C августа 2024 года проектом OSS-Fuzz зарегистрировано не менее 750 подтверждённых уязвимостей в open-source-компонентах. Не менее 20 исправлений десятков уязвимостей в них за этот же период внесено Центром исследования безопасности системного ПО, сформированным при участии отечественных экспертов.

Эти цифры объединяет одно: данные уязвимости выявлены видом динамического анализа кода под названием «фаззинг».

Статья Степана Харитонова, руководителя направления безопасной разработки ООО «НПЦ "КСБ"», посвящена фаззингу, его возможностям и применению.

«Коммерсант» пишет, что внедрение обязательной биометрической идентификации ставит под угрозу существование большинства МФО в России

Скоро микрофинансовые и микрокредитные организации будут обязаны верифицировать заёмщиков с помощью биометрии. Первые должны подключиться к Единой биометрической системе до 1 марта следующего года, а вторые — до 1 марта 2027-го. По оценкам экспертов, этот процесс потребует от каждого участника рынка 40-60 млн руб. Гендиректор платформы Webbankir Андрей Пономарёв считает, что подобные вложения по силам только каждой десятой компании.

Помимо этого, сегодня лишь 3-4 млн россиян пользуются биометрическими сервисами; активная клиентская база МФО при этом оценивается в 15 млн человек.

«Если оставить только обязательную идентификацию через ЕБС, мы рискуем потерять до 80% клиентов», — предупредил директор МФК «МигКредит» Александр Пустовит.

Алексей Имховик, глава МФК «Саммит», видит альтернативу биометрии в банковских ID, и сейчас такой вариант готовится к обсуждению между правительством и ЦБ РФ.

«К концу 2027 года из официально зарегистрированных более 800 МФО останется не более 350-400», — спрогнозировал Имховик, пояснив, что остальные будут поглощены или уйдут в узкие ниши.

В начале этого месяца Google официально добавила Россию и Беларусь в список стран с поддержкой AI Mode

Этот режим был представлен в марте и на старте доступен только аккаунтам на платных тарифах из США, Британии и Индии.

Кнопка AI Mode уже появилась у некоторых пользователей в поисковой строке и в списке доступных инструментов под ней — рядом с разделами «Изображения» и «Новости». Активируя функцию, владелец учётной записи открывает чат с нейросетью Gemini 2.5 Pro, где может задавать вопросы «в два раза длиннее, чем в традиционном поиске», а та даст наиболее полный ответ со ссылками на источники, изображениями и видео.

Отдельно уточняется: по умолчанию Google не хранит историю переписки с ИИ-моделью в новом режиме, но её можно включить в настройках.

Источники РБК рассказали, что «Сбер», «Альфа-Банк» и «Т-Банк» работают над новой платёжной системой. По задумке, она не будет конкурировать с «Миром», а сосредоточится на развитии альтернативных методов оплаты

Проект призван повысить комиссионные доходы банкиров и «защититься от перетока прибыли к маркетплейсам». Идею ещё два года назад озвучивал глава «Сбера» Герман Греф, но тогда это не привело к реализации; сейчас же разработке дали «зелёный свет», так как — по словам собеседников журналистов на рынке — игроки финсектора не договорились с Банком России по вопросу универсального QR-кода.

Сейчас всё находится на стадии оформления концепции — позже её представят регулятору, а с началом работы к компаниям-основателям смогут присоединиться другие заинтересованные организации, среди которых уже отметились «Совкомбанк», «Билайн» и Т2.

Пока не решено, будут ли у новой системы свои карты и на какой инфраструктуре её запускать — использовать технологии «Сбера» или независимые «платёжные рельсы», но зато примерно ясен бюджет — «несколько миллиардов рублей».

«Главное отличие второй платёжной системы в том, что "под капотом" будет не НСПК и не "Сбербанк", а отдельная инфраструктура, и в первую очередь эти изменения будут заметны банкам», — пояснил один из источников РБК.

Значительная часть организаций по-прежнему использует ОС Windows 10, несмотря на то, что срок её поддержки заканчивается уже в октябре

Это вызывает серьёзные опасения в отношении кибербезопасности, так как в отсутствие обновлений любые новые уязвимости останутся незакрытыми.

Поставщик услуг удалённого рабочего стола TeamViewer сообщил, что более 40% глобальных конечных точек, недавно получивших поддержку, не спешат обновиться до Windows 11 до истечения крайнего срока.

Эксперты предупреждают, что бездействие компаний приведёт к таким последствиям, как потеря техподдержки Microsoft, повышенная уязвимость к зловредам, крупные расходы на обслуживание и даже отказ в выплате страховых возмещений при ИБ-инцидентах.

«Оставаться с Windows 10 после октября — всё равно что оставить входную дверь распахнутой настежь в неблагополучном районе, — прокомментировал тенденцию технический директор Panaseer Чарака Гунатилаке. — Больше не будет обновлений, патчей, исправлений ошибок. Сезон охоты для злоумышленников будет открыт».

Microsoft же заявила, что разработки в Windows 11 помогут обеспечить клиентам постоянный доступ к новейшим функциям безопасности и инновациям. Для индивидуальных пользователей, которые не могут или не желают переходить на новую ОС к установленному сроку, компания предлагает программу расширенных обновлений безопасности за единовременную плату. Такая поддержка будет действовать с 15 октября 2025 года по 13 октября 2026 года.

В новом отчёте SquareX Labs указано на несколько уязвимостей архитектуры безопасности в браузерах с искусственным интеллектом, включая Comet от Perplexity

По мере внедрения нейросетей для автоматизации пользовательских задач они способны создавать новые формы киберрисков.

ИИ-помощники включают непосредственно в процесс просмотра веб-страниц, что позволяет выполнять поиск, обобщение информации и даже онлайн-действия с помощью подсказок на естественном языке.

Эксперты SquareX полагают, что текущая архитектура браузеров может ещё не учитывать возникающие проблемы безопасности. Так, злоумышленники могут:
- обмануть языковые модели с помощью фишинга или атак на основе OAuth, которые запрашивают избыточные разрешения доступа;
- встроить скрытые инструкции в доверенные приложения: SharePoint или OneDrive;
- направить ИИ-браузеры на загрузку замаскированного вредоноса посредством манипуляции результатами поиска;
- использовать легитимные бизнес-инструменты для отправки несанкционированных команд, взаимодействуя с ИИ.

«АК-ВС 3» представляет собой инструмент, предназначенный для автоматизации процесса проведения испытаний при сертификации в соответствии с требованиями различных регуляторов, а также для выполнения периодических проверок в рамках разработки безопасного программного обеспечения.

В статье Виталий Вареница, заместитель генерального директора АО «НПО "Эшелон"», подробно рассказал о «АК-ВС 3», который объединяет три ключевых метода динамического анализа, что позволяет детально исследовать поведение программы в условиях реального исполнения и обнаруживать как типовые, так и трудноуловимые ошибки.

Реклама. АО «НПО «ЭШЕЛОН», ИНН: 7718676447, Erid: 2VfnxyLFCba

Google запустила новую программу вознаграждений за обнаружение уязвимостей ИИ, которая предлагает базовое вознаграждение до 30 тыс. долларов за обнаруженные в её продуктах ошибки

Целью названы проблемы, в которых взаимодействие с большой языковой моделью или другой системой генеративного ИИ является неотъемлемой частью уязвимости или злоупотребления. Помимо прочего, это мошеннические действия, кража конфиденциальных данных, возможность фишинга и кража самой модели. В сферу охвата войдут флагманские продукты, такие как Google Search, Gemini и Workspace.

AI VRP была разработана на основе отзывов исследователей, участвовавших ранее в программе Abuse VRP. Компания создала единую таблицу вознаграждений за выявление нарушений и проблем безопасности, связанных с нейросетями, и именно ею будет руководствоваться единая комиссия при принятии соответствующих решений. Google призвала заинтересованных лиц использовать встроенные функции искусственного интеллекта для сообщения о погрешностях, связанных с контентом.

«Мы надеемся, что эти новшества помогут нашим уважаемым исследователям сосредоточиться на целях с наибольшим воздействием (и максимальной выгодой!)», — говорится в корпоративном блоге.

Эксперты МТС Web Services провели более 500 «пилотов» по внедрению своей платформы для работы с разными большими языковыми моделями в системы крупнейших российских компаний. Около 30 проектов завершилось успехом

По словам исполнительного директора МТС Web Services, CEO MWS Cloud Игоря Зарубинского, наиболее популярными оказались Open Source LLM из Китая. На втором месте — открытые американские модели, а третье заняли собственные разработки MWS, такие как Cotype.

Если говорить об отраслях, больше всего сервис МТС востребован в ИТ-секторе, ритейле, промышленности и девелопменте. Чуть ниже идут финансы, здравоохранение и сфера рекламы. Компании устанавливают как on-prem-версию, так и облачную — развёрнутую в MWS Cloud.

Часто встречаются проекты по внедрению LLM в различного рода чат-боты, иногда интегрированные с внешними источниками данных, и по подключению MWS GPT к RAG и корпоративным порталам для поиска информации и ответов на вопросы.

Конференция Pro DevSecOps, организованная компанией Swordfish Security в партнерстве с AppSec Solutions, прошла вчера в Москве. В перерывах между сессиями был проведен пресс-брифинг под девизом AI Digital Future, на котором эксперты рассказали об актуальных вопросах, связанных с развитием искусственного интеллекта и новыми вызовами в ИБ-сфере.

О первых результатах совместного исследования Ассоциации ФинТех и Swordfish Security, которое призвано оценить уровень готовности финансового сектора к внедрению практик безопасного искусственного интеллекта, подготовке отечественного фреймворка стандартов безопасности ИИ и других обсуждаемых темах рассказали в статье «Конференция Pro DevSecOps и брифинг AI Digital Future: нейросети подстёгивают противостояние "щита и меча"».

Позитивная динамика внутреннего рынка ПО в России в этом году сменится увеличением зарубежных продаж

Они могут вырасти на 46%, достигнув 800 млрд руб., в то время как общая реализация отечественных решений прибавит только 19% и доберётся до отметки 2,3 трлн руб. Такие прогнозы сделала Ассоциация РУССОФТ по итогам 22-го ежегодного исследования индустрии разработки в РФ.

Стартовавшая в 2022 году повсеместная миграция на российский софт продолжается, однако, с конца 2024-й эксперты отмечают тренд на спад, связанный со снижением финансирования импортозамещения и высокой ставкой рефинансирования Банка России. Прошлый год отечественные разработчики всё же закончили в плюсе: по данным РУССОФТ, их совокупный оборот вырос почти на четверть и составил 2,459 трлн руб., что ниже прогноза (32%), но выше итогового показателя года предыдущего (19,4%).

«Учитывая предлагаемые правительством изменения налогового регулирования индустрии ПО, которые коснутся с 2026 года ИТ-компаний, уже сейчас мы понимаем, что охлаждение российского софтверного рынка усилится. Если раньше причина снижения темпов роста была только в том, что импортозамещение имеет своё логическое ограничение, то сейчас к этому добавятся сложности выживания в условиях увеличения налоговой нагрузки в шесть раз на фоне двухкратного роста ставки страховых взносов. В наиболее сложном положении окажется малый и средний бизнес, для которого уменьшен уровень применения УСН с 60 до 10 млн руб.», — говорится в официальном сообщении ассоциации.

По данным безопасников из F6, объём слитых данных платёжных карт, выпущенных белорусскими банками, растёт второй год подряд

Злоумышленники разместили в мессенджерах, а также на специализированных «теневых» форумах и кардшопах более 4500 строк с реквизитами.

Аналитики считают, что в числе пострадавших могут быть и россияне, так как последние с 2022 года активно оформляют продукты платёжных систем Visa и Mastercard в кредитных учреждениях Беларуси.

Среди обнаруженных реквизитов информация 2189 карт была зафиксирована в продаже на площадках даркнета. Также выявлено некоторое число карточек, для которых системы F6 Threat Intelligence не сдетектировали срок действия и CVV-код. И хотя это однозначно не говорит об их компрометации, сам факт публикации свидетельствует о наличии такой вероятности.

Правительство Великобритании внесло в свой санкционный список 90 новых позиций

В их числе — помимо компаний «Лукойл» и «Роснефть», а также их зарубежных партнёров — оказались Национальная система платёжных карт, «ББР банк», «Солид банк», «Трансстройбанк» и «Примсоцбанк».

Ограничения в отношении финсектора Британия мотивировала тем, что он «имеет стратегическое значение» для российских властей. В SDN-лист американского Минфина НСПК попала ещё в прошлом феврале — оператор «Мира» и Системы быстрых платежей тогда заверил, что это не повлияет на работу платёжных сервисов внутри России.

Платформа цифрового рубля постепенно превращается из концепции в реальность. Переводы между физическими лицами, оплата в торговых точках, работа кассы мерчанта — все эти сценарии должны быть интуитивно доступны со смартфона в ближайшее время.

В этой парадигме мобильное приложение, в которое участники платформы встраивают Программный модуль Банка России, становится не просто интерфейсом, а ключевым звеном в этой цепочке. Именно поэтому мобильное приложение с интегрированным ПМ БР становится центральным элементом всей архитектуры платформы. Однако эта центральная роль делает мобильное приложение и самым уязвимым звеном.

Юрий Шабалин, директор продукта AppSec.Sting, в статье разобрал «Стандарт Платформы цифрового рубля» от 20 ноября 2024 года и предложил комплексный подход построения трасс вызовов, который позволит соответствовать требованиям финансового регулятора без ущерба для скорости и качества разработки.

Т2 зарегистрировала товарный знак Safewall, чтобы предоставлять услуги кибербезопасности

Пока что бренд собрал на единой площадке активные сервисы безопасности для абонентов: антифрод-платформа, партнёрские ИБ-решения, голосовой ассистент и так далее.

В рамках проекта пользователь может бесплатно подключить необходимые базовые функции; расширенные платные опции — по необходимости. Бюджет в компании не раскрыли, однако, известно, что отдельного юрлица для новой марки не предусмотрено — товарный знак зарегистрирован на ООО «Т2 мобайл», юрлицо оператора.

Руководитель ИБ‑направления «Телеком биржи» Александр Блезнеков считает, что речь может идти о «нескольких сотнях миллионов рублей». В эту сумму входят техническая база, обучение персонала и маркетинг. Но, по словам эксперта, даже эта цифра «всё равно скромнее, чем если бы речь шла о создании совершенно нового бренда».

На «Госуслугах» появилась новая функция для защиты от мошенников — подключение доверенного контакта

Об этом сообщили в Минцифры.

«Это может быть, например, родственник или близкий друг. У него не будет доступа к личному кабинету, и он не сможет выполнять действия от вашего имени, но ему будет приходить дополнительный код подтверждения, если вы решите сменить пароль», — гласит уведомление ведомства.

Для активации опции нужно в разделе госпортала «Безопасность» выбрать строку «Доверенный контакт», указать имя человека и номер его телефона, который также должен быть привязан к его учётной записи на «Госуслугах». Приглашение, отправленное ему вследствие этих манипуляций, имеет ограниченный срок действия.

«Если приглашение будет принято, информация о доверенном контакте появится в вашем личном кабинете. Теперь при восстановлении доступа к вашему аккаунту SMS-код сначала будет приходить ему», — пояснили в Минцифры.

Новая функция доступна всем гражданам старше 14 лет. «Опекун» при этом должен быть совершеннолетним и единственным для доверителя, однако, у него самого может быть до пяти «подопечных» одновременно.

По прогнозам аналитиков Gartner, мировые расходы на ИИ-технологии в текущем году составят почти 1,5 трлн долларов, а в следующем превысят 2 трлн

Причём постоянный спрос на нейросети будет стимулировать инвестиции в ИТ-инфраструктуру в целом.

Эксперты пояснили: вложения в расширение ИИ-инфраструктуры продолжатся, поскольку гиперскейлеры строят всё больше дата-центров с оборудованием, оптимизированным для работы с ботами, а также графическими процессорами. Кроме того, на рынке нейросетей постоянно появляются новые игроки — в гонке теперь участвуют не только американские техгиганты, но и китайские компании. Свой вклад в общую сумму вносят поставщики облачных решений для ИИ.

Что касается конкретных цифр, то в Gartner обозначили известные расходы отрасли за прошлый год и планы на 2025 и 2026 годы. Так, например, на ИИ-сервисы в 2024 году глобально было потрачено почти 260 млн долларов, этот год — по мнению аналитиков — закончится на отметке в 282,5 млн, а следующий — на 324,7 млн. В сегменте программных приложений для ИИ динамика такова: 83,6 млн долларов — 172 млн — 269,7 млн. А вот модели GenAI показали наименьшие совокупные траты, однако, наиболее впечатляющий кратный рост: 5,7 млн долларов — 14,2 млн — 25,7 млн.

На днях Apple заявила, что увеличивает награду «белым» хакерам за «цепочки эксплойтов, которые могут достигать тех же целей, что и сложные атаки с использованием наёмного шпионского ПО», до «беспрецедентной» суммы

Бонусная система, предусматривающая отдельные поощрения за обход режима блокировки и обнаружение уязвимостей в бета-версиях софта, позволит довести выплаты до 5 млн долларов. Техгигант решил удваивать или значительно увеличивать вознаграждение на многих других направлениях, чтобы стимулировать более интенсивные исследования. Сюда входят 100 тыс. долларов за полный обход Gatekeeper и 1 млн долларов за широкий несанкционированный доступ к iCloud, «поскольку на сегодняшний день ни в одной из категорий не было продемонстрировано ни одного успешного эксплойта».