Новости кибербезопасности: крупнейшие атаки, утечки и уязвимости

9 ноября Google выпускает Chrome 157.0.8103.50/.51 с исправлением девяти уязвимостей. Одна из них — в обработке XML (CVE-2026-125350) — уже используется злоумышленниками. О ней сообщили 6 ноября; это восьмая уязвимость нулевого дня в Chrome за 2026 год после сентябрьской.

4 ноября Crédit Mutuel Arkéa — материнская компания Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest и Fortuneo — объявляет о кибератаке, в ходе которой с собственных счетов банка были проведены мошеннические переводы в другие банки. Пресса называет сумму 118 млн евро; банк признает этот порядок величины, но точную сумму не подтверждает. Часть операций была задержана; по словам банка, средства клиентов не пострадали.

2 ноября Google сообщает, что вместе с партнерами, включая полицию Японии, нейтрализовал ботнет XCPE — бэкдор, установленный более чем на 1,3 млн ТВ-приставок и других устройств на Android. По данным Google, его использовал китайский производитель Videostrong, который перепродавал доступ преступникам для рекламного мошенничества и прокси-сетей; Videostrong исключен из числа сертифицированных устройств Android. На уже зараженных приставках вредоносная программа остается.

29 октября хакеры опустошают кошельки Binance, крупнейшей криптовалютной биржи, примерно на 6,3 млрд долларов — вчетверо больше рекордной кражи у Bybit в 2025 году. Сначала Binance указывает на взломанный ноутбук одного из инженеров, покрывает потери из резервов и 1 ноября возобновляет ввод и вывод средств. ФБР приписывает атаку северокорейской группировке TraderTraitor.

29 октября французский регулятор в сфере защиты данных CNIL публикует два решения о санкциях против Fnac: 6 млн евро для Fnac Darty Participations et Services и 1 млн евро для Fnac Direct. Мобильное приложение устанавливало трекеры без согласия пользователей, чтобы отслеживать их действия, рекомендовать товары и обучать рекомендательный алгоритм.

28 октября WordPress выпускает версию 7.1.4 и исправления для всех веток начиная с 4.7. Самая опасная из 22 уязвимостей позволяет без учетной записи выполнить код на сервере в те несколько секунд, пока идет обновление ядра WordPress. Wordfence фиксирует попытки эксплуатации сразу после выхода исправления и предупреждает, что установка самого обновления в последний раз открывает это окно.

22 октября японский издатель видеоигр Capcom сообщает, что несанкционированный доступ к сервису учетных записей CAPCOM ID раскрыл 11 774 247 записей: адреса электронной почты, даты и количество входов, IP-адреса. Банковские карты не затронуты; у 196 аккаунтов хакеры сменили пароль, эти аккаунты сброшены.

21 октября проект PHP выпускает версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, исправляющие две критические уязвимости под общим названием «PHP2Shell»: они позволяют выполнить код на сервере без учетной записи. Затронуты все установки, которые отдают веб-страницы, а значит, и сайты на WordPress, PrestaShop, Drupal или Magento. Несколько публичных сайтов были закрыты в качестве меры предосторожности; на 28 октября Wordfence не знал ни об одном сайте на WordPress, взломанном таким способом.

Разработчик плагина резервного копирования UpdraftPlus, установленного более чем на 4 млн сайтов, в выходные 17–18 октября обнаруживает, что злоумышленник получил доступ к его клиентской базе, включая ключи подключения к онлайн-сервису UpdraftCentral. С помощью этих ключей атакующий устанавливает на подключенные сайты плагины с бэкдорами и учетные записи администраторов. Версии 1.26.13 и 2.26.13 удаляют старые ключи, но не убирают то, что уже установлено.

В ночь с 11 на 12 октября хакеры захватывают системы управления холодильным оборудованием сотен магазинов: не менее 300 Intermarché и Netto, более 100 Coopérative U, 80 Carrefour, а также магазины Monoprix и E.Leclerc. Температура в витринах поднимается до 50 °C, свежие и замороженные продукты приходится выбрасывать; пострадали и другие европейские страны. 9 ноября Франция приписывает атаку киберподразделениям Корпуса стражей исламской революции Ирана.

9 октября директор ФБР объявляет об аресте еще одного предполагаемого сообщника ShinyHunters — вымогательской группировки, которая в конце сентября заявила о краже данных сотрудников ФБР через уязвимость Oracle PeopleSoft. В конце сентября в Иордании был задержан предполагаемый участник группы под ником «Rey», что Иордания подтвердила. ShinyHunters связывают с кражами данных многих клиентов Salesforce и с телефонными атаками на корпоративные доступы.

6 октября клиенты интернет-магазина одежды ASOS получают в приложении несанкционированное уведомление со ссылкой на Telegram-канал. ASOS подтверждает, что посторонние могли просмотреть имена и контактные данные клиентов, но, по словам компании, не банковские карты и не пароли. Число пострадавших клиентов не раскрыто; за инцидентом следят британский NCSC и регулятор в сфере защиты данных.

5 октября Центральный реестр населения Дании (CPR) сообщает, что в сентябре хакеры воспользовались легитимным доступом частной компании и выгрузили имена, адреса и идентификационные номера. Затронуты около 8,8 млн человек — 80% реестра, в который входят в том числе умершие и уехавшие за границу. Датский регулятор в сфере защиты данных уточняет, что номера подбирались автоматическим перебором; компанию отключили от реестра.

30 сентября полиция девяти стран при координации Европола и Евроюста берет под контроль сайт для шантажа группировки KillSec и пять серверов, а вместе с ними не менее 110 ТБ украденных данных. Арестованы три человека, проведено восемь обысков в Испании, Греции, Румынии и Великобритании. Предполагаемому главному оператору 16 лет; группировку связывают почти с 1000 атак по всему миру.

27 сентября Citrix выпускает исправления для восьми уязвимостей в шлюзах удаленного доступа NetScaler ADC и Gateway, в том числе для двух критических (CVE-2026-88771 и CVE-2026-88772), которые эксплуатировались еще до их раскрытия. В тот же день CISA вносит их в свой каталог эксплуатируемых уязвимостей, а британский NCSC призывает организации установить исправления без промедления. После публикации эксплойта попытки атак распространились на все доступные из интернета устройства.

25 сентября Patchstack публикует подробности уязвимости в версиях 4.3.0 и 4.3.1 Elementor, конструктора страниц для WordPress: достаточно, чтобы авторизованный администратор открыл вредоносную ссылку, и для атакующего будет создана учетная запись администратора. Эти версии использовали около 2 млн сайтов. 24 сентября Elementor выпустил версию 4.3.2; на момент публикации об атаках не сообщалось.

22 сентября WordPress выпускает версию 7.1.2, которая закрывает критическую уязвимость (CVE-2026-87902, оценка 9,2 из 10), присутствующую во всех версиях начиная с 4.7: без учетной записи атакующий может заставить сервер прочитать файл, а в некоторых конфигурациях — выполнить код. Patchstack фиксирует первые попытки в тот же день, а с 23 сентября — попытки записать файлы на серверы; число взломанных сайтов не публиковалось. Исправления выпущены для каждой ветки вплоть до 4.7.

8 сентября Google выпускает Chrome 153 с исправлением уязвимости в JavaScript-движке V8 (CVE-2026-87491), которую уже используют злоумышленники. Пятью днями ранее предыдущее обновление закрыло другую эксплуатируемую уязвимость (CVE-2026-85046). Это седьмая уязвимость нулевого дня в Chrome за год; американское агентство CISA в тот же день внесло ее в свой каталог эксплуатируемых уязвимостей.

4 сентября IDScan — американская компания по проверке личности, услугами которой пользуются прокатчики автомобилей и магазины, — признает, что третья сторона могла скопировать данные с ее онлайн-платформы: имена, номера водительских удостоверений и других документов. На криминальном форуме продавец предлагает более 153 млн сканов водительских удостоверений из США и Канады; IDScan эту цифру не подтвердил. Расследование ведет федеральная полиция США.

Manchester Airports Group, которая управляет аэропортами Манчестер, Лондон-Станстед и Ист-Мидлендс, сообщает о краже данных 8,7 млн клиентов парковок, бизнес-залов, услуг ускоренного прохода и Wi-Fi: адресов электронной почты, телефонов, автомобильных номеров и почтовых индексов. Банковские данные не затронуты, рейсы выполняются в обычном режиме.

Американский производитель медицинских изделий сообщает о кибератаке, обнаруженной 25 августа: сбой сети блокирует доступ к нескольким приложениям, в том числе к тем, через которые обрабатываются и отгружаются заказы. Компания запустила план реагирования на инциденты с привлечением внешних экспертов; срок восстановления работы не назван.

После отказа платить выкуп группировка ShinyHunters публикует данные, которые, по ее словам, украла у производителя рабочей одежды Carhartt. Have I Been Pwned насчитывает в них 12,9 млн реальных учетных записей (адреса электронной почты, имена, телефоны, почтовые адреса) — вдвое меньше заявленного, остальное — тестовые данные. Carhartt публично утечку не подтвердил.

Генеральная дирекция государственных финансов Франции (DGFiP) признает несанкционированный доступ к своей информационной системе в июне и июле с помощью похищенных учетных данных одного из сотрудников. Выгружены налоговые данные 678 000 физических лиц и компаний, в том числе референтный налоговый доход и семейный коэффициент. Пароли и личные кабинеты налогоплательщиков не затронуты; пострадавших начинают уведомлять с 17 августа.

Польский регулятор в сфере защиты данных объявляет о проверке MyDr — программы для управления медицинской практикой, которой пользуются более 12 000 учреждений, — после кражи данных, которая, по имеющимся сведениям, затрагивает 19 млн поляков, то есть половину страны. Среди похищенных данных — идентификационные номера, рецепты и записи врачей.

4 августа в npm публикуются зараженные версии keyv, flat-cache, file-entry-cache и других популярных JavaScript-пакетов. После установки они крадут ключи AWS, токены GitHub и npm, а затем распространяются на пакеты других разработчиков. Endor Labs насчитывает не менее 1136 вредоносных версий в 384 пакетах.

Have I Been Pwned добавляет 55,3 млн адресов электронной почты пользователей Suno — сервиса для создания музыки с помощью ИИ — после взлома в ноябре 2025 года, о котором стало известно в июле. В файле также есть номера телефонов, а для нескольких десятков тысяч покупок — имена, адреса и последние цифры номера банковской карты. Suno подтверждает инцидент и не оспаривает цифру.

Have I Been Pwned добавляет 23,3 млн учетных записей Paidwork — платформы оплачиваемых микрозадач — после публикации 11 ГБ данных, выставленных на продажу в марте. В файле есть имена, адреса, даты рождения, банковские реквизиты, история платежей и зашифрованные пароли. Paidwork заявляет, что не располагает доказательствами взлома.

Coca-Cola сообщает, что атака программы-вымогателя затронула Fairlife, включая производственные системы: четыре завода в США остановлены, канадские продолжают работать. 27 июля компания сообщает, что большая часть производства возобновлена, данные были похищены, а существенного влияния на финансовые результаты атака не окажет.

SOCRadar изучил сервер, который группировка WP-SHELLSTORM на три недели оставила открытым; она массово взламывает сайты, чтобы перепродавать доступ к ним. Группировка эксплуатировала 27 известных уязвимостей в плагинах WordPress и расширениях Joomla, в том числе в плагине кеширования Breeze (более 17 000 зараженных сайтов). Выявлено около 25 000 взломанных сайтов из 1,4 млн атакованных.

KDDI раскрывает подробности взлома почтового сервиса, который он предоставляет нескольким японским интернет-провайдерам; об инциденте стало известно 23 июня. Утекли 12,2 млн адресов электронной почты и 7,6 млн паролей. С середины мая хакеры эксплуатировали неизвестную уязвимость в стороннем программном обеспечении. Затронутые провайдеры требуют сменить пароль.

Министерство юстиции США объявляет об экстрадиции 19-летнего Питера Стокса (Peter Stokes), задержанного в Финляндии; ему предъявлены обвинения в преступном сговоре, компьютерном вторжении и мошенничестве. Группировку Scattered Spider, которая специализируется на мошеннических звонках в службы поддержки, связывают более чем со 100 взломами и выплатами выкупов на сумму свыше 100 млн долларов.

Европол и Евроюст объявляют о новом этапе операции Endgame, проведенном с 15 по 19 июня вместе с Францией, Германией, Нидерландами, Великобританией, США и Microsoft. Отключены 326 серверов и 142 домена вредоносных программ StealC, Amadey и SocGholish, получено 27 млн украденных учетных данных.

Хакеры похитили токены доступа, которые инструмент конкурентной разведки Klue хранил для подключения к аккаунтам Salesforce своих клиентов. LastPass подтверждает утечку контактных данных клиентов и обращений в поддержку; среди других пострадавших называют Recorded Future, Jamf и Tanium. Хранилища паролей LastPass не затронуты.

CISA предупреждает о «FortiBleed»: базу учетных данных примерно от 74 000 межсетевых экранов и VPN-шлюзов Fortinet, полученных за счет повторно использованных паролей и атак методом перебора, применяют для проникновения в сети компаний и государственных учреждений. Fortinet уточняет, что речь идет не о новой уязвимости, а о плохо защищенных учетных записях, часто без двухфакторной аутентификации.

Датская фармацевтическая компания сообщает о несанкционированном доступе к части своих внутренних информационных систем; некоторые из них отключены на время расследования. Непубличные данные, в том числе персональные данные и данные пациентов некоторых клинических исследований, были скопированы за пределы компании. Основная деятельность продолжается в обычном режиме.

Oracle выпускает внеплановое оповещение о критической уязвимости в PeopleSoft PeopleTools (версии 8.61 и 8.62), которую можно эксплуатировать удаленно без пароля. По данным Mandiant, вымогательская группировка ShinyHunters использовала ее с конца мая, в основном против университетов, чтобы похищать данные и затем публиковать их. 12 июня CISA вносит уязвимость в свой каталог эксплуатируемых уязвимостей.

Google в срочном порядке выпускает Chrome 149.0.7827.102/.103, чтобы исправить уязвимость в JavaScript-движке V8 (CVE-2026-11645), и сообщает, что эксплойт для нее уже распространяется. Чтобы ее задействовать, достаточно обычной вредоносной веб-страницы. Это пятая уязвимость Chrome с начала 2026 года, которую эксплуатировали до выхода исправления; затронуты и браузеры на базе Chromium (Edge, Brave, Opera).

DINUM, межведомственная цифровая дирекция Франции, подтверждает проникновение в Tchap — мессенджер для государственных служащих, — обнаруженное агентством кибербезопасности ANSSI 7 июня. Злоумышленник воспользовался похищенной легитимной учетной записью, без технической уязвимости: по имеющимся данным, просмотрены были только публичные каналы, открытые для всех пользователей. Он утверждает, что получил несколько сотен тысяч сообщений; государство эту цифру не подтверждает.