Пропустил в пятницу - апдейт для Хрома, фиксит серьезную zero day, так что убедитесь, что у вас апдейт поставился

https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_14.html

В Монтане забанили ТикТок с 1 января 2024 года. Но забанили и забанили, мало ли что там местным туповатым депутатам в голову придет. Но очень интересно, как это будет энфорситься, кто должен, собственно, технически банить - Эпол и Гугл должны вычислять жителей штата Монтана (аж миллион человек)? А если человек выехал из штата, поставил приложение и вернулся? Должны ли его блокировать провайдеры? А что с VPN в таком случае?

https://www.wsj.com/articles/montana-lawmakers-approve-statewide-ban-on-tiktok-17dc0ea6

но есть и хорошие новости. Google Authenticator наконец-то научился синхронизировать 2FA через учетку пользователя Google

https://security.googleblog.com/2023/04/google-authenticator-now-supports.html

Интересный тред про эту фичу синхронизации 2FA у Google, и почему её не стоит активировать.

Google has just updated its 2FA Authenticator app and added a much-needed feature: the ability to sync secrets across devices.

TL;DR: Don't turn it on.

https://defcon.social/@mysk/110262313275622023#.

Тоже вот интересная ссылка о приключениях датацентра ТикТок и всевозможных нарушениях политик безопасности в них

https://www.forbes.com/sites/emilybaker-white/2023/04/21/security-failures-tiktok-virginia-data-centers-unescorted-visitors-flash-drives/

Из серии “ничего непонятно”. но мало ли.

For those who trust me:

Goto your Amazon account, sign out of all your devices, everything, everywhere all your Echos (yes I know it's a pain), reset your password, delete 2FA and any tokens and reset them. Now.

That doesn't include Fido / Yubikeys but does include Auth tokens.

Do it now.

As much a pain as it is to reset Echo and all smart devices, trust me, please do it.

I can't tell you more yet, but I am being ethical and you need to actually realise I have a clue.

It's been a scary day

https://sackheads.social/@Cloudguy/110256209708866473

туда же
https://auspicacious.org/posts/2023/04/26/flush-amazon-credentials-now/

Чувак, сливший секретные документы в дискорд, конечно, тот еще сумасшедший клоун. Действительно возникают вопросы о том, как такие получают доступ к секретной информациии

https://twitter.com/EliotHiggins/status/1651490777015500800?s=20

Passkey в Гугл учетке
https://blog.google/technology/safety-security/the-beginning-of-the-end-of-the-password/

В некотором роде забавная история. Хакерская группировка Clop, занимающаяся взломами и вымогательством выкупов за данные, атаковала компанию Brightline, и похитила данные на почти 800 тысяч клиентов компании. Компания занимается дистанционной психологической терапией для детей и подростков. Похищенные данные содержали в себе имена и контактную информацию пациентов.

https://www.hellobrightline.com/fortra-data-notice

https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf

Узнав, что за данные они похитили, злоумышленники написали журналистам, что они не знали, что это была за организация, и, узнав, якобы удалили у себя эти данные.

Update 5/3/23: After the publication of this article, the Cl0p ransomware operation emailed BleepingComputer to say they deleted Brightline's data from their data leak site.
"We delete the data and we did not know what this company is doing, because not all companies are analyzing. And we ask for forgiveness for this incident," Clop emailed BleepingComputer.

https://www.bleepingcomputer.com/news/security/brightline-data-breach-impacts-783k-pediatric-mental-health-patients/

Большой отчёт о вредоносном ПО Snake, которое применяет ФСБ россии для сбора информации о своих целях

https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-129a

Твиттер запустил шифрование для личных сообщений между пользователями. Только это не не сквозное шифрование - Твиттер может читать переписку, и это «шифрование» никак не проинформирует участников о MITM атаке. По ссылке можно почитать о большом количестве ограничений этой фичи, которую и шифрованием в обычном смысле трудно назвать. Функция доступна только для платных пользователей. Хотя непонятно, зачем ею пользоваться в принципе.

https://help.twitter.com/en/using-twitter/encrypted-direct-messages