Мы собрали наиболее важные новости из мира кибербезопасности за неделю.
Dropbox подтвердил компрометацию пользовательских данных и части секретных ключей.
Облачный сервис Dropbox заявил о взломе производственных систем платформы Dropbox Sign eSignature, в результате которых злоумышленники получили доступ к базе данных клиентов. Инцидент произошел 24 апреля.
Скомпрометированы электронная почта, имена пользователей и общие настройки аккаунтов. В отдельных случаях оказались раскрыты номера телефонов, хешированные пароли и некоторые данные аутентификации, включая ключи API, токены OAuth и MFA.
Внутреннее расследование не нашло доказательств несанкционированного доступа к документам или соглашениям клиентов, а также к другим сервисам Dropbox.
Компания принудительно сбросила пароли всех пользователей, завершила их сеансы Dropbox Sign и ограничила применение ключей API до момента их замены со стороны клиента. Для пострадавших выпущены рекомендации по безопасности.
Участник REvil получил почти 14 лет тюрьмы и штраф более $16 млн.
Суд в США признал виновным 24-летнего гражданина Украины Ярослава Васинского в проведении более 2500 атак с использованием программ-вымогателей Sodinokibi/REvil, причинивших ущерб на сумму $700 млн.
В случае неполучения выкупа Васинский, известный под ником Rabotnik, и его сообщники раскрывали данные своих жертв. Власти сообщают, что киберпреступники использовали криптовалютные обменники и миксеры, чтобы скрыть незаконные доходы.
Васинского арестовали в Польше в ноябре 2021 года и включили в санкционный список США. У него конфисковали 39,8 BTC ($6,1 млн на тот момент). Впоследствии хакер признал вину по 11 пунктам обвинения.
Его приговорили к 13 годам и семи месяцам тюрьмы. Также он обязан выплатить более $16 млн в качестве компенсации.
Великобритания ввела запрет на слабые пароли по умолчанию.
С 29 апреля в Великобритании вступил в силу PSTI Act, который ужесточает меры безопасности для потребительских умных устройств, включая мобильные телефоны, планшеты, развлекательные гаджеты, системы домашнего наблюдения и бытовые приборы.
Одно из главных требований — техника не должна поставляться с заводскими паролями, которые можно легко подобрать.
Закон также требует от производителей предоставлять контакт для сообщений о проблемах безопасности и информировать о минимальном сроке обновления устройства.
Нарушающим закон компаниям грозят денежные штрафы в размере до 10 млн фунтов стерлингов ($12,5 млн) или 4% от их совокупного годового дохода, в зависимости от того, какая сумма больше.
monobank стал целью мощных DDoS-атак.
1 и 2 мая украинский monobank подвергся мощным DDoS-атакам. Об этом сообщил соучредитель банка Олег Гороховский.
«Упорные они, ничего не скажешь. Очень хочется свалить monobank. Но это трудно. Завалите лучше какое-нибудь онлайн-казино», — написал он.
Клиенты фиксировали проблемы при работе с мобильным приложением, которое или не загружалось вовсе, или зависало в момент совершения платежа.
Служба поддержки monobank призвала пользователей не совершать платежи на период устранения технического сбоя.
Telegram, YouTube и Twitch проигнорировали запросы РКН на удаление информации.
Мессенджер Telegram не удалил свыше 120 000 противоправных материалов после требований Роскомнадзора.
Аналогичные запросы от РКН пока что проигнорировали YouTube — 60 700 материалов и платформа Twitch — 505.
По законодательству РФ, владелец хостинга или интернет-ресурса должен удалять противоправный контент в течение 24 часов с момента получения требования Роскомнадзора. Штраф за неисполнение — до 20% годовой выручки.
