Минобороны запретит военнослужащим запаса пользоваться соцсетями

Олег Иванов 17 Января 2019 - 09:59

...

Минобороны запретит военнослужащим запаса пользоваться соцсетями

Российским военнослужащим, ушедшим в запас, могут также запретить пользоваться социальными сетями. Министерство обороны России планирует ограничить возможность запасников использовать соцсети в течение пяти лет после увольнения со службы.

Речь, однако, идет лишь о тех военных, которые имели дело с секретными и конфиденциальными материалами — проходили службу в частях, где был доступ к государственной тайне.

Цель введения такого ограничения вполне прозрачна — в нынешних условиях интернет диктует свои правила, следовательно, необходимо предпринимать дополнительные меры для обеспечения режима секретности.

Соответствующие поправки будут включены в законопроект об изменении федерального закона «О статусе военнослужащих». 8 ноября этот документ был принят в Госдуму в первом чтении, изначально использование социальных платформ запрещалось лишь действующим военнослужащим. Теперь же эти же меры хотят распространить и на ушедших в запас.

«Запрет на пользование соцсетями после увольнения коснется военнослужащих, которые были допущены к гостайне либо если эта мера ограничения предписана в других подзаконных документах», — передают «Известия» слова своего собеседника, председателя комитета Госдумы по обороне Владимира Шаманова.

«А так, по закону, мы четко определили, что это связано с целым рядом вопросов, например с местом пребывания военнослужащего. Особенно если он служил за пределами нашего государства».

В ноябре мы писали, что российским военнослужащим хотят запретить публиковать в Сети информацию о себе и своих коллегах, этот же запрет распространяется на публикацию подобных сведений в СМИ. Соответствующий законопроект уже принят Госдумой в первом чтении.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Google закрыл дыру, позволявшую подбирать номер по имени аккаунта

Екатерина Быстрова 10 Июня 2025 - 08:59

Уязвимости сайтов Утечки информации Случайные утечки Домашние пользователи Корпорации Google

Google закрыл дыру, позволявшую подбирать номер по имени аккаунта

Исследователь под ником BruteCat обнаружил, что перебором можно было узнать номер телефона, привязанный к аккаунту Google, если знать имя пользователя и часть номера. Уязвимость оказалась в старой версии формы восстановления имени пользователя, которая работала без JavaScript — и, как выяснилось, без современной защиты.

Как всё работало

Форма позволяла отправить запросы с именем пользователя и номером телефона — и в ответ возвращала ответ, существует ли такой аккаунт. Всё это делалось с помощью двух POST-запросов. Формально защита была, но:

Ограничение по числу запросов обошли с помощью IPv6-ротации — через /64-подсети можно было генерировать триллионы уникальных IP-адресов.
CAPTCHA блокировали не всех — её удалось обойти, подставляя валидный BotGuard-токен от JS-версии формы.

Что использовал исследователь

BruteCat создал утилиту gpb, которая:

Перебирала номера по шаблонам, учитывающим формат номеров в конкретной стране;
Работала с библиотекой libphonenumber от Google;
Автоматически получала BotGuard-токены через headless Chrome;
Отправляла до 40 000 запросов в секунду.

Например, на подбор американского номера уходило около 20 минут, на британский — 4 минуты, на нидерландский — всего 15 секунд.

Как добывались недостающие цифры

Чтобы сузить круг поиска, исследователь получал часть номера из:

Формы восстановления аккаунта Google — она показывает две цифры;
Сторонних сервисов, например PayPal, где в процессе сброса пароля можно увидеть больше цифр (например, +14•••••1779).

А имейл-адрес пользователя, который Google больше не показывает напрямую, BruteCat доставал через Looker Studio: создаётся документ, передаётся на владение жертве — и её имя появляется в панели управления.

Чем это опасно

Если злоумышленник узнает привязанный номер телефона:

Он может начать вишинг (мошеннические звонки с целью выманить данные);
Провести СИМ-свопинг и получить контроль над номером;
Использовать номер для сброса паролей и доступа к другим сервисам.

Реакция Google

BruteCat сообщил об уязвимости 14 апреля 2025 года через программу вознаграждений Google.
Сначала баг не восприняли всерьёз.
22 мая Google изменила оценку на «среднюю» степень риска и выпустила частичные патчи, выплатив исследователю $5 000.
6 июня Google окончательно закрыла уязвимую JS-disabled форму.

Использовали ли уязвимость злоумышленники до её закрытия — неизвестно.