Госдума приняла закон о противодействии онлайн-мошенничеству

Госдума приняла закон о противодействии онлайн-мошенничеству

Госдума приняла закон о противодействии онлайн-мошенничеству

Государственная Дума приняла во втором и третьем чтениях законопроект № 842276–8 «О создании государственной информационной системы противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий, и о внесении изменений в отдельные законодательные акты Российской Федерации».

Законопроект разработан правительством. Комплекс соответствующих мер был анонсирован главой Минцифры Максутом Шадаевым в конце ноября 2024 года, а в феврале 2025 года внесён в Госдуму. Первое чтение документа состоялось 18 марта.

Ко второму и третьему чтениям законопроект был доработан. В частности, использование биометрической идентификации теперь закреплено как право, а не обязанность.

«Учтены предложения цифровых платформ, в том числе агрегаторов, операторов связи, сайтов объявлений, в части использования биометрических персональных данных. В итоговом варианте закреплено право, а не обязанность внедрения этого фактора при идентификации», — отметил глава комитета Госдумы по информационной политике Сергей Боярский.

Закон вводит «правило второй руки»: клиент банка сможет назначить третье лицо, которое будет подтверждать или отклонять проведение операций. Кроме того, банки обяжут проверять правомерность снятия наличных с карт через банкоматы по признакам, которые разработает Банк России.

Документ также предусматривает прямой запрет на использование зарубежных мессенджеров для информирования граждан. Это касается участников национальной платёжной системы, операторов связи, владельцев агрегаторов товаров и услуг, а также сайтов, страниц и сервисов с ежедневной аудиторией более 500 тыс. пользователей и электронных досок объявлений с аудиторией от 100 тыс. посетителей в день.

«Более 90% преступлений с применением социальной инженерии у нас совершаются с использованием иностранных мессенджеров, когда мошенники представляются сотрудниками госорганов, банков, цифровых платформ, операторов связи», — заявил министр цифрового развития, связи и массовых коммуникаций Максут Шадаев, представляя законопроект в Госдуме.

Новый закон вводит обязательную маркировку звонков от организаций. Массовые обзвоны теперь разрешаются только при наличии явного согласия абонента, которое он может в любой момент отозвать. Также запрещена отправка СМС-сообщений во время телефонного соединения.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новая уязвимость в Forminator грозит захватом 600 000 сайтов WordPress

Недавно пропатченная уязвимость в WordPress-плагине Forminator позволяет без аутентификации удалять любые файлы на сервере, в том числе wp-config.php, что может привести к потере контроля над сайтом.

Названное расширение CMS предназначено для создания веб-форм. В настоящее время на его счету свыше 600 тыс. активных установок.

Отчет об уязвимости, которой был присвоен идентификатор CVE-2025-6463, был подан в Wordfence в рамках ее программы Bug Bounty; автор опасной находки получил вознаграждение в размере $8100.

Согласно описанию, в появлении проблемы повинна функция entry_delete_upload_files, которая некорректно проверяет пути к файлам, указанные при отправке форм (отсутствуют проверки типа полей, файловых расширений, ограничений на загрузку в директории).

Из-за этого возникла возможность включения массива файлов в любое поле формы. При последующем ее удалении (например, как спама, вручную админом либо автоматически в соответствии с настройками Forminator) все указанные в метаданных файлы тоже исчезнут.

Если в результате эксплойта удалить файл wp-config.php, целевой сайт перейдет в состояние установки, и злоумышленник сможет удаленно управлять им, связав с подконтрольной базой данных.

Эксперты особо отметили, что атака в данном случае проста в исполнении, к тому же ее можно автоматизировать. Степень опасности уязвимости оценена в 8,8 балла по CVSS.

Патч вышел 30 июня в составе сборки 1.44.3; админам рекомендуется обновить плагин в кратчайшие сроки. В профильной базе данных «Эшелона» эта уязвимость пока не числится.

В прошлом году в Forminator устранили сразу три уязвимости. Одна позволяла загружать произвольные файлы на сервер, другая — провести SQL-инъекцию, третья представляла собой XSS.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru