Новости информационной безопасности

26-летнего Кайла Свару обвиняют в фишинговой схеме против пользователей Snapchat: 4500 женщин в базе, 570 отдали SMS-коды, минимум 59 аккаунтов взломаны. История показывает, как социальная инженерия превращает 2FA в инструмент атаки.

Маск ограничил генерацию сексуализированных картинок Grok внутри X, но в приложении и на grok.com функция остается. Регуляторы уже включились: Ofcom дал дедлайн, расследования идут в ЕС и Индии, а Internet Watch Foundation фиксирует незаконные материалы.

7 января Камбоджа экстрадировала главу Prince Holding Group Чен Чжи в Китай. Это фигура индустрии pig butchering с оборотом до 30 млн долларов в день, лагерями принудительного труда и гигантским отмыванием. Публичного суда на Западе, похоже, не будет.

Если вы генерите PDF на Node.js и где-то подставляете путь из пользовательского ввода, проверьте jsPDF прямо сейчас. Уязвимость CVE-2025-68428 позволяет читать произвольные файлы и аккуратно упаковывать их в готовый документ, который сам же сервис потом отдаст наружу.

Отчёт тайваньского бюро безопасности показывает пугающую закономерность: 2,6 млн атак в день и рост угроз энергетике на 1000% в 2025 году. Всплески хакерской активности идеально синхронизированы с военными патрулями Китая и визитами чиновников. Это уже не фон, а отлаженный механизм …

Google закрыла CVE-2026-0628 в Chrome 143.0.7499.192/.193. Это баг в WebView, компоненте, который живет не только в браузере, но и в тысячах приложений. Обход политик безопасности, риск инъекций и кражи сессий, пока часть мира еще не обновилась.

Kontigo признал несанкционированный доступ и вывод 340,905 USDC со счетов 1005 пользователей. Компания обещает полный возврат, но кейс вскрыл уязвимость кастодиальной модели и проблему доверия к крипто-необанкам.

Утечка у платежного партнера Ledger превратилась в удобный список целей для мошенников. Seed-фразы не утекли, но в руках атакующих имена, контакты и детали заказов. Фишинговые письма уже пошли, и они будут выглядеть пугающе правдоподобно.

На дарквебе заявили о взломе NordVPN и выложили дампы с “Salesforce keys” и Jira токенами. Компания говорит: это песочница подрядчика, production и данные клиентов не затронуты.

Письма про продление домена ведут на поддельный чекаут и вытягивают карту и коды из СМС. Данные улетают в Telegram бот, а фейковый 3D Secure заставляет вводить OTP снова и снова.

Письма с предложением включить 2FA в MetaMask ведут на домены двойники и выманивают сид фразу. После этого кошелек импортируют и активы уходят за минуты.

Хакер по делу Bitfinex 2016, Илья Лихтенштейн, вышел раньше срока через систему кредитов First Step Act. Кража почти 120 000 BTC и 5 лет приговора остаются одним из крупнейших кейсов в криптоиндустрии.

Хактивистка Martha Root на 39C3 показала, как ИИ инфильтрация и базовые баги вроде IDOR и EXIF превратили закрытые сайты знакомств в 100 ГБ компромата.

В Wget2 обнаружили CVE-2025-69194 (CVSS 8.8): один подложный Metalink может заставить утилиту записать файл не туда и перезаписать важные данные. Патч уже есть в версии 2.2.1.

Отчет ForeScout Vedere Labs фиксирует рост 0-day атак на 46% в первом полугодии 2025 и главное, окно до эксплуатации сократилось до часов. Вход всё чаще через edge и IoT.