Дайджест Start X № 491

Мошенники освоили новую легенду — прикрепление к поликлинике. Россиянам рассылают ссылки на фишинговые сайты, маскируясь под поликлиники, предупредил 1 ноября канал УБК МВД в мессенджере MAX.

Всё начинается со взлома: злоумышленники захватывают чью-то учётную запись в мессенджере и стилизуют её под профиль «поликлиники». С этого аккаунта людям приходят сообщения с просьбой перейти по ссылке — якобы чтобы прикрепиться к поликлинике или открепиться от неё. Ссылка ведёт на фишинговый сайт, где просят код из СМС, который затем нужно переслать в чат «поликлиники».

Цель конструкции — аккаунт жертвы в мессенджере или личный кабинет на «Госуслугах». В МВД в очередной раз напоминают: госучреждения не связываются с гражданами через мессенджеры и соцсети для подтверждения или обновления данных — для этого пригласят на личный приём.

Почему это важно: сообщение приходит с реального, пусть и взломанного аккаунта, а тема поликлиники — бытовая и привычная: прикрепление люди действительно оформляют онлайн, поэтому ссылка вопросов не вызывает.

Практические советы: прикрепляйтесь к поликлинике только через «Госуслуги» или регистратуру — никаких ссылок из чатов. Код из СМС не пересылайте никому: это ключ от вашего аккаунта. Написала «поликлиника» в мессенджере первой — это не поликлиника: позвоните в регистратуру напрямую по телефону с официального сайта.

Источник: УБК МВД России, 1 ноября 2026 года.

Мошенники обзванивают россиян с обещаниями «праздничных выплат» и выманивают реквизиты карт и коды из СМС. Об этом 4 ноября, в День народного единства, предупредило МВД, передаёт ТАСС.

Схема элементарная. Звонок: в связи с праздником вам положена выплата на карту. Для «начисления» просят продиктовать номер и срок действия карты, защитный код на обороте и СМС-код подтверждения. Получив всё это, мошенники просто снимают деньги со счёта.

Всплески таких звонков случаются накануне крупных госпраздников — Дня народного единства, Дня России, Дня Победы. К этим датам в ряде регионов действительно положены выплаты отдельным категориям, например ветеранам и пенсионерам, — на этом аферисты и играют. Типовые фразы: «Вам положена выплата к празднику, подтвердите карту» и «Продиктуйте СМС-код для зачисления». Звонят с подменных номеров под банк или госорган и давят на срочность.

Почему это важно: выплаты к праздникам — реальная практика, поэтому предложение звучит правдоподобно. А пожилые люди, которым такие суммы чаще всего и положены, — главная мишень.

Практические советы: сразу прекращайте разговор, если неизвестный требует банковские данные или коды — официальные структуры их не спрашивают. Любую выплату проверяйте сами: на «Госуслугах», в приложении Социального фонда или банка. Уже продиктовали данные — немедленно звоните в банк по номеру на карте, блокируйте её и меняйте пароль онлайн-банка.

Источник: журнал «Профиль» (по материалам МВД и ТАСС), 4 ноября 2026 года.

Мошенники начали раздавать вредоносные программы под видом бесплатных ИИ-сервисов для подбора стрижек, причёсок и макияжа. Об этом 5 ноября сообщает РИА Новости со ссылкой на материалы прокуратуры.

В интернете рекламируются «бесплатные ИИ-сервисы», которые якобы подберут новый имидж по загруженной фотографии. Желающим предлагают скачать приложение по ссылке — а лежит по ней вредоносное ПО. После установки аферисты получают удалённый доступ к телефону и выводят деньги со счетов жертвы.

По словам председателя совета по противодействию технологическим правонарушениям Игоря Бедерова, мошенники не изобретают темы — они работают с тем, что находится в информационном поле. Нейросети и ИИ-приложения сейчас у всех на слуху, и обещание «бесплатно поиграться с ИИ» срабатывает безотказно: аферисты давят на базовые эмоции — любопытство и жадность.

Почему это важно: на волне популярности нейросетей люди ставят десятки «ИИ-приложений» не глядя. Под видом безобидной забавы с причёской телефон отдаётся целиком — вместе с банком и почтой.

Практические советы: скачивайте приложения только из официальных магазинов — App Store, Google Play, RuStore — и никогда по ссылкам из рекламы и сообщений. Проверьте у себя и у родителей список недавно установленных приложений: незнакомое «ИИ-фото» — удалить. Не давайте приложениям доступ к специальным возможностям и чтению уведомлений без явной нужды.

Источник: Lenta.ru (по материалам прокуратуры и РИА Новости), 5 ноября 2026 года.

Мошенники распространяют вредоносное ПО через поддельные приложения для проверки истории автомобилей. Об этом 5 ноября сообщил ТАСС со ссылкой на материалы МВД.

Аферисты размещают в интернете приложения, которые якобы устанавливают историю машины и сведения о её прежних владельцах — то, что ищут все, кто покупает авто с рук. По ссылке человек загружает установочный APK-файл — это и есть вредоносная программа, открывающая мошенникам доступ к устройству.

Дальше классика: накопления жертвы уходят злоумышленникам, а при желании на человека оформляют ещё и кредиты. В МВД советуют скачивать приложения только из официальных источников.

Почему это важно: осень и весна — пик продаж подержанных автомобилей, и «проверить историю авто» ищут тысячи людей в день. Мошенники встают ровно на этом спросе с бесплатным «аналогом Автотеки».

Практические советы: проверяйте историю автомобиля через известные сервисы и ГИБДД — сайт гибдд. рф, а не по первой ссылке из поиска. APK-файлы из браузера не устанавливайте в принципе. Уже скачали такое «приложение для проверки» — удалите его, проверьте телефон антивирусом и смените пароли банковских приложений.

Источник: Новости Mail (по материалам МВД и ТАСС), 5 ноября 2026 года.

Официальный представитель МВД Ирина Волк предупредила: в сезон смены шин мошенники резко наращивают активность и охотятся за данными и деньгами через поддельные сайты магазинов шин и дисков. Об этом 4 ноября пишут «Финансы Mail».

Главная схема — фишинговые ресурсы. В период спроса число поддельных магазинов шин растёт многократно: если обычно на одну компанию приходится около десяти таких сайтов, то в разгар сезона — от пятидесяти до двухсот. Специальные инструменты продвигают эти страницы в топ поиска по запросам вроде «купить диски недорого» — и ввод карты на таком сайте оборачивается потерей денег и персональных данных.

Вторая схема — фейковые объявления о продаже шин по заниженной цене: человек переводит предоплату и не получает ничего. Признаки: низкая цена, полная предоплата в короткий срок, невозможность проверить товар. Обманывают и продавцов: «покупатель» предлагает оформить доставку через курьера и присылает ссылку для резервирования — после ввода карты продавец не получает деньги, а теряет свои. Волк подчеркнула: для получения перевода достаточно номера карты или телефона, никакие ссылки от покупателя открывать не нужно.

Почему это важно: переобувка — дважды в год у миллионов водителей, и в спешке «успеть до снега» люди покупают где попало, особенно когда сайт стоит первым в поиске.

Практические советы: покупайте шины на проверенных площадках, адрес официального магазина вводите вручную или держите в закладках, по рекламным ссылкам не переходите. Платите при получении или через площадки с защитой покупателя. Продаёте сами — игнорируйте любые «курьерские ссылки» от покупателей.

Источник: «Финансы Mail» (по предупреждению МВД), 4 ноября 2026 года.

Интернет-ресурсы Росстата подверглись кибератаке, сообщили РБК в ведомстве 1 ноября. На главном портале и сайтах региональных управлений появились сообщения хакерских группировок «Киберпартизаны BY» и Silent Crow, признанных в России экстремистскими, включая послание «Никому не избежать ответственности» на белорусском языке.

В пресс-службе Росстата уточнили: атаки были тщательно подготовлены и шли одновременно по нескольким направлениям с 29 октября по 1 ноября «с привлечением значительного числа специалистов различного профиля и при широкой географии источников». Ведомство уверяет, что утечки баз данных не произошло: мониторинг якобы своевременно оповестил о подозрительной активности. При этом на момент публикации сайт Росстата не работал.

Сами хакеры заявили о краже 23 терабайт данных: сведения о российских потерях на войне, демографическая и экономическая статистика и документы «для служебного пользования». Росстат действительно учитывает гибель в результате военных действий — такая категория есть в его официальной методологии, но с 2024 года ведомство перестало публиковать итоговую статистику о причинах смерти. Это те же группировки, что в июле 2025 года взяли на себя взлом систем «Аэрофлота», а в январе заявляли о краже двух миллиардов записей Росреестра — тогда ведомство отрицало утечку, но журналисты подтвердили подлинность части опубликованных данных.

Почему это важно: Росстат — главный хранитель демографии страны, включая свидетельства о смерти всех граждан. Если заявления хакеров подтвердятся, утечка затронет семьи миллионов людей.

Практические советы: следите за официальными сообщениями Росстата и ждите фишинга «от статистиков»: по утечкам госданных мошенники любят рассылать «проверьте себя в списке» с вирусной ссылкой. Такие ссылки не открывайте — проверить себя можно только в официальных сервисах.

Источник: РБК, 1 ноября 2026 года.

Российский хостинг-провайдер Beget сообщил, что масштабный сбой, начавшийся в ночь на 2 ноября, стал результатом «массированной кибератаки». Как пишет «Хакер», удар пришёлся по всем уровням инфраструктуры второго по числу доменов в зоне .RU хостера — около 540 тысяч доменов и больше 200 тысяч клиентов.

Первые проблемы начались 2 ноября около 3:50 по Москве. Злоумышленники получили доступ к управляющему контуру всей архитектуры и запустили обнуляющие скрипты. Перед сбоем у блоков IP-адресов Beget зафиксировали почти миллион анонсов об изменении маршрутов за час — при норме не больше 20 тысяч за 90 дней. Компания объявила клиентам форс-мажор и приостановила все списания.

Итог на 3 ноября: в облачной инфраструктуре — VPS, S3 и Kubernetes — все данные утрачены, остались только файловые бэкапы VPS, а настройки CDN и IP потеряны. На виртуальном хостинге восстановлению подлежат почти 100% сайтов, но каждый сервер проверяют вручную на скрытые вредоносные скрипты — быстро включить всё нельзя. От сбоя пострадали информационный сайт «Честного знака», «РЖД Тур» и каршеринг BelkaCar, который переносил сервисы к другому подрядчику. Попыток скачать пользовательские данные компания не зафиксировала, но рекомендует сменить все пароли и ключи доступа, хранившиеся на серверах.

Почему это важно: если у вас сайт или почта на Beget — вы это уже почувствовали. А для всех остальных это урок: атака на одного провайдера кладёт тысячи сервисов сразу — от маркировки товаров до каршеринга.

Практические советы: клиентам Beget — смените пароли и ключи от серверов, следите за страницей domains.beget.ru (там уже можно перенаправить домены в зонах .ru/.рф/.su) и подайте запрос на компенсацию после восстановления доступа. Всем владельцам сайтов: держите бэкапы вне хостера — у другого провайдера или локально, иначе вы зависите от чужого форс-мажора.

Источник: «Хакер» (по заявлениям Beget и «Коммерсанта»), 3 ноября 2026 года.

Криптобиржа Binance рассказала, что северокорейские хакеры украли у неё около 6,34 миллиарда долларов США, начав операцию с обычного фейкового собеседования. Подробный отчёт 3 ноября разбирает BleepingComputer — ФБР связало атаку с группировкой TraderTraitor, она же Lazarus.

Всё началось в сентябре: инженеру Binance на легитимной платформе поиска работы написал «проектный директор» вымышленной компании. Было два собеседования: сначала «HR» провёл живой видеозвонок и показал соцсеть с личными фото для доверия, затем «генеральный директор» в мессенджере попросил скачать тестовое задание из онлайн-репозитория. В коде задания сидел вредонос: после запуска компьютер инженера заразился кастомным зловредом, которого не видел ни один антивирус, — он подменил компонент инструмента разработки pyenv и связался с сервером атакующих.

К 20 октября хакеры через компьютер инженера и внутренний ИИ-инструмент компании скомпрометировали ещё двух сотрудников из команды кошельковой инфраструктуры и добыли учётные данные с токеном развёртывания. 29 октября по этим кредам они развернули вредоносный скрипт в сервисе подписи кошельков и вывели миллиарды в нескольких блокчейнах, а механизм Ethereum EIP-7702 позволил продолжать кражу даже после приостановки вывода. На 3 ноября около 2,85 миллиарда заморожено или перехвачено, 98% затронутых токенов восполнено.

Почему это важно: крупнейшая кража крипты в истории началась не со взлома серверов, а с обычного собеседования — социальная инженерия остаётся главным ключом к любой компании.

Практические советы: разработчикам — тестовые задания от рекрутеров запускайте только в изолированной среде или на отдельной машине, а не на рабочем ноутбуке. Проверяйте компанию рекрутера: регистрацию юрлица, сайт, сотрудников в соцсетях. Пользователям бирж: даже гигантские платформы уязвимы — не храните на бирже больше, чем готовы потерять, холодный кошелёк надёжнее.

Источник: BleepingComputer (по отчёту Binance), 3 ноября 2026 года.

Американский хостинг-провайдер DreamHost предупредил клиентов об утечке: злоумышленники получили доступ к его веб-платформе File Manager и больше двух месяцев скачивали FTP/SFTP-логины и пароли пользователей. Подробности 4 ноября приводит BleepingComputer.

По уведомлению компании, неавторизованная третья сторона использовала уязвимость в файловом менеджере на files.dreamhost.com и видела FTP/SFTP-логины и пароли всех, кто заходил в него примерно с августа по 23 октября — день обнаружения взлома. Кроме того, злоумышленник мог добраться до веб-почты, получив сессионные данные и учётные сведения ограниченного числа пользователей.

DreamHost отмечает, что следов доступа к панели управления и платёжным данным (их обрабатывает внешний провайдер) не нашла. Пострадавшим предлагают год кредитного мониторинга через Equifax, проверить файлы сайтов на посторонние изменения, пересмотреть правила пересылки в веб-почте и сменить пароли на всех аккаунтах, где использовались те же учётные данные.

Почему это важно: FTP-пароль — это ключ от сайта целиком: через него заливают вредоносы прямо на страницы, которые видят ваши посетители. А веб-почта — это ещё и переписка с клиентами и партнёрами.

Практические советы: клиентам DreamHost — смените пароли FTP и почты, проверьте файлы сайта на изменения и включите двухфакторную аутентификацию, где возможно. Всем остальным: не пользуйтесь веб-файлменеджерами хостера без нужды — FTP-клиент с шифрованием безопаснее, а пароли храните в менеджере паролей, а не в браузере.

Источник: BleepingComputer, 4 ноября 2026 года.

Тайваньский производитель сетевых хранилищ Synology предупредил клиентов о волне атак вымогателя C3RB3R и призвал немедленно обновить устройства. Как пишет BleepingComputer 2 ноября, это редкий случай: прошлый подобный алерт компания выпускала в 2019 году.

Synology сообщила: злоумышленники используют уязвимость, закрытую патчем ещё в декабре 2024 года, и атакуют устройства со старыми версиями системы DSM. Компания требует включить автоматические обновления и обновить DSM до последней версии, а также перекрыть доступ к веб-интерфейсу управления из интернета. Какая именно уязвимость эксплуатируется сейчас, компания не раскрыла — отослав к бюллетеню 2024 года с исправлениями для выполнения кода, чтения и записи файлов.

Волна началась больше двух недель назад: у пострадавших файлы на NAS зашифрованы с расширением .L0CK3D, а в записке read-me3.txt требуют купить «C3rb3r Decryptor» на тёмном портале за тысячи долларов — с предложением «восстановить один файл бесплатно для проверки». Shadowserver отслеживает свыше 380 тысяч открытых в интернет устройств Synology. История C3RB3R богатая: с 2021 года его уже видели на серверах Atlassian Confluence и GitLab.

Почему это важно: сетевое хранилище сегодня стоит в тысячах домов и маленьких офисов — там семейные фото, документы и бэкапы, и всё это шифруется в одну ночь, если устройство годами не обновлялось.

Практические советы: владельцам Synology — проверьте версию DSM и обновите её немедленно, включите автообновления и закройте доступ к веб-панели из интернета (оставьте только VPN или локальную сеть). Всем владельцам NAS: правило 3−2-1 для бэкапов — три копии, два носителя, одна вне дома, иначе вымогатель найдёт и вас.

Источник: BleepingComputer, 2 ноября 2026 года.

Google вместе с отраслевыми партнёрами обезвредила ботнет из более чем 1,3 миллиона ТВ-приставок на Android, которые с завода шли с вредоносным ПО. Об этом 3 ноября рассказал Krebs on Security: действие, по оценкам экспертов, отсечёт ботнет ещё от 10 миллионов устройств.

По отчёту Google Threat Intelligence Group, ответственность лежит на китайском производителе Videostrong Technology Co.: именно она встраивала в приставки ботнет XCPE. Вредонос делает интернет-адрес устройства доступным для перепродажи сервисами «резидентских прокси» — их клиенты маскируют под вас свой трафик для взлома аккаунтов, рекламного мошенничества и массового скачивания контента для ИИ-проектов. Видеоприставка в вашей гостиной молча работала на чужих дядей. Google через суд убрал домены и серверы управления ботнетом.

Тот же вредонос нашли в других Android-устройствах: медицинских гаджетах, караоке-машинах и цифровых вывесках. Популярные коробки MECOOL от Skyworth, по разбору стартапа Synthient, тоже шли с тем же вредоносом и прокси-компонентами. А взлетели такие приставки на рекламе блогеров: сотни «бесплатных» платных каналов за разовую плату — в том числе после обзора канала Linus Tech Tips с 17 миллионами подписчиков (канал уже переписал видео, назвав продукт скамом).

Почему это важно: заражённая приставка сдаёт ваш домашний интернет в аренду незнакомцам — под вашим IP-адресом ломают чужие аккаунты и ловят на вас.

Практические советы: покупайте ТВ-приставки только известных брендов из официальной розницы — дешёвые «коробки со всеми каналами» из маркетплейсов часто идут с подарком внутри. Проверьте домашнюю сеть на странный исходящий трафик и перезагрузите приставку: многие такие вредоносы не переживают отключения. Приставке не нужен открытый доступ извне — отключите проброс портов на роутере.

Источник: Krebs on Security (по отчёту Google GTIG), 3 ноября 2026 года.

Исследователи Sekoia раскрыли масштабную кампанию watering hole: пользователей iOS и Android заражали просто за посещение скомпрометированных сайтов или поддельных порталов — без единого клика. Подробности 4 ноября публикует BleepingComputer.

Кампания шла через несколько известных сайтов в США, на Украине, в Чехии и Болгарии, включая сайт украинского газопроизводителя и американскую химическую ассоциацию. Отдельный канал — взломанный украинский веб-аналитический сервис Plerdy: его трекер, подменённый в конце августа, грузился тысячами сайтов. Средняя уверенность Sekoia в атрибуции — группировка APT29. Вредоносный JavaScript профилировал устройство и браузер посетителя, а командный сервер подбирал нужную цепочку эксплойтов.

Набор для iOS 18.5 — пять уязвимостей, включая CVE-2025−43 529 из кита DarkSword: полезная нагрузка вытаскивала базы WhatsApp и Telegram, ключи из Keychain, геолокацию и фото. Для Android — две уязвимости в Chrome 139—145: сборщик AndroSnitch снимал куки, логины, историю браузера и сохранённые пароли Wi-Fi. Хорошая новость: Apple и Google уже закрыли все использованные уязвимости, включая старые iOS, а полезные нагрузки не закреплялись в системе — перезагрузка устройства останавливала работу зловреда до повторного захода на сайт.

Почему это важно: взлом «просто за заход на сайт» — мечта мошенника: жертва ничего не нажимала и не скачивала. Единственная страховка — свежая система.

Практические советы: обновите iPhone и Android прямо сейчас — все баги из этой кампании уже закрыты патчами. Проверьте в Android уровень патча безопасности: нужен ноябрьский. Не откладывайте обновления браузера Chrome и Safari. И скачивайте приложения только из официальных магазинов — поддельные порталы в этой кампании косплеили настоящие.

Источник: BleepingComputer (по исследованию Sekoia), 4 ноября 2026 года.

Разработчики Goddess of Victory: NIKKE подтвердили: хакеры подменили скрипты PC-лаунчера игры в атаке на цепочку поставок, раздав игрокам вредоносное ПО для кражи учётных данных и криптовалютных кошельков. Подробности 4 ноября приводит BleepingComputer.

По разбору исследователя MotherSphere, на официальном CDN издателя Level Infinite были изменены четыре JavaScript-файла — ещё 27 сентября. С этого дня при каждом открытии лаунчера они тихо докачивали код с серверов атакующих insightjs[.]com и insightjs[.]org. BleepingComputer изучил два файла и подтвердил обфусцированный загрузчик с запасным доменом.

Скачанный код через легитимный функционал лаунчера запускал вредоносный пакет insight. bundle с бэкдором K2 °F: удалённое выполнение команд, просмотр и скачивание локальных файлов, скриншоты, кража учётных данных NIKKE и данных браузеров. Отдельная команда ставила Windows-библиотеку platform_experience_helper.dll, которая продолжала работать после закрытия лаунчера, — в её строках нашли кражу кошельков из браузерных расширений MetaMask, Phantom и Coinbase Wallet: сид-фразы и приватные ключи. Level Infinite 3 ноября заменила три файла на чистые, четвёртый, по данным исследователя, какое-то время ещё отдавался заражённым; фикс клиента вышел 4 ноября в 02:30 UTC+9.

Почему это важно: игрок скачивает лаунчер с официального сайта и не ждёт подвоха — атака на издателя превращает доверенную игру в раздатчика трояна тысячам людей сразу.

Практические советы: игрокам NIKKE — обновите лаунчер и проверьте компьютер антивирусом, а пароли игровых аккаунтов и браузера смените. Криптокошельки из браузерных расширений переносите на новые сид-фразы, если играли последние недели. Всем геймерам: качайте игры только через Steam и официальные лаунчеры и держите крипту подальше от игровой машины.

Источник: BleepingComputer (по данным MotherSphere и издателя), 4 ноября 2026 года.