Шесть популярных менеджеров паролей уязвимы к кликджекингу

Шесть популярных менеджеров паролей уязвимы к кликджекингу

Шесть популярных менеджеров паролей уязвимы к кликджекингу

На DEF CON 33 исследователь Марек Тот продемонстрировал: сразу шесть популярных менеджеров паролей с десятками миллионов пользователей уязвимы перед кликджекингом (clickjacking). Уязвимость может привести к краже логинов, паролей, кодов 2FA и даже данных банковских карт.

Суть атаки проста: злоумышленник прячет интерфейс менеджера под слой невидимых элементов (баннер, попап, «капчу»), и жертва, думая, что кликает по безобидной кнопке, запускает автозаполнение — в итоге чувствительные данные уходят напрямую к атакующему.

Под удар попали браузерные версии 1Password, Bitwarden, Enpass, iCloud Passwords, LastPass и LogMeOnce. Все они оказались уязвимы хотя бы к одному из сценариев атаки.

Тестировались также другие сервисы, но часть из них уже закрыла уязвимости: например, Dashlane и Keeper выпустили обновления ещё в июле–августе.

 

Реакция вендоров оказалась разной. В 1Password сочли баг «вне зоны ответственности», объяснив, что кликджекинг — это общий риск веба, а не проблема их продукта. LastPass тоже признал проблему, но отметил её скорее «информативный характер».

В Bitwarden признали уязвимость, но заявили, что она не критична — правда, тут же выпустили обновление 2025.8.0, которое закрывает дыру. А вот LogMeOnce вообще никак не ответила на сообщения исследователей.

По словам Тота, эксплойт можно адаптировать под любой из менеджеров, определив, какой из них работает в браузере жертвы. Чтобы снизить риски до выхода обновлений, он советует отключить автозаполнение и использовать только копипаст для ввода паролей.

Наталья Касперская призвала регулировать сливы данных в ChatGPT

Пока сотрудники российских компаний массово загружают документы в ChatGPT и другие ИИ-сервисы, государству пора задуматься о регулировании этой сферы. Такое мнение высказала президент группы компаний InfoWatch и председатель правления ассоциации «Отечественный софт» Наталья Касперская.

Отвечая на вопрос ТАСС о необходимости государственного вмешательства, она была предельно лаконична: «Однозначно».

По мнению Касперской, искусственный интеллект сегодня является одной из самых опасных технологий, созданных человеком за последние десятилетия.

«После ядерной бомбы. Но о рисках никто не говорит», — заявила она.

Повод для беспокойства у представителей отрасли действительно есть. Согласно исследованию компании «Солар», опубликованному в начале года, за 2025 год сотрудники российских организаций передали в публичные ИИ-сервисы в 30 раз больше конфиденциальной информации, чем годом ранее.

Причём речь идёт не о безобидных запросах вроде. В числе данных, которые пользователи отправляли нейросетям, оказались презентации компаний, стратегические документы, аналитические таблицы и даже фрагменты программного кода.

Проблему уже давно называют теневым ИИ по аналогии с теневыми ИТ-сервисами. Формально компания может запрещать использование внешних нейросетей, но сотрудники продолжают пользоваться ими для работы, просто делают это самостоятельно и без контроля со стороны работодателя.

Любопытно, что даже внутри ИБ-сообщества пока нет единого ответа на вопрос, как именно бороться с такими утечками. Ранее глава «Лаборатории Касперского» Евгений Касперский признавал, что универсального решения пока не существует. При этом он напоминал, что за разглашение коммерческой информации в России уже предусмотрена уголовная ответственность.

RSS: Новости на портале Anti-Malware.ru