T.Hunter
Відкрити в Telegram
Tom Hunter news | tomhunter.ru 📔 https://dzen.ru/tomhunter 🤳 https://vk.com/tomhunter 📱 +7 (812) 677-17-05 📧 contact@tomhunter.ru Хэштеги: #news #cve #article Номер заявления: 6780098298
Показати більше📈 Аналітичний огляд Telegram-каналу T.Hunter
Канал T.Hunter (@tomhunter) у мовному сегменті Російська є активним учасником. На даний момент спільнота об'єднує 14 187 підписників, посідаючи 14 706 місце в категорії Новини і ЗМІ та 45 807 місце у регіоні Росія.
📊 Показники аудиторії та динаміка
З моменту свого створення невідомо, проект продемонстрував стрімке зростання, зібравши аудиторію у 14 187 підписників.
За останніми даними від 22 жовтня, 2026, канал демонструє стабільну активність. Хоча за останні 30 днів спостерігається зміна кількості учасників на -45, а за останні 24 години на 4, загальне охоплення залишається високим.
- Статус верифікації: Не верифікований
- Рівень залученості (ER): Середній показник залученості аудиторії становить 13.74%. Протягом перших 24 годин після публікації контент зазвичай збирає 5.89% реакцій від загальної кількості підписників.
- Охоплення публікацій: В середньому кожен допис отримує 1 950 переглядів. Протягом першої доби публікація в середньому набирає 836 переглядів.
- Реакції та взаємодія: Аудиторія активно підтримує контент: середня кількість реакцій на один пост – 8.
- Тематичні інтереси: Контент зосереджений навколо ключових тем, таких як юзер, взлом, патч, расширение, clickfix.
📝 Опис та контентна політика
Автор описує ресурс як майданчик для висловлення суб'єктивної думки:
“Tom Hunter news | tomhunter.ru
📔 https://dzen.ru/tomhunter
🤳 https://vk.com/tomhunter
📱 +7 (812) 677-17-05
📧 contact@tomhunter.ru
Хэштеги: #news #cve #article
Номер заявления: 6780098298”
Завдяки високій частоті оновлень (останні дані отримано 23 жовтня, 2026), канал підтримує актуальність та високий рівень охоплення публікацій. Аналітика показує, що аудиторія активно взаємодіє з контентом, що робить його важливою точкою впливу в категорії Новини і ЗМІ.
14 187
Підписники
+424 години
+77 днів
-4530 днів
Завантажуємо дані
Схожі канали
Хмара тегів
Вхідні та вихідні згадування
---
---
---
---
---
---
Залучення підписників
жовтень '26жовт '26
жовтень '26
+50
в 1 каналах
вересень '26
+63
в 1 каналах
Get PRO
серпень '26
+86
в 2 каналах
Get PRO
липень '26
+42
в 2 каналах
Get PRO
червень '26
+40
в 2 каналах
Get PRO
травень '26
+96
в 6 каналах
Get PRO
квітень '26
+108
в 7 каналах
Get PRO
березень '26
+109
в 5 каналах
Get PRO
лютий '26
+143
в 7 каналах
Get PRO
січень '26
+188
в 6 каналах
Get PRO
грудень '25
+131
в 7 каналах
Get PRO
листопад '25
+177
в 9 каналах
Get PRO
жовтень '25
+137
в 14 каналах
Get PRO
вересень '25
+135
в 6 каналах
Get PRO
серпень '25
+134
в 11 каналах
Get PRO
липень '25
+211
в 12 каналах
Get PRO
червень '25
+170
в 8 каналах
Get PRO
травень '25
+136
в 12 каналах
Get PRO
квітень '25
+174
в 12 каналах
Get PRO
березень '25
+149
в 20 каналах
Get PRO
лютий '25
+165
в 6 каналах
Get PRO
січень '25
+155
в 12 каналах
Get PRO
грудень '24
+236
в 8 каналах
Get PRO
листопад '24
+296
в 8 каналах
Get PRO
жовтень '24
+334
в 10 каналах
Get PRO
вересень '24
+271
в 12 каналах
Get PRO
серпень '24
+363
в 19 каналах
Get PRO
липень '24
+185
в 11 каналах
Get PRO
червень '24
+236
в 14 каналах
Get PRO
травень '24
+294
в 16 каналах
Get PRO
квітень '24
+276
в 19 каналах
Get PRO
березень '24
+414
в 37 каналах
Get PRO
лютий '24
+479
в 20 каналах
Get PRO
січень '24
+505
в 22 каналах
Get PRO
грудень '23
+341
в 19 каналах
Get PRO
листопад '23
+210
в 10 каналах
Get PRO
жовтень '23
+324
в 13 каналах
Get PRO
вересень '23
+360
в 0 каналах
Get PRO
серпень '23
+355
в 0 каналах
Get PRO
липень '23
+388
в 0 каналах
Get PRO
червень '23
+275
в 0 каналах
Get PRO
травень '23
+336
в 0 каналах
Get PRO
квітень '23
+219
в 0 каналах
Get PRO
березень '23
+282
в 0 каналах
Get PRO
лютий '23
+136
в 0 каналах
Get PRO
січень '23
+400
в 0 каналах
Get PRO
грудень '22
+265
в 0 каналах
Get PRO
листопад '22
+217
в 0 каналах
Get PRO
жовтень '22
+475
в 0 каналах
Get PRO
вересень '22
+579
в 0 каналах
Get PRO
серпень '22
+384
в 0 каналах
Get PRO
липень '22
+466
в 0 каналах
Get PRO
червень '22
+324
в 0 каналах
Get PRO
травень '22
+512
в 0 каналах
Get PRO
квітень '22
+853
в 0 каналах
Get PRO
березень '22
+1 266
в 0 каналах
Get PRO
лютий '22
+448
в 0 каналах
Get PRO
січень '22
+758
в 0 каналах
Get PRO
грудень '21
+702
в 0 каналах
Get PRO
листопад '21
+1 750
в 0 каналах
Get PRO
жовтень '21
+1 672
в 0 каналах
Get PRO
вересень '21
+758
в 0 каналах
Get PRO
серпень '21
+124
в 0 каналах
Get PRO
липень '21
+97
в 0 каналах
Get PRO
червень '21
+59
в 0 каналах
Get PRO
травень '21
+92
в 0 каналах
Get PRO
квітень '21
+8
в 0 каналах
Get PRO
березень '21
+22
в 0 каналах
Get PRO
лютий '21
+109
в 0 каналах
Get PRO
січень '21
+493
в 0 каналах
| Дата | Залучення підписників | Згадування | Канали | |
| 23 жовтня | +1 | |||
| 22 жовтня | +5 | |||
| 21 жовтня | +3 | |||
| 20 жовтня | +7 | |||
| 19 жовтня | +7 | |||
| 18 жовтня | +3 | |||
| 17 жовтня | +1 | |||
| 16 жовтня | +2 | |||
| 15 жовтня | +3 | |||
| 14 жовтня | +1 | |||
| 13 жовтня | 0 | |||
| 12 жовтня | +1 | |||
| 11 жовтня | +2 | |||
| 10 жовтня | +6 | |||
| 09 жовтня | 0 | |||
| 08 жовтня | 0 | |||
| 07 жовтня | 0 | |||
| 06 жовтня | +1 | |||
| 05 жовтня | +1 | |||
| 04 жовтня | +1 | |||
| 03 жовтня | 0 | |||
| 02 жовтня | +4 | |||
| 01 жовтня | +1 |
Дописи каналу
❓Что логировать, чтобы расследование состоялось
Инцидент случился, аналитик открывает логи, а там пусто или одни входы на firewall. Понять, как злоумышленник прошел по сети, нечем. Чаще дело не в злоумышленнике, а в том, что нужные события не писались
Минимум, без которого расследование не строится:
🔹 Запуск процессов. Что, кем и с какими аргументами (Windows Event 4688 или Sysmon). По нему видно цепочку
🔹 PowerShell. Script Block Logging (4104). Любимый инструмент атакующего, без логов невидим
🔹 Входы и аутентификация (4624 / 4625). Видно подбор паролей и вход с чужой учетки
🔹 DNS-запросы. Часто единственный след связи с управляющим сервером
Три вещи, без которых логи бесполезны:
🔸 Единое время. Без синхронизации (NTP) события не сложить в линию
🔸 Срок хранения. Атакующего замечают через месяцы, а логи за неделю затерты
🔸 Централизация. Логи на взломанной машине сотрет сам атакующий
@tomhunter
Наш канал в MAX
| 2 |  🎯 Threat hunting по MITRE ATT&CK: с чего начать
Threat hunting это проактивный поиск злоумышленника, который уже внутри, но тревогу не поднял. Не ждем алерт, а сами проверяем гипотезы. MITRE ATT&CK здесь каркас: база знаний о тактиках и техниках реальных атак
С чего начать:
1. Проверьте, что видите. Поиск без данных невозможен. Сопоставьте техники ATT&CK с тем, что реально пишется в логи (процессы, PowerShell, сеть, DNS)
2. Не хватайтесь за всю матрицу. Возьмите актуальное: с чего чаще начинают атаки на вашу отрасль, что видно в отчетах и в БДУ ФСТЭК
3. Начните с частого. Техники почти из каждой атаки: T1059 (запуск команд и скриптов), T1003 (кража учетных данных), T1053 (планировщик задач)
4. Гипотеза → запрос → вывод. «Если закрепляются через автозагрузку, увижу в логах так-то». Нашли, не нашли, увидели слепую зону, в любом случае результат
Это не про инструмент, а про вопрос, который вы задаете своим данным
@tomhunter
Наш канал в MAX | 1 372 |
| 3 |  🔐 Фишинг-устойчивая аутентификация
Многофакторная аутентификация давно обязательна. Но защищает не сам второй фактор, а то, какой он и как настроен. Коды из SMS и push-уведомления «подтвердите вход» закрывают простые атаки, но в некоторых случаях не спасают
Где это не усиливает защиту:
🔹 Код из SMS пользователь вводит сам. На поддельной странице его перехватывает прокси и подставляет на настоящий сайт
🔹 Push с одной кнопкой «Подтвердить». Человека заваливают запросами или шлют их в момент фишинга, и он жмет «да» на автомате
Как лучше:
🔹 Push с вводом числа с экрана входа (number matching) вместо простой кнопки. Убирает случайные подтверждения, но от перехвата через прокси не спасает, так что это мера переходная
Что реально устойчиво к фишингу:
✅ FIDO2 / passkey и аппаратные ключи (например, YubiKey). Подпись привязана к адресу сайта и на поддельном домене не сработает
SMS лучше, чем ничего. Но для админов, VPN и критичных систем ставьте надежный фактор
@tomhunter
Наш канал в MAX | 1 479 |
| 4 |  💾 Бэкап, который переживет шифровальщик
Перед шифрованием данных злоумышленники ищут и удаляют резервные копии, чтобы не оставить вам выбора. Копия «в соседней папке» под той же учеткой это не страховка, а еще одна жертва
Правило 3-2-1-1-0:
🔹 3 копии данных
🔹 на 2 разных носителях
🔹 1 копия вне площадки (offsite)
🔹 1 копия офлайн или неизменяемая (air-gap / immutable)
🔹 0 ошибок при тесте восстановления
Ключевые две последние цифры.
⚠️ Immutable / air-gap. Копию нельзя перезаписать или удалить даже с правами админа
⚠️ Тест восстановления. Бэкап, который ни разу не разворачивали, это только ощущение безопасности, которой в действительности нет. Проверяйте: что реально поднимется и за сколько
И держите копию отдельно от домена: свои учетки и аутентификация
Выкуп не гарантирует ключ, а вот рабочий офлайн-бэкап гарантирует данные
@tomhunter
Наш канал в MAX | 1 801 |
| 5 |  🏢 Свой SOC или аутсорс (MSSP): когда что
SOC нужен всем, но строить с нуля — не всегда оправдано. Вопрос не «что лучше», а «что под вашу зрелость и бюджет»
🔻 Свой SOC оправдан, когда:
— есть ограничения на вынос данных вовне (гостайна, отдельные контуры, спецтребования)
— инфраструктура большая и специфичная, внешней команде ее долго изучать
— есть люди и бюджет на круглосуточные смены (это 12+ человек: L1/L2, инженеры, специалисты реагирования)
🔻 Аутсорс (MSSP) оправдан, когда:
— мониторинг 24/7 нужен «уже завтра», а не через год найма
— нет своих редких экспертов (threat hunting, форензика) и дорого держать их в штате
— важна предсказуемая цена вместо капзатрат на SIEM и зарплаты
⚠️ Подводные камни:
— SLA: кто изолирует хост в 3 ночи, вы или подрядчик?
— ответственность за инцидент все равно на вас (152-ФЗ не снимается с оператора)
Как вариант — гибрид: мониторинг отдаем MSSP, реагирование и контекст держим у себя
SOC — это процесс, а не лицензия на SIEM :)
@tomhunter
Наш канал в MAX | 1 786 |
| 6 |  🎯 Пентест и аудит: в чем разница
Их часто путают и заказывают не то. На деле это два разных взгляда на безопасность, которые хорошо дополняют друг друга
🔻 Аудит отвечает на вопрос «все ли настроено правильно». Это проверка на соответствие требованиям и лучшим практикам: конфигурации, политики, права доступа, процессы, документы. Смотрит вширь и охватывает всю систему, но не доказывает, что защиту реально можно пробить
🔻 Пентест отвечает на вопрос «а взломают ли нас». Эксперты действуют как атакующие: ищут и используют уязвимости, выстраивают цепочку до реальной цели (домен, данные, деньги). Смотрит вглубь, глазами атакующего, и показывает не список замечаний, а подтвержденный путь атаки
Если коротко: аудит проверяет, выполнены ли правила, пентест проверяет, спасают ли эти правила на практике. Чистый аудит не гарантирует защиты, а один пентест не заменяет системную проверку
@tomhunter
Наш канал в MAX | 1 933 |
| 7 |  🧩 Ландшафт уязвимостей: ИИ меняет правила (Securelist)
Главный сдвиг: ИИ массово находит уязвимости и сам становится их источником. Число CVE, включая критические, растет
Что происходит:
🔻 ИИ помогает находить целые классы уязвимостей, незаметных десятилетиями. Пример: волна повышения привилегий в ядре Linux (Dirty Frag и смежные), опасная для облаков и контейнеров
🔻 Сами ИИ-инструменты несут риски: функциональность развивают быстрее безопасности. У одного OpenClaw свыше 200 CVE за II квартал; типовое это контроль доступа, аутентификация и инъекции
🔻 Эксплойты всё чаще публикуют до патчей, а часть исследований по Exchange и SharePoint оказалась ИИ-фейками, чтобы усложнить обнаружение
🔻 APT начали использовать и сами ИИ-технологии (например, Langflow)
🔻 Классика всё ещё лидирует в детектах: давние уязвимости Office (Equation Editor) и WinRAR
Что делать: патчить по приоритету, а в системах с ИИ-агентами и LLM следить за доступом и беречь учетные данные
@tomhunter
Наш канал в MAX | 2 017 |
| 8 |  🐳 Безопасность Kubernetes и контейнеров
Kubernetes не безопасен по умолчанию: дефолт настроен на гибкость, а не на защиту. По данным Red Hat (2026), 97% организаций за год получили хотя бы один инцидент в облачно-нативной среде, а их главная причина это мисконфигурации, а не 0-day
Где ломают:
🔻 API-сервер, kubelet или дашборд торчат наружу без аутентификации, это прямой вход в кластер
🔻 Переразрешенный RBAC и сервис-аккаунты: из одного контейнера поднимаются до админа всего кластера
🔻 Привилегированные и root-контейнеры, hostPath: побег из контейнера на узел
🔻 Устаревшие образы: по данным Sysdig, 87% образов в проде содержат критичные или высокоопасные уязвимости
Что делать:
1. Исключить control plane из интернета, включить authn/authz, закрыть kubelet и дашборд
2. Минимальные права RBAC, Pod Security Standards, non-root и запрет hostPath
3. Сканировать образы в CI, патчить базовые, сегментировать сеть и хранить секреты в менеджере, а не в env
@tomhunter
Наш канал в MAX | 2 008 |
| 9 |  🤖 Бот-атаки выросли почти на 50%
По данным «Информзащиты», за первое полугодие 2026 число атак с использованием ботов выросло на 46% год к году, а признаки бот-активности фиксируются на 9 из 10 сайтов. В сезон распродаж интенсивность подскакивает ещё сильнее, до 128%.
Что изменилось:
🔻 Боты поумнели: применяют машинное обучение, генеративный ИИ и браузерную автоматизацию, имитируют живых пользователей и обходят простые правила
🔻 Цель сместилась с технических уязвимостей на легитимную бизнес-логику: автоматизированные атаки на личные кабинеты и платежи
🔻 Побочный эффект: растет нагрузка на серверы, базы данных и платежные системы
Что делать:
1. Статические правила и блок по IP уже не спасают, нужна поведенческая аналитика и оценка риска в реальном времени
2. Защищать не только периметр, но и бизнес-сценарии: вход, регистрацию, оплату
3. Регулярно проверять, как бот может использовать нормальную логику приложения против вас
@tomhunter
Наш канал в MAX | 1 983 |
| 10 |  🏛 Категорирование КИИ: процесс и где ошибаются
Категорирование это обязанность каждого субъекта КИИ по 187-ФЗ, порядок задаёт ПП №127. С 16.11.2025 его привязали к перечням типовых отраслевых объектов КИИ: субъект сверяет свои ИС и АСУ с перечнями и присваивает категорию (К1, К2, К3) либо обосновывает ее отсутствие.
Процесс коротко:
1. Создать комиссию, выявить объекты и связать их с критическими процессами
2. Утвердить перечень, направить во ФСТЭК и за срок до года оценить последствия по критериям значимости
3. Утвердить акт и подать сведения во ФСТЭК в течение 10 рабочих дней
Типовые ошибки:
🔻 Вывод «мы не субъект КИИ» без обоснования. Круг субъектов расширился: медицина, транспорт, связь, энергетика, финансы, промышленность
🔻 Неполная инвентаризация: забывают АСУ ТП и вспомогательные системы
🔻 Занижение категории ради меньших требований. ФСТЭК вправе вернуть сведения
🔻 Старый состав сведений: теперь нужны доменные имена и сетевые адреса интернет-доступных объектов
@tomhunter
Наш канал в MAX | 2 087 |
| 11 |  🏥 Медицина стала целью №1 для вымогателей
По данным «Информзащиты», за восемь месяцев 2026 доля атак вымогателей на медорганизации выросла более чем вдвое, с 10% до 21% всех расследованных инцидентов. Здравоохранение обогнало традиционных лидеров и стало самой частой мишенью. А RED Security SOC оценила общий рост кибератак на отрасль в РФ в 2,7 раза за полугодие
Почему медицина:
🔻 Простой недопустим: от непрерывности зависят жизни, поэтому шанс на выплату выше. В медицине платят 50-60% против 35-40% по рынку
🔻 Двойной ущерб: данные о здоровье относятся к спецкатегории ПДн (152-ФЗ), а часть клиник попадает под КИИ (187-ФЗ), и к простою добавляются регуляторные последствия
🔻 64% атак начинались с украденных учеток для VPN и RDP
Что делать:
~ MFA на всех VPN- и RDP-доступах, ревизия внешнего периметра
~ Изолированные бэкапы и проверка восстановления
~ Мониторить признаки до шифрования: распыление паролей, аномальные VPN/RDP-сессии, эксфильтрацию
@tomhunter
Наш канал в MAX | 2 132 |
| 12 |  🖱 ClickFix: фейковая CAPTCHA, которую вы запускаете сами
Одна из главных техник фишинга сейчас. Никакого эксплойта: сайт показывает поддельную проверку «я не робот» и просит нажать Win+R, Ctrl+V, Enter. В буфере уже лежит команда PowerShell, которую жертва запускает сама. Дальше ставится стилер (Lumma, StealC, Vidar) и выгребает cookie, пароли и криптокошельки.
Почему опасно:
🔻 Файла нет, антивирусу нечего проверять. Команда идет через PowerShell и mshta и работает даже на пропатченной машине с EDR
🔻 Продается как сервис: готовые шаблоны reCAPTCHA, Cloudflare и «синего экрана», ротация доменов, выбор пейлоада
🔻 По данным ESET, за полгода детектов стало на 517% больше, это второй по частоте вектор после фишинга
Что делать:
• Запомнить: настоящая CAPTCHA никогда не просит нажать Win+R или вставить команду в консоль
• Ограничить и логировать PowerShell и mshta, включить контроль запуска ПО
• В EDR искать запуск PowerShell из браузера, окно «Выполнить» отключается через GPO
@tomhunter
Наш канал в MAX | 2 354 |
| 13 |  👾 wp2shell: WordPress захватывают без пароля
17 июля Searchlight Cyber раскрыла wp2shell, цепочку из двух уязвимостей в ядре WordPress (CVE-2026-63030 и CVE-2026-60137). Связка дает анонимному злоумышленнику удаленное выполнение кода и полный захват сайта. Дыра в ядре, поэтому уязвим даже стоковый WordPress без плагинов.
Почему опасно:
🔻 Путаница маршрутов в batch-эндпоинте REST API открывает SQL-инъекцию в WP_Query, затем создается админ и заливается веб-шелл
🔻 Атака без предусловий: ни аккаунта, ни настроек, ни действий пользователя. Плагины безопасности и сложные пароли не спасают
🔻 Уязвимы 6.9.0-6.9.4 и 7.0.0-7.0.1. Патч вышел в день раскрытия, но за часы появились PoC и пошла эксплуатация, обе CVE в CISA KEV
Что делать:
1. Обновиться до 6.9.5 или 7.0.2. Форс-апдейт срабатывает не всегда, проверьте версию
2. До патча закрыть на WAF оба маршрута: /wp-json/batch/v1 и ?rest_route=/batch/v1
3. Threat hunting: искать лишних админов и веб-шеллы
@tomhunter
Наш канал в MAX | 2 569 |
| 14 |  🔐 Регулятор распространил криптозащиту на облака под госсистемы
Приказ №321 от 22 августа 2026 впервые распространил требования к сертифицированной криптозащите не только на сами ГИС, но и на внешние облачные сервисы и оборудование, которые обеспечивают их работу, но в состав не входят. Принят в исполнение 568-ФЗ.
Что меняется:
▪️ Сертифицированное шифрование может понадобиться и при передаче данных в облако, и внутри контура, например между серверами в одном ЦОД
▪️ Необходимость и класс СКЗИ обосновываются в модели угроз и ТЗ; крипточасть для ГИС согласуется с ФСБ, а проверку проводят раз в три года
▪️ Класс СКЗИ зависит от масштаба системы, значимости информации и возможностей нарушителя
Главное: отвечает владелец ГИС, но требование можно закрепить за исполнителем госконтракта. Криптозащиту курирует ФСБ, техническую защиту ФСТЭК. Учет внутреннего нарушителя подтолкнет многие системы к СКЗИ класса КС3 и выше, а таких решений на рынке немного
@tomhunter
Наш канал в MAX | 2 462 |
| 15 |  🩹 Почему «патчить все» не работает
За 2025 год вышло рекордные 48 000+ CVE, около 131 в день. Закрыть все нельзя: не хватит ни рук, ни окон обслуживания. А главное, не нужно. По данным Kenna/Cisco, в реальных атаках используется меньше 5% уязвимостей. Задача не патчить все, а найти те самые проценты
Один CVSS не помогает: он описывает теоретическую тяжесть, но молчит, эксплуатируют ли дыру сейчас. Бывает CVSS 7.0, которую ломают массово, и 9.8, до которой нет дела
Чем приоритизировать:
▪️ KEV. Каталог CISA: то, что уже эксплуатируется в атаках. Патчить первым
▪️ EPSS. Вероятность эксплуатации в 30 дней. Топ-3% ловит около 80% реально атакуемого
▪️ Достижимость. Дыра на изолированном хосте не равна дыре на периметре
Важно: KEV и EPSS слепы к угрозам без публичного CVE. Для РФ добавляйте БДУ ФСТЭК и трендовые уязвимости, иначе не увидите то, что уже бьет по стране
Патчить надо не больше, а точнее. Скорость важна там, где уязвимость реально используют
@tomhunter
Наш канал в MAX | 2 577 |
| 16 |  🪱 Shai-Hulud: npm-пакет, который заражает сам себя
В сентябре 2025 npm накрыл первый самораспространяющийся червь. Он не ждет хакера: ставится в окружении, крадет токены и сам публикует зараженные версии дальше. За часы легли сотни пакетов, включая @ctrl/tinycolor с 2 млн загрузок в неделю
Как работает цепочка:
▪️ При установке post-install скрипт запускает TruffleHog и выгребает секреты из окружения и CI/CD
▪️ Найден npm-токен без 2FA: червь берет пакеты жертвы и публикует новые зараженные версии
▪️ Секреты уходят в публичный GitHub-репозиторий, приватные репозитории становятся публичными
И это не только 2025. Волны идут дальше: ноябрь (25 000+ репозиториев) и август 2026 через keyv, 400+ пакетов и 2 млрд установок в месяц
Что делать:
~ Публиковать через trusted publishing и 2FA, старые токены убрать
~ Пиннинг версий и lock-файлы, ignore-scripts при установке
~ Ротация токенов npm и GitHub, аудит workflow
Зараженный пакет в сборке тянет всю цепочку
@tomhunter
Наш канал в MAX | 2 528 |
| 17 |  🔎 Час OSINT до первого пакета
Пентест начинается не с эксплойта. Прежде чем отправить хоть один пакет к вам, атакующий собирает то, что вы сами выложили наружу. Ни одного стука в дверь, а карта уже нарисована
Что находим первым, не касаясь вашей сети:
▪️ Поддомены. Забытый dev, staging, старая админка. Часто дыра именно там
▪️ Утёкшие учётки. Почты сотрудников в сливах, а пароли часто повторяют
▪️ GitHub сотрудников. Ключи, токены и внутренние адреса в репозиториях
▪️ Метаданные. В PDF и фото видны имена, версии ПО, пути
▪️ Люди. Должности из вакансий и соцсетей дают сценарий фишинга
Всё это открытые источники. Разведку вы не увидите в логах: запросов не было
Что делать:
- Смотреть на внешний контур глазами атакующего
- Чистить метаданные и закрывать лишние поддомены
- Мониторить утечки по корпоративным доменам
- Помнить: личный GitHub сотрудника тоже периметр
@tomhunter
Наш канал в MAX | 2 443 |
| 18 |  🤖 Shadow AI: сотрудник несёт клиентскую базу в чат-бот
Менеджер копирует из CRM 200 клиентов с телефонами и просит чат-бот «сегментируй по потенциалу». Юрист вставляет договор «найди риски». Каждое действие идёт в обход ИТ. Это и есть shadow AI: публичные нейросети мимо политик компании
Масштаб уже не гипотетический:
▪️ По данным «Солар», за 2025 год объём данных из российских компаний в публичные нейросети вырос в 30 раз
▪️ В июле 2026 каждая пятая компания с утечкой связала её с бесконтрольным ИИ (год назад 12%)
▪️ Веб-интерфейсы чат-ботов дают 42% всех утечек через ИИ
Чем грозит: ваш ввод может пойти на обучение модели, а отправка ПДн в зарубежный сервис нарушает 152-ФЗ
Что делать:
Запрет не работает, он лишь загоняет ИИ в тень
Дайте легальную альтернативу: on-premise модель или LLM-прокси с анонимизацией
Обучайте на своих задачах: что можно грузить, что нет
Настройте DLP на копипаст в веб-формы
@tomhunter
Наш канал в MAX | 2 618 |
| 19 |  🏛 Приказ ФСТЭК №117 вместо №17: аттестат больше не финиш
С 1 марта 2026 действует приказ ФСТЭК №117 (от 11.04.2025), он заменил №17, проживший 13 лет. Если ваши регламенты и ТЗ ссылаются на №17, то они устарели
Что поменялось по сути:
▪️ Шире охват. №17 касался ГИС и муниципальных систем. №117 обязателен для всех информсистем госорганов, ГУП и госучреждений, независимо от назначения и критичности
▪️ Другая логика надзора. Разовую аттестацию сменил непрерывный расчёт показателей защищённости. Проверяют не «есть ли мера», а обоснована ли она угрозами
▪️ Инциденты теперь идут в ГосСОПКА, информирование обязательно
Что делать:
Разработать план перехода. Это прямое требование ФСТЭК (письмо №240/22/1492)
Старые аттестаты по №17 действуют до конца срока, но только при неизменной конфигурации
Учесть риск по 44-ФЗ и 223-ФЗ: без соответствия сужается доступ к госконтрактам
Бизнес втягивается через ТЗ госзаказчиков, даже если сам не госорган
@tomhunter
Наш канал в MAX | 2 694 |
| 20 |  🎭 Профайлинг жертвы
Сама по себе утёкшая база — ещё не удар. Удар начинается, когда по ней звонят. Мошеннику не нужно угадывать: он знает ваше имя, банк, последнюю покупку и последние цифры карты. Разговор идёт не с нуля, а с фактов, которые якобы знает только настоящая служба безопасности
Как это работает:
▪️ Информационный шум. После огласки утечки звонок «по этому поводу» выглядит логично
▪️ Точность вместо давления. Не «вы выиграли приз», а «подтвердите операцию на 4200 рублей в среду» — и человек верит
▪️ Спектакль в два акта. Сначала «мошенник» выманивает код, затем «полиция» звонит спасать: первый звонок был поддельный, срочно переведите деньги
Что делать:
~ Знание ваших данных ничего не подтверждает. Утекли — значит, известны всем
~ Положите трубку и перезвоните в банк по номеру с карты
~ «Безопасного счёта» не существует, это всегда мошенники
Утечка живёт не в момент слива, а месяцами после — в звонках
@tomhunter
Наш канал в MAX | 2 524 |
