Тем временем, число выявленных высоких и критических киберуязвимостей за последнее время. И это, кстати, всего по 21 компании (список внизу картинки).

Да, связывают это именно с анонсом Claude Mythos Preview. Ладно, я пошел работать...

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Уж сколько раз твердили миру...

Я осознано не писал ничего про всю эту движуху с TLS-сертификатами и неработающими российскими сайтами, так как не так давно косвенно об этом уже высказывался. Но сейчас увидел пост (прислали подписчики, честно), мимо которого пройти не смог.

Канал, тематика которого, судя по названию, касается техники Apple, рекомендует просто игнорировать предупреждения браузеров и соглашаться на небезопасное подключение. Гениальное решение – для тех, кто хочет слить свои пароли или финансовые данные мошенникам.

Давайте вспомним, что вообще делает TLS-сертификат. Задач у него две.

Первая – шифрование. Он закрывает канал между вами и сайтом, чтобы данные нельзя было прочитать по дороге.

Вторая, про которую все забывают, – это удостоверение личности. Тот самый «паспорт» сайта. Сертификат подтверждает, что защищенное соединение вы устанавливаете именно с сайтом своего банка, а не с чем-то, что им прикидывается.

Теперь смотрите, что происходит, когда браузер показывает плашку «подключение небезопасно». Это момент, когда браузер честно говорит: «я не могу подтвердить, что это точно тот сайт, за который он себя выдает». И когда вы нажимаете «продолжить», вы своей рукой отключаете вторую функцию – проверку подлинности. По сути расписываетесь: «да, я не знаю, чей это сайт, но все равно введу сюда логин, пароль и данные карты».

А дальше – классика жанра. Вы открываете страницу, визуально неотличимую от банка, и все, что вы туда вводите – пароли, персональные данные, реквизиты переводов – уходит нехорошим людям. И заметьте – вы СОБСТВЕННОРУЧНО сняли защиту, которая должна была это поймать.

Именно поэтому совет «соглашайтесь на небезопасное и не парьтесь» – это инструкция, как подарить свои данные мошенникам. Особенно на банковских сайтах и везде, где вводятся пароли и платежки.

Чтобы российские сайты открывались корректно, нужны сертификаты Минцифры. Их можно установить вручную – способ рабочий, хотя и требует возни. Но это в любом случае лучше, чем рисковать и нарваться на мошенников.

Если возиться с ручной установкой не хочется, есть вариант проще: в Яндекс Браузере нужные сертификаты уже предустановлены, и дополнительно делать ничего не придется – сайты просто открываются как обычно.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Хммммм....

#КиберМем

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Слышали уже кстати о том, как агент Клода взломал систему бронирования в одном австралийском спортзале?

Человек просто попросил своего агента записать его на утреннюю тренировку в свой спортзал, но мест на утро не было, поэтому Клод просто занял место в очереди (его место было под номером 4).

Но мужика это не устроило быть так далеко в очереди и он попросил как-то это исправить. На что Клод просто просканировал API сервиса бронирования, нашел там уязвимость и подвинул своего командира на 3-е место в очереди :)

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

МЕМЫ, ТУСОВКИ И ОФФЕРЫ

https://youtu.be/vE-23Yk8zeI
https://youtu.be/vE-23Yk8zeI
https://youtu.be/vE-23Yk8zeI

Давно у нас на канале не было интервью (ну реально давно), поэтому мы тут решили вас порадовать и собраться с Лешей из "по ибэ", чтобы обсудить, как выглядит сфера информационная безопасности глазами зумеров, для чего вообще нужен нетворкинг, являются ли мемы новым международным языком и как находить офферы прямо на митапах.

И да, меня снова сильно нейрослопнуло на обложке.

Смотрим тут
📹 Youtube
📺 VK Video

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Держу в курсе кстати, вчера у меня уже третий раз угнали мой аккаунт на Авито.

И если бы я не мучился с тем, чтобы найти себе там нормальные диски и резину на машину, я бы об этом так и не узнал.

Как эти аккаунты угоняют, я ума не приложу, потому что все, что я смог заметить – вот эту СМСку с кодом (который я никому не передавал, да), которая пришла от какого-то левого адресата.

В общем, так и живем.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Береги код смолоду

Если вы спросите у безопасника, отĸуда прилетит следующая утечка, он назовет фишинг, инсайдера или непропатченный периметр. И будет прав.

Но есть ĸанал, который в большинстве компаний вообще не заĸрыт – это ваш собственный сотрудник, который просто вставил кусок боевых данных в нейросеть, чтобы быстрее разобраться с задачей.

Один из самых громких случаев произошел у Samsung в 2023 году. Сотрудники за короткий срок несколько раз скормили ChatGPT конфиденциальную информацию (фрагменты исходного ĸода и записи с внутренней рабочей встречи), чтобы модель помогла найти ошибку и структурировать протокол. Попавшая в нейросеть информация автоматически стала частью обучающей базы данных OpenAI (не они же сами поделились). Реакция Samsung была жесткой: генеративные ИИ-сервисы в компании резко попали под запрет (по крайне мере, на какое-то время).

Подобные сливы случались и у других гигантов, таких как Google и Amazon. А про большинство случаев мы вообще никогда не узнаем, так как они банально не были вовремя замечены.

В России ситуация не лучше: по итогам 2025 года объемы утечки данных российских компаний через ChatGPT и Google Gemini выросли в 30 раз по сравнению с 2024 годом. Исследование проводилось на основе трафика 150 организаций – от госсектора до IT и финансов. При этом у 60% российских организаций до сих пор отсутствует политика, регулирующая использование ИИ-ассистентов.

Разберем главные риски бездумного использования нейросетей для работы:

1. Обучение на ваших данных

У попсовых чат-ботов введенный текст может использоваться для дообучения. Например, OpenAI прямо предупреждает: «Мы не можем удалить конкретные промты из вашей истории. Пожалуйста, не делитесь конфиденциальной информацией в своих диалогах».
(Кстати это регулируется настройками и типом аккаунта: у корпоративных тарифов политика, ĸаĸ правило, прямо исключает обучение на данных клиента. И это ключевое отличие, которое почему-то мало ĸто проверяет перед тем, ĸаĸ запрещать сотрудникам «эти ваши нейросети». Вопрос лишь в том, работает ли эта галочка).

2. Банальная утечка вне обучения

Данные могут осесть в истории аккаунта, в логах, в скриншотах или в приложении, которое проксирует запросы через себя. Модель может вообще не запоминать ваш промт – а секрет все равно утечет, потому что прошел через десяток мест, которые вы не контролируете.

✖️Так что же теперь, запрещаем сотрудникам пользоваться ИИ-ассистентами для работы?

Конечно, нет. Это удобный инструмент, который во многом помогает ускорить работу и оптимизировать процессы. Да и полный запрет скорее всего приведет к появлению теневого ИИ (shadow AI): люди будут продолжать пользоваться нейросетями, просто с личных устройств и аккаунтов, где у вас нулевая видимость и нет контроля.

Что действительно помогает, так это скучные, но рабочие инструменты:

⚡️ Корпоративный контур. Дайте людям легитимный инструмент с правильной политикой обработки данных, чтобы у них не было причины уходить в личное.
⚡️DLP и мониторинг исходящего трафика на предмет утечки ĸода, ключей, персональных данных.
⚡️Ротация и вынос секретов из ĸода в секрет-менеджеры, чтобы исключить возможность скопировать ключ случайно.
⚡️Понятная политика и обучение внутри компании. Джун сливает данные не из злого умысла, а потому что ниĸто не объяснил ему, что диалоговое оĸно нейросети – это выход за периметр.

Главная мысль такова: утечка через ИИ – это не про то, что «ИИ опасен». Это про то, что появился новый, незаметный ĸанал для выхода данных за периметр, а процессы вокруг него пока не выстроены.

И да, поздравляю с рождением нового класса средств защиты – AI/LLM Firewall/Gateway. Я таких за последние пару недель штук 5 уже отсмотрел для пилотов.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

На меня тут вышла пресс-служба DDX. Говорят, что уже проводят внутреннюю проверку по инциденту и обещают скоро вернуться с подробным пресс-релизом по ситуации ⌨️

Мы тут с вами стали специальными партнерами премии «Инженерное искусство» – для тех, кто не просто «поддерживает айтишку», а реально строит, развивает и защищает корпоративное ИТ.

Номинаций всего шесть:
— Архитектор системы
— Инженер инноваций
— Инженер восстановления
— Инженер инфраструктуры
— Инженер безопасности
— Лидер инженерной команды

Пройдет премия в рамках конференции IT Elements 2026. Там же (9 сентября) и пройдет церемония награждения победителей.

Если у вас есть сильный кейс, проект или команда, заслуживающая внимания профессионального сообщества, можно подать заявку до 31 августа.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT