InfoSec Context

🚗 Сбор данных современными автомобилями
Глава комитета Госдумы по цифровому развитию и искусственному интеллекту Александр Сидякин предложил распространить принципы «закона Яровой» на иностранные автомобили. Инициатива предполагает проверку того, какую информацию современные машины отправляют производителям и сторонним сервисам🔎: от точных координат, записей с микрофонов и видео с видеорегистраторов до детальной телематики электронных систем. И хотя поводом стали риски при использовании таких машин госслужащими, технически эта проблема касается каждого владельца подключенного автомобиля.

Давайте сначала посмотрим, как с безопасностью и сбором данных автомобилями следят в других странах, и какой практический вывод можем сделать мы.

🌍 Мировой опыт
Тема безопасности автомобилей уже давно вышла на уровень национальной безопасности и защиты приватности во всех ведущих юрисдикциях:
⏺ Европейский Союз применяет GDPR и EU Data Act, которые регулируют сбор данных строго регламентирован. Передача автомобильной телеметрии за пределы ЕС без жестких гарантий и согласия пользователя запрещена. Согласно требований UNECE WP.29 (CSMS) автопроизводители обязаны внедрять официальные системы управления кибербезопасностью транспортных средств, проходить аудит и защищать цепочки обновлений "по воздуху".
⏺ Соединенные Штаты Министерство торговли США (BIS) и профильный закон Connected Vehicle Security Act вводят ограничения на использование зарубежного ПО и аппаратного обеспечения в подключенных авто.
⏺ Китай Стандарты Министерства промышленности и информатизации требуют, чтобы все данные, собираемые автомобилями на территории страны, хранились исключительно на локальных серверах без права беспрепятственного трансграничного экспорта.

Соответственно, тренд очевиден, и государства больше не смотрят на автомобиль просто как на средство передвижения — это полноценный IoT-компьютер на колесах, генерирующий гигабайты конфиденциальной телеметрии 🤖.

При этом отсутствие трансграничной передачи и обеспечение безопасной передачи данных вендору не исключают возможность внутренних злоупотреблений данными, как, например, старый случай с когда работники Tesla сливали в групповой чат «избранные» записи с камер электромобилей 🤬.

Какие практические выводы из этого можно сделать? Мы вряд ли сможем управлять разрешениями, которые имеет наш автомобиль, ну по крайней мере до выпуска для них кастомных прошивок, но для себя нужно:
⏺ Учитывать, что связка «смартфон + приложение производителя авто» часто сливает рекламным трекерам VIN-номер, e-mail, телефон и точные координаты перемещений. Предлагаю минимизировать доступы и разрешения у приложений в вашей ОС.
⏺ Загляните в дебри меню бортового компьютера. Отключите опции «улучшения качества сервиса», маркетинговой телеметрии и передачи аналитических отчетов производителю, если они есть и включены по умолчанию.

💬 Относитесь к современному автомобилю как к смартфону на колесах. Помните, что каждый сервис мультимедиа или подключенный по Bluetooth гаджет расширяет вашу цифровую поверхность атаки.

📖 InfoSec Context
| TG | Max | Web

🍕 Промежуточный итог взлома «Додо Пицца»
Продолжаем следить за историей с нашумевшим взломом «Додо» и выгрузкой 68 млн. записей клиентов. Она получила любопытное и точно необычное развитие 👨‍💻.

В Барнауле задержан предполагаемый участник группировки — Д. А. Фридман. Тверской суд Москвы отправил его под домашний арест. Мера действует до 8 декабря. Статья: 272.1 УК РФ, ч. 3 (пп. «а» и «в»), то есть незаконный оборот компьютерной информации с персональными данными.

По версии следствия, он получил доступ к данным клиентов и за вознаграждение передал их другим лицам для публикации в Telegram-канале. Название канала и сумму не раскрывают.
Отдельно «Коммерсантъ» пишет, что полный архив продали в даркнете, а деньги пришли на общий криптокошелёк группы. После задержаний пароль от него сменили.

По данным СМИ, группа состояла из четырёх человек (граждане России, Казахстана и Беларуси). Троих задержали, один пока на свободе. Вышли на них благодаря IP-адресу, который Фридман не скрыл при обращении к похищенному массиву данных 🤪.

Также, по версии следствия, отправной точкой стали корпоративные учётные данные «Додо», оставленные в открытом доступе на GitHub. Это оказался не хитрый сложный взлом, а банальная утечка секретов в репозитории.

Что еще любопытно с технической и аналитической точки зрения: атаки этой группы отличались высокой степенью автоматизации. По оценкам ведомств, за счет интеграции инструментов искусственного интеллекта время подготовки и реализации взломов сократилось с привычных нескольких недель до считанных часов. Тренд на автоматический пентест и ИИ-ассистентов в руках злоумышленников перестал быть теорией и стал обыденной практикой.

Что в итоге?
Я бы выделил две глупости 😁 с обеих сторон:
1️⃣ Утечка секретов в публичные репозитории остаётся одним из самых частых и самых дешёвых для атакующего векторов. Поверка секретов в CI, ротация ключей и принцип минимальных привилегий на сервисных учётках должны быть гигиеной, а не «хорошей практикой на потом».
2️⃣ Можно отлично спланировать и месяцами готовить атаку, а попасться на одном подключении без анонимизации. Оперативная безопасность ломается не на самом сложном этапе, а на самом рутинном.

💬 Хорошо, что хакер забыл про VPN kill switch. Именно такие «мелочи» чаще всего и решают исход расследований. Но домашний арест — это мера пресечения, а не приговор. Все версии пока остаются версиями следствия.

📖 InfoSec Context
| TG | Max | Web

👮‍♂️ Арест переговорщика с хакерами
Все государства понимают, что вести переговоры с вымогателями нельзя, но всегда есть люди, которые готовы помочь в ведении таких переговоров.

В США арестован Эдвард Дубровски — канадский ИБ-специалист, экс-управляющий директор компании CYPFER и автор книги «Cyber Extortion Strategic Response». Человек годами профессионально занимался тем, что помогал компаниям вести переговоры с вымогателями и организовывал выплату выкупов 💰. Теперь ему самому инкриминируют сговор с целью вымогательства в рамках масштабного расследования против группировки ShinyHunters.

На данном примере видно, насколько институт «профессиональных переговорщиков» токсичен и рискован. Но главное — сама стратегия «в случае чего просто заплатим выкуп» в очередной раз доказывает свою несостоятельность.

Покупка криптовалюты для откупа от киберпреступников — это тупиковый путь, который несет в себе массу проблем:
⏺ Вы спонсируете международную киберпреступность, рискуя угодить под уголовное преследование за финансирование ОПГ.
⏺ Вы покупаете кота в мешке: нет никаких гарантий, что злоумышленники ударят по рукам, вернут данные или не сольют их, преумножив свой капитал.
⏺ Те, кто помогает оформлять эти сделки, могут быть в сговоре с вымогателями.

Рассчитывать на то, что в критический момент удастся откупиться с помощью сторонних посредников — наивно и опасно 🤪. Единственная рабочая стратегия защиты — готовиться к инцидентам заранее.
🔹 Выстраивайте неизменяемые резервные копии и регулярно проверяйте их на реальное восстановление.
🔹 Имейте четкий и протестированный план реагирования на инциденты, чтобы бизнес продолжал жить даже при худшем сценарии.

💬 Кажется, что встречать шифровальщиков подготовленными всегда дешевле, чем потом надеяться на чудо-переговорщиков и переводить миллионы в крипту.

📖 InfoSec Context
| TG | Max | Web

Bug Bounty умирает?
Два удара, которые могут поставить крест на охоте за багами, и это не обычные новости, а уже тенденция.

Мы привыкли воспринимать bug bounty как отличный открытый способ компаниям заявить о зрелости своего продукта, а исследователям получить пищу для творчества и деньги, все в выигрыше. Но сейчас эта модель взаимоотношений трещит по швам.

Удар первый: экономика не сходится.
Google отчитался о рекордных выплатах за 2025 год: $17,1 млн более чем 700 исследователям, рост на 40% год к году 😱. Казалось бы, вот оно, процветание. Но Google одновременно снизил стандартные награды за уязвимости в Chrome. Причина в том, что ИИ-инструменты сделали производство «подробных, но бесполезных» отчётов дешёвым и массовым. Компания теперь платит не за объём, а за реальную эксплуатируемость и глубокий анализ.

Параллельно Internet Bug Bounty (IBB) — программа, покрывавшая критический open-source софт, — приостановила приём отчётов. Curl убил свою bounty-программу на HackerOne ещё в январе 2026-го, так как доля валидных отчётов рухнула с ~15% до менее 5% 😤. Intel приостановил свою программу с максимальной наградой $100k. Apple ввёл лимиты на количество отчётов и 30-дневный cooldown — и реальные zero-day теперь стоят в очереди за AI-мусором.

Удар второй: ИИ наводнил отчётами, проверять их уже не успевают.
Вот некоторые сводки этого вала:
🔹 В Linux kernel количество CVE за версию выросло с ~500 (6.x) до почти 2000. Мейнтейнеры говорят прямо: «мы захлебнулись».
🔹 Google OSS VRP приостановлен минимум до Q1 2027. Причина — «значительный рост автоматизированных отправок, подавляющее большинство которых невалидны».
🔹 В Glasswing (CSA) за первый месяц ИИ-сканирования найдено 10 000+ высоких и критических уязвимостей, из которых 97 реально запатчены (около 6%).

Стоимость генерации отчёта упала до нуля, стоимость верификации осталась прежней. Волонтёры и небольшие команды мейнтейнеров вынуждены разгребать чужой спам.

Bug bounty как «демократичный способ подзаработать на поиске багов» переживает самый большой кризис. Выживут, скорее всего, только:
1️⃣ Крупные корпоративные программы с выделенным триажем (Google может себе позволить фильтровать, малый проект — нет).
2️⃣ Приватные приглашения и live-хакинг-события типа bugSWAT, где Google платит $1,6 млн за 130 отчётов на четырёхдневном ивенте.
3️⃣ Задачи с репутационным весом, где исследователь дорожит аккаунтом.

Для open-source это уже вызвало кризис, и если мейнтейнеры не могут позволить себе триаж, они скорее просто закроют программы. При этом уязвимости не исчезают — они уйдут к атакующим.

💬 Думаю, мы наблюдаем не смерть bug bounty, а некий отбор. Эпоха «отправил сканер — получил деньги» закончилась. Останутся те, кто умеет доказывать эксплуатируемость и решать проблемы, которые ИИ пока не щёлкает как орешки.

📖 InfoSec Context
| TG | Max | Web

🍕 На очереди «Додо Пицца»
Помните, мы следим за инцидентом с туроператором Tez Tour? Теперь та же самая группировка DataSuckers 👽 заявила об атаке на известную пиццерию.

По информации от злоумышленников, подготовка к атаке началась 26 сентября, а уже на следующий день они получили полный контроль над базами данных компании и выкачали несколько терабайт данных 🚰: 68 млн. записей уникальных клиентов и весь массив заказов за все 15 лет существования сети — вплоть до истории покупок и деталей о составе заказов 😳.

Служба безопасности «Додо» подтвердила факт кибератаки. Представители компании сообщили, что доступ злоумышленников к системе оперативно заблокирован, однако предупредили: в руках атакующих могла оказаться информация клиентов (имена, адреса, email, телефоны, даты рождения и история заказов).

При этом подчеркивается, что платежные данные в безопасности, поскольку компания их в открытом виде не хранит. Дополнительно в целях безопасности пользователей массово разлогинивают из приложений и личных кабинетов.

🤔 Что в итоге?
Классическое начало громкого слива: хакеры заявляют о тотальной компрометации «всего и вся», а бизнес говорит о локализации и частичной утечке. Однако даже если правда где-то посередине, масштабы впечатляют❗️. Связка «телефон + ФИО + история реальных заказов с адресами» — это идеальный инструмент для киберпреступников, которые моментально поставят эти данные на поток для многоуровневых фишинговых атак и персонализированной социальной инженерии.

Тут, конечно, не затронуты «продающие» каналы компании, но репутационный ущерб налицо.

💬 Если вы активно пользовались этой доставкой, настоятельно рекомендую в ближайшие недели относиться с удвоенным скепсисом к любым звонкам и сообщениям от неизвестных. А я теперь и за этим громким инцидентом послежу 🍿.

📖InfoSec Context
| TG | Max | Web