​Я этого не хотел

Видели бы вы сейчас мою личку в Телеграм – десятки пересылов новостей, связанных с инцидентом СДЭКа от друзей, родных, коллег и знакомых. Вот она, жизнь кибербезопасника. Я не хотел писать пост на эту тему, так как был абсолютно уверен в том, что об этом расскажет буквально каждый канал и новостное издание (так и произошло). Но если вы так хотите, то давайте еще чуть потанцуем на костях.

Собственно, что произошло и так все знают – CDEK взломали и пошифровали. К слову, я успел забрать свою посылку воскресным утром, чем очень горжусь (говорят, что ее можно уже выставлять на Авито, как реликвию).

Ответственность за эту историю на себя попытались сначала взять сразу несколько хакерских группировок и энтузиастов, но хоть какие-то доказательства в виде скринов смогли предоставить только ребята из Head Mare. По одной из версий этот взлом – дело рук обиженного сотрудника, по другой – обычный взлом с обходом средств защиты (это называется bypass), но это мог быть и фишинг. Суть в том, что после взлома злоумышленники пошифровали всю инфраструктуру и данные, параллельно удалив устаревшие бэкапы.

Мемом стало то, что кто-то раскопал старую (февральскую) вакансию на директора по безопасности СДЭКа, которую позже даже перевыложили в паре каналов. Ну а текущему главному безопаснику компании можно только выразить слова поддержки. При этом, в своем твиттер-посте Head Mare упоминают компанию BI.ZONE, сотрудников которой они и уличают в том, что те пошли гулять на PhD, вместо работы (спорно конечно). Скорее всего этих ребят привлекали для аудита и помощи в построении безопасных процессов в компании.

Какая у всего этого перформанса мораль – делайте бэкапы чаще, чем раз в полгода, шифруйте их и сохраняйте их туда, до куда не смогут дотянуться злоумышленники (хоть в облака). Ну а СДЕКу я искренне желаю сил. Думаю, что компания выстоит после этого удара, все посылки найдут своих хозяев, а безопасность в компании от этого только улучшится (ну или следующий удар уже точно будет фатальным).

Так и живем.

Вот теперь точно #НовостьДня

Твой Пакет Безопасности

​Скайнет всё ближе

Да, у нас кибербезопасный канал, но какие-то глобальные события мира IT я тоже не могу обойти стороной. Во-первых, они в той или иной степени связаны с ИБ, во-вторых, они мне банально интересны 😌

Так вот, хотелось бы подсветить (в очередной раз) то, насколько быстро компания Open AI везет нас в сторону сюжета фильма Терминатор. Про их свежее детище SORA мы уже поговорили, поэтому настало время обсудить их новую языковую модель GPT-4o. Постараюсь сильно не душнить, а скорее просто фантазировать.

Так вот, что же это за обновление такое и почему это так важно. Кажется, что ключевое изменение заключается в появлении новых интерфейсов – звуковом и визуальном. Теперь мы можем говорить с ChatGPT голосом, а она может отвечать нам в том же формате (при чем с эмоциональными акцентами). Более того, теперь у нас появилась возможность доносить до нее информацию при помощи изображений и видео.

Почему это так важно? Да потому что теперь эта штука умеет не только генерировать реалистичные видеоролики, но еще и озвучивать их на разных языках. Ну а еще она может прожевать любое изображение или видеоролик (вроде как пока без звука) и проанализировать весь контент в нём. Другими словами, если эту модель посадить в голову человекоподобного робота Tesla, то мы получим что-то по типу того самого Терминатора (который, надеюсь, не захочет истребить человечество).

Из полезного – кажется, что момент, когда людям не придется учить второй язык, максимально близок, ведь GPT-4o умеет переводить речь в режиме реального времени. Жизнь инвалидов тоже может стать проще, так как они могут использовать новую модель для анализа того, что происходит вокруг (при нарушениях со зрением или слухом, например). Ах да, еще, судя по тестам, эта штука умеет распознавать тот самый "врачебный почерк" (хоть и не всегда).

В общем, так и живем. Джон Коннор, если ты есть в этом канале, то объявись.

#Мнение

Твой Пакет Безопасности

​Что-то мы давно не говорили про утечки

Насколько мне известно, в нашей стране тот самый новый и крутой закон по оборотным штрафам за утечки персональных данных так и застрял на этапе первого чтения, хоть и был принят. Возможно дело в том, что многие были против, но в Консультанте я так и не нашел ничего актуального по этой теме.

Тем временем, во всём остальном мире такие штрафы имеют место быть, и штрафуют там не только коммерческие компании, но и органы правопорядка. Так, например, на достаточно большой штраф, а именно на 1 000 000 долларов, влетела полиция Северной Ирландии (да, такая есть). Оттуда "по ошибке" были слиты персональные данные 20 000 человек.

Причем данные там утекли достаточно интересные – ФИО, должности, звания и места работ не обычных людей, а судей, офицеров, сотрудников национальной службы безопасности и аэропортов. И эта чувствительная информация уже даже нашла применение в руках нехороших людей, так как жертвам регулярно приходили угрозы расправы и шантажа.

В общем, продолжаем ждать, когда такие же красивые штрафы начнут работать и у нас.

#НовостьДня

Твой Пакет Безопасности

Кхе.

#КиберМем

Твой Пакет Безопасности

По-бе-да

Ну вот и подошла к концу очередная премия от крутых ребят из Cyber Media, где я забрал таки номинацию «Каждый сотрудник — часть отдела ИБ» за реализацию лучших практик ИБ в не ИБ-компании (такое мы реализуем).

Всё-таки не зря бегал по конференциям и митапам с техническими докладами, как бы они мне не нравились.

Ну а почитать подробнее о том, кто еще какие номинации забрал, можно здесь – ссылка.

Твой Пакет Безопасности

​А какие ваши зарплатные ожидания?

В общем да, пост основан на очередном моем сгорании негодовании от специфики взаимодействия с рекрутерами, которые заходят "на холодную", то есть приходят в личные сообщения, на почту или в LinkedIn с предложением рассмотреть их вакансию. Напоминаю, что этот канал не только про кибербез, но и про карьеру (в том числе в ИБ), поэтому, кажется, что этот пост будет полезен не только безопасникам.

Так вот, возвращаясь к ситуации выше. Я как-то себя запрограммировал первым же вопросом узнавать про размер зарплатной вилки (это нижняя и верхняя граница той суммы, которую вам готовы заплатить, например, от 150 до 200 тысяч рублей) на данную позицию.

Вилка вообще поистине волшебная сущность. Ведь работодатель, спрашивая вас про вилку, обращает внимание только на нижнюю ее границу (то есть в 150 тысяч рублей), а вы, как потенциальный сотрудник (узнавший о вилке на предлагаемую вакансию) целитесь только в верхнюю границу (то есть в 200 тысяч рублей). И зачастую торга, как такового, даже не происходит.

Именно поэтому, когда рекрутер начинает играть со мной в пинг-понг, отвечая что-то в стиле "у нас гибкая вилка, лучше расскажите про ваши ожидания по ЗП", я начинаю сгорать негодовать. Когда это обусловлено тем, что у компании политика неразглашения зарплатных вилок – еще ладно, но так и скажите, что вам не разрешают эту информацию говорить. Но если вы просто боитесь "проиграть" по деньгам, то вы уже програли, выдав ту самую фразу.

Нужно понять, что синхронизация по ЗП до начала общения кратно экономит время как самой компании, так и кандидата. Так что давайте жить мирно, уважать друг друга и ценить время каждого.

Пока писал пост, подумал, что у меня есть еще много чего рассказать про зарплатные переговоры и трудоустройство, так что, если вам интересна эта тема, то навалите реакций, пожалуйста, чтобы я понял, стоит ли писать продолжение. Ну а я пока заведу новый хэштег.

#Карьера

Твой Пакет Безопасности

​Нулевой плавник

Как я и говорил, скоро мы с крутыми ребятами и их телеграм-каналами (подсказка внизу) разыграем для вас тот самый оранжевый тамагочи – Flipper Zero (и не только его). Так вот, настало время узнать, что же это вообще такое и зачем оно вам надо. Да, будет душновато.

Из того, что знает большинство – это вожделенный девайс для всех начинающих анонимусов – вскрыть чей-то Geely, открыть шлагбаум, турникет или дверь в подъезде, взломать чей-то ПК, напугать соседей неожиданным сбоем всей электроники в доме. Но мало кто знает, что это еще и полезный мультитул в хозяйстве (помимо того, что им можно тренировать навыки физического пентеста).

Начнем с того, что флиппер – хорошая основа, на которую можно навесить монитор что-угодно, начиная от модулей с лего и диодами, заканчивая мощными антеннами и платами для взлома дополнительных интерфейсов. Но в этой игрушке есть и много чего "из коробки".

Так, например, в вашем распоряжении буде встроенный ИК-порт (помните такие?), с помощью которого вы можете управлять не самой умной электроникой в вашем доме или офисе – кондиционеры, ТВ и практически всё, у чего есть пульт. Флипперу нужно всего раз дать считать необходимый сигнал, чтобы он смог сохранить его у себя в памяти. Можно теперь смело терять пульт от телевизора. И да, такие трюки можно проделывать не только со своей техникой.

Аналогичная история со всеми сигналами на частотах 300–928 MHz – это как раз те частоты, на которых работают шлагбаумы, сигнализации, дистанционные звонки и прочие вещи, управляемые удалённо. Тут думаю всё и так понятно.

Встроенные модули RFID и NFC помогут уже со считыванием чего-то на близком расстоянии – турникеры, домофоны, другие замки или чипы у животных. Проходите в офис по пропуску-карточке – можно записать ее на Флиппер. Открываете дверь в подъезде бесконтактным брелком – можно записать его сигнал на Флиппер. А если у вас домофоны прошлого поколения, которые открываются металлической таблеткой, то и о вас позаботился разработчик, ведь тут встроена так называемая iButton, на которую можно записать (или подобрать) любой сигнал.

Еще эту штуку можно подключить напрямую по USB. к вашему компьютеру. Это откроет для вас еще больше возможностей этого тамагочи. Например, его можно использовать как аналог Google Auth для двухфакторной аутентификации. Также он умеет выводить виртуальную клавиатуру и эмулировать мышку, но эти особенности в легальном формате достаточно невостребованные.

Ну а еще у этой игрушки есть свое мобильное и десктопное приложения, с помощью которых можно ее обновлять, улучшать и управлять.

Что же тут можно умозаключить – крутая ли это штука? Абсолютно точно – да. С точки зрения идеи и инженерии так точно. Полезная ли она в быту? Точно да. Думаю, что каждый найдет в ней что-то полезное именно для себя. Опасный ли это инструмент? В руках плохих людей опасным будет даже карандаш. Так что да, это умное устройство будет достаточно эффективным орудием в руках злоумышленников. Благо мы с вами не такие.

Белый Хакер X Пакет Безопасности X OSINT Форензика X Похек

🎁Всем привет друзья, мы решили разыграть для вас тот самый Flipper о котором я рассказывал выше.
А так же еще 2 книги

- Занимайся хакингом как невидимка
- Социальная инженерия и этичный хакинг на практике

❕ Всего будет 3 призовых места.

Первое место - Flipper Zero
Второе место - Занимайся хакингом как невидимка
Третье место - Социальная инженерия и этичный хакинг на практике

Для участия нужно:

1. Быть подписанным на наши каналы Белый Хакер X Пакет Безопасности X OSINT Форензика X Похек
2. Нажать на кнопку «Участвовать».
Итоги подведем через неделю - 15 июня.
 
Учитывайте, что бот может немного подвиснуть — не переживайте, просто нажмите еще раз на кнопку «Участвовать».

#Конкурс

Есть идея

Так вот, появилась у меня тут одна идея – разделить наш любимый канал Пакет Безопасности на 2 канала.

Первый – для лайтовых новостей и постов для тех, кто не погружен в сферу кибербеза и просто хочет сделать свою жизнь чуть безопаснее, ну и быть в курсе актуальных новостей. А второй канал для кибербезопасников (или тех, кто в эту сторону идет), где я смогу душнить своими разборами, конференциями, докладами и прочим профильным контентом.

Кажется, что именно из-за этой размазанности многие не читают канал, отписываются и не особо активно проявляют себя в комментариях (и реакциях!!!!).

Мне правда важно ваше мнение, так как именно для вас я и пишу все эти посты.

Так и живем.

#КиберМем

Твой Пакет Безопасности