Обзор недели: Компрометация npm-пакета Axios и эксплуатация критических уязвимостей в FortiClient EMS

Вот обзор некоторых наиболее интересных новостей, статей, интервью и видео за прошлую неделю:

Финансовые группы представили план борьбы с атаками на идентификацию с помощью ИИ
Генеративные инструменты ИИ настолько снизили стоимость создания дипфейков, что преступники и государственные акторы теперь регулярно используют их против финансовых институтов. Совместный документ от Американской банковской ассоциации, Коалиции за лучшую идентификацию и Координационного совета финансового сектора описывает масштаб проблемы и призывает федеральных и региональных политиков к действиям в различных областях.

Mimecast позволяет развернуть корпоративную защиту электронной почты за минуты
Ранджан Сингх, технический директор и руководитель продуктов в Mimecast, объясняет, как API-подход компании обеспечивает защиту, сопоставимую с традиционным безопасным почтовым шлюзом, без изменений инфраструктуры, и почему это важно для перегруженных команд безопасности, пытающихся закрыть пробелы в обнаружении BEC-атак и фишинга учетных данных.

Доверие, трение и окупаемость: взгляд CISO на то, как сделать безопасность полезной для бизнеса
В этом интервью для Help Net Security Джон О'Рурк, директор по информационной безопасности в PPG, рассказывает о том, что значит, когда безопасность создает бизнес-ценность. Он объясняет, как зрелые программы безопасности снижают трение в циклах продаж и процессах слияний и поглощений, а также как со временем строится доверие.

Пакеты npm Axios скомпрометированы в атаке на цепочку поставок
Неизвестный злоумышленник скомпрометировал учетные записи GitHub и npm основного разработчика Axios, широко используемой HTTP-клиентской библиотеки, и опубликовал пакеты npm, содержащие вредоносную зависимость, которая запускала установку дропперов и троянов удаленного доступа.

Взломы цепочки поставок ПО вызвали волну вторжений и краж данных
Связав атаку на цепочку поставок npm Axios с северокорейскими хакерами, исследователи Google предупредили, что «сотни тысяч украденных секретов потенциально могут циркулировать» в результате этой атаки, а также атак на цепочки поставок Trivy, KICS, LiteLLM и Telnyx (связанных с TeamPCP).

Атака на цепочку поставок Trivy позволила взломать облако Европейской комиссии
CERT-EU подтвердил, что за недавним взломом облачной инфраструктуры, поддерживающей веб-сайты Европейской комиссии, стоят ShinyHunters, и что они похитили и впоследствии обнародовали примерно 340 ГБ данных.

Уязвимость нулевого дня в FortiClient EMS активно эксплуатируется, выпущены экстренные исправления (CVE-2026-35616)
На этой неделе злоумышленники использовали две уязвимости в Fortinet FortiClient Endpoint Management Server (EMS), одна из которых — ноль-день: ранее исправленная SQL-инъекция (CVE-2026-21643) и недавно обнаруженный обход аутентификации и авторизации API, эксплуатируемый как нулевой день (CVE-2026-35616).

Обход аутентификации в Cisco IMC позволяет злоумышленникам изменять пароли пользователей (CVE-2026-20093)
Cisco исправила десять уязвимостей в своем Integrated Management Controller (IMC), наиболее критичная из которых (CVE-2026-20093) позволяет неаутентифицированному удаленному злоумышленнику обойти проверку подлинности и получить доступ к системе с правами администратора.

EvilTokens наращивает фишинг с кодом устройства, нацеленный на пользователей Microsoft 365
Исследователи безопасности сообщают о заметном росте фишинговых атак с использованием кода устройства против пользователей Microsoft 365. Этот всплеск связывают с появлением EvilTokens — нового специализированного набора для фишинга, предлагаемого как услуга через Telegram.

Google исправляет уязвимость нулевого дня в Chrome, эксплуатируемую в реальных атаках (CVE-2026-5281)
Google исправила 21 уязвимость в своем популярном браузере Chrome, включая уязвимость нулевого дня (CVE-2026-5281), эксплуатируемую в дикой природе. Как обычно, информация об исправленной уязвимости ограничена, деталей об эксплойте или о том, как и используют ли его атакующие, нет.

Утечка исходного кода Claude Code использована для распространения вредоносного ПО
Утечка исходного кода инструмента Claude Code от Anthropic быстро переросла в киберугрозу. Злоумышленники воспользовались открывшимся доступом к файлам, чтобы заманить разработчиков на загрузку вредоносных программ, замаскированных под «разблокированные» версии этого софта.

Почему одного понимания риска недостаточно для принятия решения
Самая сложная задача для большинства руководителей в сфере безопасности — не выявление угрозы, а побуждение кого-либо действовать в связи с ней. Мы обучены видеть уязвимости раньше, чем их заметят другие. Мы постоянно оцениваем вероятные угрозы, анализируем потенциальный ущерб и разрабатываем меры защиты, чтобы предотвратить сбой задолго до того, как он затронет операционную деятельность или акционеров. В этом и состоит наша работа.

Почему я перестал считать людей самым слабым звеном
В сфере кибербезопасности давно существует проблема с людьми, но не в том смысле, о котором обычно говорят. Будучи отраслью, основанной на обеспечении глобальной связи через интернет и множество устройств, многие из нас, специалистов, крайне плохо умеем общаться с людьми.

Искусство объяснения технических рисков руководителям
В этом видео для Help Net Security Джей Миллер, директор по информационной безопасности в Paessler, рассказывает, как руководителям служб безопасности доносить технические риски до исполнительного руководства и членов совета директоров на понятном им языке.

Ваш клиент прошел аутентификацию. Так почему же он отправляет деньги мошеннику?
В этом видео для Help Net Security Ленни Гузель, глава направления решений по борьбе с мошенничеством в Северной Америке компании Feedzai, объясняет, как управление идентификацией и доступом клиентов объединилось с цифровым обнаружением мошенничества, и почему их разделение создает реальные риски.

Не рассчитывайте на помощь государства после взлома умного дома
Люди наполняют свои дома подключенными к интернету камерами, колонками, замками и маршрутизаторами. Когда одно из таких устройств оказывается скомпрометировано, дальнейшие действия часто неясны. Исследователи, изучившие официальные рекомендации по кибербезопасности в 11 странах, обнаружили, что большая часть советов сосредоточена на профилактике, оставляя домохозяйствам ограниченную поддержку после инцидента.

Rspamd 4.0.0: экономия памяти, новый протокол сканирования и обязательный шаг миграции
Платформа для фильтрации спама с открытым исходным кодом Rspamd выпустила версию 4.0.0, вносящую фундаментальные изменения в протокол сканирования, модель памяти, хранение хэшей и систему конфигурации. Некоторые изменения являются критическими, и как минимум одно требует выполнения шага миграции перед обновлением.

Apple против атак ClickFix: предупреждение в терминале macOS
Apple добавила новую функцию безопасности в macOS Tahoe 26.4, которая предупреждает пользователей перед вводом в Терминале команд, способных нанести вред. Цель — остановить атаки ClickFix, метод социальной инженерии, заставляющий пользователей самостоятельно запускать вредоносные команды.

Хакер похитил более 50 миллионов долларов с криптобиржи Uranium и потратил их на карточки для торговли
Прокуроры США предъявили обвинения жителю Мэриленда в связи с двумя взломами криптовалютной биржи Uranium Finance, которые привели к убыткам, превышающим 50 миллионов долларов.

Amazon внедряет ИИ-агентов в пентестинг и DevOps
Новые возможности искусственного интеллекта от Amazon обеспечивают пентестинг по требованию через AWS Security Agent, а также предлагают AWS DevOps Agent. AWS Security Agent позволяет проводить тестирование на проникновение для приложений по запросу, устраняя пробелы, возникающие из-за периодических проверок, ограниченных временем и стоимостью.

Криптоиндустрии может не хватить времени на подготовку к квантовым атакам
Последние исследования Google указывают, что у криптовалютной отрасли может быть меньше времени на подготовку к эре квантовых вычислений, чем предполагалось ранее.

Киберпреступники атаковали Hasbro, восстановление займет недели
Американский производитель игрушек Hasbro, в котором работает более 5000 сотрудников, подтвердил кибератаку и в превентивном порядке отключил некоторые системы. Вторжение было обнаружено 28 марта, и компания немедленно активировала свои протоколы реагирования на инциденты.

Уязвимость нулевого дня в TrueConf использовалась для атак на госсети
Исследователи Check Point обнаружили, что злоумышленники, предположительно связанные с Китаем, использовали уязвимость нулевого дня (CVE-2026-3502) в клиентском приложении TrueConf для распространения вредоносного ПО в государственных сетях Юго-Восточной Азии.

Эксплойт DarkSword вынудил Apple смягчить политику обновлений
Apple расширила выпуск обновлений безопасности для более широкого спектра устройств, все еще работающих на iOS 18, чтобы защитить пользователей от эксплойт-набора DarkSword.

Microsoft выпустила открытый набор инструментов для управления автономными ИИ-агентами
ИИ-агенты могут бронировать путешествия, совершать финансовые транзакции, писать и запускать код, а также управлять инфраструктурой без вмешательства человека на каждом этапе. Фреймворки, такие как LangChain, AutoGen, CrewAI и Azure AI Foundry Agent Service, сделали развертывание подобной автономности простым. Однако инфраструктура управления, соответствующая этой автономности, отставала. Microsoft выпустила набор инструментов Agent Governance Toolkit, чтобы устранить этот разрыв.

Побег из песочницы: могут ли ИИ-агенты вырваться за пределы?
Контейнерные песочницы являются частью рутинного тестирования и развертывания ИИ-агентов. Агенты используют их для выполнения кода, редактирования файлов и взаимодействия с системными ресурсами без прямого доступа к хосту. Бенчмарк SandboxEscapeBench, разработанный исследователями Оксфордского университета и Института безопасности ИИ, оценивает, может ли агент с доступом к оболочке сбежать из контейнера и получить доступ к хост-системе.

ShipSec Studio внедряет оркестрацию рабочих процессов с открытым исходным кодом в операции безопасности
Команды безопасности долгое время полагались на смесь shell-скриптов, заданий cron и слабо связанных инструментов для объединения задач разведки и сканирования уязвимостей. ShipSec Studio, платформа автоматизации рабочих процессов безопасности с открытым исходным кодом от ShipSec AI, призвана заменить этот подход выделенным уровнем оркестрации, созданным специально для операций безопасности.

SystemRescue 13 обновляет ядро до Linux 6.18 LTS и добавляет новые инструменты восстановления
Загружаемые среды восстановления на базе Linux занимают особую нишу в наборе инструментов системного администратора и реагирования на инциденты. SystemRescue, живой дистрибутив на основе Arch, созданный для ремонта незагружаемых систем и восстановления данных с повреждённых накопителей, выпустил версию 13.00 с новым ядром долгосрочной поддержки, обновлёнными инструментами для работы с хранилищами и несколькими дополнениями к набору командных утилит.

Android 17 улучшает конфиденциальность местоположения с помощью одноразового доступа
Google представил набор функций конфиденциальности местоположения в Android 17 Beta 3, чтобы предоставить пользователям больше контроля, а разработчикам — инструменты для минимизации данных и безопасности продуктов.

Самые популярные инструменты кибербезопасности с открытым исходным кодом месяца: март 2026
Здесь представлена тщательно отобранная подборка примечательных решений для кибербезопасности с открытым исходным кодом, которые получили признание за свою способность повышать уровень защиты в различных средах.

Intel размещает свои знания о производительности центров обработки данных на GitHub
Инженеры Intel опубликовали централизованный репозиторий знаний о производительности центров обработки данных на GitHub, предоставив специалистам прямой доступ к руководствам по настройке, рекомендациям по конфигурации и рецептам оптимизации, которые ранее требовали поиска по форумам и разрозненной документации.

Разработчики Android получили новый уровень верификации
Чтобы помочь предотвратить распространение вредоносных приложений злоумышленниками, скрывающимися за анонимностью, Google внедряет верификацию разработчиков для всех создателей приложений под Android. Компания также представляет регистрацию приложений, которая связывает приложения с проверенными учётными записями разработчиков.

Google Drive теперь выявляет программы-вымогатели и помогает восстановить затронутые файлы
Чтобы помочь организациям снизить ущерб от вредоносных атак на персональные компьютеры, Google в сентябре 2025 года запустил в бета-тестировании функции обнаружения программ-вымогателей и восстановления файлов. Теперь эти возможности общедоступны.

Windows 11 получила перестроенный движок консоли с поиском по регулярным выражениям, поддержкой изображений Sixel и десятикратным приростом скорости
Microsoft выпустила для канала Canary предварительную сборку Windows 11 Insider Preview Build 29558.1000, входящую в опциональную серию сборок 29500. Эта сборка содержит ряд изменений, сфокусированных на Консоли Windows, несколько исправлений ошибок, а также небольшие улучшения в Параметрах и утилитах для работы с дисками.

Детекторы вредоносного ПО, обученные на одном наборе данных, часто ошибаются на другом
Машинные модели, созданные для обнаружения вредоносных программ в системах Windows, обычно оцениваются на данных, очень похожих на их обучающий набор. На практике вредоносное ПО, попадающее на конечные устройства предприятий, выглядит иначе, поступает из других источников и во многих случаях намеренно маскируется, чтобы избежать обнаружения. Исследование специалистов Политехнического института Порту проверяет, что происходит, когда этот разрыв становится явным, и результаты напрямую влияют на организации, полагающиеся на статические детекторы как на первую линию обороны.

Microsoft добавила в Exchange Online возможность массовой рассылки электронных писем
Организациям, использующим Exchange Online для внутренних коммуникаций, давно требовался способ отправки больших объёмов автоматизированных сообщений, таких как уведомления о зарплате, ИТ-оповещения и предупреждения безопасности, без превышения лимитов на отправку, предназначенных для личной переписки. Microsoft решила эту задачу, выпустив в общий доступ функцию High Volume Email (HVE) в Exchange Online.

Отслеживание дронов с помощью 5G-вышки на соседней улице
Обнаружение дронов в городах — дорогостоящая задача. Специализированные радарные установки слишком затратны для масштабного развёртывания, камеры имеют ограниченную дальность и плохо работают ночью, а системы LiDAR сталкиваются с той же проблемой стоимости, что и радары. Группа исследователей из Научно-технического университета Китая в течение последнего года работала над иным подходом: использовать для этой задачи уже установленные базовые станции стандарта 5G-Advanced.

Какое мессенджер-приложение использует наиболее ограниченный подход к разрешениям на Android?
Мессенджеры обрабатывают конфиденциальные переписки, контакты и медиафайлы, и их поведение на устройстве различается, что влияет на приватность. Анализ Android-версий Messenger, Signal и Telegram показывает, что различия в запрашиваемых разрешениях, фоновой активности и взаимодействии с системой определяют, какой объем данных может получить каждое приложение и как часто оно осуществляет передачу.

Скачать: Обзор угроз и защитных мер в сфере идентификации от SANS за 2026 год
Новое исследование в рамках обзора SANS за 2026 год показывает, что 55% организаций столкнулись с компрометацией, связанной с идентификацией, в прошлом году, а 26% сообщили об усталости от MFA как о факторе в атаках на идентичность.

Вакансии в сфере кибербезопасности на данный момент: 31 марта 2026
Мы изучили рынок, чтобы предложить вам подборку вакансий, охватывающих различные уровни квалификации в области кибербезопасности. Ознакомьтесь с этой еженедельной подборкой доступных на данный момент позиций.

Новые продукты в сфере информационной безопасности за месяц: март 2026
Представляем обзор наиболее интересных продуктов за прошедший месяц, включая релизы от Beazley, Bonfy.AI, Mend.io, Mimecast, NinjaOne, Novee, Intel 471, Singulr AI, Stellar Cyber, Teleport и Vicarius.