Kept | Cyber

Что происходит при успешной SSRF-атаке? Сервер приложения отправляет запрос по адресу, заданному атакующим SSRF (Server-Side Request Forgery, «подделка запроса на стороне сервера») – уязвимость, при которой злоумышленник заставляет приложение отправить запрос по адресу, который выбрал он сам. Запрос формально исходит от сервера, поэтому выполняется с его правами и из его сетевого окружения. Зачастую это внутренний периметр, куда у атакующего прямого доступа нет. Многие приложения умеют обращаться к ресурсам по ссылке: загружать изображение по URL, строить превью ссылки, принимать вебхуки, им…

CISO & DPO news #147 (23–29 октября) ▫️Почти 80% данных в 2026 г. в России «утекло» из сфер транспорта, доставки и туризма В прошлом году абсолютным лидером по объему скомпрометированной информации был госсектор — 84%. Однако сейчас его доля снизилась до менее чем 1%. Общее число утечек за январь-сентябрь 2026 г. сократилось на 42% год к году, их объем — на 19%. Число фишинговых ресурсов, напротив, выросло на 25% — злоумышленники активно используют ИИ для автоматизации. ▫️Хакерская атака остановила 82 госсервиса и 30 ГИС в Молдавии Киберпреступники украли данные 750 тыс. человек за пять дней…

В каком случае допустимо в качестве правового основания обработки ПДн использовать законный интерес? Организация видеонаблюдения для обеспечения безопасности Законный интерес – это предусмотренное п. 7 ч. 1 ст. 6 Федерального закона № 152-ФЗ (152-ФЗ) правовое основание для обработки ПДн, которое необходимо для следующих целей: 1) осуществления прав и законных интересов оператора, 2) осуществления прав и законных интересов третьих лиц, 3) достижения общественно значимых целей – при условии, что при этом не нарушаются права и свободы субъекта ПДн.   В законодательстве строго не регламентированы…

CISO & DPO news #146 (16–22 октября) ▫️Роскомнадзор опубликовал обновленный перечень стран, обеспечивающих адекватную защиту персональных данных В список вошли 88 иностранных государств. Передавать персональные данные в страны из перечня можно после направления уведомления Роскомнадзору, не дожидаясь окончания его рассмотрения, при соблюдении остальных требований закона. Приказ вступит в силу 30 октября 2026 г. ▫️Разработчики PHP выпустили срочные патчи для двух критических уязвимостей Из-за утечки сведений об уязвимостях исправления выпустили на день раньше запланированного срока — 21 октяб…

Какую информацию можно обнаружить в цифровом изображении? Служебная информация файла, следы редактирования и скрытые вставки Цифровое изображение является не просто набором пикселей, которые формируют видимое содержание, – это сложный файл-контейнер, в котором рядом с пикселями хранится множество служебных данных. Основной пласт такой информации — метаданные стандарта EXIF, которые камеры, телефоны и программы редактирования записывают автоматически. В EXIF фиксируются модель устройства, серийный номер, параметры съемки (выдержка, диафрагма, ISO, фокусное расстояние), дата и время, а при нали…

CISO & DPO news #145 (9–15 октября) ▫️В Россию начали поставлять смартфоны со встроенными вирусами Китайские бренды Doogee и Cubot, а также подделки под Honor и Samsung продаются с вредоносным ПО, встроенным в заводскую прошивку. Вирус подключает гаджет к ботнету для проксирования трафика и участия в DDoS-атаках, а еще незаметно накручивает рекламные клики в фоновом режиме. Удалить его самостоятельно практически невозможно. Зараженные смартфоны уже свободно реализуются на маркетплейсах. ▫️Число DDoS-атак в России выросло на 140,7% за девять месяцев 2026 г. Главный удар пришелся на финтех — 4…

«Тренинг превзошел ожидания»: отзывы участников об интенсивах по работе с персональными данными Читайте в карусели отзывы тех, кто уже прошел обучение в Академии Kept, и участвуйте в тренинге по работе с персональными данными в ноябре. Авторы тренинга реализовали более 100 проектов в области персональных данных для российских и международных компаний и поделятся этим опытом с вами. В рамках курса участники научатся: 🔸определять корректное правовое основание обработки ПДн в рамках кейсов; 🔸находить ошибки в формах согласий на обработку ПДн; 🔸анализировать сайты на соответствие требованиям…

Каким способом злоумышленник может несанкционированно проникнуть на территорию организации? Пройти вслед за сотрудником через турникет или дверь, не предъявляя собственного пропуска Для проникновения на охраняемую территорию злоумышленнику не всегда требуется взламывать замки или подделывать пропуска. Иногда достаточно воспользоваться невнимательностью или доверчивостью сотрудников. Один из распространенных методов — Tailgating («проход следом»), когда посторонний человек проникает в контролируемую зону вслед за сотрудником, имеющим право доступа. Для повышения защищенности организации след…

Что представляет собой горизонтальное/боковое перемещение (Lateral Movement) в рамках пентеста и как минимизировать риски его реализации? Горизонтальное перемещение — это этап тестирования на проникновение реальной кибератаки, в ходе которого специалист, получив первоначальный доступ к одному из узлов корпоративной сети, последовательно расширяет присутствие и контроль над другими системами с целью достижения критических активов организации (контроллеров домена, баз данных, финансовых или технологических систем). В рамках пентеста проверка движения по сети проводится для моделирования сценар…

В каком из перечисленных случаев компания не обязана получать письменное согласие субъекта на обработку его персональных данных? Компания проводит собеседование кандидатов перед принятием решения о приеме на работу Согласие на обработку персональных данных (ПДн) в письменной форме требуется только в закрытом перечне случаев, установленном законодательством. Если ситуация не подпадает ни под один из них, согласие может быть получено в любой форме, позволяющей подтвердить факт его получения (ч. 1 ст. 9 152-ФЗ).   Согласие на обработку ПДн в письменной форме должно быть получено в следующих случ…