3side кибербезопасности

4security подписалась с Ингосстрахом - теперь публично! "Компания Ингосстрах совместно с 4sec представила новый продукт в сфере киберстрахования — «Кибер-Инго Смарт». Он объединяет страховую защиту от последствий киберинцидентов и сервисы информационной безопасности для бизнеса". Если кто не знает, 4sec (основной продукт компании 4security) — это "продуктовое" направление. Мы довольно давно общались с Ингосстрахом — они были одной из трех страховых, проявивших наибольший интерес к продукту и я надеюсь, что о подписании со второй мы тоже скоро сможем рассказать публично. Логика продукта следующая страховка должна быть "активной", то есть не только покрывать ущерб, но и значительно снижать вероятность его наступления и его тяжесть. Страховка работает (без франшизы), пока работает наш софт (4sec), который снижает и вероятность начала атаки (постоянно сканируя периметр), предотвращает ее развитие (при помощи установленных в клиенте агентов), и позволяет быстро восстановиться, сокращая ущерб. Все это позволяет страховать клиента без дорогого андеррайтинга, буквально разворачивая "из коробки" все за один день. В итоге, использование 4sec позволило создать коробочный продукт, похожий на то, что в США делают Coalition и AT-Bay. Именно связка "софт+страхование" позволила увеличить предоставляемое клиенту без андеррайтинга покрытие ~ в 10 раз, а стоимость страхования снизилось почти в 4 раза. При этом стоимость софта уже включена в полис. На наш взгляд, тот путь, которым мы с коллегами пошли — он единственный, при котором рынок ИБ-страхования в России начнет полноценно развиваться. П.С. Никогда не думал, что первый "большой" анонс нашего продукта будет на херсонском Царьграде. Удивительно ...

Конкурс по социальной инженерии, что дальше? Теперь, после CyberCamp, мы уверены, что готовы проводить наш конкурс на любых мероприятиях, где поднимается тема кибербезопасности. Нашим конкурсом мы: - Проверим мероприятие на прочность, особенно охрану и линейный персонал организаторов - Выпустим хаотичную энергию участников и желание идти против системы/нарушать правила, в контролируемых условиях - Предложим всем участникам абсолютно не техническую активность, где поучаствовать может каждый, нужна лишь смелось и креатив - Организуем уникальный легальный опыт обмана/манипуляций Будет очень весело всем) Если у вас есть куда нас позвать, пишите в контакты! Не тяните! Чем раньше вы напишите нам об этом, тем лучше мы адаптируем задания и нюансы конкурса под ваше мероприятие)

SocialHacks на КиберКэмпе, как это было После фестиваля Positive Hack Days, мы были немного не уверены, что наш конкурс подойдет для CyberCamp. Опасения были следующие: - Конкурс всего на 1 день на 7 часов? Не успеют решить и поучаствовать - А сколько людей придет? Вдруг никого не заинтересует? - А не будут ли задания слишком сложными? Ведь организаторов мало, и персонала, и потенциально меньше возможностей для обмана - А не будут ли задания слишком простые? Вдруг охраны почти не будет? Спасибо организаторам, они предоставили нам максимум информации до старта, помогли откалибровать задания, и очень помогали на месте. В результате ни одно опасение не оправдалось! Конкурс прошел шикарно, один участник, выполнил все наши задания и тем самым забрал первое место. Первые три места получили призы от нас, а все участники мерч от организаторов, в зависимости от количества решенных заданий. Всего зарегистрировалось более 130 человек, а выполнили хотя бы одно задание более 30 человек! Это невероятно крутой поток для мероприятия, мы ожидали как минимум в два раза меньше, но справились) Самые интересные задания, которые были успешно выполнены: - Внести изменения на презентацию спикера, чтоб передать привет конкурсу социальной инженерии Как минимум 2 спикера во время выступления были крайне удивлены, что в их презентацию была добавлена такая строчка) - Выйти на сцену и передать привет конкурсу в микрофон Наш победитель смог это сделать точно как мы просили, не помешав выступлениям спикеров! Все остались максимально довольны, и мы, и организаторы, и участники. Возненавидела нас только охрана, но это неибежно =)

В Telegram завезли очередную фичу — «сообщества» каналов, где можно читать посты десятков авторов в одной общей ленте. Наверняка вы скоро увидите кучу приглашений вступить в такие пулы. Нас там не будет. И вот почему. Когда мы создавали канал 3side, главным правилом было: никакого спама и информационного шума. Мы пишем только тогда, когда нам действительно есть что сказать — когда есть уникальная экспертиза, инсайд или личное мнение, которого вы не найдёте на других ресурсах. Из-за этого наши посты выходят нечасто, но каждый из них имеет вес. Если мы вступим в подобное «сообщество», произойдёт пара неприятных вещей: 1. Наш контент просто утонет. Уникальный лонгрид или редкая аналитика потеряются между десятками ежедневных постов от более активных коллег. 2. Вам станет неудобно. Отфильтровать только наши публикации в общей куче будет той ещё задачей. Мы понимаем, что для многих каналов такие коллаборации — это отличный способ быстро набрать подписчиков и словить хайп. Мы искренне рады за коллег, но у нас другой путь. Мы ценим ваше время и внимание. Остаёмся на связи. В своём, тихом и чистом темпе.

Приходите и участвуйте в нашем конкурсе!)

Чем еще заняться на «Лете в КиберКэмпе» (часть 1) Наши друзья подготовили много локаций и активностей, где можно развлечься или отдохнуть ⬇️ 🍀 3side Social Hacks — конкурс по социальной инженерии, вдохновленный книгами Кевина Митника и реальной практикой организаторов. Здесь пригодятся наблюдательность, умение убеждать и находить подход к людям. Сможете взломать не систему, а доверие? 🍀 Axel PRO Шахматы и шашки для тех, кто привык просчитывать ходы на несколько шагов вперед. После партии можно сделать фото с дружелюбным надувным корги — еще одним героем фестиваля. 🍀 Codeby Два испытания для любителей головоломок. CTF-квест проведет вас по всему фестивалю через задачи на OSINT, веб и криптографию, а GeoGuessr-турнир проверит наблюдательность и умение определять локации по мельчайшим деталям. Самых внимательных ждут призы. 🍀 Positive Technologies Спортивный азарт здесь встречается с летним настроением. Настольный футбол, игра «Всё упало», Ice Cream Bar, фотозона с SPF-баром и розыгрыш призов — отличный способ сменить активность между докладами. 🍀 R-Vision Загляните в R-Vision Save Point и сохраните прогресс перед следующей миссией. Здесь можно перевести дух в шезлонге, освежиться лимонадом, сыграть в бадминтон и сделать яркие фото. Иногда лучший способ пройти уровень — вовремя поставить игру на паузу. 🍀 VK Tech VK Security Gate ждёт вас на Пирсе: VIP-зона у воды, лаунж, бар и уютное место для общения и отдыха. Вы можете проверить свой публичный проект на GitHub на критические уязвимости и получить кастомный подарок. Если уязвимостей не найдется — дарим настольную игру «У нас инцидееент» . 🍀 ГК Эшелон Лимонадная лаборатория с четырьмя необычными вкусами поможет освежиться между активностями. А мобильный квест «Охота за уязвимостями» проведет вас по парку: находите уязвимости, отмечайте их на интерактивном баннере и получайте стильный мерч. 🍀 Индид Сразитесь за кубок «Индид Cup» или приходите поболеть за коллег. Турнир по настольному теннису пройдет по олимпийской системе с памятными призами для всех участников и подарками для победителей. Между матчами можно отдохнуть в лаунж-зоне и обсудить кибербез. Кстати, все эти локации участвуют в квесте «Печати Компота». Так что успейте побывать в каждой 😈 До встречи 17 июля в Березы Парк Строгино! 🌝 Билеты в Лето | 👋Комьюнити

⏹️8200 — как военная техническая разведка стала драйвером развития ИБ-отрасли в стране Сооснователь 3side/4sec Артем Наливайко анализирует, как выпускники создали компании на $200+ млрд и почему эту модель невозможно скопировать. 1️⃣2️⃣3️⃣4️⃣ Подписаться

Статья разошлась, и это супер!

Вебинар: Киберинцидент как бизнес-риск: реальные кейсы и выводы Дата проведения: 22 июля 2026г. | 12.00 (МСК) Формат: онлайн Регистрация по ссылке 22 июля в 12:00 Антон Бочкарев и Артем Наливайко проведут вебинар про реальные инциденты в российских компаниях. Что разберем: - почему большинство атак случается не из-за суперхакеров, а из-за обычных ошибок - несколько свежих кейсов, включая недавнюю историю с молочным заводом в Уфе и атаку на поставщика через один украденный токен - самые частые причины, из-за которых инциденты вообще происходят - что делать в первые часы, если все уже случилось Будет 30-40 минут практических примеров от Антона Бочкарева и Артема Наливайко, а потом сессия вопросов и ответов. Запись тоже будет, но если хотите успеть спросить свое – лучше приходите онлайн. Всех кто останется до конца ждет бонус. Регистрация

8200 — подробная история того, как военная разведка стала стартап-инкубатором Вот тут давно-давно я обещал текст про израильскую киберразведку. Написал я его еще в мае, но по разным причинам выходит он только сейчас. В общем, исправляюсь. Сам по себе этот текст — не попытка сказать "вау, давайте срочно делать так же, как и них" или "ужас ужас, кровавый апартеид", он вообще не про политику. Скорее это попытка проанализировать, как за 30+ лет чисто техническая разведслужба вышла на рынок и отъела себе его очень жирный кусок. В общем, такое вот чтение на вечер. Enjoy, надеюсь вам понравится) upd - если кто-то помнит меня до 3side то да, это первый длинный текст, который я написал с 2023 года )

Как не остаться без сертификата: чеклист для компаний С 13 июня GlobalSign — крупнейший зарубежный коммерческий Центр Сертификации(CA) в России (~90% рынка) — запустил принудительный отзыв. Параллельно ужесточили политику DigiCert и Sectigo. Об этом мы писали вот тут. Проверить свой сайт за 2 минуты: Открыть сайт → нажать замочек → «Сертификат» → строка «Кем выдан». — GlobalSign, DigiCert, Sectigo, Thawte, GeoTrust — читайте дальше внимательно, есть риски. — Let's Encrypt, HARICA, ZeroSSL — пока спокойно, но запасной план всё равно нужен. Рынок сейчас выглядит так: За последние недели пространство резко сузилось. Buypass прекратил деятельность. HARICA перешли на платную модель. Из бесплатных вариантов с глобальным доверием браузеров для российских компаний по факту остались два. Let's Encrypt — де-факто стандарт. Бесплатный, автоматизированный, Риск: как некоммерческая американская организация, может отозвать — прецеденты уже были для компаний под санкциями. Скорее всего именно их сертификат у вас и стоит, если вы не покупали. ZeroSSL — ближайшая боевая альтернатива. Бесплатный, проверяет только владение доменом. Не смотрит на юрлицо и не требует документов компании. Нужна регистрация для API-ключа, после — полностью автоматизируется. А если платная альтернатива? HARICA — платный сертификат . Некоммерческий греческий академический центр. Тоже входит в trust store всех браузеров. Не привязан к коммерческим санкционным спискам — риск отзыва ниже, чем у западных коммерческих CA. На него сейчас переехал vk.com Для IT, как подготовиться за полчаса? Все CA поддерживают ACME — тот же протокол, что использует Let's Encrypt. Инструмент acme.sh переключает CA одной командой с параметром --server. Минимальный план: 1. Установить acme.sh на сервер 2. Создать тестовый поддомен (ssl-test.ваш-домен.ru) 3. Выпустить тестовый сертификат запасного CA 4. Убедиться, что браузер не ругается 5. Зафиксировать команды — они готовы на день X Если ваш сертификат отзовут — переключение займёт 15–30 минут, а не сутки паники.

Нет ничего более постоянного, чем временное Мы свой сайт в такой парадигме делали дважды. Каждый раз он не совсем нас устраивал, но мы оставляли как есть по нескольким причинам: - Сайт казался нам не самым важным в нашем бизнесе. Ожидали, что наши задачи особо никто не гуглит и не выбирает по сайту. - Всегда было не до него, он был не в приоритете. - Не совсем сами понимали, что же мы от него хотим. В результате, только сейчас спустя много лет после нашего запуска, мы привели его в адекватный вид! Планируем расширять количество полезных кейсов, пополнять портфолио выступлений/публикаций/комментариев в СМИ. Но в целом сайт готов и вышел в прод! URL все тот же https://3side.org/ P.S. Цветовое решение целиком на Антоне, это сразу видно =)

Слежка за социальными связями через уязвимость Телеграм Парижская компания Symbolic Software, специализирующаяся на криптографии проверила старое обвинение в адрес Telegram. Что мессенджер можно использовать для слежки за пользователями через сетевой трафик, даже если переписка зашифрована. Технически это правда. Как это работает, по-простому: У каждого устройства с Telegram есть свой постоянный "номерок" — auth_key_id. Он зашит в каждое сообщение, которое телефон или компьютер отправляет на сервер Telegram. И этот номерок передаётся НЕ зашифрованным — его видит любой, кто технически может смотреть в трафик: - провайдер интернета - оператор Wi-Fi в кафе - админ корпоративной сети - государственная слежка. Важно: сам текст переписки при этом защищён шифрованием — экспертиза это не оспаривает. Проблема не в содержании сообщений, а в том, что "номерок устройства" торчит наружу отдельно от текста. Даже секретные чаты с end-to-end-шифрованием это не спасает — номерок живёт на уровне ниже, под шифрованием. Номерок не меняется при смене сети, IP, перезапуске приложения — он работает как постоянный ярлык на твоём телефоне, видимый издалека. Как это позволяет следить за связями: Если на одном IP-адресе или в одной точке (кафе, офис, мероприятие) одновременно видно несколько таких номерков — это значит, что устройства физически были рядом друг с другом. Через время накапливается статистика: чей номерок регулярно появляется рядом с чьим. Это и есть способ восстановить социальный граф — кто с кем встречается, кто состоит в одной группе — без чтения единого сообщения. Ровно так спецслужбы строят карты связей по метаданным телефонных звонков, только здесь это применимо и к мессенджеру. Авторы отчёта прямо пишут: достаточно один раз привязать номерок к реальному человеку,например, через регистрацию в гостевом Wi-Fi по почте — и весь архив прошлых и будущих подключений этого номерка можно поднять и прочитать как историю передвижений и контактов. А как же MTProto? Авторы исследования показали, что "Обфускация" MTProto — тривиальная, не криптографическая защита, легко обратима публично известными методами. Что делать? Защищать трафик, ведь если ваш трафик зашифрован, например с помощью решений которые нынче очень популярны, то увидеть "номерок" невозможно. Оригинальное исследование тут

⬜️⬜️⬜️⬜️ NEXT GENERATION SECURITY 2026: AI vs AI ИИ больше не просто удобный помощник для бизнеса. Сегодня он работает по обе стороны баррикад: помогает защитникам быстрее находить угрозы, но одновременно дает злоумышленникам новые способы обходить системы безопасности, масштабировать атаки и действовать точнее. Главный эксперт конференции — Алексей Лукацкий, ведущий аналитик по информационной безопасности. На конференции эксперты рынка разберут: 🔵 как злоумышленники используют AI для обхода современных систем защиты 🔵 чем бизнес может ответить киберпреступникам уже сейчас 🔵 как ИИ помогает в мониторинге, реагировании и работе SOC 🔵 какие риски несет внедрение AI в инфраструктуру 🔵 можно ли доверить искусственному интеллекту автоматический ответ на кибератаку Конференция будет полезна ИБ-специалистам, CISO, CTO, SOC-командам, ИТ-руководителям, системным интеграторам и компаниям, которые уже внедряют или только планируют внедрять AI-решения в кибербезопасность. 🖇 Регистрируйтесь и подключайтесь к дискуссии о будущем ИБ, которое уже наступило.

Про 3side и цифровые трансформации Нас тут хорошие друзья позвали в пару проектов по цифровым трансформациям бизнеса, и вот внезапно есть что сказать по этому поводу. Прям-таки много чего сказать. Во-первых, сама тема "цифровых трансформаций" за счет дикого хайпа сильно дискредитирована. Ну то есть вот буквально приходится объяснять, что это не про хайп, а про конкретные измеримые метрики. Во-вторых, нет трансформации без недетерминированных бизнес процессов. Когда вы не знаете как работает бизнес - цифровизовывать нечего, пишите регламенты. В-третьих, внедрение ИИ реально работает. В одном случае мы развернули "проектный нейро-офис" с одним человеком и нейронками. За 2 недели написали корпус документов и построили процессы взаимодействия подразделений. Процессы — вообще самая недооцененная часть, ну какбы это фундамент, без них можно закупать любую айтиху за любые деньги, толку не будет. Ну и в-четвертых, про кибербез. Тут просто - закрывайте дыры по мере взросления. Мы использовали 4sec как самый простой дешевый инструмент, но можно и другими способами. В общем, мы поняли главное. Продавать конкретные цифры, KPI, дорожные карты, цели, SLA и прочее — наверное, хорошо и правильно. Продавать неоформившуюся идею, абстрактный софт, "внедрении ИИ ради ИИ" — не очень. И вроде бы все очевидно, но "ии-хайп" создал у бизнеса аллергию на такого рода инструменты. В общем, будем работать дальше. Но опыт оказался очень интересный — как нибудь напишем в цифрах, что получилось.

Массовый отзыв сертификатов начался Ну чтож, мы ошиблись в одном GlobalSign - совсем не Бельгия, а Япония. В остальном, к сожалению, оказались правы. Начался массовый отзыв сертификатов у российских компаний! Банки уже рассылают смс с предупреждениями клиентам, а массовость это подтвердил гендиректор российского юрлица «Джи-Эм-О Глобал Сайн Раша» Дмитрий Рыжиков. По его словам в списке отзыва 15 000 - 20 000 тыся сертификатов, не считая поддомены. Чтоб вы понимали, это второй по величине центр сертификации, после Let's Encrypt. И соответственно первый по величине из платных. Так вышло, что наш канал первым написал об этой проблеме и предсказал эту ситуацию в посте от 2 июня про OpZero. Адекватной и признаваемой в мире альтернативы у нас нет, ей нужно было заниматься до 2022 года. Интернет сегментируется. Ведь в случае перехода на сертификаты Минцифры сайты российский компаний, а главное их приложения, перестанут быть доступны у многих. Это не решение, а еще большая разделение и развал единого Интернет пространства.

Бессмертный долгострой: почему «новинка» от Касперского на ПМЭФ-2026 — это дежавю пятилетней давности Ленты деловых СМИ снова взлетели от заголовков в стиле: «Касперский показал на ПМЭФ-2026 суверенный смартфон, который невозможно взломать!» Евгений Валентинович лично достал из кармана аппарат, отрапортовал о начале тестирования и сорвал аплодисменты. Журналисты в экстазе пишут о прорыве. Есть только одна проблема: перед нами классический корпоративный долгострой, которому больше 20 лет, а конкретно этой мобильной «новинке» — минимум пять. Давайте снимем слои маркетинга и посмотрим на факты. Краткий таймлайн проекта: - 2002 год: Рождение идеи. Стартует внутренняя разработка безопасной микроядерной системы под кодовым именем «Проект 11.11». - 2012 год: Спустя 10 лет исследований Касперский официально подтверждает в блоге: да, пишем свою ОС с нуля. - 2021 год: Громкий анонс! На рынке появляется первый «неуязвимый смартфон» Aquarius CMP NS M11 на базе KasperskyOS. Глава ЛК точно так же показывает его на выставках и обещает скорый релиз. - 2022 год: Альянс разваливается. В «Аквариусе» заявляют, что система им «по разным причинам не подошла» и уходят пилить девайсы на «Авроре». А Касперский сворачивает сотрудничество. Смартфон отправляется на пересборку. - Конец 2025 года: Дизайнеры ЛК публикуют на Хабре откровенную статью о том, как они годами продирались «от костылей к патентам», пытаясь нарисовать интерфейс для KasperskyOS Mobile. - Июнь 2026 года: Касперский выходит на сцену ПМЭФ-2026 с новой «железкой» в кармане и повторяет тезисы пятилетней давности. В чем реальная проблема? Изначально KasperskyOS проектировалась как жесткая, ультра-защищенная система для заводов, IoT и автомобильных контроллеров. Она микроядерная, там крошечный объем кода (около 100 тысяч строк), что подтверждает их официальная документация. Но то, что идеально для умного роутера или контроллера на АЭС, превращается в ад при попытке сделать из этого мобилку. В системе изначально не было поддержки тяжелой графики, нормальных UI-фреймворков и экосистемы приложений. Команда уже который год пытается натянуть промышленную архитектуру на потребительское устройство ради сочных контрактов на «безопасные мобильные рабочие места». Технологии «кибериммунитета» реальны, но они создавались для инфраструктуры, а не для карманных гаджетов. Итог: Смартфон на KasperskyOS — это не «горячая новинка 2026 года», а бесконечный инфраструктурный сериал. Каждые пару лет проект меняет аппаратного партнера, обновляет дизайн интерфейса, и его снова привозят на ПМЭФ как «абсолютно новый продукт». Скриньте, встретимся на презентации этого же смартфона через пару лет. Есть ли шанс, что это что-то полностью новое? Есть, это было бы очень круто, но шанс минимален. P.S. Слишком многие написали автору в духе "видел новинку?", решил написать.

⚡️В MAX взломали популярнейшего бота для отложенных публикаций — под ударом оказались более 30 тысяч каналов. Хакер получил доступ к сервису и начал рассылать сообщения во все подключённые каналы. Во многих из них уже появился одинаковый пост с сообщением об уязвимости бота. Самое забавное, что до этого сервис якобы прошёл аудит безопасности у специалистов по информационной безопасности. Более того, сам взломщик утверждает, что заранее предупреждал разработчиков о критической дыре, но проблему никто не исправил. Теперь владельцы каналов массово отключают бота и проверяют свои проекты на предмет компрометации. 🕹КиберТопор — Подписаться

Про noname специалистов по информационной безопасности Тут пишут, что взломали очередного бота для постинга. На этот раз в Махе, но в ТГ такие истории тоже происходили, и достаточно регулярно. Сам взлом не очень интересен, интересно другое. Владелец (видимо) бота утверждал, что он проаудирован "ведущими специалистами по ИБ". И вот тут сразу возникает проблема — сама фраза "что-то кем-то проаудировано" вообще не говорит о защищенности чего бы то ни было. Во-первых — никакого аудита могло и не быть вовсе. Просто написали "мы думаем про кибербез", и все. Так бывает, видели такое многократно (часто когда заходили уже с форензикой). Во-вторых, там вполне могли быть совершенно нормальные, компетентные специалисты. Но два релиза назад, да. В-третьих, мы не знаем, как вообще была совершена атака. Возможно там уязвимость не "технического" характера. Но повторюсь, мы этого не знаем. И вот мы все это к чему. Надпись "мы занимаемся ИБ" — это примерно как "злобный хакер, уходи". Ну то есть работает как маркетинг, но если что-то случится, выглядеть будет плохо. Мораль: занимайтесь кибербезом должным образом. Это не так дорого, иногда совсем недорого. Главное — не обманывайте своих клиентов.

GlobalSign отозвали сертификат! Но не у OpZero, а у мессенджера MAX. Мессенджер сразу же выпустил новый через Let's Encrypt. Интересно, а его аналогично отзовут и запретят выпуск новых? Кажется отзыв "санкционных" сертификатов становится системным, о чем мы и писали ранее.