Борьба с киберпреступностью | F6

❗️ Киберразведка для ритейла: как применять данные Threat Intelligence. Понимание ландшафта киберугроз помогает компании отделять общий информационный фон от действительно релевантных угроз и грамотно распределять ресурсы ИБ-команды. В новой статье на примере ритейла и e-commerce разбираем ⬇️ ▪️ какие признаки подготовки атаки можно обнаружить во внешних источниках; ▪️ к чему могут привести фишинг, компрометация подрядчика и утечка данных — с привязкой к MITRE ATT&CK; ▪️ как использовать данные TI вместе с SIEM и другими средствами защиты; ▪️ как перевести найденный сигнал в конкретное действие команды ИБ. ➡️ Что можно увидеть до инцидента и как использовать эти данные на практике — разбираем в статье.

👀 Как подготовить телефон ребенка к 1 сентября? Форма и канцтовары куплены, рюкзак собран. Но есть еще один неочевидный пункт подготовки ребенка к школе — его смартфон. Гаджеты помогают детям учиться, оставаться на связи с родителями и друзьями, но одновременно открывают доступ ко множеству цифровых рисков. ➡️ Как настроить телефон так, чтобы защитить ребенка от основных угроз — рассказывает эксперт F6 и отец двоих детей Сергей Золотухин.

Теневой сервис nulltrace заблокирован по обращению CERT F6.   🔍 Что такое nulltrace? Этот сервис предлагал услуги регистрации доменов в российских зонах без верификации — фактически обслуживал интересы киберпреступников, которые могли анонимно регистрировать сайты для скама, фишинга и др. ⛔️ Как удалось его заблокировать? CERT F6, круглосуточный центр реагирования на ИБ-инциденты, получил запрос на блокировку фишингового сайта, который был нацелен на пользователей иностранного банка и находился в доменной зоне .su. Аналитики выяснили: электронная почта заблокированного домена использовалась также для целой сети фальшивых сайтов. Дальнейшие поиски привели специалистов F6 на закрытый форум, где участники сервиса nulltrace предлагали услуги анонимной регистрации доменов без какой-либо верификации. На сайте объяснялось, как зарегистрировать домен за криптовалюту. По инициативе CERT F6 домен nulltrace[.]su передали регистратору для проверки. Пройти верификацию владелец ресурса не смог, после чего домен разделегировали. Вместе с ним стали недоступны и все сайты, домены которых были зарегистрированы через сервис злоумышленников в зонах .ru и .su. ➡️ Подробнее — в релизе.

⚡️ Type-driven development в Rust, часть 2/5: контракты между компонентами — от эксперта F6. Продолжаем серию о type-driven development в Rust. В первой части типы отвечали за данные: какие значения возможны и какие комбинации допустимы. Во второй разработчик MXDR F6 Никита Тимофеенко разбирает контракты между компонентами: как записать их в типах, чтобы нарушение контракта не компилировалось. Во втором материале — три механизма: ▪️ traits; ▪️ associated types; ▪️ const generics. Эксперт разобрал каждый по схеме: проблема ➡️ решение ➡️ хорошие практики ➡️ как это используют известные крейты или std библиотека. Отдельно — CGP (Context-Generic Programming): что делать, когда одному типу нужно несколько реализаций одного трейта, а правило когерентности разрешает одну. Примеры во всей серии — из биржевой торговли, но сами приёмы работают в любом домене со сложными состояниями и правилами их изменения. ➡️ ЧИТАТЬ НА HABR

Троя пала не потому, что её стены не выдержали. А потому, что коня с врагами внутри защитники сами внесли за периметр. Современная версия этой истории выглядит куда прозаичнее. Например, сотрудник использует один и тот же пароль для рабочего аккаунта и личного профиля на сайте. В случае взлома пароль оказывается в открытой базе, и атакующий заходит в корпоративную сеть под легитимной учетной записью. Ни одной уязвимости на периметре, ни одного нарушенного правила файрвола: все средства защиты видят просто обычного сотрудника. Большинство компаний считают внутренние угрозы не менее сложными для выявления, чем внешние атаки, и практика это подтверждает: заметить такую активность способна далеко не любая команда безопасности. Разбираемся, какие сценарии внутренних угроз встречаются чаще всего, что показывает внутренний пентест и как понять, что компании стоит его провести.

⚡️ 20+ признаков эквайрингового фрода в одном чек-листе. Специально для риск-менеджеров, комплаенс-специалистов и команд эквайринга и онбординга мы собрали главные признаки, которые выдают нелегитимного продавца до того, как он нанесет ущерб. Рассказываем в 3 блоках ⬇️ ▪️ что проверять при подключении продавца; ▪️ на что смотреть в его поведении дальше; ▪️ как понять, что формально независимые точки продаж управляются из единого центра. Внутри — всё для быстрой проверки продавца. А также продукты линейки F6 Fraud Protection, которые помогут закрывать все эти сигналы автоматически. ‼️ Помните: одно совпадение — повод для углубленной проверки, несколько — сигнал к блокировке. ➡️ ПОЛУЧИТЬ ЧЕК-ЛИСТ

Билет за 6 млн 🎙 Рассказываем, как мошенники наживаются на фанатах Канье Уэста в России. Аналитики Digital Risk Protection F6 зафиксировали рост числа мошеннических ресурсов, созданных под предлогом продажи билетов на концерты Канье Уэста в России. Что известно ⬇️ ▪️ С 17 августа зарегистрированы минимум 10 сайтов в доменных зонах .ru, .com, .site и .shop, которые маскируются под официальный сайт турне или предлагают приобрести билеты на выступление артиста. В доменах используются сочетания «ye», «yerussia», «ye-russia», «ye-tickets», «kanyewestrussia», «ye-russia2026». ▪️ Одни сайты при покупке перенаправляют на сайт нелегального казино. Другие — предлагают оплатить криптой (от $60 за место на верхних рядах до $2100 за VIP ложу). Некоторые сайты предлагают оплату по номеру телефона, а стоимость билетов у таких продавцов — от 28 тыс. до 6,2 млн руб. ‼️ Часть сайтов обещает билеты на концерты в Москве, хотя оба выступления запланированы в Санкт-Петербурге. ▪️ Также специалисты F6 обнаружили в Telegram как минимум 7 ботов, связанных с тематикой продажи билетов на концерты Канье Уэста. Все детали схемы и скриншоты страниц мошеннических ресурсов — на сайте F6.

🎥 Взлом в режиме видео: мошенники используют новый сценарий с имитацией доступа к госсервису.   Аналитики Digital Risk Protection F6 зафиксировали новый сценарий мошенничества, который применяется для персонализированных атак в схеме с ложным взломом учетной записи госсервиса. Если раньше злоумышленники просили пользователей перейти по ссылке, а затем пытались убедить, что именно это действие привело к взлому, то теперь мошенники визуализировали этот обман. Как работает схема ⬇️ ▪️ Когда пользователь переходит по ссылке на фейковый сайт, он видит страницу, внешне похожую на окно входа на портал госсервиса. При этом ввести информацию в окно входа не получается. ▪️ Сразу после перехода на страницу в окне входа начинается обратный отсчет, после чего пользователь видит видеоимитацию «взлома» учетной записи. На экране появляется окно терминала, в котором последовательно возникают надписи «Выгрузка электронной подписи», «Выгрузка 2-НДФЛ», «Выгрузка паспортных данных», «Выгрузка СНИЛС», «Выгрузка кредитной истории», «Снятие самозапрета», а затем «Данные успешно выгружены». После этого картинка перестает обновляться. ▪️ Если приглядеться, то в сообщениях можно увидеть очевидные ошибки, которые указывают на грубую подделку. Например, в первых двух строчках — Misrosoft Windows (вместо Microsoft) и Misrosoft Sorroration (вместо Microsoft Corporation). Все дальнейшие строки, включая сообщения «Нестандартная активность», «Server IT-РФ», «Статус: нет МФА», могут показаться убедительными для пользователей начального уровня и вызвать у них иллюзию реальности происходящего. ❗️Способ распространения ссылок на ресурсы, задействованные в этой схеме, зафиксировать не удалось. Возможно, новый сценарий мошенников находился в процессе тестирования либо ссылки присылали в персональных сообщениях. Подробнее — на сайте F6.

😧 Как раскрыли группировку, укравшую $800 000? Рассказываем в новом эпизоде ИИ-сериала о киберпреступности. 2016 год. Полиция блокирует такси. Из вишневого «Логана» группа захвата достает пассажира — это один из участников Cron, группировки, которая распространяла Android-троян под видом популярных мобильных приложений или через смс-рассылку. За время работы Cron заразила более 1 млн устройств и похитила около $800 000. 🎥 В новой серии CyberStory от F6 и @SecLabNews рассказываем историю группы Cron.

F6 обнаружила новый сценарий схемы «Мамонт», направленный на автомобилистов. ▪️ Злоумышленники действуют от имени вымышленного бренда «Топливо24» и предлагают приобрести бензин, газ и дизельное топливо по ценам на 20-30% ниже обычных с доставкой по адресу или с правом заправки на АЗС. Так, бензин АИ-92 скамеры предлагали по 52,5 руб./литр, АИ-95 — по 55,9 руб., АИ-98 — по 59 руб., а дизельное топливо — по 58,5 руб. ▪️ Мошенник может направить пользователю ссылку на фальшивый сайт или выставить счет на оплату конкретного заказа. ▪️ Один из сайтов, который используется в этом сценарии, расположен в доменной зоне .shop и создан 19 августа 2026 года. ▪️ За период с 15 по 20 августа группа, использующая в том числе и этот сценарий, похитила у пользователей более 3,7 млн руб., средняя сумма списаний — 9847 руб.