Почему двухфакторная аутентификация иногда не спасает
Многие думают, что если включена двойная аутентификация, аккаунт защищён «по умолчанию». На практике злоумышленнику часто не нужно обходить защиту - он просто использует её по назначению. Человек сам вводит пароль и код на странице, которая выглядит как настоящая, и система считает вход легитимным. Никакого взлома, ошибок или сбоев - всё работает ровно так, как задумано.
Проблема не в технологии, а в том, что она доверяет пользователю в моменте, когда пользователь уверен, что делает всё правильно. Поэтому 2FA - это не броня, а дополнительный барьер, который работает только в знакомом и ожидаемом сценарии входа.
Многие думают, что если включена двойная аутентификация, аккаунт защищён «по умолчанию». На практике злоумышленнику часто не нужно обходить защиту - он просто использует её по назначению. Человек сам вводит пароль и код на странице, которая выглядит как настоящая, и система считает вход легитимным. Никакого взлома, ошибок или сбоев - всё работает ровно так, как задумано.
Проблема не в технологии, а в том, что она доверяет пользователю в моменте, когда пользователь уверен, что делает всё правильно. Поэтому 2FA - это не броня, а дополнительный барьер, который работает только в знакомом и ожидаемом сценарии входа.
👍3
«Ваш аккаунт будет заблокирован!» - не ведитесь на панику
Фишинг стал слишком умным. Письма и сообщения теперь копируют дизайн банков, маркетплейсов и даже коллег по работе. Цель одна: заставить вас кликнуть по ссылке и ввести данные.
Как понять, что перед вами мошенники:
1. Срочность. "Оплатите сейчас", "Иначе блокировка", "Срочно обновите данные". Мошенники давят на эмоции, отключая критическое мышление.
2. Странный отправитель. Письмо от "Службы безопасности Сбербанка", но адрес support@sber-bank-security . com (всегда проверяйте официальный домен)
3. Подозрительная ссылка. Наведите курсор на ссылку (не нажимая), чтобы увидеть реальный адрес. Если вместо google . com - google-security . net - это ловушка.
4. Вложение вместо ссылки. Часто вирусы прячут в архивах или Word-документах с макросами.
5. Запрос конфиденциальных данных. Ни один банк или сервис не спросит пароль или CVC-код карты в переписке.
Правило золотого стандарта. Получили странное сообщение? Не переходите по ссылкам внутри. Зайдите в приложение или на сайт самостоятельно через браузер и проверьте информацию там.
Фишинг стал слишком умным. Письма и сообщения теперь копируют дизайн банков, маркетплейсов и даже коллег по работе. Цель одна: заставить вас кликнуть по ссылке и ввести данные.
Как понять, что перед вами мошенники:
1. Срочность. "Оплатите сейчас", "Иначе блокировка", "Срочно обновите данные". Мошенники давят на эмоции, отключая критическое мышление.
2. Странный отправитель. Письмо от "Службы безопасности Сбербанка", но адрес support@sber-bank-security . com (всегда проверяйте официальный домен)
3. Подозрительная ссылка. Наведите курсор на ссылку (не нажимая), чтобы увидеть реальный адрес. Если вместо google . com - google-security . net - это ловушка.
4. Вложение вместо ссылки. Часто вирусы прячут в архивах или Word-документах с макросами.
5. Запрос конфиденциальных данных. Ни один банк или сервис не спросит пароль или CVC-код карты в переписке.
Правило золотого стандарта. Получили странное сообщение? Не переходите по ссылкам внутри. Зайдите в приложение или на сайт самостоятельно через браузер и проверьте информацию там.
❤2
Что о вас рассказывает метаданные фотографии
Вы выкладываете обычное фото: кофе, ноутбук, вид из окна. Ничего личного.
Но внутри файла могут быть: Точные GPS-координаты, дата и время съёмки, модель устройства, серийный номер камеры, параметры съёмки. Это называется EXIF-метаданные, они сохраняются автоматически.
Как это используется на практике
Сценарий 1. Геолокация.
Фото сделано дома. GPS не отключён. Координаты -> карта -> точный адрес.
Даже если в кадре нет номера дома.
Сценарий 2. Паттерны поведения.
По времени съёмки можно понять: когда вас нет дома, когда вы в офисе, когда вы в отпуске.
Если таких фото десятки - собирается привычный график.
Сценарий 3. Техническая разведка.
Модель телефона или камеры помогает: понять уровень устройства, определить экосистему, выбрать тип фишинговой атаки.
Просто сбор сигналов.
Почему мы об этом редко слышим?
Соцсети часто частично удаляют метаданные, мессенджеры иногда их сжимают. Но при отправке как файл - всё может сохраниться.
И если вы публикуете фото на форумах, объявлениях, открытых чатах, на сайтах без обработки изображений - метаданные могут остаться.
Вы выкладываете обычное фото: кофе, ноутбук, вид из окна. Ничего личного.
Но внутри файла могут быть: Точные GPS-координаты, дата и время съёмки, модель устройства, серийный номер камеры, параметры съёмки. Это называется EXIF-метаданные, они сохраняются автоматически.
Как это используется на практике
Сценарий 1. Геолокация.
Фото сделано дома. GPS не отключён. Координаты -> карта -> точный адрес.
Даже если в кадре нет номера дома.
Сценарий 2. Паттерны поведения.
По времени съёмки можно понять: когда вас нет дома, когда вы в офисе, когда вы в отпуске.
Если таких фото десятки - собирается привычный график.
Сценарий 3. Техническая разведка.
Модель телефона или камеры помогает: понять уровень устройства, определить экосистему, выбрать тип фишинговой атаки.
Просто сбор сигналов.
Почему мы об этом редко слышим?
Соцсети часто частично удаляют метаданные, мессенджеры иногда их сжимают. Но при отправке как файл - всё может сохраниться.
И если вы публикуете фото на форумах, объявлениях, открытых чатах, на сайтах без обработки изображений - метаданные могут остаться.
😱2
Крупные сервисы начали массово переводить пользователей на passkeys
Google, Apple и Microsoft постепенно двигают пользователей от паролей к passkeys - аутентификации на основе WebAuthn.
Технически, это означает следующее - на сервер не передаётся пароль вообще. Устройство генерирует пару ключей - приватный остаётся локально, а публичный хранится на сервере. При входе сервер отправляет challenge, устройство подписывает его приватным ключом. Никаких общих секретов, которые могут утечь.
Google, Apple и Microsoft постепенно двигают пользователей от паролей к passkeys - аутентификации на основе WebAuthn.
Технически, это означает следующее - на сервер не передаётся пароль вообще. Устройство генерирует пару ключей - приватный остаётся локально, а публичный хранится на сервере. При входе сервер отправляет challenge, устройство подписывает его приватным ключом. Никаких общих секретов, которые могут утечь.
👍2
Почему одинаковые пароли можно увидеть в базе даже в виде хэшей
Если 2 пользователя задали одинаковый пароль и система использует просто SHA-256 без "соли" - их хэши будут одинаковыми. Это позволяет: увидеть массовые шаблоны, строить словари и ускорять атаки.
По этой причине добавляют salt - случайную строку к каждому паролю. Тогда одинаковые пароли дают разные хэши.
Если 2 пользователя задали одинаковый пароль и система использует просто SHA-256 без "соли" - их хэши будут одинаковыми. Это позволяет: увидеть массовые шаблоны, строить словари и ускорять атаки.
По этой причине добавляют salt - случайную строку к каждому паролю. Тогда одинаковые пароли дают разные хэши.
👍3
IDOR - уязвимость
Представим API:
Сервер проверяет: пользователь авторизован. Но не проверяет: принадлежит ли заказ 48291 именно этому пользователю. Если заменить число в URL - можно получить чужой объект.
Это называется IDOR (Insecure Direct Object Reference). В нем нет обхода шифрования, нет эксплойта. Просто проверка доступа на неправильном уровне. Именно такие баги чаще всего находят на bug bounty.
Представим API:
GET /api/order/48291
Сервер проверяет: пользователь авторизован. Но не проверяет: принадлежит ли заказ 48291 именно этому пользователю. Если заменить число в URL - можно получить чужой объект.
Это называется IDOR (Insecure Direct Object Reference). В нем нет обхода шифрования, нет эксплойта. Просто проверка доступа на неправильном уровне. Именно такие баги чаще всего находят на bug bounty.
👍2
Что происходит при DDoS на уровне TCP
Большинство думает, что просто много запросов. Но на низком уровне часто используют SYN флуд.
1. Отправляется SYN
2. Сервер отвечает SYN-ACK
3. Клиент не отправляет подтверждение
Сервер держит соединение "в ожидании". Тысячи таких соединений и таблица переполняется. Атака происходит не на приложение, а на состояние протокола.
Большинство думает, что просто много запросов. Но на низком уровне часто используют SYN флуд.
1. Отправляется SYN
2. Сервер отвечает SYN-ACK
3. Клиент не отправляет подтверждение
Сервер держит соединение "в ожидании". Тысячи таких соединений и таблица переполняется. Атака происходит не на приложение, а на состояние протокола.
👍3
На Хабре — статья про HTTP для начинающих
Разобрал:
1. Методы, заголовки, URI.
2. Относительные URL.
3. Версии протокола.
4. Коды ответов.
5. Пример ручного запроса.
Всё с картинками, примерами и минимумом занудства.
Ссылка: https://habr.com/ru/articles/1005972/
Разобрал:
1. Методы, заголовки, URI.
2. Относительные URL.
3. Версии протокола.
4. Коды ответов.
5. Пример ручного запроса.
Всё с картинками, примерами и минимумом занудства.
Ссылка: https://habr.com/ru/articles/1005972/
👍4
Реальный кейс: когда публичный GitHub раскрывает инфраструктуру
Классическая история, когда разработчик коммитит в публичный репозиторий: .env файл, тестовый токен, конфиг с адресом staging-сервера.
Через короткое время это подбирают боты, автоматический скан публичных репозиториев идёт постоянно. Интересное здесь не в халатности, а в скорости автоматизации: между коммитом и использованием может пройти меньше минуты.
Классическая история, когда разработчик коммитит в публичный репозиторий: .env файл, тестовый токен, конфиг с адресом staging-сервера.
Через короткое время это подбирают боты, автоматический скан публичных репозиториев идёт постоянно. Интересное здесь не в халатности, а в скорости автоматизации: между коммитом и использованием может пройти меньше минуты.
👍3
Password Spraying - обратная сторона брутфорса
Вместо перебора 10 000 паролей к одному аккаунту берется: один популярный пароль и проверяется на 10 000 аккаунтах.
Почему это работает: нет массовых блокировок одного аккаунта, атака распределена и выглядит как обычные попытки входа.
С технической точки зрения это просто статистика и знание человеческих шаблонов.
Вместо перебора 10 000 паролей к одному аккаунту берется: один популярный пароль и проверяется на 10 000 аккаунтах.
Почему это работает: нет массовых блокировок одного аккаунта, атака распределена и выглядит как обычные попытки входа.
С технической точки зрения это просто статистика и знание человеческих шаблонов.
👍3
Как крадут сессии через расширения браузера
Расширения имеют доступ к страницам, которые вы открываете. Если расширение вредоносное или скомпрометировано, то оно может читать содержимое страницы и перехватывать токены.
Это не перехват пароля и не подбор, а работа внутри доверенной среды. С технической точки зрения расширение - почти как встроенный скрипт с расширенными правилами. Поэтому модель доверия в браузере - это не только сайты, но и установленные дополнения.
Расширения имеют доступ к страницам, которые вы открываете. Если расширение вредоносное или скомпрометировано, то оно может читать содержимое страницы и перехватывать токены.
Это не перехват пароля и не подбор, а работа внутри доверенной среды. С технической точки зрения расширение - почти как встроенный скрипт с расширенными правилами. Поэтому модель доверия в браузере - это не только сайты, но и установленные дополнения.
👍3
Почему rate limit не спасает от всех атак
Разработчик ставит ограничение: 5 запросов в секунду с одного IP. Кажется, что перебор и спам теперь невозможны.
Но атака может идти через тысячи прокси, ботнет или распределённые устройства. Тогда каждый IP делает нормальное число запросов, а в сумме получается перегрузка или массовый перебор.
Rate limit - это полезный слой защиты, но не абсолютный. Если защита завязана только на IP, атакующий просто меняет точку входа.
Разработчик ставит ограничение: 5 запросов в секунду с одного IP. Кажется, что перебор и спам теперь невозможны.
Но атака может идти через тысячи прокси, ботнет или распределённые устройства. Тогда каждый IP делает нормальное число запросов, а в сумме получается перегрузка или массовый перебор.
Rate limit - это полезный слой защиты, но не абсолютный. Если защита завязана только на IP, атакующий просто меняет точку входа.
👍3
Чем опасен debug mode в проде
Иногда приложение случайно выкатывают с включённым debug-режимом. И вместо обычной ошибки сервер показывает стек вызовов, пути к файлам, переменные окружения и детали SQL.
Для пользователя - ошибка. Для атакующего - карта внутреннего устройства системы. Так часто утекали имена таблиц, секреты, конфиги и логика обработки запросов. Один подробный traceback может сэкономить злоумышленнику часы разведки.
Иногда приложение случайно выкатывают с включённым debug-режимом. И вместо обычной ошибки сервер показывает стек вызовов, пути к файлам, переменные окружения и детали SQL.
Для пользователя - ошибка. Для атакующего - карта внутреннего устройства системы. Так часто утекали имена таблиц, секреты, конфиги и логика обработки запросов. Один подробный traceback может сэкономить злоумышленнику часы разведки.
👍3
Почему 403 Forbidden - это не всегда хорошо
Разработчик закрыл доступ к /admin и получает 403 Forbidden. Кажется, всё правильно: доступ запрещён. Но сама разница между 403 и 404 уже может выдавать лишнюю информацию. Например, что ресурс действительно существует, просто у текущего пользователя нет прав.
Это помогает атакующему в разведке: он понимает, какие роуты реальны, какие панели существуют и где стоит искать следующую ошибку доступа. Иногда система защищает функцию, но одновременно подтверждает её наличие.
Разработчик закрыл доступ к /admin и получает 403 Forbidden. Кажется, всё правильно: доступ запрещён. Но сама разница между 403 и 404 уже может выдавать лишнюю информацию. Например, что ресурс действительно существует, просто у текущего пользователя нет прав.
Это помогает атакующему в разведке: он понимает, какие роуты реальны, какие панели существуют и где стоит искать следующую ошибку доступа. Иногда система защищает функцию, но одновременно подтверждает её наличие.
👍3
Чем опасные предсказуемые reset-токены
Форма “Забыли пароль” кажется простой функцией. Но если токен восстановления генерируется предсказуемо - по времени, ID пользователя или слабому шаблону - его можно подобрать.
Тогда атака идёт не через пароль, а через механизм его сброса. Именно поэтому безопасность восстановления аккаунта не менее важна, чем безопасность логина.
Иногда взлом начинается не с брутфорса, а с анализа того, как система помогает вернуть доступ.
Форма “Забыли пароль” кажется простой функцией. Но если токен восстановления генерируется предсказуемо - по времени, ID пользователя или слабому шаблону - его можно подобрать.
Тогда атака идёт не через пароль, а через механизм его сброса. Именно поэтому безопасность восстановления аккаунта не менее важна, чем безопасность логина.
Иногда взлом начинается не с брутфорса, а с анализа того, как система помогает вернуть доступ.
👍3
Дайджест утренних новостей 15 мая
———————————————
Максимальная серьезность ошибки Cisco SD-WAN, обнаруженная в реальных условиях. Это второй раз в этом году, когда злоумышленник воспользовался уязвимостью CVSS 10.0 в системе управления сетью Cisco. Источник: Dark Reading
———————————————
Локальный сервер Microsoft Exchange CVE-2026-42897, используемый через специально созданную электронную почту. Microsoft раскрыла новую уязвимость безопасности, затрагивающую локальные версии Exchange Server, которые, по ее словам, подвергаются активной эксплуатации. Источник: The Hacker News
———————————————
OpenAI просит пользователей macOS обновиться после атаки на цепочку поставок TanStack npm. Эти действия предпринимаются в свете расширяющейся кампании по цепочке поставок, влияющей на популярную библиотеку с открытым исходным кодом TanStack и дополнительные пакеты npm и PyPI, связанные с несколькими компаниями, занимающимися искусственным интеллектом. Источник: The Record
———————————————
Максимальная серьезность ошибки Cisco SD-WAN, обнаруженная в реальных условиях. Это второй раз в этом году, когда злоумышленник воспользовался уязвимостью CVSS 10.0 в системе управления сетью Cisco. Источник: Dark Reading
———————————————
Локальный сервер Microsoft Exchange CVE-2026-42897, используемый через специально созданную электронную почту. Microsoft раскрыла новую уязвимость безопасности, затрагивающую локальные версии Exchange Server, которые, по ее словам, подвергаются активной эксплуатации. Источник: The Hacker News
———————————————
OpenAI просит пользователей macOS обновиться после атаки на цепочку поставок TanStack npm. Эти действия предпринимаются в свете расширяющейся кампании по цепочке поставок, влияющей на популярную библиотеку с открытым исходным кодом TanStack и дополнительные пакеты npm и PyPI, связанные с несколькими компаниями, занимающимися искусственным интеллектом. Источник: The Record
👍3
Дайджест вечерних новостей 15 мая
———————————————
Четыре недостатка OpenClaw способствуют краже данных, повышению привилегий и сохранению информации. Исследователи кибербезопасности раскрыли набор из четырех недостатков безопасности в OpenClaw, которые можно объединить для кражи данных, повышения привилегий и сохранения информации. Источник: The Hacker News
———————————————
Cisco исправляет еще одну активно эксплуатируемую уязвимость нулевого дня SD-WAN (CVE-2026-20182). Cisco исправила еще одну уязвимость обхода аутентификации контроллера Catalyst SD-WAN (CVE-2026-20182), которая использовалась как «нулевой день» весьма изощренным злоумышленником. Источник: Help Net Security
———————————————
Akamai приобретет LayerX за 205 миллионов долларов. Akamai заключила окончательное соглашение о приобретении LayerX, поставщика средств контроля использования искусственного интеллекта на основе браузера и технологии безопасного корпоративного браузера (SEB). Источник: Help Net Security
———————————————
Четыре недостатка OpenClaw способствуют краже данных, повышению привилегий и сохранению информации. Исследователи кибербезопасности раскрыли набор из четырех недостатков безопасности в OpenClaw, которые можно объединить для кражи данных, повышения привилегий и сохранения информации. Источник: The Hacker News
———————————————
Cisco исправляет еще одну активно эксплуатируемую уязвимость нулевого дня SD-WAN (CVE-2026-20182). Cisco исправила еще одну уязвимость обхода аутентификации контроллера Catalyst SD-WAN (CVE-2026-20182), которая использовалась как «нулевой день» весьма изощренным злоумышленником. Источник: Help Net Security
———————————————
Akamai приобретет LayerX за 205 миллионов долларов. Akamai заключила окончательное соглашение о приобретении LayerX, поставщика средств контроля использования искусственного интеллекта на основе браузера и технологии безопасного корпоративного браузера (SEB). Источник: Help Net Security
👍3
Дайджест новостей 16 мая
———————————————
С криптоплатформы THORChain украдено более $10 млн. Представители THORChain заявили, что расследование инцидента продолжается, но пояснили, что одно из шести хранилищ было взломано, что привело к потере около 10,7 миллионов долларов. Источник: The Record
———————————————
Критическая уязвимость безопасности, затрагивающая плагин Funnel Builder для WordPress, стала объектом активной эксплуатации с целью внедрения вредоносного кода JavaScript на страницы оформления заказа WooCommerce с целью кражи платежных данных. Источник: The Hacker News
———————————————
С криптоплатформы THORChain украдено более $10 млн. Представители THORChain заявили, что расследование инцидента продолжается, но пояснили, что одно из шести хранилищ было взломано, что привело к потере около 10,7 миллионов долларов. Источник: The Record
———————————————
Критическая уязвимость безопасности, затрагивающая плагин Funnel Builder для WordPress, стала объектом активной эксплуатации с целью внедрения вредоносного кода JavaScript на страницы оформления заказа WooCommerce с целью кражи платежных данных. Источник: The Hacker News
👍3
Дайджест новостей 18 мая
———————————————
Злоумышленники используют критическую уязвимость NGINX (CVE-2026-42945). Уязвимость, получившая название NGINX Rift, может быть надежно использована для запуска состояния отказа в обслуживании и потенциально может сделать возможным удаленное выполнение кода без аутентификации. Источник: Help Net Security
———————————————
SmartBear расширяет ReadyAPI возможностями тестирования API на основе искусственного интеллекта. SmartBear анонсировал новую возможность ReadyAPI по созданию тестов искусственного интеллекта, которая ускоряет тестирование API до 80%, одновременно предоставляя командам контроль над включением или отключением искусственного интеллекта. Источник: Help Net Security
———————————————
Злоумышленники получили доступ и скачали код с GitHub Grafana Labs. Нарушение является значительным, учитывая широкое использование Grafana Labs командами корпоративного проектирования и DevOps по всему миру. Источник: Help Net Security
———————————————
Злоумышленники используют критическую уязвимость NGINX (CVE-2026-42945). Уязвимость, получившая название NGINX Rift, может быть надежно использована для запуска состояния отказа в обслуживании и потенциально может сделать возможным удаленное выполнение кода без аутентификации. Источник: Help Net Security
———————————————
SmartBear расширяет ReadyAPI возможностями тестирования API на основе искусственного интеллекта. SmartBear анонсировал новую возможность ReadyAPI по созданию тестов искусственного интеллекта, которая ускоряет тестирование API до 80%, одновременно предоставляя командам контроль над включением или отключением искусственного интеллекта. Источник: Help Net Security
———————————————
Злоумышленники получили доступ и скачали код с GitHub Grafana Labs. Нарушение является значительным, учитывая широкое использование Grafana Labs командами корпоративного проектирования и DevOps по всему миру. Источник: Help Net Security
👍3
Дайджест новостей 19 мая
———————————————
Canonical выпускает Ubuntu Core 26 с 15-летней поддержкой безопасности. Операторы промышленных датчиков, периферийных контроллеров искусственного интеллекта и подключенного медицинского оборудования теперь имеют обновленную долгосрочную версию Linux для автопарков, которые должны оставаться исправленными в течение более десяти лет. Источник: Help Net Security
———————————————
Mini Shai-Hulud возвращается, ставя под угрозу сотни пакетов npm. Самовоспроизводящаяся вредоносная кампания, известная как Mini Shai-Hulud, вновь всплыла на поверхность, на этот раз внедряясь в сотни пакетов npm. Источник: CyberScoop
———————————————
Microsoft разрушает платформу Fox Tempest, предоставляющую подписи вредоносных программ как услугу, связанную с бандами вымогателей. Компания раскрыла судебное дело в окружном суде США, в котором подробно описывается сбой в работе Fox Tempest — популярного сервиса, который работает с мая 2025 года и предоставляет киберпреступникам инструменты для подписи кода. Источник: The Record
———————————————
Canonical выпускает Ubuntu Core 26 с 15-летней поддержкой безопасности. Операторы промышленных датчиков, периферийных контроллеров искусственного интеллекта и подключенного медицинского оборудования теперь имеют обновленную долгосрочную версию Linux для автопарков, которые должны оставаться исправленными в течение более десяти лет. Источник: Help Net Security
———————————————
Mini Shai-Hulud возвращается, ставя под угрозу сотни пакетов npm. Самовоспроизводящаяся вредоносная кампания, известная как Mini Shai-Hulud, вновь всплыла на поверхность, на этот раз внедряясь в сотни пакетов npm. Источник: CyberScoop
———————————————
Microsoft разрушает платформу Fox Tempest, предоставляющую подписи вредоносных программ как услугу, связанную с бандами вымогателей. Компания раскрыла судебное дело в окружном суде США, в котором подробно описывается сбой в работе Fox Tempest — популярного сервиса, который работает с мая 2025 года и предоставляет киберпреступникам инструменты для подписи кода. Источник: The Record
👍3