или пользовательскими проблемами

⚫️ «Внедрение такой услуги будет означать внедрение сервиса мультибанкинга». Недавно «Сбер» и «Т-Банк» анонсировали сервис денежных переводов между физлицами по QR-коду

⚫️ WhatsApp в России замедлился на 70-80%. 22 декабря ресурс «Сбой.рф» зафиксировал около 1750 жалоб россиян на работу WhatsApp

⚫️ Иностранные банкиры усилили проверки российских клиентов. Кредитные организации Сербии, Армении, Казахстана, Таджикистана и Омана начали приостанавливать операции некоторых российских клиентов

Кредитные организации Сербии, Армении, Казахстана, Таджикистана и Омана начали приостанавливать операции некоторых российских клиентов — и физлиц, и юрлиц

Издание Politico связывает это с решением властей Евросоюза о внесении России в чёрный список стран с высоким риском отмывания денег и финансирования терроризма, однако, сама норма вступит в силу только в грядущем году.

Сейчас банки присматриваются прежде всего к транзакциям в евро — сроки затягиваются, у владельцев счетов требуют дополнительные документы.

Эксперты, опрошенные изданием РБК, в свою очередь отметили, что с вступлением в силу вышеупомянутого решения ЕС ситуация может ухудшиться: вопросы о происхождении средств и их связях с Россией финучреждения начнут задавать чаще, а внимание могут привлечь суммы, которые раньше казались «незначительными».

🗿 — ещё не приняли, а уже началось

22 декабря ресурс «Сбой.рф» зафиксировал около 1750 жалоб россиян на работу WhatsApp. Больше всего обращений поступило из Москвы и Подмосковья, Санкт-Петербурга, а также Воронежской и Калининградской областей

По заявлениям пользователей, у них не получается зайти в мессенджер и отправить сообщения. Источник РБК на телеком-рынке пояснил, что «замедление WhatsApp набирает обороты», и на данный момент скорость работы сервиса сократилась на 70-80% (операторы связи к этому отношения не имеют).

🫡 — это к лучшему
🗿 — кажется, пора помахать мессенджеру ручкой

Недавно «Сбер» и «Т-Банк» анонсировали сервис денежных переводов между физлицами по QR-коду

До сих пор россияне таким способом могли приобретать товары и платить налоги, но переводить деньги на личный счёт возможно было только через СБП. Ведущий аналитик Freedom Finance Global Наталья Мильчакова заявила, что новый механизм вызывает немало вопросов.

Операция — по плану — должна выглядеть так: получатель генерирует в приложении своего банка QR-код, доступный отправителю уже в приложение его кредитной организации; код сканируется или считывается отправителем, и тогда деньги зачислятся на счёт.

Мильчакова предположила, что цель новой технологии — не заместить СБП или стать её конкурентом, а дополнить Систему в решении тех вопросов, которые она сама пока закрыть не может. Например, дать возможность получателю с помощью одного QR-кода принимать средства сразу от нескольких лиц.

«В России на одного клиента-физлица крупных российских банков приходится в среднем по два-три установленных на одном смартфоне приложения разных банков. Это означает, что, с одной стороны, такую систему переводов по QR-коду будет вводить легко, а с другой — сложно. Легко — потому что к этому процессу могут подключиться разные банки, сложно — поскольку фактически внедрение такой услуги будет означать внедрение сервиса мультибанкинга. Это может упростить переток клиентов из одних банков в другие, и в таких случаях из небольших региональных банков может увеличиться отток клиентов-физлиц в более крупные банки», — добавила эксперт.

🔥 — чем больше способов перевести деньги, тем лучше
🗿 — система пока кажется сложной, особенно с учётом разных банков и приложений

Массовое внедрение цифрового рубля не столкнётся с техническими или пользовательскими проблемами

Такого мнения придерживается глава комитета Госдумы по финансовому рынку Анатолий Аксаков, ставший недавно первым чиновником, получившим зарплату в третьей форме национальной валюты.

Парламентарий напомнил, что транзакции с участием нового рубля через банковские приложения ничем не будут отличаться от операций с обычными безналичными средствами на счёте. И отметил потенциальное повышение эффективности использования такой формы валюты с внедрением универсального QR-кода, обязательное применение которого начнётся с будущего сентября.

Помимо этого, Аксаков выразил уверенность, что использование цифрового рубля в расчётах снизит риски хищения бюджетных средств.

🫡 — хорошо, что заботятся о защите бюджета и комфорте россиян
🗿 — не уверен, что всё действительно пройдет без технических накладок

Искусственный интеллект на сегодняшний день перестал быть футуристической концепцией и перешел в разряд важных двигателей прогресса, без которого уже невозможно себе представить развитие современной цивилизации. Как и у любой новой технологии, меняющей сложившийся уклад жизни, у него есть свои ярые сторонники и критики, указывающие на врожденные изъяны и потенциальный вред. И в этих горячих спорах важно не впадать в крайности и найти разумную середину.

Статья «Искусственный интеллект: без ограничений — есть риск вырастить монстра» посвящена минусам искусственного интеллекта, положительному эффекту применения в медицине и государственной системе управления нацпроектами и госпрограммами, а также стратегическим возможностям ИИ.

🔥 — чем больше внедряется ИИ, тем быстрее движется прогресс
🗿 — пока неясно, принесёт ли ИИ больше пользы или вреда

Статический анализ — это всегда про безопасность, качество и надёжность кода. Но работа над этими характеристиками может происходить вне классических понятий и ГОСТов.

Андрей Карпов, CBDO компании ООО «ПВС», рассказал, как PVS-Studio способствует не только повышению безопасности программного обеспечения, но и помогает с поиском опечаток и дефектов, связанных с написанием кода методом copy-paste, «микрооптимизацией» кода, интеграцией и специализированной диагностикой для популярных игровых движков.

Реклама. ООО «ПВС», ИНН: 7105502635, Erid: 2VfnxxBYefT

📰 Недельный дайджест статей и новостей. BIS Journal об интересном:

⚫️ Три кита РБПО. Кит №3. Архитектурный анализ

⚫️ Неясный экономический эффект тормозит развитие ИИ-технологий. В текущем году объём российского рынка генеративного ИИ увеличился более чем в четыре раза относительно 2024-го

⚫️ Сервис ГК «Солар» за две недели заблокировал 400 тысяч переходов на опасные сайты. «Ростелеком» и ГК «Солар» запустили бесплатный антифишинг-сервис для защиты абонентов от вредоносных сайтов

⚫️ ЦБ РФ: Отдельного приложения для цифрового рубля не будет. Регулятор хочет сохранить уже существующий пользовательский опыт

⚫️ Композиционный анализ — третий кит безопасной разработки. О важности и способах проверки Open Source на безопасность и качество

⚫️ Мнение: Риски для «Мира» — QR-коды, биометрия и цифровой рубль. Ведущий аналитик Freedom Finance Global Наталья Мильчакова считает, что при возвращении Visa и Mastercard в РФ им будет сложно занять хотя бы по 10% рынка

⚫️ Решение регулятора — ещё не приговор. Причиной блокировки банковской карты или счёта может быть внесение гражданина в «чёрный список» Банка России, но эту процедуру есть шанс обжаловать

⚫️ SBOM: как бизнесу увидеть, из чего состоит его софт, и сделать его безопаснее

⚫️ Угон аккаунта в Max будет равносилен компрометации онлайн-банка. В Минцифры «обсуждают возможность» перевода банковских SMS-уведомлений в Max до конца этого года

⚫️ Россиянам выдадут коробку с QR-кодами на случай шатдаунов. В случае отключения интернета в грядущем году россияне смогут воспользоваться функцией офлайн-оплаты по QR-коду

⚫️ Реестр IMEI в обмен на ослабление масштабных блокировок? Минцифры запланировало на будущий год создание реестра IMEI — уникальных 15-значных номеров, которые присваиваются каждому смартфону, планшету, смарт-часам или модему на этапе производства

⚫️ Угрозы открытого кода

⚫️ Эксперт: Продление жизни карт «Мир» грозит ростом скамерской активности. Также данная практика приведёт к накоплению «технического долга» внутри систем

⚫️ Max берёт возможный максимум. Самостоятельное подписание документов через «Госключ» теперь доступно только в мессенджере Max

⚫️ ЛК: Геймерам угрожает новый инфокрад. Вредонос Stealka крадёт логины и пароли, данные платёжных карт и криптокошельков и другую приватную информацию

⚫️ Composition Analysis Tool — новый взгляд на безопасность. Эволюция композиционного анализа отражает зрелость индустрии

⚫️ НСПК — о едином пространстве для проведения транзакций. Национальная система платёжных карт представила технологию «МирЛинк», которая стандартизирует взаимодействие эквайринговой сети и платёжных сервисов банков

⚫️ «Слишком жёсткие правила могут замедлить темпы внедрения ИИ». В Координационном центре Правительства под началом вице-премьера Дмитрия Григоренко прошло совещание по вопросам регулирования ИИ-технологий

Британские правительственные эксперты из Национального центра кибербезопасности призвали предприятия страны внедрить передовые методы обеспечения безопасности в свои цепочки поставок, используя госпрограмму Cyber ​​Essentials

Её рекомендуется сочетать с новым инструментом проверки поставщиков, чтобы понять, сертифицированы ли они и на каком уровне — CE или CE Plus.

В ведомстве напомнили местным предприятиям с оборотом менее 20 млн фунтов стерлингов, что сертификация CE даёт им право на бесплатное страхование киберрисков, включая профессиональную поддержку при реагировании на инциденты. В соответствующем руководстве содержатся практические советы, инструменты и ресурсы, которые помогут интегрировать принципы циркулярной экономики в цепочки поставок.

«Слишком часто мы на собственном опыте убеждались в том, какое влияние кибератаки могут оказать на бизнес. Только 14% компаний контролирует потенциальные риски, с которыми сталкиваются их непосредственные поставщики, — заявила министр кибербезопасности Лиз Ллойд. — Именно поэтому мы обратились к ведущим организациям Великобритании с просьбой изложить шаги по укреплению их защиты, включая конкретные меры по обеспечению безопасности цепочек поставок с использованием схемы Cyber ​​Essentials, что должно быть приоритетом для всех».

🫡 — бесплатная страховка от киберрисков — очень весомый аргумент для компаний

Согласно итогам кастомизированного исследования, проведённого экспертами «СИБУР Цифровой» и «ЭКОПСИ Консалтинг», российские ИТ-специалисты всё чаще выбирают работу в промсекторе вместо BigTech

Причина, как пояснили аналитики, не только в высоких зарплатах, но и в содержательности задач, «инженерной глубине» и осязаемом результате своей деятельности. Ранее сфера Heavy Digital «существовала скорее на периферии сознания» айтишников, и хотя BigTech по-прежнему остаётся более узнаваемым и публичным сегментом, разрыв активно сокращается.

У новой для соискателей области есть свои козыри: например, стратегический горизонт проектов и долгосрочная значимость решений. BigTech же традиционно ориентирован на скорость, эксперименты и продуктовое мышление.

«Сегодня крупные промышленные компании дают ИТ-специалистам возможность реализовать инженерные идеи и профессиональные амбиции, влияя на реальный сектор экономики. Heavy Digital — это не только инфраструктура, но и особая инженерная культура на стыке продуктового и промышленного подходов, где ценятся ответственность за результат, технологическая глубина и готовность работать “в длинную”. Здесь востребованы люди, которые умеют совмещать системное мышление с прикладной инженерией, принимают решения, определяющие устойчивость и безопасность производственных процессов на годы вперёд. Для таких специалистов промышленный ИТ становится не компромиссом ради стабильности, а пространством сложных, масштабных и при этом осязаемых задач, за которыми стоят понятный эффект для бизнеса и реальная польза для людей», — заявил Антон Рубенчик, директор по цифровым и информационным технологиям СИБУРа.

🫡 — Heavy Digital открывает для специалистов новые горизонты
🗿 — не всем подойдёт «работа в долгую»

В Координационном центре Правительства под началом вице-премьера Дмитрия Григоренко и при участии представителей госсектора, бизнеса и отраслевых ассоциаций прошло совещание по вопросам регулирования ИИ-технологий

Собравшиеся обсудили необходимость закрепления ключевых норм, касающихся применения нейросетей в отдельных направлениях: качество и безопасность ИИ, наборы данных для обучения моделей, потенциальные санкции за ошибки бота, использование российских и зарубежных решений и так далее.

Сам Григоренко заявил о необходимости перехода от разрозненных предложений к формированию единого подхода и системности мер. И по итогам совещания поручил участникам направить в Минцифры предложения по регулированию ИИ-сферы до 20 января, где их обещают рассмотреть до конца февраля.

«В вопросе регулирования искусственного интеллекта наша задача — найти баланс. С одной стороны, нам важно обеспечить безопасность граждан и предотвратить возможные риски от использования ИИ. Например, случаи, когда ИИ может быть использован для совершения преступления. С другой стороны, регулирование не должно остановить развитие инноваций. Слишком жёсткие правила могут замедлить темпы внедрения ИИ, и мы учитываем этот риск. Чтобы ИТ-компании в России могли и дальше создавать передовые технологии, включая ИИ, важно сохранить комфортные условия для них. Нам следует действовать точечно и постепенно: вводить правила там, где цена ошибки ИИ слишком высока, но при этом сохранять свободу для развития технологий», — подытожил вице-премьер.

🔥 — хорошо, что обсуждают риски, но не забывают про стимулы для инноваций
🗿 — вряд ли жесткие рамки смогут поспеть за техническим прогрессом в сфере ИИ

Национальная система платёжных карт представила технологию «МирЛинк», которая стандартизирует взаимодействие эквайринговой сети и платёжных сервисов банков, «создавая единое пространство для проведения транзакций»

Об этом пишет «Коммерсант».

Таким образом, кредитные организации получают возможность принимать оплату с помощью сервисов друг друга, а их платёжные решения будут работать во всех точках, где действует эквайринг на базе «МирЛинк». Плюс, в НСПК считают, что новая технология поспособствует тому, чтобы небольшие компании оперативно выводили на рынок собственные финсервисы.

Пока «МирЛинк» пилотируется в шести банках. Завершить испытания планируют в течение месяца, после — начнётся масштабирование. Однако в том, что практика станет массовой, сомневаются опрошенные изданием эксперты: крупные игроки уже располагают своими решениями, а малые вряд ли окупят расходы на интеграцию и маркетинг.

🫡 — надеюсь, это упростит оплату для пользователей
🗿 — а что от этого выиграют крупные игроки?

Ассоциация ISACA была определена Министерством обороны США глобальным органом в рамках программы сертификации модели зрелости кибербезопасности, гарантирующим соответствие оборонных подрядчиков строгим ИБ-стандартам

Ведомство ввело CMMC в 2020 году, чтобы компании могли обеспечить защиту конфиденциальной информации при работе по госконтрактам.

Окончательные правила были опубликованы в Федеральном реестре и вступили в силу в ноябре этого года, официально положив начало трёхлетнему внедрению требований кибербезопасности по всем контрактам DoD. К 2028 году все организации, поставляющие продукцию или работающие с министерством, должны будут иметь сертификат CMMC, выданный ISACA.

Международная ассоциация теперь является эксклюзивной структурой, занимающейся сертификацией оценщиков и инструкторов CMMC, также ответственной за их обучение и экзаменацию. По мере внедрения системы сертификации в закупки в США с 2025 по 2028 год, описанная практика — по планам — затронет более 200 тыс. юрлиц, в том числе и европейских.

🫡 — хорошо, что теперь будет единый подход к кибербезопасности подрядчиков

Современные программные системы состоят из множества компонентов, модулей и библиотек, создаваемых сообществом разработчиков по всему миру. Однако ошибка или уязвимость в сторонней библиотеке может оказать влияние на приложение, даже если собственный код безупречен. Именно поэтому сегодня на первый план выходит композиционный анализ — подход, позволяющий выявлять и оценивать уязвимости в зависимостях. Но простой перечень компонентов уже не даёт полного ответа на вопрос: насколько эти уязвимости действительно опасны для конкретного продукта? Чтобы понять реальный уровень угрозы, необходимо видеть контекст — то, как именно используется сторонний код.

Виталий Вареница, заместитель генерального директора АО «НПО "Эшелон"», в статье «Composition Analysis Tool — новый взгляд на безопасность. Эволюция композиционного анализа отражает зрелость индустрии» объяснил, почему библиотека с уязвимостью не всегда несёт риски, какие существуют методы, формирующие контекст в композиционном анализе, и как контекстный анализ помогает по-новому взглянуть на безопасность.

Реклама. АО «НПО "ЭШЕЛОН"», ИНН: 7718676447, Erid: 2VfnxwwrGkZ

📰 Дайджест статей и новостей за 18 декабря. BIS Journal об интересном:

⚫️ Угрозы открытого кода

⚫️ Эксперт: Продление жизни карт «Мир» грозит ростом скамерской активности. Также данная практика приведёт к накоплению «технического долга» внутри систем

⚫️ ИИ-разработчики сами боятся утратить навыки из-за засилья нейросетей. При этом производительность труда выросла в полтора раза

⚫️ Max берёт возможный максимум. Самостоятельное подписание документов через «Госключ» теперь доступно только в мессенджере Max

⚫️ ЛК: Геймерам угрожает новый инфокрад. Вредонос Stealka крадёт логины и пароли, данные платёжных карт и криптокошельков и другую приватную информацию

⚫️ NCSC будет бороться со скамерами на основе «иллюзии обмана». Киберобман может быть отличным способом обнаружения новых угроз и выявления скрытых уязвимостей

Киберобман (проактивная стратегия безопасности, использующая ложные цели и приманки) может быть отличным способом обнаружения новых угроз и выявления скрытых уязвимостей, но организации сталкиваются с рядом препятствий и рисков, связанных с такими программами

Об этом предупреждает Национальный центр кибербезопасности.

На днях организация поделилась результатами пилотного проекта, реализуемого в рамках программы Active Cyber ​​Defence 2.0, в котором участвует 121 британская компания и 14 поставщиков продуктов в области киберобмана. Было обозначено пять выводов:

1. Показатели, основанные на результатах, требуют доработки. Данные и контекст имеют решающее значение для получения валидной информации, а не просто инфошума;
2. Терминология в индустрии киберобмана часто непоследовательна. Это затрудняет для организаций понимание того, что именно предлагают вендоры;
3. Отсутствие рекомендаций означает, что часто недостает беспристрастных советов, реальных примеров из практики и гарантий эффективности и безопасности инструментов. Несмотря на наличие обширного рынка поставщиков, новичкам бывает сложно в нём ориентироваться;
4. Если инструменты настроены неправильно, существует риск того, что они не смогут обнаружить угрозы, создадут ложное чувство безопасности и даже позволят злоумышленникам проникнуть в сети. Необходима постоянная тонкая настройка и регулярные обновления;
5. 90% организаций предпочитает не афишировать применение методов киберобмана. Однако, по некоторым данным, когда атакующие знают, что компания использует ловушки для них, то становятся менее уверенными в своих действиях.

Цель NCSC в рамках этого пилота — масштабировать стратегию, чтобы понять, как данная технология может быть внедрена в рамках ACD 2.0. План предусматривает запуск как минимум 5000 решений с низким и высоким уровнем взаимодействия в британском интернете, а также 20 тыс. решений с низким уровнем взаимодействия во внутренних сетях. Центр планирует развернуть ещё 200 тыс. решений в облачных средах и два миллиона «медовых токенов» — фейковых ИТ-ресурсов, предназначенных для обнаружения преступной деятельности.

🫡 — чем больше ловушек, тем сложнее злоумышленникам