Femida

Взломали «Додо Пицца»

Хакеры взломали пицеррию Dodo и украли более 2.5 ТБ данных клиентов. Всего в слив попало ~68 млн клиентов из разных стран, в которых работает компания за 15 лет 🤪

В слитых данных:

• Имя
• Email
• Телефон
• Дата рождения
• Адреса заказов
• Все заказы, их стоимость, время и состав

Сама компания уже подтвердила утечку.

Со слов самих хакеров, которые зашли в чат пицеррии рассказать о ситуации - никто не помешал им выкачивать базу, так как в 2 ночи никого из SoC просто не было на рабочем месте.

На iPhone в РФ научились включать 5G

Метод запостили на популярном форуме 4PDA - все что нужно это просто запустить один Python-скрипт и иметь iOS 27.

Для этого используется баг AirLift, который позволяет подключенному по USB устройству переписывать файлы в любых директориях устройства.

Совсем простая инструкция:

1. Ставишь iOS27
2. Качаешь на ПК Python 3, iTunes и скрипт
3. Подключаешь устройство, включаешь скрипт и... все

Скрипт, распространяемый на форуме просто подменяет настройки вашего оператора на иностранного (Vodafone). При этом SIM остается рабочей, а в настройках появляется VoWiFi и 5G. Правда, проблему с диапазонами это решает лишь частично.

Саму уязвимость могут закрыть уже в iOS 27.0.1. Полный список профилей операторов также опубликовали на GitHub 😙

В Британии у владельцев одинаковых iPhone теперь разное шифрование

Недавно Apple запросила у трибунала рассекретить требования встроить бэкдор в свое шифрование от британского правительства. Сейчас компании запрещено даже подтверждать, что такие просьбы вообще существуют.

Началось все в 2025 году, когда в Британии фактически запретили шифрование в iCloud. В январе правительство «тайно» направило Apple требование обеспечить доступ к данным под Advanced Data Protection (ADP). И изначально речь даже шла о пользователях по всему миру, а не только британцах 🤪

ADP шифрует iCloud Drive сквозным образом через приватные ключи, так что доступа нет даже у самой Apple. Выдать правительству доступ можно только одним способом - встроить в шифрование бэкдор.

В итоге после споров с правительством, компания просто убрала функцию для новых пользователей в UK:

«Мы никогда не создавали бэкдор или мастер-ключ ни к одному из наших продуктов и никогда не создадим», - Apple

При этом отключить ADP тем, кто успел его включить, Apple не может. Доступ к настройке есть только доверенных устройств самого пользователя, куда синхронизировались ключи шифрования.

Поэтому теперь у двух британцев с одинаковыми айфонами разный уровень защиты. Все буквально зависит от того, успели ли они нажать одну кнопку до февраля 2025 👍

РКН ограничит необновленным роутерам Mikrotik доступ в Интернет?

Ведомство разослало провайдерам просьбы ограничить доступ к части роутеров Mikrotik. С их слов, необходимо это для борьбы с уязвимостью в устройствах компании.

Уязвимость действительно есть, и она была запатчена 3 сентября. Суть ее заключается в том, что при помощи специально сформированного имени пользователя хакер может подключиться к вам по SSH в обход пароля и ключей доступа.

Как понять, что вас уже поломали?

• В логах есть запись login failure for user -2 from <ip> via ssh» и «user <name> added by ssh:-2@<ip>»
• Появился аккаунт с привилегиями ops
• В логах есть айпи 82.192.72.4 или 103.102.31.18

Регулятор запросил провайдеров ограничить доступ к некоторым портам на устройствах, если те окажутся уязвимыми. Скорее всего, ограничат непосредственно 22 порт (SSH), и только извне.

Короче, 100.000 роутеров стоило бы обновиться, пока не отвалился SSH 👍

Discord начал вводить принудительную верификацию возраста

Сервис теперь разбивает своих пользователей на три группы - взрослого, подростка и ребенка. Причем определение происходит по активности пользователя - сколько лет аккаунту, какие сервера использует и что пишет.

Если вас случайно переместило в группу «подростков», то вам нужно будет подтвердить свой возраст через кредитную карту (привет, UK) либо селфи и скан паспорта 👍

К слову, прошло чуть меньше года с момента, как все паспорта, загруженные в Discord утекли - тогда пострадали 70.000 пользователей, которые повелись на «безопасную» верификацию.

Взломали ФБР
буквально.

Хакеры SLSH заявили о взломе сервиса подбора персонала ФБР, Criminal Justice и базы данных MedLink.

С их слов, в утечке у них имеются данные всех агентов ФБР, включая имена, адреса, номера телефонов и почты. Пострадали в том числе и те, кто заполнял заявку для устройства на работу. Для ознакомления они слили сэмпл в 5000 сотрудников 🤪

Утром сайт ведомства лежал, а при попытке заполнения их анкет выводилось окно о "недоступности систем".

Сейчас хакеры поставили агентству дедлайн в неделю, чтобы установить контакт.

Минфин хочет «перетащить» крипту в Россию

С недавних пор инвесторам предлагают держать крипту в «цифровых депозитариях» - их уже запускают Сбер, ВТБ и Т-Банк. Покупка, продажа и обмен будут идти только с адресов внутри такого депозитария.

Чебесков вчера заявил - у россиян 10+ млн кошельков на зарубежных площадках, и их хотят «перетянуть» в российский контур. Перечислить средства на банковский депозит можно будет просто - напрямую переводом USDT, ETH/BTC 🤪

При этом если средства при переводе на депозитарии будут заблокированы Tether, это риск непосредственно инвестора.

Также уменьшили необходимый капитал для обменников с 30 до 15 млн ₽, а за работу обменника без лицензии предлагают отдельную уголовную статью. При этом обычных граждан это пока не коснется.

Напомним, с 1 сентября «неквалы» могут официально купить крипту максимум на 300 тыс. ₽ в год через одного посредника.

Испания заблокировала веб-архив и его зеркала

Под ограничение попал бесплатный сервис для архивации веб-страниц Archive[.]today. Помимо него, пострадали его зеркала - Archive[.]is, .ph, и .li.

Власти говорят о «многочисленных нарушениях» законов об интеллектуальной совести, которую игнорировала администрация сервиса. При попытке попасть на сайт всплывает баннер о нелегальности сайта и просьбе платить за источники.

Главная претензия - сервис действительно позволяет просматривать платные материалы в обход пэйволла. Например, сама статья о блокировке архива открывается через него бесплатно, хотя требует подписку. Мир суров 👍

AppStore сильно сбоит в России

Часть пользователей не может попасть в магазин совсем. У другой части приложения скачиваются, но очень медленно.

Пик сбоев пришелся на 9 утра мск - одномоментно на сервис подали более 70 жалоб.

Сейчас, при этом, работа сервиса постепенно стабилизируется.

Android впервые за 15 лет выпустили функционал в обход AOSP

Google выпустила обновление для Android в обход открытого AOSP. Это произошло впервые с Android 3.0, выпущенного в 2011 году.

По сути это означает, что новый функционал, добавленный в OS будет доступен исключительно на сертифицированных компанией устройствах - в особенности, на Google Pixel. 👍

То есть новый функционал не будет доступен на других прошивках, открытой оболочке и устройствах без Google GMS. По сути, Android постепенно становится iOS.

Ранее Google усложнила установку сторонних приложений в обход магазина Google и добавила обязательную верификацию. «Открытости» в системе становится все меньше.

Revolut сливали 5 месяцев подряд

Тут вышло расследование, в котором изучали недавний инцидент с банком Revolut, слившим данные миллионов своих клиентов.

Оказалось, что переписка с мошенниками, выдававшими себя органами страны длилась с марта этого года. Банк отправил архив с данными и паролем спустя 4 месяца, 24 июля.

Все это время переписка могла вестись со взломанных учетных записей итальянской полиции. В расследовании указано, что в это же время пар логин-пароль оттуда утекло более 300 штук 👍

Мошенники назначили банку цену в 3млн$ за неразглашение данных клиентов.

Google Play стал намеренно задерживать проверку приложений в магазине

Магазин приложений стал массово задерживать релизы и обновления приложений - теперь проверки могут занимать несколько недель, даже если у вас миллионы пользователей. При этом ранее процесс занимал до двух дней.

Тесты компании теперь чаще всего проводят люди, а не алгоритмы - автоматическое тестирование остается только на самом первом этапе. Особенно сильно достается за «неправильную» политику конфиденциальности - приложение может застрять до месяца.

Одной из главной причин задержек называют нашествие нейрослопа в магазины. Ну вы поняли 🤪

Параллельно с этим Google начинает ограничивать установку любых приложений в обход Google Play 👍

На форуме в Екатеринбурге иностранцам предоставили отдельный WiFi
без ограничений сети

Ранее, при этом, без блокировок работали и иностранные SIM-карты - до введения в регионах «белых списков».

Теперь же, чтобы иностранцам, похоже, не приходилось искать и покупать VPN - организаторы форума предоставили им отдельный WiFi с туннелем.

При этом для гостей из России была другая сеть - на ней никаких туннелей поднято не было, сеть работала с привычными РКН блокировками 🤪

Скорее всего сделали это для того, чтобы хоть как-то вернуть иностранцам привычные им сервисы - туристические SIM работают сейчас с перебоями.

Еврокомиссия представила «лестницу возраста» для доступа к онлайн-сервисам

ЕК предлагает обязать разработчиков добавить проверки возраста в каждую соцсеть, игровую площадку, ИИ-сервисы и видеохостинги.

«Лестница» предлагает следующее:

До 13 лет: только аккаунты с родительским контролем.

13-15 лет: «переходные» аккаунты с лимитами экранного времени, родительским контролем на выбор и ограничением контактов с незнакомцами.

15+: Подростки смогут регистрировать аккаунты сами.

Такой «Kids Act» будет рассмотрен уже в этот четверг. Сами проверки возраста со сканированием лица, правда, никто и не думает убирать 👍. Внедрить его будут обязаны все страны ЕС.

Что-то похожее, кстати, есть и в Китае. Работает с декабря 2025 года.

Уязвимость в Android все это время сливала ваш настоящий IP адрес. Снова.

Очередную утечку IP в Android отправили в Google еще в летом - несмотря на это, компания просто назначила исследователю «дубликат» за уязвимость и не исправляет её уже несколько месяцев. Уязвимость позволяет любому приложению узнавать ваш настоящий адрес, несмотря на VPN.

При этом не спасает никакой «kill-switch» в VPN-приложениях 👍

Завязано это на пакетах keepalive - приложение может создать такое соединение, из-за которого ваше устройство каждые 10 секунд будет отправлять пакет (на порт 4500) с вашего настоящего IP. Работает это на всех Android, включая GrapheneOS.

Те же Graphene сейчас все еще пишут свой патч для уязвимости, а VPN-провайдеры отказываются городить «костыли» и ждут официальных патчей.

Австралия ввела проверку возраста даже в Steam

Запрет на соцсети до 16 лет вступил в стране раньше всех - ему уже почти год. Теперь же они добираются и до регуляции игровых платформ: в Steam, например, заметили верификацию возраста по банковской карте.

Чтобы приобрести игру с «нежелательным» для детей контентом пользователю необходимо ввести данные своей кредитной карты со своим именем. Если карту отвязать - контент снова будет недоступен.

Так Steam «отсеивает» невзрослых покупателей. Ранее похожая система была введена в Великобритании.

Что, правда, делать пользователям без кредитных карт - вопрос хороший. Недостойные, получается 👍

Банк Revolut слил данные всех своих клиентов мошенникам

Банковская утечка года произошла даже не в результате хакерской атаки - они отправили выгрузку своей базы прямо на почту мошенникам.

Со слов самого банка, слили всё - выписки по счетам, историю транзакций, данные KYC (паспорта, селфи лиц), номера телефонов и почты, адреса клиентов…

Мошенники буквально написали банку, представившись полицией, и получили все выгрузки.

Банк направил письмо об инциденте каждому клиенту.

Со слов банка они направили письмо мошенникам, так как их почта была зарегистрирована в государственном домене - том же, в котором зарегистрированы настоящие ведомства. Помимо всего, у письма была электронная подпись ведомства 🤪

Как именно это произошло и какие сервисы хакерам пришлось взломать, чтобы получить такую почту - вопрос хороший. Тем не менее, настолько большого улова явно мало кто ожидал.

В России запустили первые 5G. Но есть нюанс

В 16 городах заработали сети 5G. На деле, правда, большая часть из них - это «новая» сеть, работающая на частотах от старой 4G.

На более высокой же частоте - 4,9 Ггц - запустились сети в 5-ти городах: СПб, Москва, Уфа, Екатеринбург и Новосибирск (в последних трех, правда, работает всего по-одной «новой» вышке)

До конца 2026 планируют запустить 5G еще в 50 городах России.

Правда есть нюанс - сети на этих частотах (бэнд n78-79, 4,63-5 Ггц) поддерживаются iPhone, но пока не добавлены в поддержку на уровне прошивки самой Apple. Причина в том, что частоты крайне непопулярные - их используют для 5G, разве что, в Китае, и очень редко.

Так что да, устройства Apple могут остаться без 5G. 😙

Также ограничили и «виртуальные» операторы типа «Т-Мобайл» - они пока тоже не смогут подключаться к сетям 5G.

Бюро 1440 запустило 32 орбитальных спутника
но есть нюанс

Группировка «Рассвет-3», запущенная весной-летом этого года, маневрирует на высоте ниже, чем планировалось. Изначально спутники должны были летать на высоте в 800км от земли.

Первая партия из группы, запущенная в марте, добралась до высоты в 540км, а один из них сошел с орбиты в июне. Вторая партия - июньская - крутится на высоте в 300км, а два спутника из них имеют шансы войти в атмосферу.

При всем этом высота в 800км, по сути, не очень необходима. Тот же Starlink работает на высоте около 550км - так просто ближе к конечному абоненту. Всего из запущенных 32 спутников упал 1, а 2 пока не набирают высоту выше 😙.

К 2030 году компания планирует запустить 292 таких спутника. Ранее о планах создать российский аналог Starlink говорили чиновники.