Rabotnik сел за криптошантаж, Dropbox упустил секретные ключи и другие события кибербезопасности
→ Оригинал (без защиты от корпорастов)
Мы собрали наиболее важные новости из мира кибербезопасности за неделю. Облачный сервис Dropbox заявил о взломе производственных систем платформы Dropbox Sign eSignature, в результате которого злоумышленники получили доступ к базе данных клиентов. Инцидент произошел 24 апреля. Скомпрометированы электронная почта, имена пользователей и общие настройки аккаунтов. В отдельных случаях оказались раскрыты номера телефонов, хешированные пароли и некоторые данные аутентификации, включая ключи API, токены OAuth и MFA. Внутреннее расследование не нашло доказательств несанкционированного доступа к документам или соглашениям клиентов, а также к другим сервисам Dropbox. Компания принудительно сбросила пароли всех пользователей, завершила их сеансы Dropbox Sign и ограничила применение ключей API до момента их замены со стороны клиента. Для пострадавших выпущены рекомендации по безопасности. Суд в США признал виновным 24-летнего гражданина Украины Ярослава Васинского в проведении более 2500 атак с использованием программ-вымогателей Sodinokibi/REvil, причинивших ущерб на сумму $700 млн. В случае неполучения выкупа Васинский, известный под ником Rabotnik, и его сообщники раскрывали данные своих жертв. Власти сообщают, что киберпреступники использовали криптовалютные обменники и миксеры, чтобы скрыть незаконные доходы. Васинского арестовали в Польше в ноябре 2021 года и включили в санкционный список США. У него конфисковали 39,8 BTC ($6,1 млн на тот момент). Впоследствии хакер признал вину по 11 пунктам обвинения. Его приговорили к 13 годам и семи месяцам тюрьмы. Также он обязан выплатить более $16 млн в качестве компенсации. В свою очередь в Финляндии шесть лет тюрьмы получил 26-летний Юлиус Алексантери Кивимяки, еще в 2018 году взломавший частный психотерапевтический центр Vastaamo в Хельсинки. По данным местных СМИ, хакер похитил чувствительные данные около 33 000 пациентов. Его признали виновным в 9200 случаях распространения информации о частной жизни, в 22 000 попыток шантажа и в 20 эпизодах вымогательства. Дополнительно Кивимяки столкнется с более 5000 исков о компенсации ущерба. С 29 апреля в Великобритании вступил в силу PSTI Act, который ужесточает меры безопасности для потребительских умных устройств, включая мобильные телефоны, планшеты, развлекательные гаджеты, системы домашнего наблюдения и бытовые приборы. Одно из главных требований — техника не должна поставляться с заводскими паролями, которые можно легко подобрать. Закон также требует от производителей предоставлять контакт для сообщений о проблемах безопасности и информировать о минимальном сроке обновления устройства. Нарушающим закон компаниям грозят денежные штрафы в размере до 10 млн фунтов стерлингов ($12,5 млн) или 4% от их совокупного годового дохода, в зависимости от того, какая сумма больше. В результате операции «Пандора» правоохранители Германии при поддержке сотен коллег из других стран остановили работу 12 колл-центров, занимавшихся телефонным мошенничеством в Албании, Боснии и Герцеговине, Косово и Ливане. Сценарии диалогов варьировались от любовных и инвестиционных афер до имитации звонков из полиции. В ходе многочисленных рейдов полиция идентифицировала 39 подозреваемых и арестовала 21 человека. Конфискованы доказательства, в том числе носители данных, документы, наличные и другие активы на сумму примерно €1 млн. 1 и 2 мая украинский monobank подвергся мощным DDoS-атакам. Об этом сообщил соучредитель банка Олег Гороховский. «Упорные они, ничего не скажешь. Очень хочется свалить monobank. Но это трудно. Завалите лучше какое-нибудь онлайн-казино», — написал он. Клиенты фиксировали проблемы при работе с мобильным приложением, которое или не загружалось вовсе, или зависало в момент совершения платежа. Служба поддержки monobank призвала пользователей не совершать платежи на период устранения технического сбоя. Мессенджер Telegram не удалил свыше 120 000 противоправных материалов после требований Роскомнадзора. Об этом сообщает ТАСС со ссылкой на пресс-службу ведомства. Аналогичные запросы от РКН пока что проигнорировали YouTube (60 700 материалов) и платформа Twitch (505). По законодательству РФ, владелец хостинга или интернет-ресурса должен удалять противоправный контент в течение 24 часов с момента получения требования Роскомнадзора. Штраф за неисполнение — до 20% годовой выручки. Также на ForkLog: В образовательном разделе «Крипториум» рассказываем, как разные блокчейн-протоколы решают задачу византийских генералов. Нашли ошибку в тексте? Выделите ее и нажмите CTRL+ENTER Рассылки ForkLog: держите руку на пульсе биткоин-индустрии!
Dropbox подтвердил компрометацию пользовательских данных и части секретных ключей
Участник REvil получил почти 14 лет тюрьмы и штраф более $16 млн
Великобритания ввела запрет на слабые пароли по умолчанию
Европол закрыл 12 мошеннических колл-центров
monobank стал целью мощных DDoS-атак
Telegram, YouTube и Twitch проигнорировали запросы РКН на удаление информации
Что почитать на выходных?