Кража $140 млн у банков Бразилии, сбои Telegram в России и другие события кибербезопасности
- Банки Бразилии лишились $140 млн из-за сговорчивого сотрудника.
- В России «легли» СБП и Telegram.
- Баскетболиста заподозрили в кибервымогательстве.
- Уязвимость ИИ-бота McDonald’s привела к сливу базы найма сотрудников.
Банки Бразилии лишились $140 млн из-за сговорчивого сотрудника
7 июля стало известно об одной из самых крупных хакерских атак на банковский сектор за год. Киберпреступники похитили ~$140 млн у шести финансовых учреждений Бразилии, используя учетные данные сотрудника компании C&M Software.
Инцидент произошел 30 июня, когда злоумышленники подкупили Жоау Назарено Роке и получили от него доступ к системе. По данным полиции, он также передал инструкции по выполнению определенных действий, которые обеспечили успешное проведение атаки.
Сотрудник оценил свое участие в $920. Позже, следуя рекомендациям злоумышленников, он запускал команды внутри инфраструктуры C&M. За это мужчина заработал дополнительные $1850, сообщает издание.
Роке пытался скрыть свою активность, меняя мобильные телефоны каждые 15 дней. Однако 3 июля его задержали в Сан-Паулу.
По приблизительным оценкам, не менее $30-40 млн из похищенных средств конвертировано в криптоактивы. Согласно расследованию ончейн-детектива ZachXBT, злоумышленники перевели средства в BTC, ETH и USDT через латиноамериканские внебиржевые площадки и криптобиржи.
В России «легли» СБП и Telegram
10 июля в работе Системы быстрых платежей (СБП) на территории России произошел сбой. Жалобы начали поступать в 16:00 (МСК) из Санкт-Петербурга, Москвы, Ямало-Ненецкого автономного округа, Тверской и Нижегородской областей, а также других регионов.
В Центре мониторинга и управления сетью связи общего пользования подчеркнули, что DDoS-атак на инфраструктуру НСПК нет.
В соцсетях пользователи жаловались на работу банков, и что не могут перевести средства или оплатить счета по СБП.
В НСПК, которая является разработчиком и оператором системы, связали инцидент с работой провайдера. Ближе к полуночи работу СБП восстановили.
7 июня произошел масштабный сбой в работе Telegram. Российские пользователи жаловались на недоступность уведомлений, проблемы с отправкой сообщений и загрузкой приложения.
Баскетболиста заподозрили в кибервымогательстве
9 июля стало известно о задержании российского профессионального баскетболиста Даниила Касаткина. Согласно СМИ, его арестовали 21 июня во французском аэропорту Шарль-де-Голль по запросу властей США. Спортсмену инкриминируют роль переговорщика в составе хакерской сети, действовавшей с помощью программ-вымогателей.
В настоящее время Касаткин находится под стражей, а представители США добиваются его экстрадиции для предъявления обвинений. Адвокат заявил о невиновности спортсмена.
Название хакерской группировки не раскрывается. Известно лишь, что в период с 2020 по 2022 год злоумышленники совершили более 900 атак на различные организации, включая два федеральных ведомства.
Уязвимость ИИ-бота McDonald’s привела к сливу базы найма сотрудников
Согласно Wired, 9 июня исследователи Иэн Кэрролл и Сэм Карри обнаружили критические уязвимости в системе McHire. Платформа нанимает сотрудников для McDonald’s с помощью ИИ-бота по имени Оливия.
Используя элементарные пароли вроде «123456», энтузиасты получили доступ к админ-панели разработчика платформы Paradox.ai. Она содержала базу данных с 64 млн записей, включая имена, email и телефоны соискателей. Доступ был открыт с 2019 года без наличия двухфакторной аутентификации.
When applying for a job at McDonald's, over 90% of franchises use "Olivia," an AI-powered chatbot. We (@iangcarroll and I) discovered a vulnerability that could allow an attacker to access the over 64 million chat records using the password "123456".https://t.co/dBqpRpdp9T
— Sam Curry (@samwcyo) July 9, 2025
Paradox.ai признала факт утечки и заявила, что аккаунт не использовался третьими лицами, кроме самих исследователей. Компания пообещала внедрить программу баг-баунти для предотвращения подобных инцидентов в будущем. McDonald’s, в свою очередь, заявила об устранении уязвимости в день обнаружения.
Кэрролл отметил, что узнал об этом «ужасающем уровне безопасности» только потому, что его заинтересовало решение проверять потенциальных работников через ИИ-бот и тест на личность.
«Мне это показалось особенно дистопичным по сравнению с обычным процессом найма, правда? Именно это и побудило меня копнуть глубже. Я начал подавать заявку на работу, и уже через 30 минут у нас был полный доступ практически ко всем анкетам, когда-либо поданным в McDonald’s за последние годы», — подчеркнул он в комментарии Wired.
Оператор биткоин-банкоматов Bitcoin Depot не уследил за данными 27 000 клиентов
Оператор сети биткоин-банкоматов с более чем 17 000 устройств в США, Канаде и Австралии Bitcoin Depot уведомил клиентов об утечке персональных данных.
Подозрительную активность в сети впервые обнаружили 23 июня 2023 года, а внутреннее расследование компании завершилось в июле 2024. Правоохранительные органы США потребовали отложить публичное раскрытие до завершения своего собственного расследования.
Согласно письму пострадавшим, в распоряжении злоумышленников оказались документы порядка 27 000 клиентов, прошедших процедуру KYC.
Тип утекших данных варьируется от человека к человеку, но может включать:
- полное имя;
- номер телефона;
- номер водительского удостоверения;
- адрес проживания;
- дату рождения;
- email.
Финансовая компенсация или защита от кражи личности не предусмотрены, поскольку риски связаны с криптовалютными активами. Вместо этого пострадавшим порекомендовали быть бдительными и следить за банковскими выписками.
Также на ForkLog:
- Хакер вернул GMX украденные $40 млн.
- Исследователи предотвратили кражу $10 млн из DeFi-протоколов.
- Хакер взломал DEX GMX на $42 млн.
- Данные как актив: новый производственный фактор по-китайски.
- Джек Дорси представил зашифрованный Bluetooth-чат.
- Эксперт предположил взлом биткоин-кошельков с $8,6 млрд.
Что почитать на выходных?
Разбираемся, как коррупционный скандал, связанный с продажей биткоинов, может повлиять на политический ландшафт Чехии.