Шифруем поздравления, защищаем данные — канал Kept Cyber отмечает 2 года и Международный день защиты информации!

Спасибо, что следите за нашими новостями, исследованиями и аналитикой, ставите реакции, оставляете комментарии и помогаете нам расти и развиваться.

Вас уже 1100+ человек — это:
🔸 почти вдвое больше населения Ватикана;
🔸 6,5 вагонов метро в час-пик;
🔸 больше, чем помещается в самый большой в мире Airbus A380!

Мы будем продолжать делиться экспертными знаниями и эксклюзивной информацией и вместе с вами строить надежное и безопасное киберпространство.

CISO & DPO news #102 (20–27 ноября 2025 года)

▫️ Эксперты зафиксировали новую волну атаки хакера VasyGrek
Аналитики компании F6 обнаружили новую волну атак хакера под ником VasyGrek aka Fluffy Wolf. Злоумышленник действует как минимум с 2016 года, его цель — конфиденциальные данные российских компаний. В этот раз под прицел хакера попали организации, работающие в промышленности, строительстве, энергетике и других отраслях. Для атак VasyGrek использует массовые фишинговые рассылки с использованием загрузчика вредоносного ПО PureCrypter.

▫️ Вирус Shai Hulud скомпрометировал 25 тысяч NPM-репозиториев
Червь Shai Hulud (назван в честь существ из серии книг «Дюна» Фрэнка Герберта) проник в менеджер пакетов NPM для платформы Node.js и за несколько дней атаковал 25 тыс. разработчиков. Вредоносные пакеты попали туда на этапе preinstall. Shai Hulud крадет из репозиториев данные, которые затем публикует на GitHub. Это уже не первая атака саморазмножающегося вируса, предыдущую зафиксировали в сентябре.

▫️ Positive Technologies рассказали о фишинговой деятельности хакеров NetMedved
Хакеры атакуют российские организации, используя вредоносную версию инструмента для удаленного администрирования NetSupport Manager. Киберэксперты зафиксировали первые фишинговые рассылки группировки осенью 2024 года. Жертвам рассылали архивы с документами, похожими на реальные, где находился и вредоносный LNK-файл. Алгоритм последующих атак оставался похожим, но был усовершенствован.

▫️ «Информзащита»: доля страховщиков в утечках данных достигла максимума за три года
С января по октябрь 2025 года доля страховых компаний среди утечек в финансовом секторе превысила 20% — это максимальный показатель с 2022 года. У банков и кредитных организаций показатель снизился на 5–8 п.п. Так как банки усилили защиту от взлома, хакеры переключились на страховые компании, у которых защита пока слабее, объясняют эксперты.

▫️ NS Digital показала испытательный стенд для КИИ, собранный на отечественных решениях
Компания использовала российское серверное и сетевое оборудование, ПО для виртуализации Z-Virt, программно-аппаратный комплекс AstraRegul. На стенде развернули модель гибридной IT-инфраструктуры, а также запустили цифрового двойника инфраструктуры АСУ ТП завода. NS Digital также провела несколько успешных испытаний, которые подтвердили «функциональную работоспособность решений».

▫️ В РФ заработает центр по противодействию кибератакам на транспорт
Минпромторг запустит работу центра в пилотном режиме на базе отраслевого центра «Гамма», научного центра «НАМИ» и «Глонасс». В планах: выявить уязвимости в автомобильном софте, протестировать возможности удаленного взлома транспорта, проработать варианты защиты от атак. Пилот продлится девять месяцев. По итогу составят дорожную карту по обеспечению информационной безопасности пассажирского и грузового транспорта.

▫️ Росархив перечислил угрозы для своих систем обработки персональных данных
В список попали: угрозы воздействия вредоносного кода или программы, психологическое воздействие на сотрудников с правами доступа к информационным системам и правами администратора, несанкционированный доступ пользователей к системам, хакерские атаки на этапе внедрения и применения криптографических инструментов.

Juice jacking – это вид кибератаки, при котором злоумышленник под видом зарядки устройства заражает систему. Такие атаки возможны из-за того, что USB-порты передают не только питание, но и данные.

При подключении устройства к зараженной USB-станции злоумышленник может:
▫️ установить вредоносное ПО: загрузить на устройство программы, которые собирают личные данные, отслеживают действия пользователя или предоставляют удаленный доступ к устройству;
▫️ скопировать данные: незаметно перенести с устройства конфиденциальную информацию, такую как пароли, контакты или финансовые данные.

Портативные зарядные устройства и общественные зарядные станции в метро, аэропортах, отелях и других общественных местах могут быть скомпрометированы злоумышленниками. Подключение к таким станциям может привести к несанкционированному доступу к вашим данным или установке вредоносного ПО.

Как защитить себя от juice jacking?
1️⃣ Используйте собственные зарядные устройства. Подключайте устройство напрямую к розетке с помощью собственного адаптера питания.
2️⃣ Избегайте использования общественных USB-портов. Старайтесь не использовать неизвестные или общественные USB-порты для зарядки.
3️⃣ Используйте USB-адаптеры с блокировкой данных. Эти устройства позволяют только заряжать устройство, предотвращая кражу данных и несанкционированный доступ.
4️⃣ Будьте внимательнее к запросам на доверие. Если вы не уверены в безопасности зарядного устройства, то при подключении к нему необходимо отменить запрос на «доверие к этому устройству».

#Викторины

Вопрос:
Как правильно организовать авторизацию на сайте для пользователей российского сегмента Интернета?

Ответ:
Для веб-сайтов, таргетированных на российскую аудиторию, предусмотрены особые требования к формату авторизации, установленные частью 10 статьи 8 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

Кого это касается?
Владельцев сайтов, приложений или программ, если одновременно выполняются три условия:
— владелец – юридическое лицо, зарегистрированное в РФ, или гражданин России;
— платформа работает на территории России;
— контент или услуги доступны только пользователям, прошедшим авторизацию.

Требование закона направлено на то, чтобы процесс идентификации пользователей оставался под юрисдикцией РФ и контролировался российскими сервисами.

Что это значит на практике?
Авторизацию для пользователей в России можно проводить только через:
— номер российского мобильного телефона (с регионом страны +7);
— единую систему идентификации и аутентификации (ЕСИА);
— единую биометрическую систему (ЕБС);
— другие российские системы, соответствующие требованиям закона. Их владельцем тоже должно быть российское юрлицо или гражданин РФ без иного гражданства.

❌ Запрещено использовать для входа иностранные сервисы (например, Google, Facebook, Apple ID или другие иностранные аккаунты).

На данный момент прямая ответственность за нарушение данного требования отсутствует, но Проектом федерального закона «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» № 1069392-8 предлагается установить административную ответственность, в виде штрафа:
— на граждан – от 10 тысяч до 20 тысяч рублей;
— на должностных лиц – от 30 тысяч до 50 тысяч рублей;
— на юридических лиц – от 500 тысяч до 700 тысяч рублей.

#KeptОтвечает

CISO & DPO news #103 (27 ноября – 4 декабря 2025 года)

▫️ Google Cloud выпустил прогноз кибербезопасности на 2026 год
Главные выводы: в следующем году ИИ станет полноценным элементом кибератак на всех этапах; различные виды вымогательства останутся главной угрозой с точки зрения урона, в том числе финансового; злоумышленники будут активнее использовать возможности блокчейна; участятся атаки на корпоративные системы виртуализации; использование ИИ-агентов создаст новые угрозы утечек данных.

▫️ Хакер украл личные данные клиентов крупнейшего авиаперевозчика Испании
Iberia Airlines уведомила об утечке данных из-за взлома стороннего сервиса. По данным компании, хакер получил доступ к именам и электронной почте клиентов, а также ID-номерам в программе лояльности и предлагал продать 77 Гб информации за 150 тыс. долларов. Сам взломщик утверждает, что также получил доступ к технической документации самолетов, которыми летает Iberia.

▫️ Южнокорейская e-commerce платформа сообщила об утечке данных 34 млн клиентов
Вероятно, хакеры взломали Coupang еще в июне 2025 года, но обнаружить это удалось только в середине ноября. Злоумышленники получили доступ к информации об электронной почте клиентов, адресам доставки и номерам телефонов. СМИ писали, что за инцидентом мог стоять бывший сотрудник компании. Утечка коснулась более половины населения Южной Кореи, которое составляет около 52 млн человек.

▫️ «Почту России» оштрафовали на 150 тыс. рублей за утечку информации
Поводом стал массив данных из 26 млн строк, который обнаружили в открытом доступе в конце прошлого года. Сам оператор назвал причиной утечки некорректный доступ к данным со стороны одного из сотрудников.

▫️ В Госдуме поддержали ужесточение защиты персональных данных при трансграничной передаче
Профильный комитет ГД рекомендовал принять соответствующий законопроект. Документ предлагает ужесточить критерии надежности защиты персональных данных россиян иностранными государствами. Сейчас безопасной считается передача данных в страны, где ратифицирована профильная конвенция Совета Европы. Новый законопроект предлагает считать «безопасными» страны, которые не просто ратифицировали документ, но используют соответствующую политику обработки данных.

▫️ К атаке готов: F6 изучили новый гибрид NFCGate и RatOn
Образец предназначен для атак в Чехии, но может работать и с приложениями на русском языке, включая банки и криптокошельки. ВПО работает в три этапа: маскируется под приложение TikTok; после установки под видом обновления устанавливает троян удаленного доступа RAT; троян устанавливает еще один файл — NFCGate. C помощью вредоноса можно красть и подменять данные, перехватывать управление смартфоном, отправлять смс и т. д. В F6 считают, что RatOn в ближайшее время атакует пользователей в России.

▫️ Число мошенничеств по продаже деликатесов онлайн выросло перед Новым годом
Специалисты F6 обнаружили сеть из нескольких десятков Telegram-каналов, где пользователям предлагают купить икру и морепродукты по низким ценам. Мошенники находят жертв через районные и домовые чаты и рекламу в Telegram. Также они выдают себя за официальных поставщиков и продавцов. В среднем жертва отдает мошеннику около 10 тыс. рублей.

▫️ Власти Индии признали массовые случаи GPS-спуфинга
В восьми крупнейших аэропортах страны, включая Дели, Мумбаи и Бангалор, зафиксированы случаи, когда злоумышленники глушили поддельными спутниковыми сигналами настоящие. Из-за этого пилоты получали неверную информацию о местоположении, высоте и скорости. Власти утверждают, что атаки не повлияли на работу аэропортов, так как они перешли на альтернативные навигационные системы.

LOLBins (Living-Off-the-Land Binaries) – собирательное название стандартных исполняемых файлов и утилит, встроенных в операционные системы и предназначенных для администрирования, диагностики или обслуживания систем. К ним относятся такие инструменты, как PowerShell, cmd, wmic, schtasks, certutil, bitsadmin, mshta, rundll32 и др. С полным списком можно ознакомиться тут.

Изначально эти утилиты созданы для легитимных задач, однако злоумышленники активно используют их в атаках для выполнения зловредного кода, горизонтального перемещения и уклонения от обнаружения.

Применение LOLBins создаёт для злоумышленников значительные преимущества:
1. Маскировка под обычную активность. Действия злоумышленника выглядят как стандартные, повседневные процессы операционной системы, что значительно усложняет выявление атаки.
2. Отсутствие необходимости в дополнительных файлах. Многие атаки могут выполняться без загрузки внешних бинарных файлов, что снижает вероятность срабатывания средств защиты.
3. Возможность обойти контроль приложений. LOLBins – часть ОС, поэтому их сложно заблокировать без рисков нарушения рабочих процессов.

⚡ Для эффективного противодействия LOLBins необходимо выполнить следующие шаги:
1. Определить неиспользуемые административные инструменты и ограничить их запуск.
2. Внедрить поведенческие правила для выявления отклонений в работе стандартных инструментов.
3. Ужесточить политики Powershell и других интерпретаторов.

#Викторины

🏆 Команда Kept Cyber по оказанию услуг в области персональных данных вошла в Рейтинг «Право-300» в категории «Защита персональных данных»! Рады получить очередное профессиональное признание от одного из ведущих рейтингов юридической компаний России ⬇️

Вопрос: Что такое IOC?

Ответ:
IOC (Indicators of Compromise) — это индикаторы компрометации, по которым можно обнаружить вредоносную активность в сети организации и на конечных устройствах.

В рамках Threat Intelligence (TI) IOC является одним из ключевых типов артефактов: ими обмениваются между собой компании, TI-платформы и сообщества, чтобы быстрее выявлять и блокировать уже известные кампании и семейства вредоносных программ.

Что может быть IOC:
🔸 IP-адреса, с которых велась вредоносная активность;
🔸 хэши файлов (MD5, SHA1, SHA256);
🔸 URL или домены, используемые C2-серверами;
🔸 названия и пути вредоносных файлов;
🔸 нестандартные или модифицированные записи в реестре;
🔸 аномальное поведение процессов.

Индикаторы компрометации можно получить из отчётов по инцидентам, телеметрии, логов, результатов анализа вредоносных объектов, а также из внешних источников (TI-фиды, CERT-сообщества).

Процесс работы с IOC

▫️ Сбор. Получите IOC из надёжного источника: внутреннего инцидента, партнёров или внешних TI-фидов.
▫️ Обогащение. Проверьте актуальность и репутацию индикаторов при помощи VirusTotal, AbuseIPDB, Spamhaus, CIRCL, Globalsec и других инструментов.
▫️ Корреляция. Сопоставьте IOC с логами вашей инфраструктуры: EDR, SIEM, сетевые логи, прокси, DNS и т.п.
▫️ Действия. Если совпадения обнаружены — изолируйте хост, проведите расследование, обновите сигнатуры/правила в защитных системах. Если IOC не встречаются в инфраструктуре — можно превентивно заблокировать их или поставить на мониторинг.
▫️ Передача. Делитесь собственными IOC в рамках обмена Threat Intelligence, если политика компании это допускает.

#KeptОтвечает

CISO & DPO news #103 (4–11 декабря 2025 года)

▫️ Хакеры получили доступ к исходному коду смартфонов Asus
В результате взлома одного из поставщиков злоумышленники добрались до части исходного кода алгоритма обработки изображения, который используется в смартфонах Asus. В компании заверили, что взлом не повлиял на продукцию, внутренние системы и безопасность пользователей. По информации СМИ, к атаке причастна хакерская группировка Everest, которая потребовала выкуп за терабайт украденной информации.

▫️ Агентство по кибербезопасности США (CISA) рекомендовало не использовать VPN
В CISA считают, что разработчики таких программ (платных и бесплатных) имеют сомнительные правила безопасности и анонимности своих клиентов, поэтому, используя VPN, пользователи рискуют своей информацией.

▫️ МВД сообщило о задержании мошенников, подозреваемых в краже 200 млн рублей с помощью NFCGate
Сотрудники подразделения по борьбе с преступностью российского МВД задержали предполагаемых участников группы, которая совершила более 600 преступлений в 78 российских регионах. Один из задержанных — разработчик и администратор панели управления NFCGate. С ее помощью преступники удаленно похищали деньги с банковских карт. Мошенники распространяли вредоносное ПО через мессенджеры под видом приложений госорганизаций и банков.

▫️ С начала года в РФ выявили почти тысячу случаев незаконного использования персональных данных
Такую статистику за январь — октябрь 2025 года приводит МВД. Статья УК, которая вводит ответственность за «незаконные использование и передачу, сбор и хранение компьютерной информации, содержащей персональные данные», заработала в конце 2024 года.

▫️ Глава маркетплейса Coupang ушел в отставку после утечки данных 34 млн клиентов
Пак Дэ Чжун взял персональную ответственность за инцидент. Утечка данных пользователей южнокорейской площадки могла затронуть больше половины населения страны.

▫️ Защита приватности на ноутбуках для россиян оказалась важнее защиты устройства от кражи
К такому выводу пришли в компании iRU по итогам опроса. Так, шторку камеры посчитали важной опцией 79% респондентов, а кенсингтонский замок, который физически не дает украсть устройство, — только 5%.

▫️ Хакеры массово публикуют библиотеки Python с зараженным кодом
За 11 месяцев 2025 года число вредоносных пакетов в репозитории PyPI увеличилось на 54%, до 514 штук, сообщили в компании Threat Intelligence. В компании BI.Zone говорят о росте на 150%. Python считается самым популярным языком программирования.

На основе анализа международной практики можно выделить четыре основных критерия, определяющих применимость законодательства в области ПДн к деятельности компании:

▫️ Критерий места учреждения
Компания, официально зарегистрированная (учрежденная) на территории определенной страны или региона, автоматически попадает под действие местного законодательства о защите ПДн. Это правило действует независимо от места нахождения субъектов, чьи ПДн обрабатываются.

▫️ Критерий экстерриториальной применимости
Ряд стран (например Россия, ЕС, Турция, Швейцария) распространяют действие своих законов о ПДн на любые иностранные компании, которые целенаправленно обрабатывают ПДн их граждан, даже не имея там физического присутствия. Основанием часто является таргетирование товаров, услуг, рекламы или мониторинг поведения субъектов на территории этой страны.

▫️ Критерий локализации данных
Законодательство некоторых стран (например России, Казахстана, Китая, Швейцарии) требует обязательного хранения и/или обработки ПДн своих граждан на физических серверах, расположенных внутри страны. При этом в некоторых странах/регионах требование применимо только к компаниям, которые занимаются определенной деятельностью.

Также необходимо обратить внимание на косвенную применимость. Если компания не подпадает напрямую ни под один из вышеуказанных критериев, она все равно может быть обязана соблюдать иностранное законодательство о защите ПДн через договорные обязательства. Это происходит, когда такая компания выступает в роли обработчика или субподрядчика для другой организации, которая сама подпадает под экстерриториальное действие закона.

Понимание применимого законодательства о ПДн необходимо, чтобы определить круг требований, выполнение которых позволит компании избежать правовых рисков и возможных санкций.

#Викторины #Privacy