На початку цього року я майже потрапив на складну фішингову спробу.
Вона була настільки переконливою, що я майже впався.
Цілі вихідні я відчував сором.
На жаль, останні результати безпеки «Чорного жовтня» свідчать, що ситуація стане гіршою.
Старі вразливості, які раніше вимагали занадто багато часу для експлуатації, зараз можна атакувати за допомогою 10 тис. агентів, що працюють протягом ночі за вартість Pumpkin Spice Latte (добре... або двох).
Декілька речей, які люди, розумніші за мене, помітили за останній тиждень:
• Amazon виявив спробу атаки на програмне забезпечення веб-сайту за чотири дні до публічного попередження. Ці вразливості могли дозволити хтось отримати контроль без пароля. Бізнеси атакувалися ще до того, як вони зрозуміли, що їм потрібна виправка.
• PHP, програмне забезпечення, що лежить в основі WordPress та багатьох інших сайтів, потребувало аварійних виправлень для двох вразливостей, які дозволяли нападникам брати під контроль сервери без входу. Vercel додав захист через фаєрвол до публічного попередження, але власники сайтів все ще повинні оновити сам PHP.
• Один із секретних ключів, що використовувався для підтвердження справжності сайтів, був просто числом 4. Вісім ключів у постачальника сертифікатів eMudhra було легко вгадати. Оновлені браузери мають захист, але старе програмне забезпечення може все ще довіряти вразливим сертифікатам.
• Дослідники NorForge виявили злочинців, які використовують AI-агенти для атак на онлайн-магазини та платіжні системи. Одна група мала більше ніж 1 100 проектів атак на своїх панелях.
• Quest Diagnostics, одна з найбільших медичних компаній у США, розкрила порушення цього тижня і вважає, що хтось отримав доступ до медичних записів пацієнтів. Вони все ще розслідують, скільки людей було вплинуте.
AI не спричинив усі ці невдачі. Але він робить існуючі слабкості дешевшими для пошуку та експлуатації.
Не для того, щоб грати роль думера чи панікера, але зараз добрий час для кількох нагадувань.
— Використовуйте менеджер паролів.
— Увімкніть двофакторну автентифікацію.
— Якщо хтось несподівано попросить вас надіслати гроші або завантажити щось, перевірте через номер або акаунт, який ви вже знаєте.
— Дотримуйтесь надійних експертів з безпеки в мережі.
Робота в технологіях чи постійна онлайн-наявність не роблять вас непроникними.
Будьте обережні.