MFA
9 статей с этим тегом
FortiBleed (утечка учетных данных FortiGate, около 74 000 устройств): это не новая уязвимость, поэтому пароли администратора и VPN нужно менять
FortiBleed — крупномасштабная утечка и злоупотребление учетными данными администратора и SSL VPN для FortiGate, межсетевого экрана и VPN-устройства Fortinet. 18 июня 2026 года CISA предупредила, что учетные данные, связанные примерно с 74 000 устройствами, утекли. 19 июня Fortinet сообщила, что это не новая уязвимость и что активность, вероятно, связана с повторным использованием учетных данных из прошлых инцидентов и перебором паролей на устройствах со слабыми паролями и без многофакторной аутентификации. 23 июня JPCERT/CC выпустила оповещение, в котором сообщила, что подтвердила наличие в данных информации, связанной с японскими компаниями. 6 октября ФБР и Секретная служба США предупредили, что активность продолжается, что некоторые администраторы оказались заблокированы на своих устройствах и что доступ использовался как точка входа для программ-вымогателей. Обновление до исправленной прошивки не делает утекшие пароли недействительными. Вывод этого сайта: если вы используете FortiGate, смените пароли администратора и VPN, включите многофакторную аутентификацию, закройте интерфейс управления от интернета и удалите устаревшие копии паролей администратора в SHA-256.
Как люди хранят пароли? Что показывают данные — и безопасный способ
Репрезентативные опросы показывают, что ~54% полагаются на память, ~33% записывают пароли на бумаге и лишь ~36% используют специализированный менеджер паролей — при этом ~25% переиспользуют пароли. Тем временем DBIR от Verizon выявил, что компрометация учётных данных участвовала в ~38% утечек, а ~74% паролей в данных утечек были переиспользованы. Коротко: самые популярные привычки хранения атакующим проще всего эксплуатировать. Безопасная основа — менеджер (уникальный пароль на каждый сайт) плюс passkey/MFA на ключевых аккаунтах.
Безопасность для эпохи ИИ: что закрыть прямо сейчас (приоритетный чек-лист)
ИИ в основном усиливает атаки на СУЩЕСТВУЮЩИЕ слабые места (незакрытые CVE, повторно используемые пароли, открытые секреты), а не изобретает новые — найденные автоматически, быстро, в масштабе. Поэтому лучшая подготовка — закрыть основы в правильном порядке: закрытие CVE + мониторинг зависимостей, отказ от повторного использования паролей + MFA, удаление открытых секретов, минимум привилегий, сокращение публичной поверхности, логи/IOC, резервные копии.
Что такое фишинг? Виды атак и защита надёжнее, чем попытки его распознать
Фишинг выдаёт себя за доверенную сторону, чтобы заманить вас на поддельную страницу входа и украсть учётные данные или данные (или запустить вредонос). Он целится в человеческое суждение, а не в дефект ПО, и является каналом входа №1 для программ-вымогателей и утечек. Современный фишинг с злоумышленником посередине (AiTM) ретранслирует даже одноразовые коды на настоящий сайт в реальном времени, поэтому SMS/приложение-MFA можно обойти. Надёжная защита — не «распознать», а механизмы: привязанная к домену устойчивая к фишингу MFA (passkey/аппаратные ключи), переход на официальный сайт напрямую вместо клика по ссылкам и аутентификация почты (SPF/DKIM/DMARC).
Как правильно выбирать MFA: что значит «устойчивый к фишингу» и почему SMS слаб
MFA сочетает разные категории факторов. Вводимые вручную коды можно выманить фишингом; SMS также зависит от контроля номера. Для важных аккаунтов выбирайте устойчивые к фишингу методы, например passkey или ключи FIDO2, и проверяйте условия проверки пользователя и восстановления.
Безопасны ли менеджеры паролей? Как они работают, облако vs локально и как выбрать
Менеджер паролей помогает использовать отдельный надёжный пароль для каждого сервиса. Шифрование с нулевым разглашением призвано защищать содержимое даже при утечке зашифрованных данных у провайдера, но безопасность также зависит от силы мастер-пароля, настроек шифрования и защиты устройства. Используйте MFA против несанкционированного входа, а облачный или локальный вариант выбирайте по применению.
Базовая безопасность для инди-разработчиков и малых операторов: стандартные меры в порядке приоритета
База — это не «всё одинаково важно». Порядок приоритета этого сайта: 1) админ-аккаунты, домен и почта (MFA), 2) секреты и код, 3) само приложение, 4) патчи, обнаружение, восстановление. При конечном времени заполняйте сверху вниз. Большинство серьёзных взломов происходит не из-за новых атак, а из-за пробела в этих базовых мерах.
Основы безопасности смартфона: защита одного устройства, на котором ваши пароли, платежи и удостоверение личности
Телефон концентрирует 2FA, почту, банкинг и удостоверение в одном устройстве, поэтому его потеря затрагивает множество сервисов (единая точка отказа). Самая действенная защита — не приложение безопасности: (1) сильная блокировка + короткая автоблокировка (код-пароль — это ключ шифрования); (2) автоматические обновления ОС/приложений; (3) официальный магазин + ревизия разрешений; (4) заранее настроить удалённую блокировку/стирание; (5) держать резерв вашей 2FA. iOS/Android уже шифруют и изолируют по умолчанию.
Безопасно ли хранить пароли в Google Drive? Как держать их правильно
Держать пароли в документе/таблице Google открытым текстом опасно: один аккаунт Google становится единой точкой отказа для каждого пароля — захват аккаунта, вредоносное подключённое приложение или фишинг утекают их все разом. Самый безопасный вариант — специализированный менеджер паролей (содержимое остаётся зашифрованным даже при синхронизации). Если вы обязаны использовать Drive, храните только зашифрованный файл хранилища и поставьте устойчивую к фишингу MFA на аккаунт.