14 марта пентестер Александр Анашин (DAFFIER) выступил на студенческой конференции ISCRA Talks с темой «API пентест в веб-приложении VAmPI» 🕵‍♂️

Это событие собрало активных студентов, желающих углубить свои знания в области кибербезопасности.

⚪Почему тему выступления можно назвать аткуальной для студентов?

«Выбранная мной тема подсветила студентам, что ИБ — это не абстрактная теория, а критически важная часть разработки. Например, я разобрал кейс, где неправильная обработка API-запросов привела к полной компрометации базы данных. Это показало, что даже базовые ошибки (вроде отсутствия перепроверок) могут иметь катастрофические последствия. Я надеюсь, это вдохновило студентов углубиться в кибербезопасность и они получили ценную информацию для дальнейшего применения» — комментирует DAFFIER.

⚪Какие еще вопросы интересовали слушателей?

«Один из вопросов был про SQL-инъекции. Меня спросили, сталкивался ли я с ними на практике. Я честно ответил, что пока нет. Но это не делает данную тему менее важной. Я объяснил, что такие уязвимости до сих пор встречаются в реальности, и привел примеры, как их можно обнаружить и предотвратить. Думаю, аудитория ушла с четким пониманием, что безопасность — это не про абстрактные угрозы, а про реальные риски, которые можно и нужно контролировать» —

ответил Александр.

⚪Как ты думаешь, почему важно выступать на подобных студенческих конференциях?

«Делясь знаниями, ИБ-компании расширяют нетворкинг, участвуют в развитии отрасли и помогает молодым специалистам развивать важные навыки. Также это про инвестиции в репутацию и рост компании» —

отметил пентестер.

Презентацию вы найдете в комментариях 💻

Поздравляем Александра с дебютом и желаем дальнейших успехов!

#Делясь_знаниями_получаешь_больше

Утечка данных в Keenetic: как защитить корпоративные сети от атак с использованием утекших данных 🕵‍♂️

Несколько дней назад миру стало известно, что крупнейший производитель сетевого оборудования Keenetic был подвержен хакерской атаке, это повлекло за собой утечку личных данных пользователей.

Компания подтвердила факт утечки. Под угрозой находятся пользователи, зарегистрированные до 16 марта 2023 года.

О возможном взломе компанию предупреждали еще в марте 2023 года. Тогда Keenetic утилизировали уязвимость, однако какие-то данные уже успели попасть в руки хакеров.

Пострадавшая компания заявила, что финансовые данные пользователей в безопасности. Но это не значит, что ситуация безобидна: утечка учетных данных администраторов, обширных пользовательских данных, информации о Wi-Fi, специфических настройках устройств и сведений о сетях несет большой риск для конфиденциальности.

🤝 Новость вдохновила нашу команду рассказать о важных шагах, которым стоит следовать, если ваша компания столкнулась с компрометацией ценных данных.

Краткий чек-лист для руководителей отделов ИБ и ИТ

⚪Создайте план действий заранее
Это нужно, даже если утечек никогда не случалось. Опишите шаги подробно, включая процедуры уведомления, сдерживания и восстановления. Хорошо работают тренировки по реагированию на инциденты. Так сотрудники будут быстрее ориентироваться и с большей вероятностью эффективно отреагируют.

⚪Как база: смените пароли и конфигурации
Обновите все пароли, особенно те, которые могли быть скомпрометированы. Используйте сильные и уникальные пароли для каждой учетной записи. Проверьте и обновите конфигурации сетевых устройств, включая маршрутизаторы и серверы.

⚪Усильте аутентификацию
Внедрите 2FA для всех пользователей (если вы еще этого не сделали), чтобы предотвратить несанкционированный доступ даже при наличии украденных паролей. Если возможно, используйте MFA для повышения безопасности доступа к критическим системам.

⚪Обновите и проведите патчинг ПО
Регулярно обновляйте программное обеспечение и операционные системы, чтобы закрыть известные уязвимости. Применяйте патчи безопасности для устранения обнаруженных уязвимостей в ПО.

⚪Проводите мониторинг инцидентов
Установите IDS/IPS для мониторинга и блокировки подозрительной активности в сети.

⚪Обучайте сотрудников
Проводите регулярные тренинги для сотрудников по вопросам безопасности и правильному реагированию на инциденты. Например, организуйте поквартальные курсы повышения осведомленности всех сотрудников. Анализируйте аналитику по каждому сотруднику и его степень риска стать жертвой мошенников.

⚪Разграничьте доступ
Лучше предоставлять сотрудникам доступ только к тем данным и системам, которые необходимы для выполнения их рабочих обязанностей. Периодически пересматривайте права доступа пользователей. Это ограничивает масштаб ущерба в случае компрометации учетной записи.

⚪Регулярно проводите тестирование на проникновение и аудит безопасности
Пентест поможет действовать проактивно и выявит уязвимости в системах до того, как ими воспользуются злоумышленники. Комплексные аудиты безопасности необходимы для соответствия требованиям регуляторов и для выявления, устранения слабых мест в защите.

«Помните, что критические ситуации случаются

всегда не вовремя

, поэтому важно иметь

план действий

, который в случае проблемы поможет сохранять спокойствие и действовать эффективно» — РАД КОП.

#Делясь_знаниями_получаешь_больше

🕵‍♂️ РАД КОП открывает вакансию руководителя финансового направления.

Мы — это производственный кооператив, в сфере информационной безопасности. У нас нет традиционной иерархии, отрытая товарищеская среда и атмосфера бурлящего стартапа 🪨

Сейчас мы ищем человека, который:

⚪ Понимает финансы как инструмент развития организаций на благо людей, а не контроля ради контроля и регламентов;

⚪ Имеет опыт работы в неформальных коллективах или осознает, что подготовлен к ним и мечтает в такой попасть (а-ля «Педагогическая поэма» Макаренко, «Открывая организации будущего» Лалу или «Понедельник начинается в субботу» Стругацких);

⚪ Готов работать в условиях динамичного самоуправления (где важны инициатива и личная ответственность перед товарищами и клиентами) и умеет балансировать между креативностью и административной рутиной, направлен на эффективные процессы и результат.

✅ Ожидания от кандидата по знаниям и компетенциям:

1. Развитие методологии, внедрение и сопровождение управленческого учета в кооперативе;

2. Курирование проектов по автоматизации систем бюджетирования, бюджетного и казначейского контроля;

3. Проектирование и наполнение нормативно-справочной информации: планы счетов, статьи доходов/расходов, МВЗ, центры прибыли;

4. Реализация схем закрытия затрат, расчеты ФОТ, налогов, стыковка данных план/факт;

5. Ведение отчетности (БДР, БДДС, баланс), факторного и ABC-анализом;

6. Уверенный пользователь Excel, 1С, CorPlan (OptiMacros) — тут могут быть нюансы, но в конечном итоге надо уметь «работать руками с компьютерными системами и приложениями», чтобы быть способным самостоятельно делать п. 1 - 5 (у нас небольшая компания, с оборотом 100 млн рублей в год и парой десятков сотрудников, а функции бухгалтерии, налогового учета, юриспруденции уже делигированы другим товарищам 🤝).

Зарплата и иные элементы мотивации зависят от ваших навыков, компетенций, опыта и наших договоренностей. Ключевая задача может быть сформулирована как проект развития управленческого учета в коопе, но важно быть способным не только создавать новое, но и поддерживать старое.

🖋 Как устроено наше сотрудничество?

Сейчас мы формируем пулл желающих участвовать в конкурсе. Алгоритм такой:

1. Вы откликаетесь на вакансию и высылаете нам резюме;

2. Мы проводим предварительный отбор резюме;

3. Отобранные кандидаты приглашаются на неформальное онлайн-знакомство (обсуждаем соответствие по ценностям и играем в бизнес-игры для синхронизации, решаем тестовые задания)

4. По итогам тестируем подошедших кандидатов с помощью психометрического теста (аналитические способности, открытость изменениям, напористость и способность доводить дело до конца, лидерские качества);

5. Принимаем окончательное решение по предложению наиболее подходящему, на наш взгляд, кандидату и синхронизируемся с ним по договоренностям.

Важно: Нам не нужно «идеальное» резюме. Ценим искренность, стремление доводить проекты до результата, реальные компетенции и готовность к диалогу и ответственности за взятые на себя обязательства⏳

‼️ Заинтересованным участникам писать в Телеграм: @marina_du

Отправляйте пост тому, для кого вакансия может быть актуальна.

Банк России обновил требования по информационной безопасности: Положение № 851-П

Положение вступило в силу 29 марта 2025.

Новые требования заменяют Положение 683-П и усиливают защиту банковской информации от мошеннических действий.

✅ Положение № 851-П обязывает филиалы иностранных банков в России использовать проверенное ПО, регистрировать действия при аутентификации и предотвращать вовлечение несовершеннолетних в финансовые преступления, усиливает контроль за электронными сообщениями и телефонными номерами клиентов.

🤝 Команда РАД КОП изучила новые требования и выделила основные изменения, о них рассказали в мини-статье.

⚪Новые требования расширяют круг регулируемых организаций и включают филиалы иностранных банков, что особенно важно в условиях санкций в рамках единообразного подхода к защите информации в финансовом секторе. Например, применение электронной подписи и отечественных СКЗИ без исключений говорит о продолжающемся тренде импортозамещения. Контроль смены sim-карт является логичным в условиях периодически появляющихся сообщений о перехвате управлением интернет-банкингом с использованием дублей сим, а оповещение о действиях несовершеннолетних должно как снизить риски мошенничества с участием таковых, так и закрепить ответственность за их действия и действия совершенные от их имени за их законными представителями. Установленные сроки предоставления информации об инцидентах защиты информации позволят Банку России держать «руку на пульсе» и видеть масштабы киберугроз в реальном времени.

— комментирует выход Положения № 851-П руководитель круга комплаенса и методологии Александр Осипов 🤝

Переходите по ссылке, чтобы узнать подробности, и отправляйте коллегам из ИБ.

#Экспертно_РАДКОП #851П

Новый Приказ ФСБ №117: что изменилось и как это повлияет на государственный сектор?

6 апреля 2025 года вступил в силу Приказ ФСБ №117, Приказ №524 отменен.

Ключевое изменение: увеличилось количество организаций и информационных систем государственного сектора, в которых класс СКЗИ необходимо выбирать, следуя строгим правилам, установленным Приказом №117.

⚪Для кого важно?

Это важно для органов государственной власти, государственных унитарных предприятий и государственных учреждений, в информационных системах которых применяются средства криптографической защиты информации.

⚪Почему это важно?

Перечисленным выше организациям надо пересмотреть свой подход к определению класса СКЗИ, который на данный момент используется в их информационных системах, и проверить его на соответствие требованиям и процедуре определения класса СКЗИ, установленных Приказом №117.

⚪Есть риски?

Если не привести свои информационные системы в соответствие с требованиями Приказа №117, то возникают риски использования СКЗИ неверно определённого класса, что в свою очередь

влияет как на уровень защищенности информационных систем указанных организаций, так и создаёт для них регуляторные риски

.

Эксперты РАД КОП подготовили подробный разбор документа. Узнайте, какие изменения вас касаются и как адаптироваться к новым условиям в мини-статье.

Отправляйте статью коллегам и проводите аудиты своевременно 🤝

#Экспертно_РАДКОП #Приказ117

Информационная безопасность в сфере микрофинансирования

25 апреля состоится онлайн-встреча, посвященная актуальным вопросам кибербезопасности в области микрофинансирования.

🎙 В числе спикеров — Александр Осипов, эксперт РАД КОП, который поделится своим опытом и разъяснит особенности формирования минимального ИБ-контурa для организаций финансового сектора. В рамках встречи эксперты обсудят ключевые риски, требования регуляторов и практические подходы к обеспечению защиты данных в МФО, КПК и ломбардах.

Мероприятие будет полезно руководителям, ИТ- и ИБ-специалистам, внутренним контролёрам и сотрудникам по комплаенсу. Участники получат чек-листы и рекомендации по актуальным нормативным требованиям.

⚪Дата и время: 25 апреля, 10:00–11:00 (МСК).
⚪Регистрация открыта до 24 апреля, 14:00 МСК.

Регистрация по ссылкам:
Юр. лица | Физ. лица

#Делясь_знаниями_получаешь_больше #Вебинар

Кибератаки на туристические сервисы: как избежать проблем

Недавнее исследование AppSec Solutions выявило более 1300 уязвимостей в популярных приложениях для бронирования путешествий, из которых 381 — высокого риска. Это создает серьезные угрозы для персональных данных и финансов пользователей. Подробнее — в материале «Известий» с комментарием Рустама Гусейнова, председателя кооператива РАД КОП, эксперта АБИСС.

Что важно знать бизнесу?

⚪Безопасная разработка — ключ к снижению рисков

В компаниях с продуманной безопасной разработкой применяются комплексные меры: контроль сторонних компонентов, автоматизированное тестирование приложений на уязвимости, а также создание синтетических данных для тестирования, чтобы исключить компрометацию реальных персональных данных.

⚪Активное выявление и устранение уязвимостей

Важным элементом является участие в bug bounty-программах и сбор обратной связи от пользователей, что позволяет оперативно обнаруживать и исправлять технические дефекты и угрозы безопасности.

⚪Использование проверенных поставщиков аналитических сервисов и реализация защиты конечного клиента

Трекеры и аналитические сервисы несут риски для приватности пользователей (отслеживание действий на веб-ресурсах, перехват нажатий, обнаружение геопозиции и т.д.).

Для избежания рисков, связанных с кражей учетных данных пользователей или доступностью сервиса аналитики, команде разработки нужно проверять конечные скрипты, фиксировать версии компонентов и обеспечить реализацию проверки целостности на клиенте (для защиты от подмены исходного кода подключаемого сервиса).

Если злоумышленник подменит сторонний скрипт, который разработчики подключают без проверки его целостности и источника, это приведёт к критической уязвимости. В результате злоумышленник сможет изменять содержимое страницы (например, перерисовывать интерфейс) и внедрять вредоносный код, что ставит под угрозу данные пользователей и безопасность сервиса.

Что важно знать пользователям?

⚪Практический чек-лист:
— Используйте многофакторную аутентификацию
— Будьте осторожны с открытыми Wi-Fi, особенно в общественных местах
— Не сохраняйте данные карт в ненадежных сервисах
— Создавайте виртуальные карты с ограниченным лимитом для поездок
— Передавайте данные только через официальные веб-ресурсы или приложения

↕️Туристическая сфера — одна из самых привлекательных целей для киберпреступников. Будьте бдительны. Несоблюдение стандартов безопасности может привести к серьезным репутационным и финансовым потерям.

#Экспертно_РАДКОП #Безопасная_разработка

🕵‍♂️ Анонс CoopDays IV/2025, или как совместить кооперацию, самоуправление, ИТ и ИБ

Друзья, товарищи, коллеги и партнеры, мы рады сообщить вам, что точные даты очередной конференции определены. CoopDays IV пройдет 5-7 сентября этого года в районе г. Серпухов Московской области, неподалеку от приокско-террасного заповедника 🤝

🌄 Как и в прошлые годы, мы будем работать и отдыхать на стыке двух «территорий»: с одной стороны —классический ИТ и ИБ, с другой — самоуправление и прогрессивные методы организации труда. Конференция отразит накопленный нами за 3 последние года опыт развития и проектной деятельности.

Мы будем говорить:

⚪ О трансформации ИТ и ИБ в контексте процессного подхода и экономических проблем. О том, стоит ли рассчитывать на переход от «армейской парадигмы», где ИБ — это расходная статья в бюджете и надстройка над ИТ, к осмыслению ИБ как фактора создания ценности для организации и её клиентов?

⚪ О хайпе вокруг импортозамещений, ИИ, «новых инновационных прорывов» и отделении мух от котлет, заземлении наших ожиданий об ограничения «суровой реальности» и о том, где заканчиваются достоверные сценарии и начинается либо футурология, либо гадание на кофейной гуще;

⚪ Об опыте организации самоуправления и о том, как люди, процессы и технологии, будучи организованы в соответствии с принципами кооперации, позволяют достигать неожиданных результатов. Какую роль здесь играет парадигма learning organization Питера Сенге и почему социальный рейтинг не «зло», а позитивная необходимость.

Точный состав спикеров, программа и прочее уточняются. Если вы ещё у нас не были, то можете поспрашивать коллег и познакомиться с материалами прошлых конференций по ссылке выше, или на нашем YouTube канале (важно подчеркнуть, что наш формат — это не просто «посидели, поговорили, разошлись», а активный нетворкинг и содержательный досуг, не просто вереница «ещё одних несостыкованных друг с другом докладов», а продуманный сценарий и синергия).

🖋 Для кого?

Конференция будет интересна собственникам компаний и предпринимателям, директорам ИТ и ИБ, профильным специалистам, исследователям и активистам самоуправления и кооперации, всем сочувствующим и, надеемся, членам семей участников и нашим гостям 🤝

✅ Если вы в деле: регистрируйтесь, пожалуйста - https://forms.yandex.ru/u/6822c5ca84227c3c9023e527/ =)

*Организаторы оставляют за собой право отказать в участии заполнившим анкету без детализации причин в связи с ограниченным количеством мест. Но мы постараемся найти win-win. Если вы получили этот пост от наших координаторов — значит вы в шорт-листе кандидатов на участие, и мы будем очень рады вас видеть 🔨

‼️ P.S. Относительно формата:

Формат конференции подразумевает не только «территорию ума», но и много неформального общения, игр, экскурсий. По отзывам участников напоминает скорее мини-отпуск в компании интересных и дружных людей. Формат конференции исключает алкоголь и «блекджэк», многие участники приезжают с семьями и детьми. Новым участникам важно понимать, что наш формат — про «натуральное общение без допинга».

Новые штрафы за нарушения в сфере персональных данных с 30 мая 2025 года — что нужно знать уже сегодня 🕵‍♂️

Специалисты из круга комплаенса РАД КОП подготовили подробный разбор изменений в КоАП РФ, которые существенно ужесточают ответственность за нарушения в обработке персональных данных.

Важно:

⚪Штрафы за непредставление уведомлений в Роскомнадзор выросли в десятки раз — до 300 тысяч рублей для организаций. Это означает, что даже технические ошибки в документообороте могут обернуться серьёзными финансовыми потерями.

⚪За утечку персональных данных штрафы достигают миллионов рублей, а за повторные нарушения — оборотные штрафы до 3% от годовой выручки!

⚪Особое внимание уделяется утечкам специальных категорий и биометрических данных — максимальные штрафы могут достигать 20-500 млн рублей. Планка требований к безопасности поднимается на новый уровень.

‼️ Эти изменения — сигнал для всех, кто работает с персональными данными: пора не просто проверять соответствие, а выстраивать системный подход к информационной безопасности и комплаенсу.

Мы подготовили для вас удобную таблицу штрафов в PDF-формате, чтобы вы могли быстро ориентироваться в новых правилах и оценить потенциальные риски.

PDF-файл прикреплен в комментариях. Оставляйте "➕" в комментариях, если таблица пригодилась.

🖋 Полный разбор изменений и рекомендации — в нашей расширенной статье.

Предупрежден — значит вооружен. Проведите аудит заранее и подготовьтесь.

Если нужна помощь с оценкой рисков и внедрением мер защиты — наши специалисты всегда готовы проконсультировать 🤝

#Экспертно_РАДКОП #КоапРФ #Штрафы

«Кому мы нужны? Нас не взломают» — именно так часто думают представители малого и среднего бизнеса 🕵‍♂️

Но в 2025 году киберугрозы для МСБ в России стали реальностью, а не теорией.

🖋 За первый квартал этого года в стране зафиксировано от 37 до 50 крупных утечек персональных данных, в результате которых в руки киберпреступников попали 21,5 млн уникальных телефонных номеров и 17 млн адресов электронной почты. Особенно часто под удар попадают логистические компании, интернет-магазины и сервисы для развлечений — именно те сегменты, где работают тысячи МСБ.

Для иллюстрации:

⚪В феврале 2025 года хакеры атаковали федеральную микрофинансовую организацию CarMoney. В результате взлома были остановлены работа сайта и мобильного приложения, а клиенты лишились доступа к сервисам;

⚪В марте 2025 года крупная российская авиакомпания столкнулась с DDoS-атакой: около 2,5 тысяч ботов одновременно «искали» билеты, что вывело из строя систему бронирования;

⚪В том же месяце российский интернет-провайдер Lovit, обслуживающий жилые комплексы крупнейшего застройщика ПИК в Москве, Санкт-Петербурге и других регионах, стал жертвой масштабной DDoS-атаки. Мощность атаки достигала пиковых 65 Гбит/с и скорости более 6 миллионов пакетов в секунду, что привело к массовым сбоям в работе сервисов и временному отключению интернета для миллионов пользователей. Из-за этого жители нескольких городов потеряли доступ не только к Wi-Fi, но и к домофонам, которые многие открывают через мобильные приложения.

Что делать МСБ, мы обсудили в нашей новой статье:

✅ Как реально встроить безопасность в процессы разработки без лишней бюрократии;
✅ Какие инструменты и практики работают для МСБ, а какие — пустая трата времени;
✅ Как DevSecOps помогает находить и устранять уязвимости до того, как они станут проблемой;
✅ Какие метрики и подходы доказывают эффективность защищённой разработки.

Напомним, что с 30 мая вступили в силу новые штрафы за нарушения в обработке персональных данных. И теперь они довольно внушительные, друзья...

Мы хотим, чтобы безопасность стала встроенной частью процесса, новой возможностью и генератором прибыли в компании клиента, а не «довеском» или «дырой в бюджете».

Спешите прочесть статью и делитесь своим мнением в комментариях 🤝

#Статья_РАДКОП #Безопасная_разработка

История, как один сотрудник всё уронил ⚙️

Представьте ситуацию:

На корпоративную почту сотрудника Миши приходит письмо с темой «Выгодное лето с компанией N: промокод на авиабилеты до 20 июня». Миша на радостях и с мыслями о долгожданном отпуске открывает письмо, быстро просматривает его текст и кликает на заветную ссылку «Забрать персональный промокод». Спустя несколько часов отдел безопасности бьет тревогу, бизнес-процессы останавливаются, данные ваших клиентов уже слиты, в коллективе паника.

Кибератака произошла на ровном месте. Казалось бы из-за безобидного промокода…

О чём это мы 👉🏻 продолжаем здесь

P.S. Не волнуйтесь, это не фишинговая ссылка :) Переходите и узнавайте о новинке РАД КОП, специальное предложение внутри ☁️

#Awareness

До сих пор царит мнение, что кибербез — это «черная дыра» для бюджета, где результат неочевиден, а требования сводятся к бумажкам и регуляторике 🕵‍♂️

Но можно ли взглянуть на ИБ иначе?
Может ли она стать источником ценности для бизнеса, драйвером лояльности сотрудников и даже прибыли?

В свежем докладе Рустама Гусейнова, председателя кооператива РАД КОП, разбираемся:

⚪Почему ИБ — это не только про риски, но и про работу с неопределённостью;

⚪Как процессный подход помогает превратить ИБ из «обузы» в инструмент развития;

⚪Примеры, как выстроить ИБ вокруг ценности для бизнеса, а не ради галочки;

⚪Ответы на острые вопросы:

— нужен ли SOC небольшим банкам;
— как изменится ИБ с развитием квантовых вычислений;
— как внедрение ИТ и ИБ может реально снижать издержки.

Смотрите видео — и делитесь своим мнением: готовы ли вы пересмотреть взгляд на ИБ и сделать её частью роста вашей компании?

__________
YouTube
VK

P.S. Презентацию прикрепили в комментариях ❤️

#Время_цифры #Видео #Метод_безопасности