Разборы

Сотруднику банка не обязательно взламывать сервер, чтобы создать киберугрозу. Порой достаточно загрузить клиентскую таблицу в публичный чат‑бот и попросить...

Почему доступы в CI/CD требуют отдельного контроля Что считается привилегией в пайплайне Как избыточные права превращаются в риск Разделение прав по этапам...

Понедельник, 9:15 утра. В Wazuh прилетает алерт: серия неаутентифицированных POST-запросов на /api/graphql с нестандартной директивой @gl_introduced на...

Последние два года я встраиваю сканирование публичных репозиториев в recon-фазу каждого внешнего пентеста. TruffleHog запускается раньше Nmap - и это не...

За последние восемь месяцев я провёл security-ревью двенадцати репозиториев, где 60-80% кода написано через Cursor, Claude Code и GitHub Copilot. В семи из...

Понедельник, 9:15 утра. В Slack SOC-канале - алерт: модель кредитного скоринга за выходные одобрила 340 заявок с аномально высоким risk-скором. Postmortem...

Восемь месяцев я прогоняю вопросы из банков Boson и ExSim-Max через GPT-4, Claude и GigaChat - проверяю, насколько экзаменационные форматы устойчивы к...

В январе 2026-го пользователь Reddit r/pcmasterrace описал ситуацию, которую любой SOC-аналитик назовёт "классика с плохим финалом". Парень следовал...

26 августа 2025 года postinstall-payload в npm-пакете Nx - сборочной системе с 6 миллионами установок в неделю - сделал нечто, чего раньше в supply chain...

Февраль 2025-го, вторник, 11:00 - стартует gap-анализ ML-пайплайна финтеха на соответствие NIST AI RMF перед выходом на европейский рынок. Модель кредитного...

Три года назад я писал эндпоинты на Django REST Framework и не задумывался, что request.data['user_id'] без проверки авторизации - готовая BOLA-уязвимость...

В прошлом году бухгалтер одного из моих клиентов - торговая компания на 12 человек - открыла PDF из письма "от налоговой". Через три часа база 1С...

Четверг, 14:30. Пентест веб-приложения для заказчика из healthcare-сектора США. В зависимостях Spring Boot - транзитивная библиотека четвёртого уровня...

По данным BlackFog (цитируется в обзоре Vectra AI за 2024 год), 93% атак с развёртыванием ransomware включали предварительную эксфильтрацию данных -...

На пентесте Azure-инфраструктуры финтех-клиента в начале 2026 года я нашёл SSRF в кастомном API-прокси за 40 минут: параметр source_url в...

Три года назад на проекте по физическому пентесту банковского офиса охрана приняла меня на втором этаже - с Proxmark3 в рюкзаке и клонированным пропуском в...

17 августа 2026 года - через считанные часы после присвоения идентификатора CVE-2026-64849 - honeypot-сеть watchTowr зафиксировала массовое неизбирательное...

Понедельник, 9:00 - SOC фиксирует успешный brute-force на SSH-порт сервера в DMZ: root-сессия активна. К 11:00 подключаюсь к постмортему. Выясняется: три...

При аудите зависимостей fintech-сервиса я наткнулся на пакет, мейнтейнер которого привязал npm-аккаунт к email на домене со статусом pendingDelete в whois...

CVSS 10.0, один неаутентифицированный GET-запрос, приватный EC-ключ подписи JWT прямо в теле ответа. CVE-2026-40965 в Cloud Foundry UAA - из тех багов...

В 2025 году атакующие компрометировали GitHub-репозитории через инъекцию в workflow-файлы, POST-запросами отправляя credentials на внешние эндпоинты. Ноль...

На одном из первых корпоративных расследований я собрал досье на контрагента клиента: открытый профиль ВКонтакте, данные из ЕГРЮЛ, упоминания на форумах...

Понедельник, 9:15 утра. CloudTrail показывает 47 вызовов sts:GetCallerIdentity от IAM-ключа, который по документам принадлежит сервисному аккаунту Jenkins...

В 2016 году ребята из Ohio State University (Xiao, Zhang, Zhang, Teodorescu) показали на USENIX Security штуку, от которой у облачных провайдеров дёрнулся...

Понедельник, 9:15 утра. В Slack-канал SOC прилетает алерт GuardDuty: UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.OutsideAWS. Кто-то вытащил...

31 марта 2026 года один украденный npm-токен превратил axios - HTTP-клиент с ~100 миллионами загрузок в неделю и 174 000 зависимых пакетов - в платформу...

Подписанный валидным сертификатом разработчика бэкдор, месяц раздававшийся с официального сайта вендора. Не модель угроз на слайде - реальная кампания...

Привет, Codeby 😋 Пришла я на днях в библиотеку, книжку сдать. А у них стоят компы с Астрой Линукс, я ее сразу узнала по иконке звездочки)). Библиотекарь...

По данным GitGuardian State of Secrets Sprawl Report 2024 (данные за 2023 год) - 12,8 миллионов новых секретов на публичном GitHub. И значительная часть...

Ненастроенный SAST - генератор шума. На практике дефолтные правила выдают 60-90% ложных срабатываний, а после тюнинга показатель падает до 10-20%. Для...