а вот владельцам Субару на заметку (но не всем, а только тем, кто живет в США, Канаде и Японии). Сервис Subary для онлайн-сервисов под названием STARLINK (но не тот, который у зигующей мартышки), был плохо защищен в интернете и позволял кому попало, зная фамилию владельца, получить массу информации о нем, или управлять сервисами машины. Включая удаленный запуск, открыти и закрытие машины, информацию о местоположении, и историю перемещений за год, и тд.

https://samcurry.net/hacking-subaru

тем временем в Тбилиси все катались в пятницу на общественном транспорте бесплатно, потому что хакеры взломали систему продажи и сканирования билетов. Вместо своей функциональности, они проигрывали гимн Грузии, цитаты политиков, и другие фразы. Местные власти отключили систему и разрешили жителям ездить бесплатно до момента восстановления сервиса.

https://civil.ge/archives/655517

раз уж транспортная тема пошла. Mercedes какое-то время назад публиковал видео о том, как удобно, когда машина о пользователе все знает, и предлагает «умные» подсказки в процессе. Но, вспоминая все истории про продажу пользовательских данных, открытые бакеты с данными в интернете, и даже просто криповость бесконечной слежки со всех сторон, эффект от рекламы получается совсем обратный

https://www.youtube.com/watch?v=UP-FPkiXsXQ

для пользователей iPhone/iPad будет полезно проапдейтиться до последнего релиза 18.3 — там очень много фиксов, связанных с безопасностью, включая такие, что “Apple is aware of a report that this issue may have been actively exploited against versions of iOS before iOS 17.2.”

https://support.apple.com/en-us/122066

https://www.cve.org/CVERecord?id=CVE-2025-24085

Интересно, DeepSeek (если вам это название ничего не говорит, то что вы вообще делаете в интернете) пишет об введенных ограничениях на новые регистрации в связи с “large-scale malicious attacks on DeepSeek's services”

https://status.deepseek.com/incidents/666k4t024szr

а вот из полезного, Google сказала, что теперь будет верифицировать VPN-клиенты в Google Store на предмет обещания конфиденциальности и безопасности, и раздавать приложениям специальные погоны. Разработчики должны будут подать информацию в Google о своих практиках работы с пользовательскими данными, и согласиться на независимый аудит.

https://android-developers.googleblog.com/2025/01/helping-users-find-trusted-apps-on-google-play.html

Спекулятивное исполнение наносит очередной удар, в этот раз по процессорам Apple, атаками с названием FLOP и SLAP. Эксплуатация уязвимостей позволяет перехватывать информацию о кредитных картах, геолокации при использовании браузеров Chrome и Safari. Исследователи представили Apple свои рекомендации по снижению рисков эксплуатации этих уязвимостей, и, похоже, Apple планирует их внедрить в будущем.

https://predictors.fail

затрагивает все ноутбуки Apple, начиная с 2022 года, десктопы с 2023 года, все iPhone и iPad с 2021 года.

вынесу из комментариев, потому что заслуживает отдельного поста — исследование о том, как DeepSeek оставил внутреннюю базу данных незащищенной, и как исследователи получили доступ к чувствительной информации, включая чаты, секретные ключи и тд

https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak

MGM не только понесла прямые потери от взлома, но компании также придется заплатить жертвам, данные которых утекли, дополнительно 45 млн долларов

https://www.cohenmilstein.com/45m-global-settlement-in-mgm-data-breach-class-action-preliminarily-approved/

чистил диск, нашел мем про хакеров

GrubHub сообщает о том, что сервера компании стали жертвой кибератаки, в результате которой злоумышленники унесли данные пользователей, водителей и зарегистрированных продавцов на платформе, включая имейлы, номера телефонов, захешированные пароли и последние 4 цифры номеров банковских карт.

https://about.grubhub.com/news/our-response-to-a-third-party-vendor-incident/

ну надо же, теперь на iOS не только порно-приложения благодаря новым правилам в ЕС, но и вирусы, ворующие данные криптокошельков. модерация спасет и защитит, говорили кук и джобс.

https://securelist.ru/sparkcat-stealer-in-app-store-and-google-play/111638/

и снова про iOS, но теперь уже в регулярной рубрике "that this issue may have been exploited" — обновления для iOS/iPadOS 18.3 и iPadOS 17.7.5. Речь про уязвимость, которая позволяла получить доступ к данным на залоченном устройстве, хотя и в редких случаях против конкретных целей.

https://support.apple.com/en-us/122174
https://support.apple.com/en-us/122173

у macOS тоже вышли обновления для трех версий, хотя и без информации о CVE, но, скорей всего, похожие фиксы.
macOS Sequoia 15.3.1
macOS Sonoma 14.7.4
macOS Ventura 13.7.4

Интересное расследование про трекинг данных, уходящих из мобильных приложений

Кратко:
После более чем двух десятков часов попыток, вот основные выводы:
1. Я обнаружил несколько запросов, отправляемых моим телефоном с моей геолокацией, а также 5 запросов, которые раскрывают мой IP-адрес. Его можно использовать для определения местоположения через обратный DNS.
2. Я многое узнал о RTB-аукционах (реального времени) и протоколе OpenRTB и был шокирован объемом и типами данных, которые передаются вместе со ставками на рекламных биржах.
3. Я отказался от идеи купить свои данные о местоположении у брокера данных или трекингового сервиса, потому что у меня нет достаточно крупной компании, чтобы получить пробный доступ, или 10-50 тысяч долларов на покупку огромной базы данных с данными миллионов людей, включая меня.
Ну, может, у меня и есть такие деньги, но такие траты кажутся нерациональными.
Оказалось, что данные о людях из ЕС — одни из самых дорогих.

Но все же, я знаю, что мои данные о местоположении были собраны, и я знаю, где их купить!

https://timsh.org/tracking-myself-down-through-in-app-ads/

В декабре 2024 года компания PowerSchool, ведущий поставщик облачных информационных систем для учащихся, стала жертвой взлома. Злоумышленники получили несанкционированный доступ к порталу поддержки клиентов PowerSource, используя скомпрометированные учетные данные. Теперь становится понятен масштаб утечки — 62 млн записей студентов, включая информацию об особых образовательных потребностях, психическом здоровье, дисциплинарных нарушениях и судебных запретах для родителей.

https://www.bleepingcomputer.com/news/security/powerschool-hacker-claims-they-stole-data-of-62-million-students/

https://therecord.media/powerschool-breach-exposed-special-ed-status-mental-health-data

раз уж вы там про ИИ в комментариях, то вот хорошая тема — инъекция информации в чатбот Gemini с откладыванием в долгосрочную память.

The result of Rehberger’s attack is the permanent planting of long-term memories that will be present in all future sessions, opening the potential for the chatbot to act on false information or instructions in perpetuity.

https://arstechnica.com/security/2025/02/new-hack-uses-prompt-injection-to-corrupt-geminis-long-term-memory/

февральский патч безопасности у Microsoft

https://msrc.microsoft.com/update-guide/releaseNote/2025-Feb

63 уязвимости, среди которых есть уязвимости в активной эксплуатации:
1. CVE-2025-21418: Уязвимость повышения привилегий в драйвере Windows Ancillary Function Driver for Winsock. Затрагивает Windows 10, 11 и различные версии Windows Server.
2. CVE-2025-21391: Уязвимость повышения привилегий в Windows Storage, позволяющая локальному атакующему удалять файлы при определенных условиях.

Наиболее серьезной является уязвимость CVE-2025-21198 с рейтингом CVSS 9.0, может иметь серьезные последствия для инфраструктуры высокопроизводительных вычислений.

интересная тема по превращению любого устройства с Bluetooth в трекер Apple AirTag. Исследователи придумали способ, который позволяет злоумышленникам взять сигнал Bluetooth любого устройства, вычислить возможный приватный ключ от системы FindMy, передать его на серверы Apple FindMy, а затем получать местоположение этого устройства.

https://nroottag.github.io

официальная КБ от Apple по этому поводу

https://support.apple.com/en-us/122234

“Данные, такие как iCloud Keychain и Health, остаются защищенными полным сквозным шифрованием.

iMessage и FaceTime по-прежнему зашифрованы по всему миру, в том числе и в Великобритании.”

ну это пока. в новом мире Трампа, я думаю, Тим Кук уже не будет так борзо сопротивляться ФБР, предотвращая появление бэкдоров в iOS

❗️Apple отключит функцию расширенной защиты облачных данных (Advanced Data Protection, ADP) в Великобритании.

Такое решение принято компанией спустя две недели после появления в СМИ информации о том, что власти Великобритании потребовали от нее создать так называемый "бэкдор" для доступа к данным клиентов по всему миру.

Apple сообщила в пятницу, что ADP будет недоступна для новых пользователей в Великобритании. Тем, кто уже использует функцию, придется вручную отключить ее в течение определенного периода, чтобы сохранить учетные записи iCloud.

ADP для iCloud - это необязательная функция, добавляющая сквозное шифрование для обеспечения более высокого уровня безопасности облачных данных. Она защищает в том числе резервные копии iСloud, заметки, фото, текстовые сообщения и другие данные.