Positive Technologies

Почти каждая компания пользуется «1С». Теперь PT Dephaze проверяет, можно ли его взломать 😱

Когда мы говорим «почти в каждой», мы не шутим. Решениями на базе «1С:Предприятия» пользуются больше 1,6 млн организаций, включая госучреждения, и свыше 11 000 крупных предприятий. Через «1С» проходит почти вся жизнь бизнеса: бухучет, закупки, контрагенты, финансы, поставки, персонал.

Что будет, если «1С» взломают

Злоумышленник, который получил доступ к «1С» снаружи или изнутри, заберет коммерческие документы, данные сотрудников и контрагентов, клиентские базы, финотчетность и внутреннюю переписку.

Он сможет завести фиктивные платежки или подменить документы, а если захватит сервер — продвинуться дальше по инфраструктуре и нарушить рабочие процессы. Поэтому так важно заранее найти слабые места системы и позаботиться о ее защите при помощи системы автопентеста.

И поэтому PT Dephaze теперь умеет проверять возможные способы компрометации «1С:Предприятия»

Во время автопентеста система сама находит сетевой доступ к приложению, проверяет, можно ли без аутентификации достать оттуда список пользователей, ищет учетки с пустыми паролями и пробует авторизоваться при помощи данных, добытых на прошлых этапах автопентеста.

Это дает возможность обнаружить и оперативно закрыть наиболее опасные проблемы в настройках конфигураций безопасности «1С». В будущем мы планируем углубить анализ систем вендора и развивать техники для оценки защищенности других критически важных для бизнеса приложений.

Но мы завезли еще новых фичей в продукт

И все — на основе вашей обратной связи: теперь доступен дополнительный контекст в цепочках атак (IP-адреса и учетные данные на разных этапах), более конкретные рекомендации, расширение области тестирования прямо во время пентеста и подсвечивание слабых мест парольной политики.

Если вы уже используете PT Dephaze, можно прямо сейчас проверить, в безопасности ли ваши данные, а если нет, вы знаете, куда идти 😉

#PTDephaze
@Positive_Technologies

Как наша песочница вычисляет «умные» вредоносы и совершенствует защиту при помощи ML

Атакующие не стоят на месте: они все лучше маскируют вредоносные файлы, чтобы те выглядели безопасно для средств защиты. Поэтому важно, чтобы такие файлы проходили проверку, а при малейших подозрениях попадали в песочницу — например, в нашу PT Sandbox.

На вебинаре уже завтра, 20 октября, в 14:00, расскажем, как новые возможности продукта помогают быстрее обнаруживать и разбирать угрозы, куда движутся его экспертиза и ML-технологии и как извлечь из него максимум пользы для расследования.

Что будет:

1️⃣ Разберем, что нового появилось в экспертизе PT Sandbox и как это помогает в анализе вредоносного ПО.

2️⃣ Представим ByteDog — новую ML-модель внутри песочницы — и объясним, как с ее помощью обнаруживать зловреды.

3️⃣ Расскажем, как подключить большие языковые модели к PT Sandbox и какие возможности это открывает для пользователей.

Будет интересно всем: от исследователей безопасности до аналитиков SOC. Регистрируйтесь и приходите.

#PTSandbox
@Positive_Technologies

PHDays Fest 2027 🌟

Юбилейный киберфестиваль пройдет с 20 по 22 мая в «Лужниках». И мы сделаем его великолепным.

В следующем году PHDays исполнится 15 лет. За это время изменился сам фестиваль, изменились технологии и то, насколько сильно они вошли в нашу жизнь.

Но одно осталось прежним: интерес к людям, которые хотят понять, как все устроено, и попробовать сделать по-своему.

Именно эта идея легла в основу концепции юбилейного PHDays Fest — «Технологии — отражение тебя».

В «Лужниках» вновь соберутся все, кому интересно, как устроен цифровой мир: от любопытных новичков до профессионалов индустрии.

Традиционно будет открытая зона для всех желающих, выступления экспертов со всего мира, деловые дискуссии и, конечно, легендарная кибербитва Standoff.

Что мы еще готовим к юбилею — расскажем, как только будем готовы (скоро).

А пока сохраняйте даты в календарях: с нетерпением ждем встречи и обещаем удивлять!

#PHDays
@Positive_Technologies

PT Application Firewall научился защищать ИИ-агентов и сервисы на основе LLM от кибератак

🤖 Сервисы на основе больших языковых моделей уже стали полноценными участниками бизнес-процессов. Они работают незаменимыми ассистентами и личными секретарями, неутомимыми аналитиками, внимательными сотрудниками техподдержки и отделов продаж, джунами, тестировщиками и даже киберзащитниками.

Но кто защитит самих виртуальных помощников, у многих из которых есть доступ к персональным данным, корпоративным документам и информационным системам? Встречайте нашего супергероя LLM Firewall — новый модуль в составе решения для защиты веба PT Application Firewall, смело встающий на киберзащиту ИИ-сервисов.
 
Как это работает

Представьте, что у вас есть ИИ-бот, который принимает у клиентов заказы или занимается их жалобами. И вот, злоумышленник, выдавая себя за клиента, отправляет ему хитрый запрос. Составлен он так, чтобы обойти установленные ограничения, и заставить бота выдать закрытую информацию или выполнить нежелательное действие.

Так работает один из любимых приемов киберпреступников — инъекция промптов (prompt injection), похожим образом бота могут взломать при помощи документов, которые обрабатывает LLM. Причем традиционные средства веб-защиты воспринимают это как обычное сообщение от пользователя, а не как атаку.

Модуль LLM Firewall встает между приложением и языковой моделью, внимательно проверяя входящие запросы и ответы. Ищет джейлбрейки, попытки вытащить системные инструкции или использовать возможности ИИ-агента в интересах атакующего. Находит — блокирует или фиксирует для разбора.

А еще — контролирует, какую информацию пользователи передают ИИ в своих запросах. При этом обращает внимание как на персональные данные, пароли, ключи доступа и другие секреты, так и на токсичный, запрещенный и потенциально опасный контент.

Двусторонняя проверка позволяет компаниям контролировать и входящую информацию, и исходящую, избегая репутационных рисков из-за некорректных ответов бота пользователям.

Кому пригодится такая защита

Можем честно сказать, что всем. Но в первую очередь организациям, много общающимся с пользователями через ИИ-сервисы или внедряющим их прямо сейчас. Например, банкам, ретейлерам, маркетплейсам, телеком-операторам и ИТ-компаниям. Здесь риски атак на LLM-модели выше, а компрометация чувствительных данных может привести к утечкам информации, финансовым потерям и сбоям в работе бизнеса.

«Мы прогнозируем рост числа атак, при которых злоумышленники будут пытаться манипулировать поведением ИИ-ассистентов, чтобы выполнять вредоносные действия в корпоративной сети от их имени. По мере расширения возможностей таких помощников растут и последствия их компрометации. Поэтому компаниям важно учитывать эти риски уже при внедрении ИИ в свои сервисы», — говорит Павел Пархомец, руководитель продукта PT AF Cloud.

Как подключить модуль

Хорошая новость: модуль уже интегрирован в PT AF Cloud и подключается к обмену данными через API, совместимый с OpenAI. Отдельная консоль не нужна. Скоро он будет и в on-premise версии PT AF PRO.

Так что вам останется только настроить политики и выбрать режим — мониторинга или блокировки, чтобы спать спокойно не переживать о безопасности своих ИИ-помощников.

#PTAFCloud
@Positive_Technologies

🤩 Каскад ИИ-моделей в MaxPatrol O2 помогает закрыть две трети инцидентов и обрабатывает их в 60 раз быстрее человека

У него нет задачи заменить настоящих аналитиков SOC, но наш продукт способен быстро и качественно делать за них рутинную работу: разбирать события ИБ и выносить вердикты по ним. Сейчас расскажем подробнее.

Как работает обычный SOC

Как диспетчерская, куда каждые сутки валится примерно 3000 алертов. При этом перелопатить вручную такой поток аналитики не успевают, ведь на каждый инцидент им надо потратить не меньше 15-20 минут. В итоге почти две трети (63%) так и остаются неразобранными. Самое неприятное — среди них вполне могут прятаться те, которые сообщают о начале кибератаки.

Как работает SOC с MaxPatrol O2

Как та же диспетчерская, но первичную обработку заявок в ней берет на себя каскад ИИ-моделей. При этом работают они по схеме аналитиков первой и второй линий.

Сначала ML-модели оценивают каждый инцидент и автоматически закрывают ложные срабатывания. Те, за которыми могут скрываться действия злоумышленников, передают ИИ-агенту. А он уже выдвигает гипотезу, проверяет ее по событиям из разных источников, выдает вердикт и формирует понятный и хорошо структурированный отчет для SOC.

Он содержит перечень событий ИБ, собранных агентом, а также похожие инциденты с вердиктами, по которым можно проверить его решение. Аналитик может проследить каждый факт в отчете до исходного события.

Обработка рядового инцидента (а таких примерно две трети) занимает 15-20 секунд, а в случаях посложнее, где человеку пришлось бы копаться в логах полдня, у ИИ уйдет на вердикт с подробными объяснениями не более 15 минут.

Технологии MaxPatrol O2 уже используются в PT X — нашем облачном решении для мониторинга и реагирования на киберугрозы. При этом точность сверхвысокая: вердикты MaxPatrol O2 более чем на 98% совпадают с вердиктами PT X, сверенными с решениями аналитиков.

Как это меняет подход к кибербезу

Кардинально — с реактивного на проактивный. Раньше первый ход делали злоумышленники, а защитники в ответ усиливали ИБ-продукты. Теперь же ИИ в MaxPatrol O2 не только реагирует на вредоносные действия быстрее, чем человек, но и строит гипотезы о поведении злоумышленников, давая SOC возможность действовать превентивно.

На пути к автопилоту

В планах команды разработки — добавить продукту автономности и сократить долю инцидентов, требующих ручной работы, с трети до 10% случаев.

Но уже сейчас он способен существенно разгрузить SOC и дать аналитикам возможность быстрее реагировать на инциденты и предупреждать их. Попробовать MaxPatrol O2 можно, оставив заявку на пилот на нашем сайте.

#MaxPatrolO2
@Positive_Technologies

Доверять нельзя контролировать: кибербез в эпоху ИИ

В 11:00 начнется главная дискуссия Positive Security Day.

Подключайтесь онлайн на сайте конференции 🎙️

ИИ становится частью бизнеса: агенты действуют от имени компаний, разработка ускоряется, а злоумышленники получают новые возможности для масштабных атак.

Как меняются риски и ответственность? Что нужно изменить в подходах к безопасности, чтобы сохранить контроль над ИИ и защитить бизнес в новой реальности?

Эти вопросы обсудят визионеры Positive Technologies.

#PSD2026
@Positive_Technologies

Как взлом одного контроллера может уничтожить оборудование, продукцию и бизнес

У нас был чемодан промышленных контроллеров от разных вендоров, PT ISIM и желание сделать суперстенд на PSD 2026. Не то чтобы нам нужно было доказывать, что мы круто умеем защищать промышленные системы, но раз уж начали демонстрировать работу продукта на практике, сложно остановиться.

В этот раз запустим на стенде настоящее мини-предприятие: смоделируем его инфраструктуру (про чемодан с контроллерами мы не шутили) и часть производственных и технологических процессов. А потом покажем, как кибератака выходит за пределы ИТ и к каким последствиям это может привести. Немного закулисья — на видео к посту.

Читали, наверное, о том, как во Франции холодильники в супермаркетах вместо того, чтобы охлаждать продукты, больше шести часов нагревали их до 50° C? Все потому, что злоумышленники получили доступ к управлению температурой холодильных систем Danfoss и переключили их с холода на жару. В итоге продукты испорчены, магазины — в убытках.

Вывод простой: одна из главных опасностей атак на технологический сегмент — физические последствия. На стенде покажем это сразу на двух сценариях. Причем в обоих случаях точкой входа станет незащищенная Wi-Fi-камера.

🔥 Первый — промышленный. Из-за взлома контроллера может не просто остановиться погрузка топлива, но и произойти авария, а то и крупный пожар.

🌡 Второй — технологический. Здесь контроллеры управляют системой охлаждения ЦОД. Если их работа нарушится, серверы могут перегреться, а это грозит повреждением оборудования, потерей данных и остановкой части производственных и бизнес-процессов.

Почти как с холодильниками, только последствия могут быть гораздо серьезнее.

Но наша цель — не напугать, а показать, чего можно избежать, если грамотно защищать промышленные системы. PT ISIM предупредит об атаке на контроллеры еще до того, как злоумышленники успеют их отключить или перенастроить.

Приходите на стенд уже завтра! Покажем, как продукт обнаруживает атаки, какие события фиксирует и как помогает расследовать попытки взлома.

Регистрация на Positive Security Day — на сайте.

#PTISIM
#PSD2026

🪧 Что посмотреть на Positive Security Day 2026

До нашей главной технологической конференции осталось всего два дня. Самое время рассказать, о чем мы планируем говорить со всеми, кто планирует присоединиться к нам онлайн или офлайн.

«Для этого же есть программа на сайте», — скажете вы. Все так, но что, если мы расскажем вам обо всем немного подробнее? Устраивайтесь поудобнее и выбирайте, что вам интересно.

Считаем, что поучаствовать в крутых дискуссиях, с которых начинается каждый день конфы — это маст хэв.

🔴 15 октября в 11:00 — поговорим об изменениях кибербеза в эпоху ИИ, новых рисках, ответственности и о том, что со всем этим делать бизнесу и тем, кто его защищает.

🔴 16 октября в 11:00 — обсудим с заказчиками, насколько велики риски компании стать мишенью атакующих, и что необходимо защищать в первую очередь, если количество ресурсов ограничено.

Тех, кому интересно «что там еще Позитив придумал» зовем послушать про планы на будущее и новые продукты.

Также вас ждут обновления всей продуктовой линейки: от эволюции PT Data Security (который мы презентовали на прошлом PSD) и работы каскада ИИ-моделей в MaxPatrol O2 до первого публичного анонса PT EASM, нового функционала MaxPatrol Endpoint Security и результатов прототипа атакующего ИИ в PT Dephaze.

Скучно точно не будет, куда бы вы ни решили пойти 😉

P. S. Не забудьте зарегистрироваться заранее.

#PSD2026

Как атакующие ИИ-агенты изменились за лето

Если коротко, то довольно сильно. Во-первых, как говорят аналитики из команды PT AF Cloud, цифровые подручные злоумышленников стали гораздо активнее. За третий квартал количество событий безопасности с явными ИИ-маркерами увеличилось на 65% — с 19 млн до 31 млн.

Во-вторых, сам характер этих запросов стал другим. Если раньше ИИ-агенты в основном собирали информацию из открытых источников, то теперь они все чаще пробуют взламывать веб-приложения и ведут более глубокую разведку.

Отложенный эффект релизов

Пик таких атак пришелся на август: в сравнении с июлем их стало больше в 3,8 раза. В сентябре активность немного снизилась, но осталась почти втрое выше июльской.

Наши эксперты связывают это с выходом новых поколений языковых моделей: Gemini 3.5 Flash в мае и GPT-5.6 Sol в июне. Злоумышленникам нужно время, чтобы «приручить» новую модель и встроить ее в свои инструменты. Поэтому пик августа — это отложенный эффект от летних релизов, а не мгновенная реакция.

Есть вероятность, что выход GPT-6 Astra в сентябре даст новую волну запросов — просто с задержкой в несколько месяцев. Следующий квартал покажет, насколько быстро злоумышленники освоят новую модель.

Постоянные фоновые атаки

ИИ-агенты переходят к более активным действиям: внутри потока событий с ИИ-маркерами доля попыток эксплуатации уязвимостей выросла с 1,1% до 5,6% — примерно в пять раз.

Пока что это небольшой процент, но такой резкий скачок показывает изменение вектора — агенты переходят от разведки к активным попыткам проникновения.

Причем инструменты используются не новые, такие как командные и SQL-инъекции, обход каталогов, — просто ИИ делает их более массовыми. Агенты могут круглосуточно перебирать разные эксплойты, атакуя одновременно множество приложений.

«Мы видим переход от условно безобидных ИИ-краулеров к инструментам, которые все чаще ведут себя как сканеры уязвимостей. Меняется экономика атаки: ИИ позволяет автоматизировать часть работы, которую раньше злоумышленнику приходилось выполнять вручную», — рассказывает Павел Пархомец, руководитель продукта PT AF Cloud.

Пример тому — история с критическими багами в React/Next.js? найденными еще в декабре прошлого года. Спустя месяцы после их раскрытия сканеры продолжают массово проверять компании на наличие неустановленных обновлений. Это показывает, что автоматизация позволяет злоумышленникам возвращаться к известным уязвимостям снова и снова, практически без дополнительных затрат.

Поэтому компаниям нужно привыкать, что автоматизированное сканирование станет постоянным фоном и сталкиваться с таким трафиком придется все чаще.

Что с этим делать

1️⃣ Начать можно с простого — посмотреть, какие запросы получает ваше приложение. Если в логах обнаружены массовые обращения к несуществующим страницам, попытки доступа к служебным файлам, повторяющиеся ошибки авторизации, это может стать тревожным сигналом.

2️⃣ Важно разделять полезную и нежелательную автоматизацию. Полезным роботам можно открыть нужные ресурсы, а нежелательные массовые обращения ограничить: универсальные правила для всех автоматизированных клиентов быстро перестают работать.

3️⃣ Особое внимание — чувствительным операциям: авторизации, регистрации, поиску и API. Анализируйте частоту и последовательность обращений, повторяемость параметров и поведение клиентских сессий. Это поможет заметить подозрительную активность.

Ну и конечно, вы тоже можете автоматизировать защиту, разобравшись предварительно, что происходит в вашем трафике. Например, проверив это на демонстрационном стенде PT AF Cloud.

#PTAFCloud
@Positive_Technologies

Что за уязвимость в Telegram, про которую все говорят

В Telegram Desktop обнаружили уязвимость CVE-2026-107181, которая затрагивает версии приложения до 7.2.9.

Она может позволить злоумышленникам похитить файлы с устройства пользователя, если тот перейдет по специально сформированной ссылке. Во всем мире потенциально уязвимы от 100 до 200 млн устройств.

Чем это опасно и как защититься, рассказывает Егор Подмоков, руководитель отдела экспертизы MaxPatrol VM, Positive Technologies.

Как эксплуатируется уязвимость 💻

Для успешной атаки злоумышленнику необходимо заранее определить расположение файлов, которые он хочет похитить. Причем речь не только о данных самого Telegram: под угрозой могут оказаться личные файлы, рабочие документы и другая конфиденциальная информация.

Масштаб последствий зависит от того, к каким файлам мессенджер имеет доступ на устройстве пользователя.

Чем это грозит 🧐

Утечкой документов дело может не ограничиться. Например, если злоумышленникам удастся похитить данные для доступа к учетным записям или удаленным системам, они смогут использовать их для дальнейших атак — вплоть до проникновения в корпоративную инфраструктуру.

Ситуацию осложняет и то, что подробный технический разбор уязвимости уже опубликован в открытом доступе.

Как защититься 🔄

Самое главное — обновить Telegram Desktop до актуальной версии. Также рекомендуем включить автоматические обновления и внимательнее относиться к ссылкам, особенно если их присылают незнакомые люди.

Если пока обновиться нет возможности, установите локальный код-пароль в настройках Telegram Desktop: «Настройки» → «Конфиденциальность» → «Код-пароль». Это может снизить риск угона аккаунта, но не защитит от кражи файлов. Поэтому обновить приложение все равно нужно при первой возможности.

Компаниям также стоит позаботиться о безопасности рабочих переписок. Для обмена конфиденциальной информацией лучше использовать корпоративные мессенджеры, соответствующие требованиям безопасности организации.

@Positive_Technologies