MEGANews. Cамые важные события в мире инфосека за ноябрь

Принудительные обновления Keenetic

Поль­зовате­ли роуте­ров Keenetic обна­ружи­ли, что их устрой­ства самос­тоятель­но получи­ли новую вер­сию про­шив­ки, даже если авто­мати­чес­кое обновле­ние было отклю­чено в нас­трой­ках. Пред­ста­вите­ли про­изво­дите­ля под­твер­дили факт при­нуди­тель­ного обновле­ния и заяви­ли, что оно свя­зано с недав­но обна­ружен­ной уяз­вимостью.

В начале нояб­ря раз­работ­чики Keenetic опуб­ликова­ли бюл­летень безопас­ности KEN-PSA-2025-WP01, пос­вящен­ный уяз­вимос­ти типа CWE-521 (сла­бые тре­бова­ния к паролям). Сооб­щает­ся, что проб­лема получи­ла 8,8 бал­ла по шка­ле CVSS и зат­рагива­ла устрой­ства Keenetic, работа­ющие под управле­нием KeeneticOS ниже 4.3.

Уяз­вимость была свя­зана с тем, что на устрой­ствах с про­шив­ками до KeeneticOS вер­сии 4.3 поль­зовате­ли мог­ли уста­нав­ливать «сла­бые пароли адми­нис­тра­тора и при этом откры­вать дос­туп к веб‑кон­фигура­тору из интерне­та, что соз­давало высокий риск ком­про­мета­ции».

Под­черки­валось, что обя­затель­ным для ком­про­мета­ции усло­вием была дос­тупность веб‑кон­фигура­тора через интернет и вклю­чен­ный уда­лен­ный веб‑дос­туп. В ком­пании пре­дуп­режда­ли:

Внут­ренние рас­сле­дова­ния показа­ли, что эта уяз­вимость экс­плу­ати­рует­ся авто­мати­зиро­ван­ными ска­нера­ми паролей на устрой­ствах с наибо­лее рас­простра­нен­ными сла­быми пароля­ми. Пос­ледняя вер­сия KeeneticOS 4.3 тре­бует более надеж­ных паролей и бло­киру­ет пуб­личный веб‑дос­туп, если уста­нов­лен извес­тный ском­про­мети­рован­ный пароль.

Сре­ди воз­можных пос­ледс­твий от экс­плу­ата­ции этой уяз­вимос­ти раз­работ­чики наз­вали пол­ный зах­ват кон­тро­ля над устрой­ством, поз­воля­ющий изме­нять кон­фигура­цию, перех­ватывать/перенап­равлять тра­фик, вклю­чать допол­нитель­ные служ­бы и, воз­можно, даль­нейшее про­ник­новение во внут­реннюю сеть.

Пред­ста­вите­ли Keenetic рекомен­довали поль­зовате­лям обно­вить устрой­ства с вер­сиями ниже 4.3 до KeeneticOS 4.3 или более поз­дних, а так­же отклю­чать уда­лен­ный веб‑дос­туп, если он не нужен, и исполь­зовать длин­ные, уни­каль­ные пароли (дли­ной не менее 15 сим­волов или сге­нери­рован­ную кодовую фра­зу).

Вско­ре пос­ле пуб­ликации это­го бюл­летеня мно­гие поль­зовате­ли роуте­ров Keenetic обра­тили вни­мание, что их устрой­ства самос­тоятель­но уста­нови­ли обновле­ние про­шив­ки, даже если авто­обновле­ние было отклю­чено в нас­трой­ках.

Как пояс­нили в Telegram-груп­пе пред­ста­вите­ли ком­пании, обновле­ние было свя­зано с устра­нени­ем проб­лемы CWE-521, опи­сан­ной в бюл­летене KEN-PSA-2025-WP01.

Ре­шение о при­нуди­тель­ном обновле­нии устрой­ств выз­вало вол­ну кри­тики со сто­роны поль­зовате­лей. На офи­циаль­ном форуме Keenetic появил­ся тред с тре­бова­нием пре­дос­тавить воз­можность отклю­чения при­нуди­тель­ных обновле­ний, а в Telegram-груп­пе раз­верну­лась активная дис­куссия, в которой поль­зовате­ли выража­ют недоволь­ство тем, что про­изво­дитель может уда­лен­но управлять их устрой­ства­ми в обход нас­тро­ек. Некото­рые учас­тни­ки обсужде­ния рас­ценили про­изо­шед­шее как сви­детель­ство наличия бэк­дора в про­шив­ке роуте­ров.

Cellebrite ломает телефоны Pixel

Из­дание 404 Media обра­тило вни­мание на утеч­ку, опуб­ликован­ную на форумах GrapheneOS. Ано­ним­ный инсай­дер, скры­вающий­ся под ником rogueFed, об­народо­вал скрин­шоты с зак­рытого бри­фин­га ком­пании Cellebrite для пра­воох­ранитель­ных орга­нов. На изоб­ражени­ях вид­но, какие модели смар­тфо­нов Google Pixel уяз­вимы для взло­ма инс­тру­мен­тами ком­пании. Как выяс­нилось, кас­томная GrapheneOS защища­ет устрой­ства луч­ше, чем сто­ковая сис­тема Google.

Из­раиль­ская Cellebrite позици­они­рует себя как незави­симую кибер­кри­мина­лис­тичес­кую ком­панию, которая спе­циали­зиру­ется на извле­чении дан­ных с мобиль­ных устрой­ств. Cellebrite раз­рабаты­вает инс­тру­мен­ты, которые исполь­зуют­ся пра­воох­ранитель­ными орга­нами, спец­служ­бами и час­тны­ми ком­пани­ями по все­му миру для извле­чения дан­ных со смар­тфо­нов и дру­гих устрой­ств.

Обыч­но Cellebrite дер­жит под­робнос­ти о сво­их инс­тру­мен­тах в сек­рете, но утеч­ка опи­сыва­ет воз­можнос­ти Cellebrite для телефо­нов Pixel 6, 7, 8 и 9 (Pixel 10, вышед­ший нес­коль­ко месяцев назад, в спис­ке отсутс­тву­ет).

Под­держи­ваемые устрой­ства раз­делены на три сос­тояния:

• BFU (Before First Unlock) — телефон не раз­бло­киро­вал­ся пос­ле перезаг­рузки, все дан­ные зашиф­рованы. Тра­дици­онно это сос­тояние счи­тает­ся самым защищен­ным;
• AFU (After First Unlock) — устрой­ство раз­бло­киро­валось хотя бы раз пос­ле заг­рузки. Извле­чение дан­ных в этом сос­тоянии счи­тает­ся более прос­тым;
• Unlocked — телефон раз­бло­киро­ван. Дос­туп к дан­ным открыт.

Сог­ласно сли­тым rogueFed матери­алам, инс­тру­мен­ты Cellebrite спо­соб­ны извле­кать дан­ные с устрой­ств на сто­ковой про­шив­ке (Google Pixel 6, 7, 8 и 9) во всех трех сос­тояниях — BFU, AFU и Unlocked. Одна­ко инс­тру­мен­ты ком­пании не могут брут­форсить пароли для получе­ния пол­ного кон­тро­ля над устрой­ством. Так­же пра­воох­раните­ли пока не могут ско­пиро­вать eSIM с устрой­ств Pixel (при­меча­тель­но, что с релизом Pixel 10 про­изо­шел пол­ный отказ от физичес­ких SIM-карт).

Од­нако для устрой­ств под управле­нием GrapheneOS кар­тина замет­но меня­ется. Пред­ста­вите­ли Cellebrite сооб­щили пра­воох­раните­лям, что дос­туп воз­можен лишь к тем устрой­ствам, которые работа­ют под управле­нием вер­сий GrapheneOS стар­ше кон­ца 2022 года. Пос­коль­ку Pixel 8 и 9 выш­ли пос­ле ука­зан­ного сро­ка, устрой­ства в сос­тояниях BFU и AFU защище­ны от инс­тру­мен­тов Cellebrite.

Бо­лее того, выяс­нилось, что с кон­ца 2024 года даже с пол­ностью раз­бло­киро­ван­ного устрой­ства под управле­нием GrapheneOS невоз­можно извлечь дан­ные и дос­туп огра­ничен толь­ко тем, что дос­тупно самому поль­зовате­лю.

GrapheneOS (ранее извес­тная как CopperheadOS) — это про­шив­ка на осно­ве AOSP, в которой мак­сималь­ный упор сде­лан на кон­фиден­циаль­ность и защиту поль­зовате­ля. Она уста­нав­лива­ется на отдель­ные модели телефо­нов, вклю­чая Pixel, и пос­тавля­ется без сер­висов Google. Сис­тема популяр­на сре­ди поль­зовате­лей, которым важ­на при­ват­ность. Сов­сем недав­но мы пос­вятили GrapheneOS от­дель­ную статью.

Сле­дует отме­тить, что, по сло­вам rogueFed, он под­клю­чил­ся к двум зак­рытым бри­фин­гам Cellebrite и его не замети­ли. На одном из опуб­ликован­ных скрин­шотов инсай­дер так­же рас­крыл имя орга­низа­тора встре­чи. Жур­налис­ты пред­полага­ют, что пос­ле этой утеч­ки Cellebrite навер­няка уси­лит про­вер­ку учас­тни­ков таких онлайн‑бри­фин­гов.

Вакансии в даркнете

• Эк­спер­ты «Лабора­тории Кас­пер­ско­го» про­ана­лизи­рова­ли 1722 пуб­ликации на теневых форумах — вакан­сии и резюме, появив­шиеся с янва­ря 2023 года по июнь 2025 года.
• Ко­личес­тво резюме поч­ти вдвое пре­выси­ло чис­ло вакан­сий: 62% про­тив 38%. Перевес стал осо­бен­но замет­ным в кон­це 2023 года, ког­да поток соис­кателей рез­ко вырос.

• Со­иска­тели в дар­кне­те ведут себя, как на обыч­ных пло­щад­ках: ука­зыва­ют на­выки, зна­ние язы­ков и даже от­сутс­твие вред­ных при­вычек.
• 71% соис­кателей не ука­зали кон­крет­ный про­филь работы: такие люди сог­ласны на любую опла­чива­емую работу.
• Са­мые час­то упо­мина­емые про­фес­сии в резюме для жен­щин — это работа в чатах и кол‑цен­трах (10%) и тех­ничес­кой под­дер­жке (7%). Для муж­чин — раз­работ­чик (7%) и работа, свя­зан­ная с легали­заци­ей денеж­ных средств (6%).

• Са­мые высоко­опла­чива­емые ИТ‑спе­циалис­ты в дар­кне­те — реверс‑инже­неры со сред­ней заработ­ной пла­той 340 000 руб­лей.
• Так­же иссле­дова­тели про­ана­лизи­рова­ли вакан­сии, опуб­ликован­ные в дар­кне­те, и выяви­ли самые упо­мина­емые спе­циаль­нос­ти. Сре­ди них: раз­работ­чики (22%), сфе­ра отмы­ва денег (14,5%), траф­феры (7,5%) и ска­меры (5%).

Microsoft против KMS-активации

Поль­зовате­ли замети­ли, что раз­работ­чики Microsoft отклю­чили офлайн‑спо­соб акти­вации Windows 11 и 10 через KMS38, который годами исполь­зовали пираты по все­му миру. При этом в офи­циаль­ных при­меча­ниях к релизам об этих изме­нени­ях не упо­мина­ется.

KMS38 раз­работа­ли энту­зиас­ты из про­екта Massgrave (MAS, Microsoft Activation Scripts), который известен бла­года­ря репози­торию с неофи­циаль­ными инс­тру­мен­тами для акти­вации Windows и Office.

Суть это­го метода акти­вации зак­лючалась в том, что­бы обма­нуть сис­темный файл gatherosstate.exe (слу­жеб­ная ути­лита, которая опре­деля­ет, под­ходит ли текущая сис­тема для обновле­ния), прод­левая срок KMS-акти­вации (Key Management Service) с обыч­ных 180 дней до 19 янва­ря 2038 года. Уста­новить более отда­лен­ную дату не поз­воляла проб­лема 2038 года (Y2K38).

Борь­ба с KMS38 началась поч­ти два года тому назад. Пер­вые приз­наки появи­лись еще в янва­ре 2024-го, ког­да в Windows 26040 из уста­новоч­ного обра­за исчез файл gatherosstate.exe. Это озна­чало, что при круп­ных обновле­ниях и пере­уста­нов­ках сис­тема сбра­сыва­ла льгот­ный пери­од акти­вации до нуля, вынуж­дая поль­зовате­ля заново под­клю­чать­ся к KMS-сер­веру.

Од­нако финаль­ным уда­ром для KMS38 ста­ло необя­затель­ное обновле­ние для Windows 11 KB5067036, вышед­шее в октябре 2025 года. В нем Microsoft пол­ностью упраз­дни­ла фун­кци­ональ­ность GatherOSstate, и пос­ле ноябрь­ско­го «втор­ника обновле­ний» (пакеты KB5068861 и KB5067112) KMS38 окон­чатель­но перес­тал работать.

Раз­работ­чики Massgrave под­твер­дили, что метод боль­ше не дей­ству­ет. В пос­ледней вер­сии скрип­тов MAS 3.8 под­дер­жка KMS38 пол­ностью уда­лена.

В Massgrave рекомен­дуют поль­зовате­лям при­менять аль­тер­натив­ные методы: HWID (Hardware ID) и TSforge, которые по‑преж­нему работа­ют.

Бернерс-Ли о коллапсе рекламной модели интернета

На сам­мите Financial Times Future of AI сэр Тим Бер­нерс‑Ли (Tim Berners-Lee), соз­датель Все­мир­ной паути­ны, пре­дуп­редил, что генера­тив­ный ИИ угро­жает мно­гомил­лиар­дной рек­ламной эко­номи­ке интерне­та. Боль­шие язы­ковые модели пог­лоща­ют кон­тент и выда­ют отве­ты нап­рямую поль­зовате­лям — без посеще­ния исходных сай­тов. А если люди перес­танут кли­кать по ссыл­кам и читать веб‑стра­ницы, рек­ламная модель, на которой дер­жатся такие гиган­ты, как Google, может рух­нуть.

Бер­нерс‑Ли не исклю­чает, что в будущем LLM будут не толь­ко читать кон­тент, но и соз­давать его сами, пол­ностью заменив людей в цепоч­ке соз­дания информа­ции:

Ес­ли веб‑стра­ницы будут читать толь­ко боль­шие язы­ковые модели, а люди ста­нут спра­шивать у них дан­ные и получать готовые резуль­таты, вся рек­ламная биз­нес‑модель интерне­та нач­нет рушить­ся. Боль­шая часть веба зависит от рек­ламы. Рек­лама зависит от того, что люди реаль­но чита­ют стра­ницы. Если все дума­ют, что стра­ницу чита­ет человек, а на самом деле это дела­ет LLM — у нас проб­лема.

Ес­ли LLM чита­ет стра­ницу, а человек не чита­ет — у нас проб­лема с биз­нес‑моделью. Нам нуж­но заменить ее чем‑то дру­гим. Ужа­сает то, что так мно­го нашей жиз­ни в вебе осно­вано на том, что люди так или ина­че чита­ют стра­ницы, а теперь этот эле­мент выпада­ет из цепоч­ки. Если люди прос­то исполь­зуют ИИ, перес­танут ли они читать бло­ги? Воз­можно, мы при­дем к общес­тву, где LLM будут играть роль и авто­ров, и читате­лей.

Минцифры обновило «белые списки»

Ми­нис­терс­тво циф­рового раз­вития, свя­зи и мас­совых ком­муника­ций РФ опуб­ликова­ло в сво­ем Telegram-канале допол­ненный спи­сок сай­тов, которые будут дос­тупны во вре­мя огра­ниче­ний работы мобиль­ного интерне­та. В ведомс­тве сооб­щили:

Сфор­мирован перечень рос­сий­ских циф­ровых плат­форм, которые на вто­ром эта­пе вош­ли в спи­сок сер­висов и сай­тов, дос­тупных в пери­оды отклю­чений мобиль­ного интерне­та по сооб­ражени­ям безопас­ности.

На вто­ром эта­пе в спи­сок вклю­чены:

• сай­ты государс­твен­ных орга­нов: Гос­думы, федераль­ных минис­терств, служб и агентств, государс­твен­ных информа­цион­ных сис­тем, Ген­про­кура­туры, пра­витель­ств субъ­ектов РФ;
• «Поч­та Рос­сии»;
• «Аль­фа‑Банк»;
• го­сударс­твен­ная сис­тема циф­ровой мар­киров­ки товаров «Чес­тный знак»;
• СМИ: «Ком­сомоль­ская прав­да», «РИА Новос­ти», РБК, «Газета.ру», «Лен­та.ру», Rambler;
• РЖД и турис­тичес­кий пор­тал «Туту.ру»;
• на­вига­тор 2ГИС;
• так­си «Мак­сим»;
• сайт с прог­нозом погоды Gismeteo.

От­меча­ется, что опе­рато­ры мобиль­ной свя­зи уже реали­зова­ли необ­ходимые нас­трой­ки и перечис­ленные ресур­сы будут дос­тупны в пери­оды огра­ниче­ний. В минис­терс­тве заяви­ли:

Пе­речень циф­ровых плат­форм фор­миру­ется из наибо­лее популяр­ных интернет‑ресур­сов Рос­сии, а так­же на осно­ве пред­ложений федераль­ных и реги­ональ­ных орга­нов влас­ти. Он будет попол­нять­ся.

В сен­тябре 2025 года Мин­цифры сос­тавило пер­вую вер­сию «белых спис­ков», в которую вош­ли наибо­лее вос­тре­бован­ные и соци­аль­но зна­чимые рос­сий­ские сер­висы и сай­ты. Так, на пер­вом эта­пе в «белый спи­сок» попали:

• сер­висы «Вкон­такте», «Одноклас­сни­ки», Mail.ru и наци­ональ­ный мес­сен­джер Max;
• сер­висы «Госус­луг»;
• сер­висы «Яндекса»;
• мар­кет­плей­сы Ozon и Wildberries;
• Avito;
• «Дзен»;
• Rutube;
• офи­циаль­ный сайт пла­теж­ной сис­темы «Мир»;
• сай­ты пра­витель­ства и адми­нис­тра­ции пре­зиден­та Рос­сии;
• фе­дераль­ная плат­форма дис­танци­онно­го элек­трон­ного голосо­вания (ДЭГ);
• опе­рато­ры свя­зи «Билайн», «Мегафон», «МТС», «Рос­телеком» и T2.

Тог­да СМИ писали, что в спис­ки пла­ниру­ется добавить еще мно­жес­тво раз­личных сер­висов, вклю­чая даже сайт бук­мекер­ской ком­пании «Фон­бет», одна­ко пред­ста­вите­ли Мин­цифры оп­ровер­гли эту информа­цию. В минис­терс­тве отме­тили, что спис­ки дей­стви­тель­но еще фор­миру­ются и будут рас­ширять­ся в нес­коль­ко эта­пов. В час­тнос­ти, сооб­щалось, что в перечень вой­дут сайт МЧС, пор­талы Государс­твен­ной думы, Совета Федера­ции и Генераль­ной про­кура­туры, а так­же «СМИ, бан­ки и апте­ки».

ФБР интересуется archive.today

В ФБР заин­тересо­вались лич­ностью челове­ка, который управля­ет archive.today (он же archive.is и archive.ph) — одним из круп­ней­ших онлайн‑архи­вов, который годами исполь­зовал­ся для сох­ранения стра­ниц, обхо­да плат­ного дос­тупа и прос­мотра матери­алов без перехо­да на ори­гиналь­ные сай­ты.

30 октября 2025 года ФБР нап­равило домен­ному регис­тра­тору Tucows пред­писание с тре­бова­нием рас­крыть дан­ные вла­дель­ца домена.

В докумен­те, который пред­ста­вите­ли archive.today опуб­ликова­ли в соц­сети X, говорит­ся, что зап­рос свя­зан с федераль­ным уго­лов­ным рас­сле­дова­нием. В судеб­ном зап­росе не уточ­няет­ся, о каких имен­но наруше­ниях идет речь, одна­ко ФБР тре­бует рас­крыть целый перечень дан­ных, вклю­чая:

За­писи мес­тных и меж­дугород­ных телефон­ных соеди­нений (вхо­дящие и исхо­дящие вызовы, push-to-talk, SMS/MMS); све­дения о спо­собах и источни­ках опла­ты (вклю­чая номера бан­ков­ских карт и сче­тов); дан­ные о вре­мени и дли­тель­нос­ти интернет‑сес­сий; иден­тифика­торы устрой­ств (IMEI, IMSI, UFMI, ESN) и дру­гие иден­тифика­торы поль­зовате­ля, вклю­чая вре­мен­ные сетевые адре­са (в том чис­ле IP-адре­са); а так­же све­дения о типах исполь­зуемых сер­висов (push-to-talk, текст, трех­сто­рон­няя связь, поч­товые сер­висы, облачные сер­висы, игро­вые сер­висы и так далее).

Ре­гис­тра­тор под­твер­дил СМИ, что обыч­но выпол­няет такие зап­росы влас­тей, одна­ко ком­менти­ровать ситу­ацию отка­зал­ся.

Archive.today (и его зер­кала — archive.is, archive.ph и так далее) появил­ся более десяти лет назад. Наиболь­ший всплеск популяр­ности сер­вис получил во вре­мя GamerGate, так как учас­тни­ки онлайн‑кам­пании активно сох­раняли в сер­висе пуб­ликации, что­бы не нап­равлять тра­фик на сай­ты‑источни­ки и сле­дить за изме­нени­ями в стать­ях.

Со вре­менем ресурс стал одним из круп­ней­ших инс­тру­мен­тов для архи­вации веба: поль­зовате­ли сох­раня­ют в нем новос­ти, бло­ги, матери­алы госор­ганов и стра­ницы, которые могут исчезнуть или изме­нить­ся со вре­менем.

При этом о соз­дателях про­екта не извес­тно прак­тичес­ки ничего. Ред­кие попыт­ки разоб­рать­ся в про­исхожде­нии archive.today при­води­ли лишь к появ­лению гипотез. Одно из таких ис­сле­дова­ний пред­полага­ло, что сайт ведет один человек, веро­ятно находя­щий­ся в Рос­сии, обла­дающий нуж­ной тех­ничес­кой под­готов­кой и свя­зями в Евро­пе.

Сам сер­вис заяв­лял, что финан­сиру­ется час­тным обра­зом и не име­ет слож­ной инфраструк­туры. К при­меру, в 2021 году его адми­нис­тра­ция пи­сала, что про­ект «может уме­реть в любой момент».

В нас­тоящее вре­мя в архи­вах сер­виса сох­ранены сот­ни мил­лионов стра­ниц. Из‑за осо­бен­ностей работы про­екта уда­лить матери­ал из archive.today прак­тичес­ки невоз­можно: еще в 2013 году авто­ры объ­ясня­ли, что они, нап­ротив, борют­ся с «мер­твы­ми ссыл­ками».

Мобильная малварь становится активнее

• Спе­циалис­ты ком­пании Zscaler обна­ружи­ли в Google Play 239 вре­донос­ных при­ложе­ний за пери­од с июня 2024-го по май 2025 года. В сум­ме их ска­чали более 42 мил­лионов раз.
• Ко­личес­тво атак на мобиль­ные устрой­ства вырос­ло на 67% за год. Основной драй­вер рос­та — мошен­ничес­тво с пла­тежа­ми через фишинг, сми­шинг и под­мену SIM-карт.

• Рек­ламная мал­варь оста­ется глав­ной угро­зой — она была обна­руже­на в 69% всех слу­чаев. На вто­ром мес­те инфости­лер Joker с 23%.
• Ак­тивность шпи­онских прог­рамм взле­тела на 220%. Лидеры в этой области — SpyNote, SpyLoan и BadBazaar, которые сле­дят за поль­зовате­лями, шан­тажиру­ют их и кра­дут лич­ные дан­ные.

• Боль­ше все­го жертв Android-мал­вари было обна­руже­но в Индии, США и Канаде (55% атак). В Ита­лии и Изра­иле рост зараже­ний дос­тиг 800–4000% год к году.

Запрет авторизации через зарубежные сервисы

В Гос­думу внес­ли законоп­роект, который пре­дус­матри­вает адми­нис­тра­тив­ную ответс­твен­ность и штра­фы в раз­мере до 700 тысяч руб­лей для вла­дель­цев рос­сий­ских сай­тов, которые игно­риру­ют тре­бова­ния об авто­риза­ции поль­зовате­лей толь­ко через рос­сий­ские сер­висы.

До­кумент появил­ся в элек­трон­ной базе, и его подала груп­па депута­тов во гла­ве с пер­вым зам­пре­дом комите­та по инфор­мпо­лити­ке Анто­ном Горел­киным.

Еще в 2023 году были при­няты тре­бова­ния, сог­ласно которым авто­риза­ция поль­зовате­лей на тер­ритории Рос­сии дол­жна про­ходить:

• по номеру телефо­на рос­сий­ско­го опе­рато­ра свя­зи;
• че­рез еди­ный пор­тал «Госус­луг» (ЕСИА) и Еди­ную биомет­ричес­кую сис­тему (ЕБС);
• с исполь­зовани­ем иной инфор­мсис­темы, которая обес­печива­ет авто­риза­цию поль­зовате­лей сай­тов и вла­дель­цем которой явля­ется граж­данин РФ, не име­ющий граж­данс­тва дру­гого государс­тва, или рос­сий­ское юрли­цо с инос­тран­ным вла­дени­ем менее 50%.

Как тог­да писал Антон Горел­кин, ини­циати­ва свя­зана с «обес­печени­ем гаран­тии сох­раннос­ти пер­сональ­ных дан­ных» на более высоком уров­не. Он добав­лял, что «по элек­трон­ной поч­те авто­риза­цию про­водить мож­но, но это дол­жна быть рос­сий­ская поч­та». При этом отме­чалось, что закон не име­ет обратной силы, поэто­му изме­нения зат­ронут толь­ко новые регис­тра­ции, в то вре­мя как уже зарегис­три­рован­ные акка­унты, при­вязан­ные к инос­тран­ным сер­висам элек­трон­ной поч­ты, про­дол­жат работать.

Кро­ме того, в 2023 году гла­ва комите­та Гос­думы по инфор­мпо­лити­ке Алек­сандр Хин­штейн (занимал эту дол­жность с 2020-го по 2024 год) уточ­нял, что под «иной инфор­мсис­темой» име­ются в виду рос­сий­ские сер­висы, нап­ример «Вкон­такте» или поч­та Mail.ru. Он так­же добав­лял, что регис­три­ровать­ся с помощью элек­трон­ных поч­товых адре­сов инос­тран­ных сер­висов будет нель­зя.

Пред­став­ленный 14 нояб­ря 2025 года законоп­роект вво­дит штра­фы за наруше­ние выше­опи­сан­ных пра­вил:

• для граж­дан — от 10 000 до 20 000 руб­лей;
• для дол­жностных лиц — от 30 000 до 50 000 руб­лей;
• для юри­дичес­ких лиц — от 500 000 до 700 000 руб­лей.

Те же штра­фы гро­зят за при­мене­ние рекомен­датель­ных тех­нологий без информи­рова­ния поль­зовате­лей, непуб­ликацию пра­вил их исполь­зования, отсутс­твие адре­са элек­трон­ной поч­ты для юри­дичес­ки важ­ных сооб­щений, а так­же ини­циалов и наз­вания вла­дель­ца ресур­са.

От­дель­ная ответс­твен­ность пре­дус­мотре­на за невыпол­нение тре­бова­ний Рос­комнад­зора о прек­ращении исполь­зования рекомен­датель­ных тех­нологий — здесь штра­фы начина­ются от 20 тысяч руб­лей для граж­дан и доходят до 2,8 мил­лиона руб­лей для ком­паний за пов­торное наруше­ние.

Ан­тон Горел­кин про­ком­менти­ровал ини­циати­ву в сво­ем Telegram-канале, озаг­лавив пуб­ликацию как «Авто­риза­ция через Google — ВСЁ». Он пишет, что законоп­роект не зат­ронет «обыч­ных поль­зовате­лей интерне­та». По его сло­вам, штра­фы кос­нутся толь­ко вла­дель­цев сай­тов и при­ложе­ний, которые «уже два года игно­риру­ют закон».

Де­путат объ­яснил эту ини­циати­ву стрем­лени­ем «даль­ше умень­шать зависи­мость Рунета от решений из нед­ружес­твен­ных государств».

Торвальдс о вайб-кодинге

Ли­нус Тор­валь­дс (Linus Torvalds) выс­казал­ся о раз­работ­ке с помощью ИИ на Linux Foundation Open Source Summit в Сеуле. Он наз­вал вайб‑кодинг отличным спо­собом начать работу с компь­юте­рами, но катего­ричес­ки не под­ходящим для про­дак­шена.

По сло­вам Тор­валь­дса, вайб‑кодинг помога­ет людям зас­тавить компь­ютер делать то, что они рань­ше не мог­ли. Но для серь­езной раз­работ­ки это катас­тро­фа с точ­ки зре­ния под­дер­жки кода:

Я весь­ма позитив­но отно­шусь к вайб‑кодин­гу — но не для раз­работ­ки ядра. Компь­юте­ры ста­ли нам­ного слож­нее, чем в то вре­мя, ког­да я учил­ся прог­рамми­ровать, набирая код из компь­ютер­ных жур­налов. Вайб‑кодинг — отличный спо­соб для людей зас­тавить компь­юте­ры делать то, что они, воз­можно, не смог­ли бы сде­лать ина­че. Одна­ко с точ­ки зре­ния под­дер­жки кода это может быть прос­то ужас­ной иде­ей.

ИИ — прос­то еще один инс­тру­мент. Это похоже на то, как ком­пилято­ры осво­бож­дают людей от необ­ходимос­ти писать код на ассем­бле­ре вруч­ную и зна­читель­но повыша­ют про­изво­дитель­ность, но из‑за это­го не исчезли прог­раммис­ты.

Google разрешит sideloading

Пред­ста­вите­ли Google изме­нили мне­ние о зап­ланиро­ван­ной обя­затель­ной верифи­кации раз­работ­чиков Android-при­ложе­ний. Пос­ле кри­тики со сто­роны сооб­щес­тва ком­пания объ­яви­ла, что вве­дет упро­щен­ные акка­унты для неболь­ших раз­работ­чиков и соз­даст отдель­ный режим для «опыт­ных поль­зовате­лей», которые смо­гут уста­нав­ливать невери­фици­рован­ные при­ложе­ния из сто­рон­них источни­ков.

В августе 2025 года Google анон­сирова­ла новую сис­тему верифи­кации для раз­работ­чиков при­ложе­ний (Developer Verification), которая дол­жна была зарабо­тать в 2026 году. В час­тнос­ти, пла­ниро­валось, что даже при­ложе­ния, уста­нав­лива­емые на Android-устрой­ства из сто­рон­них источни­ков, дол­жны исхо­дить толь­ко от раз­работ­чиков с под­твержден­ной лич­ностью.

При этом в ком­пании сооб­щали, что при­ложе­ния невери­фици­рован­ных раз­работ­чиков прос­то не будут уста­нав­ливать­ся на сер­тифици­рован­ные Android-устрой­ства, то есть девай­сы, на которых работа­ет Play Protect и пре­дус­танов­лены при­ложе­ния Google.

Google обос­новыва­ла эти меры борь­бой с вре­донос­ным ПО и финан­совым мошен­ничес­твом, так как зло­умыш­ленни­ки неред­ко исполь­зуют соци­аль­ную инже­нерию, убеж­дая поль­зовате­лей обой­ти встро­енные защит­ные механиз­мы Android и уста­новить мал­варь вруч­ную.

Од­нако прак­тичес­ки сра­зу эта ини­циати­ва выз­вала острую кри­тику со сто­роны сооб­щес­тва. В час­тнос­ти, раз­работ­чики воз­мутились тем, что теперь всем при­дет­ся пре­дос­тавлять Google докумен­ты, удос­товеря­ющие лич­ность, а так­же пла­тить взно­сы за про­хож­дение верифи­кации. Кро­ме того, в ини­циати­ве уви­дели попыт­ку Google упро­чить свой кон­троль над эко­сис­темой Android.

К при­меру, раз­работ­чики популяр­ней­шего магази­на при­ложе­ний F-Droid и вов­се пре­дуп­режда­ли, что при­нятие новых пра­вил может угро­жать сущес­тво­ванию любых аль­тер­натив­ных магази­нов при­ложе­ний, вклю­чая сам F-Droid:

Мы не верим, что регис­тра­ция раз­работ­чиков мотиви­рова­на безопас­ностью. Это попыт­ка кон­солиди­ровать власть и уси­лить кон­троль над ранее откры­той эко­сис­темой.

Стол­кнув­шись со столь мас­совым недоволь­ством сооб­щес­тва, пред­ста­вите­ли Google пош­ли на попят­ную. В час­тнос­ти, в ком­пании пообе­щали сде­лать бес­плат­ную верифи­кацию для раз­работ­чиков‑энту­зиас­тов и сту­ден­тов, которые хотят уста­нав­ливать свои при­ложе­ния на огра­ничен­ное чис­ло устрой­ств. А так­же под­твер­дили, что уста­нов­ка через ADB (с под­клю­чен­ного компь­юте­ра) тоже оста­нет­ся дос­тупной.

Те­перь ком­пания сооб­щила, что готова сде­лать еще два важ­ных шага.

Уп­рощен­ные акка­унты для неболь­ших раз­работ­чиков. Google соз­даст спе­циаль­ный тип учет­ных записей для тех, кто рас­простра­няет при­ложе­ния сре­ди неболь­шой ауди­тории — семьи, дру­зей, кол­лег. Такие раз­работ­чики смо­гут обой­тись без про­хож­дения пол­ной верифи­кации.

«Прод­винутый режим» (Advanced flow) для опыт­ных поль­зовате­лей. Тем, кто готов взять на себя рис­ки, раз­решат уста­нав­ливать невери­фици­рован­ные при­ложе­ния. Сис­тема будет пре­дуп­реждать поль­зовате­ля о потен­циаль­ной опас­ности, одна­ко финаль­ное решение оста­нет­ся за поль­зовате­лем.

Мэттью Фор­сайт (Matthew Forsythe), дирек­тор по управле­нию про­дук­тами Android App Safety, заявил:

Мы ценим активность сооб­щес­тва и услы­шали получен­ные отзы­вы — осо­бен­но от сту­ден­тов и раз­работ­чиков‑энту­зиас­тов, которым нужен дос­тупный путь для обу­чения, а так­же от опыт­ных поль­зовате­лей, которые готовы брать на себя рис­ки, свя­зан­ные с безопас­ностью.

Как имен­но будет работать «прод­винутый режим», пока не рас­кры­вает­ся. Google обе­щает обна­родо­вать боль­ше информа­ции в бли­жай­шие месяцы. Веро­ятно, этот режим будут соп­ровож­дать допол­нитель­ные пре­дуп­режде­ния при уста­нов­ке, может пот­ребовать­ся одно­разо­вая акти­вация через ADB или спе­циаль­ный внут­ренний про­цесс Google.

Ком­пания под­черки­вает, что цель всех этих новов­ведений — защита поль­зовате­лей от манипу­ляций со сто­роны мошен­ников, которые уме­ют убеж­дать людей игно­риро­вать пре­дуп­режде­ния.

Google уже начала приг­лашать раз­работ­чиков, рас­простра­няющих при­ложе­ния за пре­дела­ми магази­на Google Play, для про­хож­дения верифи­кации в ран­нем дос­тупе. Пос­ле 25 нояб­ря 2025 года эта прог­рамма откро­ет две­ри и для раз­работ­чиков из Play Store.

Пол­ный запуск прог­раммы верифи­кации намечен на март 2026 года. С сен­тября будуще­го года обя­затель­ная верифи­кация зарабо­тает в Бра­зилии, Индо­незии, Син­гапуре и Таилан­де. Гло­баль­ное внед­рение механиз­ма зап­ланиро­вано на 2027 год.

77% сотрудников передают корпданные ИИ-чат-ботам

• Ком­пания LayerX выяс­нила: дан­ные теперь чаще уте­кают через копипас­ту, чем через заг­рузку фай­лов. Так, 77% сот­рудни­ков встав­ляют зак­рытую информа­цию в зап­росы к чат‑ботам, при этом 32% всех опе­раций копиро­вания из кор­поратив­ных акка­унтов в лич­ные про­исхо­дят через ИИ‑инс­тру­мен­ты.

• Сум­марно 45% сот­рудни­ков активно поль­зуют­ся ИИ, при­чем в 67% слу­чаев дос­туп к этим инс­тру­мен­там осу­щест­вля­ется через лич­ные акка­унты, а 92% исполь­зования при­ходит­ся на ChatGPT.
• 40% фай­лов, заг­ружа­емых в ИИ‑инс­тру­мен­ты, содер­жат пер­сональ­ные дан­ные или дан­ные пла­теж­ных карт. 82% опе­раций копиро­вания‑встав­ки про­исхо­дят через лич­ные акка­унты.
• По­ряд­ка 62% от всех встав­ленных в ИИ‑чаты дан­ных содер­жат кон­фиден­циаль­ную информа­цию, из них 87% информа­ции отправ­ляет­ся в некор­поратив­ные акка­унты.

Причины сбоя Cloudflare

Гла­ва ком­пании Cloudflare Мэттью Принс (Matthew Prince) рас­ска­зал о при­чинах мас­штаб­ного сбоя, который зат­ронул гло­баль­ную сеть ком­пании и мно­гие сай­ты 18 нояб­ря 2025 года. По его сло­вам, при­чиной ста­ла ошиб­ка при изме­нении прав дос­тупа к базе дан­ных, хотя понача­лу в ком­пании решили, что стол­кну­лись с мас­штаб­ной DDoS-ата­кой.

Принс пишет, что проб­лема воз­никла при обновле­нии прав дос­тупа в клас­тере ClickHouse, который генери­рует feature file для сис­темы Bot Management. Такой файл опи­сыва­ет активность и поведе­ние вре­донос­ных ботов, рас­простра­няя эту информа­цию по всей инфраструк­туре Cloudflare, что­бы софт, управля­ющий мар­шру­тиза­цией, знал о новых угро­зах.

Целью изме­нения прав было пре­дос­тавле­ние поль­зовате­лям дос­тупа к низ­коуров­невым дан­ным и метадан­ным. Одна­ко в зап­росе, который исполь­зовал­ся для извле­чения этих дан­ных, была допуще­на ошиб­ка — он воз­вра­щал лиш­нюю информа­цию. Это более чем вдвое уве­личи­ло раз­мер feature file. Ког­да он пре­высил уста­нов­ленный лимит, сис­тема обна­ружи­вала недопус­тимо боль­шой файл, пос­ле чего работа завер­шалась сбо­ем.

Проб­лему усу­губи­ло то, что клас­тер генери­ровал новую вер­сию фай­ла каж­дые пять минут. При этом «испорчен­ные» дан­ные появ­лялись толь­ко при зап­росе к тем нодам, которые уже получи­ли обновле­ние прав. В резуль­тате сис­тема то работа­ла, то сно­ва отка­зыва­ла (в зависи­мос­ти от того, на какую ноду попадал зап­рос и какой файл ухо­дил в раз­дачу).

Принс приз­нает­ся:

Эти колеба­ния не давали нам понять, что про­исхо­дит, пос­коль­ку вся сис­тема то вос­ста­нав­ливалась, то сно­ва выходи­ла из строя, ведь в нашу сеть попада­ли то хорошие, то «пло­хие» фай­лы кон­фигура­ции. Поэто­му сна­чала мы решили, что это ата­ка.

Пе­риоди­чес­кие сбои в работе Cloudflare начались око­ло 11:20 UTC 18 нояб­ря 2025 года, а уже к 13:00 все ноды ClickHouse ста­ли генери­ровать «пло­хие» фай­лы и сис­тема вош­ла в «ста­биль­ное сос­тояние отка­за», пос­ле чего серь­езные проб­лемы начались уже у кли­ентов.

По дан­ным СМИ, не работа­ли ноды Cloudflare по всей Евро­пе, вклю­чая Амстер­дам, Бер­лин, Вар­шаву, Вену, Сток­гольм, Фран­кфурт, Цюрих и дру­гие города. Downdetector зафик­сировал десят­ки тысяч жалоб на проб­лемы с сай­тами и хос­тингом. Попут­но поль­зовате­ли сооб­щали о сбо­ях в работе Spotify, Twitter, OpenAI, Anthropic, AWS и Google и мно­жес­тва дру­гих сер­висов.

Для устра­нения проб­лемы коман­да Cloudflare оста­нови­ла генера­цию «пло­хих» фай­лов, вруч­ную добави­ла в оче­редь заведо­мо хороший файл и при­нуди­тель­но переза­пус­тила основной прок­си. Пол­ное вос­ста­нов­ление заняло око­ло шес­ти часов, и в 17:44 UTC все сер­висы зарабо­тали в штат­ном режиме.

В сво­ем сооб­щении Принс отме­чает, что это был самый мас­штаб­ный сбой в работе ком­пании с 2019 года. Он при­нес всем изви­нения «за ту боль, которую мы при­чини­ли интерне­ту». По его сло­вам, подоб­ные проб­лемы недопус­тимы. Теперь ком­пания пла­ниру­ет уси­лить валида­цию кон­фигура­цион­ных фай­лов, добавить боль­ше механиз­мов для экс­трен­ного отклю­чения фун­кций, а так­же перес­мотреть логику обра­бот­ки оши­бок во всех основных модулях прок­си.

123456 и admin не устаревают

• Эк­спер­ты Comparitech про­ана­лизи­рова­ли более 2 мил­лиар­дов паролей, утек­ших в 2025 году через хак­форумы, Telegram и дру­гие каналы. Клас­сика вро­де 123456, admin и password по‑преж­нему лидиру­ет.

• 25% из 1000 самых популяр­ных паролей сос­тоят толь­ко из цифр. При этом 38,6% содер­жат пос­ледова­тель­ность 123, а еще 2% — обратную 321.
• Но­вые вари­ации тоже попали в топ: Aa123456 занял шес­тое мес­то, а Aa@123456 — три­над­цатое.
• Так­же поль­зовате­ли ком­биниру­ют бук­вы пер­вого ряда кла­виату­ры (qwerty) с циф­рами, получая вари­анты вро­де 1q2w3e4r, и исполь­зуют прос­тые, корот­кие и рас­простра­нен­ные сло­ва. Нап­ример, на 29-м мес­те ока­зал­ся пароль gin, а пароль minecraft встре­чал­ся в изу­чен­ной спе­циалис­тами выбор­ке 69 464 раза.

• 65,8% про­ана­лизи­рован­ных паролей короче 12 сим­волов, и толь­ко 3,2% содер­жат 16 сим­волов и боль­ше.
• 3,9% из 1000 самых рас­простра­нен­ных паролей содер­жат вари­ации слов pass или password.

Роутеры Asus атакует WrtHug

Ис­сле­дова­тели из ком­пании SecurityScorecard обна­ружи­ли мас­штаб­ную вре­донос­ную кам­панию WrtHug, в рам­ках которой были ском­про­мети­рова­ны око­ло 50 тысяч роуте­ров Asus по все­му миру. Ата­кующие экс­плу­ати­руют шесть уяз­вимос­тей, в основном в уста­рев­ших моделях серий AC и AX.

По дан­ным спе­циалис­тов, боль­шинс­тво заражен­ных устрой­ств находят­ся на Тай­ване, а осталь­ные рас­пре­деле­ны по Юго‑Вос­точной Азии, Рос­сии, Цен­траль­ной Евро­пе и США. Отме­чает­ся, что зараже­ний в Китае не обна­руже­но. По мне­нию иссле­дова­телей, это может ука­зывать на китай­ское про­исхожде­ние ата­кующих, хотя доказа­тель­ств для уве­рен­ной атри­буции недос­таточ­но.

WrtHug во мно­гом похожа на кам­панию AyySSHush, задоку­мен­тирован­ную ана­лити­ками ком­пании GreyNoise в мае 2025 года.

Ата­ки начина­ются с экс­плу­ата­ции проб­лем, допус­кающих инъ­екции команд, и дру­гих извес­тных уяз­вимос­тей:

• CVE-2023-41345–41348 — инъ­екции команд ОС через модули токенов;
• CVE-2023-39780 — инъ­екция команд (исполь­зовалась в AyySSHush);
• CVE-2024-12912 — выпол­нение про­изволь­ных команд;
• CVE-2025-2492 — обход аутен­тифика­ции в роуте­рах с вклю­чен­ной фун­кци­ей AiCloud (кри­тичес­кая).

Пос­ледняя уяз­вимость наибо­лее опас­на. В апре­ле текуще­го года раз­работ­чики Asus пре­дуп­режда­ли, что эта проб­лема может исполь­зовать­ся уда­лен­но с помощью спе­циаль­но под­готов­ленно­го зап­роса и не тре­бует аутен­тифика­ции на роуте­рах с вклю­чен­ным AiCloud.

По дан­ным SecurityScorecard, имен­но AiCloud (фун­кция облачно­го уда­лен­ного дос­тупа, встро­енная во мно­гие мар­шру­тиза­торы Asus и прев­раща­ющая их в при­ват­ные облачные сер­веры) ста­ла основной точ­кой вхо­да для ата­кующих.

Глав­ным инди­като­ром ком­про­мета­ции WrtHug слу­жит самопод­писан­ный TLS-сер­тификат в AiCloud, которым замени­ли стан­дар­тный на 99% взло­ман­ных устрой­ств. Новый сер­тификат выделя­ется сро­ком дей­ствия — 100 лет вмес­то обыч­ных десяти.

По это­му приз­наку иссле­дова­тели сумели обна­ружить око­ло 50 тысяч заражен­ных IP-адре­сов. Спе­циалис­ты пишут, что выяви­ли сле­дующие модели устрой­ств Asus, под­вер­гши­еся ата­кам:

• Asus Wireless Router 4G-AC55U;
• Asus Wireless Router 4G-AC860U;
• Asus Wireless Router DSL-AC68U;
• Asus Wireless Router GT-AC5300;
• Asus Wireless Router GT-AX11000;
• Asus Wireless Router RT-AC1200HP;
• Asus Wireless Router RT-AC1300GPLUS;
• Asus Wireless Router RT-AC1300UHP.

Как и в слу­чае с ата­ками AyySSHush, хакеры не обновля­ют про­шив­ку зах­вачен­ных роуте­ров, оставляя их уяз­вимыми для дру­гих зло­умыш­ленни­ков.

Ис­сле­дова­тели полага­ют, что ском­про­мети­рован­ные роуте­ры могут слу­жить сетью опе­раци­онных релей­ных узлов (operational relay box) для китай­ских хакер­ских опе­раций — прок­сировать тра­фик и скры­вать коман­дную инфраструк­туру зло­умыш­ленни­ков. Впро­чем, никаких кон­крет­ных деталей об активнос­ти ата­кующих пос­ле ком­про­мета­ции отчет спе­циалис­тов не содер­жит.

Пос­коль­ку раз­работ­чики Asus уже выпус­тили пат­чи для всех экс­плу­ати­руемых уяз­вимос­тей, вла­дель­цам роуте­ров рекомен­дует­ся сроч­но обно­вить про­шив­ку, если они еще это­го не сде­лали. Если устрой­ство уже не под­держи­вает­ся, рекомен­дует­ся его заменить или хотя бы отклю­чить фун­кции уда­лен­ного дос­тупа.

Маск о необязательной работе через 10–20 лет

Илон Маск (Elon Musk) заявил на форуме U.S.-Saudi Investment Forum, что, по его мне­нию, через 10–20 лет работа ста­нет необя­затель­ной бла­года­ря ИИ и робото­тех­нике.

Маск счи­тает, что мил­лионы роботов при­ведут к скач­ку про­изво­дитель­нос­ти, а день­ги вооб­ще потеря­ют свое зна­чение. Маск срав­нива­ет работу в будущем с выращи­вани­ем ово­щей на зад­нем дво­ре — их мож­но купить в магази­не, а мож­но вырас­тить самому, если нра­вит­ся про­цесс.

В сво­их рас­сужде­ниях он ссы­лал­ся на серию науч­но‑фан­тасти­чес­ких романов «Куль­тура» Иэна Бэн­кса, где изоб­ражен пос­тде­фицит­ный мир без тра­дици­онных про­фес­сий:

Мое пред­ска­зание: работа ста­нет необя­затель­ной. Это будет как спорт или виде­оиг­ры. Это как схо­дить в магазин и купить ово­щи или вырас­тить их на сво­ем учас­тке. Выращи­вать ово­щи нам­ного слож­нее, но некото­рые все рав­но это дела­ют, потому что им нра­вит­ся. В кни­гах [серии «Куль­тура»] денег не сущес­тву­ет, и это доволь­но инте­рес­но. И я думаю, что, если заг­лянуть дос­таточ­но далеко впе­ред, при усло­вии про­дол­жающе­гося раз­вития ИИ и робото­тех­ники, день­ги вооб­ще перес­танут иметь зна­чение.

3,5 миллиарда пользователей WhatsApp

Ис­сле­дова­тели из Вен­ско­го уни­вер­ситета заяви­ли, что обна­ружи­ли уяз­вимость в WhatsApp, которая поз­волила им соб­рать дан­ные более 3,5 мил­лиар­да поль­зовате­лей. По их мне­нию, это может быть круп­ней­шей утеч­кой дан­ных в исто­рии.

Ав­торы отче­та пишут, что WhatsApp поз­воля­ет искать поль­зовате­лей по номеру телефо­на и фун­кция сущес­тву­ет уже мно­го лет. Иссле­дова­тели исполь­зовали ее для мас­сового перебо­ра дан­ных: с помощью инс­тру­мен­та на базе биб­лиоте­ки Google libphonenumber они сге­нери­рова­ли 63 мил­лиар­да телефон­ных номеров и про­веря­ли их со ско­ростью 7 тысяч в секун­ду.

К удив­лению иссле­дова­телей, WhatsApp не заб­локиро­вал их IP-адре­са и акка­унты, а так­же не при­менил никаких эффектив­ных огра­ниче­ний час­тоты зап­росов. В резуль­тате спе­циалис­ты смог­ли собирать дан­ные со ско­ростью более 100 мил­лионов акка­унтов в час, в ито­ге под­твер­див сущес­тво­вание 3,5 мил­лиар­да зарегис­три­рован­ных номеров (это боль­ше, чем офи­циаль­но заяв­ленные 2 мил­лиар­да поль­зовате­лей WhatsApp).

Бо­лее 57% соб­ранных акка­унтов име­ли фото про­филя, при­чем две тре­ти из них содер­жали рас­позна­ваемые лица. Еще у 29% в про­филе при­сутс­тво­вал текст, который порой содер­жал чувс­тви­тель­ную информа­цию о сек­суаль­ной ори­ента­ции и полити­чес­ких взгля­дах, ссыл­ки на LinkedIn и Tinder, рабочие email-адре­са и так далее.

В ито­ге экспер­ты сумели свя­зать некото­рые телефон­ные номера с государс­твен­ными чинов­никами и пред­ста­вите­лями воен­ных ведомств.

От­дель­но в отче­те упо­мина­ется тот факт, что WhatsApp зап­рещен в Китае, Мьян­ме, Север­ной Корее и ряде дру­гих стран. Тем не менее спе­циалис­там уда­лось обна­ружить мил­лионы активных акка­унтов, свя­зан­ных с номера­ми из этих реги­онов. При этом в некото­рых стра­нах за обход бло­киро­вок гро­зит арест и наказа­ние. Кро­ме того, базы активных номеров — готовый инс­тру­мент для спа­меров, фишеров и орга­низа­торов роботи­зиро­ван­ных звон­ков.

Ис­сле­дова­тели сооб­щили раз­работ­чикам Meta (ком­пания приз­нана экс­тре­мист­ской и зап­рещена в РФ) о проб­леме через прог­рамму bug bounty, одна­ко ответ от ком­пании спе­циалис­там уда­лось получить толь­ко через год — пос­ле того, как коман­да прис­лала Meta преп­ринт статьи и уве­доми­ла о сво­ем намере­нии обна­родо­вать иссле­дова­ние.

Ни­тин Гуп­та (Nitin Gupta), вице‑пре­зидент по инжи­нирин­гу WhatsApp, поб­лагода­рил иссле­дова­телей за «ответс­твен­ное пар­тнерс­тво» и заявил, что в ком­пании уже ведет­ся работа над сис­темами защиты от скра­пин­га. По его сло­вам, иссле­дова­ние помог­ло про­вес­ти стресс‑тест новых защит­ных механиз­мов.

Ав­торы иссле­дова­ния под­твержда­ют, что пос­ле внед­рения конт­рмер исполь­зован­ные ими методы перес­тали работать: теперь акка­унты бло­киру­ются в слу­чае попыток мас­сового перебо­ра дан­ных.

Спе­циалис­ты заяв­ляют, что уда­лили все соб­ранные дан­ные, а пред­ста­вите­ли Meta говорят, что не обна­ружи­ли доказа­тель­ств исполь­зования подоб­ного век­тора атак зло­умыш­ленни­ками. Так­же под­черки­вает­ся, что сооб­щения поль­зовате­лей защище­ны сквоз­ным шиф­ровани­ем и не были дос­тупны иссле­дова­телям.