AKTIV.CONSULTING - новости ИБ

🗣Атака из слепой зоны ИИ Исследователи Adversa AI показали, как с помощью зашифрованного промпта заставить Grok передать злоумышленнику данные текущего диалога. Атакующий размещает на обычной с виду странице зашифрованный JSON-объект, ключ и инструкцию по расшифровке. Когда пользователь просит Grok пересказать страницу, модель запускает код в Python-окружении и восстанавливает скрытую команду. Фильтры не замечают угрозу, потому что проверяют текст, но не выполняют код. А после расшифровки команда попадает в контекст как результат работы собственного инструмента Grok и повторно не проверяется. В результате модель добавляет в ссылку содержимое диалога, имя пользователя, примерное местоположение и данные о подписке, а затем сама её открывает. Информация уходит на сервер атакующего без подтверждений и предупреждений. Атака сработала в 8 из 20 тестов на Grok 4.5 Fast. Неудачи были связаны в основном с ошибками при расшифровке, а не с работой защитных механизмов. xAI уведомили 3 июня, но по состоянию на конец августа публичного исправления нет. Похожую технику применили против Gemini. Там расшифрованный текст превращался в поддельную ошибку Python с промпт-инжектом. Модель генерировала запрещённый контент, а изменённая версия атаки раскрывала её системные инструкции. ❗️Это история не столько про Grok, сколько про полномочия ИИ. Если модель может открывать сайты, запускать код и обращаться к корпоративным данным, важно понимать, чему она доверяет, что делает без подтверждения и куда может отправить полученную информацию. 🔗 Источник 📤 MAX | 💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

⚡️ Кибератака по частям: как RaaS, IAB и ИИ снизили порог входа до $40 Сегодня, чтобы стать хакером, достаточно банковской карты и желания заработать, ведь киберпреступность превратилась в «экономику подписки». Мы постарались разобраться, как устроен этот рынок и почему порог входа в киберпреступность стал ниже, чем порог входа в профессию ИБ-специалиста. 🧩RaaS: шифровальщик как услуга Модель «аренды» инфраструктуры для атак сделала киберпреступность рынком с низким порогом входа. По данным Sophos (2025), подписка на RaaS-киты стоит от $40 в месяц до нескольких сотен тысяч для продвинутых сборщиков. Одноразовый депозит для входа в некоторые группы — около $5 000 (например, группа VanHelsing, запущенная в марте 2025) при комиссии оператора 20%. На рынке действует рекордное число группировок — 96, 52 из которых появились только за 2024 и 2025 годы. Модель разделения прибыли (аффилиат забирает 70–80% выкупа) практически обнулила финансовые риски «новичков». 🧩Брокеры начального доступа (IAB) Сформировался отдельный рынок продажи доступа — атакующему не нужно самостоятельно взламывать периметр. По данным за 2024 год, 62% объявлений о продаже доступа стоили ниже $1000, а средняя цена снизилась до ~$2700 (NoorStream, 2025). RDP-доступ или VPN-учётку к крупной компании можно купить за $200–500. 🧩ИИ изменил экономику атак По данным CrowdStrike, доля переходов по ссылкам в ИИ-сгенерированном фишинге равна 54% против 12% у написанного человеком. Голосовой фишинг вырос на 442% в 2024 году, а deepfake-атаки — на 1600% в I квартале 2025. Потери от deepfake-мошенничества превысили $1,56 млрд (Surfshark, 2025). Что получается, если соединить детали $40 не хватит на полноценную сложную атаку. Но этой суммы уже достаточно, чтобы получить готовый инструмент и войти на рынок, где остальные компоненты продаются отдельно. Для массовой киберпреступности больше не обязательны собственная команда разработчиков, глубокая техническая экспертиза и большой стартовый бюджет. Верхняя планка никуда не исчезла: атаки на КИИ и операции APT-групп по-прежнему требуют серьёзных ресурсов. Зато нижняя опустилась практически до стоимости обычной подписки. #Александр_Михайличенко 📤 MAX | 💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

🔛 ИБ-зарплаты +40%, ИИ в топе угроз, оборотных штрафов пока нет: главное в ИБ за неделю 🟠В России утвердили новую редакцию антимошеннических законопроектов «Антифрод 3.0» Согласно свежей версии, владельцам сайтов не надо будет три года хранить данные о регистрации и авторизации пользователей. 🟠Маркировка созданных нейросетями материалов может стать обязательной вместо добровольной Формат предупреждения установит государство, но ответственность за его отсутствие пока не определена. 🟠HeadHunter: средняя зарплата в сфере ИБ за первую половину 2026 года выросла на 40% относительно первого полугодия 2025 года По мнению экспертов, рост зарплат обусловлен вступлением в силу новых положений об ответственности профильных руководителей за защиту. 🟠Минэнерго России обучит 500 компаний ТЭК отражению кибератак Цель ведомства состоит в синхронизации цифровизации отрасли и защиты от киберугроз. 🟠Android усложнит установку программ от непроверенных разработчиков Нововведение призвано обезопасить пользователей от мошенников, которые заставляют жертв устанавливать вредоносное ПО. 🟠Роскомнадзор: пока не назначено ни одного оборотного штрафа за утечки данных По данным ведомства, механизм ответственности за повторное нарушение еще не успел сработать. 🟠Исследование: риски, связанные с внедрением ИИ, за год поднялись с 10-го на 2-е место в рейтинге глобальных бизнес-угроз На первом месте — киберпреступления, однако они покрываются большинством из крупнейших страховщиков, а вот к ИИ-рискам страховые чаще всего не готовы. 📤 MAX | 💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

🔛 Пятница обнаружена, новости ИБ за неделю — тоже :) 📌ФСТЭК России разъяснила некоторые лицензионные требования по технической защите конфиденциальной информации На сайте регулятора уточнено, что это сделано в целях повышения качества подготовки юридических лиц и ИП к процедуре оценки соответствия лицензионным требованиям. 📌ЦБ: за II квартал 2026 года банки отразили 17,5 млн попыток хищения средств клиентов на общую сумму почти 1,9 трлн рублей Среди методов кибератак, согласно отчету Банка России, наиболее заметный рост показали инциденты с использованием методов социальной инженерии. 📌Ассоциация больших данных разработала новый отраслевой стандарт защиты данных Теперь участники АБД будут оценивать безопасность процессов работы с данными при использовании ИИ, соблюдать регламенты безопасности данных при работе с ИИ и обучать сотрудников правилам пользования ИИ-агентами. 📌В России нашли способ повысить безопасность систем «умного дома» Ученые применили метод нечетких когнитивных карт: он строит «интеллектуальную карту» связей между устройствами и показывает, как угроза перемещается по системе. 📌Минцифры предлагает создать платформу для управления согласиями на обработку персональных данных Идея в том, чтобы все 2,6 млн операторов ПДн передавали туда сведения о полученных согласиях, а граждане «в одном окне» могли их видеть и отозвать. 📌ИТ-компании просят упростить работу с персональными данными для обучения искусственного интеллекта Сейчас такие данные продолжают считаться персональными даже после обезличивания, что может тормозить развитие ИИ в России. 📤 MAX | 💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

😳 Кому вы дали согласие? Минцифры предлагает собрать ответы в одной системе Минцифры предложило создать единую платформу для управления согласиями на обработку персональных данных. Все 2,6 млн операторов должны будут передавать в неё сведения, а граждане смогут увидеть, кому и когда разрешили работать со своими данными, и при необходимости отозвать согласие. Инициатива вошла в обсуждаемую версию третьего пакета антифрод-мер. Новость прокомментировала Анастасия Калиничева, консультант по информационной безопасности АКТIV.CONSULTING. ☁️Почему идея появилась В 2025 году глава РКН уже предлагал отказаться от согласий на обработку ПДн в принципе. Причина в том, что количество согласий, оформленных на одного человека, стало избыточным. Новая инициатива Минцифры логично продолжает эту идею. Сейчас операторы часто берут согласия ради «перестраховки» даже в тех случаях, когда правовое основание для обработки данных уже есть, например договор. ☁️К чему это может привести Если инициативу примут, необходимо грамотно организовать переходный период к её внедрению. Например, на первых этапах к системе можно подключить крупные компании и предложить им размещать в ней новые согласия без обязательного переноса уже оформленных. В перспективе такая платформа может стать системой контроля доступа к персональным данным со стороны самих субъектов. Похожий механизм уже работает в Казахстане, мы рассказывали об этом ранее. ❗️При этом крайне важно грамотно подойти к организации защиты предлагаемой системы, а также учесть финансовые возможности операторов ПДн. #Анастасия_Калиничева #ПДн 📤 MAX | 💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст