Пакет Безопасности

Не выносим сор из избы

Bitdefender выпустила свежий отчет по кибербезопасности за 2025 год. И в нем есть то, что немного шокирует – 58% ИБ-специалистов молчат о найденных утечках и уязвимостях по просьбе руководства. Даже тогда, когда нужно предупредить пользователей. И таких случаев стало на 40% больше, чем два года назад.

С одно стороны понятно, почему так происходит. Каждая утечка – это удар по репутации компании, паника у клиентов, вопросы от инвесторов и т.д. Проще сделать вид, что ничего не случилось. Но это работает ровно до первого громкого кейса и вскрытия скелетов в шкафу. Дальше пострадают все – компания, пользователи и доверие к индустрии в целом.

Bitdefender, собственно, так и пишет: чем больше молчания, тем меньше доверия. 45% топов уверены, что у них все под контролем. А вот среди сотрудников среднего звена с этим согласны только 19%.

Я бы тут советовал брать пример с тех, кто просто дает правильную коммуникацию в СМИ (как 12storeez), быстро принимает меры (как тот же Аэрофлот) и заботится о свои пользователях, чьи данные и комфорт страдают в первую очередь.

Итого: заметать сор под ковер – плохая стратегия. Затыкать рот безопасникам – план еще хуже. И для безопасности и для репутации.

⚡ ПБ | 😎 Чат | 🛍 Проекты

Atlas: браузер, который все видит

Казалось, эпоха браузерных войн давно закончилась. У всех уже есть свой Chrome, Safari или Edge (опера и фаерфокс, я в вас верю), и никому не нужно что-то «новое и революционное». Но вот OpenAI решила, что пора начать заново, и показала собственный браузер под названием Atlas. У всех загорелись глаза, а у кого-то и не только глаза.

По описанию – это почти как Chrome, только с ChatGPT под капотом. Благодаря этому Atlas получает доступ к истории вкладок, может управлять страницами, отвечать на письма и даже бронировать отпуск. По сути, ваш браузер теперь не просто показывает интернет – он живет в сети рядом с вами.

OpenAI обещает, что Atlas – это privacy first browser (они знали, где самое слабое место, знали ведь), где можно отключить доступ ИИ к вкладкам. Правда, по умолчанию он включен. Поэтому, если хотите посерфить что-то приватное, сперва откройте новое окно, а уже потом нужную страницу. Немного странная «приватность по запросу», но ладно.

Пока пользователи разглядывают новые фишки и настройки приватности, багхантеры уже провели первые эксперименты. Всего через несколько часов после релиза Atlas подвергся простой, но эффективной indirect prompt injection-атаке. Багхантер elder_plinius (Pliny the Liberator) заставил LLM-агента браузера выдать инструкции с запрещенкой. Без багов, без хаков – просто через веб-страницу со скрытым текстом, который агент воспринял как команду пользователя.

Pliny показал, как легко агент может быть обманут: он разместил на странице скрытые элементы DOM и JavaScript-логику, копирующую содержимое в буфер обмена. Atlas при анализе страницы включил этот текст в системный prompt, решив, что это часть пользовательского запроса. В итоге агент получил команду, которую не должен был видеть, и послушно выполнил.

OpenAI уже признала: prompt injection остается нерешенной архитектурной проблемой agentic-браузеров (не только этого, да). Да, теперь есть logged-out-mode, фильтры входных данных и детекция подозрительных действий, но полностью закрыть этот класс уязвимостей пока невозможно.

Главная проблема таких ИИ-браузеров даже не в том, что они все видят, а в том, что их можно обмануть. И чем больше у них прав, тем опаснее становится любая невидимая строка кода. И если в эту цепочку встроится заинтересованный злоумышленник, то пользователь по итогу будет получать не самые полезные подсказки от ИИ.

Если вам кажется, что Atlas уникален, то нет: другие компании движутся в том же направлении. У Perplexity есть свой Comet, у Arc (ты жив еще?) и других – эксперименты с ИИ-навигацией. Все обещают, что теперь интернет станет умнее. Только вот лучшее порой – враг хорошего.

Не думаю, что браузерные войны вернутся полноценно, но рынок может чуть колыхнется на остаточном хайпе ИИ. И задумайтесь, кстати, об одной вещи – а кто реально контролирует встроенный ИИ – вы или не вы. И нужен ли пользователям вообще такой «умный» браузер?

⚡ ПБ | 😎 Чат | 🛍 Проекты

...или мы вернем вам деньги

В основе защиты многих компаний стоит SOC – центр мониторинга и реагирования на инциденты. Эти ребята 24/7 лупят в монитор смотрят алерты, разбирают их, первыми реагируют на атаки и по возможности их останавливает.

С внутренними СОКами все просто – их ответственность нигде не заканчивается. И даже если кусок инфры по каким-то причинам не был покрыт мониторингом – это проблемы безопасников, которые топ-менеджера не волнуют (кто-то может даже остаться без премии кстати).

С внешними СОКами, которые по факту работают как аутсорс, все не так однозначно. Их в России больше 20 (в разных моделях), сам рынок растет, по разным оценкам, на 15-30% в год. Потому что цифровизация наступает, а строить внутренний СОК долго, дорого и сложно.

При этом есть шанс, что вас будут ломать, а СОК этого не увидит. Или увидит, но не сразу. Не говоря о том, что нормальному реагированию могут помешать слабые процессы. Вы будете винить в этом мониторинг, мониторинг будет говорить, что это вы подключили недостаточно источников событий или завели под него лишь малую часть инфраструктуры. Да и от зеродэев и человеческого фактора никто не застрахован. Такие выяснения отношений определения границ ответственности - самая болезненная и рисковая часть аутсорсинга, причем для обеих сторон.

Собственно поэтому я и обратил внимание на вчерашнее заявление ребят из Red Security о том, что они будут компенсировать потери заказчика в случае успешных кибератак. При этом они готовы нести эту ответственность за широкий спектр нарушений, от злоупотребления вычислительными ресурсами заказчика, до атаки шифровальщика. Страхование киберрисков заказчика за счет СОКа – крутая идея, как безболезненно решить конфликт в случае, если инцидент все-таки произошел. Возможно, со временем это станет стандартным подходом.

Подобную историю мы с вами, кстати, уже обсуждали под этим постом. Получается, вселенная меня слышит.

⚡ ПБ | 😎 Чат | 🛍 Проекты

Кстати, почти в тему вчерашнего поста.

Очень комичное и, к сожалению, уже реалистичное видео на тему того, что нас ждет в ближайшем будущем.

Ну а точнее, как будет выглядеть ютуб, когда все совсем обленятся создавать авторский контент – ссылка

В общем, и смешно, и страшно.

⚡ ПБ | 😎 Чат | 🛍 Проекты

А ты точно продюсер человек?

В интернетах был найден сервис капчи, которую действительно сложно пройти (да, сложнее, чем странные каракули от Яндекса). Вас ждет 48 проверок (уровней), каждая из которых сложнее предыдущей.

Ну а если вы дойдете до конца и не сойдете с ума, то вас наградят сертификатом человечности, который можно будет даже скачать и распечатать.

Короче, погнали пробовать и писать в комменты, до какого уровня вы дошли – ссылка. Я вот на 19-ом уже поплыл.

⚡ ПБ | 😎 Чат | 🛍 Проекты

#КиберМем

⚡ ПБ | 😎 Чат | 🛍 Проекты

Как вы понимаете, прошлое воскресенье я пропустил, поэтому сейчас вас будет ждать перенасыщенный воскресный дайджест. Вижу, что ваши глаза уже горят, так что погнали.

⚡️ Мы выпустили !новый эпизод! нашего подкаста – ссылка

⚡️ Как я подставил организаторов сразу двух конференций (да, на Merge Baltic я тоже не поехал) – ссылка

⚡️ Обсудили, чтоит ли призывать к ответственности ИБшных вендоров и интеграторов в случае инцидентов – раз и два

⚡️ Как мы потеряли звук с нашего подкаста и выкрутились из ситуации – ссылка

⚡️ Что делать, чтобы вас не взломали – ссылка

⚡️ Узнали, как за вами могут подслушивать через компьютерную мышь – ссылка

🧠 Поменяли аватарку в вашем любимом Пакете Знаний и выпустили там обзор на книгу "Грокаем безопасность веб-приложений" – ссылка

👨‍🏫 В канале по Менторству ИБ поделился с вами парой исследований по ИИ и по перспективам рынка кибербезопасности.

🗓 А тем временем, наш канал с анонсами ИБшных мероприятий продолжает свести и пахнуть, пополняясь новыми анонсами.

😂 Пакет Мемов (давно про него не слышали, да?) теперь официально зарегистрирован!

Ну а я вам ненавязчиво напоминаю про навигацию по каналу и другие свои проекты – ссылка

Лучший файлообменник

Удаленная работа – это не только звонки и таск-менеджеры, но и постоянный обмен файлами с коллегами, HR, бухгалтерией или подрядчиками. Чаще всего документооборот идет через мессенджеры: удобно, быстро и привычно. Намного проще и быстрее кинуть драфт договора или акта в личку контрагенту, чтобы быстро согласовать правки. Но что? Правильно – это небезопасно.

Почему я вообще решил затронуть этот вопрос. Мне тут на днях написал один человек и рассказал про реальный случай, который с ним произошел. Он отправлял через Telegram пакет документов для оформления договора в одну киностудию. Из осторожности он сразу удалял файлы после того, как их скачал собеседник – директор этой компании.

И не зря. Спустя время его (директора) аккаунт взломали: имя сменили, а все чаты подчистили. Те, кто документы не удалял, фактически оставили свои паспорта, сценарии и договоры в открытом доступе для злоумышленников. Вместе с подписями, платежными реквизитами, юридической и (что уже интереснее) инсайдерской информацией.

Что может пойти не так, если хранить документы в мессенджерах:
– при взломе все файлы из ваших чатов становятся доступными злоумышленникам;
– даже после удаления "у себя" файлы остаются у собеседника;
– один взломанный аккаунт может привести к десяткам утечек и атакам с применением социальной инженериеи на тех, с кем были чаты.

Мессенджеры нужны для общения, а не для хранения важных файлов. Да, я понимаю, что Паша Дуров молодец и сделал очень удобные "Сохраненные сообщения", где многие хранят сканы своих документов и кучу другой полезной информации. Но документы лучше передавать по почте (тоже не без нюансов) или через защищенные сервисы, которые именно под это и заточены, где можно установить пароль и ограничение по времени доступа. Если же выбора нет – удаляйте файлы из чата сразу после отправки.

И нет, рекламировать какие-то конкретные сервисы или компании я не планировал, это просто дружеская рекомендация.

⚡ ПБ | 😎 Чат | 🛍 Проекты

Вкусно и точка, проснись…

Мышь без микрофона, но с ушами

На днях увидел новость про Mic-E-Mouse – исследователи из UC Irvine показали, что обычная геймерская мышь с чувствительным сенсором может считывать микровибрации стола и по ним восстанавливать речь. Первое навязчивое желание – устроить распродажу периферии и заклеить все скотчем. Но давайте по фактам.

Это PoC-исследование доказывает, что метод действительно работает: с фильтрацией Винера и нейросетью восстанавливается волновая форма речи. В тестах слова распознавались не идеально, но смысл разговора улавливался.

Атака возможна только при определенных условиях: нужен чувствительный сенсор, доступ к сырым данным движения и программа, которая эти данные обработает. В целом, достаточно любого обычного приложения с доступом к телеметрии мыши – игровой утилиты или дизайнерского софта. Если вот туда встроить сбор сырых данных, получится идеальный и почти незаметный вектор атаки.

Что делать:
- Не ставить сомнительные «улучшалки» для мыши, чтобы сделать ее более чувствительной или лучше всех начать играть в контрстрайк.
- Ставить нормальный платный антивирус.
- Следить за сетевой активностью, особенно за регулярными выгрузками телеметрии.
- Для важных разговоров – просто убрать мышь со стола, зайти в свою клетку Фарадэя и надеть шапочку из фольги.

Вывод: паниковать не стоит, но друзьям рассказать можно – штука реально рабочая. Помню, как в универе это были одни из самых душных, но одновременно и самых романтичных пар – угрозы утечки по ПЭМИН или что-то такое. Там было и про считывание вибраций с оконных стекол, и про жучки, встроенные в часовые механизмы, и вот это вот все.

Или заклеиваем теперь не только вебку, но и мышку? 🙄

⚡ ПБ | 😎 Чат | 🛍 Проекты

Ну что, по традиции сделаем теперь 167256 отписок за минуту?)

Новая схема мошенников?

Особо хитрые телефонные мошенники, фишеры и разного рода скамеры даже во времена, когда с ними в бой вступили серьезные компании (от банков до IT-гигантов) продолжают искать новые тропы для обмана и умудряются их находить.

Об одной из таких на Спектр Форуме упомянул представитель Яндекса Алексей Лиходзиевский, рассказывая о технологии Нейропротект. Скамеры придумали обратную схему и теперь убеждают людей в Интернете самим звонить на «номер поддержки» (звучит реалистично, потому что у меня самого в окружении было уже два таких случая). Ну и для понимания масштабов трагедии – по данным определителя номера Яндекса, за неделю таких звонков фиксируется около 12 000.

Ну и по традиции, предупреждаем близких – лишним не будет.

⚡ ПБ | 😎 Чат | 🛍 Проекты

Ах да, каждый ваш лайк и комментарий на Ютубе/ВКвидео/Рутубе для нас на весь золота, поэтому не сдерживайте себя 🍆

А вот и она – первая часть нового эпизода нашего подкаста!

В этот раз мы собрались для того, чтобы обсудить карьеру в сфере кибербезопасности, понять, как ее строить, как качать софт-скиллы и чем в этом может помочь ИИ.

Ну а еще, как вы уже знаете, звук со второй половины подкаста безвозвратно утерян, поэтому мы решили разделить это произведение искусства на две части, первую из которых вы уже можете лицезреть.

Приятного просмотра, ну а мы пошли перезаписывать для вас вторую часть.

Ссылки на подкаст:
- 📹 YouTube
- 📺 VK Video
- 📺 Rutube

⚡ ПБ | 😎 Чат | 🛍 Проекты