CyberYozh

👀 У бельгийской госсети Belnet всё лето был самый внимательный читатель в мире. Он не пропустил ни одного входящего письма. С 22 июля по 24 сентября неизвестные получали копии всей почты, приходящей на адреса Belnet, вместе с вложениями и ссылками на скачивание больших файлов. Сеть обслуживает университеты, больницы и федеральные ведомства Бельгии. Попали внутрь через уязвимость нулевого дня в Fortinet. Belnet признала взлом и теперь выясняет, кто пострадал. Выяснять будут дольше, чем чинили. Чинили до 08:10 следующего утра. 🦔 CyberYozh

😱Новая услуга от телефонных мошенников: декларирование сбережений с выездом курьера. 👎Отзывы пока плохие. 🔍Пенсионерка из Петербурга отдала так почти 182 млн рублей: наличные, валюту и больше 400 инвестиционных монет и пять золотых монет оценочной стоимостью более 42 миллионов рублей. Передавал всё её сын, по просьбе матери. Задержанный курьер из Челябинской области, по версии МВД, работал почти как пират: забирал ценности, раскладывал по тайникам и закапывал там, где велели "кураторы". 🤵‍♀️Настоящее государство денег на дом не заказывает. Оно само всё спишет, без курьера и без звонка. 🦔 CyberYozh

😡 60 млрд руб. потратят на блокировки интернета в России в ближайшие три года Два года назад на то же самое планировали 32 млрд. Комплектующие подорожали, а мощных процессоров и памяти не хватает. Получается, блокировать интернет стало дороже из-за того же дефицита чипов, из-за которого дорожает твой ноутбук. Около 20 млрд в год уйдёт на модернизацию оборудование, через которое операторы фильтруют трафик. Спрос создают те, кто хочет открыть сайт, и те, кто хочет его закрыть. Редкий рынок, где клиенты с обеих сторон. 🦔 CyberYozh

⚡️КАК ВЗЛАМЫВАЮТ САЙТЫ: ПЕНТЕСТ В ПРЯМОМ ЭФИРЕ Бесплатный практический вебинар для новичков · 13 октября, 19:00 Строка поиска, форма входа, загрузка аватара. Для пентестера каждый такой элемент сайта - возможная дверь внутрь. 13 октября Давид Айрапетян в прямом эфире пройдёт атаку на веб-приложение от начала до конца: найдёт точку входа, разовьёт атаку и попробует получить максимальные права. Вебинар от пентестера, DevSecOps-инженера, в информационной безопасности больше 9 лет. 🔍 Что будет в эфире: 🟦Разведка. Сайт глазами атакующего: какую информацию о нём можно собрать и за что зацепиться. 🟦 Эксплуатация. Как одна ошибка в настройках или коде пускает дальше, чем рассчитывал владелец сайта. 🟦 Развитие атаки. Все находки сводятся воедино, цель - доступ ко всем данным и функциям. Каждый шаг Давид объясняет: что проверяет, зачем и что делает, когда первая идея не сработала. Если ты уже в IT, начнёшь замечать слабые места в собственном коде. Если только присматриваешься к ИБ, увидишь, как на самом деле выглядит работа пентестера, и поймёшь, твоё ли это. В конце разберут, какие навыки нужны и с чего начать. ⏰ 13 октября, вторник, 19:00 (МСК) 🕐 70 минут, онлайн, бесплатно ➡️ Забронировать место 🦔 CyberYozh

🌐Как работает интернет: сети с нуля OSI, TCP/IP и IP-адресация 📱 СМОТРЕТЬ [11:27] С чего начинать путь в кибербезопасности? Давид всегда отвечает одинаково: ...с сетей. Пентест, SOC, DevSecOps, красная или синяя команда, без них никуда. 💬 В комментариях попросили полный гайд по сетям, и Давид запускает мини-серию. Первая часть рисует карту всей темы на самом простом уровне, знать заранее ничего не нужно. Как данные доходят от вашего компьютера до Google, чем семь уровней OSI отличаются от четырёх в TCP/IP и почему TCP проверяет доставку, а UDP жертвует надёжностью ради скорости. 🟦Дальше IP-адресация, маски и субнеттинг руками, протоколы с портами, которые придётся знать наизусть, и железо: switch, router, firewall. 👩‍🔬А в конце о том, как учить всё это на практике: своя лаборатория в VirtualBox, ping, traceroute, nslookup и разбор собственного трафика в Wireshark. Цель серии - чтобы вопросы по сетям на собеседовании на джуна перестали быть проблемой. 🔐Специалист по информационной безопасности 🦔CyberYozh

🚪 OpenAI уволила трёх исследователей безопасности: они передали внутренние данные компании сторонней организации Стало известно, что OpenAI рассталась с тремя сотрудниками команды безопасности ИИ. Об этом пишет The Hacker News со ссылкой на The Wall Street Journal. 🔍По данным изданий, они поделились конфиденциальной информацией со сторонней организацией, которая занимается безопасностью ИИ. Название организации не раскрывают. Bloomberg уточняет: речь шла об устройстве инфраструктуры OpenAI. Сама компания объяснила это так: сотрудники "неправильно обращались с чувствительной информацией в обход принятых процедур, нарушили наши правила и подорвали доверие, без которого наша работа невозможна" The New York Times ранее написала, что OpenAI раз за разом жертвовала протоколами безопасности, чтобы выпускать модели в срок. Связаны ли увольнения с этой публикацией, неизвестно. Комментариев самих исследователей пока нет. 🦔 CyberYozh

🔍 Следственный комитет РФ покупает нейросеть, которая будет искать в документах людей, деньги и связи между ними Объявлен тендер на ИИ-систему для разбора текстов. Заплатить за неё готовы 6,2 млн рублей. Задача у системы простая - ей дают документы, она сама вытаскивает из них людей, суммы и банковские реквизиты, а потом показывает, кто с кем связан. Отдельное условие тендера: иностранный софт использовать нельзя. Читать чужие платёжки будет отечественная.🫡 🦔 CyberYozh

🔒 Вайбкодеры выложили в открытый доступ паспорта и пароли своих пользователей: нашли 16 тысяч таких баз Исследователи UpGuard проверили 300 тысяч сайтов, которые хранят данные в Supabase. Это популярная облачная база, на ней часто собирают приложения с помощью ИИ. 16 326 баз оказались открыты: данные пользователей читались без всякого взлома, потому что адрес базы и ключ к ней лежат прямо в коде сайта. 🔍Что там нашлось: 🟦индийский сервис: 65 467 пользователей с номерами паспортов, водительских прав и налоговых карт; 🟦американская парковка: больше 100 тысяч клиентов с номерами машин и историей визитов; 🟦филиппинский сервис: больше 100 тысяч SMS с одноразовыми кодами для входа; 🟦канадский иммиграционный сервис: 884 пароля открытым текстом. Закрыть такую базу должна RLS. Это настройка, которая решает, кто какие записи видит. Supabase включает её сама, только если таблицу создали руками в редакторе. Если таблицу создаёт код, защита остаётся выключенной. А именно через код с базой работают ИИ-агенты, на которых сейчас собирают приложения за вечер. Навайбкодил стартап - раздал базу пользователей. Если твоё приложение живёт на Supabase, открой таблицы и проверь, включена ли RLS. 🦔 CyberYozh

🤔Хочу в ИБ, но с чего начать? мы упаковали ответ в 2 часа внутри Telegram Нам регулярно пишут с вопросами: как устроена безопасность на практике, что учить в первую очередь и реально ли сейчас найти себя в этой сфере с нуля. ⚡️Вместо длинных статей и вебинаров мы запустили полноценный бесплатный интерактивный мини-курс прямо в боте: ➡️ Запустить курс в Telegram Mini App Никаких внешних сайтов и сложных регистраций. Открыли приложение прямо в мессенджере - и проходите в удобном темпе. 📖Внутри 4 модуля: 🟦Цели данных: за чем на самом деле охотятся злоумышленники. 🟦Анатомия атак: разбираем цепочку "угроза 👉 уязвимость 👉 атака" на реальных сценариях. 🟦Что делать: базовый алгоритм защиты себя и систем. 🟦OSINT и профессии: какие направления есть в ИБ, кто чем занимается и сколько за это платят. 🎁Бонус внутри: прямо в боте можно бесплатно записаться на персональный разбор карьерного трека в ИБ, где помогут составить план перехода в профессию под ваш опыт. 🔗 Залетайте 💬 смотрите первые уроки и делитесь фидбеком 🦔 CyberYozh

💀Создаем уязвимую машину для пентеста Lubuntu, VirtualBox и FTP-сервер 📱 СМОТРЕТЬ [11:56] Вы часто видите, как Давид взламывает виртуальные машины с VulnHub. Но задумывались ли вы, как именно их создают? Кто и как оставляет эти "дыры" в безопасности? 👩‍🔬В этом видео меняемся ролями: Давид покажет, как создать собственную уязвимую машину (CTF) с нуля! Мы скачаем легкий дистрибутив Lubuntu, за 10 минут настроим его в VirtualBox и намеренно внедрим одну из самых популярных классических уязвимостей - анонимный доступ к FTP-серверу. 🟦Покажем весь процесс от редактирования конфигурационных файлов Linux до тестирования дыры с помощью сканера Nmap на Kali Linux. 💿А в конце экспортируем нашу готовую мишень в формат .OVA, чтобы вы могли поделиться ей с друзьями или выложить в сеть. 🦔CyberYozh