👀 Закон о сборе и хранении биометрии россиян – это ловушка. И вот почему

В России в ближайшее время заработает закон о сборе и хранении биометрических данных россиян. В Госдуме его принимали в спешке, со скандалом и только голосами «Единой России». Скоро документ подпишет Путин.

Хотя новый закон отчасти повторяет то, что уже написано в других действующих законах, его все равно можно назвать эпохальным. Вся биометрия россиян будет храниться только в государственной базе. Уже сданные образцы голоса и изображений лиц банки (прежде всего, Сбер) обязаны до 30 сентября 2023 года передать государству.

Формально власти продвигают сдачу биометрии как возможность для граждан быстрее получать государственные и банковские услуги. Однако главным бенефициаром закона следует признать полицию и спецслужбы. База биометрических данных россиян и стремительное внедрение камер в российских городах дают им фактически неограниченные возможности для слежки. Прежде всего, за теми, кто выступает против власти.

Но даже если вы «вне политики», то спешить со сдачей биометрии не нужно. Хотя государство уверяет, что данные будут надежно защищены, опрошенные нами эксперты (например, автор канала «ЗаТелеком» Михаил Климарев) в этом сильно сомневаются.

Подробный разбор нового закона в новом выпуске «Пояснительной записки».

The alleged data dump is being sold by a threat actor named 'Ryushi' on the Breached hacking forum, a site commonly used to sell user data stolen in data breaches.
The threat actor claimed to have collected the data of 400+ million unique Twitter users using a vulnerability. They warned Elon Musk and Twitter that they should purchase the data before it leads to a large fine under Europe's GDPR privacy law.
"Twitter or Elon Musk if you are reading this you are already risking a GDPR fine over 5.4m breach imaging the fine of 400m users breach source," wrote Ryushi in a forum post.

https://www.bleepingcomputer.com/news/security/hacker-claims-to-be-selling-twitter-data-of-400-million-users/

Кстати, пишут, что катится волна взломов аккаунтов у романтиков долбоебов, которые не настроили 2fa в твиттере, и похоже, что это как раз следствие этой утечки

Смотрю, на статью про биометрию подъехали боты с «а вот у них, а вот там». Раз зарядили их на эту тему, значит, неспроста это

Предположения о том, насколько плохо все со взломом LastPass

“Despite having her master password set to an astonishing 19 characters, our source claims to have experienced a wave of successful attacks against her through the sites and services she uses. These have included messing with her home thermostat to change the temperature to a sweltering 87F (About 30C for those who use sensible measurements).

As fun a prank as that sounds, our contact also reports the attackers used her Apple ID and ATT credentials to change the PIN on her phone, successfully simjacked her, and added a whole bunch of authorized devices to her LastPass account to bypass MFA.”

https://thecrow.uk/lastpass-data-breach-is-starting-to-look-truly-horrendous/

Мессенджер Wickr, который не требовал никакой личной информации при регистрации, закрывается для обычных пользователей. Амазон, который владеет сервисом, видимо, не смог пережить тот факт, что сервис активно использовался хакерами, торговцами наркотиками и журналистами. Кроме того, сервис был популярен и среди любителей детской порнографии.

https://wickr.com/our-focus-on-end-to-end-encrypted-enterprise-communications/

все как обычно (я писал об этом сборе данных пару недель назад)

В США остановлены все внутренние полеты гражданской авиации в связи к проблемами компьютерных систем Федерального управления гражданской авиации США. Связано ли это со взломом или с чьей-то криворукостью, пока неизвестно

АПД для умников с Flight radar. Остановлены вылеты новых рейсов. те, которые уже летят, не могут внезапно остановиться

https://www.cnbc.com/2023/01/11/faa-orders-airlines-to-pause-departures-until-9-am-et-after-system-outage.html

Ок, FAA сегодня всетаки не взлом, а человеческий фактор

Gen Digital — компания, которая владеет Norton LifeLock — объявила, что тысячи учетных записей клиентов сервиса были взломаны и злоумышленники получили доступ к менеджера паролей польователей. Утверждается, что аккаунты были взломаны методом подбора пар данных авторизации, и призвала пользователей применять 2FA. Речь идет о примерно 6,5 тыс пользоваталей. Утверждается, что злоумышленники получили доступ к информации с именем-номером телефона-адресом пользователей, но не исключается, что также и доступ к менеджерам паролей. This is fine.jpg

https://techcrunch.com/2023/01/15/norton-lifelock-password-manager-data/

я в свое время писал про утечку из Equifax — одного из крупных кредитных бюро в США (можно поиском найти набор постов). Вот так выглядит выплата за утечку, по сути, ВСЕЙ персональной инфоромации человека, включая номер социального страхования, который, конечно же, не поменяешь (Доп. поменять можно, но только при определенных условиях, и просто утечка номера таким условием не является). комбинация этой информации позволяет получать кредиты, например. стоимость этих данных в результате судебного иска составила меньше 9 долларов. хотя, конечно, раскаленная кочерга для виновных и ответственных подошла бы луче.

Никогда такого не было, и вот опять! Не поверите, но та же фигня - я даже проверил, не глючу ли я с этой новостью, настолько она идентична

https://techcrunch.com/2023/01/18/mailchimp-hacked/

PayPal рассылает некоторым пользователям уведомление о несанционированном доступе к их учетным записям. Похоже, что речь идет о массированной атаке ботами с использованием ранее утекших пар логинов-паролей. Ситуация затрагивает около 35 тысяч пользователей, которые так и не настроили себе 2FA

https://www.bleepingcomputer.com/news/security/paypal-accounts-breached-in-large-scale-credential-stuffing-attack/

https://www.documentcloud.org/documents/23578067-paypal-notice?responsive=1&title=1

Да что ж ты будешь делать, T-mobile взломали. опять. Пишут, что ничего ужасного не украли, что бы не было украдено до сих пор — имя, имейл, адрес, дату рождения, и тд
https://www.t-mobile.com/news/business/customer-information

авиакомпания оставила на незащищенном сервере список людей, которым запрещено летать (no fly list). официальные источники список оставили только для журналистов, но, возможно, он гдето доступен и через менее официальные источники

https://ddosecrets.com/wiki/No_Fly_List

вот новость об этом https://www.dailydot.com/debug/no-fly-list-us-tsa-unprotected-server-commuteair/

Взлом LastPass как тот бесконечный рог изобилия, продолжает доставлять подарки. Материнская компания LastPass — компания GoTo — опубликовала апдейт по ситуации, из которого следует, что в рамках того взлома инфраструктуры также были затронуты следующие сервисы: Central (коммуникационный сервис для бизнеса), Join.me (онлайн-встречи); Hamachi (VPN сервис), Remotely Anywhere (сервис удаленного доступа). Злоумышленники получили доступ к а) зашифорванным резервным копиям клиентов этих сервисов, и б) ключ шифрования компании. Информация может содержать в себе пользовательские имена, засоленные-хешированные пароли, частичные настройки МФА, и информацию о лицензиях. Что делать дальше, компания не рассказывает.

https://www.goto.com/blog/our-response-to-a-recent-security-incident#

ChatGPT как всегда, с уверенным видом несет пургу

"The camel is a valuable animal in the cybersecurity field due to its ability to store large amounts of data in its hump. Camels are able to cross vast distances with little water, which makes them ideal for carrying large amounts of data across networks. They are also very sturdy animals, able to withstand harsh conditions and even attacks from cyber criminals. In addition, their long eyelashes protect their eyes from sand and dust, making them perfect for working in dusty environments such as data centers."

https://news.ycombinator.com/item?id=34503933

Утечка исходного кода Яндекса

https://arseniyshestakov.com/2023/01/26/yandex-services-source-code-leak/

Дополнение:
Компания проводит внутреннее расследование. «Яндекс» отрицает факт взлома.
«Служба безопасности "Яндекса" обнаружила в открытом доступе фрагменты кода из внутреннего репозитория. Однако их содержимое отличается от текущей версии репозитория, которая используется в сервисах "Яндекса"»,— сообщили «Интерфаксу» в пресс-службе. В компании подчеркнули, что репозитории не имеют отношения к персональным данным пользователей.

Ирония