Yahoo исправила серьезную уязвимость

Yahoo исправила серьезную уязвимость

Компания Yahoo исправила уязвимость в своем почтовом сервисе. Проблему обнаружил  сотрудник компании Vulnerability Lab Лоренс Эмер (Lawrence Amer), он заметил, что используя классическую версию почтового UI можно с легкостью подменить имя отправителя.

Пару лет назад, когда Марисса Майер заступила на пост руководителя компании, сервис Yahoo Mail претерпел существенные изменения. В частности, был серьезно переработан веб-интерфейс почты. Чтобы не шокировать пользователей радикальными переменами, новый интерфейс довольно долго сосуществовал со старой версий, а затем Yahoo представила так называемый Basic UI, который еще называют классическим. Это версия гораздо «легче» обычной, она куда менее перегружена JavaScript, сообщает xakep.ru.

Лоренс Эмер пишет, что модуль compose message («написать сообщение») в классической версии веб-интерфейса был уязвим перед простейшим POST/GET методом атак. По сути, любой желающий мог переключиться на Basic UI, открыть страницу в любом браузере, включить инструменты разработчика и отредактировать параметр [from address ‘send name ‘], вписав туда что угодно, к примеру, Yahoo Security. В итоге получатель письма увидит именно это имя в поле «от». Самое очевидное применение такой уязвимости – рассылка фишинговых писем, выглядящих весьма правдоподобно.

Уязвимость была обнаружена еще в октябре 2015 года. На исправление проблемы у Yahoo и Эмера, который помогал специалистам компании, ушло почти полгода – полностью баг устранили только 29 февраля 2016 года. Ниже можно увидеть proof-of-concept видео, снятое исследователем.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России появится юридическое определение дипфейка

Депутат Госдумы Антон Немкин заявил о необходимости закрепить на законодательном уровне понятие дипфейка. Без чёткого определения, по его словам, невозможно эффективно регулировать эту технологию и пресекать её противоправное использование.

Как сообщил депутат в интервью РИА Новости, юридическое определение станет первым шагом к выстраиванию правового регулирования в этой сфере. Впоследствии, считает он, потребуются и дополнительные меры.

В настоящее время, как отметил Немкин, к тем, кто применяет дипфейки в незаконных целях, можно применить лишь статьи, касающиеся распространения заведомо ложной информации. Однако этого недостаточно, и нужны новые законодательные инициативы.

По словам депутата, технология дипфейк уже активно используется мошенниками. «Например, всё чаще фиксируются случаи взлома личных аккаунтов в мессенджерах и рассылки голосовых сообщений или "кружочков" от имени владельца. С помощью ИИ злоумышленники подделывают голос и мимику, создавая реалистичные видео, на которых якобы изображены знакомые люди», — пояснил он.

Такие материалы вызывают доверие у жертв и позволяют мошенникам убеждать людей переводить деньги, брать кредиты или переходить по вредоносным ссылкам. По оценке Немкина, в ближайшие полгода злоумышленники начнут использовать эти инструменты массово.

По мнению экспертов, уже в 2025 году с дипфейк-атаками может столкнуться каждый второй житель России. Мы разбирали наиболее распространённые схемы, которые уже используют злоумышленники или которые представляют наибольший риск в будущем.

Антон Немкин также подчеркнул необходимость развития и популяризации сервисов по выявлению дипфейков, в том числе ориентированных на массового пользователя. Кроме того, по его мнению, как минимум крупные цифровые платформы должны маркировать контент, созданный с помощью нейросетей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru