цепочка поставок

Иногда выгодный контракт — это всего лишь ловушка для профессионалов. Масштаб киберугроз для оборонной промышленности стремительно растёт и выходит далеко за пределы цифровых атак на отдельные компании. По данным аналитиков Google Threat Intelligence Group, давление на...

Пока аналитики писали отчёты, противник просто сменил тактику. Специалисты Stormshield продолжили разбор цепочки компрометации , связанной с атакой на цепочку поставок текстового редактора EmEditor, и выявили дополнительные технические детали инфраструктуры злоумышленников. Поводом для...

Ваши привычные инструменты внезапно превратились в двойных агентов. В каталоге расширений Open VSX зафиксирована новая атака на цепочку поставок, связанная с захватом учётной записи разработчика. Злоумышленники внедрили вредоносные обновления в популярные инструменты для среды разработки и...

Одна лишняя буква, которая отдаёт контроль над системой посторонним. Публичные реестры контейнеров всё глубже встраиваются в процессы разработки и развёртывания сервисов, однако вместе со скоростью и удобством растёт и скрытый риск. Загрузка готовых образов всё чаще воспринимается как...

Одна лишняя буква, которая отдаёт контроль над системой посторонним. Публичные реестры контейнеров всё глубже встраиваются в процессы разработки и развёртывания сервисов, однако вместе со скоростью и удобством растёт и скрытый риск. Загрузка готовых образов всё чаще воспринимается как...

Кажется, эпоха слепого доверия к проверенным источникам окончательно ушла в прошлое. В конце декабря 2025 года разработчики популярного текстового редактора EmEditor предупредили пользователей о компрометации официальной страницы загрузки программы. Преступники незаметно подменили...

Кажется, эпоха слепого доверия к проверенным источникам окончательно ушла в прошлое. В конце декабря 2025 года разработчики популярного текстового редактора EmEditor предупредили пользователей о компрометации официальной страницы загрузки программы. Преступники незаметно подменили...

Публичные модули получили неограниченный доступ к самым важным корпоративным тайнам. Недавняя атака на цепочку поставок затронула платформу автоматизации рабочих процессов n8n — злоумышленники загрузили в репозиторий npm вредоносные пакеты, замаскированные под легитимные модули для...

Если вы собираете контейнеры для продакшена, у вас появился новый стандарт «по умолчанию» в ответ на угрозы цепочкам поставок. Компания Docker объявила , что делает свои контейнерные образы Docker Hardened Images (DHI) бесплатными и полностью открытыми: их можно использовать, распространять...

Визуально обнаружить ловушку было крайне сложно даже при ручной проверке. В экосистеме .NET обнаружена скрытая угроза, связанная с подменой популярной библиотеки трассировки. В каталоге NuGet более пяти лет распространялся вредоносный пакет, маскирующийся под легитимный компонент и...

Ученые показали, как находить идеальное решение почти без измерений. Найти самый дешевый маршрут для новой линии метро под мегаполисом вроде Москвы значит перебрать тысячи вариантов, проходящих через сотни кварталов, при этом для каждого участка земли нужно оценить стоимость работ. Обычно...

Каждый пакет содержал tea.yaml для вывода наград злоумышленникам. В экосистеме npm обнаружили одну из крупнейших атак на цепочку поставок за всю историю открытых репозиториев. Исследователи Amazon говорят о беспрецедентном «затоплении» реестра пакетами, но у этой кампании есть...

Зачем кто-то целых два года загружал на платформу мусорные пакеты? Появление десятков тысяч фиктивных пакетов в экосистеме npm неожиданно превратилось в долгую и труднообъяснимую историю, начавшуюся ещё в 2024 году. Специалисты заметили, что к каталогу JavaScript-библиотек за два года...

Контроль доступа снова провален и снова на первом месте. Когда мы уже научимся? Организация Open Worldwide Application Security Project (OWASP) опубликовала обновлённый список Top 10 Application Security Risks 2025 — первый после версии 2021 года. Документ был представлен на конференции...

Две новые категории угроз веб-приложений добавлены в топ-10 OWASP. OWASP обновил список самых опасных рисков для веб-приложений, добавив две новые категории и пересмотрев структуру рейтинга. Организация представила проект версии 2025 года , который открыт для обсуждения до 20 ноября. Этот...

Один «npm install» — и хакеры получают полный контроль над всей цепочкой поставок. Активная кампания «PhantomRaven» нацелилась на разработчиков через репозиторий npm и за короткое время разнесла по экосистеме десятки вредоносных пакетов. Встроенный в них зловредный код собирает токены...

11,7 миллиона установок за четыре дня — и ни у кого не возникло подозрений. Платформа распространения .NET-библиотек NuGet вновь стала каналом распространения вредоносного кода. На этот раз злоумышленники использовали технику подмены символов, чтобы создать вредоносный пакет , имитирующий...

Автопроизводитель до сих пор устраняет последствия, и конца этому не видно. Jaguar Land Rover продолжает устранять последствия кибератаки , которая парализовала производство, нарушила работу дилерской сети и поставила под угрозу цепочки поставок. Несмотря на возобновление производства в этом...

Обнаруженные следы указывают на тщательную подготовку атаки через цепочку поставок. На фоне роста активности китайских кибергрупп на территории Российской Федерации появилась тревожная новость. Согласно недавнему отчёту Symantec, APT-коллектив Jewelbug проник в сеть неназванного российского...

Может ли "зеленая" энергия стать причиной блэкаута? Мировой переход на возобновляемые источники энергии стремительно усиливает киберриски, о которых раньше почти не задумывались. Солнечные электростанции, аккумуляторные комплексы и системы мониторинга уже перестали быть просто инженерными...

Поддельная маска оказалась настолько совершенной, что обманула всех. Исследователи компании Socket выявили две вредоносные библиотеки на crates.io, маскирующиеся под популярный пакет fast_log и нацеленные на кражу приватных ключей криптокошельков Solana и Ethereum. Поддельные проекты...

Новый механизм публикации навсегда исключит человека из цепочки доверия. GitHub анонсировала масштабные изменения в системе аутентификации и публикации пакетов в npm, направленные на усиление защиты от атак на цепочку поставок. Причиной обновлений стала недавняя кампания Shai-Hulud —...

Атака остановила гиганта, но главный удар пришёлся не по нему. Кибератака на Jaguar Land Rover, которая парализовала деятельность компании, превратилась в один из самых тяжёлых кризисов для британского автопроизводителя. Компания была вынуждена отключить IT-системы и остановить производство...

Крупнейший взлом облачных сервисов обернулся для хакеров финансовым провалом Крупнейшая в истории экосистемы NPM компрометация цепочки поставок задела примерно каждую десятую облачную инфраструктуру по всему миру, однако злоумышленники практически ничего на этом не заработали. Инцидент...

Атака на мейнтейнера через поддельное уведомление 2FA позволила внедрить вредоносный код. Как минимум 18 популярных JavaScript-пакетов на NPM с совокупной недельной аудиторией свыше 2 миллиардов загрузок на короткое время оказались с вредоносными вставками — после фишинг-атаки одного из...