Світ кібербезпеки не стоїть на місці. Моргні — і щось уже зламано.
Цього тижня під приціл шпигунського програмного забезпечення потрапила саме та група Європарламенту, яка розслідувала зловживання таким програмним забезпеченням. Так, все було саме так. Депутат із комітету PEGA, створеного для відстеження роботи програми Pegasus, сам став її жертвою.
Потім провідні експерти Google з безпеки пробили на сполох. Вони попереджають, що антимонопольні правила ЄС можуть зруйнувати Google Search. А за ним та Android. Регулятори хочуть конкуренції. Google запевняє, що ціною за це стане безпека.
Не в найкращій ситуації та Meta. Журналісти видання WIRED з’ясували, що співробітники-контрактники, прикидаючись підлітками, спілкувалися зі штучним інтелектом. З Gemini, з ChatGPT. Вони питали про суїцид, наркотики, секс. І роботи відповідали.
І ось фінал, від якого хочеться закричати: “Ви взагалі намагаєтеся хоч щось виправити?” Один дослідник використав Claude Opus 4.7 і зламав Front Gate — великий американський майданчик для купівлі квитків на фестивалі. Lollapalooza, Bonnaroo. Він роздавав квитки комусь хотів.
Зазвичай ми не робимо таких новин. Але сьогодні – виняток. Бережіть себе, або хоча б спробуйте.
Приховані листи Apple все ж таки не приховані
У 2021 році Apple продала нам мрію про конфіденційність. “Приховати мою адресу”, – так вони це назвали. Красиві концепції. Реєструєшся на сумнівному сайті, використовуючи випадковий email. Чи не свій. Проксі. Він надсилає повідомлення. Твоя реальна адреса залишається в тіні. Чистенько.
Але це не працює.
Вже понад рік. Як мінімум. У червні 2024 року (або 2025-го залежить від календаря, час — поняття відносне) хлопець на ім’я Тайлер Марфі виявив проблему. Він розповів виданню 404 Media, що Apple зливає реальні email-адреси.
Чи не частина з них. Усі.
У обмежених тестах? Вразливість експлуатується на 100%. Кожен псевдонім “Приховати мою адресу” можна простежити до реального власника. Марфі повідомив про це. Apple заявила, що все полагодили. Або що проблема «вирішується». Ні, не полагодили.
Досі немає.
Вони не випустили патчі. Марфі знову перевірив. Результат той самий. Псевдонім @icloud.com безпосередньо веде до особистої скриньки власника. Apple все ще “розслідує”. Або, принаймні, так було кілька місяців тому.
Зараз – тиша. З Купертіного коментарів немає.
Ще один підліток, ще один хак
Міністерство юстиції США (DOJ) цього тижня призвело до правосуддя ще одного підлітка. Пітер Стокс. Дев’ятнадцять років. Громадянин Естонії та США. Заарештовано у Фінляндії.
Він – Scattered Spider.
Ви знаєте їх. Молоді, гучні, недбалі. Минулого травня вони зламали магазин розкішної ювелірки. Вимагали вісім мільйонів доларів у криптовалюті. Магазин не заплатив. Молодці. Але на ліквідацію наслідків все ж таки витратили два мільйони.
Стоксу висунуто звинувачення. Змова. Шахрайство. Неправомірне проникнення.
Ця справа йшла за парою з Британії, Тальхою Джубайром та Оуеном. Вони раніше визнали себе винними. Transport for London? Вони обрушили систему продажу квитків. Збитки – мільйони. Просто тому, що могли.
Тепер Стокс приєднався до них. Відповість за свої справи. З іншого боку океану.
Індія проти псевдонімів
Початок поклав Signal. Тепер WhatsApp хоче надати користувачам можливість приховувати свої номери. Псевдоніми. Просто імена. Без прив’язки до цифр телефону.
Індія каже: ні.
Уряд надіслав листа до Meta. Стоп. Чи не впроваджуйте це у нас. Їхній аргумент? Шахрайство. Кіберзлочини. Анонімність небезпечна.
Та сама стара пісня. Вони намагаються зламати наскрізне шифрування вже роками. Це лише їхня нова тактика. Signal та Telegram отримували аналогічні загрози.
Вони хочуть знати, хто розмовляє. Навіть якщо програма відповідає: ні.
Неправильна машина, правильна зупинка
Тепер скрізь стоять тисячі ALPR – автоматичних зчитувачів номерів. Поліція, міста, випадкові бізнесмени. Усі дивляться.
Вони фотографують. Кожну машину, що проїжджає. Час, місце, бренд, модель. Навіть наклейки на бампері. Всі ці дані складаються в якийсь темний масив даних десь далеко.
Кажуть, це допомагає шукати викрадені машини. Поганих хлопців.
Іноді зупиняють не тих. Алгоритм помиляється. Неправильно розпізнаний номер відправляє офіцера мчати на всі чотири колеса до невинної сімейної машини.
Це відбувається часто. Занадто часто.
Ми змінюємо конфіденційність на зручність. Або безпека. Або просто тому, що простіше дозволити камерам вести машину, поки ми переживаємо через email-адреси від Apple.
