🔐 Фишинговая волна: как хакеры атакуют МСП и что делать?
Кажется безобидным? Статистика говорит об обратном — за 2024 год количество фишинговых атак в России выросло на 425%, и хакеры все чаще интересуются средним и малым бизнесом.
Почему хакеры любят МСП?
🔹«Входные ворота» для атак на крупный бизнес (через API подрядчиков).
🔹 Легкая добыча: сотрудники часто верят письмам «от руководства» и используют пароли типа «12345».
Как теперь атакуют?
Массовые атаки все чаще приобретают свойства целевых — хакеры целятся в отделы продаж и руководство, подделывают страницы CRM и корпоративных сервисов, используют ИИ для убедительных текстов и подделки голосов.
Как защититься?
1️⃣ Обучайте команду распознавать угрозы.
Письмо от CEO@MYC0MPANNY.RU — фишинг? Да, если ваш домен @mycompany.ru — обратите внимание на 0 вместо О в фишинговом письме.
2️⃣ Включите техническую защиту.
На первом плане — управление идентификацией и доступом. В помощь МСП — строгие политики управления доступом на основе ролей, многофакторная аутентификация, антивирусное ПО и другие решения, например, спам-фильтры.
3️⃣ Проводите «учебные тревоги».
Раз в квартал рассылайте тестовые фишинговые письма. Кто клюнул — проходит повторный инструктаж.
🎯Фишинг теперь — не просто массовый спам, а продуманная охота.
👉Подробнее о том, как защитить компанию, читайте в статье.
«Уважаемый Иван! Срочно проверьте документ по ссылке. Отдел кадров»
«Коллеги, премии зависли — нужно зайти в систему до 16:00!»
Кажется безобидным? Статистика говорит об обратном — за 2024 год количество фишинговых атак в России выросло на 425%, и хакеры все чаще интересуются средним и малым бизнесом.
Почему хакеры любят МСП?
🔹«Входные ворота» для атак на крупный бизнес (через API подрядчиков).
🔹 Легкая добыча: сотрудники часто верят письмам «от руководства» и используют пароли типа «12345».
Как теперь атакуют?
Массовые атаки все чаще приобретают свойства целевых — хакеры целятся в отделы продаж и руководство, подделывают страницы CRM и корпоративных сервисов, используют ИИ для убедительных текстов и подделки голосов.
Как защититься?
1️⃣ Обучайте команду распознавать угрозы.
Письмо от CEO@MYC0MPANNY.RU — фишинг? Да, если ваш домен @mycompany.ru — обратите внимание на 0 вместо О в фишинговом письме.
2️⃣ Включите техническую защиту.
На первом плане — управление идентификацией и доступом. В помощь МСП — строгие политики управления доступом на основе ролей, многофакторная аутентификация, антивирусное ПО и другие решения, например, спам-фильтры.
3️⃣ Проводите «учебные тревоги».
Раз в квартал рассылайте тестовые фишинговые письма. Кто клюнул — проходит повторный инструктаж.
🎯Фишинг теперь — не просто массовый спам, а продуманная охота.
👉Подробнее о том, как защитить компанию, читайте в статье.
👍13⚡5👌2
Мы усиливаем безопасность корпоративного мессенджера и ВКС⚡️
По нашим данным, жертвами мошенников становились 34% компаний. При этом 56%(!) продолжают обсуждать бизнес в публичных мессенджерах.
Альтернатива небезопасным публичным площадкам — корпоративный мессенджер. И мы рады представить масштабное обновление наших решений.
Что мы улучшили👇
🔹Сквозное шифрование (E2EE) и SSL-сертификат с шифрованием RSA данных. Это позволяет обеспечить доступ к информации только участникам общения.
🔹Биометрия + двухфакторная аутентификация. Чтобы зайти в мессенджер с компьютера, нужно подтвердить вход через мобильное приложение. В мобильной версии — вход по отпечатку пальца или Face ID.
🔹Автоудаление сообщений. Настраивайте таймер: час, день, неделя или месяц — и чат сам «стирает» конфиденциальные данные. Идеально для обсуждения финансов, персональных данных или временных проектов.
🔹Защита от скриншотов (мобильные приложения). Теперь нельзя сделать скриншот чата — система его заблокирует.
🔹QuantumConnect для видеозвонков. Новая технология для улучшения качества связи и безопасности конференций на базе Javanoscript Web Token.
Безопасность — это не сложно! Используйте возможности обновления и берегите ваши данные.
Бухгалтер получает в WhatsApp сообщение: «Срочно! Переведите деньги на новые реквизиты» — и 500 000 рублей уходят мошенникам. Или менеджер по продажам кликает на ссылку в Telegram — и через час хакеры получают доступ к CRM.
По нашим данным, жертвами мошенников становились 34% компаний. При этом 56%(!) продолжают обсуждать бизнес в публичных мессенджерах.
Альтернатива небезопасным публичным площадкам — корпоративный мессенджер. И мы рады представить масштабное обновление наших решений.
Что мы улучшили👇
🔹Сквозное шифрование (E2EE) и SSL-сертификат с шифрованием RSA данных. Это позволяет обеспечить доступ к информации только участникам общения.
🔹Биометрия + двухфакторная аутентификация. Чтобы зайти в мессенджер с компьютера, нужно подтвердить вход через мобильное приложение. В мобильной версии — вход по отпечатку пальца или Face ID.
🔹Автоудаление сообщений. Настраивайте таймер: час, день, неделя или месяц — и чат сам «стирает» конфиденциальные данные. Идеально для обсуждения финансов, персональных данных или временных проектов.
🔹Защита от скриншотов (мобильные приложения). Теперь нельзя сделать скриншот чата — система его заблокирует.
🔹QuantumConnect для видеозвонков. Новая технология для улучшения качества связи и безопасности конференций на базе Javanoscript Web Token.
Безопасность — это не сложно! Используйте возможности обновления и берегите ваши данные.
👍13🔥11❤6👏3😱2
Как работать удалённо и не стать причиной утечки данных? 💻🔒
Почему это так важно?🤔 Хакеры просто обожают удалёнку:
— Сотрудники работают из дома, где нет защиты, как в офисе.
— Используют личные устройства, на которых нет нужных настроек безопасности.
— Могут случайно кликнуть по фишинговой ссылке, переслать документ не в тот чат или сохранить на свой облачный диск.
Всё это может привести к утечке важной информации, штрафам и даже блокировке работы компании. Вот главные угрозы и как от них защититься👇
1. Фишинг (обманные письма) ✉️
Пример: приходит письмо от «службы безопасности» с просьбой СРОЧНО сменить пароль. На самом деле — это подделка.
Что делать:
— Не переходите по ссылкам в письмах от незнакомцев.
— Внимательно проверяйте адрес отправителя (часто он похож на настоящий, но с ошибкой).
— Сомневаетесь? Спросите у коллег из ИТ или ИБ.
2. Работа с личных устройств🧑💻
Пример: вы зашли в рабочую почту с домашнего ноутбука, на котором ребёнок установил «лёгкий» чит-клиент с вирусом для какой-нибудь игры.
Что делать:
— Работайте только с корпоративных ноутбуков или устройств с настройками от компании.
— Обновляйте операционную систему и антивирус.
— Не устанавливайте подозрительные и «левые» программы.
3. Общественный Wi-Fi в кафе или отелях ☕️
Пример: вы подключились к бесплатному Wi-Fi в торговом центре, чтобы проверить почту. В этот момент злоумышленник перехватил ваши данные.
Что делать:
— Используйте VPN. Это как защищённый туннель в интернете.
— Избегайте открытых сетей. Надежнее раздать интернет с мобильного телефона.
4. Мессенджеры и облачные хранилища ☁️
Пример: вы отправили файл с внутренней документацией себе в Telegram «чтобы не забыть», а потом ваш аккаунт взломали.
Что делать:
— Не пересылайте рабочие файлы в личные мессенджеры и чаты.
— Храните все документы только в разрешённых системах (например, корпоративное облако).
5. Видеоконференции 📹
Пример: на онлайн-встрече с клиентом вы обсуждали внутреннюю стратегию, а к звонку незаметно подключился посторонний.
Что делать:
— Всегда проверяйте список участников перед началом конференции.
— Не обсуждайте секретные темы в открытых или подозрительных каналах.
— Созванивайтесь на корпоративном портале, например, в Битрикс24.
Случайно кликнули на подозрительное письмо? Потеряли ноутбук? Отправили не тот файл? Сразу сообщите в ИТ или отдел информационной безопасности.
👉Сохраняйте этот чек-лист и делитесь с коллегами
Привет, меня зовут Роман Стрельников, я руководитель информационной безопасности Битрикс24. Многие компании работают удаленно, особенно в летний период. Кто-то работает из дома, кто-то — из кафе или на ходу. Это удобно. Но есть один нюанс: при работе вне офиса риски для информационной безопасности выше. И наша с вами задача — защитить данные компании и клиентов. Ниже расскажу основные правила👇
Почему это так важно?🤔 Хакеры просто обожают удалёнку:
— Сотрудники работают из дома, где нет защиты, как в офисе.
— Используют личные устройства, на которых нет нужных настроек безопасности.
— Могут случайно кликнуть по фишинговой ссылке, переслать документ не в тот чат или сохранить на свой облачный диск.
Всё это может привести к утечке важной информации, штрафам и даже блокировке работы компании. Вот главные угрозы и как от них защититься👇
1. Фишинг (обманные письма) ✉️
Пример: приходит письмо от «службы безопасности» с просьбой СРОЧНО сменить пароль. На самом деле — это подделка.
Что делать:
— Не переходите по ссылкам в письмах от незнакомцев.
— Внимательно проверяйте адрес отправителя (часто он похож на настоящий, но с ошибкой).
— Сомневаетесь? Спросите у коллег из ИТ или ИБ.
2. Работа с личных устройств🧑💻
Пример: вы зашли в рабочую почту с домашнего ноутбука, на котором ребёнок установил «лёгкий» чит-клиент с вирусом для какой-нибудь игры.
Что делать:
— Работайте только с корпоративных ноутбуков или устройств с настройками от компании.
— Обновляйте операционную систему и антивирус.
— Не устанавливайте подозрительные и «левые» программы.
3. Общественный Wi-Fi в кафе или отелях ☕️
Пример: вы подключились к бесплатному Wi-Fi в торговом центре, чтобы проверить почту. В этот момент злоумышленник перехватил ваши данные.
Что делать:
— Используйте VPN. Это как защищённый туннель в интернете.
— Избегайте открытых сетей. Надежнее раздать интернет с мобильного телефона.
4. Мессенджеры и облачные хранилища ☁️
Пример: вы отправили файл с внутренней документацией себе в Telegram «чтобы не забыть», а потом ваш аккаунт взломали.
Что делать:
— Не пересылайте рабочие файлы в личные мессенджеры и чаты.
— Храните все документы только в разрешённых системах (например, корпоративное облако).
5. Видеоконференции 📹
Пример: на онлайн-встрече с клиентом вы обсуждали внутреннюю стратегию, а к звонку незаметно подключился посторонний.
Что делать:
— Всегда проверяйте список участников перед началом конференции.
— Не обсуждайте секретные темы в открытых или подозрительных каналах.
— Созванивайтесь на корпоративном портале, например, в Битрикс24.
Случайно кликнули на подозрительное письмо? Потеряли ноутбук? Отправили не тот файл? Сразу сообщите в ИТ или отдел информационной безопасности.
👉Сохраняйте этот чек-лист и делитесь с коллегами
👍10👌4❤2🔥1
🤖ИИ атакует, ИИ защищает: как использовать нейросети в ИБ
ИИ становится полноценным игроком в области защиты безопасности — причем сразу в двух командах, атакующей и защищающейся. Разбираемся, на что способны технологии — и какие преимущества это дает специалистам по ИБ 👇
ИИ в руках хакеров — опасное оружие, главное преимущество которого — скорость:
🔹Взлом паролей в 50 раз быстрее — ИИ анализирует утечки, строит вероятностные модели и понимает, какие комбинации более характерны для конкретного человека.
🔹Вирусы-невидимки — технология пишет вредоносные коды, которые меняются при каждом запуске
🔹Автоматизация фишинга.
Хорошая новость в том, что это направление активно развивается — кое-что ИИ может сделать для защиты вашей компании уже сегодня:
🔹Анализ поведения пользователей и сигнал об аномалиях.
🔹Предсказание атак — ИИ видит цепочки угроз еще до взлома.
🔹Блокировка угроз — правда, не без ошибок.
👉 Подробнее об ИИ в ИБ и о нашем опыте рассказываем в статье.
— Внимание, аномальная активность! — замигал экран.
— Это же просто обновление, — махнул рукой админ. А через 10 минут всему отделу продаж пришлось лихорадочно менять пароли.
ИИ становится полноценным игроком в области защиты безопасности — причем сразу в двух командах, атакующей и защищающейся. Разбираемся, на что способны технологии — и какие преимущества это дает специалистам по ИБ 👇
ИИ в руках хакеров — опасное оружие, главное преимущество которого — скорость:
🔹Взлом паролей в 50 раз быстрее — ИИ анализирует утечки, строит вероятностные модели и понимает, какие комбинации более характерны для конкретного человека.
🔹Вирусы-невидимки — технология пишет вредоносные коды, которые меняются при каждом запуске
🔹Автоматизация фишинга.
У человека нет скорости, которую хакерам дает ИИ — если на защите компании не стоит аналогичная технология, скорее всего, атака неизбежна.
Хорошая новость в том, что это направление активно развивается — кое-что ИИ может сделать для защиты вашей компании уже сегодня:
🔹Анализ поведения пользователей и сигнал об аномалиях.
🔹Предсказание атак — ИИ видит цепочки угроз еще до взлома.
🔹Блокировка угроз — правда, не без ошибок.
ИИ — это не «волшебная кнопка», а инструмент, эффективность которого зависит от качества данных и постоянного переобучения. Не стоит пытаться все переложить на нейросеть, важнее научиться использовать ее быстрее, глубже и умнее, чем противник.
👉 Подробнее об ИИ в ИБ и о нашем опыте рассказываем в статье.
👍6⚡2🔥2🤔1
❗️В ходе реализации программы Standoff365 Bug Bounty, которая помогает 1С-Битрикс создавать безопасные решения, мы устранили 5 уязвимостей.
👉 Настоятельно рекомендуем в кратчайшие сроки обновиться до версии 25.100.400.
👉 Настоятельно рекомендуем в кратчайшие сроки обновиться до версии 25.100.400.
👍13🔥5⚡3
Мы получили официальное извещение от ФСТЭК РФ ⚡
Что это значит для вас?
Сертификат ФСТЭК открывает новые возможности для использования наших продуктов в различных критически важных сферах. В частности, это подтверждает, что наши решения могут быть применены в следующих областях:
👍 Значимые объекты критической информационной инфраструктуры первой категории.
👍 Государственные информационные системы первого класса.
👍 Автоматизированные системы управления производственными технологиями первого класса.
👍 ИСПДн первого уровня защиты.
👍 Для защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну.
Продукты версии 25.100.300, поддерживающие PostgreSQL Pro, успешно подтвердили выполнение требований безопасности ФСТЭК. И соответствуют четвертому уровню доверия.
Что это значит для вас?
Сертификат ФСТЭК открывает новые возможности для использования наших продуктов в различных критически важных сферах. В частности, это подтверждает, что наши решения могут быть применены в следующих областях:
Эта сертификация является важным шагом в укреплении доверия к нашим продуктам и подтверждает их соответствие самым высоким стандартам безопасности. Мы уверены, что это достижение откроет новые горизонты для наших клиентов и партнеров, обеспечивая им уверенность в использовании наших решений.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥34👍17❤🔥5⚡2🤔2
Эксперты «1С-Битрикс» предупреждают: бизнес сталкивается с волной атак через подстановку паролей⚡️
Летом 2025 года участились атаки на корпоративные аккаунты в различных системах с использованием уже скомпрометированных пар «логин-пароль».
Основная цель атак — получить доступ к внутренним системам и данным компании, не взламывая ничего напрямую, а просто подставляя данные для входа из ранее утёкших баз.
Как это работает?
Такие атаки не требуют взлома сервера, хитрых вирусов или социальной инженерии - они работают за счёт человеческой ошибки. Миллионы логинов и паролей из старых утечек доступны в интернете.
Злоумышленники просто автоматизируют процесс: «подставляют» эти пары, пытаясь войти в ваш корпоративный аккаунт. Если пароль повторяется и двухфакторка отключена — они получают доступ.
Как защититься
👍 Включите двухфакторную аутентификацию (2FA) — даже если пароль утёк, вход без второго фактора станет невозможен.
👍 Проверяйте ваши аккаунты по базе утечек — существуют сервисы, которые позволяют проверить, не был ли ваш email скомпрометирован.
👍 Используйте разные пароли для каждого сервиса. Никогда не повторяйте рабочий пароль в личных аккаунтах.
👍 Регулярно обновляйте программное обеспечение.
👍 Регулярно проверяйте список авторизованных устройств и отключайте лишние.
❗️И главное: обучайте сотрудников.
Многие атаки успешны не потому, что произошел взлом, а потому что кто-то когда-то ввёл один и тот же пароль в пять разных мест.
Летом 2025 года участились атаки на корпоративные аккаунты в различных системах с использованием уже скомпрометированных пар «логин-пароль».
Уязвимы те сотрудники, которые:
— Используют один и тот же пароль в разных сервисах;
— Используют пароли, которые уже фигурировали в базах утечек других сайтов;
— Не применяют двухфакторную аутентификацию (2FA).
Основная цель атак — получить доступ к внутренним системам и данным компании, не взламывая ничего напрямую, а просто подставляя данные для входа из ранее утёкших баз.
Как это работает?
Такие атаки не требуют взлома сервера, хитрых вирусов или социальной инженерии - они работают за счёт человеческой ошибки. Миллионы логинов и паролей из старых утечек доступны в интернете.
Злоумышленники просто автоматизируют процесс: «подставляют» эти пары, пытаясь войти в ваш корпоративный аккаунт. Если пароль повторяется и двухфакторка отключена — они получают доступ.
Как защититься
❗️И главное: обучайте сотрудников.
Многие атаки успешны не потому, что произошел взлом, а потому что кто-то когда-то ввёл один и тот же пароль в пять разных мест.
Рассылайте короткие и понятные напоминания. Внедряйте привычку думать, прежде чем задать пароль.
Please open Telegram to view this post
VIEW IN TELEGRAM
👍8🔥5❤🔥4⚡2❤1
Что должна делать компания для безопасности работы удаленных сотрудников?
В посте выше мы рассказывали, на что обратить внимание сотрудникам.
Сегодня рассказываем, какие шаги должна предпринять компания 👇
👍 Установить антивирус и шифрование на корпоративных устройствах.
👍 Настроить VPN, двухфакторную аутентификацию при подключении и систему обнаружения угроз.
👍 Провести внутренние тренинги и тестирования.
Несколько простых правил, которые можно отправить команде прямо сейчас:
— Используйте корпоративные устройства и приложения
— Подключайтесь через VPN с 2FA
— Проверяйте письма на фишинг
— Храните файлы в защищенных системах компании
Не делаем/избегаем:
— Работы с личного ПК без защиты
— Открытых сетей Wi-Fi
— Переходов по подозрительным ссылкам
— Отправки документов в личные чаты
Что делать, если что-то пошло не так:
👍 Сразу сообщить в отдел информационной безопасности. Раннее предупреждение помогает быстро предотвратить проблемы.
👉Сохраняйте этот чек-лист и делитесь с коллегами.
В посте выше мы рассказывали, на что обратить внимание сотрудникам.
Сегодня рассказываем, какие шаги должна предпринять компания 👇
Важно помнить, что вы можете выстроить самую надёжную систему, но, если кто-то из ваших сотрудников случайно отправит пароль в Telegram или откроет вредоносное письмо — всё рушится.
Несколько простых правил, которые можно отправить команде прямо сейчас:
— Используйте корпоративные устройства и приложения
— Подключайтесь через VPN с 2FA
— Проверяйте письма на фишинг
— Храните файлы в защищенных системах компании
Не делаем/избегаем:
— Работы с личного ПК без защиты
— Открытых сетей Wi-Fi
— Переходов по подозрительным ссылкам
— Отправки документов в личные чаты
Что делать, если что-то пошло не так:
Случайно кликнули на подозрительное письмо? Потеряли ноутбук? Отправили не тот файл?
👉Сохраняйте этот чек-лист и делитесь с коллегами.
Please open Telegram to view this post
VIEW IN TELEGRAM
👍8🔥3⚡2
This media is not supported in your browser
VIEW IN TELEGRAM
👍6🔥4❤3😱1
Миграция, которая нужна каждому бизнесу: переход из публичного мессенджера в корпоративный ✅
Напомним, почему это важно:
А в этом посте раскрывали тему безопасности в Битрикс24 Мессенджере 👍
Напомним, почему это важно:
📌Возможность интеграции с системами защиты и мониторинга (DLP, SIEM)
📌Контроль за вложениями, автоудаление сообщений по расписанию
📌Контроль сессий — снижает риски перехвата сеанса злоумышленником
📌Двухфакторная аутентификация — помогает усилить безопасность коммуникаций
📌Криптографическая защита — шифрование данных при передаче и хранении
А в этом посте раскрывали тему безопасности в Битрикс24 Мессенджере 👍
👍7❤5🔥2😱1
Как защитить данные в мобильном приложении? 🧐
👍 В мобильном приложении Битрикс24 можно запретить сотрудникам делать снимки и запись экрана, а также копировать текст. Это поможет защитить конфиденциальную информацию от утечки.
Как работает защита информации?
— Запрет на скриншоты. При попытке сделать снимок или запись экрана, сотрудники увидят сообщение о запрете. Снимок или видео не сохранятся.
— Запрет на копирование текста. Сотрудники смогут пересылать друг другу сообщения внутри приложения, но не смогут копировать и отправлять текст за пределы Битрикс24.
🔛 Включить запрет может администратор Битрикс24.
👉Подробнее
Запрет можно включить для конкретных сотрудников или всего отдела. Например, для тех, кто работает с персональными данными, коммерческой тайной или другими важными документами.
Как работает защита информации?
— Запрет на скриншоты. При попытке сделать снимок или запись экрана, сотрудники увидят сообщение о запрете. Снимок или видео не сохранятся.
— Запрет на копирование текста. Сотрудники смогут пересылать друг другу сообщения внутри приложения, но не смогут копировать и отправлять текст за пределы Битрикс24.
🔛 Включить запрет может администратор Битрикс24.
Перейдите в Настройки Битрикс24 > Безопасность > Защита информации от утечки.
👉Подробнее
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍10❤5⚡4🔥4🤔2
Forwarded from Битрикс24 Беларусь
Это официальное подтверждение, что наши решения соответствуют требованиям законодательства Республики Беларусь, а также высоким стандартам информационной безопасности и защиты персональных данных! Подробнее
Надежность: Ваши данные защищены на уровне, подтвержденном государственным аккредитованным органом.
Соответствие законодательству: продукты Битрикс24 отвечают требованиям технического регламента ТР 2013/027/BY и стандартам СТБ в области информационной безопасности и защиты персональных данных.
🛡️ Сертификация — это знак качества, который подтверждает, что вы можете безопасно работать с данными в наших продуктах.
Летим дальше!
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥13👍5⚡3❤3
Битрикс24 добавил настройки безопасности для защиты корпоративной информации 🔥
В настройках в разделе «Безопасность» появился новый блок «Защита информации от утечек», который включает в себя запрет на создание скриншотов и копирование текста в мобильном приложении.
Администратор может настроить ограничения для отдельных сотрудников, отделов или всей компании. Система будет автоматически блокировать запрещенные действия и выводить предупреждение.
👉Подробнее
В настройках в разделе «Безопасность» появился новый блок «Защита информации от утечек», который включает в себя запрет на создание скриншотов и копирование текста в мобильном приложении.
Администратор может настроить ограничения для отдельных сотрудников, отделов или всей компании. Система будет автоматически блокировать запрещенные действия и выводить предупреждение.
👉Подробнее
🔥19⚡5👌5👍2
Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» информирует
❗️Зафиксирована уязвимость в стороннем модуле "Система бонусов. Программы лояльности", разработчика АКРИТ.
Уязвимость уже устранена компанией-разработчиком, необходимо в кратчайшие сроки установить актуальную версию.
Благодарим коллег из СайберОК, которые обнаружили уязвимость.
❗️Зафиксирована уязвимость в стороннем модуле "Система бонусов. Программы лояльности", разработчика АКРИТ.
Уязвимость уже устранена компанией-разработчиком, необходимо в кратчайшие сроки установить актуальную версию.
Благодарим коллег из СайберОК, которые обнаружили уязвимость.
Всем настоятельно рекомендуем своевременно обновлять все системные компоненты из окружения 1С-Битрикс: сторонние модули, ОС, веб-серверы, СУБД, сетевое оборудование.
🔥10👍6👌6⚡2
Как мы подходим к работе с пентестерами? 🔛
Сегодня поговорим про offensive security. Вокруг темы много споров — стоит ли контролировать подрядчиков, что выбрать — пентест или баг баунти, как определить квалификацию команды хакеров.
👉 Расскажем про наш подход к «наступательной безопасности» и дадим советы о том, как получить максимум выгоды из работы с «этичными хакерами».
Почему мы выбрали Black Box для проверки облачной инфраструктуры Битрикс24?
📍Как уже говорилось выше, black box пентест максимально приближен к реальным атакам — тестирование проводится так же, как действовал бы настоящий злоумышленник. Но для нас было важно оценить еще несколько моментов.
👍 Облака чаще всего атакуют именно извне, а Black Box фокусируется на внешних уязвимостях. Такой подход помогает найти дыры в безопасности, которые могут использовать хакеры, даже если у них нет доступа к внутренним системам.
👍 Этот метод позволяет оценить, насколько легко злоумышленник может добыть конфиденциальные данные, используя только открытые источники.
Как выбрать исполнителя?
👉 Подробнее читайте в материале
Сегодня поговорим про offensive security. Вокруг темы много споров — стоит ли контролировать подрядчиков, что выбрать — пентест или баг баунти, как определить квалификацию команды хакеров.
👉 Расскажем про наш подход к «наступательной безопасности» и дадим советы о том, как получить максимум выгоды из работы с «этичными хакерами».
Почему мы выбрали Black Box для проверки облачной инфраструктуры Битрикс24?
Для нас проверки на уязвимость — это не формальность, а жизненная необходимость. Мы постоянно играем в «белых хакеров». Не ждем проблем, а сами ищем дыры в безопасности, пока это не сделал кто‑то другой. Это касается всего. Мы постоянно пробуем взломать наши сайты, API и сервера — именно так, как это делают настоящие злоумышленники.
Тестируем инфраструктуру изнутри. Особенно тщательно проверяем настройки сервисов в инфраструктуре. Часто проблемы возникают не из‑за багов, а потому что что‑то случайно оставили открытым, оставили конфигурацию не крайней версии. Мы смотрим: а туда ли ушли пароли? Тот ли доступ у этого сервиса? Нельзя ли из одного артефакта сделать другой?
Проверяем, что будет, если кто‑то уже внутри? Мы моделируем ситуацию, будто злоумышленник уже проник в систему. Сможет ли он там безнаказанно перемещаться? Это помогает выстроить внутреннюю защиту.
📍Как уже говорилось выше, black box пентест максимально приближен к реальным атакам — тестирование проводится так же, как действовал бы настоящий злоумышленник. Но для нас было важно оценить еще несколько моментов.
Как выбрать исполнителя?
👉 Подробнее читайте в материале
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥5👍4❤3⚡3
Почему киберпреступники взялись за МСБ — и как противостоять угрозам?
Всего несколько лет назад целевые кибератаки ассоциировались с крупными корпорациями и государственными структурами. Но сегодня ситуация кардинально изменилась: внимание киберпреступников сместилось на наиболее уязвимый сегмент — малый и средний бизнес.
К счастью, чтобы повысить безопасность, не нужны миллионные бюджеты. Начните с простых шагов 👇
🔹Используйте правило «четырех глаз» для финансов. Не проводите платежи по одной лишь электронной команде — добавьте устное подтверждение по телефону или через защищенный корпоративный чат.
🔹Включите двухфакторную аутентификацию. Это главный щит от взлома аккаунтов.
🔹Проведите 15-минутный ликбез для команды. Покажите сотрудникам свежие примеры мошеннических сообщений из вашей отрасли. Объясните, что любая срочная просьба о переводе денег — это красный флаг.
🔹Обратите внимание на партнеров. Атаки через цепочку поставок — новый тренд, поэтому безопасность партнеров — это тоже ваша забота.
Кибербезопасность для малого бизнеса — это не только про технологии, но и про выстроенные процессы и привычки.
👉 Подробнее о мерах защиты рассказываем в статье.
Всего несколько лет назад целевые кибератаки ассоциировались с крупными корпорациями и государственными структурами. Но сегодня ситуация кардинально изменилась: внимание киберпреступников сместилось на наиболее уязвимый сегмент — малый и средний бизнес.
По статистике, с хакерскими атаками сталкивается каждая третья компания МСБ. Неудивительно: объемы выручки в сегменте исчисляются триллионами, а вот уровень защиты оставляет желать лучшего.
К счастью, чтобы повысить безопасность, не нужны миллионные бюджеты. Начните с простых шагов 👇
🔹Используйте правило «четырех глаз» для финансов. Не проводите платежи по одной лишь электронной команде — добавьте устное подтверждение по телефону или через защищенный корпоративный чат.
🔹Включите двухфакторную аутентификацию. Это главный щит от взлома аккаунтов.
🔹Проведите 15-минутный ликбез для команды. Покажите сотрудникам свежие примеры мошеннических сообщений из вашей отрасли. Объясните, что любая срочная просьба о переводе денег — это красный флаг.
🔹Обратите внимание на партнеров. Атаки через цепочку поставок — новый тренд, поэтому безопасность партнеров — это тоже ваша забота.
Кибербезопасность для малого бизнеса — это не только про технологии, но и про выстроенные процессы и привычки.
👉 Подробнее о мерах защиты рассказываем в статье.
👍9🔥4⚡2❤2