реагирование на инциденты
81 статей с этим тегом
Инцидент безопасности Fireworks AI (октябрь 2026): затронуты платёжные данные, а также часть наборов данных и весов моделей; компания связывает его со взломом облачного провайдера. Что делать клиентам
Fireworks AI, предоставляющая инфраструктуру инференса моделей ИИ, опубликовала 9 ноября 2026 года обновление об инциденте безопасности, который впервые раскрыла 9 октября. По словам компании, об изначальном инциденте, обнаруженном 6 октября, было известно лишь то, что затронуты секреты, хранящиеся в Fireworks (например, используемые в заданиях оценки); позже она выявила влияние на информацию об учётных записях и платежах, а у ограниченного набора аккаунтов ещё и на секреты, наборы данных и неполные веса моделей. По её рассказу, у стороннего облачного провайдера, на котором размещались её машины для НИОКР, 23 октября произошёл инцидент безопасности, а 24 октября неавторизованная третья сторона воспользовалась этим, чтобы добраться до машин разработки Fireworks и запустить несанкционированную нагрузку, что привело к дополнительному затрагиванию данных клиентов. Компания обнаружила это в тот же день и по состоянию на 25 октября не обнаружила новых свидетельств успешного несанкционированного доступа к платформе, которой пользуются клиенты. Она говорит, что свидетельства указывают на связь с финансово мотивированной киберпреступной группой. Номера платёжных карт компания не хранит, и они не затронуты. Влияния на Inference, Training SDK и Nexus, где по умолчанию нулевое хранение данных, не обнаружено. На время расследования самостоятельная загрузка наборов данных и их скачивание отключены. Наше мнение: клиентам стоит составить перечень того, что они хранили на платформе, и сменить это; операторам важно отделять среды разработки от систем с платёжными данными и данными клиентов.
Взлом NEAR AI через уязвимость движка инференса (данные учётных записей около 100 пользователей): что подтверждено и что делать пользователям и операторам инфраструктуры ИИ
NEAR AI, предоставляющая ИИ-чат и агентов, раскрыла несанкционированный доступ к части инфраструктуры в официальной записи блога от 9 ноября 2026 года. По словам компании, причиной стала уязвимость удалённого выполнения кода в SGLang, движке инференса с открытым кодом на её серверах: злоумышленник выполнил код на одном сервере инференса и оттуда добрался до другой инфраструктуры. Компания подтверждает следующее. Из внутренней системы за ранее выведенным из работы Private Chat похищены данные учётных записей около 100 пользователей (адреса электронной почты, имена, а для части записей сведения о тарифе и балансе). Похищены история чатов, настройки и журналы 18 устаревших агентов, которые не работали в среде конфиденциальных вычислений (TEE). Отдельно ключи API NEAR AI Cloud двух клиентов Cloud попали в журналы (отозваны; о том, что они похищены, не сказано). 8 ноября злоумышленник мог видеть пользовательские запросы, обрабатывавшиеся на скомпрометированном сервере, включая запросы в конфиденциальном режиме. Признаков доступа к сохранённым разговорам Private Chat или загруженным файлам компания не нашла. Она сообщает, что заменила учётные данные, устранила уязвимость и восстановила доступ к NEAR AI Cloud (Private Chat остаётся отключённым). В официальном отчёте номера CVE нет. Наше мнение: операторам инфраструктуры ИИ важно отделять серверы инференса от внутренних систем, не оставлять устаревшие среды и не допускать секретов в журналах.
Несанкционированный доступ к внутренней системе управления Sharefull (до 7,5 млн аккаунтов): могли утечь имена, банковские реквизиты, экстренные контакты — что делать работникам
9 ноября 2026 года Sharefull объявила, что третье лицо получило несанкционированный доступ к её внутренней системе управления и персональные данные пользователей могли утечь. Доступ произошёл около 23:30 4 ноября, был обнаружен около 9:45 5 ноября, и в тот же день путь был перекрыт. Затронуты могут быть до 7,5 млн отдельных аккаунтов. Могли утечь: имя и его запись кана, номер телефона, адрес электронной почты, адрес, дата рождения, банковские реквизиты для выплаты зарплаты (PIN-коды и пароли не входят), URL фотографии лица, экстренный контакт (отношение к пользователю и номер телефона), сведения о статусе пребывания и атрибуты аккаунта: дата регистрации, число выполненных работ, пожелания. Оплата и баллы, данные договоров и работы, изображения документов, удостоверяющих личность, не затронуты, а My Number и данные кредитных карт, по словам компании, она не хранит. Отдельное уведомление того же дня касается контактных данных компаний-работодателей (до 7 500 компаний). По состоянию на 11 ноября 2026 года продолжения мы не нашли. Вывод этого сайта: раз могли попасть банковские реквизиты, экстренные контакты и статус пребывания, будьте готовы к обращениям от имени Sharefull или ведомства, к звонкам с выдуманной бедой у родственника, к «ошибочным переводам» и к требованиям денег со ссылкой на статус пребывания.
В Ethersphere bee-js 13.3.0 и Swarm Desktop 0.56.2 попала вредоносная программа (ноябрь 2026): затронутые версии и что делать пользователям
В версии 13.3.0 npm-пакета @ethersphere/bee-js от Ethersphere, разработчика децентрализованной сети хранения Swarm, находился вредоносный код. Бюллетень GitHub (GHSA-hh7j-5m3j-23pf), опубликованный 9 ноября 2026 года, называет затронутой только версию 13.3.0 и сообщает, что исправленной версии нет. В нём сказано, что любой компьютер, на котором пакет установлен или запущен, следует считать полностью скомпрометированным, а все секреты и ключи на нём немедленно сменить с другого компьютера. Удаление пакета может не устранить всё вредоносное ПО, которое появилось при установке. Для Swarm Desktop в примечаниях к выпуску Ethersphere сказано, что версия 0.56.3, выпущенная 9 ноября, заменяет скомпрометированную 0.56.2. По анализу компании по безопасности, bee-js 13.3.0 появился в npm около 00:09 UTC 9 ноября (09:09 по японскому времени) и был удалён примерно через 75 минут. Swarm Desktop 0.56.2 был доступен около 8,5 часа, а на Windows x64 и Apple Silicon доставлялся и автообновлением. О том, что bee-js 13.2.0 и более ранние версии, а также Swarm Desktop 0.56.1 не затронуты, сообщается. Тот же анализ говорит, что целью были файл конфигурации узла Bee (в нём пароль в открытом виде) и ключ кошелька, а учётные данные, которыми пользуется официальная автоматизация выпусков, использовались злоумышленником. Наш вывод: пересоберите любую машину или среду CI, где была установлена затронутая версия, перенесите кошелёк на новый ключ и переведите средства, смените учётные данные с другой машины.
Эксплуатация уязвимости сервера MCP у mittwald: скомпрометированы 56 клиентских проектов (ноябрь 2026): опубликованная хронология и что делать пользователям и операторам интеграций ИИ
Немецкая компания веб-хостинга mittwald сообщила в официальной записи блога, что уязвимость её сервера MCP, подключающего ИИ-помощников клиентов к панели управления mStudio, была использована, и 56 клиентских проектов скомпрометированы. По словам компании, злоумышленник впервые проверил уязвимость 21 октября, с 23 октября начал действовать как обычный пользователь с тестовыми учётными записями, а 27 октября в 15:03 использовал уязвимость через другую учётную запись. Все данные начиная с 27 октября компания считает скомпрометированными. 4 ноября обнаружено необычное поведение, и в тот же день компания определила сервер MCP как точку входа и отключила его. 6 ноября она провела криминалистическое исследование 56 скомпрометированных проектов и сервера MCP, не нашла других скомпрометированных проектов и сообщает, что сейчас не обнаруживает активности злоумышленника. Пароли не считывались; считывались токены сеансов пользователей, и все они отозваны, говорит компания. Центр клиентов и управляемые в нём сайты не пострадали. Сервер MCP остаётся отключённым, вернётся ли он, решат после расследования. Компания считает, что по скорости действий злоумышленника можно подозревать использование инструментов ИИ; это подозрение компании. На следующей неделе она обещает опубликовать подробный рассказ. Наше мнение: для серверов MCP, которые подключают ИИ-помощников к хостингу или производственной среде, ключевое — узкие по правам краткоживущие токены и мониторинг, способный уловить стадию разведки.
Несанкционированный доступ к Nitori: персональные данные до 37,62 миллиона записей могли утечь (имена, адреса, телефоны, даты рождения), и что делать частным и корпоративным участникам
9 ноября 2026 года Nitori Holdings Co., Ltd. (Nitori) объявила, что 6 ноября подтвердила несанкционированный доступ третьего лица к управляемой ею системе и что персональные данные, хранившиеся на её серверах, до 37,62 миллиона записей, могли утечь наружу. Затронуты частные участники и покупатели группы Nitori (номер участника, имя вместе с фуриганой, адрес эл. почты, адрес, номер телефона, дата рождения, пол), корпоративные участники (номер участника, название компании, отдел, имя представителя, адрес и телефон компании, а также имя, адрес эл. почты и телефон контактного лица) и данные заказов, оформленных через Nitori Net и официальный магазин Nitori на торговых площадках. Компания говорит, что пароли для входа и данные кредитных карт не входят. Третье лицо могло получать доступ и в середине и конце октября, путь проникновения расследуется, число записей может измениться. Компания говорит, что будет поочерёдно связываться с затронутыми клиентами по электронной почте или обычной почтой. По состоянию на 10 ноября 2026 года продолжения не найдено. Вывод этого сайта: поскольку в данных есть адрес, телефон и имя, звонок, SMS или письмо от имени Nitori или службы доставки не становятся настоящими лишь потому, что в них верно указаны ваш адрес или заказ.
Инцидент кибербезопасности в Университете Вандербильта (продолжается): Wi-Fi, Okta, почта и CampusPrint работают, остальные системы ограничены, полное восстановление займёт недели, что делать студентам и сотрудникам
9 ноября 2026 года Университет Вандербильта (Теннесси, США) сообщил, что реагирует на активный инцидент кибербезопасности, который может затрагивать устройства, системы и облачные сервисы университета. В обновлении от 18:00 10 ноября университет сообщил, что доступны Wi-Fi кампуса, Okta (многофакторную аутентификацию по-прежнему нужно использовать), почта Vanderbilt (на университетских и личных устройствах), CampusPrint, Brightspace, Zoom и YES (вся запись на курсы идёт по графику). Все остальные системы и приложения остаются ограниченными. Университет ожидает, что полное восстановление нормальной работы всех систем может занять несколько недель, и сообщает, что сосредоточен на сдерживании и на выяснении того, к каким данным, если таковые есть, мог быть получен доступ. Студенты, преподаватели и сотрудники снова могут пользоваться университетскими устройствами, а о любой необычной или подозрительной активности, о которой они ещё не сообщали, их просят немедленно завести заявку в службе поддержки VUIT. Занятия идут по обычному расписанию. Университет не сообщил, был ли получен доступ к данным, потеряны они или скомпрометированы (в обновлении от 9:00 10 ноября инцидент назван «хакерским»). По данным прессы, ответственность взяла на себя некая группа; университет этого не подтвердил. Следующее обновление ожидается к 10:00 11 ноября. Мнение этого сайта: доступными сервисами пользоваться можно, но остальные системы остаются ограниченными и полное восстановление может занять недели, поэтому сроки сдачи работ уточняйте у преподавателей, а сроки подачи заявок на гранты — в исследовательском офисе университета. Раскрытие персональных данных не подтверждено, поэтому ждите официальных обновлений, а пока смените повторно используемые пароли и остерегайтесь сообщений от имени ИТ-службы университета.
Утечка из docomo Online Shop и My docomo (NTT DOCOMO), до примерно 300 000 записей: номера документов, удостоверяющих личность, — что делать клиентам
4 ноября 2026 года NTT DOCOMO подтвердила несанкционированный доступ извне к docomo Online Shop и My docomo и примерно с 1:05 5 ноября приостановила оформление услуг в обоих сервисах, перейдя на экстренное техобслуживание. Во втором сообщении (5 ноября) компания заявила, что до начала обслуживания часть информации о клиентах утекла из-за несанкционированного доступа, а в третьем (6 ноября) назвала масштаб: до примерно 300 000 записей. Для «всех затронутых клиентов» утекли имя, дата рождения и возраст; адрес, контактный телефон и адрес электронной почты; номер документа, удостоверяющего личность; номер мобильного телефона и дата начала договора; тарифный план, опции и скидки. Для «части клиентов» к этому добавляются имя и контакты законного представителя или доверенного лица, место работы или название и адрес компании, финансовое учреждение, филиал, номер счёта и имя владельца счёта, а также сведения о программе поддержки воспитания детей. Причина — несанкционированный доступ извне; путь проникновения, точный объём и число записей расследуются, новых утечек не подтверждено, срок восстановления не определён. По состоянию на 7 ноября 2026 года четвёртого сообщения мы не нашли. Вывод этого сайта: если звонящий называет ваше имя, адрес или данные договора, это не доказывает, что он от DOCOMO. Не открывайте ссылки, не сообщайте PIN-коды, пароли и данные карт, а если утёк номер документа, остерегайтесь договоров, оформленных на ваше имя.
Несанкционированный доступ к сервису рассылки новостей Hotto Motto (до примерно 7 млн записей): утекли имена, даты рождения и номера телефонов — что делать участникам
4 ноября 2026 года Plenus Co., Ltd. объявила, что к сервису рассылки новостей Hotto Motto, который предоставляет внешний подрядчик, получила несанкционированный доступ третья сторона и что утекла информация об участниках, включая адреса электронной почты клиентов. Компания получила сообщение от подрядчика 2 ноября. Инцидент произошёл с 28 по 31 октября и затрагивает до примерно 7 млн записей. Утёкшая информация — это информация об участниках, включающая адреса электронной почты, имена, даты рождения и номера телефонов. Данные кредитных карт в неё не входят, и компания заявляет, что такие данные не хранит. Влияния на сервис онлайн-заказов не подтверждено, он продолжает работать. Сервис рассылки новостей полностью остановлен, дата возобновления не определена. По состоянию на 7 ноября 2026 года последующих сообщений мы не нашли. Вывод этого сайта: письмо от имени Hotto Motto ничего не доказывает только потому, что в нём знают ваше имя или день рождения. Особенно остерегайтесь всего, что похоже на рассылку, пока она остановлена, и проверяйте через официальный сайт или приложение, а не по ссылкам.
Несанкционированный доступ к Iris Plaza (данные примерно 7,7 млн человек): могли утечь имена, адреса и зашифрованные пароли — что делать участникам и покупателям
5 ноября 2026 года Iris Plaza Co., Ltd., входящая в группу Iris, во втором сообщении заявила, что из-за несанкционированного доступа к Iris Plaza, официальному интернет-магазину Iris Ohyama, могла утечь часть персональных данных клиентов. 28 октября компания обнаружила подозрительные файлы во внешнем облачном сервисе, которым пользуется, немедленно остановила Iris Plaza и связанные системы, начала расследование и подтвердила несанкционированный доступ третьей стороны. Персональные данные, хранившиеся во внешнем облачном сервисе, относились примерно к 7,7 млн человек, и компания подтвердила, что эти данные могли быть просмотрены или получены. Фактическое число утёкших записей и затронутых людей ещё расследуется. Информация, которая могла утечь: для данных участников (около 5,8 млн человек, включая бывших участников) — имя, адрес, номер телефона, адрес электронной почты, пол, пароль (кроме бывших участников), дата рождения и другое; для данных неучастников (около 1,9 млн человек, включая тех, кто покупал без регистрации или участвовал в акциях) — имя, адрес, номер телефона и адрес электронной почты. Часть пунктов, включая пароли, зашифрована. Компания заявляет, что данные кредитных карт в этом облачном сервисе не хранились и подтверждено, что они не затронуты. Она просит тех, кто использует тот же пароль в других местах, сменить его. По состоянию на 7 ноября 2026 года третьего сообщения мы не нашли. Вывод этого сайта: если вы используете пароль от Iris Plaza на любом другом сервисе, смените его сегодня. Бывшие участники и те, кто покупал без регистрации, тоже входят в охват.
Файлы PC-лаунчера GODDESS OF VICTORY: NIKKE изменены, распространялась вредоносная программа: что делать пользователям Windows, запускавшим лаунчер после 15:41 (JST) 27 сентября
5 ноября 2026 года оператор GODDESS OF VICTORY: NIKKE (Level Infinite) объявил, что часть файлов PC-лаунчера была изменена третьей стороной, из-за чего при запуске лаунчера могла выполняться вредоносная программа. По словам оператора, внешний домен, который использовала часть игрового сервиса, был перехвачен 27 сентября, в 15:41 (JST) того же дня были изменены четыре официальных скрипта на CDN, которые скачивает лаунчер, а распространение вредоносной программы через эти скрипты началось в 3:52 30 октября. Оператор заметил аномалию 4 ноября и заменил скрипты, остановив дальнейшее распространение. В зоне проверки все, кто хотя бы раз запускал PC-лаунчер для Windows после 15:41 27 сентября; те, кто играет только на мобильных устройствах, не затронуты. Оператор сообщает, что могут быть затронуты ПК, аккаунты во внешних сервисах и активы, и с 8:00 5 ноября предлагает в официальном PC-клиенте функцию сканирования и удаления. Масштаб ущерба и путь подмены расследуются. Мнение этого сайта: если вы в зоне проверки, меняйте пароли с отдельного чистого устройства (сначала почта, банки, криптовалюта, игровые магазины, Discord), завершите другие сессии, перевыпустите API-ключи и токены и включите двухфакторную аутентификацию.
Инцидент безопасности Trigger.dev (ноябрь 2026): корневые ключи API и переменные окружения затронуты у 0,66 % клиентов, перегенерируйте ключи и смените секреты
Trigger.dev, платформа для запуска фоновых задач и ИИ-агентов, раскрыла инцидент безопасности 1 ноября 2026 года и опубликовала дополнительный отчёт 6 ноября. Компания сообщает, что оповещения инфраструктуры 1 ноября указали на аномальную активность, она сочла её вредоносной и заблокировала злоумышленника. Инцидент затронул 0,66 % всех клиентов. Злоумышленник получил корневые ключи API для некоторых клиентских сред; корневой ключ даёт полный доступ к настройкам среды, включая её переменные окружения. В некоторых средах он также запрашивал списки последних запусков, развёртываний и расписаний, и в ответ получал идентификаторы, названия задач, ключи идемпотентности запусков, статус запусков, теги, метаданные развёртываний и ошибки, внешние идентификаторы расписаний и метаданные запусков. Компания не нашла доказательств доступа к другим данным клиентов, другим сервисам, собственным производственным базам данных или аккаунтам клиентов в панели управления. Вектор атаки она не раскрывает, чтобы защитить расследование и клиентов. Затронутым клиентам писали по электронной почте (1 и 2 ноября) и показывали баннер в панели управления (время не указано), а потенциально затронутые ключи API были отозваны. Затронутым клиентам нужно перегенерировать ключи API и сменить учётные данные в затронутых средах, например пароли баз данных и сторонние ключи API, отозвав старые у поставщика. Компания заявляет, что клиенты, не получившие уведомления о воздействии, не затронуты, секреты подписи вебхуков не раскрыты, а самостоятельно размещённые развёртывания не затронуты. Вывод этого сайта: сначала проверьте почту и баннер в панели управления, а при затронутости перегенерируйте ключи и смените учётные данные, как просит компания.
Инцидент безопасности Chainalysis (октябрь–ноябрь 2026): имена, имена пользователей, хеши паролей и действующие токены всех пользователей раскрыты, что делать клиентам
Компания Chainalysis, занимающаяся блокчейн-аналитикой, опубликовала уведомление об инциденте безопасности 30 октября 2026 года и с тех пор обновляла его. В обновлении от 4 ноября компания сообщает, что имена, имена пользователей, хеши паролей и действующие токены всех пользователей были раскрыты злоумышленнику. По ее словам, свидетельств доступа к данным расследований или подделки данных атрибуции нет. Более раннее обновление того же утра сообщает, что атака на пути трафика (on-path) раскрыла пароли части клиентов, а затронутые аккаунты были заблокированы и потребовали сброса. Компания приостановила KYT, проверку адресов и страницу входа, а 6 ноября начала поэтапно восстанавливать KYT и проверку адресов. Для Reactor и Data Solutions дата восстановления не указана. Клиентов просят запросить добавление доверенных IP-адресов в список разрешенных, сменить пароли и заменить ключи API. В уведомлении от 30 октября говорилось, что свидетельств доступа к учетным данным аутентификации или токенам сеансов нет; более поздние обновления описывают раскрытие токенов, и страница не объясняет эту разницу.
Инцидент безопасности Northflank (октябрь 2026): сохранённые переменные окружения считаются расшифрованными, сообщается о неправомерном использовании ключей API ИИ
30 октября 2026 года (UTC) облачная платформа развёртывания Northflank разместила на странице статуса сообщение об инциденте безопасности. Предупреждение об угрозе от поставщика средств безопасности поступило в 11:43 UTC; компания развернула патчи начиная с 12:02 UTC, в 13:40 UTC попросила клиентов сменить переменные окружения, а в 13:58 UTC — считать расшифрованными все переменные окружения. К 15:12 UTC на странице статуса уже было отмечено, что несколько пользователей сообщают об использовании их ключей ИИ, а в 23:38 UTC компания написала, что пользователи сообщили о несанкционированном использовании ключей API ИИ, хранящихся на платформе. 31 октября она включила журналы аудита для всех клиентов и по одному типу выпустила смену секретов для аддонов. В обновлении от 2 ноября (11:09 UTC, статус Monitoring) компания сообщила, что, по её оценке, остановила атаку в течение часа после первого предупреждения, что работающие нагрузки не затронуты и признаков доступа к нагрузкам или их данным она не видела, а атака, судя по всему, была направлена на секреты в плоскости управления. Независимые судебные аудиторы проводят проверку, компания отозвала токены доступа, сессии, интеграции с VCS и межаккаунтные роли IAM (поэтому пользователям нужно войти снова и заново подключить интеграции) и пообещала опубликовать анализ первопричины, когда выводы будут подтверждены. В обновлении от 6 ноября (10:09 UTC) компания сообщила, что первая известная расшифровка секретов произошла между 02:39 и 03:08 UTC 30 октября, до первого предупреждения в 11:43 UTC; что эксплойт был закрыт в течение 60 минут после уведомления, а клиентов уведомили в течение двух часов; что доказательств доступа к рабочим нагрузкам клиентов или их данным она не нашла; и что она работала с вышестоящими поставщиками, чтобы по возможности отозвать учётные данные. Судебная проверка продолжается. Число затронутых клиентов, способ проникновения злоумышленника и то, какие поставщики ИИ были затронуты, не раскрыты. Вывод этого сайта: отзовите все секреты, которые вы хранили в Northflank, у сервиса, который их выдал, затем проверьте использование и счета каждого поставщика ИИ и установите лимиты расходов.
Что проверить после экстренного обновления PHP: веб-PHP и PHP в командной строке, set -e и коды возврата diff, а также повторная проверка на взлом
Во время реагирования в октябре 2026 года на критические уязвимости PHP на сайте, которым управляет оператор этого сайта, обновили веб-PHP, но PHP в командной строке, которым пользовался cron, по-прежнему указывал на старую версию. Проверяйте веб и CLI отдельно. При set -e утилиты diff и grep возвращают код выхода 1 для «найдены различия» или «совпадений нет», и это останавливает скрипт; коды 0, 1 и 2 нужно обрабатывать отдельно. После обновления запустите один и тот же чек-лист проверки на взлом на каждом сервере и разрешите подозрительную запись в журнале, сравнив живые файлы с эталонной копией, которая была развёрнута.
Утечка у дочерней компании World — Tin Pan Alley (по сообщениям прессы, оператор RAGTAG), всего около 1,2 млн записей: имена, адреса и телефоны могли утечь, что делать участникам
30 октября 2026 года World Co., Ltd. объявила, что к бизнес-серверу её консолидированной дочерней компании Tin Pan Alley Co., Ltd. получила несанкционированный доступ третья сторона и что часть данных участников, хранящихся на нём, могла утечь. Данные участников, которые могли утечь, составляют в сумме около 1,2 млн записей (это суммарное число записей, а не число людей). Это имя, адрес, телефон, дата рождения, пол и адрес электронной почты. Компания говорит, что утечка данных кредитных карт и иных платёжных данных, а также данных лица не подтверждена. Доступ произошёл около 14:51 17 октября, был обнаружен около 12:08 28 октября, а путь был заблокирован к 21:36 того же дня. Какие именно участники и сколько их затронуто, пока уточняется; индивидуальные письма участникам будут отправлены, когда будут готовы. По сообщениям прессы, Tin Pan Alley управляет брендом одежды секонд-хенд RAGTAG и другими, но в самом уведомлении нет названия сервиса или бренда. Вывод этого сайта: считайте, что ваши имя, адрес, телефон и e-mail вместе есть у кого-то, не открывайте ссылки в сообщениях, проверяйте на официальном сайте, который открыли сами, и никогда не называйте пароли и номера карт.
Подмена на сервере обновлений AOMEI Backupper (апрель–июль 2026): кто может быть затронут, даты и как проверить свой ПК
19 октября 2026 года AOMEI, разработчик программы резервного копирования для Windows AOMEI Backupper, опубликовала заявление (последнее обновление — 30 октября) о компрометации цепочки поставки ПО через свой сервер обновлений. Ссылаясь на расследование компании по безопасности, она сообщает, что с апреля по июль 2026 года файлы конфигурации на сервере обновлений AOMEI Backupper неоднократно изменялись примерно на пять–десять минут, а затем возвращались в исходное состояние. В эти окна изменённая конфигурация могла заставить программу скачать вредоносные файлы. Пока установлены три окна: 28 мая (05:40–05:50 UTC), 16 июля (08:33–08:39 UTC) и 20 июля (10:35–10:40 UTC). К 29 июля компания усилила защиту серверов, 5 августа перенесла службу обновлений на новый сервер, а 19 октября выпустила AOMEI Backupper 8.5.1. Она просит всех пользователей AOMEI Backupper, затронутых или нет, запустить AOMEI Security Scanner, обновиться до 8.5.1, проверить ПК защитным ПО и сменить пароль учётной записи Windows или домена. Число затронутых пользователей и затронутые версии не опубликованы. Мнение этого сайта: если AOMEI Backupper был установлен на ПК, который был включён в эти окна, выполните все четыре шага и, если можете, смените пароль Windows с другого, чистого устройства.
Кража криптовалюты у Binance (около 6,3 млрд долларов США): покрыты ли средства пользователей и что делать владельцам аккаунтов
Binance сообщила, что ее горячие кошельки были скомпрометированы около 20:05 UTC 29 октября 2026 года и за этим последовали несанкционированные выводы, оценочный ущерб составляет около 6,3 млрд долларов США. 31 октября ФБР объявило, что за кражу более 6 млрд долларов США ответственна Северная Корея, и опубликовало 628 адресов, на которых, по его данным, находятся или находились похищенные активы, попросив биржи и другие сервисы их блокировать. Binance говорит, что средства пользователей в безопасности, что она сама покроет потери (1 ноября она заявила, что около 95% затронутой суммы уже восполнено) и что около 3 млрд долларов США заморожено в блокчейне. В первом обновлении сказано, что, по предварительному расследованию, скомпрометированный ноутбук инженера DevOps позволил злоумышленнику добраться до контейнера сервиса и отправить несанкционированные выводы; во втором обновлении говорится, что дальнейшее расследование выявило дополнительные точки взлома и что свидетельств утечки закрытого ключа кошелька не найдено. В Update #4 Binance назначила первый этап возобновления выводов на 06:00–09:00 UTC 1 ноября, а в публикации в X сообщила, что к 12:36 UTC возобновились все 15 сетей первого этапа; остальные сети и активы еще тестируются, пополнения не затронуты. В Update #5 от 2 ноября Binance сообщила, что полное доказательство с нулевым разглашением для подтверждения резервов (Proof of Reserves) по десяти токенам готово, а следующий этап выводов запланирован на 3 ноября. В Update #6 от 3 ноября Binance сообщила, что с 04:00 UTC того же дня выводы открываются для большего числа активов поэтапно, по мере завершения проверок безопасности. Разбор после инцидента еще впереди. Вывод этого сайта: в раскрытых сведениях это была кража из собственных кошельков биржи, а Binance не указывала данные клиентов как затронутые, поэтому главный риск для владельцев аккаунтов сейчас — поддельная поддержка, поддельные возвраты и поддельные сообщения о восстановлении. Открывайте Binance только из собственной закладки или официального приложения, никогда не сообщайте seed-фразу, закрытый ключ или код подтверждения и включите двухфакторную аутентификацию.
Подменённое расширение «Claude Code» в маркетплейсе Cursor (29 октября, около 11 часов): как проверить наличие SSH-бэкдора
Cursor опубликовал уведомление по безопасности 29 октября 2026 года (обновлено 30 октября), в котором говорится, что подменённые версии 2.1.312 и 2.1.313 расширения, опубликованного под именем Anthropic (Anthropic.claude-code), распространялись в маркетплейсе расширений Cursor для Windows и macOS примерно с 2:27 до 13:35 по тихоокеанскому времени 29 октября. Cursor заявляет, что эти версии не разрабатывались Anthropic. По данным Cursor, код запускался при загрузке расширения, собирал сведения о хосте и пользователе, добавлял контролируемый злоумышленником SSH-ключ (с меткой svc-telemetry), пытался включить SSH и открыть обратный туннель, устанавливал закрепление через LaunchAgent в macOS или запланированную задачу либо элемент автозагрузки в Windows и отправлял сведения о хосте злоумышленнику. Cursor говорит, что на большинстве хостов включить SSH не удаётся, поэтому там злоумышленник не мог войти через туннель. Cursor удалил расширение, приостановил маркетплейс, проверил другие расширения, сменил ключи и говорит, что сервер злоумышленника больше не работает. Cursor говорит, что у него нет доказательств того, что затронуты другие версии или официальное распространение. BleepingComputer сообщает, что могли подвергнуться воздействию до примерно 5 000 разработчиков. Наш вывод: если вы устанавливали или обновляли это расширение в Cursor 29 октября, проверьте наличие ключа и элементов закрепления и смените секреты, доступные с этого компьютера.
Инцидент в DreamHost (октябрь 2026): логины FTP и SFTP раскрыты через File Manager, учётные данные веб-почты тоже похищены — что делать владельцам аккаунтов
29 октября 2026 года DreamHost сообщил, что 23 октября обнаружил несанкционированный доступ к серверу, на котором работает его веб-интерфейс File Manager (files.dreamhost.com). Злоумышленник использовал уязвимость в стороннем ПО, применяемом File Manager, и получил имена пользователей и пароли FTP/SFTP тех, кто входил в File Manager примерно с августа по 23 октября. Он также добрался до некоторых систем веб-почты и получил учётные данные ограниченного числа пользователей веб-почты; в небольшом числе случаев содержимое почтовых ящиков могло быть просмотрено, и DreamHost связывается с этими клиентами индивидуально. DreamHost не нашёл свидетельств доступа к входам в панель управления и платёжным данным и сообщает, что не хранит полные номера карт. Влияние оценивается как значительно меньше примерно 10% аккаунтов почты и FTP/SFTP, число не названо. Уведомление подано генеральному прокурору Калифорнии (сообщено 2 ноября), в образце письма предлагается год защиты от кражи личных данных. С 23 октября часть паролей сброшена в качестве меры предосторожности, и эти пользователи почты, FTP и SFTP остаются заблокированными, пока владелец аккаунта не задаст новые пароли в панели. Вывод этого сайта: если вы пользовались File Manager с августа, смените пароли FTP/SFTP, даже не получив уведомления о сбросе, обновите сохранённые пароли в инструментах и проверьте пересылки и фильтры почты, а также файлы сайта на наличие неизвестных изменений.
Утечка из системы управления приложением Matsuya (2 377 127 записей плюс участники приложения): имена, телефоны и адреса доставки, и что делать участникам
30 октября 2026 года Matsuya Foods Holdings Co., Ltd., японская сеть ресторанов с рисовыми мисками с говядиной, объявила, что к системе управления официальным приложением Matsuya (Matsuben Net, Mobile Order и Matsuben Delivery) получил несанкционированный доступ третье лицо и данные участников утекли. Компания обнаружила вторжение и утечку 28 октября. Для пользователей Matsuben Net, Mobile Order и Matsuben Delivery (2 377 127 записей) утекли идентификатор участника, адрес доставки, имя, номер телефона и баллы Matsuya. Для участников приложения Matsuya (2 000 записей, возможно до 3 000) утекли идентификатор участника, префектура, имя, номер телефона, дата рождения, адрес электронной почты, зашифрованный пароль и баллы Matsuya. Компания говорит, что не хранит данные кредитных карт. Причина и способ вторжения расследуются, приложение и связанные сервисы, такие как сайт, приостановлены. Вывод этого сайта: не открывайте ссылки в сообщениях от имени Matsuya, проверяйте информацию только там, где вы сами открыли официальный ресурс, а участникам приложения не стоит использовать пароль Matsuya на других сайтах.
Утечка из приложения и интернет-магазина Ryohin Keikaku (MUJI) (до примерно 27,26 млн записей): затронуты также номера карт MUJI Card примерно 1,09 млн — что делать пользователям
После первого уведомления от 30 октября Ryohin Keikaku Co., Ltd., японская розничная компания, стоящая за брендом MUJI, сообщила во втором уведомлении от 4 ноября 2026 года, что масштаб шире. Затронуты как пользователи приложения MUJI, так и участники интернет-магазина MUJI (включая тех, кто никогда не пользовался приложением), в том числе удалившие учётную запись. Адрес эл. почты, дата рождения, пол и идентификатор участника в записях числом до примерно 27,26 млн могли быть доступны извне, а примерно у 520 000 из них также имя, адрес и номер телефона. У примерно 1,09 млн участников карты MUJI Card (выпуск Credit Saison, оформление до июля 2021 года) затронуты полный номер карты, идентификатор MUJI Card и дата рождения; имя на карте, срок действия и код безопасности не входят. По примерно 120 записям, где карта была зарегистрирована в приложении или интернет-магазине, затронуты первые шесть и последние две цифры номера карты и имя держателя. Компания говорит, что не подтвердила ни утечки в даркнет, ни вреда от злоупотребления данными, и свяжется с пострадавшими клиентами индивидуально по эл. почте или почтой. 6 ноября она объявила о приостановке интернет-магазина. Вывод этого сайта: если у вас есть MUJI Card, проверьте выписку по карте и обращайтесь в Credit Saison по любым незнакомым операциям, а любые сообщения и звонки от имени MUJI или карточной компании проверяйте через официальное приложение или сайт, которые открываете сами, либо по номеру на обороте карты.
Взлом OpenCode Console (октябрь 2026, 1,4% пользователей Console): возможно раскрыты API-ключи поставщиков ИИ, и что делать
17 октября 2026 года OpenCode, ИИ-агент для написания кода с открытым исходным кодом, сообщил в своём официальном аккаунте в X, что прошлой ночью произошёл взлом, связанный с масштабной атакой дистилляции, который затронул 1,4% пользователей OpenCode Console. По словам компании, утром она отправила письма всем затронутым пользователям, те, кто письма не получил, не затронуты, а затронутые пользователи — это часть тех, у кого были подключены внешние поставщики. Компания сообщила, что инцидент продолжается, что она не может поделиться подробностями и что работает с соответствующими поставщиками ИИ. Согласно сообщениям СМИ о письме и заявлениях компании, API-ключи внешних поставщиков ИИ, которые пользователи хранили в рабочих пространствах Console, могли быть раскрыты через более старую систему, и затронутым пользователям было сказано отозвать и заменить эти ключи напрямую у каждого поставщика. Сооснователь заявил, что приложение с открытым исходным кодом и инструмент командной строки не затронуты. Мнение этого сайта: если вы получили письмо или у вас были подключены ключи поставщиков ИИ в OpenCode Console и вы не уверены, отзовите их сегодня в панели управления каждого поставщика и проверьте использование и счета начиная с 17 октября.
Утечка данных Photon Health (уязвимость инструмента аналитики): имена, адреса, номера телефонов, даты рождения и сведения о рецептах — что делать пострадавшим пациентам
8 октября 2026 года Photon Health, американская платформа электронных рецептов, опубликовала уведомление, в котором говорится, что неавторизованное третье лицо воспользовалось ранее неизвестной уязвимостью в её инструменте аналитики данных (Metabase), который Photon запускает на собственной инфраструктуре, и получило доступ к некоторым данным. Photon говорит, что узнала об инциденте 21 августа и завершила проверку данных 4 сентября. Пункты — имя, адрес, номер телефона, дата рождения и сведения о назначенных лекарствах, в зависимости от человека. Photon говорит, что не собирает и не хранит номера социального страхования и финансовую информацию, поэтому они не затронуты, и что доказательств злоупотребления у неё нет. Photon не раскрыла, сколько людей затронуто. Отдельно Blueberry Pediatrics, компания педиатрической телемедицины, сообщила генеральному прокурору Орегона, что из-за взлома её собственной среды Metabase затронуто 340 915 человек, среди пунктов — сведения о плане медицинского страхования и медицинские записи. Вывод этого сайта: это данные о здоровье вместе с реальными именем, адресом и номером телефона, поэтому ждите убедительных звонков и сообщений о рецептах, страховке или аптечных аккаунтах. Не действуйте по ним; перезвоните по номеру, который найдёте сами.
Trezor сообщает о возможном аппаратном имплантате в Safe 5 от бывшего реселлера (не подтверждено): что делать владельцам
30 октября 2026 года Trezor опубликовал уведомление, в котором говорится, что 28 октября его команда безопасности получила сообщение об аппаратном имплантате в Trezor Safe 5 в рамках ответственного раскрытия уязвимостей. Устройство было куплено в августе 2026 года через онлайн-маркетплейс у компании, которая до октября 2026 года была официальным реселлером Trezor в Юго-Восточной Азии. В сообщении описана дополнительная печатная плата с сотовым модулем и антенной между основной платой и экраном, которая, как сказано, считывает то, что показывает экран, включая резервную копию кошелька (фразу восстановления), и отправляет это по мобильной сети. Trezor устройство не получил, поэтому это не проверено, и компания говорит, что о краже средств ничего не известно. Для устройств, купленных у этого реселлера с марта 2026 года, Trezor говорит: не настраивайте новое, а если уже пользуетесь, создайте на новом устройстве новый кошелёк с новой фразой восстановления и переведите средства. Наш вывод: это сообщение, а не подтверждённый факт, но шаги недороги по сравнению с риском, поэтому, если ваше устройство от этого реселлера, следуйте рекомендациям производителя.
Взлом сайта Yakult Honsha (около 40 000 записей): имена, адреса, телефоны, адреса эл. почты и содержание обращений утекли — что делать пострадавшим
Yakult Honsha Co., Ltd. подтвердила несанкционированный доступ к своему сайту 26 октября 2026 года и в тот же день приостановила функции сайта. Во втором сообщении 30 октября она заявила, что подтверждена утечка около 40 000 записей персональных данных, предоставленных через сайт. Затронутые группы и пункты: пользователи формы обращений по эл. почте (имя, пол, возрастная группа, адрес, номер телефона, адрес эл. почты, содержание обращения); участники сайта школьного питания «Tanoshii Kyushoku» (имя, вид деятельности, место работы, адрес и телефон места работы, адрес эл. почты, зашифрованный пароль и другое); пользователи формы запросов прессы; и сотрудники компании, обрабатывавшие эти обращения (имена). Компания говорит, что на сайте не хранились данные кредитных карт и банковских счетов. Разбивка числа записей, затронутый период и причина не раскрыты. Она сделала первичное сообщение в Комиссию по защите персональной информации Японии и проконсультировалась с полицией. Вывод этого сайта: не открывайте ссылки в сообщениях, якобы от Yakult, а участникам сайта школьного питания стоит сменить пароль на любом другом сервисе, где использовался тот же.
Инцидент безопасности Zeabur (октябрь 2026, прочитано 3,22 млн переменных окружения): какие секреты заменить и что делать пользователям
19 октября 2026 года платформа для развёртывания приложений Zeabur опубликовала предварительный отчёт об инциденте безопасности 14–15 октября (UTC). По словам компании, атакующий с помощью утёкших внутренних учётных данных Zeabur проник в общий кластер, часть выделенных серверов (Dedicated Servers) и внутренние системы, а затем, с 16:10 до 16:47 UTC 15 октября, прочитал базу данных платформы. Компания подтвердила, что прочитаны 3 218 965 записей переменных окружения (имена и значения) и данные 321 810 аккаунтов (электронная почта, имя пользователя, номер телефона и другое), а также 566 API-ключей zSend, которые она отозвала. Компания заявляет, что первопричина лежит на Zeabur: долгоживущие административные учётные данные хранились в открытом виде и могли использоваться из публичного интернета. Она просит всех пользователей заменить все пароли и ключи, хранящиеся в Zeabur, даже если они уже заменили их после отдельного инцидента в августе. 17 октября Zeabur объявила, что прекратит работу 31 декабря 2026 года, а 22 октября установила 30 ноября 2026 года крайним сроком подачи требований о возмещении убытков от инцидента. Мнение этого сайта: считайте, что каждый секрет, который вы когда-либо помещали в переменную окружения Zeabur, известен кому-то ещё, сначала отзовите его у выпустившего сервиса и проверьте счета и журналы начиная с 14 октября.
Утечка данных клиентов ASOS и поддельное уведомление в приложении: затронуты имена и контактные данные, о датах рождения и истории поиска сообщается в прессе — что делать клиентам
6 октября 2026 года клиенты ASOS получили несанкционированное push-уведомление через приложение ASOS. ASOS сообщила, что неуполномоченная сторона получила доступ к сторонним платформам, которые компания использует для связи с клиентами. Она сказала, что имена и контактные данные клиентов могли быть затронуты, и что, по ее мнению, данные платежных карт и пароли аккаунтов не пострадали. В более позднем обновлении для клиентов, о котором сообщает BleepingComputer, ASOS сказала, что учетные данные сотрудника были получены путем выдачи себя за доверенный контакт. BBC сообщила, что в образце, предоставленном злоумышленниками, также были номера клиентов, даты рождения и поисковые запросы на сайте ASOS; ASOS этот перечень не подтвердила. ASOS не опубликовала, сколько клиентов затронуто. Вывод этого сайта: сообщение, в котором указано ваше имя или прошлый поиск, не доказывает, что оно от ASOS. Открывайте приложение или сайт ASOS самостоятельно, не нажимая на ссылку.
Кража криптовалюты у Bitget (около 387,5 млн долларов США): покрыты ли балансы клиентов и что делать владельцам аккаунтов
24 сентября 2026 года (UTC) криптобиржа Bitget обнаружила несанкционированные переводы из части своих горячих и теплых кошельков. Сначала она оценила сумму примерно в 351,6 млн долларов США, а 25 сентября подтвердила, что около 387,5 млн долларов США отправлено на адреса, контролируемые злоумышленником. Bitget говорит, что балансы клиентских аккаунтов не затронуты, что потери укладываются в Фонд защиты пользователей (User Protection Fund), что холодные кошельки не затронуты, а точкой входа стала zero-day-уязвимость в сторонних продуктах безопасности, теперь устраненная. Вывод средств был приостановлен, затем восстановлен поэтапно; на странице Bitget сказано, что он был полностью восстановлен 2 октября. Bitget не опубликовала название затронутого продукта и полный отчет о первопричине. Вывод этого сайта: это была кража из собственных кошельков биржи, а не утечка данных клиентов, поэтому главный риск для владельцев аккаунтов сейчас — поддельные сообщения о «возврате» и «компенсации». Включите двухфакторную аутентификацию, открывайте Bitget только из собственной закладки и никогда не сообщайте сид-фразу, закрытый ключ или код подтверждения.
Инцидент с ConnectWise Cloud Backup (прежде SkyKick): попытки входа с помощью ИИ в более чем 2 250 тенантов Microsoft 365 и что проверить администраторам
16 октября 2026 года ConnectWise опубликовала бюллетень о несанкционированном доступе к учетным данным приложений, связанных с Cloud Backup (прежде SkyKick) — сервисом резервного копирования Microsoft 365 для управляемых сервис-провайдеров (MSP). 17 октября компания отключила семь идентификаторов приложений, приостановила Cloud Backup, SaaS Security и Cloud Management, а 19 октября сбросила все учетные записи и учетные данные в затронутой среде. 21 октября Microsoft опубликовала исследование, в котором оценивает, что за компрометацией стояла группа, связанная с государством, и что затем она использовала открытый мультиагентный ИИ-фреймворк для тестов на проникновение, чтобы пытаться войти в более чем 2 250 тенантов. По словам Microsoft, большинство попыток не удалось, но привилегированный доступ к облаку был получен во многих организациях, в некоторых случаях менее чем за три часа. Отдельно одна охранная компания подтвердила несанкционированные входы в 162 тенантах по состоянию на 16 октября. ConnectWise говорит, что в существующих архивах резервных копий нет признаков компрометации, но это не устанавливает, были ли затронуты отдельные тенанты Microsoft 365. Вывод этого сайта: если вы или ваш MSP когда-либо устанавливали эти приложения, проверьте учетные данные приложений, роли каталога и согласия в своем тенанте и держите приложения отключенными, пока ConnectWise не скажет иное.
Утечка данных Frontline Education (поставщик школьного ПО): 3,09 млн человек по списку генпрокурора Индианы; затронуты номера социального страхования, Medicaid ID и студенческие ID — что делать сотрудникам и родителям
Frontline Education, американский поставщик ПО для управления школьными округами K-12, опубликовала уведомление об утечке данных (Notice of Data Breach) от 26 октября 2026 года. В нём сказано, что 14 августа 2026 года служба безопасности обнаружила уязвимость в стороннем программном продукте, которым компания пользуется, что эта уязвимость позволила получить несанкционированный доступ к части её среды начиная с этого дня и что последним днём несанкционированной активности было 15 августа. Затронутые данные относятся к двум продуктам, Frontline Central и School Health Management. Компания сообщает, что затронуты следующие элементы данных, причём какие именно, зависит от человека: номер социального страхования, дата рождения, номер водительского удостоверения, номер паспорта, другой государственный документ, удостоверяющий личность, Medicaid ID и студенческий ID. Frontline заявляет, что ей не известно о злоупотреблении данными, и предлагает взрослым в США два года кредитного мониторинга TransUnion, а несовершеннолетним кибермониторинг (на странице об инциденте — мониторинг даркнета, где он доступен). В списке генпрокурора Индианы об утечках данных (выпуск за ноябрь 2026 года) значится 3 085 266 человек в целом (66 157 жителей Индианы; дата уведомления — 26 октября, дата утечки — 14 августа), тогда как уведомления в пяти других штатах (MA, NH, SC, TX, VT) в сумме давали около 1,3 млн (1 298 917), по данным SecurityWeek. Число округов не опубликовано. Наша оценка: если вы работаете в американском школьном округе, использующем Frontline, или у вас там учится ребёнок, считайте, что уведомление относится к вам, поставьте бесплатную заморозку кредита и относитесь к любому звонку или письму, где называют ваш Medicaid ID или студенческий ID, как к непроверенным.
Утечка данных iRhythm (в списке HHS 8 179 772 человека): имена пациентов Zio, номера страховок и серийные номера устройств — что делать пациентам
iRhythm Technologies, американский производитель носимого кардиомонитора Zio, сообщила Комиссии по ценным бумагам и биржам США (SEC) 15 июня 2026 года, что обнаружила несанкционированный доступ к некоторым бизнес-приложениям, размещённым у третьей стороны, и что данные были похищены. В уведомлении от 2 октября 2026 года компания пишет, что расследование установило: данные были просмотрены и скачаны с 3 по 8 июня 2026 года, а уведомления затронутым людям начали рассылаться 2 октября. Данные включают имя пациента, контактную информацию (адрес, email, телефон), номер учётной записи пациента, серийный номер устройства, номер страховки, дату услуги и дату рождения; компания относит их к защищённой медицинской информации по закону HIPAA. Собственной общей цифры iRhythm не опубликовала. Инцидент появился на портале Министерства здравоохранения и социальных служб США (HHS) с 8 179 772 людьми, как сообщили SecurityWeek и CyberInsider 29 октября 2026 года. В более ранних заявлениях штатов указаны 298 647 человек в Техасе и 69 526 в Южной Каролине. Компания сообщает, что не обнаружила влияния на свои продукты, клинические системы и системы медицинских устройств и что не хранит данные платёжных карт и финансовых счетов. Позиция этого сайта: если вы были пациентом Zio, ждите убедительных сообщений с вашим именем и данными страховки, проверяйте выписки страховой и рассмотрите бесплатную заморозку кредита.
Утечка данных Копенгагенского университета (около 525 000 человек): имена, номера CPR, телефоны и почта — что делать
Копенгагенский университет (Københavns Universitet, KU) 23 октября 2026 года объявил, что хакеры получили доступ к одной из его тестовых сред. Согласованные сообщения со ссылкой на университет говорят, что получены данные около 525 000 человек: полное имя, номер CPR (гражданский регистрационный номер Дании), рабочий и личный телефоны и личный адрес электронной почты. В обновлении от 25 октября университет сообщил, что также скомпрометированы PIN-коды удостоверений около 20 000 сотрудников и студентов и что выданы новые PIN. Согласно сообщениям, вторжение было обнаружено во вторник, 20 октября, и взято под контроль. Университет сообщил Датскому ведомству по защите данных. Собственные страницы университета 30 октября с этого сайта открыть не удалось, поэтому статья опирается на эти сообщения. Вывод этого сайта: считайте непроверенным любое сообщение, где используются ваше имя и номер CPR, проверяйте через каналы, которые открываете сами, и никогда не называйте по просьбе номер CPR, пароль или PIN.
Возможная утечка данных доставки Ichiban Kuji ONLINE (несанкционированный доступ к Bandai Logipal): имена, адреса и номера телефонов, и что делать участникам
26 октября 2026 года BANDAI NAMCO Holdings Inc., BANDAI SPIRITS CO., LTD. и Bandai Logipal Co., Ltd. сообщили (первое сообщение), что к системе, которой управляет Bandai Logipal, логистическая дочерняя компания BANDAI NAMCO Holdings, третья сторона получила несанкционированный доступ и что это было обнаружено 21 октября. По словам трёх компаний, персональные данные, которые могли утечь, — это данные доставки (имя, адрес и номер телефона) для Ichiban Kuji ONLINE, сервиса, доставку товаров которого BANDAI SPIRITS поручает Bandai Logipal. Такие подробности, как число затронутых людей, расследуются; данные банковских карт не входят, и злоупотреблений пока не подтверждено. 21 октября компания обнаружила на сервере своей логистической системы следы, указывающие на несанкционированный доступ, и выключила сервер, а в тот же день подтвердила, что операции выполнялись с неправомерным использованием учётной записи Bandai Logipal. 24 октября она остановила соответствующую логистическую систему, а 26 октября сообщила в полицию и в Комиссию по защите персональной информации Японии. В объявлении сказано, что соответствующая система отгрузки приостановлена с 26 октября. Как произошёл несанкционированный доступ, не опубликовано. Компании предупреждают, что могут поступать подозрительные звонки и почтовые отправления, связанные с инцидентом. Вывод этого сайта: всем, кому доставляли товары через Ichiban Kuji ONLINE, не следует реагировать на неожиданные звонки или письма якобы от Ichiban Kuji или Bandai, а для проверки нужно использовать форму обращения на официальном сайте, открытом самостоятельно.
Утечка на опросном сайте Qzoo (около 400 000 записей): могли утечь данные участников, включая банковские реквизиты, и что делать участникам
21 октября 2026 года Monitas Inc. сообщила, что третья сторона получила несанкционированный доступ к её опросному сайту Qzoo и что персональные данные участников (панелистов) могли утечь. Согласно хронологии, несанкционированный доступ начался в 8:30 17 октября; в 12:22 база данных была просмотрена и изменена с помощью SQL-инъекции; в 18:44 доступ был обнаружен и заблокирован; в 19:02 сервис был переведён в режим экстренного обслуживания; 20 октября в Комиссию по защите персональной информации Японии было направлено предварительное сообщение. Охват — около 400 000 записей (все записи, хранившиеся в системе Qzoo на 17 октября). В базе данных, которая могла быть затронута, хранятся основные сведения (имя, дата рождения, адрес, номер телефона, адрес электронной почты и др.), данные аутентификации участника (ID участника, пароль и др.), финансовые сведения (номер счёта, название отделения, имя владельца счёта и др.) и ответы на опросы (годовой доход, профессия и др.). Состав данных ещё расследуется. Компания не хранит данные банковских карт и My Number (японский личный номер). По её словам, злоумышленник воспользовался уязвимостью в её системе. Несанкционированного доступа к другим её системам не обнаружено. Вывод этого сайта: сегодня же смените пароль везде, где он совпадает с паролем от Qzoo, не открывайте ссылки в сообщениях якобы от Qzoo или банка и никому не сообщайте PIN-код и данные для входа. Проверьте также операции по банковскому счёту.
Несанкционированный доступ к Rakuten Travel (до примерно 2,6 млн записей): имена, контакты и часть данных карт из бронирований зарубежных отелей, что делать пользователям
26 октября 2026 года Rakuten Group, Inc. сообщила, что подтвердила несанкционированный доступ внешней третьей стороны к некоторым страницам сайта бронирования зарубежных отелей Rakuten Travel, которым управляет и который обслуживает её дочерняя компания Rakuten Travel Xchange, а также к многоязычному сайту бронирования, который обслуживает сама Rakuten Group. На страницах бронирования зарубежных отелей (инцидент 1) аномалия была обнаружена 10 сентября, а исправление системы завершено 16 сентября. Информация, ставшая объектом несанкционированного доступа, включает имена, адреса электронной почты, номера телефонов и внутренние идентификаторы до примерно 2,6 млн записей клиентов, входивших в аккаунт, а также, для до примерно 40 000 записей клиентов, сделавших бронирование, имена, контактные данные, страну проживания, сведения о бронировании и имена спутников; для до примерно 36 000 из них — платёжную информацию (идентификационный номер эмитента карты и последние четыре цифры, имя держателя карты, срок действия и платёжную систему). Полные номера карт, коды безопасности, пароли, документы, удостоверяющие личность, и адреса не входят (согласно примечанию к пункту о забронировавших клиентах). На многоязычном сайте бронирования (инцидент 2), где проблема была обнаружена 20 октября и устранена 21 октября, затронуты адреса электронной почты и внутренние идентификаторы до примерно 860 000 записей вошедших клиентов, а также имена учётных записей и адреса электронной почты до примерно 40 000 записей сотрудников средств размещения, введённые в панели управления. Причина, охватываемый период и наличие компенсации не объявлены. Вывод этого сайта: сообщение с просьбой повторно ввести номер карты или оплатить не становится настоящим только потому, что в нём верно указаны ваше бронирование или последние четыре цифры карты. Не используйте ссылки из писем и SMS; проверяйте бронирование в приложении Rakuten Travel или на официальном сайте из своих закладок.
Как удалить историю браузера, файлы cookie и сохранённые пароли (Chrome, Safari, Edge, Firefox на компьютере и телефоне): что удалять после утечки и что сначала сохранить
Руководство по удалению истории браузера, файлов cookie (данных сайтов), кеша, сохранённых паролей и данных автозаполнения в Chrome (Windows, Mac, Android, iPhone), Safari (Mac, iPhone, iPad), Edge и Firefox с названиями пунктов из официальной справки каждой компании. Удаление истории браузера не возвращает то, что уже скопировано, и не защищает от угрозы. Будущий ущерб снижают меры в отношении состояния входа (файлов cookie) и сохранённых паролей: смените пароли и завершите все сеансы с безопасного устройства. Если вы будете обращаться в полицию, до удаления зафиксируйте письмо с угрозой и подозрительные расширения. Если синхронизация включена, удаление стирает данные и на других ваших устройствах с тем же аккаунтом. В связи с инцидентом с Onamae.com Desktop Cloud в октябре 2026 года шестое уведомление GMO Internet просит клиентов не включать синхронизацию браузера, пока проверка устройств не завершена.
Возможная утечка данных участников кампании Fujicco (около 15 500 записей): имена, адреса, сведения о семье и что нужно сделать участникам
22 октября 2026 года Fujicco Co., Ltd., японский производитель продуктов питания, известный йогуртом Caspian Sea Yogurt и продукцией из ламинарии, объявила, что к серверу компании, которой она поручает обработку записей участия в кампаниях, получил несанкционированный доступ посторонний. Возможно, персональные данные участников были раскрыты. Доступ обнаружили 21 октября, сервер был сразу отключен. Данные касаются информации, введенной в формах для участия без регистрации в двух кампаниях, проводившихся с мая 2026 года: «Motto! Toro-mocchi Campaign Part 2» из серии йогурта Caspian Sea Yogurt и «Fujicco Thanksgiving Festival Campaign». Всего около 15 500 записей, включая повторные записи одного и того же человека. Речь идет об имени, возрасте, поле, профессии, семейном положении, составе семьи, номере телефона, адресе электронной почты, адресе и ответах на опрос. Водительские удостоверения, номера кредитных карт и банковских счетов не затронуты. Записи, сделанные как участник Fujicoin, по открытке или в X, не затронуты. Публикация или злоупотребление данными не подтверждены, но компания относится к данным как к полученным третьей стороной. Вывод этого сайта: люди, которые участвовали через затронутые формы, не должны платить за доставку или обработку, повторно отправлять чеки или заново вводить личные данные по просьбе и должны уточнить информацию в офисе кампании по номеру из официального уведомления.
Возможная утечка данных приложения FX Navi от Green Monster (около 6,19 млн записей): адреса электронной почты и ответы на опросы среди данных, и что делать пользователям
23 октября 2026 года Green Monster Inc. (Токийская фондовая биржа, рынок Growth, 157A) объявила, что информация пользователей её приложения для демо-торговли на форексе FX Navi (FXなび), возможно, получена сторонней стороной (первое сообщение). 17 октября компания обнаружила несанкционированный доступ к приложению со стороны третьей стороны и начала расследование. В ходе расследования выяснилось, что примерно с 20:26 27 апреля до примерно 14:26 30 апреля сторонняя сторона, использовавшая другой IP-адрес, возможно, непрерывно получала информацию пользователей из приложения. Компания заявляет, что утечка в результате доступа 17 октября не подтверждена. Возможно, получено около 6,19 млн записей, в том числе данные, не являющиеся персональными. Среди данных: адрес электронной почты (66 003), псевдоним, пол, возрастная группа, категория рода занятий, ID в X (ранее Twitter) (6 434), текст о себе, URL изображения значка, ответы на опрос при первом запуске (4 809 631), идентификатор устройства, учетные данные для входа, код переноса аккаунта (5 120), идентификатор push-уведомлений, рекламный идентификатор, исходный IP-адрес и данные об использовании, например результаты торговли. Имя, адрес, номер телефона, дата рождения, кредитная карта, банковский счет и Мой номер (японский национальный идентификационный номер) не относятся к данным, которые пользователи могут указать. По словам компании, причиной стала функция API приложения; компания исправила функцию API и учетные данные для входа и аннулировала все учетные данные, выпущенные до исправления. Вторичный ущерб не подтвержден. Вывод этого сайта: пользователям FX Navi не следует открывать ссылки или вложения в письмах или сообщениях в X, которые якобы отправлены компанией или связанными с ней фирмами, и следует считать любое предложение инвестировать поддельным.
Утечка данных участников интернет-магазина и приложения Lindt Japan (3 147 469 записей): имена, адреса, телефоны, даты рождения и хешированные пароли, что делать участникам
23 октября 2026 года Lindt & Sprüngli Japan, японское подразделение швейцарского производителя шоколада, сообщила, что к системе сторонней компании, которая обеспечивает платформу интернет-магазина и управляет данными его участников, был получен несанкционированный доступ, и что 3 147 469 записей участников интернет-магазина и официального приложения Lindt утекли. По отчёту подрядчика, уязвимость в программном обеспечении на сервере подрядчика была использована с 23:02 17 октября до 0:16 18 октября (японское время). В утёкших данных: идентификатор участника, имя, адрес электронной почты, почтовый адрес, телефон, дата рождения, пол, настройки рассылки, выбранный магазин, пароль для входа (хранится в хешированном виде) и другие данные участника, такие как написание имени, дата регистрации и последний вход. Платёжные данные, например банковские карты, не входили в утечку. По состоянию на 11:00 23 октября злоупотреблений подтверждено не было. Интернет-магазин приостановлен с 16:00 21 октября, а при возобновлении работы участников попросят сменить пароль. Письма затронутым участникам отправляются начиная с 26 октября. Вывод этого сайта: не следуйте инструкциям в письмах, сообщениях, звонках или письмах на бумаге, которые якобы исходят от Lindt, и сразу смените пароль во всех других сервисах, где использовали тот же пароль.
Утечка на платформе предоплаченных карт Value Card (1,42 млн записей, 1,13 млн записей MOS Card): номера карт, PIN-коды и балансы утекли, что делать держателям карт
23 октября 2026 года PayCloud Holdings, компания, котирующаяся на фондовом рынке Growth Токийской фондовой биржи, объявила, что к серверам Value Card, собственной службы выпуска электронных денег (предоплаченных магазинных карт), которую её дочерняя компания Value Design Inc. предоставляет эмитентам карт, получил несанкционированный доступ посторонний, и что утекли 1 424 748 записей с идентификационными номерами, PIN-кодами и информацией о балансе (569 224 выпущенных ID и 855 524 невыпущенных ID, то есть ID, которые пользователь ещё не купил). Доступ подтверждён 19 октября, причиной стало использование третьим лицом уязвимости веб-сервера в части системной среды дочерней компании. Личные данные не затронуты; риск неправомерного использования выпущенных ID устранён, фактического ущерба от злоупотреблений не было. В тот же день MOS Food Services, Inc., которая управляет сетью MOS Burger и предоплаченной картой MOS Card, объявила, что несанкционированный доступ к системе Value Design, которой она поручила эксплуатацию и обслуживание серверов MOS Card, привёл к утечке 1 133 070 записей MOS Card (16-значный номер карты, 6-значный PIN-код и баланс; около 570 000 карт в обращении и около 560 000 карт, не находящихся в обращении), и что она принудительно сбросила PIN-коды, связанные с утекшими номерами карт. Имена, адреса, номера телефонов и данные кредитных карт не входили в утечку. Какие карты других эмитентов затронуты, не раскрыто. Вывод этого сайта: держатели MOS Card должны проверить историю операций на наличие списаний, которые они не узнают, обратиться на специальную горячую линию, если перестанут работать онлайн-проверка баланса и аналогичные функции, и никогда не сообщать PIN-код или номер карты никому, кто об этом просит.
Несанкционированный доступ к облачным сервисам Digital Arts (i-FILTER@Cloud и еще пять): часть данных клиентов могла быть просмотрена, что должны делать администраторы
21 октября 2026 года Digital Arts Inc., японский разработчик продуктов для фильтрации веб-трафика и электронной почты и защиты файлов, сообщила в сообщении о существенном факте и на своем сайте, что обнаружила следы несанкционированного доступа к операционной среде своих облачных сервисов и к внутренней среде. По словам компании, учетные данные, которые использовались для управления облачными сервисами, были получены посторонним и применены для входа в операционную среду сервисов. В результате информация о части клиентов шести облачных сервисов (i-FILTER@Cloud, m-FILTER@Cloud (Modern Edition), m-FILTER MailAdviser for Microsoft 365, FINAL CODE@Cloud, z-FILTER и Desk) могла быть просмотрена посторонним. Следы были обнаружены 9 октября в ходе проверки всей компании с использованием ИИ, а некоторые относятся примерно к июлю 2025 года. По состоянию на полдень 21 октября вынос данных клиентов за пределы компании не подтвержден, сообщений о злоупотреблениях или вторичном ущербе не поступало. Категории данных и число клиентов, которые могли быть просмотрены, не опубликованы. Компания просит каждого клиента шести сервисов сменить пароли администратора и пользователей и будет связываться с отдельными клиентами там, где нужны дополнительные действия. Версии программ, установленные на собственных серверах клиентов, не затронуты. В ходе вопросов и ответов для инвесторов 23 октября компания сообщила, что база белого списка не была доступна для просмотра злоумышленнику и не была изменена, а также что инцидент передан в Комиссию по защите персональных данных Японии. Вывод этого сайта: администраторам организаций, использующих любой из шести сервисов, стоит на этой неделе сменить пароли администратора и пользователей и проверить, не связывалась ли с ними компания индивидуально.
Утечка данных интернет-магазинов FANCL и Attenir (368 184 и 417 312 участников): раскрыты имена, адреса, телефоны и даты рождения, и что делать участникам
16 октября 2026 года FANCL Corporation и Attenir Corporation, две японские компании, выпускающие косметику и товары для здоровья, сообщили, что в период с 3 по 10 октября посторонние лица получили несанкционированный доступ к их интернет-магазинам, и что часть данных их участников утекла. Доступ обнаружили в ходе внутреннего расследования 15 октября, и компании выявили и отключили функцию, которая стала причиной. Утекшие данные включают 393 785 записей для 368 184 участников FANCL и 441 162 записи для 417 312 участников Attenir. В состав данных входят адрес электронной почты, имя, адрес, номер телефона, дата рождения, пол, номер клиента, дополнительный адрес электронной почты и его пароль (хешированный дополнительный пароль, который задавали некоторые участники; основной пароль не включён), пункты контрольных вопросов (ответы не включены) и другие данные регистрации, такие как баллы и уровень членства. Платёжные данные, например данные банковских карт, не включены. Никакого злоупотребления или вторичного вреда не подтверждено. По словам FANCL, в FAQ компании, пострадавшим клиентам написали на зарегистрированный адрес электронной почты 17 октября. Вывод этого сайта: участники обеих компаний должны считать, что их имя, адрес, телефон и дата рождения известны посторонним; им не следует выполнять инструкции из писем, сообщений, звонков или писем на бумаге, которые якобы исходят от компаний, и проверять информацию через официальный сайт или общую линию помощи.
Утечка данных Trustbank на Furusato Choice (4 454 097 записей участников): имена, адреса и хешированные пароли — что делать донорам
20 октября 2026 года компания Trustbank, Inc., которая управляет Furusato Choice, крупным сайтом для системы налоговых пожертвований furusato nozei в пользу малой родины в Японии, объявила, что посторонняя сторона получила несанкционированный доступ к данным участников и что персональные данные доноров утекли. Заметив необычную активность доступа 19 октября, компания установила, что несанкционированный доступ произошёл 17 октября, и в 15:50 19 октября отключила связанные сервисы. Подтверждённая утечка охватывает 4 454 097 записей участников: имя, адрес электронной почты, почтовый адрес, номер телефона, хешированный пароль и расчётную сумму налогового вычета. Во втором отчёте от 23 октября компания сообщила, что у пяти из этих доноров утекли дополнительные данные: история баллов, история пожертвований, дата рождения и адрес доставки. У двоих из них посторонняя сторона получила доступ к экрану «Моя страница», где показаны сохранённые данные карты (последние четыре цифры, имя владельца, срок действия). По словам компании, данные карты каждый раз запрашиваются у платёжного процессора при показе этого экрана, в её системах не хранятся, и сами по себе не позволяют провести платёж по карте. С 21 октября участникам по отдельности направляются письма о том, утекли ли их данные и какие именно. В третьем отчёте от 26 октября компания сообщила, что в тот же день начала постепенно возобновлять систему управления пожертвованиями, которой пользуются муниципалитеты и поставщики подарков (в её FAQ от того же дня — с 25 октября). Новые пожертвования не принимаются, дата возобновления сайта для доноров не назначена. Пароли всех участников аннулированы, после возобновления нужно будет задать новый пароль. Вывод этого сайта: участникам следует сменить пароль в любом другом сервисе, где используется та же комбинация адреса электронной почты и пароля, и не открывать ссылки в сообщениях, которые якобы отправлены от Furusato Choice или муниципалитета.
Утечка данных and ST HD (около 2,5 млн записей клиентов): что могло утечь и что делать участникам программы
23 октября 2026 года and ST HD Co., Ltd. сообщила, что из-за несанкционированного доступа третьего лица к её бизнес-серверам могла произойти утечка части данных клиентов, деловых партнёров и сотрудников. По данным компании, примерно с 7:30 утра 22 октября (по японскому времени) по очереди выполнялись попытки входа, проникновение и извлечение данных на нескольких серверах; около 10:00 компания обнаружила несанкционированную активность, изолировала серверы, а к 17:00 перекрыла путь доступа. Могли утечь около 2,5 млн записей клиентов (имя, дата рождения, пол, адрес, номер телефона, адрес электронной почты и ID участника) и около 10 000 записей деловых партнёров (название компании, адреса заказа и возврата, имя контактного лица, телефон и адрес электронной почты); объём данных сотрудников уточняется. Платёжные данные, такие как данные кредитных карт, и пароли, заданные самими клиентами, не затронуты, сообщает компания. Интернет-магазин and ST не пострадал от несанкционированного доступа, но баллы участников сейчас нельзя использовать ни в магазинах, ни в интернет-магазине. Компания сообщает, что начинает поочерёдно связываться с затронутыми клиентами и партнёрами и откроет службу обращений. Мнение сайта: раз пароли, как сообщается, не затронуты, сегодня главное не менять пароль, а с недоверием относиться к сообщениям, в которых от имени компании или её брендов указаны ваш настоящий адрес или дата рождения. Проверяйте информацию через официальное приложение или сайт, который вы открыли сами.
Возможная утечка переменных окружения Railway (октябрь 2026, до 1,85% рабочих пространств): какие секреты заменить и что делать пользователям
21 октября 2026 года (UTC) Railway сообщила, что обнаружила аномальную активность в системах, где хранятся переменные окружения клиентов, и что неавторизованная третья сторона могла получить доступ к зашифрованным переменным окружения и для части из них получить расшифрованное содержимое. Согласно предварительному отчёту от 22 октября (по данным страницы статуса, опубликован в 16:38 UTC 23 октября), атака длилась с 13:58 UTC 20 октября до 03:32 UTC 22 октября. Она началась с попыток повышения привилегий в инфраструктуре сборки; 21 октября были использованы учётные данные среды CI, и часть зашифрованных переменных окружения была расшифрована. Не более 1,85% всех рабочих пространств (около 100 000 рабочих пространств, по данным компании) имели переменные окружения, часть из которых могла быть скомпрометирована. Компания заявляет, что к учётным записям пользователей Railway доступа не было, и до выхода итогового отчёта не исключает доступ к исходному коду. По-видимому, атакующий искал API-ключи поставщиков ИИ. Railway рекомендует всем пользователям заменить секреты, сохранённые до 21 октября, закрыть публичный сетевой доступ к базам данных и проверить журналы аудита GitHub и реестров (например, Docker Hub). Вывод сайта: даже если с вами не связывались, считайте секреты, хранившиеся на Railway, раскрытыми, перевыпустите их у источника и выполните повторное развёртывание до отзыва старых значений.
Утечка данных Treasure Factory (Trefac), 746 277 записей с email: что делать клиентам выездной скупки и Trefac Moving
23 октября 2026 года Treasure Factory Co., Ltd., японская розничная сеть по продаже подержанных товаров, сообщила, что посторонний получил несанкционированный доступ к системе управления заявками, в которой компания принимает и обрабатывает обращения по услуге выездной скупки (shutchō kaitori) и услуге Trefac Moving, и забрал часть хранившихся там данных клиентов и других лиц. Согласно официальному раскрытию информации компании (timely disclosure), подтверждена утечка 746 277 записей клиентов (адреса email; в 11 из них также указаны имя и адрес), 750 записей с именами и адресами email деловых партнёров, сотрудников и других лиц и 1 000 записей с именами и идентификаторами устройств, которыми пользуются деловые партнёры, сотрудники и другие лица. Номера кредитных карт и другие платёжные данные в утечку не вошли, а данные клиентов в магазинах и в приложении компании хранятся в отдельных системах и не затронуты. Доступ был подтверждён проверкой журналов доступа 20 октября; в тот же день компания отключила внешний доступ и формы заявок. Компания считает, что была использована уязвимость, связанная с доступом к базе данных, и заявляет, что инцидент не связан с недавно раскрытой уязвимостью PHP. Вторичный ущерб не подтверждён. Систему и формы заявок планируется перезапустить около 28 октября. Вывод этого сайта: если вы когда-либо оформляли выездную скупку или Trefac Moving, считайте, что ваш адрес email известен; не открывайте ссылки в письмах от имени Trefac, а проверяйте информацию на официальном сайте.
Утечка данных участников Comic Cmoa (до примерно 4,2 млн записей в лог-файлах): раскрыты адреса электронной почты и даты рождения. Что делать пользователям
NTT Solmare Corporation, которая управляет японским магазином электронных книг Comic Cmoa (コミックシーモア), опубликовала четыре уведомления о несанкционированном доступе к сервису: первое от 15 октября 2026 года и четвертое отчетное от 21 октября. По словам компании, 15 октября она сочла, что несанкционированный доступ к ее серверам извне с высокой вероятностью имел место, и приостановила работу сервиса в 11:35. Во втором отчете от 16 октября компания сообщила, что подтвердила утечку данных участников из системы управления информацией об участниках, третьей стороне (количество еще выясняется). В третьем отчете от 18 октября компания заявила, что установила маршрут вторжения и метод атаки и занимается ими, а также что некоторые лог-файлы системы были просмотрены и скопированы. В четвертом отчете от 21 октября компания описала данные, утечка которых подтверждена: 319 записей регистрационных данных в базе данных участников (адрес электронной почты, хешированный пароль, псевдоним, дата рождения, пол) и до примерно 4,2 млн записей в системных лог-файлах (адрес электронной почты, псевдоним, дата рождения, пол; пароли не включены; возможны дубликаты для одного человека). Компания указывает, что данные кредитных карт в затронутых системах не хранятся и не утекли, и что утечка истории покупок, а также утечка, потеря или повреждение «Моей книжной полки» (библиотек пользователей) не подтверждены. По словам компании, выявление и блокировка маршрута вторжения и метода атаки завершены, но что именно это было, не раскрыто. Затронутых людей уведомят по электронной почте. Сервис остается приостановленным и будет возобновляться поэтапно, начиная с веб-чтения купленных произведений; при возобновлении у всех пользователей запросят сменить пароль. Позиция этого сайта: тому, кто использует на другом сервисе тот же адрес электронной почты и пароль, что и в Comic Cmoa, стоит сменить этот пароль сегодня, не открывать ссылки в письмах, которые утверждают, что они от компании, и проверять информацию на странице новостей NTT Solmare, открытой самостоятельно.
Несанкционированный доступ к Onamae.com Desktop Cloud (GMO Internet) (возможно затронуто 26 739 серверов): вынесены данные клиентов, компенсация и что делать сегодня трейдерам Forex и ценных бумаг
21 октября 2026 года GMO Internet, Inc. объявила о несанкционированном доступе третьей стороны к Onamae.com Desktop Cloud, сервису VPS (виртуального выделенного сервера) для автоматической торговли на Форекс, и сообщила, что на серверных окружениях части клиентов было размещено вредоносное ПО. Возможно затронуто 26 739 серверов; компания говорит, что это число серверов, которые могли быть затронуты, а не число тех, где подтверждён несанкционированный доступ или получение данных. С 04:00 21 октября серверы всех тарифов были поочерёдно остановлены. В четвёртом уведомлении от 24 октября компания сообщила, что в системе сервиса существовала проблема безопасности, что подтверждён несанкционированный доступ к среде сервиса и что информация клиентов была вынесена. Также сообщалось, что некоторые клиенты заявили о сделках на своих торговых счетах, которых они не совершали. Какая именно информация вынесена и о скольких клиентах идёт речь, способ проникновения, а также количество затронутых счетов и суммы не раскрыты. Компания выплатит единовременно 5 000 иен каждому действующему пользователю сервиса и компенсирует реализованные убытки от сделок, которые она установит как вызванные этим несанкционированным доступом (за вычетом возврата, полученного от биржи или брокера). Текущая системная платформа не будет перезапущена в прежнем виде; будет предложен переход на альтернативный сервис на отдельной облачной платформе, бесплатно на шесть месяцев после перехода. По словам компании, лицо, которое она считает злоумышленником, требует денег и угрожает опубликовать информацию и предпринять иные действия в случае отказа; компания заявляет, что платить не будет, и передала доказательства в полицию. В пятом уведомлении от 24 октября компания вновь просит клиентов полностью проверить и создать резервную копию своих устройств, сменить пароли с устройства, не используемого для торговли на Форекс, завершить все активные сеансы, даже если пароль уже изменён, и включить двухфакторную аутентификацию. В седьмом уведомлении от 26 октября компания сообщила, что сторона, предположительно являющаяся злоумышленником, объявила о намерении опубликовать информацию клиентов и провести атаку программой-шифровальщиком в 12:00 27 октября. В восьмом уведомлении от 27 октября она попросила клиентов сделать резервную копию данных, а затем до 12:00 отключиться от сети, выключить ПК и отсоединить от него все кабели. В девятом уведомлении (на 11:59) компания сообщила, что на устройствах клиентов, анализ которых завершён, вредоносное ПО (включая программы-шифровальщики) не обнаружено, но это не подтверждает безопасность всех устройств, и что клиентам, пострадавшим от программы-шифровальщика и обратившимся в службу поддержки, после проверки ущерба будет предоставлен новый ПК сопоставимой производительности. В десятом уведомлении от 27 октября (на 13:55) компания сообщила, что в 12:30 подтвердила публикацию стороной, предположительно являющейся злоумышленником, того, что та выдаёт за информацию о компании и её клиентах (компания ещё проверяет содержимое и говорит, что оно может включать ложные сведения). По её словам, на 13:55 атака программой-шифровальщиком не подтверждена. Компания просит не посещать сайт, где, по сообщениям, опубликована информация, и не распространять его, поскольку злоумышленник получает информацию о каждом посетителе. В двенадцатом уведомлении (на 19:10) компания сообщила, что выплатит специальную выплату от 10 000 до 25 000 иен за каждую категорию информации (не более 3 млн иен за одну публикацию) клиентам, чья информация, по её подтверждению, вошла в опубликованное злоумышленником, и учредила вознаграждение с общим лимитом 1 млн долларов США за информацию, помогающую установить преступников (приём с 12:00 28 октября). В тринадцатом уведомлении от 28 октября (на 11:00) компания сообщила, что подтвердила приостановку примерно в 04:00 того же дня домена сайта стороны, предположительно являющейся злоумышленником (включая зеркала), и что будет принимать меры по удалению любого подобного сайта, если он появится. В четырнадцатом уведомлении в тот же день (на 18:20) компания сообщила, что сайт вознаграждений, открытый в 12:00 того же дня, за первые около шести часов (на 18:00) получил 113 сообщений, что она направила в общей сложности 20 предупреждений о публикациях в X, распространяющих URL или содержимое сайта стороны, предположительно являющейся злоумышленником (на 18:00), и что анализ устройств пока не выявил следов заражения вредоносным ПО или атаки программой-шифровальщиком. Компания поблагодарила клиентов за выключение устройств и попросила тех, кто снова использует ПК, заранее выполнить проверку безопасности и сделать резервную копию. В пятнадцатом уведомлении (на 12:40 29 октября) компания сообщила, что команда белых хакеров её группы провела собственное расследование и получила информацию, которая, по её мнению, может помочь установить преступников, и что в тот же день собирается передать её полиции и другим заинтересованным сторонам; также она сообщила о 270 сообщениях на сайт вознаграждений на 11:30. В шестнадцатом уведомлении (на 20:50 29 октября) она сообщила, что число сообщений выросло со 113 (на 18:00 28 октября) до 321 (на 18:00 29 октября), указала форму для сообщений (приведена в пятнадцатом и шестнадцатом уведомлениях) о новых сайтах злоумышленников и сайтах, где без разрешения опубликованы персональные данные, и вновь попросила не пытаться устанавливать преступников или связываться с ними, не публиковать непроверенную информацию и не распространять подозрительные URL. Компания также говорит, что будет принимать правовые меры, включая уголовные заявления, в связи с атакой и вымогательством. В раскрытии информации от 28 октября говорится, что, по словам материнской компании GMO Internet Group, группа продолжает проверять сервисы своих компаний и на данный момент влияние этого инцидента на сервисы, кроме данного, не подтверждено. Сообщается, что клиенты получили письма предположительно от злоумышленника, с приложенной частью их истории просмотра в доказательство того, что данные у них есть. Генеральный директор группы компании написал в блоге, что злоумышленник угрожает опубликовать информацию с ПК клиентов и атаковать их программой-шифровальщиком, однако компания не сообщала, что ПК какого-либо клиента действительно был скомпрометирован. В шестом уведомлении от 26 октября компания просит клиентов, в частности, полностью проверить устройства, с которых они подключались, и не включать синхронизацию браузера, пока проверка не завершена. Рекомендация этого сайта: с устройства, которым вы не пользуетесь для торговли на Форекс, смените пароли у брокера, завершите все сеансы и проверьте историю сделок и баланс. Для получения компенсации используйте только официальный сайт компании и уведомления, отправленные на ваш зарегистрированный адрес электронной почты, и никогда не сообщайте никому пароль, который позволяет совершать сделки.
Несанкционированный доступ к Carsensor.net и C-MATCH у Recruit (до 3 709 551 записи): имена и адреса людей, которые связывались с дилерами, могли утечь. Что должны сделать пользователи и дилеры
21 октября 2026 года Recruit Co., Ltd. объявила, что информация о пользователях и деловых партнерах Carsensor.net, сервиса объявлений о продаже подержанных автомобилей (включая приложение), и C-MATCH, службы бизнес-поддержки для дилеров подержанных автомобилей, могла утечь наружу в результате несанкционированного доступа. По словам компании, 17 октября она обнаружила подозрительный доступ извне к системам, связанным с Carsensor.net, и около 17:00 того же дня приостановила все связанные сервисы. 20 октября она установила, какие данные и в каком (максимальном) количестве записей могли утечь. Общее количество составляет до 3 709 551 записи: 3 210 421 — для людей, которые связывались с дилерами через сайт (в основном имя и адрес; адреса, в принципе, указаны только до уровня города или муниципалитета), 5 289 — для людей, оставивших отзывы, 483 168 — для дилеров, зарегистрированных в C-MATCH (имена сотрудников и номера телефонов, номера лицензий торговцев подержанными автомобилями, логины и т. д.; для индивидуальных предпринимателей также банковские реквизиты для прямого дебетования), и 10 673 — для сотрудников компании и персонала подрядчиков и агентов по продажам. Платежные данные, такие как номера кредитных карт, и пароли для входа не включены. Причиной назван несанкционированный доступ со стороны третьей стороны; подробности расследуются. Компания подала предварительный отчет в японскую Комиссию по защите персональной информации и будет последовательно связываться с затронутыми людьми. По состоянию на 21 октября подтвержденного вторичного вреда не выявлено. Сервисы поэтапно возобновляются примерно с 13:00 22 октября, начиная с тех, безопасность которых подтверждена. Мнение этого сайта: тем, кто связывался с дилером через Carsensor, стоит исходить из того, что письма, электронная почта и звонки могут поступать от человека, который знает их имя и адрес. Не открывайте ссылки и вложения в неожиданных сообщениях и проверяйте информацию на странице уведомления Recruit.
В LiteLLM 1.107.0 оказался похититель учётных данных (октябрь 2026): затронутый релиз PyPI и образы Docker, что делать пользователям
21 октября 2026 года (UTC) BerriAI, компания-разработчик LiteLLM, сообщила, что её конвейер выпуска релизов был скомпрометирован и что был опубликован v1.107.0 с вредоносным ПО, которое похищает учётные данные и загружает инструменты удалённого выполнения кода. Затронуты litellm==1.107.0 на PyPI (с 11:39 до 13:23 UTC) и теги v1.107.0, latest, main-latest и main-stable на Docker Hub (с 11:46 до 14:20 UTC) и GHCR (с 11:46 UTC до снятия к 13:51 UTC, около двух часов). Официальный исходный тег v1.107.0 на GitHub не содержит вредоносных файлов; артефакты были собраны из похожего репозитория, контролируемого злоумышленником. Все более ранние версии вне этой компрометации, компания просит закрепить версию 1.106.2 или другую явную более раннюю версию. 24 октября (UTC) компания опубликовала 1.103.8, 1.104.6, 1.105.4 и 1.106.3; начиная с этих релизов образы Docker и Helm-чарты подписываются новым ключом cosign (прежний ключ их больше не проверяет). 23 октября компания опубликовала анализ первопричины и исправила своё первоначальное предположение о том, что токены были взяты из логов внутреннего развёртывания LiteLLM. Согласно анализу, файл конфигурации, ошибочно закоммиченный в публичный репозиторий 27 мая, содержал мастер-ключ внутренней платформы агентов; коммит перезаписали, но ключ не отозвали. 10 октября злоумышленник использовал этот ключ для вызова API платформы и получил токен GitHub CLI владельца организации GitHub, настроенный там. С его помощью злоумышленник вывел секреты CI и получил токены ещё двух мейнтейнеров, а 21 октября отключил защиту веток, изменил рабочий процесс выпуска и одобрил релиз. Вывод этого сайта: пересоберите любую среду, где 1.107.0 был установлен или запущен в течение окна, и замените все ключи, до которых она могла дотянуться, включая ключи провайдеров LLM, мастер-ключ прокси, пароль базы данных и облачные роли.
Утечка данных H2O ID (около 1,26 млн записей) через сайт бронирования универмагов Hankyu и Hanshin: утекли адреса, номера телефонов и даты рождения. Что делать участникам
19 октября 2026 года H2O Retailing Corporation и Hankyu Hanshin Department Stores, Inc. совместно объявили, что сайт бронирования универмагов Hankyu и Hanshin, HANKYU HANSHIN E-STORES и Remo Order, которыми управляет Hankyu Hanshin Department Stores, подвергся несанкционированному доступу со стороны третьей стороны и что часть персональных данных клиентов утекла. 16 октября компании подтвердили несанкционированный доступ к системе управления клиентами через сайт бронирования и остановили всю систему этого сайта; 17 октября они подтвердили несанкционированный доступ также к E-STORES и Remo Order и остановили оба сайта. 19 октября было установлено, что часть персональных данных около 1,26 млн H2O ID, которые хранятся в системе управления клиентами, утекла. В уведомлении сказано, что часть персональных данных почти всех участников H2O ID утекла. Перечислены следующие данные: H2O ID, имя (кандзи и катакана), пол, адрес электронной почты, почтовый индекс, адрес, номер мобильного телефона, номер телефона, возраст, дата рождения и услуги, которыми пользовались с H2O ID. По E-STORES и Remo Order выясняется, утекли ли данные; компании перечисляют данные, которые хранят эти сервисы: историю заказов, часть информации о кредитной карте (тип карты, последние четыре цифры, имя владельца, срок действия), часть информации о бонусной карте и данные адресной книги. Полные номера карт и коды безопасности не хранятся. Утечка паролей для входа не подтверждена, злоупотребления и вторичного ущерба тоже не подтверждены. Причина выясняется. E-STORES возобновил работу в 14:00 19 октября. Мнение этого сайта: ожидайте убедительных сообщений, которые знают ваше имя, адрес, номер телефона, дату рождения и то, какими услугами вы пользуетесь; не открывайте их ссылки и проверяйте информацию на официальном сайте, который вы открываете сами, или через контакты из уведомления.
Взлом системы заявок на линии NIFTY (до 542 513 записей): могут раскрыться идентификаторы участников, имена, адреса и номера телефонов. Что делать абонентам оптоволокна
19 октября 2026 года корпорация NIFTY, японский провайдер интернет-услуг, сообщила в первом сообщении, что подтвердила несанкционированный доступ извне к своей системе управления заявками на линии и их приёмом. По словам компании, несанкционированный доступ был подтверждён примерно в 10:20 19 октября, и доступ с источника атаки был немедленно заблокирован. Система представляет собой внутренний инструмент управления, который компания использует для регистрации информации; она отделена от сайта (форм заявок и т. п.), через который клиенты подают заявки напрямую. Могут быть затронуты до 542 513 записей. Они охватывают клиентов, подавших заявку на линию с 2019 года (кроме сайта компании), на услуги @nifty Hikari, @nifty MAX Hikari и @nifty au Hikari Plus. Перечень данных: идентификатор участника, имя, пол, дата рождения, адрес, номер телефона и адрес электронной почты; это полный список данных, которые могли быть раскрыты, а что именно раскрыто, выясняется. Банковских счетов и данных кредитных карт в системе нет, и они не входят в перечень. В сообщении пароли не упоминаются. Причина не раскрыта; компания проводит расследование с участием внешних специалистов и готовит сообщение в Комиссию по защите персональных данных Японии. Мнение этого сайта: тот, кто подавал заявку на одну из этих услуг с 2019 года, должен исходить из того, что с ним могут связаться люди, знающие его имя, адрес, номер телефона и дату рождения, и не должен переходить по ссылкам или выполнять инструкции из писем, SMS или звонков, которые выдают себя за NIFTY. Проверяйте через официальный контакт, который вы найдёте сами.
Rank Math PRO 3.0.123 распространялся с вредоносным кодом (октябрь 2026): кто затронут и что делать владельцам сайтов на WordPress
16 октября 2026 года (UTC) Rank Math сообщила, что Rank Math PRO v3.0.123, платная версия плагина для WordPress, содержала вредоносный код у ограниченного числа пользователей, которые скачали его в период с 20:02 UTC 15 октября по 07:12 UTC 16 октября. Вредоносный код мог скомпрометировать сайт, если плагин был активирован, и мог восстанавливать свою скрытую закладку при каждом посещении сайта. Компания удалила затронутые файлы и выпустила чистую версию v3.0.124. Бесплатная версия, распространяемая через WordPress.org, не затронута. Ни число затронутых пользователей, ни способ, которым вредоносный код попал в файлы, не раскрыты. По состоянию на 20 октября последнее изменение в уведомлении было внесено 19 октября: добавлена заметка о том, что бесплатная версия не затронута. Вывод этого сайта: считать скомпрометированным любой сайт, на котором была активирована копия 3.0.123, полученная в затронутый период, и либо восстановить его из резервной копии, сделанной до этого периода, либо удалить всю папку плагина и очистить сайт в порядке, который указывает компания. В любом случае смените все учетные данные, к которым сайт мог иметь доступ.
Утечка данных приложения Burger King Japan (около 11,18 млн записей): имена, даты рождения и номера телефонов — что делать участникам программы
15 октября 2026 года BK Japan Co., Ltd., которая управляет сетью Burger King в Японии, объявила, что к официальному приложению Burger King, которым она управляет, без разрешения получила доступ третья сторона, и что компания подтвердила утечку информации участников приложения. Доступ происходил с 2 по 7 октября 2026 года, а факт утечки был установлен 13 октября. Затронуто около 11,18 млн записей участников приложения. В список входят идентификатор участника, адрес электронной почты, тип регистрации, префектура, пол, дата рождения, имя (кандзи и катакана), номер телефона, наличие истории мобильных заказов и факт подтверждения адреса электронной почты. Компания заявляет, что не хранит номера кредитных карт, поэтому они не утекли, и что утечка информации для входа (паролей) на данный момент не подтверждена. Подробная причина расследуется с участием внешней специализированной организации, а на момент уведомления вторичный ущерб, например мошеннические операции, подтверждён не был. По состоянию на 17 октября новых сообщений не было. Мнение этого сайта: ожидайте убедительных сообщений, которые знают ваше имя, дату рождения и номер телефона; не открывайте их ссылки и проверяйте информацию в официальном приложении, которое открываете сами. Если вы используете дату рождения как PIN-код или пароль, смените его.
Несанкционированный доступ к некоторым веб-серверам ConoHa WING (GMO Internet) (426 аккаунтов): затронуты данные в областях веб-серверов клиентов, что делать владельцам сайтов уже сегодня
20 сентября 2026 года GMO Internet, Inc. объявила, что на некоторых хостинг-серверах (веб-серверах) её сервиса аренды хостинга ConoHa WING третья сторона получила несанкционированный доступ к областям веб-серверов некоторых клиентов и установила вредоносную программу. Затронуты 426 аккаунтов, а речь идёт о «данных, хранящихся в областях веб-серверов клиентов». Доступ и установка начались 3 сентября; компания обнаружила их 16 сентября, а 18 сентября установила причину и масштаб и удалила программы. Компания говорит, что установила причину, но не раскрыла её. По её словам, данные участников, договоров и платежей хранятся в отдельной среде и не утекли. В уведомлении не сказано, были ли похищены данные в областях веб-серверов. Затронутым клиентам писали индивидуально на зарегистрированный адрес электронной почты; те, с кем не связались, не затронуты. По состоянию на 15 октября последующего уведомления не было. Мнение этого сайта: сначала проверьте, пришло ли вам индивидуальное письмо, и если пришло, следуйте его инструкциям. Затем считайте учётные данные, хранящиеся в вашей области веб-сервера (пароль к базе данных в wp-config.php, ключи API в .env и т. д.), прочитанными посторонними и смените их, а также проверьте файлы, администраторов и запланированные задания, добавленные после 3 сентября.
Утечка SpeeCAN RAIDEN (2026): пользователи рассылки оповещений о катастрофах и риск мошенничества
13 октября 2026 года Arcadia Inc. объявила, что к SpeeCAN RAIDEN, её сервису массовой рассылки сообщений по электронной почте и другим каналам, получил несанкционированный доступ третье лицо, и что могли утечь имена контактов, адреса электронной почты, номера телефонов и факсов, сведения о сотрудниках и договорах, а также тексты отправленных сообщений, хранящиеся в истории. Максимальные значения: около 3 136 000 адресов электронной почты, около 105 000 номеров телефонов и около 15 000 номеров факсов (всё — оценки, расследование продолжается). Arcadia заметила подозрительную активность в 16:30 11 октября, около 3:00 12 октября применила временную блокировку, а в 11:00 13 октября отключила сервисы, через которые произошло проникновение (raiden3 и s2 для Raiden School). 14 октября компания добавила в число возможных утечек NET119 и 119RAIDEN, а в 11-м обновлении 16 октября привела данные по сервисам: для NET119 — персональные данные, такие как имена, даты рождения и адреса, связанные с 9 020 адресами электронной почты (компания подтвердила, что особо охраняемые персональные данные не утекли); для 119RAIDEN — около 97 000 адресов электронной почты и другие данные. Приостановленные сервисы были восстановлены около 15:00 15 октября. Платёжные данные сервис не обрабатывает. Муниципалитеты выпустили собственные уведомления; город Сидзуока сообщает, что установил утечку адресов электронной почты 34 336 зарегистрированных жителей и других данных, и зафиксировал поддельные письма от имени компании-эмитента карт, отправленные с того же домена, что и настоящие оповещения, — @raiden.ktaiwork.jp. В 17-м обновлении 21 октября Arcadia сообщила, что вредоносная программа разослала из её системы 1 423 428 фишинговых писем с 1:17 до 7:16 13 октября, что не менее 869 575 из них ушли на адреса, которых нет у компании, и что сторонняя организация проведёт исследование даркнета. Компания также разослала клиентам и реселлерам письма о подаче от их имени уведомлений в Комиссию по защите персональной информации и в Министерство внутренних дел и коммуникаций. В 20-м обновлении 22 октября она сообщила клиентам, что при входе в систему обязательно использовать двухэтапную аутентификацию, чтобы не допустить повторения, а в 22-м обновлении 23 октября попросила о том же клиентов Raiden School. В отчёте, опубликованном вместе с 21-м обновлением 23 октября, говорится, что файл конфигурации был получен через уязвимость медиасервера, публикующего вложения, в результате чего среди прочего утёк секретный ключ, используемый для входа между сервисами; что все сервисы входят в круг возможной утечки; и что количество всё ещё выясняется (из них 9 020 — по NET119). Компания обратилась к сторонней организации по безопасности с просьбой о детальном расследовании. В 25-м обновлении (17:00, 2 ноября) она сообщила, что отдельно от рассылки 13 октября подозрительные фишинговые письма также были отправлены вовне с её системы 22 и 23 октября. Она называет две причины: учётная запись API отправки почты, утёкшая при вторжении 11–13 октября, пароль которой подобрали перебором и использовали снаружи, а после остановки интеграции с API — уязвимость, связанная с путаницей при разборе URL, с помощью которой API снова использовали во зло. Интеграцию с API она остановила около 6:30 22 октября, а уязвимость исправила около 10:30 23 октября, и несанкционированные письма прекратились. В 26-м обновлении (16:15, 6 ноября) компания сообщила, что возобновляет функцию API-интеграции с внешними системами, остановленную в 19-м обновлении; клиентам нужно изменить настройки, с затронутыми клиентами связываются индивидуально. Наш вывод: по отправителю отличить настоящее письмо от поддельного нельзя, поэтому не блокируйте отправителя оповещений о катастрофах и не открывайте ссылки в письмах с просьбой подтвердить данные карты или личные данные.
Как проверить, не взломан ли ваш сайт или сервер: пошаговые проверки для виртуального хостинга, WordPress и VPS и что делать в первую очередь, если вы что-то нашли
Проверка сайта на вторжение — это внешние признаки и следы внутри. Признаки: отчёт «Security issues» (Проблемы безопасности) в Search Console, пометка «This site may be hacked» (Этот сайт может быть взломан) в поиске, уведомление от хостинга, незнакомые администраторы, перенаправления только на мобильных или только из поиска. Следы: администраторы, изменённые файлы ядра (wp core verify-checksums), история входов, authorized_keys, cron, прослушиваемые порты, недавно изменённые файлы. Позиция этого сайта: если вы ничего не нашли, это не доказывает, что всё чисто. Если нашли, сохраните улики до очистки, смените все учётные данные с чистого устройства, восстановитесь из резервной копии, сделанной до вторжения, или пересоберите сервер, закройте точку входа и только потом запрашивайте проверку.
Утечка у подрядчика Daiwa Securities (около 110 000 клиентов, 220 000 записей): что могло утечь и что делать клиентам
5 октября 2026 года Daiwa Securities Co. Ltd., одна из крупнейших брокерских компаний Японии, сообщила, что к серверу подрядчика, сервис которого компания использует для обработки онлайн-обращений клиентов, был получен несанкционированный доступ. Имена, адреса электронной почты, номера счетов и другие сведения о 110 000 клиентов, содержащиеся в записях обращений, могли утечь; с учётом обращений, по которым нельзя установить личность, затронуто около 220 000 записей. Доступ произошёл примерно с 20:33 2 октября до 08:01 3 октября, и несанкционированного доступа к собственным системам Daiwa не обнаружено. По словам компании, эти данные нельзя использовать для входа в аккаунты или совершения сделок, в том числе через онлайн-торговлю, а по состоянию на 5 октября мошеннических сделок и публикации или распространения данных не выявлено. 6 октября сторона подрядчика опубликовала собственное уведомление: данные обращений, хранившиеся в среде до пяти клиентских компаний на том же сервере, — до 713 126 записей, подсчитанных по обращениям, — могли быть похищены. Со ссылкой на того же подрядчика Citizen Watch (около 100 000 человек), Sompo Japan (около 60 000 записей, подсчитанных по обращениям) и ORIX Life Insurance (около 26 500 записей) также сообщили, что данные их клиентов могли утечь. Мнение этого сайта: ожидайте поддельных сообщений, которые знают ваш номер счёта и прошлые обращения. Никогда не входите в аккаунт по ссылкам из писем или SMS; заходите через закладку или официальное приложение и проверяйте там раздел сообщений и историю операций.
Незаконные запросы к реестру CPR Дании (около 8,8 млн человек): что было получено и что должны делать жители и организации, которые предоставляют доступ для поиска
5 октября 2026 года министерство исследований, образования и цифровизации Дании сообщило, что неуполномоченные лица использовали законный доступ частной датской компании для поиска данных в системе гражданской регистрации (CPR) и получили имена, адреса, номера CPR и другие данные около 8,8 млн зарегистрированных людей, включая живых, эмигрировавших и умерших. В CPR зарегистрировано около 11 млн человек. Вечером 2 октября администрация CPR заметила, что в сентябре наблюдалась нерегулярная активность, и прекратила доступ компании. Имена и адреса людей, находящихся под защитой имени и адреса, в данные не входили. По сообщениям датских СМИ, 9 октября администрация CPR напомнила 1 039 компаниям, имеющим доступ для поиска, о правилах безопасности, а министр признала, что безопасность была недостаточной. СМИ также сообщают, что для учётных записей поиска использовался пароль «123456»; официально это не подтверждено. Точка зрения этого сайта: звонящий, который знает ваши имя, адрес и номер CPR, всё равно может быть мошенником. Жителям никогда не следует сообщать данные MitID или одноразовые коды, а компаниям — перестать считать эти три сведения доказательством личности.
Утечка данных из опросного сервиса infoQ (894 082 записи): что стало известно и что делать участникам
5 октября 2026 года GMO Research & AI, Inc. сообщила, что к ее опросному сервису infoQ получило доступ третье лицо без разрешения и что персональные данные участников были вынесены. Во втором сообщении 14 октября компания подтвердила количество вынесенных записей: 894 082 (в первом сообщении говорилось «до 948 498»). Речь идет об имени, написании имени в виде фуриганы, поле, дате рождения, адресе email, домашнем адресе, номере телефона, зашифрованном пароле, идентификаторе участника и других данных регистрации, таких как псевдоним и баланс баллов. Компания не хранит данные банковских карт и «Мой номер» (национальный идентификационный номер Японии). Кроме того, 611 обменов баллов на сумму 2 869 500 иен были превращены в коды Amazon без согласия участников, и компания заявляет, что полностью их компенсирует (зачисление на счета при возобновлении работы сервиса). 7 октября компания аннулировала пароли всех участников. Компания говорит, что злоумышленник использовал уязвимость в программном обеспечении, которое применяется на ее сайте. Мнение этого сайта: поскольку в утечку попали даты рождения и адреса, правдоподобные поддельные сообщения создать легко. Смените пароль на любом сервисе, где используется ваш пароль от infoQ, включите двухэтапную проверку для почты и не открывайте ссылки в сообщениях, которые выдают себя за infoQ.
Утечка данных приложения и интернет-магазина MrMax (до примерно 1,74 млн человек): имена, адреса эл. почты и номера телефонов — что делать участникам программы
6 октября 2026 года MrMax Co., Ltd., японская сеть дискаунтеров, сообщила, что серверы управляемого ею приложения и интернет-магазина MrMax подверглись несанкционированному доступу со стороны третьего лица и что часть персональных данных участников утекла. Затронуты до 1 735 154 человек, зарегистрированных в качестве участников по состоянию на 3 октября 2026 года. Речь идёт об идентификаторе участника, имени, адресе эл. почты и номере телефона (набор зависит от того, что каждый участник указал при регистрации). Компания говорит, что подтвердила: адреса, даты рождения, данные кредитных карт, пароли и история покупок не утекли. Подозрительный доступ был замечен вечером 3 октября, сервис немедленно приостановлен, внешний доступ заблокирован в тот же день. По словам компании, третье лицо злоупотребило функцией программного обеспечения, из которого состоит сервис, чтобы получить доступ к серверу. На момент уведомления вред от злоупотребления данными подтверждён не был. Мнение этого сайта: ожидайте убедительных писем, SMS и звонков, в которых будут использовать ваше имя. Не открывайте их ссылки, проверяйте информацию только в официальном приложении или на сайте, которые вы открываете сами, и никогда не сообщайте пароли или номера карт.
Атака программы-вымогателя на Осакский столичный университет (подтверждена утечка персональных данных из облачного хранилища подрядчика): что делать студентам, выпускникам, родителям и сотрудникам
Осакский столичный университет в Японии сообщает, что ранним утром 2 октября 2026 года крупный сбой поразил его платформу виртуализации. Остановились кампусная сеть, почта OMU Mail, сайты и системы учебной части, финансов, расчёта зарплаты и библиотечная система. На пресс-конференции 5 октября университет заявил, что установил причину: атака программы-вымогателя. Занятия отменили с 2 по 8 октября, а в четвёртом уведомлении от 8 октября университет объявил, что очные занятия на всех кампусах возобновятся 9 октября. В пятом уведомлении от 21 октября университет сообщил, что подрядчик, который обслуживает и эксплуатирует его основные системы, сообщил, что компания-субподрядчик подверглась кибератаке в конце сентября 2026 года, и что к системам университета был получен несанкционированный доступ с использованием легитимной учётной записи субподрядчика. Подрядчик также сообщил, что персональные данные, относящиеся к университету, и системная информация, хранившиеся в облачном хранилище, которое использовал подрядчик, подтверждённо утекли; содержимое и количество записей ещё уточняются вместе с подрядчиком. Данные, которые университет на пресс-конференции назвал возможно утёкшими (около 130 000 записей, в том числе относящихся к системе учебной части), находятся на собственной платформе виртуализации университета и отделены от этого; утечка ещё расследуется. 23 октября университет открыл справочную для выпускников и родителей. По сообщениям СМИ, около 500 серверов остановились, а значительная часть резервных данных также была зашифрована. Точка зрения этого сайта: проверяйте любое сообщение, якобы от университета, на странице OMU Entrance, а не по ссылкам из писем или SMS, и сообщайте о подозрительных контактах в справочную университета. Организациям следует вести список учётных записей, которые используют их подрядчики и субподрядчики, и хранить хотя бы одну резервную копию, которую административные учётные записи производственной среды не могут удалить.
Утечка данных Rakuten Drive (сохранённые данные 15 382 аккаунтов): что стало доступно и что делать пользователям
6 октября 2026 года облачный сервис хранения Rakuten Drive сообщил, что третья сторона незаконно получила учётные данные управляющей учётной записи для части систем, которые использует сервис, получила доступ к этим системам и получила и просмотрела информацию. Затронуты сохранённые данные (включая фотографии и документы) 15 382 аккаунтов в период с 29 января по 17 сентября 2026 года; имя аккаунта, отображаемое имя и URL изображения профиля 687 аккаунтов 27 августа; а в тот же день имя аккаунта, отображаемое имя, зашифрованный пароль, строка, добавляемая при шифровании пароля, и URL изображения профиля 313 аккаунтов. Сервис сообщает, что вторичный ущерб не подтверждён и что пользователей, которых это затронуло, он уведомит индивидуально по электронной почте или иным способом. В обновлении от 13 августа о подозрительных push-уведомлениях, замеченных 30 июля, сервис заявлял, что несанкционированный доступ третьих лиц к сохранённым данным на тот момент не подтверждён. Мнение этого сайта: в отличие от пароля, сохранённые файлы нельзя «вернуть». Проверьте, нет ли уведомления, считайте любые сохранённые удостоверения личности или договоры раскрытыми, смените пароль и не отвечайте на сообщения, требования оплаты или угрозы от имени Rakuten Drive.
Утечка данных Abahouse: возможно, раскрыты данные заказов — как действовать при поддельных письмах о возврате средств
2 октября 2026 года Abahouse International Co., Ltd. сообщила, что несанкционированный доступ к её внутренним системам, по предположению, со стороны третьей стороны за рубежом, мог привести к утечке идентификаторов членов, имён, адресов, номеров телефонов, адресов электронной почты, дат рождения, пола и данных заказов (дата и время заказа, названия товаров, суммы и адреса доставки). Поскольку компания не может полностью установить объём похищенных данных, 2 октября она разослала письма клиентам, которых сочла возможно затронутыми, на основании истории покупок и других записей. Данные членов удаляются через месяц после выхода из клуба, но прошлые записи о заказах хранятся в течение некоторого срока по юридическим и бухгалтерским причинам; компания говорит, что не может исключить доступ к этим заказам, и бывшие члены получили то же письмо. Количество затронутых не объявлено. Номера карт и коды безопасности обрабатываются платёжным процессором, и их утечка не подтверждена. Инцидент стал известен, когда несколько клиентов сообщили о подозрительных письмах о возврате средств, соответствующих их реальным заказам. В дополнении от 9 октября компания сообщила, что маршрут проникновения перекрыт, дальнейшее распространение не подтверждено, что она подала заявление о причинённом ущербе в полицию и что сообщений о финансовых потерях не поступало. Объём похищенных данных и подробности причин всё ещё расследуются с привлечением внешних специалистов. Мнение этого сайта: сообщение, в котором правильно указаны детали вашего заказа, не доказывает его подлинность. Не переходите по ссылкам и не переходите в LINE из писем о «возврате» или «отсутствии товара»; вместо этого проверьте историю заказов в разделе My Page.
Утечка данных Lashinbang: номера удостоверений личности и банковские реквизиты для выплат могли утечь (изображений документов нет) — что делать продавцам
1 октября 2026 года компания Lashinbang Co., Ltd. объявила, что несанкционированный доступ к сервису, которым она управляет, в период с 14 по 16 сентября 2026 года мог привести к утечке имён, адресов, номеров телефонов, адресов электронной почты, дат рождения и профессий, а также вида и номера документов, удостоверяющих личность, названия банка, отделения, номера счёта и владельца счёта, которые вводились при подаче заявки на выкуп (когда клиенты продают вещи магазину), изображений согласий на выкуп, а также данных о выкупе и заказах. Компания заявляет, что данные кредитных карт и пароли не утекли и что она не собирает Мой номер (японский индивидуальный номер). В дополнении от 9 октября она сообщила, что изображения документов, удостоверяющих личность, включая водительские удостоверения, не утекли. В уведомление также добавили раздел о том, что под угрозой находятся те, кто получил от компании персональное письмо по электронной почте. По состоянию на 10 октября 2026 года количество пострадавших и причина не объявлены. Мнение этого сайта: номера счёта и имени владельца сами по себе не позволяют снять деньги, но не отвечайте на контакты, которые используют ваши данные счёта, номер документа или реальные данные о выкупе, чтобы выглядеть правдоподобно. Никогда не сообщайте никому PIN-код, логин или код аутентификации, а если номер вашего документа утёк, рассмотрите самодекларацию в японских бюро кредитных историй.
Утечка данных из приложения Seicomart (около 575 000 участников): просмотрены имена, адреса и даты рождения — что делать участникам
29 сентября 2026 года компания Seicomart Co., Ltd., которая управляет сетью магазинов у дома Seicomart в Японии, объявила, что третье лицо получило несанкционированный доступ к серверу с данными участников через сервер, обслуживающий смартфонное приложение Seicomart. В её четвёртом уведомлении от 5 октября говорится, что затронуты 574 647 участников программы Club, зарегистрированных в приложении, а люди, которые покинули программу Club Card до 24 сентября, не включены. Просмотрены фамилия и имя, пол, дата рождения, адрес, номер телефона, адрес электронной почты, а также даты вступления в программу Club Card и выхода из неё. Данные паролей и история покупок не были похищены, а компания не хранит данные кредитных карт. С 5 октября компания через уведомления в приложении сообщает каждому участнику приложения, затронут ли он. Она прекратила работу функций приложения и сайта для регистрации новых пользователей, просмотра и изменения данных участников и замены зарегистрированных карт; теперь такие запросы принимаются в магазинах или через форму. Причина не раскрыта. Мнение этого сайта: открыты личные данные, которые нельзя изменить, а наиболее вероятный следующий шаг — убедительные письма, SMS и звонки от имени компании. Проверьте уведомления в приложении, чтобы узнать, затронуты ли вы, не переходите по ссылкам и не выполняйте инструкции из таких сообщений и перестаньте использовать дату рождения как PIN-код или ответ при проверке личности.
Утечка данных ShopServe от E-store (итоговый отчёт: около 23,36 млн человек): что делать покупателям, владельцам магазинов и партнёрам
В итоговом отчёте от 16 октября 2026 года E-store Co., Ltd. сообщила, что третья сторона воспользовалась уязвимостью в приложении на серверах ShopServe, сервиса для создания интернет-магазинов, и с 21 мая по 1 августа 2026 года вывела содержимое базы данных. Затронуты около 23 356 000 человек (покупатели и участники, владельцы магазинов и партнёры вместе; приблизительное число после удаления дубликатов), у около 2 096 900 из них были затронуты часть данных карты. Затронуты 7 858 магазинов (включая нынешние и бывшие магазины ShopServe). В утечку вошли имена, адреса, телефоны, адреса электронной почты и места работы покупателей; идентификаторы участников и зашифрованные пароли; имена владельцев карт, первые 6 и последние 4 цифры номера карты и сроки действия; а также учётные данные магазинов и партнёров. Полные номера карт и коды безопасности компания не хранит, и они не затронуты. Итоговый отчёт исправляет второй: идентификаторы и пароли почтовой системы и FTP магазинов, а также банковские реквизиты счетов, на которые E-store переводит деньги (счета для выплат), не утекли. О вторичном ущербе не сообщалось. Вывод этого сайта: большинство покупателей делали покупки на сайте самого магазина и никогда не слышали названия ShopServe. Даже если вы не знаете, какой это был магазин, относитесь с подозрением к сообщениям, где указаны реальные данные вашего заказа или последние четыре цифры карты, проверяйте выписки по карте и меняйте повторно использованные пароли. Владельцам магазинов и партнёрам стоит сменить пароль администратора или партнёра и включить двухэтапную проверку.
Неправомерный доступ к TEMAIRAZU (2026): рекомендации для гостей и отелей
28 сентября 2026 года Temairazu, Inc. объявила о неправомерном доступе к TEMAIRAZU Series — системе, которую отели и рёокан используют для управления бронированиями из множества источников в одном месте. Начиная с позднего вечера 21 сентября гости отелей, использующих эту систему, стали получать подозрительные сообщения через мессенджеры, такие как WhatsApp, по электронной почте и SMS. Сообщения, по всей видимости, знали данные бронирования и под предлогом досрочной регистрации или сохранения брони перенаправляли получателей на внешние сайты для ввода данных карты или оплаты. Во втором сообщении компании от 7 октября (английская версия от 8 октября) были перечислены сведения, которые могли быть просмотрены или получены третьей стороной: имена гостей, номера телефонов, адреса электронной почты, названия объектов размещения, даты заезда и выезда, стоимость проживания. Компания не хранит данные кредитных карт и логины к сайтам бронирования. В своевременном раскрытии информации для инвесторов от 9 октября она указала, что число лиц, чьи данные бронирования затронуты, составляет до примерно 4,45 млн, и сообщила, что поручила внешней компании по информационной безопасности провести расследование. Согласно уведомлениям отелей, использующих систему, причиной стала проблема безопасности в части установленного продукта, который компания предоставляла ранее; она была устранена 26 сентября. Мнение этого сайта: пострадать могли и те, кто бронировал через туристические сервисы. Если сообщение, выдающее себя за ваш отель, просит повторно ввести данные карты или оплатить, откажитесь, даже если данные верны, и проверьте через официальное приложение сервиса бронирования или по телефону, указанному на официальном сайте отеля.
Утечки данных Yamato и Sagawa (2026): затронутые пользователи и меры
Yamato Transport обнаружила несанкционированный доступ к своей услуге отсрочки платежа Kuroneko 28 сентября 2026 года, а Sagawa Express обнаружила несанкционированный доступ к своей службе отслеживания посылок 30 сентября. 1–2 октября обе компании сообщили, что персональные данные могли утечь. Это отдельные инциденты, и ни одна из компаний не упоминает связи между ними. В четвёртом уведомлении от 16 октября Yamato сообщила, что данные были получены: около 5,26 млн записей пользователей отсрочки платежа (имя, адрес, телефон, электронная почта, сведения о товарах и другое, с 1 октября 2018 года по 28 сентября 2026 года), около 50 000 записей о адресах доставки некоторых пользователей и около 4 100 записей о магазинах-участниках. Данные о суммах счетов, непогашенных задолженностях и именах сотрудников, по информации компании, получены не были. В пятом уведомлении от 23 октября Sagawa сообщила, что имена, адреса и телефоны отправителей и получателей посылок, которые компания обработала с 21 июня по 30 сентября 2026 года (около 100 дней), а также другие данные могли утечь. Максимальное количество записей указано как около 53,23 млн (включая дубликаты; это не число людей). Посылки, оформленные с рукописными накладными, в эту выборку не входят. Ни в одном из инцидентов не затронуты данные банковских карт и пароли. Yamato возобновила услугу отсрочки платежа 9 октября и продлила сроки оплаты на 17 дней. Sagawa возобновила службу отслеживания посылок 23 октября, а восемь других веб-сервисов, включая онлайн-бронирование, остаются приостановленными. Точка зрения этого сайта: в случае Sagawa вас могли затронуть, даже если вы никогда не пользовались услугами компании, достаточно было получить посылку. Считайте, что поддельные уведомления о неудачной доставке и требования оплаты могут теперь содержать ваше настоящее имя и адрес, сам факт получения посылки или то, что вы купили. Не открывайте ссылки из таких сообщений; проверяйте информацию в официальном приложении или в истории заказов магазина, где вы покупали товар.
Утечка данных бронирований Booking.com: как распознать мошеннические сообщения от имени отеля
В апреле 2026 года Booking.com уведомил гостей, что посторонние лица без разрешения могли получить доступ к некоторым данным бронирований, обновил PIN-коды затронутых бронирований и сообщил, что локализовал проблему. Согласно уведомлению и словам представителя компании (в изложении СМИ), среди данных — сведения о бронировании, имена, адреса электронной почты, номера телефонов и сообщения, отправленные объектам размещения; к финансовой информации доступа не было. Число затронутых и причина не раскрыты. Взгляд этого сайта: правильное название отеля, даты и цена больше ничего не доказывают. Проверка одна — совпадает ли просьба с условиями оплаты в бронировании, которое вы сами открыли в официальном приложении. Отказывайте в любой просьбе заново ввести данные карты, оплатить по ссылке или сделать перевод, которого нет в условиях.
Цепочка компрометаций TanStack, Nx Console и GitHub (май 2026): что проверить разработчикам
11 мая 2026 года пайплайн публикации репозитория Router/Start проекта TanStack был использован, чтобы выпустить код для кражи учётных данных в 42 пакетах npm, 84 версиях. У участника Nx, установившего один из них, украли токен GitHub CLI, и 18 мая было опубликовано подменённое расширение Nx Console (v18.95.0). В тот же день GitHub сообщил, что устройство сотрудника было скомпрометировано через заражённое расширение VS Code и что внутренние репозитории GitHub были выведены наружу. Во всех трёх случаях атака шла через легитимные аккаунты и каналы распространения, поэтому защита в том, чтобы одного украденного токена публикации не хватало для выпуска новой версии, и в том, чтобы проверить, что настроенные меры защиты действительно срабатывают.
Компрометация цепочки поставок Trivy (март 2026): что делать, если Trivy работает у вас в CI
19 марта 2026 года вышла вредоносная версия v0.69.4 сканера уязвимостей с открытым кодом Trivy, который разрабатывает Aqua Security, а теги GitHub Actions trivy-action (76 из 77) и setup-trivy (все 7) были перенаправлены на вредоносные коммиты. По словам Aqua, вредоносный код собирал секреты с раннеров CI и отправлял их наружу; причиной стали учётные данные, полученные при взломе, начавшемся в конце февраля: атакующий смог и дальше ими пользоваться, потому что ротацию 1 марта провели не одновременно. Взгляд этого сайта: урок не только в том, чтобы закреплять actions по ID коммита (SHA), а не по тегу. Action, закреплённый по SHA, всё равно может вызывать другой компонент по тегу, и через это проходит вредоносная версия. Утёкшие учётные данные нужно заменять все сразу, иначе атакующий продолжит ими пользоваться. Запускайте сканеры в заданиях, у которых нет секретов для развёртывания.
Утечка данных Times Car (6 628 007 записей с именами и адресами, следы отправки около 1,46 млн изображений документов): проверка My Page и действия участников и бывших участников
В пятом уведомлении от 23 октября 2026 года Times Mobility Co., Ltd. сообщила, что внешнее судебно-техническое расследование завершено, и опубликовала итоговые цифры. В веб-системе Times Car найдены следы доступа злоумышленника и передачи данных наружу по 6 628 007 записям с именем, адресом, датой рождения, номером телефона, адресом электронной почты и данными водительского удостоверения. Из изображений документов, которые хранились в зашифрованном виде, 1 464 800 имеют следы отправки (ранее компания говорила, что могло утечь около 1,6 млн), а 891 602 были доступны без следов отправки. Хешированные пароли отправлены в 4 случаях. В связанной веб-системе Times Club, где также найден несанкционированный доступ, среди прочего, следы отправки имеют 19 510 номеров карт Times Club, 135 436 идентификаторов связанных сервисов и 28 записей с последними четырьмя цифрами номера кредитной карты (компания не хранит полные номера карт и коды безопасности). Причиной стало использование уязвимости веб-системы. Компания выплатит 3 000 иен людям, чьи изображения были отправлены (детали и способ ещё определяются), и с 17:00 23 октября показывает в My Page каждому человеку, какие его данные утекли. Позиция этого сайта: сначала проверьте свои данные в My Page. Если изображения ваших документов были отправлены, зарегистрируйте предупреждение о мошенничестве в бюро кредитных историй и проверьте свою кредитную историю; всем следует игнорировать контакты, которые выдают себя за компанию. Бывшие участники могут направить запрос через специальную форму.
VPN-устройства — главный путь проникновения программ-вымогателей: защита удалённого доступа после утечки в Цифровом агентстве Японии
VPN-устройство соединяет интернет с внутренней сетью организации, и в Японии примерно в двух третях случаев с программами-вымогателями, где путь известен, атакующие проникали именно через него. Инцидент с GSS в Цифровом агентстве повторил ту же схему: вход через уязвимость VPN, затем учётная запись обслуживающего подрядчика использовалась для доступа к большому числу файлов. Взгляд этого сайта: держите VPN-устройство, только если можете постоянно его обновлять, и защищайте его тремя вещами: скоростью обновлений, узкими правами на случай проникновения и обнаружением массового доступа.
Если взломали вашего хостинг-провайдера: что делать клиентам
Взлом на стороне провайдера нельзя заблокировать настройками клиента, поэтому защита смещается от предотвращения к ограничению того, что можно потерять. Результаты расследования от 10 сентября установили самое важное: несанкционированный доступ к системе управления продажами происходил в период с апреля 2023 по март 2026 года, число затронутых аккаунтов хостинга выросло с 583 до 951, а часть начальных паролей не была хеширована. Позиция сайта: считайте всё на виртуальном хостинге доступным для чтения, выносите секреты, учётные данные и резервные копии за пределы провайдера и сегодня же смените начальный пароль, если всё ещё им пользуетесь.
Что такое C2 (command and control): канал, через который злоумышленники управляют устройством после взлома
C2 — канал, через который скомпрометированное устройство «звонит обратно» на сервер злоумышленника (beacon), чтобы получать команды и выводить данные — стадия после взлома. Главные признаки — подозрительный периодический исходящий трафик и известные вредоносные адреса. Защита: фильтрация исходящего трафика, мониторинг DNS, сопоставление с IOC/IOA, минимум привилегий. Подтверждение «нет резидентного C2» — важная часть расследования инцидента.
Что такое EDR: запись активности конечных точек для обнаружения и реагирования на атаки, которые пропустил антивирус
EDR непрерывно записывает поведение конечной точки, обнаруживает подозрительную активность (в стиле IOA) и поддерживает реагирование (изолировать, расследовать). Он ловит бесфайловые и living-off-the-land атаки, которые пропускает сигнатурный/IOC-антивирус, по поведению и временной шкале. Небольшим командам часто не нужен полноценный EDR — встроенная защита ОС плюс журналы плюс мышление IOA дают большую часть пользы.
Что такое IOA (Indicator of Attack): обнаружение взлома по поведению, а не по следам
IOA (Indicator of Attack) обнаруживает взлом по поведению атаки в процессе (повышение привилегий → горизонтальное перемещение → вывод данных). Это противоположность ретроспективного IOC. Злоумышленники мгновенно меняют хеши и IP, но техника (поведение) трудно меняется — поэтому IOA служат дольше. Даже небольшие команды могут подойти к этому, отслеживая поведение, отличающееся от нормального.
Что такое IOC (Indicator of Compromise): следы, выдающие взлом
IOC (Indicator of Compromise) — это след, который оставляет взлом: известные вредоносные хеши файлов, IP/домены злоумышленника, URL, необычные процессы. Его ценность — механически обнаруживать/блокировать известное вредоносное. Но это реактивная улика, которую злоумышленники меняют дёшево, поэтому сопоставление IOC — финальная проверка, а не полноценная защита. Основная защита — проектирование, устойчивое к проникновению (минимум привилегий, обновления, MFA).
Минимум безопасности организации: шесть приоритетов, выведенных из реальных инцидентов Японии 2026 года
«Минимум» организации нужно определять по тому, где реальные инциденты прорвали защиту, а не по списку продуктов. Если выстроить инциденты Японии 2026 года в ряд, точки входа разные — VPN-устройство, сторонний софт, функция запросов, нераскрытое — но причины, которые расширили ущерб, сводятся к шести: (1) закрывать доступные из интернета устройства в срок, (2) сузить учётные записи обслуживания, подрядчиков и ушедших сотрудников, (3) следить за объёмом и временем, (4) хранить журналы достаточно долго, (5) не хранить ненужные данные, (6) пересматривать приоритеты по KEV. Вывод сайта: минимум — это решить, кто замечает, по какому числу и когда.