Полный статический архив статей GigaTap о VPN, privacy, OPSEC и безопасности.
- SAP npm-пакеты пострадали от Bun-based stealer - Snyk: вредоносные версии SAP npm-пакетов загружали Bun и запускали credential stealer с признаками self-propagation.
- Teams-вишинг вернулся — и он может быть прикрытием для state-backed операции - Rapid7 описала атаку через Microsoft Teams: vishing, screen-sharing, кража credentials, обход MFA и «ransomware» как прикрытие.
- Уязвимости Trane Tracer: root-доступ в ядре здания - CISA предупредила о критичных уязвимостях Trane Tracer: root compromise, authentication bypass и DoS в системах BMS.
- У цифрового ID Юты проблема с лояльностью - Закон Юты о Digital ID выглядит как удобство, но ключевой риск — governance layer и duty of loyalty внутри системы.
- ValueCell приносит AI-агентов в финансы. Проверяйте, прежде чем доверять - ValueCell — open-source multi-agent платформа для финансовых приложений. Интерес есть, но доверять без проверки нельзя.
- Как безопасно проверять VPN-подписки на мобильных сетях - Безопасный чеклист для проверки VPN/VLESS-подписок перед импортом в мобильные клиенты.
- новое приложение Mindstorms может продлить жизнь старым наборам LEGO - Mindstorms Robot Creator готовится к F-Droid и помогает использовать старые LEGO Mindstorms локально, без облака и аккаунтов.
- Борьба ABC с FCC — тест для First Amendment - ABC сопротивляется давлению FCC, и спор о The View стал проверкой того, где заканчивается регулирование и начинается цензура.
- Возрастные барьеры становятся контролем над речью - EFF предупреждает: age verification под видом защиты детей может стать инфраструктурой цензуры и слежки в интернете.
- agenticSeek выглядит полезным. Сначала проверьте trust model - agenticSeek обещает локального AI-агента без платных API, но перед серьезным использованием важно оценить риски, изоляцию и trust model.
- ClickFix вернулся, а полезная нагрузка — Vidar Stealer - ACSC предупреждает о кампании ClickFix, распространяющей Vidar Stealer. Это активная угроза с упором на social engineering.
- Контроли токенов Cloudflare показывают настоящую проблему IAM - Обновление Cloudflare про API tokens, OAuth и resource-scoped permissions показывает главную боль IAM: разрастание credentials.
- Genkit Middleware дает AI-агентам уровень контроля - Google представила Genkit Middleware: слой контроля для agentic AI-приложений с retries, fallback и human approval для tools.
- Hysteria Proxy: что проверить перед развертыванием - Чек-лист перед тестовым развертыванием Hysteria: модель использования, риски, обслуживание и границы доверия.
- Microsoft предупредила о phishing-кампании, похищавшей auth tokens - Microsoft описала масштабную phishing-кампанию с приманками про code of conduct и кражей authentication tokens.
- Компрометация node-ipc снова проверяет доверие к npm на прочность - Socket обнаружила вредоносные версии node-ipc в npm. Разработчикам стоит проверить зависимости, CI и секреты.
- node-ipc в npm крал секреты - В npm опубликовали вредоносные версии node-ipc: payload крал секреты с машин разработчиков и CI runners.
- Обогащение NVD сужается: что стоит перепроверить container-командам - NVD не прекращает публикацию CVE, но сокращает enrichment. Что это меняет для container security, сканеров и приоритизации remediation.
- Онлайн-трекинг превращается в конвейер наблюдения - Коммерческий онлайн-трекинг — это не только реклама: данные брокеров могут становиться обходным путем для госнадзора.
- LinkedIn Lead Gen: масштабируйте сигналы, не клики - LinkedIn Ads часто теряют ценность из-за signal gap между рекламой и CRM. Решение — возвращать downstream-события в LinkedIn через CAPI.
- SpiderFoot картирует публичную attack surface, но результаты нужно проверять - SpiderFoot автоматизирует OSINT и помогает картировать публичную attack surface, но его вывод требует проверки и контекста.
- SuperAGI: open source-агентам нужна модель доверия - SuperAGI — open source-фреймворк для автономных AI-агентов. Перед внедрением важно проверить доверие, права, API keys и контроль действий.
- Supply-chain атаки становятся таблицей лидеров - Socket сообщает о конкурсе TeamPCP и BreachForums вокруг Shai-Hulud: компромиссы open source пакетов оценивают по числу загрузок.
- Безопасность supply chain начинается до сборки - Безопасность software supply chain — это не один scanner, а контроль всего процесса доставки: от зависимостей до CI/CD и прав доступа.