ИБ Книга | Библиотека ИБ

🔸 Как наклейка с QR-кодом уводит деньги | Мошенники клеят свой код поверх настоящего | И опасен не сам код, а сайт, который он открывает Квишинг – это мошенничество, когда вместо настоящего QR-кода на счёте в кафе, афише или прокатном самокате оказывается наклеенный сверху чужой, ведущий на поддельную страницу оплаты

Сам по себе QR-код ничего не крадёт и телефон не взламывает – ловушкой становится сайт, который открывается после сканирования, где вы своими руками вводите данные карты

— В данной статье мы рассмотрим, как выглядит подмена кода, почему её почти невозможно заметить глазом, какие схемы встречаются чаще всего и что делать, чтобы не потерять деньги ℹ️ Дополнительный материал: 1. Статья на SecurityLab 📂 ИБ Книга // max.ru/itbook_library

🤒 7 признаков, по которым видно фишинг | И почему на это попадаются даже осторожные люди Каждый из нас хоть раз получал странное письмо якобы от банка, соцсети или госслужбы с просьбой срочно перейти по ссылке, ввести данные или открыть вложение, это фишинг – старый как мир, но все еще до обидного эффективный метод мошенничества

Мошеннику не нужно ломать вашу почту – достаточно, чтобы вы на секунду поверили и нажали, пока думаете, что решаете срочную проблему

— В данной статье мы рассмотрим 7 простых признаков подделки: чужой или странный адрес отправителя, обращение без имени, давление и угрозы «счёт заблокируют», ссылки, которые ведут не туда, неожиданные вложения, просьбу прислать пароль или код и мелкие ошибки в тексте ℹ️ Дополнительный материал: 1. Статья на Habr 📂 ИБ Книга // max.ru/itbook_library

🤒 Обезвреживает документ, разбирая его до пикселей Dangerzone — свободная программа, которая берёт подозрительное вложение и возвращает его безопасную копию, в отличие от антивируса не пытаясь угадать угрозу, а просто уничтожая всё лишнее.

Для тех, кому регулярно прилетают файлы от незнакомцев и кто не хочет открывать их вслепую.

— Документ раскрывается внутри изолированной песочницы без доступа в интернет, там его разбирают до сырых пикселей, буквально до цветных точек каждой страницы, и уже из них собирают чистый PDF.

Любой встроенный скрипт, макрос или эксплойт просто не переживает превращение в картинку, а текст при желании возвращает распознавание OCR.

ℹ️ Дополнительный материал: 1. Репозиторий на GitHub 📂 ИБ Книга // max.ru/itbook_library

📝 Почему «сложный» пароль падает первым | Summer2026! предсказуем, а значит уязвим Подбор пароля – это не тупой перебор всех комбинаций подряд, а умная угадайка по человеческим шаблонам, из-за которой заглавная буква плюс год плюс восклицательный знак оказываются в начале очереди на взлом, а не в конце

Если хеш украли офлайн, вас уже не спасают ни лимит попыток, ни капча, ни двухфакторка: пароль подбирают на чужом железе, и вы об этом даже не узнаете

— В данной статье мы рассмотрим, чем хеширование отличается от шифрования, зачем паролю нужны соль и намеренно «дорогие» вычисления, почему мощная видеокарта не всегда ускоряет подбор и что такое атака Pass-the-Hash, когда украденный хеш срабатывает вместо самого пароля ℹ️ Дополнительный материал: 1. Статья на SecurityLab 📂 ИБ Книга // max.ru/itbook_library

📱 Голос начальника в трубке больше не доказательство что это он | Дипфейки в реальном времени | Как мошенники клонируют личность Если ещё несколько лет назад подделать голос требовало профессиональной студии и мощных видеокарт, то в 2026 году клонирование голоса в реальном времени – это базовый элемент теневой фрод-инфраструктуры, доступный за несколько минут записи и несколько долларов

Голос и лицо больше не являются неоспоримым доказательством личности, звонок от «директора» с требованием срочно перевести деньги, видеокружок в Telegram от «коллеги» или лицо в Zoom могут быть сгенерированы прямо во время разговора

— В данной статье мы рассмотрим как технически работает подмена голоса в реальном времени, почему в 2025 году в мире циркулировало 8 миллионов синтетических медиафайлов с темпами роста 900% в год, как распознать дипфейк в разговоре и почему придётся придумать «кодовое слово» с близкими ℹ️ Дополнительный материал: 1. Статья на SecurityMedia 📂 ИБ Книга // max.ru/itbook_library

💰 Ваш ИИ-ассистент знает все ваши пароли | Shadow AI в разработке | Когда помощник становится угрозой Shadow AI – это любые ИИ-инструменты, которые разработчики подключили к рабочим системам без согласования с безопасностью: и если ваш коллега подключил ИИ-плагин к корпоративному Git с доступом ко всем репозиториям, это нечеловеческий аккаунт с привилегиями, которые никто не контролирует и не может быстро отозвать

Риск не в том, что ИИ злонамеренный, а в том, что он может быть скомпрометирован через промпт-инъекцию, украденный токен или небезопасный плагин, и тогда он сделает всё что сможет с теми правами которые вы ему дали

— В данной статье мы рассмотрим как ИИ-агент путешествует от ноутбука разработчика через CI/CD до Kubernetes-кластера в проде, на каждом этапе накапливая доступ к секретам и системам, почему классические защиты его не видят и с чего начать чтобы взять Shadow AI под контроль ℹ️ Дополнительный материал: 1. Статья на Habr 📂 ИБ Книга // max.ru/itbook_library

🎩 Справочник сложности удаления аккаунта | Oт «легко» до «невозможно» JustDeleteMe – открытый каталог прямых ссылок на страницы удаления аккаунтов из сотен сервисов, где каждый сервис честно помечен

Некоторые компании буквально высмеивают попытку удалиться: один сервис написал в FAQ «Can I delete my account cause I totally h8 you guise??!!!111» – категория Impossible, само собой

— Инструмент помогает убрать цифровой след при уходе из сервиса, не потратив час на поиск нужной страницы, расширение Chrome показывает значок в адресной строке каждый раз когда вы заходите на сайт из каталога ℹ️ Дополнительный материал: 1. Репозиторий на GitHub 📂 ИБ Книга // max.ru/itbook_library

📨 Ваши 2FA-коды зашифрованы в отличие от Google Authenticator Aegis — открытый 2FA-аутентификатор для Android, который хранит все одноразовые коды в зашифрованном хранилище с AES-256, а не в открытом виде как это делает Google Authenticator

Многие пользователи переходят на Aegis после того как теряют доступ к аккаунтам при замене телефона, потому что только здесь есть шифрованные резервные копии, которые можно восстановить на новом устройстве за одну минуту

— Умеет разблокировку по биометрии, автоматические зашифрованные бэкапы на диск или в облако, импорт из Google Authenticator, Authy, andOTP и Microsoft Authenticator и работает полностью офлайн ℹ️ Дополнительный материал: 1. Репозиторий на GitHub 📂 ИБ Книга // max.ru/itbook_library

👨‍🔬 Пора собирать боевого автономного AI-агента, который сам сканирует, анализирует и эксплуатирует таргет В этот четверг вместе со Standoff Hackbase стартует недельный практический челлендж по AI-пентесту. Собираем агента, выпускаем его на реальный полигон и лутаем призы. Как всё устроено: 10 сентября, 19:30 МСК | Этап 1. Сборка агента в лайве Багхантер Kekis прямо на стриме поднимет AI-агента для поиска уязвимостей и разберёт внутренности:

1. Где AI реально бустит пентест и CTF, а где безбожно галлюцинирует; 2. Архитектура агента: системные промпты, тулзы, скоуп и границы доступа; 3. Как правильно скармливать таски и контекст; 4. Знакомство с полигоном Hackbase.

10–17 сентября | Этап 2. Недельный баттл на полигоне

Неделя чистого фана и практики. Твоя задача – допиливать и тюнить агента, чтобы он автономно выбивал флаги. Флаги меняются динамически, так что считерить одной фразой не выйдет: придётся проектировать логику, давать нужные инструменты и отслеживать ошибки.

17 сентября | Этап 3. Финал, разбор полётов и призы Финальный стрим, где ведущий прогонит своего агента по полигону и разберёт:

1. Топовые стратегии участников; 2. Типичные затыки и факапы агентов; 3. Тройка лучших на лидерборде заберёт ценные призы

Спикер Kekis – багхантер, исследователь безопасности Web/Mobile, обладатель профильных сертификатов WAPT, CPTS и CRTP. ℹ️ Дополнительный материал: 1. Регистрация на CyberEd 📂 ИБ Книга // max.ru/itbook_library

♥️ Telegram не шифрует ваши переписки | Что реально защищает, а что нет | Сравнение Telegram, WhatsApp, Signal и МАКС Сквозное шифрование в мессенджере означает что только вы и получатель видите сообщение, но большинство пользователей не знает, что в Telegram оно работает только в секретных чатах, а все обычные переписки хранятся на серверах компании в открытом для неё виде

В России Telegram работает с ограничениями: с августа 2025 года заблокированы голосовые и видеозвонки, с января 2026 года замедлена загрузка медиа, удобство есть – конфиденциальности в обычных чатах нет

— В данной статье мы рассмотрим чем технически отличается шифрование в Telegram, WhatsApp, Signal и МАКС, почему «зарегистрированный в другой стране» не равно «безопасный», что такое ОРИ и почему это важно для российских пользователей, и когда реально нужен Signal а когда хватит Telegram ℹ️ Дополнительный материал: 1. Статья на Anti-Malware 📂 ИБ Книга // max.ru/itbook_library

🔴В 2025 году Россияне заработали 5,3 млрд рублей на арбитраже криптовалют По данным Минфин 32% граждан покинули своё место работы, поскольку в среднем уже в первый месяц тут можно зарабатывать от 140 000 рублей, а через 2-3 месяца с легкостью выйти на семизначные числа. Самое смешное, что лишь 8% россиян что-то слышали об этой профессии, хотя все инструкции бесплатно лежат на канале Арбитраж Криптовалют Там объясняют, как имея телефон и доступ в интернет, заработать свои первые $2000. Причём разжёвывают так доступно, что поймёт даже ребенок. Кстати, на канале сегодня вышла новая рабочая связка! Быстрее вступайте, пока это бесплатно — https://t.me/+v5Ww3qmkm34yZDJi

🎯 Три способа зашифровать данные в Linux без VeraCrypt и другого GUI Иногда возникает необходимость защитить не весь диск, а лишь отдельные файлы или папки – например, конфиденциальные документы, резервные копии или личные данные, которые могут передаваться или храниться отдельно

В таких случаях вместо полного шифрования системы удобнее использовать зашифрованные контейнеры, которые можно быстро создать, смонтировать или распаковать по необходимости

— В данной статье мы рассмотрим три способа создания защищённых контейнеров в Linux: с помощью LUKS для прозрачного блочного устройства, через GPG с симметричным шифрованием для архивов и через OpenSSL как минималистичное решение ℹ️ Дополнительный материал: 1. Статья на Codeby 📂 ИБ Книга // max.ru/itbook_library

🤒 Защита биткоина от несуществующих квантовых компьютеров В последнее время вокруг квантовых компьютеров и их потенциальной угрозы биткоину создаётся немало шума, однако реальное положение дел далеко от панических сценариев

Хотя современные квантовые процессоры ещё не достигли необходимой мощности для взлома криптографии, сообщество уже подготовило чёткие технические решения на случай, если такая угроза станет реальностью

— В данной статье мы рассмотрим реальное состояние квантовых компьютеров, оценки их угрозы для биткоин, предлагаемые протоколы защиты, уязвимость старых кошельков и итоговый вывод о том, что сети ничего не угрожает ℹ️ Дополнительный материал: 1. Статья на Habr 📂 ИБ Книга // max.ru/itbook_library

⚔️ Шпаргалка EFF | Cначала от кого, потом как Surveillance Self-Defense – бесплатная открытая библиотека гайдов по защите конфиденциальности, которая в отличие от обычных «топ-10 советов» начинает с вопроса «от кого вы защищаетесь» и только потом даёт конкретные инструкции

Не «всем нужен VPN», а разные наборы мер для журналиста, активиста, обычного пользователя и путешествующего, потому что угрозы у каждого свои

— Покрывает основы шифрования, управление паролями, безопасность телефона, удаление своего цифрового следа, правила при пересечении границ и безопасность на протестах, всё с пошаговыми инструкциями и ссылками на конкретные инструменты ℹ️ Дополнительный материал: 1. Шпаргалка на SsdEff 📂 ИБ Книга // max.ru/itbook_library

🔎 Никто не узнает ваш настоящий адрес, если вы его не давали SimpleLogin – открытый сервис почтовых алиасов, который генерирует отдельный адрес для каждого сайта: письма приходят на настоящую почту, но сайт видит только псевдоним, который можно удалить одним кликом

Когда начинается спам – сразу видно кто продал адрес: алиас для интернет-магазина, алиас для форума, алиас для сервиса, каждый со своей историей и своим рубильником

— Работает как расширение браузера и мобильное приложение, поддерживает ответы через алиас, PGP-шифрование писем, интегрируется с Proton Mail и разворачивается на своём сервере ℹ️ Дополнительный материал: 1. Репозиторий на GitHub 📂 ИБ Книга // max.ru/itbook_library

🎩 Устройство, которое видит весь ваш трафик | Роутер стоит за шкафом три года без обновлений Домашний роутер – единственное устройство в квартире, которое круглосуточно смотрит в сторону интернета и пропускает через себя весь трафик: звонки, банковские операции, переписку, и если его взломают, то всё это увидит кто-то ещё

Домашняя сеть в 2026 году – это уже не один ноутбук и телефон, а телевизор, консоль, камеры, умные лампы, принтер и датчики: почти все они никогда не обновляются сами и остаются уязвимыми годами

— В данной статье мы рассмотрим что именно хакеры делают с захваченным домашним роутером, почему пароль на Wi-Fi не равно безопасный роутер, как проверить есть ли для вашей модели обновления прошивки и какие три настройки стоит поменять прямо сейчас ℹ️ Дополнительный материал: 1. Статья на SecurityLab 📂 ИБ Книга // max.ru/itbook_library

🤒 Вы ввели код из SMS и двухфакторка сработала | Только сессия теперь у хакера AiTM-фишинг – атака, при которой хакер встаёт прозрачным посредником между вами и настоящим сайтом банка: вы вводите логин, пароль и одноразовый код, всё это в реальном времени передаётся на настоящий сервер, сервер отвечает «добро пожаловать», а хакер в ту же секунду забирает вашу активную сессию и заходит под вашим именем, двухфакторка при этом сработала корректно

Второй фактор проверяет что вы живой человек и знаете секрет, но не проверяет кто получит доступ к сессии после того как вы вошли

— В данной статье мы рассмотрим чем AiTM отличается от обычного фишинга, как работает атака через усталость от push-уведомлений когда хакер давит кнопку «войти» сотни раз пока вы не нажмёте «одобрить» случайно, и почему только FIDO2 и passkey реально защищают ℹ️ Дополнительный материал: 1. Статья на Anti-Malware 📂 ИБ Книга // max.ru/itbook_library

🤒 Даркнет не логово преступников | Там 85% людей смотрят обычные сайты | И ваши данные там уже есть Даркнет — это не отдельный «преступный интернет», а просто набор технологий для анонимной коммуникации вроде Tor, I2P и Freenet, и по состоянию на 2026 год из 2,5 миллиона ежедневных пользователей Tor 85% заходят через него на обычные сайты ради приватности

Неочевидность в том, что ваши данные там, скорее всего, уже есть, не потому что вы туда заходили, а потому что компании, которым вы доверяли свои почту, пароль или номер карты, допустили утечку, и база оказалась на торговой площадке

— В данной статье мы рассмотрим чем .onion отличается от обычного интернета, почему полная анонимность, это миф даже в Tor, как правоохранители находят преступников на даркнет-площадках и как проверить не появились ли ваши данные в открытой продаже ℹ️ Дополнительный материал: 1. Статья на Viddaleno 📂 ИБ Книга // max.ru/itbook_library

✔️ 300+ конкретных действий вместо советов «установи антивирус» Personal Security Checklist – открытая шпаргалка из более чем 300 конкретных действий по защите цифровой жизни, сгруппированных по темам от паролей до смарт-дома, с веб-интерфейсом на digital-defense io, где отмечаешь выполненные пункты и видишь свой процент защищённости

Отличие от расплывчатых советов, не «используй сложные пароли», а «включи Have I Been Pwned для своего домена» и «настрой passkey для каждого сервиса который его поддерживает»

— Покрывает аутентификацию, браузер, email, мессенджеры, соцсети, мобильный, компьютер, умный дом, финансы и физическую безопасность, всё с градацией важности и отметкой что можно сделать прямо сейчас ℹ️ Дополнительный материал: 1. Репозиторий на GitHub 📂 ИБ Книга // max.ru/itbook_library

🤒 Шифрует ваши файлы до того, как Dropbox их увидит Cryptomator – открытый инструмент, который создаёт зашифрованный сейф прямо внутри папки Dropbox, Google Drive или OneDrive: файлы шифруются на вашем устройстве, и в облако уходит только нечитаемый шифротекст

Даже если облачный сервис взломают или раскроет данные по решению суда, у него не будет ваших файлов, только бессмысленный набор байтов без ключа

Создаёшь сейф, выбираешь пароль, и дальше работаешь как обычно: обычные файлы в обычных папках – Cryptomator расшифровывает на лету через виртуальный диск, а обратно в облако уходит только AES-256 шифротекст ℹ️ Дополнительный материал: 1. Репозиторий на GitHub 📂 ИБ Книга // max.ru/itbook_library