но есть и хорошие новости. Google Authenticator наконец-то научился синхронизировать 2FA через учетку пользователя Google

https://security.googleblog.com/2023/04/google-authenticator-now-supports.html

Интересный тред про эту фичу синхронизации 2FA у Google, и почему её не стоит активировать.

Google has just updated its 2FA Authenticator app and added a much-needed feature: the ability to sync secrets across devices.

TL;DR: Don't turn it on.

https://defcon.social/@mysk/110262313275622023#.

Тоже вот интересная ссылка о приключениях датацентра ТикТок и всевозможных нарушениях политик безопасности в них

https://www.forbes.com/sites/emilybaker-white/2023/04/21/security-failures-tiktok-virginia-data-centers-unescorted-visitors-flash-drives/

Из серии “ничего непонятно”. но мало ли.

For those who trust me:

Goto your Amazon account, sign out of all your devices, everything, everywhere all your Echos (yes I know it's a pain), reset your password, delete 2FA and any tokens and reset them. Now.

That doesn't include Fido / Yubikeys but does include Auth tokens.

Do it now.

As much a pain as it is to reset Echo and all smart devices, trust me, please do it.

I can't tell you more yet, but I am being ethical and you need to actually realise I have a clue.

It's been a scary day

https://sackheads.social/@Cloudguy/110256209708866473

туда же
https://auspicacious.org/posts/2023/04/26/flush-amazon-credentials-now/

Чувак, сливший секретные документы в дискорд, конечно, тот еще сумасшедший клоун. Действительно возникают вопросы о том, как такие получают доступ к секретной информациии

https://twitter.com/EliotHiggins/status/1651490777015500800?s=20

Passkey в Гугл учетке
https://blog.google/technology/safety-security/the-beginning-of-the-end-of-the-password/

В некотором роде забавная история. Хакерская группировка Clop, занимающаяся взломами и вымогательством выкупов за данные, атаковала компанию Brightline, и похитила данные на почти 800 тысяч клиентов компании. Компания занимается дистанционной психологической терапией для детей и подростков. Похищенные данные содержали в себе имена и контактную информацию пациентов.

https://www.hellobrightline.com/fortra-data-notice

https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf

Узнав, что за данные они похитили, злоумышленники написали журналистам, что они не знали, что это была за организация, и, узнав, якобы удалили у себя эти данные.

Update 5/3/23: After the publication of this article, the Cl0p ransomware operation emailed BleepingComputer to say they deleted Brightline's data from their data leak site.
"We delete the data and we did not know what this company is doing, because not all companies are analyzing. And we ask for forgiveness for this incident," Clop emailed BleepingComputer.

https://www.bleepingcomputer.com/news/security/brightline-data-breach-impacts-783k-pediatric-mental-health-patients/

Большой отчёт о вредоносном ПО Snake, которое применяет ФСБ россии для сбора информации о своих целях

https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-129a

Твиттер запустил шифрование для личных сообщений между пользователями. Только это не не сквозное шифрование - Твиттер может читать переписку, и это «шифрование» никак не проинформирует участников о MITM атаке. По ссылке можно почитать о большом количестве ограничений этой фичи, которую и шифрованием в обычном смысле трудно назвать. Функция доступна только для платных пользователей. Хотя непонятно, зачем ею пользоваться в принципе.

https://help.twitter.com/en/using-twitter/encrypted-direct-messages

Кстати еще о шифровании - разбор на косточки еще одного сервиса, утверждающего, что обеспечивает полное шифрование и конфиденциальность переписки

Converso misrepresents itself as a state-of-the-art end-to-end encrypted messaging app, which couldn't be further from the truth. The reality is that the wild claims Converso makes on its website – the promises it makes about its app's security, plus the shade it throws on premier encryption tools – are all provably false. It's therefore my opinion that you shouldn't rely on Converso for any sense of security, and you certainly shouldn't pay $4.95/month for it.

https://crnkovic.dev/testing-converso/

Дискорд рассылает своим пользователям письма счастья с уведомлениями о взломе и утечке информации

https://www.bleepingcomputer.com/news/security/discord-discloses-data-breach-after-support-agent-got-hacked/

У Гугла очень странное представление о privacy

если вы владелец Тойоты в Японии, то у меня для вас плохие новости. Компания говорит, что изза человеческой ошибки могли утечь данные клиентов компании, которые подписались на облачный сервис

https://www.reuters.com/business/autos-transportation/toyota-flags-possible-leak-more-than-2-mln-users-vehicle-data-japan-2023-05-12/

Эксперт по вирусам-вымогателям, которые использовались для атак по критической инфраструктуре в США, по имени Mikhail Pavlovich Matveev, aka Wazawaka, aka m1x, aka Boriselcin, aka Uhodiransomwar, получил свою награду — попадание в список FBI Most wanted

https://www.fbi.gov/wanted/cyber/mikhail-pavlovich-matveev
https://ofac.treasury.gov/recent-actions/20230516