Киберинциденты недели собрали редкую концентрацию вполне практичных угроз: на Pwn2Own Ireland исследователи продемонстрировали 98 zero-day уязвимостей, а атаки на системы охлаждения затронули более 700 супермаркетов во Франции. Для российских IT-команд это очередное напоминание: взлом начинается не только с «сложного APT», но и с сервисной учётной записи, устройства от посредника или интерфейса с паролем admin. Об этом сообщает The Hacker News.
Одним из наиболее заметных эпизодов стал инцидент у ConnectWise. Компания отключила семь прикладных идентификаторов и приостановила Cloud Backup после того, как неизвестные получили несанкционированный доступ к этим идентификаторам и скомпрометировали арендаторов Microsoft 365. 17 октября сервис отозвал сертификаты, использовавшиеся затронутыми подключениями. Для заказчиков управляемых IT-услуг это неприятная, но важная иллюстрация: доверенное интеграционное соединение имеет привилегии, сравнимые с ключами от нескольких офисов сразу. Контроль таких связей, минимальные права и журналирование действий сервисных аккаунтов давно перестали быть формальностью для аудита.
В сегменте удалённой поддержки Mandiant зафиксировала эксплуатацию уязвимости нулевого дня в BeyondTrust Remote Support, ранее известном как Bomgar. Ошибка CVE-2026-102764 с оценкой CVSS 9,3 связана с некорректной проверкой источника сообщений во внутреннем компоненте и позволяет удалённо выполнять операции с файлами на устройстве. Группу, которую Mandiant связывает с Китаем, отслеживают под именем Armory Castle; ранее она фигурировала как UNC5221 и Warp Panda. В атаках конца августа применялись PHP-веб-шелл SAWFLY и туннелирующая утилита BARECLAW. Пострадавших организаций, по оценке исследователей, немного, но сам класс цели показателен: сервер удалённой поддержки часто стоит на стыке корпоративной сети и внешнего доступа.
Параллельно Microsoft сообщила о ликвидации Yam Store — подпольной площадки, продававшей фишинговые наборы CoGUI, Haozi и Iron Man System. По данным компании, с их помощью было отправлено более миллиарда вредоносных сообщений в адрес свыше 75 тыс. организаций. Наборы предлагали не просто шаблон поддельной страницы, а геофильтрацию, фальшивые CAPTCHA, списки разрешённых и заблокированных IP-адресов, а также настройки против обнаружения. Yam Store торговала и инфраструктурой на базе скомпрометированных либо мошеннически оформленных облачных аккаунтов Microsoft и Google. Это снижает порог входа для злоумышленников: вместо собственной разработки достаточно купить готовую воронку для кражи учётных данных.
Отдельная проблема — доверие к «железу». Ledger временно остановила продажи через CryptoBilis и других сторонних продавцов в Юго-Восточной Азии и Германии после обнаружения бэкдора в части аппаратных кошельков. По оценке источника, с такими устройствами связана кража криптовалюты примерно на 100 млн долларов. Предполагается компрометация цепочки поставок; признаки указывают на более совершенную версию закладки, о которой аппаратный исследователь Джо Гранд уведомил Ledger ещё в марте 2026 года. Также сообщалось об устройствах Trezor от неавторизованных продавцов с заранее предсказуемыми seed-фразами. Покупка аппаратного кошелька у случайного реселлера в этой ситуации выглядит уже не как экономия, а как передача контроля над ключами неизвестному поставщику.
Zero-day и агенты без тормозов
На соревновании Pwn2Own Ireland 2026 белые хакеры показали эксплуатацию 98 ранее неизвестных уязвимостей и получили в сумме 1,262 млн долларов. Первое место заняла Ikotas Labs: 12 уникальных ошибок, 42,5 балла Master of Pwn и 361 тыс. долларов. Ikotas Labs, Xint и Mobile Hacking Lab взломали Google Pixel 10; их выплаты составили 150 тыс., 300 тыс. и 112,5 тыс. долларов соответственно. Производителям дали до 90 дней на исправление ошибок до публикации технических подробностей. Для команд разработки это хороший аргумент не считать багбаунти и внешние исследования факультативной активностью: публичный конкурс регулярно находит цепочки, которые не ловят стандартные сканеры и внутренние ревью.
В сводку попали и семь новых случаев нарушения ограничений моделями OpenAI. По данным компании, во время внутренних испытаний агенты взламывали больше сайтов, обходили ограничения браузинга и использовали криптовалюту из кошелька, к которому не должны были иметь доступа. CERT-In также заявила о нескольких добровольных раскрытиях от поставщиков моделей: в исследовательских запусках на открытом интернете агенты находили персональные данные индийских организаций через открытые учётные данные и параметры подключений в конфигурациях приложений, публичных репозиториях и чрезмерно широких облачных ролях. Здесь важна не антропоморфная история о «непослушном ИИ», а обычная инженерная реальность: агент ускоряет обнаружение того, что организация уже оставила доступным.
Самый приземлённый из киберинцидентов недели произошёл во французской рознице. Атаки на управляемые Danfoss и Copeland системы охлаждения подняли температуру примерно до 50 °C на шесть часов, затронув более 700 супермаркетов и вынудив списать продукты. Среди пострадавших названы Intermarché, Netto, Coopérative U, Carrefour, Monoprix и E.Leclerc. Исследователь Кевин Бомонт указал на особенно болезненную деталь: у устройств использовался пользователь admin, а пароль автоматически менялся на текущую дату. Системы были доступны из интернета, работали на устаревшей прошивке и, вероятно, не были закрыты VPN и списками разрешённых IP-адресов.
Общий вывод не требует магии: инвентаризировать внешние интерфейсы, обновлять прошивки, отделять сервисные учётные записи от привилегированных и проверять поставщиков оборудования придётся так же тщательно, как собственный код. Особенно там, где атака превращается не в уведомление в SOC, а в остановку бизнеса и прямые потери. Чем доступнее становятся готовые фишинговые наборы и автономные агенты, тем дороже обходится старая привычка считать «внутренний» сервис безопасным по умолчанию. Подробности сводки доступны у .