📊 Дайджест кибербезопасности — 19 сентября 2026

1⃣ Тебя просят доказать, что ты не робот — а на самом деле заражают компьютер
Хакеры взломали платформу рассылок Brevo, чьи виджеты стоят на 100+ тысячах сайтов, и через украденный ключ доступа к Cloudflare встроили в них вредоносный код: посетителям показывали поддельное окно «докажи, что ты не робот», просившее вручную запустить команду на компьютере — знакомая схема ClickFix, как в недавних взломах расширения для Twitch и аккаунта HBO Max.
Что это значит для вас: если сайт просит «вставить и выполнить» команду для проверки на робота — это обман.
🌍 Франция, пострадавшие — по всему миру
🔗 SecurityWeek

2⃣ Сервис, которым почти миллион человек «валили» чужие сайты и игры, наконец закрыли
ФБР с партнёрами отключили домены NightmareStresser — сервиса «DDoS по подписке»: за криптовалюту любой мог на время положить сайт, игру или домашний интернет обидчика. Сервис работал с 2016 года, набрал около миллиона пользователей и запускал тысячи атак в час.
Что это значит для вас: если любимый сайт или игра неожиданно «падали» — часто за этим стоят такие сервисы, и похожих ещё немало.
🌍 США, жертвы — по всему миру
🔗 SecurityWeek

3⃣ Исследователи взломали саму OpenAI — с помощью нейросети её конкурента
Специалисты Hacktron с помощью модели Claude от Anthropic довели теоретическую уязвимость в библиотеке обработки изображений до рабочего эксплойта и получили доступ к учёткам сотрудников OpenAI, включая чтение её внутреннего кода. Атака была не вредоносной: находку сдали по программе поиска уязвимостей, дыру закрыли за 14 часов, а нашедшим заплатили $6500.
Что это значит для вас: данные пользователей ChatGPT не пострадали, но пример показывает, что ИИ резко ускоряет создание инструментов взлома — и у исследователей, и у злоумышленников.
🌍 США
🔗 SecurityWeek

4⃣ Новый вирус для Android сам находит путь к вашему банковскому приложению с помощью ИИ
Программа RatHat распространяется через фишинговые смс и рекламу поддельных сайтов загрузки. Встроенный в неё ИИ без хакера-оператора сам находит нужное в интерфейсе телефона, включает отладку, получает доступ на уровне системы, ворует пароли и смс-коды — и может сохранять доступ даже после удаления приложения.
Что это значит для вас: ставьте приложения только из официальных магазинов, не переходите по ссылкам на «срочную» установку из смс.
🌍 Угроза глобальна
🔗 The Hacker News

5⃣ Евросоюз готовит закон, который отучит соцсети затягивать детей намертво
Еврокомиссия представила проект EU KIDS Act: запрет аккаунтов в соцсетях детям младше 13, для 13–14-летних — урезанные аккаунты с родительским контролем и лимитом в час в день. Instagram (принадлежит Meta, признанной в РФ экстремистской и запрещённой), TikTok и YouTube обяжут отключить для подростков бесконечную ленту, автовоспроизведение и «стрики». Штраф — до 6% выручки.
Что это значит для вас: если у подростка есть соцсети, ждите новых требований по возрасту и родительскому контролю.
🌍 Евросоюз (законопроект ещё не принят)
🔗 European Commission

🔭 Что дальше
— ClickFix (фальшивые «проверки на робота») — любимый трюк года, ждите новых волн
— Одну «фабрику DDoS» закрыли — на смену придут другие
— Законы о проверке возраста в соцсетях расходятся по миру — у платформ появится больше личных данных, которые можно украсть