Новости кибербезопасности за неделю с 7 по 13 апреля 2025

Все самое интересное из мира кибербезопасности /** с моими комментариями

1) Дропперы могут быть оштрафованы на сумму от 100 тысяч до 1 млн рублей или лишены свободы на срок от трех до шести лет. Соответствующие поправки в Уголовный кодекс подготовлены ведомствами и концептуально поддержаны Верховным судом, сообщил "Интерфаксу" источник, знакомый с ходом подготовки законопроекта.

Дропперы помогают выводить деньги, похищенные телефонными мошенниками, которые с помощью методов социальной инженерии получают у граждан конфиденциальную информацию для кражи денег со счетов. По оценкам Сбербанка, ущерб россиян от телефонного мошенничества в 2024 году составил 295 млрд рублей. Количество дропперов банк оценивает в 2 млн человек, большая часть из них - молодежь в возрасте 14-16 лет.

/** Последнее пугает больше всего. Надо учить детей базовой безопасности, а лучше держать полностью под контролем все финансы ребёнка до тех пор, пока он сам свою первую зарплатную карту не получит.

2. В Telegram запустили маркировку каналов, владельцы которых официально зарегистрировались в Роскомнадзоре.

Для получения отметки А⁺ нужно воспользоваться ботом @Trustchannelbot.

"Теперь у пользователей Telegram появилась возможность быстро и наглядно убедиться, какие каналы можно репостить, а у рекламодателей – где размещаться" - цитата одного депутата.

/** Вроде бы всё понятно, но только зачем добавлять этого бота в свой канал с админскими правами? Надеюсь, что когда мой канал достигнет 10+ тыс. подписчиков, эту тему как-то пересмотрят. А ещё станет более понятно, что получает владелец канала, кроме спорного в плане дизайна значка от этого всего действа. Кстати, мне значок напомнил логотип мстителей )))

3) Власти Индии объявили охоту на OSINT-сервисы, которые занимаются сбором и продажей утечек, взломанных баз и даркнет-данных. В официальном заявлении отмечается, что подобные действия нарушают законы о персональных данных и представляют угрозу национальной безопасности.

Под удар попали платформы, работающие с leaked data, dark web и hack dumps — теперь правоохранители и спецслужбы займутся их блокировкой и уголовным преследованием.

/** OSINT как был, так и останется, только вот искать данные будет всё сложнее и сложнее. Индия правильно делает - не должны эти данные быть общедоступны.

4) Google представила Sec-Gemini v1: ИИ, который думает как кибераналитик.

Google выпустила экспериментальную модель Sec-Gemini v1, объединяющую возможности Gemini с данными об угрозах в реальном времени для устранения асимметрии между защитниками и хакерами.

Новая система превосходит конкурентов минимум на 11% в бенчмарке CTI-MCQ и на 10.5% в тестах картирования первопричин инцидентов благодаря интеграции с Google Threat Intelligence и базой уязвимостей OSV.

На практике Sec-Gemini v1 успешно идентифицировала группировку Salt Typhoon, связала её активность с конкретными уязвимостями и помогла сформировать целостную картину инцидента, что раньше требовало часов ручного анализа.

/** Пока это всё эксперименты, но через пару лет станет обыденностью. Такие корпорации, как Google, вскоре начнут представлять такие модели как paas-сервис с кучей фишек, т.к. они очень заинтересованы в том, чтобы весь трафик разных компаний проходил через их серверы. Понятно, что все будет "конфиденциально" и подобное бла бла...

5) В программе по поиску уязвимостей Яндекса «Охота за ошибками» появилось отдельное направление, связанное с генеративными нейросетями — семействами моделей YandexGPT и YandexART.

До миллиона рублей обещают заплатить за обнаруженные ошибки в зависимости от серьезности и простоты применения.

Деньги заплатят за найденные технические уязвимости, которые могут повлиять на результаты работы и процесс обучения нейросетевых моделей: например, привести модель к сбою или изменить её поведение так, чтобы она повлияла на работу других сервисов Яндекса.

/** Это правильное решение Яндекса. От себя тут хочу сказать вот что: важно понимать, что подобное происходит только после того, как они сами провели полное исследование своих сервисов, исправили всё, что сами нашли, после, привлекли внешний аудит (не одну компанию) и исправили всё, что нашли они, а только после этого bug bounty выходит в публичную плоскость.

6) Закончить хочу статьёй, которая вышла на этой неделе на Хабре.

13 законов разработки ПО

Некоторые из них хорошо известны, другие — достаточно нишевые. Но все они очень полезны разработчикам и менеджерам. Какие из них вам известны:

/** Психология и когнитивные искажения - очень интересные и полезные темы в разработке. Всем рекомендую прочитать. Всегда полезно блеснуть эрудицией и начитанностью в кругу друзей и коллег.

Безопасной вам недели!

Подписывайтесь на мой Телеграм!

Предыдущая неделя <-- week Sec News --> Следующая неделя