«Ваше лицо скомпрометировано!»

В одном из бизнес-центров, где расположен офис наших партнеров, внедрили две системы пропусков:
1. По одноразовому QR-коду
2. По биометрии, а именно лицу

И если с первой всё окей, работает как часы и вполне надежно, то со второй есть проблемы. Терминал с камерой для QR и лица - один и тот же, и лицо, как и QR, распознаются, судя по всему, одним ПО! Уже чувствуете подвох?

Для проверки QR достаточно считать пиксели и проверить одноразовый код в базе, а вот для проверки лица этого явно недостаточно. Ведь основа биометрии не секретность, как мы писали неоднократно ранее. Основа биометрии — качество проверки, умение отличить настоящее лицо от подделки!

Отличить настоящего человека от:
- Фотки на телефоне
- Распечатанного фото
- Человека в накладной маске
- Человека в тонкой (проводящей тепло) маске
И иных способов мимикрии.

Как вы понимаете, уже первую строчку терминал БЦ не прошел, бликующей фотографии лица на экране телефона оказалось достаточно, чтоб войти в БЦ. Никакой проверки на «живость» в помине нет. Притом что сотрудник уже входил и обратно не выходил. Малейший антифрод тоже отсутствовал.

Партнеры предъявили это охране, и как они отреагировали?
Заблокировали вход сотруднику по лицу, мотивировав тем, что «Ваше лицо скомпрометировано!». Видимо считая, что каждый должен ходить в парандже и приоткрывать свое секретное лицо исключительно на входе в БЦ.

Когда нам рассказали, мне было очень смешно, и я предложил в будущем сфоткать лицо начальника охраны и «скомпрометировать» и его. Интересно, какая будет реакция?

Войны будущего

https://www.defensenews.com/land/2025/06/13/tech-execs-enlist-in-army-reserve-for-new-innovation-detachment/

Американская армия создала новое военное подразделение - Detachment 201. В него входят топ-менеджеры из Palantir, OpenAI, Meta и других технологических гигантов.

Не как консультанты. А как офицеры резерва, принимающие непосредственное участие в формировании будущих боевых систем США. В погонах. С присягой.

«Их присяга - это только начало более масштабной миссии, чтобы вдохновить больше технических профессионалов на службу, не покидая свою карьеру, показывая следующему поколению, как изменить ситуацию для тех, кто в форме»

Это не просто сотрудничество государства и частного сектора. Это новая архитектура войны, где алгоритмы, код и ИИ выходят на первый план.

В истории разных стран есть примеры, когда государства привлекали специалистов из частного сектора (включая технологические компании) для усиления военных или разведывательных возможностей. Самый показательный пример как раз программа США "Executive Innovation Corps" (Detachment 201), описанная Максимовым в посте выше.

А что в других странах?

Израиль: Unit 8200 и сотрудничество с хай-тек-сектором
Израильский аналог NSA — Unit 8200 — активно привлекает выпускников в технологические стартапы (например, Check Point, NSO Group). Многие основатели этих компаний — бывшие военные, а их продукты (киберразведка, системы слежения) позже используются армией.

Великобритания: GCHQ и сотрудничество с хай-тек-сектором
Британская разведка GCHQ сотрудничает с компаниями вроде BAE Systems и Darktrace для разработки кибероружия и защиты. Бывшие сотрудники GCHQ часто переходят в частный сектор, сохраняя связи с государством. А программа National Cyber Force объединяет военных, спецслужбы и частные фирмы для киберопераций.

Китай: Гибридные военно-гражданские проекты
Китай внедряет модель "военно-гражданской интеграции", где компании вроде Huawei, DJI, SenseTime работают над технологиями двойного назначения (например, ИИ для распознавания лиц или дроны для разведки). например, компания DJI поставляет дроны Народно-освободительной армии Китая (НОАК), а её алгоритмы используются для мониторинга границ.

Эти примеры показывают глобальный тренд: война всё чаще ведётся не только солдатами, но и алгоритмами. Государства либо создают гибридные структуры (как Detachment 201), либо интегрируют коммерческие технологии через контракты и кадровый обмен. Разница лишь в степени формализации, где-то это люди в погонах и офицеры резерва, где-то коммерческие фирмы основанные уже после карьеры в армии, а где-то интеграция госпредприятий.

P.S. Да, это Юра Максимов запустил канал в ТГ. Тот самый, который основатель Positive Technologies и наших партнеров - фонда Сайберус
А еще Юра - один из крутейших визионеров в современном кибербезе.

Запись нашего подкаста по моему доп. обучению!
Разобрали полиграф и верификацию лжи с точки зрения науки, ограничений метода и нюансов использования.

Кратко про 16 млрд паролей

Судя по тому, что я видел и читал, всё это — данные со стиллеров. То есть получены они были с устройств пользователей, причем за длительный период.

Совсем просто: вирус заразил устройство, выкачал оттуда все пароли, какие есть, и эти данные продавали. И вот их собрали в огромную базу.

Если сравнивать их именно с утечками с сервисов, процент новых будет действительно высоким! Но корректнее всего их сравнивать со старыми логами стиллеров. Ведь, судя по всему, эти 16 млрд паролей к сервисам собирались длительное время.

Какой процент полезных для атакующих? Явно небольшой. Ведь идеальная учетная запись — это:
- Она не была ранее куплена и использована. А стоят логи со стиллеров копейки.
- На ней нет двухфакторной аутентификации в любом виде.
- Сервис не отслеживает «подозрительные попытки входа» и не отправляет пуш/код даже без двухфакторки.
- Пароль актуален и не был сменен.

Нужно ли срочно менять пароли? Сменить пароль никогда не лишнее, но если вы попали в базу, значит, у вас на устройстве было или даже есть вредоносное ПО. И это главная проблема.

Типичный взгляд на ИБ со стороны

Мы подписаны на много разных пабликов, большинство из которых к кибербезу не имеют прямого отношения. И там регулярно всплывают мнения, которые вызывают ... не знаю, недоумение. И вот яркий пример.

"Мы на 100% уверены, что в мессенджере будет столько косяков, сколько придумать невозможно в принципе. И уязвимостей для пролома доступа к аккаунтам людей тоже будет масса. Ну нет веры в то, что сейчас есть и инфраструктура, и ПО для защиты такого рода приложений. Вон, экраны в метро починить не могут второй месяц - то работают, то нет."

Начнем с простого: в России есть опыт разработки действительно хорошо защищенных приложений и защищенной инфраструктуры. Причем (внезапно) государством. Примеры: Госуслуги, пруфов утечек напрямую с которых до сих пор нет. ГАС "Выборы". И многое другое.

Другой вопрос, что на госуслугах не дали распилить много всего на защите, а в случае с мессенджером — совершенно не понятно, что будет. И могут сделать хорошо, а могут сделать плохо. И да, это гадание на кофейной гуще.

Так что говорить, что "дорогие россияне не умеют в защищенные приложения" глупо — нет, умеют. Говорить "процесс разработки будет построен так, что утечек не будет" — нет, тоже нельзя.

Тут же все проще. Нормально делай — нормально будет. Экономь на безопасности, забивай на интеграцию с другими приложениями — будет плохо. А в российский суперапп на горизонте в 3-5 лет мы верим слабо, но это другая история.

Заблокируем, запретим и заживем? Невозможно

Снова в воздухе витает идея: ограничим каналы связи, введём белые списки ресурсов, и заживём безопаснее. Всё это — ради «защиты граждан» и «информационного суверенитета». Звучат ссылки на зарубежный опыт — особенно на Китай. Но стоит разобраться: существует ли вообще такой успешный опыт?
В первую очередь все всегда кивают на КНР: «великий файервол стоит и не шатается!».
На первый взгляд — да. Китайский «Золотой щит» выглядит как символ тотального контроля: запрет VPN, миллионы модераторов, интеграция цензуры в таможню и ПО. Но приглядевшись, становится ясно — это не неприступная стена, а скорее гигантский механизм, постоянно латающий дыры.

Современный интернет — это не форум 2005 года. Это потоки трафика, зашифрованные туннели, бизнес-процессы и API между странами. Даже Китай, изначально строивший автономную цифровую экосистему, вынужден учитывать интересы международной торговли и внутреннего рынка. Примеров много: от ограниченного допуска к ресурсам в туристических зонах до компромиссов с локализованными версиями приложений.

При этом Китай продолжает тратить огромные ресурсы на поддержание «Золотого щита» как средства цензуры. В его работе задействованы миллионы людей и государственные функции, включая таможню, которая контролирует ввоз техники. И с каждым годом эта система запрашивает всё больше ресурсов, просто чтобы сохранять текущий уровень контроля. Вызвано это падением эффективности, либо желанием выпросить очередное финансирование — снаружи не понять, но сути это не меняет: затрат больше, эффекта — меньше.

Еще раз: в большинстве случае при обходе ограничений от КНР речь идет не про хакерские атаки или «тлетворное влияние запада» — Автор этого поста для одного легального проекта российского бизнеса успешно использовал довольно простые технологии для проброса сетевых туннелей в компанию в Китае. Это было необходимо для удаленного выполнения проекта. Власти КНР точно также прекрасно понимают сложность баланса между цензурой и запросами бизнеса. Даже показательные рейды против граждан, использующих VPN, остаются точечными — контроль существует, но не принимает форму повсеместной цифровой охоты.

Очевидно: запретить всё невозможно. Даже временное отключение интернета — как в Египте в 2011-м или Беларуси в 2020-м — не остановило протестных коммуникаций. Египтяне наладили связь через Dial-UP, в Беларуси использовали Bluetooth-меш-сети вроде Bridgefy и Wi-Fi Direct. Медленно? Да. Но хватило, чтобы передавать информацию и координироваться. В итоге при отключении интернета больше урон получают оперативные службы, лишающиеся возможности быстро получать запросы от простых граждан.

А сегодня появляется ещё один фактор: спутниковый интернет. Starlink и аналогичные решения делают фильтрацию практически бессмысленной. Блокировка таких систем — это не просто политика, это инфраструктурный вызов: глушение, правовое давление, ресурсы, специалисты. И всё это — в ущерб другим секторам ИТ.
Не говоря уже про то, что чем сложнее система, тем чаще пути обхода начинают выстраиваться на социальной коммуникации: советская цензура и тысячи глушилок не привели к всеобщему доверию к официальным каналам власти, а привели к появлению альтернативных каналов в виде перевозчиков иностранных журналов, подпольных типографий, радиолюбителей, умеющих поймать голос Америки и попросту сеянию слухов.

Сегодня «меч» — гибкость, мобильность, децентрализация — во многом превзошёл «щит» — запреты, блокировки, цензуру. И попытки отыгрывать стратегии XX века не создают безопасность — они просто тратят ресурсы, которые можно было бы вложить в просвещение, аналитику и развитие.

Контроль уже не равен устойчивости. А белые списки — не гарантия порядка, а сигнал беспомощности.

3Side
Вебинар "Как взламывали компании за 2 дня (и как избежать их ошибок)"

Обсудим на вебинаре как взламывают компании? Почему в одной компании на это требуется 15 минут, а кого-то не смогли взломать и за 3 месяца?

Обсудим самые действенные механизмы защиты, которые были основным стоп-фактором для исследователей, самые распространенные уязвимости, которые были использованы исследователями многократно в разных компаниях.

❓Как исследователи успешно и быстро атаковали даже компании, инвестировавшие в ИБ.
❓Насколько "зрелость" и инвестиции в кибербез усложняли работу исследователей.
🤔Попробуем найти тот самый "оптимальный уровень" защищенности, который позволяет значительно сократить возможность успешной атаки.
😯Почему некоторых "зрелых" взломали, а "малышей" — нет.

И конечно, поговорим о цифрах: топ-5 самых эффективных способов атак, топ самых частых проблем, которые увидели исследователи на периметре, и так далее.

Спикеры:
- Антон Бочкарев (эксперт по атакующей безопасности, CEO 3side, ex-head of redteam Сибур, член экспертного совета АО Кибериспытание, участник 150+ проектов по оценке защищенности в 100+ компаниях)

- Роман Ананьев ( эксперт по атакующей безопасности, член экспертного совета АО Кибериспытание, основатель DC78422 и веб анархист)

Дата проведения:
15 июля 2025 г., | 11:00 (МСК)

Регистрация

Велком на Pentest Awards 2025

Мы уже два года следим за этой интересной премией, в прошлом году туда подавались участники нашего конкурса.
А в этом году мы уже сами подали весь наш конкурс! Ведь считаем, что он вносит серьезный вклад в дело пентеста/редтима)

Сейчас на премию продлили дедлайн на подачу заявок, до 16 июля. Последний шанс рассказать обезличенную историю про свой offensive кейс и получить за это ценные призы!

Присоединяйтесь!

«Технические работы», которые убивают бизнес

Тут пишут, что глобальный сбой в "Винлабе" обвалил акции Novabev. В компании говорят о "технических работах", в реальности причины могут быть гораздо банальнее. Если это действительно последствия кибератаки, то мы видим один из первых в России случаев прямого влияния хакеров торговлю бумагами компании.

Остановка работы компаний по всей стране на несколько дней приносит огромные убытки — и это происходит регулярно. Просто раньше крупные компании или быстро восстанавливались (Лукойл), или не были публичными (СДЭК, Верный). В пресс-релизах часто указывают безобидные причины:
- «технические работы» (ВинЛаб)
- «затопление дата-центров обычным дождем» (Спортмастер)
- «технический сбой» (СДЭК).
Подозрительно, правда?

Эксперты по кибербезопасности уверены, что причина — кибератака с использованием шифровальщика. Сегодняшний уровень IT не позволяет другим причинам настолько надолго и массово остановить работу зрелого бизнеса. А рынок кибербезопасности настолько мал, что информация о подобных инцидентах быстро становится известной.

Почему компании не говорят об этом открыто? Потому что это может нанести еще больший ущерб репутации. Кроме того, они боятся введенных оборотных штрафов от регулятора.

Пример ВинЛаб особенно показателен. Публичная компания может потерять деньги, стоимость акций начинает показывать избыточную волатильность, в общем, хорошо никому не станет. Причем у самой Novabev Group дела идут неплохо: там значительный рост отгрузок в литрах, а у сети магазинов рост квартальной выручки под 25%. Так что реальные потери зависят от скорости реакции и могут быть в районе 200 млн рублей выручки в день. Потерять пол-ярда из-за шифровальщика — это больно.

С динамикой акций картина тоже сложная, громкие заголовки про "обвал акций" немножко сгущают краски. Но сам факт влияния хакеров на оценку публичной компании очевидный.

Стоит вспомнить, что в 2024 году компания уже сталкивалась с кибератакой. Тогда база данных покупателей оказалась в открытом доступе, и компания признала утечку. Но оборотные штрафы тогда еще не были введены. Видимо выводы компанией сделаны не были!

На «Винлаб» совершили беспрецедентную кибератаку — владелец сети. Магазины не работают уже третий день, а сегодня утром отказала онлайн-доставка. Хакеры требуют деньги, компания не идёт на сделку. @bankrollo

4Security от 3side:
Вебинар «Релиз облачного сервиса 4Security для кибербезопасности малого и среднего бизнеса»

Малый и средний бизнес — основная цель цифровых вымогателей: 2 из 3 компаний уже подвергались кибератакам, а ущерб от одной может достигать 7 млн ₽. В большинстве случаев — это атаки шифровальщиков.

4Security — это облачный сервис, который берёт на себя заботу о вашей кибербезопасности без необходимости в собственных ИБ-специалистах, сложных настройках или больших затратах.

В программе:
• подробный разбор работы сервиса: регулярный мониторинг, автоматическое резервное копирование, помощь при инцидентах 24/7;
• демонстрация возможностей платформы и тарифных планов с финансовой гарантией;
• советы экспертов, как даже небольшая компания может выстроить профессиональную кибербезопасность доступно и понятно.

Дата проведения:
29 июля 2025 г., | 11:00 (МСК)

Регистрация

Всем привет!

15 июля мы провели наш первый вебинар. Получилось хорошо — было под 200 регистраций и 60 человек в онлайне. Мы очень рады, что количество участников не падало практически до самого конца — значит, рассказывали что-то полезное. Мы обещали запись - она ниже (с таймкодами).

"Как белые хакеры взламывали компании за 2 дня (и как избежать их ошибок)"
На вебинаре узнали:
• что такое бизнес-ориентированная ИБ;
• как действует рансом;
• какие уязвимости чаще всего использовали атакующие;
• почему временная инфраструктура не повод "забить на ИБ";
• как стать неудобной целью и с чего начать, если нет бюджета.

Смотреть на:
Rutube

Запись ИБ-Стендапа

Долгожданная запись ИБ-Стендапа, наконец у нас в канале!

Мой монолог назывался "сложно быть хакером" и рассчитан в первую очередь на аудиторию не безопасников!

Это первое мое выстпление в подобном формате, но точно не последнее, за годы работы в кибербезе материалов точно не на один стендап)