Хакерская группировка Kiborg выложила в открытый доступ полную клиентскую базу «Альфа-Банка», заметили «Важные истории». Доступ к этим данным хакеры получили в октябре 2023 года. Тогда Kiborg опубликовали информацию о 44 тыс. клиентов.

https://storage.googleapis.com/istories/news/2024/01/08/khakeri-opublikovali-lichnie-dannie-bolee-20-millionov-klientov-alfa-banka/index.html

гаечный ключ, подключенный к сети. казалось бы, что может пойти не так. все, если в устройстве обнаружить 20+ уязвимостей

https://www.nozominetworks.com/blog/vulnerabilities-on-bosch-rexroth-nutrunners

Взломали твиттер аккаунт комиссии по ценным бумагам США

Apple выпустила обновление прошивки для bluetooth клавиатуры, исправляющей уязвимость, которая позволяла при физическом доступе к клавиатуре получить ключ спаривания bluetooth. Об этой проблеме в Bluetooth известно вроде как чуть ли не с 2012 года

https://support.apple.com/en-us/HT214050

Google для своих устройств обновление выпустила в начале декабря
https://source.android.com/docs/security/bulletin/2023-12-01

https://www.theregister.com/2023/12/06/bluetooth_bug_apple_linux/

Хакеры взломали чатбота, который проводил интервью кандидатов на позиции в ресторанах фастфуда, и могли принимать или отклонять кандидатов

https://www.404media.co/hackers-break-into-hiring-ai-chat-bot-chattr/

надеюсь, история вокруг уязвимости в Apple AirDrop наберет достаточно оборотов для того, чтобы они там в Купертино пошевелили булками. уязвимость заключается в том, что при передаче информации между устройствами через AirDrop есть возможность выяснить номер телефона и адрес электронной почты отправителя. в новостях пишут, что эта уязвимость эксплуатируется госорганами в Китае для идентификации отправителей “нежелательной” информации.

https://www.usenix.org/system/files/sec21fall-heinrich.pdf

https://privatedrop.github.io

https://www.bloomberg.com/news/articles/2024-01-09/china-says-cracked-apple-s-airdrop-to-identify-message-sources

кроме этого, исследователи утверждают, что Apple знала об этой уязвимости еще в 2019 году
https://www.cnn.com/2024/01/12/tech/china-apple-airdrop-user-encryption-vulnerability-hnk-intl

GitLab 10/10

The most critical security issue GitLab patched has the maximum severity score (10 out of 10) and is being tracked as CVE-2023-7028. Successful exploitation does not require any interaction.

https://www.bleepingcomputer.com/news/security/gitlab-warns-of-critical-zero-click-account-hijacking-vulnerability/

первый zero day в Chrome в этом году

Google is aware of reports that an exploit for CVE-2024-0519 exists in the wild.

https://chromereleases.googleblog.com/2024/01/stable-channel-update-for-desktop_16.html

уязвимости в UEFI прошивке пятерки крупнейших производителей, использующих TianoCore EDK II, позволяют злоумышленникам при наличии доступа к сети заражать устройства вредоносным ПО на уровне прошивки. Опасносте сервера, которые используют PXE —  Preboot Execution Environment — когда он настроен использовать IPv6.

отчет
https://blog.quarkslab.com/pixiefail-nine-vulnerabilities-in-tianocores-edk-ii-ipv6-network-stack.html

код
https://github.com/quarkslab/pixiefail

The Microsoft security team detected a nation-state attack on our corporate systems on January 12, 2024, and immediately activated our response process to investigate, disrupt malicious activity, mitigate the attack, and deny the threat actor further access. Microsoft has identified the threat actor as Midnight Blizzard, the Russian state-sponsored actor also known as Nobelium. As part of our ongoing commitment to responsible transparency as recently affirmed in our Secure Future Initiative (SFI), we are sharing this update.  

https://msrc.microsoft.com/blog/2024/01/microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/

Никто не мог это предвидеть, никто

ChatGPT is leaking private conversations that include login credentials and other personal details of unrelated users, screenshots submitted by an Ars reader on Monday indicated.
Two of the seven screenshots the reader submitted stood out in particular. Both contained multiple pairs of usernames and passwords that appeared to be connected to a support system used by employees of a pharmacy prescription drug portal. An employee using the AI chatbot seemed to be troubleshooting problems that encountered while using the portal.

https://arstechnica.com/security/2024/01/ars-reader-reports-chatgpt-is-sending-him-conversations-from-unrelated-ai-users/

ладно, зачем вам этот интернет, от него только проблемы. вот например Mercedes случайно опубликовали приватный ключ, с помощью которого можно было получить доступ к исходным кодам компании и другой чувствительной информации. Утечку обнаружили эксперты безопасности, но пока неизвестно, воспользовались ли ключом какието злоумышленники до этого. Главное, что ключевое заклинание произнесено — “The security of our organization, products, and services is one of our top priorities.”, значит, все в безопасности.

https://techcrunch.com/2024/01/26/mercedez-benz-token-exposed-source-code-github/

гарнитура Apple Vision Pro еще не вышла в продажу, а Apple уже исправила в ней zero day уязвимость -CVE-2024-23222! (справедливости ради, эту дырку Apple исправила чуть раньше в iOS 17.3, а сейчас просто обновила ядро в VisionOS до того же уровня)

https://support.apple.com/en-us/HT214070

40 лет за передачу информации ЦРУ в Викиликс

https://fortune.com/2024/02/02/ex-cia-programmer-joshua-schulte-40-years-passing-spy-secrets-wikileaks/

AnyDesk подтвердили взлом внутренних систем. Пока что утверждается, что данные клиентов не затронуты

https://anydesk.com/en/public-statement

С 1 марта в России вступит в силу запрет на популяризацию сервисов, позволяющих обходить блокировки, сообщает ТАСС со ссылкой на ответ Роскомнадзора в ответ на публикации о запрете VPN. Доступ к материалам, популяризирующим подобные средства, будет ограничен.
«В соответствии с законодательством в России запрещена работа средств обхода блокировок доступа к противоправному контенту с февраля 2020 года. VPN‑сервисы относятся к таким средствам, если при их использовании не ограничивается доступ к запрещённым ресурсам», — говорится в сообщении, цитата по ТАСС.

https://habr.com/ru/news/791568/

А от запрета VPN до уголовки уже не так далеко осталось

Роскомнадзор (РКН) предложил закрыть доступ к публичной информации о требованиях Генпрокуратуры по блокировке сайтов в интернете. Об этом говорится в проекте приказа службы, опубликованном на портале нормативных правовых актов. Первым на него обратил внимание «Коммерсантъ».

В случае принятия проекта у пользователей пропадет возможность проверять наличие требований Генпрокуратуры о необходимости удалить запрещенный контент. Из реестровой записи о блокировке, инициируемой Генпрокуратурой, предлагается убрать номер требования, также операторы смогут не публиковать на страницах-«заглушках» основания блокировки. Поправки предлагается внести в порядок функционирования информационной системы взаимодействия, через которую операторы получают данные о заблокированных сайтах.

https://www.vedomosti.ru/society/articles/2024/02/06/1018606-publichnii-dostup-k-dannim-o-blokirovkah-saitov-budet-zakrit/

A finance worker at a multinational firm was tricked into paying out $25 million to fraudsters using deepfake technology to pose as the company’s chief financial officer in a video conference call, according to Hong Kong police.

https://edition.cnn.com/2024/02/04/asia/deepfake-cfo-scam-hong-kong-intl-hnk/index.html