Что меняется в Рунете с 1 сентября

Сегодня вступили в силу сразу несколько законов, которые затронут крипту, банковские онлайн-платежи, искусственный интеллект и связь:

▪️Закон об ИИ носит "суверенизационный" характер. Он предполагает господдержку и доступ к международным проектам только для тех компаний, чей ИИ-продукт отвечает "духовно-нравственным ценностям" — критерии здесь утверждают Минцифры и Минкульт. Регулирование же разработок в области обороны, безопасности, оперативно-разыскной деятельости будет осуществляться президентом и отдельными ведомствами.

▪️Официально запущен в оборот цифровой рубль. Он становится доступен клиентам крупнейших банков, где уже можно открывать счета, переводить деньги и оплачивать покупки. При этом для граждан его использование остаётся добровольным (по крайней мере, так обещают).

▪️Закон о криптовалютах разрешает инвестировать в них через участников рынка из реестра Центробанка, но запрет на расчёты цифровыми валютами остаётся. Более того, запрещено распространение информации о возмжности платить криптой и допускать формулировки, которые "позволяют предположить оплату за товары и услуги".

▪️Номер мобильного телефона теперь можно сохранить при переезде в другой регион, даже со сменой оператора.

▪️Росфинмониторинг получит данные о платежах через СБП, «Мир» и единый QR‑код, при этом Национальная система платёжных карт (НСПК) не вправе разглашать сам факт передачи этих сведений.

Через приставки для бесплатного просмотра пиратских фильмов и каналов хакеры брали домашние сети под свой контроль

Исследователи из компании Plume обнаружили, что в недорогих устройствах на Android (вроде приставки SuperBox и её аналогов) на уровне операционной системы отключены почти все стандартные механизмы безопасности: Google Play Protect, проверка подписей и запросы разрешений.

При этом порты отладочного интерфейса ADB (Android Debug Bridge) оказались открыты для интернета, что часто используется для заражения устройств, а root-права выдавались любым приложениям и внешним запросам без всяких паролей. В итоге приставки «сдают» домашний интернет владельца в аренду, позволяя покупателям нелегальных прокси-услуг прогонять вредоносный трафик через IP с хорошей репутацией. Из-за полного отсутствия защиты эти «незваные гости» получали возможность выполнять на устройстве любые команды.

Чтобы оценить реальный масштаб проблемы, специалисты Plume подключили тестовый сервер-ловушку к действующей прокси-сети Popanet, объединяющей около 2 млн подобных медиабоксов. За три недели наблюдений исследователи зафиксировали 1352 реальные попытки хакеров подключиться к устройству через порт ADB, чтобы скрытно установить на него зловреды — от ботнетов (вроде модификаций Mirai) для DDoS-атак до модулей сканирования локальной Wi-Fi-сети.

VPN-дайджест. Август

Что происходит с VPN:

▪️Сегодня, 1 сентября ряд крупных VPN сообщает о проблемах, которые начались еще накануне.

▪️Amnezia VPN, которую жестко блокировали в начале лета, тем временем работает стабильно — во многом благодаря новому протоколу Amnezia WG 3.1. Он умеет обходить ТСПУ ещё эффективнее: меняет весь профиль подключения, скрывает handshake и защищает от ИИ-анализа трафика.

▪️Блокировки самих VPN-протоколов продолжаются по стандартной схеме: цензоры существенно урезают скорость нестандартным способам обхода "белых списков", а на подсетях хостингов обновили фильтры — трафик либо троттлят, либо рвут сессию после передачи определенного объёма данных.

▪️В августе Роскомнадзору уже удалось нарушить работу инфраструктуры более 20 VPN-сервисов, заблокировав IP-адреса и подсети крупных хостинг-провайдеров. В свою очередь, Минцифры предложило выносить IP-адреса из «белых списков» в отдельные подсети, чтобы эффективнее выявлять и фильтровать «замаскированные» VPN.

▪️Эксперты Socket выявили 737 поддельных VPN-расширений в Chrome Web Store, которые были нацелены на россиян и копировали известные бренды (включая AmneziaVPN и AntiZapret) для продвижения платных подписок, но не предоставляя ни безопасности, ни приватности.

Интернет-цензура, сбои и санкционные последствия в работе Рунета:

▪️Россияне массово жаловались на недоступность «Википедии». На некоторых провайдерах доступ восстанавливался только через VPN, а официальные причины сбоя не назывались.

▪️В Рунете зафиксирован масштабный сбой на стороне «Ростелекома», из-за которого на какое-то время «легли» Ozon, Avito, «Яндекс», РЖД, Wildberries, Т-Банк, Пикабу и Telegram.

▪️У российских банков и других сервисов начались проблемы после отзыва TLS/SSL-сертификатов, вызванного санкциями. При попытке зайти с Google Chrome, Safari, Firefox и Edge на их сайты возникало сообщение «подключение не защищено».

▪️На ключевом узле обмена трафиком М9 произошёл аварийный блэкаут, приведший к временному падению доступности в Москве и Подмосковье многих интернет-ресурсов и даже хостингов, в том числе Reg.ru.

▪️Apple удалила из App Store приложение «Яндекс Пэй» во всех регионах на фоне очередного пакета санкций ЕС.

Цензура, интернет-шатдауны и сбои за рубежом:

▪️В нескольких городах Казахстана случился шатдаун мобильного и проводного интернета. Причиной этому стал каскадный сбой в Объединенной энергосистеме Центральной Азии. Инцидент также задел которые города Кыргызстана и Таджикистана.

▪️Отключение электричества также стало причиной интернет-шатдаунов в Грузии и некоторых штатах США.

▪️Гражданам Ирана закрыли доступ к международным языковым экзаменам (Duolingo English Test, TOEFL, GRE) из-за отмены США гуманитарной лицензии. Использование VPN не помогает, так как сервисы требуют подтверждения физического ID.

▪️Запрет соцсетей для несовершеннолетних находит всё больше сторонников: Новая Зеландия готовит запрет для детей до 16 лет, Монголия запрещает соцсети в школах с 1 сентября, а в США большинство граждан поддерживают усиление контроля над интернетом.

▪️Премьер-министр Армении Никол Пашинян предложил законодательно запретить анонимные аккаунты в социальных сетях и ввести обязательную идентификацию пользователей.

Восстановить привычный доступ к интернету всё ещё можно с помощью VPN. Подключайтесь к Amnezia или RKSVPN.

В результате атак на Stripe утекли данные людей, донативших проектам «Давайте» и «Ты не один»

Оба российских благотворительных проекта сообщили, что 11 августа злоумышленники получили доступ к их кабинетам в платёжной системе Stripe через интеграцию с WooCommerce, который каждый из них использовал для проведения онлайн-аукционов. Хакеры выкачали адреса электронной почты доноров, а в отдельных случаях — последние четыре цифры карт и названия банков.

К счастью, полные реквизиты карт, имена и суммы пожертвований не пострадали, так как Stripe заблокировал доступ к основному массиву. Атака совпала с массовой кампанией против клиентов платформы. На одном из теневых форумов хакер под ником Satanic выложил архив на 33 ГБ с данными 669 вендоров (имена клиентов, почты, IP, истории покупок) и 1033 API-ключами, заявив, что это только малая часть, а в целом в его распоряжении порядка 20 000 ключей.

По данным Hudson Rock, сам Stripe не взломан, утечка произошла на уровне подрядчиков — хакерские боты просканировали их серверы в поисках открытых .env-файлов, логов отладки и уязвимостей в облачной инфраструктуре. При этом первый слитый архив обрывается на 1 июня, поэтому данных «Давайте» и «Ты не один» в этой публичной базе нет.

«Алиса AI» может получить доступ к банковским приложениям и чувствительным данным на смартфонах

Такая норма обсуждается между Минцифры и IT-отраслью по части доработки правил предустановки отечественных приложений на ввозимые в Россию устройства. Согласно им, «Алиса AI» получит доступ к банковским и другим приложениям с чувствительными данными, а хранить такие данные будет на своих мощностях. Изменения затронут как смартфоны, так и умные колонки.

Власти уверяют, что речь идёт не о создании преимуществ для конкретного сервиса, а о необходимости «обеспечить равные условия для интеграции и развития отечественных ИИ-технологий на устройствах». Но при этом разрабатывается мера по предустановке системного помощника ИИ, «созданного на базе суверенных или национальных фундаментальных моделей ИИ» (закреплённых новым законом об ИИ).

В отрасли считают, что шаг прямо направлен на ограничение зарубежных аналогов (Siri, Alexa, Google Assistant). «Алиса AI» вместе с «Яндекс Браузером», 2ГИС и мессенджером «Макс» уже вошла в утверждённый перечень софта для предустановки на 2027 год, а реализовывать требования обяжут дистрибьюторов электроники, работающих на российском рынке.

Android 17 скроет от провайдеров историю просмотра сайтов и обращения к сервисам

Google добавил в эту версию ОС стандарт конфиденциальности Encrypted Client Hello (ECH), который решает давнюю проблему приватности. Раньше даже при зашифрованном DNS (DoH/DoT) провайдеры и владельцы точек доступа Wi-Fi всё равно видели домены посещаемых сайтов через незашифрованное поле SNI при установке TLS-соединения.

ECH шифрует начальную часть TLS-рукопожатия, где обычно передаётся имя хоста, с которым устанавливается соединение. А чтобы нельзя было вычислить, что трафик шифруется, в операционку добавили механизм ECH GREASE — он подмешивает случайные «поддельные» значения ко всем подключениям, благодаря чему ECH-соединения не выделяются среди остальных.

Поддержка ECH уже давно реализована в браузерах Chrome 117 и Firefox 119 и более новых версиях на Android, но в случае с Android 17 этот инструмент реализуется уже на уровне самой платформы. Правда, полноценного VPN новый стандарт всё равно не заменит: ECH работает только тогда, когда он включён и на стороне веб-сервера. К тому же он не скрывает IP-адресов, к которым подключается смартфон.

Игроки PlayStation требуют через суд запретить Sony утверждать, что она «продаёт игры»

Четверо геймеров в своём иске отмечают, что компания нарушила калифорнийский закон AB 2426, регулирующий такие цифровые покупки как музыка, фильмы, электронные книги и видеоигры. Эта норма обязывает продавцов цифрового товара предупреждать клиента, что он получает лишь отзываемую лицензию. При этом запрещается использовать слово «купить» без явных оговорок при оформлении заказа.

Истцы указывают, что в магазине игр PlayStation Store всё ещё есть кнопки, предлагающие «Купить» и «Подтвердить покупку». По их словам, если бы пользователи знали, что это не полноценное владение, а всего лишь лицензия, которую Sony может отозвать в любой момент, они бы понимали, что переплачивают за товар.

Геймеры требуют изменить интерфейс магазина на этапе оплаты и выплатить компенсацию пострадавшим. Этот иск может создать важный прецедент и заставить цифровые сервисы честнее и прозрачнее описывать продажу контента.

В свою очередь, Sony подала ходатайство с просьбой отклонить иск, сославшись на пункты 8.4 и 10.1 пользовательского соглашения, где указано, что термин «покупка» не означает передачу прав собственности и оговорены условия отзыва. Также в прошлом месяце компания разослала игрокам письма с напоминанием об этих правилах.

Трафик DDoS-атаки на кыргызстанское издание Kloop всего за 7 часов составил 15-летнюю норму сайта

Несмотря на то, что само СМИ в Кыргызстане запрещено, а его сайт в стране заблокирован, в конце августа общественный фонд Qurium, предоставляющий «Клоопу» хостинг, зафиксировал мощную многовекторную атаку. За 7 часов хакеры сгенерировали почти 50 терабайт мусорного трафика.

Целью атаки стала статья о том, как через массовые жалобы на авторские права в соцсетях блокируют критиков власти в Кыргызстане — за якобы нарушение копирайта прилетают страйки, после чего аккаунты независимых медиа улетают в бан, а материалы удаляются. Это распространённый метод цензуры во всей Центральной Азии.

По словам Qurium, атака носила многовекторный характер. На верхнем уровне хакеры через TCP и HTTPS-флуд имитировали миллионы зашифрованных запросов, заставляя сервер расходовать ресурсы на их расшифровку. На сетевом и транспортном уровнях через UDP, ACK и GRE-флуд сервер и каналы связи просто заливали гигантским объёмом мусорных данных, чтобы забить полосу пропускания и не дать пробиться легитимному трафику.

По данным Qurium, комбинация всех этих методов указывает на применение мощного IoT-ботнета Aisuru/TurboMirai.

ФБР расследует масштабную утечку водительских прав граждан США и Канады

Речь идёт о киберхакерском сервисе Nexus, выставившем на продажу порядка 153 млн сканов удостоверений. Пока только девять человек подтвердили достоверность своих данных, но если подтвердятся и остальные, инцидент станет одной из крупнейших утечек документов в истории Северной Америки.

Первым о Nexus рассказал журналист Брайан Кребс — объявление о продаже базы с водительскими документами появилось на одном из русскоязычных хакерских форумов, а в качестве бесплатного образца продавцы выложили сканы прав самого Кребса. Свои документы в базе обнаружил также специалист из компании в сфере кибербезопасности Infoblox Зак Эдвардс.

Помимо украденных прав, хакеры заявили, что у них в руках миллионы других ID, проездных документов и сотен тысяч медицинских записей. Самой опасной деталью Кребс назвал то, что база обновлялась в режиме реального времени — это указывает на не закрытую до сих пор утечку из инфраструктуры сервисов верификации.

Под подозрение попал американский провайдер систем проверки личности IDScan.net — представитель компании подтвердил журналисту проведение внутреннего расследования. Источник удалось вычислить по временным отметкам, когда Кребс арендовал машину у известной компании Hertz, в свою очередь, являющейся клиентом IDScan. Права других пострадавших сканировали в заведениях с тем же софтом верификации.

Вскоре после публикации отчёта Кребса сайт Nexus исчез из даркнета. Зак Эдвардс считает, что этот инцидент беспрецедентен по свему масштабу и несёт риски не только для рядовых граждан, но и для безопасности высокопоставленных лиц.

Microsoft закрывает неограниченный доступ к облачным играм Xbox и вводит лимиты

На уровне подписки Xbox Game Pass с ноября количество часов облачного игрового времени в месяц будет ограничено:

— 15 часами для Game Pass Ultimate
— 10 часами для Premium
— 5 часами для Essential.

Официально компания объясняет своё решение ростом расходов на серверы, заявляя, что лимиты затронут лишь 4% аудитории. Однако для рынка это выглядит как очередная попытка компенсировать финансовые и маркетинговые провалы подразделения Xbox за счёт кошелька пользователей.

Облачные игры были центральной частью кампании Microsoft «Это Xbox», проводившейся в конце 2024 года и продвигавшей идею использования геймерами своих мобильных устройств и смарт-телевизоров в качестве привычной приставки. Кампания должна была замаскировать слабые продажи консолей Series X/S, но фактически провалилась.

Затем последовало повышение цен на железо и Game Pass, закрытие четырёх студий, увольнение 1600 сотрудников и болезненные кадровые перестановки в руководстве. В таких условиях облачный гейминг рискует превратиться в скрытую рассрочку, когда игроки годами оплачивают регулярные подписки, итоговая сумма которых со временем может сравняться с полной стоимостью консоли.

Российские пользователи жалуются на сбой в работе VirusTotal

Сбой наблюдается у клиентов разных провайдеров в РФ. В некоторых случаях не открывается сам сайт VirusTotal, а доступ к API оказывается недоступен без VPN.

Пишите в комментариях, доступен ли у вас сервис и что говорят провайдеры/браузеры/звёзды?

UPD. Кроме этого, очень много жалоб на работу Playerok.

Высокопоставленный иранский чиновник считает бесполезной фильтрацию интернета из-за распространения VPN

Впервые с 2018 года правительство Ирана сняло запрет для госведомств на использование иностранных платформ, таких как Instagram, Facebook, WhatsApp, Telegram и X (бывший Twitter). Чиновникам снова разрешили вести официальные коммуникации и информационно-пропагандистскую деятельность не только на уровне национальных платформ.

По мнению главы Комиссии по инфотехнологиям Торговой палаты Ирана Али Масуди, это событие продемонстрировало кризис системы цензуры. Фильтрация интернета, заявил он, окончательно утратила смысл на фоне тотального распространения VPN среди иранцев.

Более того, подход, когда госорганам разрешают работать в заблокированных сетях, пока граждане и бизнес не имеют такой возможности, выглядит противоречивым и двойственным. Масуди заявил, что попытки блокировок больше не дают эффекта, а лишь создают угрозы кибербезопасности, вынуждая пользователей массово применять инструменты обхода цензуры.

Хакеры вывели из Liquid Network биткоинов на $320 млн, но обещали вернуть «большую часть» средств

Liquid Network — протокол для быстрых и конфиденциальных транзакций на базе биткоина. Использовав уязвимость в его программном обеспечении, неизвестные выкачали 4000 BTC из основного резерва, где хранилось 4200 биткоинов.

При этом USDT, DePix и ряд других активов сети остались нетронуты. После инцидента платформе пришлось заморозить проведение любых операций. Участвующие в проекте команды подчёркивают, что приватные ключи от кошельков скомпрометированы не были.

Сами получатели средств назвали себя «белыми хакерами» и оставили в блокчейне сообщение с предложением связаться с ними. Также они пообещали вернуть «большую часть» средств, как только разработчики Liquid Network устранят уязвимость.

Американские военные отключают рекламные трекеры на своих смартфонах из-за угрозы отслеживания

Поводом для этого стали отчёты о том, что коммерческие данные о местоположении, собираемые рекламными брокерами, могут быть использованы для наведения ударов по армии США на Ближнем Востоке.

Как выяснилось, процесс блокировки трекеров не был никак централизован, шёл хаотично и растянулся на годы. Сухопутные войска отключии рекламные идентификаторы (MAID) на ПК ещё в 2021 году, но про смартфоны на iOS и Android «вспомнили» только в феврале 2026 года.

Остальные части ВВС США провели аналогичные отключения пару месяцев назад, а Командование спецоперациями — «недавно».

Однако специалисты предупреждают, что это перекрывает лишь прямую передачу GPS-координат. Смартфоны всё равно продолжают «фонить» данными — передавать IP-адреса, списки ближайших Wi-Fi и вышек связи. Сопоставляя эти метрики, можно вычислить точные координаты даже при отключённом MAID.

РКН заблокировал образовательный портал для вебмастеров:

https://blockedin.org/ru/record/10431639/

Satori Web Academy публикует только учебные материалы, дает советы по созданию и оптимизации работы сайтов, поэтому не совсем понятна причина блокировки. Однако среди его статей есть те, которые посвящены VPN, а значит могут быть отнесены к запрещённым в России.

Научная, научно-техническая и статистическая информация про инструменты обхода блокировок попала под запрет в ноябре 2024 года, поэтому вполне возможно, что наличие в реестре Роскомнадзора образовательных порталов перестанет быть редкостью.

Австралия потребует от соцсетей, чтоб пользователи сами формировали свою ленту

Правительство подготовило законопроект „My Feed, My Way” («Моя лента — мой путь»), который обяжет платформы в чёткой и понятной форме предлагать пользователям выбор: или смотреть сформированную алгоритмами ленту рекомендаций, или переключиться только на контент от друзей и авторов, на которых они решили сами подписаться. Власти считают небезопасными алгоритмы, которые удерживают внимание с помощью подмешивания контента, вызывающего зависимость.

Этот шаг повторяет опыт Европейскгого союза с его «Законом о цифровых услугах» (DSA), однако Австралия хочет избежать ошибок ЕС, где IT-гиганты нашли лазейку, спрятав опцию отключения рекомендаций так глубоко в настройки, что пользователи её просто не могут отыскать. Платформы за игнорирование новых требований предлагается штрафовать до $79 млн.

Но у правозащитников вызывает опасения то, что следить за соблюдением правил будет регулятор eSafety, который параллельно получит расширенные полномочия по требованию быстрого удаления противоправного контента. По их мнению, граница между заботой о безопасности пользователей и рычагами для государственной цензуры в таких инициативах часто оказывается размытой.

В России заблокирован сайт «Николай Левшиц о Грузии на русском языке»:

https://blockedin.org/ru/record/10081618/

Тематика сайта полностью соответствует названию, там публикуются грузинские новости, много посвящено туризму и культурным событиям в этой стране. Что именно «Неуказанному органу» показалось нарушающим российское законодательство, неизвестно.

Связка багов в RouterOS позволяет взять под полный контроль роутеры MikroTik

Специалисты CERT Polska сообщили, что хакеры массово эксплуатируют критическую связку уязвимостей, получившую название MikroTric, в операционной системе RouterOS. Она позволяет без какой-либо аутентификации перехватить полное управление устройством, если на нём открыт доступ по SSH. По меньшей мере 122,5 тысячи роутеров с открытым SSH было обнаружено во время сканирования интернета.

Атака строится на двух багах в SSH: первый позволяет обходить проверку RSA-ключей, а второй — поднимать права до уровня администратора с помощью спецсимволов в имени пользователя. При этом сами бреши были обнаружены исследователями с помощью ИИ-моделей GPT-5.5-cyber и GPT-5.6-sol. Сам MikroTik уже подтвердил проблему и выпустил исправленные версии RouterOS (7.25 beta 3, 7.24.2, 7.23.4 и 6.49.21).

Для более эффективного оповещения компания через мобильное приложение разослала владельцам роутеров пуш-уведомления, чего раньше никогда не делала. В свежие прошивки также добавили механизм «Flagged», который при загрузке автоматически проверяет систему на следы компрометации. Рекомендуется установить обновление как можно скорее, а до этого — ограничить доступ к SSH из публичных сетей.

Хакеры научились красть токены подписчиков Claude и расходовать лимиты их учёток

Первым о проблеме рассказал британский ИИ-консультант Грант Де Свардт, заметивший аномалии в работе своего акаунта на Claude Max. В один из дней он вообще не прикасался к нейронке, но расход токенов продолжал расти. Он отключил все связанные сервисы, но лимиты всё равно «испарялись».

После обращения в службу поддержки Anthropic согласилась, что ситуация ненормальная, платная подписка была остановлена, затраты возмещены. Причиной инцидента стал скомпрометированный ключ сеанса Claude, использовавшийся для создания несанкционированных токенов OAuth для Claude Code, в результате его аккаунт «использовался сторонним сервисом для выполнения задач в интересах других лиц». При этом не удалось установить, каким именно образом был получен доступ.

Свардт рассказал о случившемся на Reddit, и из комментариев выяснилось, что проблема массовая. Пользователи жалуются на сгорание лимитов с 0% до 100% за считанные минуты, мгновенные исчерпания суточных квот и даже несанкционированные списания денег с изменением тарифов.

В Anthropic объясняют происходящее всплеском активности инфостилеров — вредоносы на ПК пользователей воруют сессионные куки и передают их третьим лицам. Однако сам Де Свардт следов заражения у себя не нашёл, и считает, что утечка могла произойти иначе. Проблема ещё в «слепоте» сервиса, который не предоставляет детализацию расхода токенов по сессиям или задачам, поэтому заметить тихий слив лимитов до их полного исчерпания практически невозможно.

Microsoft в сентябрьских патчах устранила рекордное количество уязвимостей

С учётом браузера Edge, в сервисах компании было закрыто 997 «дыр», 112 из которых — критические. В целом с начала года было устранено 2760 уязвимостей, и это больше, чем за 2023, 2024 и 2025 годы вместе взятые.

Такое массовое закрытие брешей обусловлено переходом на ИИ-инструменты для поиска ошибок в коде. Нейронки находят проблемные места намного быстрее людей, что заставляет разработчиков торопиться с устранением дыр до того, как до них доберутся хакеры, также применяющие ИИ для автоматизации атак. В исследовательской среде это уже называют «новой нормальностью».

В сентябрьский пакет патчей попали: две уязвимости нулевого дня, которые хакеры уже успели найти раньше разработчиков; опасная дыра в Exchange Server, где для взлома достаточно просто прислать письмо с вредоносным вложением; а также свыше 20 «самораспространяющихся» багов, не требующих вообще никаких действий от пользователя.

Эффективность поиска уязвимостей с помощью ИИ вызывает много споров. Критики ставят под сомнение дороговизну и количество ложных срабатываний при использовании LLM-систем. Сторонники же указывают на рекордное количество найденных ошибок, которого ранее не удавалось достичь при традиционном методе проверок.