[Перевод] $$$$ за полный захват аккаунта (ATO), обход 2FA, утечку конфиденциальных данных через критические ошибки в CORS
Раньше я не имел привычки писать о своих находках, но теперь решил время от времени делиться наиболее интересными. Это мой первый разбор одной из моих последних находок, поэтому любые предложения или вопросы более чем приветствуются! В этом разборе я покажу вам, как ошибка в конфигурации CORS...
Топ‑5 VPN-сервисов для пользователей из России в 2025 году
В условиях ужесточения блокировок в Рунете и роста потребности в приватности, выбор надёжного VPN стал как никогда актуален. При этом хочется подобрать сервис практичный, без навязчивой рекламы и маркетингового шума. В этой статье мы поделимся независимым обзором пяти лучших VPN-сервисов для РФ на...
«Рынок зарплат специалистов в сфере кибербезопасности перегрет» (с) Ъ
"Рынок зарплат специалистов в сфере кибербезопасности перегрет. Зарплаты специалистов могут доходить до 230к рублей!" (с) Именно такая статья вышла в честь первого апреля в Коммерсантъ. (Чтоб не гнать лишний траффик этим шутникам можете ознакомиться с текстом, например, тут) Но, я решил...
ОБМАНУ ТЕБЯ: чем психологи могут помочь красным командам?
В данной статье предложим новый взгляд на работу Red Team для создания самых изощрённых симуляций атак, в которых код заменяется эмоциями, а уязвимости скрываются не в ПО, а в человеческой психике. Читать далее...
Подготовка к ССК (2). Менеджмент информационной безопасности. Оценка рисков информационной безопасности
В этой статье мы рассмотрим оценку рисков информационной безопасности, которая является ядром системы менеджмента информационной безопасности. Понимание процесса оценки рисков необходимо Сертифицированному Специалисту по Кибербезопасности для грамотного выстраивания СМИБ. Читать далее...
Codeby.Games. CTF TASK «ТЕТРИС»/«TETRIS»
Приветствую всех любителей CTF и этичного хакинга на стороне Red Team! В этой статье мы рассмотрим прохождение легкого таска "ТЕТРИС", разработанного пентестерами из команды Codeby.Games. Справка: codeby.games - отечественный условно бесплатный веб-проект, где каждый может попрактиковаться в...
Препарируем промышленные протоколы — как и зачем
Привет, Хабр! Я Роман Сафиуллин, руковожу отделом защиты информации InfoWatch ARMA. Мы занимаемся защитой инфраструктуры промышленных предприятий от киберугроз, и сегодня хочу поделиться с вами инструкцией по разбору промышленных протоколов на примере протоколов IEC104 и Fanuc Focas. В основе...
От Лас-Вегаса до Екатеринбурга: история соревнований Capture The Flag в России и мире
В 1993 году в Лас-Вегасе сотня молодых хакеров собралась на «вечеринку для своих». Никто из них не подозревал, что положил начало движению, которое изменит подход к обучению специалистов по информационной безопасности. За 30 лет формат Capture The Flag прошел путь от неформальных встреч студентов...
Разбираемся в AI проектах OWASP: обзор для разработчиков и ИБ-специалистов
OWASP — некоммерческая организация, которая занимается выпуском руководств и фреймворков в области безопасности. В условиях активного внедрения генеративного ИИ в самые разные сферы, OWASP анонсировал больше десяти разных проектов, чтобы охватить новые угрозы и привлечь внимание к безопасности...
(Не) безопасный дайджест: если бы в ИБ была «Премия Дарвина» – 2025
В апреле традиционно просим нашего начальника отдела безопасности Алексея Дрозда aka @labyrinthподелиться его подборкой забавных, нелепых и глупых ИБ-инцидентов. Сегодня под катом: Брэд Питт разрушает семейное счастье, инсайдер убегает от ирландской полиции, Disney рассказывает запоздалую правду....
Исследование Innostage: какова реальная потребность компаний в комплексных решениях для защиты бизнеса?
Привет, Хабр. Я, Дамир Гибадуллин, продукт-менеджер системы «Цифровой Штаб» от Innostage. Я поделюсь с вами ключевыми фактами и инсайтами, которые наша компания сделала в ходе исследования рынка комплексной безопасности. Но сперва пара слов о том, почему эта тема вообще появилась. Зачастую в...
[Перевод] CrowdStrike — 2025 — Global Threat Report (Отчет о глобальных угрозах) — Введение
Введение из отчета по глобальным угрозам от CrowdStrike Отчет о глобальных угрозах CrowdStrike 2025 анализирует ключевые тенденции в киберугрозах за 2024 год, подчеркивая растущую сложность и организованность атак. Основное внимание уделяется концепции «предприимчивого противника», который...
Apple Pro Weekly News (24.03 – 23.03.25)
Выходит в релиз iOS 18.4 и другие системы – рассказываем и показываем, что нового. Apple анонсировала всемирную конференцию WWDC 2025, а также наградила победителей Swift Student Challenge. Как обновился Final Cut Pro и что за редизайн произошёл в Локаторе на сайте iCloud. Как Тим Кук побывал в...
Прячем шифрованные диски
Что такое криптография - все знают: берем что-то секретное, зашифровываем его - и без ключа никто ничего не прочитает. Но есть минус: если кому-то очень хочется почитать - вас могут вежливо попросить поделиться ключиком, и отказаться может быть очень сложно. Что такое стеганография - тоже многие...
Пять простых* задач по кибербезопасности для разработчика
Привет! Это Маша из AppSec Альфа-Банка. Я люблю, чтобы разработчикам было интересно, а продукты компании были безопасными. Наша команда безопасной разработки подготовила для вас примеры уязвимостей, которых можно избежать в своем коде. Мы показали примеры в виде задач, предложили решение и пути...
Несколько правил организации багатона по кибербезопасности
Привет! Это Маша из AppSec Альфа-Банка. Недавно мы провели первый (для себя) багатон по кибербезопасности, прошедший при совместной работе ИТ, AppSec, команд Внутрикома и DevRel. Главными целями были пропаганда безопасной разработки и сближение разработчиков и команды AppSec. Расскажем, как мы...
Вас ждет штраф в 15 млн ₽, но мы знаем как этого избежать. Чек-лист внутри, изучайте и сохраняйте
С 30 мая 2025 года в России вступают в силу новые нормы, ужесточающие ответственность за утечку персональных данных. Новые требования предусматривают штрафы до 15–20 млн ₽ за нарушение правил защиты информации. Эти изменения крайне актуальны, поскольку владельцы сайтов, интернет-магазины и...
ОУД4 — быстрый и удобный способ проведения оценки соответствия для финансовых организаций
Всем привет! Совсем недавно, 29 марта 2025 года, вступило в силу Положение банка России № 851-П, заменяющее Положение № 683-П. Одним из ключевых изменений документа является появление условий проведения оценки соответствия. В связи с этим в ближайшее время ожидается повышение спроса на проведение...