Про утечку данных о покупках — о том, как кассовая техника была перенастроена на передачу данных третьим лицам. Первоисточник так себе, но вообще, когда ваш банк присылает вам письмо “в этом году вы потратили больше всего денег на пиво”, помните, что хотя банк и знает о транзакциях по карте, он не должен знать, что именно вы покупали.
https://iz.ru/862205/dmitrii-grinkevich/chek-trustcoi-pochemu-i-kuda-utekaiut-personalnye-dannye-pokupatelei

Парочка новостей про Android
Исследователи (уже другие) также проанализировали 82 501 приложений, предустановленных на 1 742 смартфонах с Android, которые производятся 214 компаний. Масса предустановленных сторонних библиотек в приложениях, левые сертификаты, совершенно не нужные права доступа к информации, сбор пользовательских данных, и даже предустановленное вредоносное ПО. Детали по ссылке
https://haystack.mobi/papers/preinstalledAndroidSW_preprint.pdf

Приложения для слежки для пользователями, которые содержат в себе вредоносное ПО Exodus, доступные в Google Play, и, похоже, используемые правительством для слежки за совершенно конкретными лицами.
https://securitywithoutborders.org/blog/2019/03/29/exodus.html

А в Джорджии (не той, которая Грузия) хакер был признан виновным во взломе аккаунтов iCloud известных спортсменов и музыкантов, воруя их личные данные. Для взлома он использовал методику фишинга. Пока что непонятно, на сколько именно он сядет.
https://www.justice.gov/usao-ndga/pr/georgia-man-pleads-guilty-hacking-apple-accounts-professional-athletes-and-musicians

Сеть ресторанов, принадлежащих компании Earl enterprise, была взломана, и злоумышленники похитили данные на 2 миллиона банковских карт. В сеть входят такие рестораны, как Buca di Beppo, Earl of Sandwich, Planet Hollywood, Chicken Guy!, Mixology и Tequila Taqueria.
https://krebsonsecurity.com/2019/03/a-month-after-2-million-customer-cards-sold-online-buca-di-beppo-parent-admits-breach/

История с утечками личных фотографий Джеффа Безоса все страннее и страннее. Вроде бы даже договорились в какой-то момент, что фотографии утекли с телефона его любовницы благодаря её брату. Теперь руководитель расследования утверждает, что все-таки к взлому и утечке причастна Саудовская Аравия (из чего следует, что к этому может иметь отношение компания NSO, которая продает шпионское ПО для подобных целей).
https://www.thedailybeast.com/jeff-bezos-investigation-finds-the-saudis-obtained-his-private-information
NSO утверждает же, что никакого отношения к этому не имеет
https://motherboard.vice.com/en_us/article/7xnnea/nso-group-hack-jeff-bezos-saudi-arabia

Matthew Garrett, исследователь компьютерной безопасности, также работающий в Google, раскрыл уязвимость нулевого дня в роутерах TP-Link после того, как производитель никак не отреагировал на информацию о ней за 90 дней. Уязвимость позволяет удаленно исполнять скрипты в локальной сети, не требуя аутентификации.
https://www.theregister.co.uk/2019/03/28/tplink_router_flaw/

CloudFlare, разработчик безопасного DNS 1.1.1.1, также анонсировал бесплатный VPN-сервис Warp. Пока что на него можно подписаться через приложение 1.1.1.1 для Android и iOS, и ожидать официального запуска.
https://blog.cloudflare.com/1111-warp-better-vpn/

Автомобили, как и многое другое, становятся все более компьютеризированными. Электрические автомобили так вообще, по сути, один большой компьютер с колесами, а если добавить туда весь софт и железо для автономного вождения, то тем более. А компьютеризация в данном случае означает данные — их сбор, обработку и хранение. На прошлой неделе было очень интересно почитать про то, как исследователи взяли разбитую Tesla Model 3, и изучили, какая там информация хранится. Фишка в том, что когда машина разбита, данные с нее не удаляются, и все, что машина собирала за время её использования, может храниться в ней. В случае с GreenTheOnly (никнейм исследователя), на компьютере машины обнаружилась информация о местоположении, маршрутах, информация о владельце, информация с мобильных устройств, которые были связаны с автомобилем (включая адресные книги, календари, адреса электронной почты участников встреч), а также видео самой аварии. (Интересно, что за секунду до аварии в машину позвонил родственник водителя, что, видимо, и привело к аварии).

В статье еще говорится интересное о том, Tesla в целом довольно скрытно относится к информации о том, что, как и когда записывают камеры автомобиля. При этом отказ от сбора информации автоматически приводит к отказу от получения обновлений ПО (“а если откажутся, отключим газ”). Такие дела.
https://www.cnbc.com/2019/03/29/tesla-model-3-keeps-data-like-crash-videos-location-phone-contacts.html

Я неоднократно писал тут про различные сервисы слежки за партнерами, и о том, как эти сервисы, с одной стороны, в целом нарушают приватность людей, а в добавок к этому еще и зачастую оставляют свои сервера совершенно незащищенными. Это приводит к тому, что частная информация — переписка, фотографии, и тд — оказываются полностью доступными в интернете. Лаборатория Касперского опубликовала большой и интересный материал о подобных приложениях и сервисах, и о том, какую угрозу они таят для пользователей. Так что начиная с 3 апреля, мобильные продукты «Лаборатории Касперского» для Android будут оповещать пользователей о присутствии таких программ в системе при помощи специальной функции. Это очень здорово.
https://securelist.ru/beware-of-stalkerware/93771/

Пять VPN-сервисов из десяти отказались блокировать доступ к запрещённым в России сайтам по требованию Роскомнадзора
https://vc.ru/services/62917-pyat-vpn-servisov-iz-desyati-otkazalis-blokirovat-dostup-k-zapreshchennym-v-rossii-saytam-po-trebovaniyu-roskomnadzora

Странная и подозрительная история о том, как в курортном отеле Mar-a-Lago, принадлежащем президенту США Трампу, в котором он сам часто бывает, задержали жительницу Китая. В маленькой женской сумочке (которые, как известно, гораздо больше внутри, чем выглядят снаружи), были обнаружены 4 смартфона, внешний жесткий диск, ноутбук, и флешка с вредоносным ПО. Женщина утверждала, что прилетела на несуществующее мероприятие, и настаивала, что пришла к бассейну, хотя и купальника у нее с собой не было. Кто из нас, идя к бассейну, не берет с собой несколько смартфонов, ноутбуков и жестких дисков?
https://www.nytimes.com/2019/04/02/us/mar-a-lago-zhang-chinese-secret-service.html

Не менее странная история с Facebook, который как всегда! Ладно уж все многочисленные утечки, и обнаруженные завалы из паролей 600 млн пользователей. Тут обнаружилось, что при создании новых аккаунтов Facebook требовал для проверки пользователей адрес электронной почты и заодно пароль от этого адреса — “мы сделаем за вас проверку автоматической”. Отличный шаг, вполне в духе move fast and break things, как любил говорить Цукерберг.
https://www.thedailybeast.com/beyond-sketchy-facebook-demanding-some-new-users-email-passwords

С момента выхода статьи Facebook уже успели сказать, что они отменят эту порочную практику, но на этом этапе хочется только спросить WTF? (F, разумеется, означает Facebook).
https://twitter.com/kpoulsen/status/1113271858969731073

540 млн записей о юзерах ФБ в открытом доступе, да когда же это кончится???
https://www.upguard.com/breaches/facebook-user-data-leak

Когда я вчера написал про очередную утечку учетных записей пользователей Facebook, у меня не было возможности внимательно изучить детали утечки. Там, напомню, шла речь о том, что на сервере AWS обнаружили базу на 540 миллионов записей с данными пользователей Facebook, но в реальности все оказалось не так плохо и не так трагично.

а) это не очередная лажа Facebook, в данном случае данные, лежащие на открытом бакете S3, принадлежали сторонней компании, приложения которой интегрировались с Facebook.

б) компания — Cultura Colectiva, медиа-компания из Мексики.

в) данные, которые входили в набор, содержали в себе имена пользователей Facebook, их комментарии, лайки и информацию об отношениях. Эти данные о пользователях формально являются публичными, и доступны всем пользователям, у которых есть доступ к Facebook.

г) проблема не столько в самом Facebook в данном случае, сколько в экосистеме приложений, которую Facebook плохо контролирует. Таких приложений масса, которые выкачивали и выкачивают из Facebook информацию о пользователях (раньше больше, сейчас Facebook немного прикрутил краник). Но ни пользователи, ни Facebook не знают, как эти компании собирают и хранят пользовательские данные, и как они обеспечивают их безопасность.

д) ну а UpGuard больше погналась за медиа-скандалом, раздувая это как огромную утечку.

Фарш, как известно, невозможно провернуть. Пользователям можно только посоветовать меньше связываться со сторонними приложениями и отдавать им свои данные, если закрыть аккаунт Facebook не вариант.

Очень ироничная новость про компанию Xiaomi. У той на телефоне предустановлено неудаляемое приложение Guard Provider, которое должно обнаруживать вредоносное ПО. Вместо этого приложение ходило на свой сервер по незащищенному подключению, что, как известно, может окончиться не очень хорошо. Например, это могло позволить злоумышленникам, находясь в той же сети WiFi, создать атаку MITM (Man-in-the-middle), отключить защиту и делать дальше что угодно с телефоном: устанавливать вредоносное ПО, инструменты слежки и тд. Компания Check Point, обнаружившая эту уязвимость, сообщила о ней в Xiaomi, и компания выпустила обновление, исправляющее эту проблему.
https://research.checkpoint.com/vulnerability-in-xiaomi-pre-installed-security-app/

Говоря об исправленных уязвимостях. Тут вот Huawei тоже выкатил апдейт для своих ноутбуков MateBook, где исправлен драйвер, позволяющий создавать бесправным пользователям создавать процессы с правами суперпользователей.
Информация о том, как была обнаружена проблема, от Microsoft: https://www.microsoft.com/security/blog/2019/03/25/from-alert-to-driver-vulnerability-microsoft-defender-atp-investigation-unearths-privilege-escalation-flaw/
Описание проблемы у Ars https://arstechnica.com/gadgets/2019/03/how-microsoft-found-a-huawei-driver-that-opened-systems-up-to-attack/

Вдогонку о вчерашней новости о том, как ЛК начала определять своим ПО инструменты шпионажа:
статья на русском об исследовании таких приложений-шпионов
https://securelist.ru/beware-of-stalkerware/93771/
Статья в Wired об активистке, которая в целом борется против такого ПО https://www.wired.com/story/eva-galperin-stalkerware-kaspersky-antivirus/

А еще про полумиллиардные утечки. Исследователи обнаружили за первые три месяца этого года около 590 миллионов резюме, утекших через незащищенные базы MongDB и ElasticSearch:
https://www.zdnet.com/article/chinese-companies-have-leaked-over-590-million-resumes-via-open-databases/

И немного крипоты на закуску. Сюжет о компании, которая разработала бейдж сотрудника, который может мониторить разговоры сотрудников, движения и перемещение по офису. Информация, собираемая бейджем, интегрируется с календарями и почтой сотрудников. Компания, разрабатывающая эти бейджи, рассказывает, что это для “улучшения производительности сотрудников”, но наверняка какие-то работодатели захотят использовать это и для более тщательного наблюдения за сотрудниками. Где заканчиваются права работодателя, который платит зарплату за работу, и начинается прайваси сотрудника, сказать сложно.
https://twitter.com/TheEconomist/status/1112778211262332928

Наверно, новость дня — это утечка базы данных пациентов подмосковной скорой помощи
https://www.rbc.ru/society/09/04/2019/5cac54129a7947344a0f4e3f

И интересный анализ этой “утечки” на Пикабу(!)
https://pikabu.ru/story/mamkinyi_khakeryi_na_strazhe_nezalezhnosti_6629474