Positive Technologies

Чтобы украсть крипту, необязательно взламывать блокчейн Недавняя кража более 6 млрд долларов с Binance была связана со взломом ноутбука инженера биржи. Не самого блокчейна, а обычного рабочего компьютера: и это хорошо показывает, где на самом деле могут скрываться риски криптовалют. Как раз об этом — новый выпуск «Ведомостей» «За длинным рублем» про цифровые активы. Директор по стратегии ИК «Финам» Ярослав Кабаков смотрит на крипту с точки зрения инвестора и видит в ней возможности. А наш директор по консалтингу Юлия Воронова обращает внимание на то, как легко эти инвестиции можно потерять. Что интересного обсудили в выпуске 1️⃣ Взламывают не столько криптовалюту, сколько все вокруг нее. Протоколы и смарт-контракты существуют не сами по себе. Есть сайты бирж и брокеров, личные кабинеты, серверы и другая привычная нам ИТ-инфраструктура. И злоумышленники прекрасно знают, как ее атаковать. 2️⃣ Криптобиржи взламывают с невиданным размахом. Такого «урожая» успешных атак и украденных средств, как в первом полугодии 2026 года, в мире еще не было никогда. 3️⃣ Потерять деньги можно еще до покупки крипты. Человек ищет, где ее приобрести, и попадает на фишинговый сайт или сомнительную биржу, которую сделали на коленке и практически не защищают. А когда деньги исчезают, предъявлять претензии зачастую просто некому. 4️⃣ Регулирование должно сделать эту сферу безопаснее. Рынок переходит под контроль ЦБ, и покупать крипту можно будет через крупных игроков, к которым предъявляют требования по защите. Рисков от этого станет меньше. Но даже самая защищенная площадка не спасет, если человек сам переведет свои активы мошенникам. А к концу выпуска, как заметила ведущая, собеседники даже поменялись местами. Юлия рассказала, как в будущем покупать крипту безопаснее, а Ярослав посоветовал не вкладываться, если нет понимания, зачем это нужно. Как так вышло — смотрите в полной версии на YouTube, RuTube и в «ВК Видео». @Positive_Technologies

🌚 Вайбкодят все. А мы научим вас делать это безопасно Вместе с Positive Education запускаем спринт «Безопасная разработка с ИИ-агентами», первый поток которого стартует уже 23 ноября. «А чего там опасного?» — посмеется кто-то. Сейчас расскажем. По данным исследования JetBrains, 90% профессиональных разработчиков используют ИИ-агентов для написания кода, а 68% — делают это каждый день. ИИ в разработке уже не тренд, а норма.

Но у этой нормы есть обратная сторона, о которой задумываются не все. Еще одно исследование, на этот раз от CodeRabbit, показало, что созданный с помощью ИИ код содержит в 2,7 раза больше уязвимостей и в 1,7 раза критических дефектов, чем написанный вручную.

Как думаете, найдут ли эти баги злоумышленники вместе со своими ИИ-агентами? Почти наверняка. 🤔 Что же делать? Так настроить работу ИИ, чтобы быть уверенными в безопасности написанного им кода. Специально для этого команда нашего центра практического обучения команд Positive Education собрала лучшие практики разработки с ИИ-агентами и упаковала их в отдельный образовательный спринт. Регистрация на программу «Безопасная разработка с ИИ-агентами» уже открыта. Она рассчитана на разработчиков, AppSec- и DevSecOps-инженеров, архитекторов приложений, инженеров и владельцев ИИ-проектов. 👌 Что будет? За три недели и 40 учебных часов вы пройдете два сценария обучения на основе подходов и задач, с которыми наши специалисты работают в реальных проектах. 1️⃣ Безопасное использование кодинг-агентов в разработке. Здесь вы научитесь контролировать работу агента и все, связанное с кодом, который он пишет: моделирование угроз, управление контекстом и правами доступа агента, проверку сгенерированного кода и обязательные проверки безопасности перед релизом. 2️⃣ Проектирование собственных агентных систем с учетом новых угроз. Вы создадите ИИ-агента и сразу его защитите: изолируете память, ограничите доступ к внешним инструментам и данным, сделаете так, чтобы он не стал точкой входа для атаки. И конечно, вас ждет много практики: аудит готовых проектов, исправление уязвимостей, тестирование своего ИИ-агента и проверка безопасности написанного им кода. Больше подробностей о спринте — на сайте Positive Education. #PositiveEducation @Positive_Technologies

🎬 Dephaze Live Hack Show возвращается — начинаем второй сезон! Прятать работу продукта в «черный ящик» — это не про нас. Уже 5 ноября в 12:00 в новом сезоне нашего шоу покажем все, на что способен сейчас PT Dephaze, в прямом эфире. Запустим его вживую и продемонстрируем, как наш продукт для автопентеста изменился за полгода. Вы увидите, как он находит в реальной инфраструктуре новые векторы атак и добирается до максимальных привилегий в ключевых системах — Active Directory и FreeIPA. В эфире — живые атаки и разбор новых цепочек: от первых найденных уязвимостей до продвижения внутри инфраструктуры. Наши корреспонденты эксперты будут прямо на ходу комментировать происходящее и рассказывать, почему система выбрала этот путь, за счет чего продвинулась дальше, как атаку можно было предотвратить и сколько времени занял бы такой поиск вручную. ❗️ Важно: взлом будет проходить в изолированной тестовой среде. Так что ни один реальный сервер не пострадает, но вам точно будет, на что посмотреть. Специальный гость шоу — искусственный интеллект. Посмотрим с практической стороны на ИИ в Offensive Security и обсудим, что уже можно отдавать автоматизации, а где экспертиза человека все еще незаменима. Ну и, конечно, нам никак не обойтись без вас. Смотрите, удивляйтесь, задавайте вопросы, только не забудьте сначала зарегистрироваться. #PTDephaze @Positive_Technologies

⚡ Мы впервые расследовали атаку, которую целиком провели ИИ-агенты Прошло всего несколько месяцев с момента, когда агенты OpenAI нашли уязвимость в тестовой среде, выбрались за ее пределы и взломали серверы Hugging Face. Сегодня ИИ-агенты атакуют компании по всему миру. Всем казалось, что это отдаленные новости, которые не касаются будней и ИБ-рутины. А у нас есть свидетельство реальной автономной атаки, которая случилась в России. Наша команда PT ESC IR расследовала взлом российской компании, в котором от первоначального проникновения до кражи конфиденциальных данных из критически важных систем прошло всего около трех часов. И, судя по всему, все это время за клавиатурой не было человека. Что произошло 😳 Атака развивалась очень быстро и довольно шумно. За несколько часов злоумышленники получили доступ более чем к десяти узлам корпоративной сети. На серверах с интервалом буквально в секунды появлялись и запускались десятки скриптов, инструменты создавались и переделывались прямо по ходу атаки, а для работы устанавливались нужные библиотеки и программы. При этом довольно сложные техники соседствовали с ошибками, которые скорее ожидаешь от новичка: неправильный синтаксис команд, неверные названия компонентов. После неудач почти сразу следовало исправление или попытка решить задачу другим способом. А некоторые действия вообще выглядели странно с точки зрения человеческой логики. Почему мы думаем, что это ИИ 🤖 По словам руководителя PT ESC IR Дениса Гойденко, на использование ИИ указывают сразу несколько признаков. Во-первых, скорость и количество действий за короткое время: разные способы продвижения по инфраструктуре Linux и Windows агенты пробовали одновременно. Во-вторых, характер действий с ошибками, быстрыми исправлениями и сменой подходов. Да и первоначальный доступ злоумышленники получили через ошибку в конфигурации внешнего сервиса, которую довольно сложно обнаружить вручную. Конечно, использование ИИ в кибератаках — уже не новость. Мы и раньше видели, как злоумышленники доверяют ему отдельные задачи. Но успешную атаку, которую ИИ-агенты, предположительно, провели от начала до конца, встретили впервые. Что это меняет 🧐 1️⃣ У защитников остается все меньше времени. Если раньше скорость атаки во многом зависела от человека, то теперь ИИ-агенты могут выполнять множество задач за считаные минуты. А значит, и обнаруживать, и останавливать такие атаки нужно намного быстрее. 2️⃣ Становится сложнее понять, кто атакует. Обычно у группировок есть свой почерк: любимые инструменты, техники и последовательность действий. А здесь инструменты создаются и меняются прямо во время взлома, да и сама логика действий не всегда похожа на привычные сценарии. Нужны новые подходы к защите 🫤 В PT ESC IR мы давно занимаемся автоматизацией расследования и реагирования на инциденты. Но теперь меняется и сам характер угроз.

«Если атаки начинают развиваться без постоянного участия человека, прежнего уровня автоматизации уже недостаточно», — объясняет Денис Гойденко.

Поэтому защитникам нужны инструменты, которые смогут с сопоставимой скоростью обнаруживать подозрительную активность, разбираться в происходящем и помогать останавливать атаки. Именно над такими возможностями мы сейчас и работаем. @Positive_Technologies

Отвечаем за киберзащиту Faberlic собственными деньгами Компания, одна из первых в FMCG-сегменте, вышла на кибериспытания, выбрав наш PT X для защиты. А мы готовы заплатить исследователям, если они вдруг смогут реализовать недопустимое событие для компании, потому что уверены в своем продукте. Впрочем, давайте по порядку. Faberlic — крупная научно-производственная компания с высокой цифровизацией и гибридной инфраструктурой: часть ресурсов в облаках, часть — в собственных ЦОД. Как и многие крупные бизнесы, она ответственно подходит к киберзащите, стараясь не допустить инцидентов, которые могут нанести бизнесу неприемлемый ущерб. Поэтому и искала решение, которое сможет обеспечить комплексную защиту без дополнительного штата экспертов.

В таком подходе нет ничего удивительного: в 2025 году, по нашим данным, количество успешных кибератак на российский ритейл выросло на 60%. А их последствия могли затрагивать производство, логистику, продажи, расчеты с покупателями и доступность цифровых сервисов.

Как выбирали решение На пилотном тестировании, в котором принимали участие около пяти продуктов ведущих вендоров. Эксперты смотрели на скорость, качество реагирования, широту обнаружения угроз и качество рекомендаций. PT X показал лучшие результаты благодаря возможности контролировать защиту 24/7 и экспертизе PT ESC. С первых дней мы давали подробную обратную связь по каждому инциденту и предлагали конкретные шаги по усилению защиты, чтобы специалисты Faberlic не отвлекались на рутинный мониторинг. Продукт внедрили меньше, чем за месяц Все потому, что под PT X не надо перестраивать инфраструктуру или менять ИБ-процедуры. Первые результаты появились сразу: решение помогло выявить и оперативно устранить незначительные внутренние нарушения безопасности.

Например, PT X зафиксировал подозрительный объект, пытавшийся связаться с внешним командным центром. В итоге соединение заблокировали, вредонос ликвидировали, а чтобы такого больше не повторялось, проанализировали произошедшее с помощью сетевого сенсора PT NAD.

Выход на кибериспытания Мы развернули продукт, а потом помогли компании подготовиться к кибериспытаниям — логичному итогу пятилетней работы Faberlic по выстраиванию систем безопасности. В результате удалось найти и исправить несколько брешей в защите еще до их начала. В частности, мы обнаружили несогласованные ИТ-активы в серой зоне, уязвимости внутреннего софта, пересмотрели критичность рисков, внедрили двухфакторную аутентификацию. Время обнаружения инцидента снизилось на 65%, а время расследования — на 30%. После этого заработала программа кибериспытаний на Standoff Bug Bounty. Теперь белые хакеры могут попробовать взломать компанию. И если кому-то удастся воспроизвести цепочку атаки, которая приведет к критическому ущербу для бизнеса, вознаграждение в размере 3 млн рублей за это выплатим мы — Позитив.

«Так мы берем на себя ответственность за практический результат выстроенной защиты и работу нашего решения», — объясняет наш управляющий директор Алексей Новиков.

#PTX @Positive_Technologies

Что случилось с Binance и как защититься от такого В ночь на 30 октября злоумышленники меньше чем за четыре часа вывели больше 6 млрд долларов с горячих кошельков Binance, одной из крупнейших криптобирж в мире. Около половины из украденного удалось заморозить, а по предварительным данным самой биржи, атака началась со взломанного ноутбука DevOps-инженера. Об инциденте сегодня пишут все крупные СМИ, а криптовалютный рынок после новостей пошел вниз. Что это вообще было и как такое возможно, объясняет директор по консалтингу Positive Technologies Юлия Воронова. Почему это не последняя такая атака 🥊 Атака на Binance показывает, что злоумышленники перестали бояться атаковать крупные структуры и игроков рынка. С развитием ИИ скорость и сложность атак существенно выросли, и когда-то считавшиеся условно неприступными цели перестали быть таковыми. Этот случай — сигнал, что такие атаки и на других крупных игроков будут происходить, и с куда большей скоростью, чем раньше. Удар по Binance — это удар по ликвидности и доверию ко всему криптовалютному рынку. Даже те, кто не хранит средства на Binance, могут понести финансовые потери из-за изменения курсов криптовалют. Это касается и российских инвесторов, которые активно работают с цифровыми активами. Даже если пострадавшим клиентам биржи компенсируют украденные средства, это не возместит потери других участников рынка, вызванные падением стоимости их активов. Как такое возможно 😳 Сейчас у нас есть только предварительная информация из открытых источников о том, как могла быть реализована атака. В среднем расследование такого инцидента может занимать недели, а то и месяцы, в силу сложности и большого количества используемых и атрибутируемых инструментов. Но если анализировать только доступные факты, то сама по себе ситуация, когда при взломе одного ноутбука DevOps-инженера возможно хищение на миллиарды долларов, не должна быть возможна ни при каких условиях. Задача команды безопасности не сделать так, чтобы компанию невозможно было взломать, а чтобы цепочка атаки до недопустимого события была максимальной длины и команда успела отреагировать. По имеющейся сейчас информации мы понимаем, что цепочка была недостаточно длинной, чтобы успеть среагировать, даже если ИИ в атаке не применялся. Что делать компаниям 🛠️ Возвращаемся к классическим принципам информационной безопасности: 1️⃣ Понимаем возможные сценарии атак. 2️⃣ Максимально усложняем их для злоумышленников. 3️⃣ Настраиваем инструменты таким образом, чтобы можно было не допустить именно реализации недопустимого события внутри инфраструктуры, а не самого факта взлома. Здесь счет идет на минуты, и это не скорость людей, которые реагируют на инцидент, — это битва инструментария тех людей, которые знают, как происходит атака, и знают, как ее можно предотвратить. Крипте нужны новые правила ✍️ Исторически информационная безопасность в кибериндустии всегда строилась вокруг базовых криптографических систем, хотя смотреть на этот вопрос нужно намного шире. В частности, ЦБ РФ создает регуляторную правовую базу и требования, в том числе к стандартам кибербезопасности у криптовалютных игроков. Мы считаем очень важной реализацию этих требований, потому как необходимо выстраивать качественную защиту инфраструктуры, занимающейся хранением и операциями с криптой, цифровые депозитарии и все, что с ними связано. Это новая сфера для классической информбезопасности и актуальная проблема для любых финансовых структур, работающих с криптовалютами. Как следствие, сейчас мы наблюдаем дефицит CISO (директоров по информационной безопасности), понимающих и умеющих работать с криптой. Сегодня это актуальные и даже обязательные навыки для любого CISO в финансовой и банковской сферах. #PositiveЭксперты @Positive_Technologies

Мы получили лицензию на образовательную деятельность Теперь наш центр практического обучения команд Positive Education сможет работать с еще большим числом компаний и госучреждений. А сама лицензия подтверждает, что наши образовательные программы соответствуют всем строгим требованиям. Что это меняет 1️⃣ Для многих крупных компаний и госучреждений наличие лицензии — обязательное условие при выборе образовательных программ. Раньше они не могли выбрать нас, даже если курсы идеально им подходили. Теперь этот барьер снят, и мы можем участвовать в их образовательных проектах. 2️⃣ По итогам программ дополнительного профессионального образования слушатели смогут получать документы установленного образца, подтверждающие их квалификацию. 3️⃣ Если оплачиваете учебу самостоятельно, сможете оформить социальный налоговый вычет и вернуть часть потраченных денег. А чему мы учим Мы помогаем компаниям повышать киберустойчивость через обучение сотрудников на всех уровнях: безопасность бизнеса зависит не только от работы ИБ-команды, но и от решений руководства и повседневных действий каждого сотрудника. Поэтому у нас есть программы для всех — от людей без технической подготовки до ИБ- и ИТ-специалистов и топ-менеджеров. Технические специалисты осваивают защиту инфраструктуры, безопасную разработку, поиск уязвимостей и реагирование на кибератаки. Руководители учатся управлять киберрисками, а остальные — безопасно работать с корпоративными данными и распознавать цифровые угрозы. Для компаний мы можем собрать единую программу обучения, которая охватит сразу всю команду. И главное — у нас учат практики Занятия ведут действующие специалисты Positive Technologies и приглашенные эксперты. В основе обучения — задачи, с которыми они сами сталкиваются в работе. Участники разбирают реальные сценарии кибератак, работают с инструментами защиты и отрабатывают навыки на виртуальных стендах. Посмотреть программы и расписание можно на сайте Positive Education. #PositiveEducation @Positive_Technologies

Взломать за 13 минут: итоги пилотных запусков PT Dephaze Представьте, что злоумышленники уже в вашей корпоративной сети. Сколько времени им понадобится, чтобы добраться до критически важных систем и получить над ними контроль? Мы проверили это на пилотах нашего продукта для автопентеста PT Dephaze: провели больше 200 тестирований примерно в 100 компаниях. И теперь делимся подробностями Главный результат в заголовке на картинке: в 60% случаев автопентест отработал успешно. Ему удалось захватить отдельный компьютер или сервер, получить доступ к важным приложениям и данным или взять под контроль Active Directory — службу, через которую управляют пользователями и их правами во всей организации. В среднем, каждое тестирование длилось 79 часов, но реализовать первую угрозу (там, где это было возможно) удавалось намного раньше. В половине запусков — уже через 13 минут после старта, а в 75% случаев на это уходило не больше двух часов. Храните пароли в сберегательной кассе надежном месте Главным инструментом продвижения по сети стали учетные данные. Представьте, что инфраструктура — это цепочка комнат с запертыми дверями. Каждая найденная учетная запись становится ключом к новым секретам, правам и способам аутентификации. Сведения об учетных записях, а нередко и сами пароли, нашлись у 96% компаний. Первые такие данные обнаруживались уже через две минуты после начала проверки, а через шесть минут удавалось подтвердить, что они работают. Конечно, найденные учетные данные еще не означают доступ. Но в каждом третьем случае они превращались в подтвержденный вход. А дальше цепочка воспроизводила сама себя: каждый захваченный компьютер мог стать источником новых паролей и ключей. В 22% запусков их извлекали из памяти и системных хранилищ Windows, а в 20% — восстанавливали пароли по хешам. Помогали в атаках и старые уязвимости: например, одну из них, обнаруженную в 2021 году, использовали в 21% проверок, а другую, исправленную еще в 2017-м, — в 14%. Что делать 😱 Хорошо, что компании атаковал наш дружелюбный PT Dephaze, а не реальные злоумышленники: есть время исправить недостатки. Наши эксперты советуют начинать со слабых мест, через которые можно провести сразу несколько атак: 1️⃣ Аккаунты с широкими правами и доступом к нескольким системам. 2️⃣ Небезопасное хранение паролей и ключей. 3️⃣ Возможность перенаправить чужую попытку входа. 4️⃣ Лишние связи между сегментами сети. И в первую очередь закрывать бреши, через которые можно подобраться к ключевым ресурсам компании. А чекнуть, помогли ли исправления, можно повторным автопентестом. В идеале такие проверки должны стать регулярной профилактикой.

«Инфраструктура постоянно меняется: появляются новые серверы и пользователи, меняются права и настройки, а вместе с ними могут возникать и новые слабые места. Разовая проверка показывает картину на конкретный день, поэтому оценивать защищенность стоит регулярно, после каждого существенного изменения», — советует наш аналитик Анна Вяткина.

Полное исследование ищите на нашем сайте. #PTDephaze @Positive_Technologies

Заплатим до 500 тысяч рублей за обход защиты нашего WAF На прошлой неделе в один день вышли новости о критических уязвимостях в PHP и GitLab. Пока компании ждали и устанавливали обновления, PT Application Firewall помогал нашим клиентам снизить риски взлома. А теперь мы предлагаем белым хакерам проверить на прочность сам PT Application Firewall. Задача — найти способы обойти его механизмы защиты веб-приложений. Не только баги 🪲 Обычно в продуктовых программах багбаунти платят за найденные уязвимости в коде решения. Наши продукты, включая PT AF, уже давно проходят такие проверки на Standoff Bug Bounty. Но теперь мы идем дальше и готовы платить за обход самой защиты. Например, за атаку, которую WAF не заметит или не сможет заблокировать, обход правил фильтрации трафика или детекторов вредоносных запросов.

«Для российского рынка WAF это новый подход к независимому тестированию. Мы исходим из того, что даже самые совершенные механизмы защиты могут иметь ограничения, поэтому готовы платить за обнаружение реальных способов их обхода», — отметил Антон Жаболенко, директор по продуктам AppSec и WAF Positive Technologies.

Результаты проверок помогут нам найти пробелы в защите и совершенствовать механизмы обнаружения атак. Сколько платим 🤑 За критические находки — до 500 тысяч рублей. Проверить можно обе версии продукта: PT Application Firewall PRO, которую компании устанавливают на своих серверах, и облачную PT AF Cloud, работающую как сервис. @Positive_Technologies

Больше чем в половине случаев кибератаки нарушают работу бизнеса К такому выводу пришли эксперты команды PT ESC IR после анализа 140+ проектов по расследованию инцидентов и ретроспективному анализу за последний год. Все подробности, рекомендации и шокирующие некоторых открытия — в классном исследовании на сайте и на карточках, но и тут кое-что важное напишем. Кто пострадавшие На первое место в списке жертв резко вышла промышленность (с 9 до 22% случаев), за ней — госучреждения, ИТ-компании и торговля. Поводом для почти двух третей обращений стала подозрительная активность, которую клиенты заметили сами или с нашей помощью. Примерно в трети случаев злоумышленники уже успели зашифровать данные, запросить выкуп или сделать публичное заявление о взломе 🙁 Кто атакует Почти в половине расследований мы обнаружили следы известных APT-группировок, а еще более чем в трети случаев — киберкриминал, нацеленный на шифрование и уничтожение данных. Прибыло и в полку APT-группировок. В отчете мы рассказываем о трех новых, обнаруженных нашими экспертами: APT10051, Stingy Basilisk и Chewbacca. Что интересно, некоторые из них (не только новички) умудрялись одновременно заходить в одни и те же инфраструктуры и действовать там одновременно и независимо друг от друга. Причины не меняются Успех атак часто базируется на недостатках безопасности, которые некоторые компании, увы, не устраняют годами. Не зря они много лет одни и те же: • устаревшие ОС и ПО — 30% инцидентов • отсутствие 2FA — 25% • слабая сегментация сети — 24% И инструменты, кстати, тоже Для получения первоначального доступа, повышения привилегий и отключения средств защиты злоумышленники использовали более 25 различных уязвимостей. При этом больше половины из них на момент атаки были известны не менее двух лет. И никак не пропатчены 😱

«Для успешной атаки злоумышленникам часто не нужны принципиально новые техники. Они используют давно известные уязвимости, которые компании не устранили вовремя. Дольше оставаясь незамеченными, они получают больше времени, чтобы закрепиться в инфраструктуре, собрать информацию и продвинуться к критически важным системам. Поэтому компаниям недостаточно защищать только внешние сервисы. Важно контролировать происходящее внутри корпоративной сети и быстро реагировать на признаки компрометации», — отметил Денис Гойденко, руководитель PT ESC IR.

Читайте, как злоумышленники проникают, закрепляются и действуют в инфраструктуре, а также — что со всем этим делать, на нашем сайте. #PTESC @Positive_Technologies

78 багхантеров три месяца пытались реализовать недопустимое событие в Т-Банке Так прошли первые среди российских финтех-компаний открытые кибериспытания на нашей платформе Standoff Bug Bounty. Белые хакеры пытались добраться до денег и данных банка или нарушить работу инфраструктуры. Результат: ни одного реализованного недопустимого события, хотя за каждое можно было получить до 12 млн рублей (общий фонд — 50 млн рублей). Пришло пять отчетов, четыре признали валидными. Максимальная выплата — 3,5 млн рублей. Итоги обсудили на конференции Security Shift Дмитрий Гадарь, вице-президент и руководитель департамента ИБ Т-Банка, рассказал, что открыться решили не спонтанно. Банк с момента основания инвестирует в безопасность. «Это прошито в нашей культуре», — говорит он. Подготовка шла годами: сначала выход на багбаунти и значительное повышение выплат, затем закрытая программа для узкого круга исследователей, которые заработали на ней 8 млн рублей. И только потом открытые испытания. Кибериспытания — следующий шаг после багбаунти, подтверждает Николай Исламов, руководитель управления безопасности приложений Т-Банка.

«Нет ничего хуже, чем безопасник, уверенный в собственной неуязвимости. Поэтому для нас как для компании очень важен этот внешний взгляд… Мы ищем не просто уязвимости, а позволяем исследователям прямо реализовать недопустимое событие, какое-то критичное для бизнеса», — рассказывает он.

Замглавы Минцифры Александр Шойтов сравнил кибериспытания и похожие проверки с краш-тестом системы «в моменте» и подчеркнул их важность для ИБ. Министерство и само проверяет госсистемы: по 372-му постановлению ключевые ГИС тестируют одни из самых сильных компаний. По его мнению, это эффективная процедура. Другие участники сессии назвали кибериспытания «мега-левел-апом» и высшим уровнем проверки. Правда, большинству компаний до него еще расти. Все они правы Багбаунти — важный инструмент проверки защищенности, но здесь обнаруживаются отдельные уязвимости, а у каждой программы свой список целей и ограничений. Реальные злоумышленники правилам не подчиняются. На кибериспытаниях ограничений минимум, а цель — бизнес целиком. Исследователи пытаются реализовать недопустимое событие, способное критично навредить компании. Здесь проверяют не «есть ли дыра в коде», а «выстоит ли конструкция, если по ней ударят всерьез». Если она выдержала три месяца атак, как у Т-Банка, это серьезный аргумент в пользу ее устойчивости.

«Лучше предоставлять возможности для поиска уязвимостей, и это экономически выгодно, — говорит Гадарь. — Клиенты банка видят, что банк надежный… [Мы] настолько устойчивы, что можем выставлять себя на публичные исследования».

Что еще дали испытания 1️⃣️️️️ Проверку технологий, процессов и людей. Центр реагирования, по словам Исламова, «полностью видел все действия исследователей» и мешал им добраться до цели. 2️⃣️️️️ Понимание векторов атак. Исследователи пытались зайти через бизнес-логику и дочерние компании. «Отдельное юрлицо от тебя ничем не защищает», — напоминает Исламов. 3️⃣️️️️ Опыт защиты от атак с ИИ. Банк зафиксировал несколько атак, где люди работали в связке с ИИ. По прогнозу Исламова, через полгода-год «будут автономные системы для атак». Команда выпустила против ИИ-атакующего своего ИИ-защитника. «Это была, наверное, одна из первых битв, когда роботы боролись друг с другом», — вспоминает Игорь Кубышко, руководитель управления кибербезопасности. Он уверен, что безопасник будущего — «оркестратор агентов». Советы другим «Я все компании призываю выходить на багбаунти и на кибериспытания, просто делать это аккуратно», — говорит Гадарь. Он знает компании, которые прыгнули в багбаунти «на все бабки» и потом три-четыре месяца вместе с ИТ разбирали поток отчетов. А главное, по его мнению, — признать, что старые методы ИБ больше не работают. «Важно, чтобы каждый из нас принял новую реальность и попытался в ней жить», — уверен Гадарь. Теперь важнее, как компания устроена изнутри, как быстро реагирует и может ли ее бизнес рухнуть из-за кибератаки. Это и помогают проверить кибериспытания. @Positive_Technologies

Мы опубликовали все материалы с Positive Security Day Конференция, на которой мы рассказали, как ИИ меняет индустрию кибербеза и наш продуктовый портфель, а также поделились планами на ближайшее будущее, завершилась неделю назад. Плейлисты с записями дискуссий и всех выступлений вы можете найти в любом удобном вам месте: ⏺️ YouTube ⏺️ RUTUBE ⏺️ VK Видео ⏺️ Сайт В них мы: 1️⃣ Обсудили, как ИИ меняет саму суть работы кибербеза, почему его можно считать подрывной технологией и когда нам ждать технологического шторма. 2️⃣ Презентовали каскад ИИ-моделей в MaxPatrol O2, который способен самостоятельно закрыть 68% инцидентов без участия человека, тратя на каждый 15–20 секунд. 3️⃣ Представили коммерческую версию своей платформы больших данных PT Security Lakehouse. Она агрегирует данные из разных средств защиты, чтобы с ними могли работать аналитики, ИИ-агенты и разработчики. 4️⃣ Рассказали, что выходим в новый для нас B2C-сегмент. Рассматриваем несколько направлений: защиту корпоративных смартфонов, решения для банков, которые помогут обезопасить их клиентов, и отдельное приложение для частных пользователей. 5️⃣ Поделились тем, как научили PT Application Firewall защищать языковые модели и ИИ-агентов, выявляя попытки атак, манипулирования промптами и кражи конфиденциальной информации. 6️⃣ И наконец-то сообщили дату юбилейного киберфеста PHDays Fest, который пройдет с 20 по 22 мая 2027 года в «Лужниках». И это, конечно, далеко не все. Презентации спикеров уже на сайте, также готовы и фото с первого и второго дней нашей конференции. Смотрите, читайте и вспоминайте, как это было. #PSD2026 @Positive_Technologies

«У вас атака, возможно, APT» или что PT X успел за год Мы презентовали PT X на Positive Security Day в прошлом октябре. И за недолгое время он успел стать надежным защитником для множества компаний из самых разных отраслей: от промышленности и ритейла до ИТ и финансового сектора. Не будем рисовать «на фюзеляже», сколько кибератак успел отразить продукт, но постараемся рассказать о самых интересных из них, тех, которые обычно остаются в закрытых отчетах об инцидентах, на вебинаре 27 октября в 14:00.

Например, будет кейс про APT-группировку, планам которой наши эксперты успешно мешали раз за разом, и о проникновении в инфраструктуру через доверенного подрядчика.

В каждом из случаев покажем, как команда PT X и PT ESC успевала остановить злоумышленников до того, как они достигли цели, и какие инструменты и технологии в этом помогали. А еще разберем, кто и на каком этапе берет на себя выявление инцидентов и их валидацию и почему связка «автоматизация + человек» работает там, где по отдельности можно забуксовать. Ну и честно ответим на вопрос, который задают все: почему компании с защитой все равно могут оказаться уязвимыми. Все по делу: практика и ответы на вопросы, ничего лишнего. Если интересно, регистрируйтесь и присоединяйтесь к нам онлайн 🏃‍♂️ #PTX @Positive_Technologies

Критическая уязвимость в GitLab 🦊 Не успели отгреметь новости об уязвимостях в PHP, как в тот же день GitLab сообщил о критической уязвимости CVE-2026-110264 (PT-2026-120800) с максимальной оценкой CVSS — 10 баллов из 10. Разбираемся, чем она опасна, кто в зоне риска, и как от нее защищаться с помощью PT Application Firewall. Что за уязвимость 🤔 GitLab — платформа, на которой компании хранят исходный код своих программ, управляют разработкой и автоматизируют выпуск обновлений. Обнаруженная проблема связана с обработкой регулярных выражений — специальных шаблонов для поиска и обработки текста. При определенных условиях специально подготовленное выражение вызывает переполнение целого числа. В результате злоумышленник может выполнить произвольный код на сервере. Один из сценариев атаки предполагает использование вредоносного файла в формате Org-mode, который GitLab обрабатывает через веб-интерфейс. Самое опасное, что для этого не нужно входить в систему, знать пароль или даже иметь учетную запись. Уязвимость существовала 12 лет. Под угрозой все версии GitLab CE/EE, начиная с 7.0, выпущенной еще в 2014 году, если на них не установлены исправления. Речь о GitLab, который компании разворачивают на собственных серверах. Облачные GitLab и GitLab Dedicated уже защищены — их клиентам ничего делать не нужно.

Исследователь из Швеции, обнаруживший уязвимость, в одном из своих недавних постов написал: «ИИ делает доступными многие исследования, которые раньше большинству из нас были не по силам. <..> Попробуйте погуглить название своего любимого продукта вместе с аббревиатурой RCE. Велика вероятность, что в 2026 году в нем обнаружили похожие уязвимости». Запись была опубликована неделю назад, когда он сообщил о другой найденной уязвимости в GitLab.

Что это дает злоумышленнику 🥷 Взлом сервера GitLab может открыть доступ к исходному коду компании, закрытым репозиториям, токенам доступа, ключам и другим конфиденциальным данным. Многое зависит от того, как настроен сервер. Особенно опасно то, что GitLab встроен в процесс разработки и выпуска программ. Получив контроль над сервером, злоумышленник может попытаться вмешаться в сборку приложений и внедрить в них вредоносный код. Или использовать сервер для атак на остальную инфраструктуру компании. Кто в зоне риска 😱 В России это, например, банки, ИТ-компании, телеком-операторы, промышленные предприятия — в общем, все, кто самостоятельно разрабатывает ПО. Больше всего рискуют серверы, доступные из интернета. Только в России их тысячи, и сколько из них уязвимы, оценить сложно. Но и внутренний сервер защищен лишь до тех пор, пока злоумышленник не проник в сеть компании. По данным GitLab, атак пока не зафиксировано. Но в сети уже появился код, который выдают за эксплойт для этой уязвимости, так что ситуация может быстро измениться. Как защититься 🔥 Главное — как можно скорее установить исправления. Список безопасных версий есть в бюллетене GitLab. Пока обновление не установлено, снизить риски поможет PT Application Firewall. Мы подготовили дополнительные правила защиты. PT AF Cloud — правило распространяется среди пользователей сервиса и уже доступно для самостоятельного включения. PT Application Firewall PRO — правило и инструкции по его применению можно получить через техподдержку Positive Technologies. Обратите внимание, что правило может повлиять на просмотр документов в формате Org-mode, поскольку именно через такие файлы возможна атака. И помните, что WAF помогает снизить риски отдельных сценариев атаки, но не заменяет обновление самого GitLab. @Positive_Technologies

Секретный ключ оказался числом 4. Что случилось с сертификатами eMudhra 🔑 У индийского удостоверяющего центра eMudhra обнаружили слабые приватные ключи восьми промежуточных центров сертификации. Один из них был числом 4. Такие ключи должны быть большими случайными числами, которые практически невозможно подобрать. Здесь же исследователям удалось их восстановить и получить возможность выпускать поддельные сертификаты. Разбираемся в этой истории вместе с Павлом Васильевым, руководителем группы Android-экспертизы PT MAZE. Он объясняет, чем это опасно, и напоминает, что я же говорил предупреждал о подобных рисках еще в прошлом году. Как устроено доверие в интернете 🤝 Когда вы открываете сайт, браузер проверяет его сертификат — своего рода цифровое удостоверение личности. Но поверить документу на слово нельзя: нужно убедиться, что его выдал тот, кому можно доверять. Для этого существует цепочка доверия. Сертификат сайта подписан промежуточным удостоверяющим центром, а полномочия промежуточного центра подтверждает корневой. Доверенные корневые сертификаты заранее включены в хранилища браузеров и операционных систем. В случае eMudhra сам корневой ключ не был скомпрометирован. Ошибка произошла при генерации ключей промежуточных центров. Но и этого оказалось достаточно, чтобы возникла угроза подделки сертификатов сайтов. Что мог сделать злоумышленник 😎 Представьте, что кто-то научился выпускать убедительные поддельные удостоверения личности. Документ проходит все проверки, хотя пользуется им тот, кто хочет выдать себя за кого-то другого. С сертификатами похожая история. Атакующий мог попытаться выдать свой сервер за настоящий сайт. Если приложение принимало поддельный сертификат, а злоумышленник мог перехватить или перенаправить соединение, он получал возможность читать и подменять передаваемые данные — например, пароли или документы. Впрочем, один скомпрометированный ключ не позволяет автоматически расшифровать весь интернет-трафик. Для атаки нужны и доступ к соединению, и доверие приложения к поддельному сертификату. А что с российскими пользователями? 🧑‍💻 По имеющимся данным, оснований говорить о массовых последствиях нет. Chrome и Firefox оперативно заблокировали затронутые сертификаты, а eMudhra их отозвала. При этом страна, в которой работает сайт, и то, кто выдал ему настоящий сертификат, сами по себе не исключают подмену. Гораздо важнее, каким сертификатам доверяет программа пользователя. Поэтому остаточный риск сохраняется прежде всего для приложений и устройств, которые не получили нужные обновления или не учитывают отзыв сертификатов.

💡 Что мы рекомендуем: обновите браузеры, операционные системы и приложения. Заодно проверьте, есть ли обновления для роутеров и других подключенных устройств. Не игнорируйте предупреждения о проблемах с сертификатами и не отключайте их проверку ради доступа к сайту. Компаниям стоит отдельно проверить серверное ПО и корпоративные приложения. Ведь обновление браузера не защищает автоматически все остальные программы.

Об этих рисках предупреждали еще до инцидента ☹️ В прошлом году Павел рассказывал, к чему может привести компрометация ключей удостоверяющих центров. И о том, почему от их сохранности зависит безопасность интернет-соединений.

«Такие ситуации хорошо подчеркивают, насколько хрупкой может быть мировая инфраструктура доверия и с каким вниманием необходимо относиться к обеспечению безопасности ее ключевых частей», — отмечает Павел.

В истории с eMudhra механизмы блокировки помогли быстро ограничить угрозу. А сам случай напомнил, что надежность шифрования зависит не только от математики, но и от того, как создают и защищают ключи. Подробнее о том, как устроена эта система — смотрите в записи выступления. @Positive_Technologies

📡 Как перестать бояться аудита больших доменных инфраструктур Чем больше Active Directory, тем сложнее аудит: сканирование тянется часами, диски трещат по швам, а данные копятся быстрее, чем вы успеваете их анализировать. На вебинаре 22 октября в 14:00 расскажем, как мы переработали подход к сбору и хранению данных Active Directory, чтобы объем хранимой информации для крупных инфраструктур был до 20 раз меньше, а нагрузка на на железо при сканировании — ниже. Чем планируем поделиться: 🔴Почему старый подход «тянул» из инфраструктуры все соки и как мы это исправили. 🔴 Как обновления отразятся на MaxPatrol VM, MaxPatrol SIEM, MaxPatrol HCC и MaxPatrol Carbon. 🔴 Как подготовить свои PDQL-запросы и автоматизации к новой модели данных, чтобы ничего не сломалось. 🔴 Что такое новые стандарты контроля AD: проверки учеток пользователей и компьютеров, параметры доменной конфигурации, шаблоны сертификатов. Все то, что нужно для нормального харденинга. 🔴 Куда движется поддержка ALD Pro и других служб каталогов. Зовем аналитиков SOC, специалистов по управлению уязвимостями и админов Active Directory, а также команды, которые отвечают за харденинг и снижение рисков в домене. Регистрируйтесь и подключайтесь к нам онлайн. @Positive_Technologies

Мы представили коммерческую версию PT Security Lakehouse Теперь данные из разных средств защиты можно собрать на одной платформе, чтобы с ними одновременно могли работать аналитики SOC, разработчики и ИИ-модели. Это помогает ускорить расследование инцидентов и обнаруживать атаки, которые раньше могли остаться незамеченными на стыке разных систем защиты. А главное — теперь платформу можно развернуть в собственной инфраструктуре. В чем проблема 👨‍⚕️🧑‍⚕️👩‍⚕️ Представьте, что ваши системы кибербеза — врачи в поликлинике. Каждый отвечает за свою область и хранит информацию о пациентах у себя, почему-то не добавляя ее в общую электронную карту. Пациент приходит к кардиологу с болью в сердце, но тот не знает, что недавно у него была простуда, которая могла вызвать осложнения. Потому что терапевт об этом не рассказал. В кибербезопасности похожая история. Чтобы разобраться в инциденте, аналитику или ИИ-агенту нужна полная картина происходящего. Но данные разбросаны по разным системам, и каждая видит только свою часть событий. Из-за этого легко пропустить атаку на стыке нескольких средств защиты. Например, заметить, что программа на рабочей станции использует нехарактерный для нее сетевой протокол, можно, только если одновременно видеть и поведение на устройстве, и сетевую активность. Как эту проблему решает PT Security Lakehouse 💊 Возвращаясь к нашей поликлинике: платформа становится общей электронной регистратурой, в которой собрана максимально полная информация по всем больным. Теперь врачи видят общую картину и могут быстрее разобраться в причинах проблем — не только по отдельному пациенту, но и по всему району. Два года Security Lakehouse работает с нашими продуктами внутри Позитива. Сегодня платформа принимает до миллиона событий в секунду и более 50 млрд обезличенных записей в сутки. На ее данных уже работают PT AF Cloud и облачные детекты PT NAD. На ней же строится следующее поколение наших продуктов, включая MaxPatrol O2. А вот что важно в коммерческой версии: 1️⃣ Нет зависимости от одного вендора. У платформы открытая архитектура, а данные хранятся в S3-совместимом хранилище в открытых форматах. Поэтому для работы с ними можно использовать разные аналитические инструменты. 2️⃣ Справляется с большими нагрузками. Хранение данных и вычисления разделены, поэтому разные системы и пользователи не мешают друг другу. Security Lakehouse можно масштабировать по мере роста нагрузки, в том числе когда к данным одновременно обращается множество ИИ-агентов. 3️⃣ Можно развернуть в своей инфраструктуре. На собственных серверах, в частном, публичном или гибридном облаке. С продуктами Позитива платформа интегрируется из коробки, а сторонние средства защиты подключаются по открытым протоколам. Кому будет полезна 🚑 В первую очередь крупным компаниям с собственными SOC и провайдерам ИБ-услуг, которым нужно хранить и анализировать огромные объемы событий за длительный период. Первые пилоты уже идут в компаниях нефтегазовой отрасли, металлургии и банковского сектора. Если хотите ускорить расследования и видеть то, что раньше оставалось незамеченным, оставляйте заявку на пилотный проект на нашем сайте. Еще больше подробностей про PT Security Lakehouse — в выступлении с Positive Security Day. #PSD2026

Почти каждая компания пользуется «1С». Теперь PT Dephaze проверяет, можно ли его взломать 😱 Когда мы говорим «почти в каждой», мы не шутим. Решениями на базе «1С:Предприятия» пользуются больше 1,6 млн организаций, включая госучреждения, и свыше 11 000 крупных предприятий. Через «1С» проходит почти вся жизнь бизнеса: бухучет, закупки, контрагенты, финансы, поставки, персонал. Что будет, если «1С» взломают Злоумышленник, который получил доступ к «1С» снаружи или изнутри, заберет коммерческие документы, данные сотрудников и контрагентов, клиентские базы, финотчетность и внутреннюю переписку. Он сможет завести фиктивные платежки или подменить документы, а если захватит сервер — продвинуться дальше по инфраструктуре и нарушить рабочие процессы. Поэтому так важно заранее найти слабые места системы и позаботиться о ее защите при помощи системы автопентеста. И поэтому PT Dephaze теперь умеет проверять возможные способы компрометации «1С:Предприятия» Во время автопентеста система сама находит сетевой доступ к приложению, проверяет, можно ли без аутентификации достать оттуда список пользователей, ищет учетки с пустыми паролями и пробует авторизоваться при помощи данных, добытых на прошлых этапах автопентеста. Это дает возможность обнаружить и оперативно закрыть наиболее опасные проблемы в настройках конфигураций безопасности «1С». В будущем мы планируем углубить анализ систем вендора и развивать техники для оценки защищенности других критически важных для бизнеса приложений. Но мы завезли еще новых фичей в продукт И все — на основе вашей обратной связи: теперь доступен дополнительный контекст в цепочках атак (IP-адреса и учетные данные на разных этапах), более конкретные рекомендации, расширение области тестирования прямо во время пентеста и подсвечивание слабых мест парольной политики. Если вы уже используете PT Dephaze, можно прямо сейчас проверить, в безопасности ли ваши данные, а если нет, вы знаете, куда идти 😉 #PTDephaze @Positive_Technologies

Скоро 👀 @Positive_Technologies