Дайджест Start X № 489

Телефонные мошенники освоили новую легенду — «новые правила работы банкоматов». Об этом 22 октября предупредила платформа «Мошеловка» Народного фронта: людям звонят от имени «службы финансового контроля» и рассказывают, что терминалы самообслуживания якобы перевели на единый межбанковский стандарт.

Дальше жертву пугают: её карта не прошла верификацию, поэтому в «чужом» банкомате её могут изъять, а операцию заблокировать. «Лечится» это якобы просто — надо «настроить межбанковский шлюз», а для этого продиктовать код из СМС. Стоит назвать цифры, и мошенники заходят в мобильный банк, где их ждут все счёта человека.

В «Мошеловке» поясняют: никакой ручной верификации карт в природе не существует, а сервисы СБП (Системы быстрых платежей) и сами банкоматы работают автоматически и ничего «настраивать» по телефону не просят. Заодно платформа предупредила о сайтах-клонах продажи ж/д билетов со «скидкой 20%»: оформившему билет на фишинговой странице начинают регулярно списывать деньги с карты.

Почему это важно: банки действительно то и дело меняют процедуры, поэтому «новые правила банкоматов» звучат правдоподобно. А страх остаться у банкомата без денег и без карты толкает людей соглашаться на «настройку» не раздумывая.

Практические советы: услышали про «верификацию карты» — кладите трубку и перезванивайте в банк по номеру с оборота карты. Коды из СМС не диктуйте никому: настоящий банк их не запрашивает. Билеты на поезд покупайте только на сайте или в приложении перевозчика, а не по ссылкам «со скидкой».

Источник: Известия (по сообщению РИА Новости и платформы «Мошеловка»), 22 октября 2026 года.

Россиян начали добавлять в поддельные чаты «соседей по дому». О новой схеме 19 октября предупредил доцент Финансового университета при правительстве Р Ф Пётр Щербаченко, передаёт RT.

Чат зовётся буднично — «Мосэнергосбыт: корректировка данных» или «Перерасчёт за электроэнергию». Для убедительности там официальная символика, настоящий адрес дома, фамилии соседей и номера квартир. В чате сидят пять-семь «участников» и пишут деловым тоном — только реальный человек среди них один, остальные боты. Участнику предлагают перейти по ссылке, выдавая её за официальный чат-бот «Госуслуг». Стоит ввести там номер телефона и код подтверждения — и злоумышленники в его личном кабинете на «Госуслугах».

Дальше начинается вторая серия: человеку сообщают, что аккаунт взломан и на него оформляют кредиты. Под предлогом «защиты денег» жертву убеждают перевести накопления на пресловутый «безопасный счёт» — и она их теряет.

Почему это важно: домовой чат вызывает доверие автоматически — соседи «свои», тема коммунальная. Признаки подделки эксперт называет такие: вас добавили без предупреждения, аккаунты новые и без фото, участники постят коды из СМС прямо в чат, просят пароль или карту под любым предлогом, торопят и давят на эмоции.

Практические советы: добавили в «домовой чат» без предупреждения — выходите и не переходите по ссылкам из него. Перерасчёт проверяют в управляющей компании или на «Госуслугах» напрямую, набрав адрес самостоятельно. Коды из СМС не вводите нигде по просьбе «соседей».

Источник: Lenta.ru (по информации RT), 19 октября 2026 года.

МВД предупредило о свежей волне мошенничества, подстроенной под сезон уплаты налогов. Как рассказала 16 октября официальный представитель ведомства Ирина Волк, полиция фиксирует рассылки фишинговых ссылок от имени Федеральной налоговой службы.

Сценарий такой: в мессенджер приходит сообщение якобы от ФНС с предложением «проверить налоговые начисления». Ссылка ведёт на поддельный сайт под госсервис, где просят авторизоваться в личном кабинете, введя код из уведомления. Затем на экране появляется пугалка о взломе учётной записи «Госуслуг» и телефоны «техподдержки» — на том конце провода сидит мошеннический колл-центр.

Коварство схемы в её многоступенчатости: сначала человек сам отдаёт код фальшивому сайту, потом сам же звонит «в поддержку» — и дальше с ним уже живым голосом работает мошенник, который выманит данные карты или убедит перевести деньги.

Почему это важно: осенью налоговые уведомления приходят по-настоящему, и письмо «от ФНС» в эти недели не выглядит подозрительно. Мошенники ловят на сезонной повестке, а сайт-копия «Госуслуг» обманывает даже осторожных.

Практические советы: начисления проверяйте только в личном кабинете на официальном сайте ФНС или в приложении ведомства — не по ссылкам из мессенджеров. Сайт сообщил о «взломе» и дал телефон поддержки? Не звоните по нему, наберите номер с официального сайта сами. Код из уведомления вводите только на ресурсе, чей адрес набрали руками.

Источник: Интерфакс (со слов официального представителя МВД России Ирины Волк), 16 октября 2026 года.

Внедрение цифрового рубля мошенники уже обыграли в своих сценариях. Эксперты проекта «Перезвони сам» московского департамента информационных технологий 17 октября предупредили о резком росте звонков и рассылок: злоумышленники представляются сотрудниками Центробанка, коммерческих банков или госуслуг и пугают людей — прежде всего пожилых — обязательным переводом денег в новую форму валюты.

Работают две схемы. В первой звонящий сообщает, что с 1 сентября весь безналичный рубль на счётах принудительно конвертируют в цифровой «по невыгодному курсу». «Спасти» накопления предлагают через «специальный цифровой кошелёк» по ссылке — она ведёт на фишинговый сайт в фирменном стиле ЦБ или крупного банка. Ввод данных карты или перевод на «резервный» счёт заканчивается мгновенным списанием денег. Вторая схема — про пенсии: пенсионеров убеждают, что выплаты автоматически переводят в цифровые рубли, но «можно отказаться», продиктовав код из СМС. Код открывает мошенникам мобильный банк.

Эксперты напоминают базу: цифровой рубль — добровольная третья форма рубля наряду с наличными и безналичными. Он не заменяет обычные деньги, соотношение всегда один к одному, кошелёк открывается только по решению гражданина, а принудительной конвертации не существует в принципе.

Почему это важно: любая крупная реформа — корм для мошенников: люди ещё не разобрались в правилах, а слухи про «невыгодный курс» бьют по самому больному — сбережениям и пенсиям.

Практические советы: любой звонок с предложением «конвертировать» деньги — от мошенников, кладите трубку. Перезвоните в банк по официальному номеру с карты или сайта. И обязательно расскажите об этой схеме старшим родственникам — им сейчас звонят чаще всего.

Источник: журнал «Профиль» (по материалам проекта «Перезвони сам» ДИТ Москвы), 17 октября 2026 года.

Японское подразделение Burger King отчиталось о крупной утечке: хакеры проникли на сервер с данными 11,18 миллиона клиентов. Как пишет BleepingComputer 16 октября, компания завершила расследование 13 октября и принесла извинения — украденные в начале месяца данные уже всплыли в сети.

На взломанном сервере лежала информация пользователей официального приложения сети: имена, даты рождения, пол, адреса почты, номера телефонов и история заказов. Сам несанкционированный доступ, по выводам расследования, длился со 2 по 7 октября, после чего компания заблокировала источник атаки. Номеров банковских карт на сервере не было, а следов доступа к паролям пользователей компания не обнаружила.

Burger King Japan уведомила японскую Комиссию по защите персональной информации и разбирается в случившемся с внешними экспертами. Утечка стала очередным звеном в целой волне атак на японские компании в этом году: до неё пострадали издательский дом Nikkei, оператор связи KDDI, каршеринг Times Car и другие. Исследователь Ютака Сэджияма насчитал за год уже 119 инцидентов с кражей персональных данных — атакующие прощупывают сайты и приложения на слабые места во входе и настройках.

Почему это важно: связка «имя, телефон, любимый заказ» — готовый материал для убедительных мошеннических писем и звонков. А японская серия взломов показывает: через уязвимости в приложениях сетевых брендов страдают миллионы обычных клиентов в любой стране.

Практические советы: компания просит клиентов опасаться писем, СМС и звонков от её имени, не переходить по ссылкам и не открывать вложения. В приложениях магазинов и кафе регистрируйтесь на отдельную почту и не храните там карту. А пароль, совпадающий с паролем от других сервисов, смените везде.

Источник: BleepingComputer, 16 октября 2026 года.

МВД раскрыло подробности громкой кибератаки на сеть «Додо Пицца». Полиция задержала хакера из Барнаула: по данным ведомства, он использовал искусственный интеллект и взломал серверы крупнейшей сети пиццерий за несколько часов. Оперативное видео задержания 19 октября показала «Лента.ру».

Напомним: о кибератаке «Додо Пицца» сообщила в конце сентября, предупредив о возможной утечке имён, адресов, почт, телефонов, дат рождения и составов заказов. Теперь назван масштаб: хакеры добрались до 33 миллиардов записей о 862 миллионах заказов за 15 лет, 68 миллионов клиентских записей, данных 431 тысячи сотрудников и 171 миллиона записей об адресах доставки. По данным следствия, базу продали в даркнете за 100 тысяч долларов.

Нашли взломщиков из-за их же ошибки при входе в похищенный массив — одного вычислили по IP-адресу. В группировке было четверо — граждане России, Казахстана и Беларуси, троих задержали, барнаульца отправили под домашний арест, при обысках изъяли технику и «инфраструктуру группировки». Утешение одно: платёжных данных карт в базе не было — компания их не хранит.

Почему это важно: утечка включает домашние адреса и привычные заказы миллионов людей. По таким данным мошенники строят очень правдоподобные звонки «от доставки» и «из банка»: когда собеседник знает ваш адрес и любимую пиццу, доверие приходит само.

Практические советы: если заказывали пиццу онлайн, относитесь настороженно к звонкам, где вас «узнают» по адресу или заказу. Смените пароль в приложении сети — особенно если использовали его где-то ещё. Коды из СМС не передавайте никому, кто позвонит «по поводу утечки».

Источник: Lenta.ru (по данным МВД России), 19 октября 2026 года.

Несколько российских хостинг-провайдеров сообщили о взломе VMmanager 6 — отечественной системы управления виртуальными серверами от компании ISPsystem, входящей в «Группу Астра». Платформа стоит более чем на 6000 серверов частных компаний и госучреждений, поэтому эксперты называют случившееся крайне опасным: утечь могли пароли, ключи доступа и даже криптокошельки клиентов.

Хронология по данным CNews выглядит так. Провайдер ForestsNet Cloud сообщил, что панели VMmanager были заражены с 11 по 16 октября, а сама атака с вероятной кражей данных прошла в ночь с 16 на 17 октября. Сутки спустя хостер FirstVDS признал взлом: злоумышленники запустили на части серверов программу-стилер, которая подключала диски клиентских виртуальных машин в режиме чтения и копировала пароли, SSH-ключи и API-токены — секретные ключи для доступа к серверам и облакам, — а также конфигурации, историю команд, криптокошельки и файлы пользователей. У атакующих на руках был готовый список серверов с IP-адресами и root-паролями.

Разработчик подтвердил уязвимость «в одной из сборок VMmanager 6» и начал рассылать исправления, однако FirstVDS предупредил: первый патч проблему полностью не закрыл, а клиентская панель останется закрытой «надолго». Среди пользователей платформы, по данным CNews, десятки организаций — от хостеров до Департамента здравоохранения Томской области и авиакомпании «КрасАвиа».

Почему это важно: если ваш сайт, интернет-магазин или рабочий сервис живёт на арендованном сервере, его «ключи от квартиры» могли оказаться у чужих людей. А через них злоумышленники добираются до облаков, аккаунтов и баз клиентов.

Практические советы: пользуетесь хостингом — проверьте личный кабинет и почту: провайдеры рассылают уведомления пострадавшим. Смените пароли и ключи доступа к серверу, облачным сервисам и репозиториям, включите двухфакторную аутентификацию везде, где можно. Деньги и криптовалюту держите вдали от рабочих серверов.

Источник: CNews (по данным РБК, FirstVDS, ForestsNet Cloud и «Группы Астра»), 20 октября 2026 года.

Британское Агентство юридической помощи (LAA) признало: взлом его систем привёл к утечке персональных данных почти за 50 лет — самая старая запись датирована 1978 годом. Подробности 16 октября собрал CNews со ссылкой на The Register и The Independent.

LAA — агентство Минюста Великобритании, оно управляет службой государственных защитников и распределяет миллиарды на юридическую помощь небогатым. Его взломали ещё в апреле 2025 года, и поначалу власти говорили лишь о «значительном объёме данных» до 2007 года. Спустя полтора года разбирательства картина уточнилась: украдено около 250 тысяч записей вплоть до 1978 года. Точное число пострадавших не назовут до сих пор: данные лежали в нескольких сложных системах, фрагментированные и неполные.

В руках хакеров — контакты, даты рождения и номера национальных удостоверений людей, обращавшихся за юридической помощью, сведения об их судимостях и занятости. Бонусом скопированы данные юридических подрядчиков и даже информация из службы тюрем и пробации: имена, даты рождения и номера дел людей под надзором в 2010—2017 годах. Министр Сара Сакман заявила в парламенте, что преступники воспользовались уязвимостями в ИТ-системах агентства.

Почему это важно: случай показывает, как долго живут последствия взлома. Украденные данные «не устаревают», а расследование масштаба может занять годы — и всё это время люди не знают, что о них известно мошенникам.

Практические советы: относитесь скептически к письмам и звонкам, где собеседник много знает о вашем прошлом, — это могут быть данные из старых утечек. Проверяйте свою почту в сервисах проверки утечек и меняйте пароли при первом подозрении. И помните: чем меньше сервис хранит о вас «вечной» информации, тем меньше урона от его взлома.

Источник: CNews (по материалам The Register и The Independent), 16 октября 2026 года.

Операторы связи заблокируют около 26 тысяч мобильных номеров, оформленных сверх законного лимита. Об этом 22 октября сообщили «Ведомости» со ссылкой на замглавы Роскомнадзора Олега Терлякова, выступившего на форуме «Спектр-2026».

С 1 ноября 2025 года в России действует ограничение: одному гражданину можно иметь не больше 20 SIM-карт суммарно у всех операторов, иностранцу — не больше десяти. За превышением лимита следует блокировка номеров: мера направлена против нелегального оборота сим-карт и телефонного мошенничества. По подсчётам Роскомнадзора, с начала года к середине октября число «перелимитных» номеров сократилось на 1,95 миллиона — в 76 раз. Оставшиеся 26 тысяч номеров зарегистрированы примерно на тысячу абонентов.

Замглавы ведомства отдельно отметил: злоумышленники нередко оформляют номера на подставных лиц или на людей, которые об этом даже не подозревают. Проверить, какие SIM-карты числятся на вас, можно через «Госуслуги».

Почему это важно: честного человека лимит в 20 номеров почти не касается, а вот найти у себя «лишнюю» симку, оформленную мошенником, — значит вовремя закрыть канал, с которого обманывают других от вашего имени.

Практические советы: зайдите на «Госуслуги» и проверьте список номеров, оформленных на ваше имя, — чужие SIM-карты отключите через оператора. Пришло уведомление о блокировке «за превышение лимита» — не паникуйте, а сверьте список номеров. И не оформляйте симку «для подруги» на свой паспорт.

Источник: «Ведомости» (со слов замглавы Роскомнадзора Олега Терлякова), 22 октября 2026 года.

Google представила новые защитные функции в Chrome против атак ClickFix — популярного приёма, когда сайт сам убеждает посетителя скопировать и запустить вредоносную команду. Анонс прозвучал 20 октября в блоге безопасности компании, подробности приводит The Hacker News.

ClickFix работает так: человек попадает на взломанный сайт или вредоносную рекламу и видит фальшивую «проверку от Cloudflare», «капчу Google» или несуществующую ошибку. Для «решения проблемы» его просят скопировать команду и вставить её в окно «Выполнить» в Windows или в «Терминал» на Mac. После нажатия Enter запускается цепочка заражения: на компьютер ставят инфостилер (программу-вор паролей) или троян удалённого доступа. Хитрость в том, что жертва запускает вредонос сам, в обход всех браузерных проверок скачиваний.

Теперь Chrome с включённым режимом «Расширенная защита» замечает, когда пользователь копирует подозрительную команду. Содержимое буфера обмена очищается от личных данных и уходит в систему Safe Browsing на анализ — и если команда опасна, браузер покажет предупреждение до того, как человек успеет её выполнить. Дополнительно браузер начал помечать «подозрительные» сайты, похожие на мошеннические, и анализировать страницы псевдотехподдержки с помощью ИИ-модели.

Почему это важно: ClickFix — сейчас один из главных способов заражения домашних компьютеров, потому что он обманом заставляет самого человека открыть дверь вирусу. Предупреждение браузера срабатывает в последний момент, когда остановиться ещё не поздно.

Практические советы: включите в настройках Chrome, в разделе «Конфиденциальность и безопасность», режим «Расширенная защита». И запомните железное правило: ни один сайт не должен просить вас скопировать и запустить команду. Увидели такую просьбу — закрывайте страницу.

Источник: The Hacker News (по анонсу Google), 21 октября 2026 года.

В библиотеке RingRTC, через которую Signal делает голосовые и видеозвонки, нашли серьёзную уязвимость: собеседник мог продолжать слышать вас после того, как вы нажали «завершить». Ошибка получила идентификатор CVE-2026−113 380 и оценку 9,3 балла из 10 — сведения о ней опубликованы 20 октября, разбор приводит GBHackers.

Суть технически: состоянием звонка управляют конечные автоматы с очередью событий на 256 записей. Удалённый участник разговора мог намеренно «забить» эту очередь — и тогда команда завершения звонка не срабатывала до конца: соединение и звуковая дорожка оставались живы. Человек видел на экране «звонок завершён», а микрофон продолжал передавать звук второй стороне. Исправление разработчик Signal подготовил ещё 4 сентября, оно вошло в RingRTC версии 2.72.0: завершение звонка теперь проверяется отдельным флагом и не зависит от переполненной очереди.

Уязвимость касается мобильных и настольных приложений Signal, а также всех сторонних программ со старой версией библиотеки. Сценарий ограниченный — подслушивать может только участник звонка, а не посторонний наблюдатель. Но и этого хватает, чтобы в открытый микрофон улетели лишние подробности вашей жизни.

Почему это важно: кнопка «завершить» — это обещание приватности, и её сбой бьёт по главному, ради чего люди выбирают защищённый мессенджер для личных и рабочих разговоров.

Практические советы: обновите Signal до последней версии на телефоне и компьютере — заплатка уже вышла. Приложения для звонков, в которых используются чужие библиотеки, тоже обновляйте не откладывая. И по старой привычке: самое сокровенное не обсуждайте, пока звонок формально не завершён и приложение не закрыто.

Источник: GBHackers (по описанию CVE-2026−113 380), 22 октября 2026 года.

Российские исследователи нашли способ получить полный доступ к умным колонкам «Яндекс Станция» — root-права, то есть права администратора, открывающие все программные «внутренности» устройства. Компания назвала находку уязвимостью и 22 октября начала рассылать обновление безопасности: оно установится само, автоматически и в фоновом режиме, сообщает CNews.

Метод из проекта eQuasar не требует разбирать колонку: всё делается через ошибку в системе доверенных сертификатов. Исследователи перенаправили DNS-запросы колонки на собственный локальный сервер (DNS — служба, которая превращает привычное имя сайта в адрес нужного сервера, и подмена записи в ней ведёт устройство не туда) и получили доступ через отладочный порт. Взлом удался на «Яндекс Станции Мини 2» со свежей октябрьской прошивкой: система работает на ядре Linux, так что энтузиаст может запускать свои программы, ставить стороннего голосового ассистента вместо «Алисы» и подключать любые музыкальные сервисы. Заблокированные колонки так, впрочем, не оживить: статус блокировки проверяется ещё и на серверах компании.

«Яндекс» отреагировал рекордно быстро: команда разобрала сценарии уязвимости и подготовила патч, часть пользователей получила его сразу, остальные — в течение дня, отказаться нельзя. Остроты добавляет рынок: по статистике, девять из десяти умных колонок в России производит именно «Яндекс».

Почему это важно: колонка стоит в комнате и постоянно слышит домочадцев, поэтому уязвимость в ней — потенциальный «жучок» в квартире. Хорошая новость в том, что проблему нашли энтузиасты, а не злоумышленники, и закрыли её без участия владельца.

Практические советы: делать ничего не нужно — обновление придёт само; не отключайте колонку от сети надолго, чтобы оно установилось. Держите прошивку в автоматическом обновлении и не экспериментируйте с чужими инструкциями по взлому: по горячим следам мошенники раздают «гайды» с вредоносами.

Источник: CNews (по данным «Код.ру» и проекта eQuasar), 22 октября 2026 года.

OpenAI запустила в ChatGPT «заблокированные чаты»: личные разговоры теперь можно убрать из общей истории и защитить четырёхзначным ПИН-кодом, а на телефонах — Face ID или Touch ID. Об этом компания объявила 20 октября, пишет TechCrunch.

Запертый чат переезжает в отдельный раздел и исчезает из обычной истории, закреплённых переписок и поиска по чатам. В отличие от «временных чатов», которые вообще не сохраняются, к заблокированной переписке можно вернуться когда угодно. Функция придумана для разговоров о личном или для подготовки сюрприза — чтобы никто не подсмотрел переписку, когда вы передаёте телефон знакомым. Если включена память, у заблокированных чатов будет своя, отдельная: новые сведения оттуда не просочатся в обычные разговоры.

Есть важные оговорки. Сквозного шифрования и «сейфа» блокировка не создаёт: OpenAI как хранила переписки, так и хранит, настройка «улучшать модель за счёт всех» не меняется. Сброс ПИН-кода навсегда удалит все запертые чаты — не восстановит даже поддержка. Заблокировать нельзя временные, архивные и групповые чаты, переписки по ссылкам, чаты с задачами и записями встреч, а также ChatGPT для медицины. Функция раскатывается постепенно на всех тарифах от бесплатного до корпоративного.

Почему это важно: чат-бот всё чаще знает о человеке больше ближайших родственников, и защита от случайных глаз — разумный минимум. Только не путайте «замок на дверце» с сейфом: от серверов компании ПИН-код переписку не прячет.

Практические советы: запирайте чувствительные разговоры, особенно если телефоном или компьютером пользуется кто-то ещё. ПИН-код сохраните в менеджере паролей — сброс сотрёт чаты безвозвратно. И не храните в чат-ботах то, что боитесь потерять или показать: паролям и номерам карт там не место.

Источник: TechCrunch (по анонсу OpenAI), 20 октября 2026 года.