Инциденты и уязвимости
Capital One, Equifax, Log4Shell, Heartbleed, XZ — публичные утечки и уязвимости, разобранные по причинам, последствиям, первой реакции и мерам защиты — ради уроков, которые актуальны до сих пор.
Мошенничество с 7pay (2019): официальная оценка причин и защита аккаунтов
В июле 2019 года аккаунты 7pay подверглись несанкционированному доступу. В заявлении от 1 августа компания сочла вероятной атаку со списками учётных данных: на 31 июля, 17:00 признаны 808 пострадавших и ущерб 38,615,473 иены, включая незако…
Утечка данных Benesse (2014) — почему инсайдера не остановили, и защита через наименьшие привилегии
Командированный системный инженер в дочерней компании-подрядчике использовал законно выданный доступ к базе, чтобы массово скопировать данные клиентов, передать их на личный смартфон и продать брокерам данных. Программа мониторинга блокиров…
Программа-вымогатель у Capcom (2020) — почему входом стало старое VPN-устройство и как защититься от двойного вымогательства
Входом стало старое резервное VPN-устройство, оставленное работать в североамериканском филиале после того, как его заменили новые модели. Оттуда взломали сеть, украли данные, а затем программа-вымогатель зашифровала системы (двойное вымога…
Кража NEM с Coincheck (2018) — как украли около $530 млн и защита через управление ключами
По сообщениям, точкой входа стали целевой фишинг / вредоносное ПО, нацеленные на сотрудников; они позволили украсть приватный ключ подключённого к интернету горячего кошелька, после чего около 523 млн XEM (~$530 млн на тот момент) были выве…
Программа-вымогатель KADOKAWA / Niconico (2024) — почему поражение охватило всю компанию, сегментация сети и BCP
Входом, как описывается, стал фишинг, укравший учётные данные сотрудника; оттуда взломали внутреннюю сеть и запустили программу-вымогатель, обрушив многие сервисы группы (включая Niconico) на месяцы и слив данные ~250 000 человек. Распростр…
Утечка данных Takufile-bin (2019) — почему хранение паролей в открытом виде фатально и защита через хеширование
Через уязвимость сервера получили несанкционированный доступ, и утекло ~4,8 млн записей (имена, почта, пароли входа, даты рождения, включая ушедших клиентов). Решающей ошибкой было то, что пароли входа хранились в открытом виде. После утечк…
Массовая утечка MOVEit (2023) — как zero-day SQL-инъекция достигла 2700+ организаций и как защититься
Входом стала zero-day SQL-инъекция (CVE-2023-34362) в выходящем в интернет MOVEit Transfer. Был установлен веб-шелл (LEMURLOOT), и данные массово украдены из базовой БД, затронув 2700+ организаций и ~93,3 млн человек. Большинство жертв заде…
Утечка Capital One (2019) — как один SSRF привёл к компрометации 100M+ записей и как защититься
Один SSRF достиг endpoint метаданных → переизбыточные временные учётные данные IAM → массовое копирование S3, утечка ~106 млн записей. Каждый шаг можно было остановить. В вашей среде: IMDSv2, минимальные привилегии IAM и список разрешённых…
Утечка Codecov (2021) — когда инструмент CI был изменён и утекли секреты
Доверенный инструмент CI (Bash Uploader на curl|bash) был изменён на стороне поставщика. Поскольку ваш собственный код не трогали, это оставалось незамеченным ~2 месяца, пока утекали секреты CI; поймала это проверка контрольной суммы. В ваш…
Утечка Equifax (2017) — как неустановленное исправление Apache Struts привело к утечке данных 147M человек
Причиной стал известный, уже исправленный CVE (CVSS 10.0), оставленный без установки в публичной системе. Истёкший сертификат мониторинга скрывал эксфильтрацию 76 дней. В вашей среде: инвентаризация активов, SLA на патчинг, машинный монитор…
Heartbleed (CVE-2014-0160) — баг OpenSSL, через который утекала память сервера
Чтение памяти за границей в OpenSSL могло раскрыть приватные ключи и сессии. Причина: сервер доверял заявленной длине и читал соседнюю память. Урок: действуйте так, будто утекло всё (перевыпускайте сертификаты, ротируйте все секреты), отсле…
Log4Shell (CVE-2021-44228) — уязвимость библиотеки логирования и почему командам было трудно быстро понять, используют ли они её
Баг CVSS 10.0 в Log4j. Главная проблема — транзитивная зависимость: быть затронутым через библиотеку, об использовании которой вы не знали. Пассивный путь логирования стал вектором атаки. SBOM, машинный мониторинг, быстрый патчинг и отслежи…
Бэкдор XZ Utils (CVE-2024-3094) — атака на цепочку поставок со стороны доверенного со-мейнтейнера
Доверенный мейнтейнер внедрил бэкдор в xz — это атака на цепочку поставок. Один инженер заметил, что вход стал медленным, и нашёл бэкдор прямо перед стабильными релизами. Целью был не код, а люди и доверие. Минимизируйте зависимости, закреп…