Яндекс выплатил этичным хакерам 70 млн рублей в 2023 году

Яндекс выплатил этичным хакерам 70 млн рублей в 2023 году

Яндекс выплатил этичным хакерам 70 млн рублей в 2023 году

Представители Яндекс сообщили, что корпорация в 2023 году выплатила «белым» хакерам 70 миллионов рублей за уязвимости, найденные в сервисах и инфраструктуре техногиганта.

Интересно, что показатели аналогичных выплат за 2022 год почти вдвое меньше. Компания связывает это с запуском конкурсов по различным направлениям программы Bug Bounty с повышенными выплатами.

Так, в конкурсах иногда можно получить суммы, в десять раз превышающие обычные вознаграждения. Помимо этого, отмечается рост числа участников охоты за багами.

Один из конкурсов, которые Яндекс приводит в пример, был посвящён защите пользовательских данных: исследователи пытались найти бреши, способные привести к раскрытию конфиденциальной информации.

В этом году корпорация планирует выделить не менее 100 миллионов рублей на выплаты этичным хакерам. Яндекс рассчитывает привлечь больше внешних специалистов и дополнительно усилить безопасность своих сервисов. Итоги Bug Bounty за 2023 год представлены на инфографике:

 

В общей сложности в программе участвовали 528 экспертов, которые сгенерировали 763 отчёта о багах (378 были уникальными). Все критические уязвимости разработчики уже устранили.

Самые крупные выплаты составили 12 млн, 7,5 млн и 3,7 млн рублей.

Напомним, в конце прошлого месяца Яндекс ID ввёл аутентификацию с помощью сканирования отпечатка пальца или лица.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Positive Technologies назвала новые тенденции в фишинговых атаках

На пресс-конференции «Какими будут фишинговые атаки в ближайшем будущем», прошедшей в рамках фестиваля Positive Hack Days, руководитель направления аналитических исследований Positive Technologies Ирина Зиновкина рассказала о текущих трендах в этой сфере.

По её словам, фишинг стал второй по популярности техникой для атак на организации, а для APT-группировок — основной.

Массовый рост и новые инструменты

Число фишинговых атак продолжает расти: в 2024 году прирост составил 33%, годом ранее — 30%. Основные последствия — утечки данных и сбои в работе компаний, нередко приводящие к остановке процессов на несколько дней из-за заражения системой или внедрения деструктивного кода.

Главная технологическая новинка — активное применение искусственного интеллекта. Злоумышленники используют ИИ не только для генерации правдоподобных сообщений, но и для создания аудио- и видеороликов с якобы обращениями от руководителей компаний (формат Fake Boss). Уже существуют сервисы, позволяющие сгенерировать такие фейки — их аренда стоит около 10 долларов. Ещё один распространённый приём — использование QR-кодов для маскировки ссылок.

По словам Зиновкиной, применение ИИ делает массовые атаки столь же эффективными, как и целевые, при этом требует минимальных ресурсов. Кроме того, всё чаще используется модель «атаки как услуга»: даже у людей без технической подготовки появляется возможность организовать фишинговую кампанию с помощью готовых инструментов.

Кого атакуют и зачем

По статистике Positive Technologies, в 2024 году наибольшее число фишинговых атак пришло на следующие отрасли:

  • 15% — государственные учреждения,
  • 10% — промышленность,
  • 9% — ИТ-сектор,
  • по 7% — медицина и образование/наука,
  • 6% — финансовые организации.

Особый интерес злоумышленники проявляют к ИТ-компаниям — как к «входной точке» в инфраструктуру их клиентов. Промышленные организации также нередко становятся мишенью из-за роли в цепочках поставок.

В 22% случаев целью атак была кража учётных данных сотрудников. Кроме того, часто объектом становятся документы, содержащие коммерческую тайну. Типичным для России сценарием стали веерные атаки — когда сразу несколько компаний подвергаются атаке по схожей схеме.

Практика защиты и примеры

Директор по информационной безопасности СДМ-Банка Владимир Солонин отметил, что фишинг остаётся серьёзной проблемой — банк сталкивается с ним с 2016 года. Он привёл примеры, когда технические средства защиты не сработали: в одном случае использовалось легитимное ПО с открытым кодом для шифрования данных, в другом — вредоносный код был распределён по ячейкам в таблице, а макрос собирал его в работающий фрагмент. Такие обходные пути позволяют избежать срабатывания стандартных защитных механизмов.

По его словам, значимым фактором в снижении рисков стала регулярная работа с персоналом. За 10 лет количество сотрудников, которых удавалось обмануть фишингом, уменьшилось в 10 раз — благодаря внутренним тренировкам и обучающим программам.

Новая разработка от Positive Technologies

Компания анонсировала выпуск собственного решения для защиты корпоративной электронной почты — PT Email Gateway. Релиз ожидается в конце 2025 года. Продукт объединит три антивирусных движка, базу индикаторов компрометации от PT ESC, анализатор ссылок и интеграцию с песочницей и другими защитными механизмами. Объём российского рынка таких решений, по оценке компании, составляет 6–7 млрд рублей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru