Крупнейшие банки выступают за запрет электронных чатов на работе

Крупнейшие банки выступают за запрет электронных чатов на работе

Как пишет WSJ, некоторые крупные банки, такие как J.P. Morgan, Credit Suisse, Barclays, UBS и Citigroup, рассматривают возможность запрета своим сотрудникам использовать электронные чаты на работе (по всей видимости, речь идет о чатах в терминалах Bloomberg и т.п.).

Как показала практика, сотрудники банков используют чаты не только для оперативного решения рабочих задач, но и для реализации своих креативных потенциалов и для обсуждения личных вопросов. Таким образом, в природе появляются чаты с названием «Картель» («The Cartel»), в которых смешливые трейдеры шутят про то, как они могут манипулировать курсом обмена валют и о планах дезинформации конкурентов. Или обсуждают свои подвиги на ниве сексуальных утех и употребления наркотиков, сообщает roem.ru.

А потом транскрипты разговоров попадают к регулятору, ведущему многолетнее расследование о манипулировании Libor, и служат доказательной базой в обвинениях, откуп от которых стоит банкам миллиарды долларов (пять банков уже заплатили суммарно $3.5B и это не конец).

В J.P. Morgan пока пытаются понять, поощряет ли пустую болтовню и сговор сотрудников сама техническая возможность использовать чаты. И могут ли телефон и электронная почта заменить трейдерам чаты, которые годами служили, в том числе и для решения реальных бизнес-задач, таких как быстрые договоренности о совершении валютных сделок.

Комментарий главного аналитика компании InfoWatch Николая Федотова:

«Популярность чатов обусловлена тем, что в офисах закручены гайки. Пообщаться по телефону или в курилке уже нельзя, а набор текста на клавиатуре выглядит вполне невинно. Глядя со стороны, невозможно определить, готовит работник служебный документ, переписывается с подругой или пишет донос на коллегу.

Интеллектуальная работа требует перерывов. Эмпирически установлено, что подходящий режим – 45 минут труда и 10 минут отдыха, примерно как у студентов. В периоды расслабления надо дать возможность работнику интеллектуально расслабиться без вреда для политики безопасности. В том числе, надо позволить с кем-то выговориться, неформально обсудить беспокоящие вопросы. Часто это вопросы служебные, о работе. Если запретить кулуарное общение в офисе, работник станет переговариваться там, где его могут услышать враги».

Критическая уязвимость в плагине WPvivid Backup затронула 900 000 сайтов

Уязвимость, выявленная в популярном WordPress-плагине для создания резервных копий, позволяет без аутентификации загрузить на сайт вредоносный код PHP и запустить его на исполнение. Патч включен в состав WPvivid Backup & Migration 0.9.124.

Уязвимости подвержены все прежние версии продукта. Ввиду высокой опасности и масштабности проблемы (на счету WPvivid Backup уже свыше 900 тыс. установок) пользователям настоятельно рекомендуется произвести обновление.

Правда, в блог-записи Wordfence сказано, что CVE-2026-1357 (9,8 балла CVSS) критична лишь для тех, у кого настройки плагина предусматривают обработку сгенерированным ключом — в обеспечение загрузки резервных копий с других сайтов. По умолчанию эта возможность отключена, а срок действия ключа ограничен 24 часами.

Согласно описанию, причин появления уязвимости две: неадекватная обработки ошибок при расшифровке по RSA и отсутствие санации пути при записи загруженных файлов.

Как оказалось, когда плагин тщетно пытался расшифровать сеансовый ключ, он не завершал выполнение, а передавал ложное значение $key в phpseclib для инициализации шифрования.

Криптобиблиотека воспринимала его как строку нулевых байтов, что открыло возможность для шифрования полезной нагрузки дефолтным, легко угадываемым 0-байтовым ключом.

 

Ситуацию усугубило отсутствие проверок типа файлов и их расширений в функции send_to_site(). Это провоцировало выход за пределы защищенного каталога резервных копий — загрузку на сервер произвольного PHP-кода с записью в публично доступные места с тем, чтобы он каждый раз отрабатывал в браузере.

Апдейт, устраняющий эти недостатки, вышел 28 января. Автор опасной находки получил 2145 долларов в рамках программы Wordfence Bug Bounty.

RSS: Новости на портале Anti-Malware.ru