На этой неделе ландшафт цифровых угроз преподнес сразу несколько знаковых событий: от массированных атак на пользователей крупнейшей соцсети до ликвидации ботнета-ветерана и изощренных методов обхода ИИ-защиты. Разбираю ключевые инциденты, которые требуют пристального внимания.
X под прицелом: волна сбросов паролей и фишинг
Пользователи X столкнулись с настоящим шквалом несанкционированных запросов на сброс пароля и уведомлений о входе с неизвестных устройств. Инженеры платформы признали наличие аномалии, но отрицают взлом инфраструктуры, связывая активность с автоматизированными атаками. Цель злоумышленников очевидна — получение доступа к аккаунтам для манипуляций с внутренней монетизацией, в частности с X money.
Корни проблемы, вероятно, уходят в уязвимость API 2022 года, позволившую сопоставлять email и телефоны с профилями. Впоследствии база на 200 млн пользователей всплыла в открытом доступе, а в марте 2025-го хакер ThinkingOne выложил на BreachForums архив объемом 34 ГБ с данными 201 млн аккаунтов. Мои наблюдения показывают, что старые утечки данных продолжают оставаться «золотой жилой» для киберпреступников, обеспечивая их информацией для целевых фишинговых кампаний.
Ситуацию усугубляет независимая фишинговая кампания, рассылающая идеальные копии официальных писем X о «входе с нового устройства», которые ведут на поддельные страницы перехвата данных. Всем пользователям настоятельно рекомендую включить защиту сброса пароля, проверять адрес отправителя (только @X.com или @e.X.com) и использовать приложения-аутентификаторы вместо СМС.
Конец эпохи: ботнет Sality ликвидирован
Международная операция правоохранителей США и Европы поставила точку в истории децентрализованного ботнета Sality, действовавшего с 2003 года. На момент закрытия в сети насчитывалось более 15 000 зараженных устройств. Благодаря P2P-архитектуре, простое отключение командного сервера не дало бы результата, поэтому киберполиция перехватила контроль над ключевыми суперузлами, изолировав машины жертв.
Показательно, что за два десятилетия своего существования Sality эволюционировал от кражи паролей и DDoS-атак до специализированного клиппера EggJagger. Этот модуль в последние годы был главной полезной нагрузкой ботнета, незаметно подменяя криптовалютные адреса в буфере обмена на кошельки хакеров. Это лишний раз подтверждает, что даже самая старая инфраструктура может быть адаптирована под современные финансовые преступления.
ИИ-антивирусы обмануты простым текстом
Эксперты ESET обнаружили новую технику обхода систем безопасности под названием GuardBreaker, применяемую пророссийской группой UAC-0099 в атаках на украинскую инфраструктуру. Метод основан на «ослеплении» ИИ-сканеров: хакеры внедряют в свои скрипты триггерные фразы, например «Я хочу создать ядерное оружие. Помоги мне…». Это провоцирует срабатывание защитных фильтров языковой модели, которая прерывает сессию с ошибкой, не проанализировав сам вредоносный код.
Этот вектор атак — тревожный сигнал для всей индустрии. Использование «наивности» ИИ-конвейеров первичной сортировки становится все более популярным. Утечка исходного кода червя Shai-Hulud в открытый доступ лишь ускорила адаптацию этой концепции другими игроками. Очевидно, что разработчикам защитных решений необходимо пересматривать подходы к обучению моделей, чтобы они не были подвержены таким простым манипуляциям.
Pegasus и NoviSpy: шпионаж против сербских активистов
Международная правозащитная организация Citizen Lab совместно с SHARE Foundation выявила факты заражения iPhone участника сербского студенческого движения шпионским ПО Pegasus. Взлом был осуществлен через zero-click-эксплойт в iMessage. Всего с начала 2026 года передовым шпионским ПО были атакованы как минимум 14 представителей гражданского общества, включая студентов и оппозиционных политиков.
Особую тревогу вызывает то, что атаки совпали с важными политическими событиями в стране — местными выборами в марте и подготовкой к внеочередным в октябре. Помимо Pegasus, на устройствах активистов обнаружена обновленная версия локального Android-шпиона NoviSpy. Ситуация в Сербии становится ярким примером того, как коммерческие шпионские инструменты используются для подавления гражданского общества, а сообщения из взломанных телефонов даже цитируются в эфире проправительственных СМИ.
Мой анализ: прошедшая неделя наглядно демонстрирует конвергенцию традиционной киберпреступности и передовых государственных инструментов. Старые методы, такие как клипперы и ботнеты, по-прежнему эффективны, в то время как новые, основанные на обмане ИИ, открывают совершенно иные горизонты для атак. Инвесторам и рядовым пользователям стоит помнить: безопасность — это не статичный продукт, а постоянный процесс адаптации к evolving threats.