Hacker News Digest

Хакеры опубликовали 281 ГБ внутренней переписки партии «Альтернатива для Германии» — 421 179 писем, доступных в виде конспектов, сгенерированных искусственным интеллектом. Материал появился на фоне споров об антисемитизме, развернувшихся в немецких СМИ после выборов в Берлине, и, по замыслу публикаторов, показывает, как это явление выглядит в реальности.

В письмах сторонники партии используют расистские оскорбления и распространяют антисемитские теории о мировом господстве евреев. Обсуждаются шутки о превращении беженцев в сумки и сапоги, звучат предложения стрелять по беженцам на границе. Среди материалов — рождественская открытка со свастикой и надписью «Хайль Гитлер», а также ветка писем с подписью «Хайль унд зиг». Помимо этого, в переписке фигурируют предполагаемые финансовые нарушения.

Публикация объёмного архива делает внутреннюю кухню партии достоянием общественности и подкрепляет обвинения, которые до сих пор звучали в основном как пересказы прессы. Полный текст материала доступен только после подписки на рассылку издания.

Обсуждение дополняет статью критикой ИИ-саммари вместо оригиналов писем, ссылками на полные дампы и анализом политического контекста Германии. @voidUpdate, @claykkari и @prolly97 считают ИИ-конспекты излишне драматичными и потенциально некорректными. @prolly97 также оспаривает термин «ультраправые» применительно к AfD, так как партия представляет интересы 20% населения. @koik и @ReptileMan полагают, что успех AfD связан с их монополией на тему иммиграции, что заставляет избирателей игнорировать радикальный контент. @grandchild и @_ink_ обсуждают возможность использования утечки как доказательств для запрета партии через Конституционный суд. @hypfer опасается, что AfD может использовать факт взлома, чтобы представить себя жертвой. @rudolftheone, @Markoff и @stratocumulus0 недовольны paywall-ом и требованием указать email для чтения статьи.

В Muse обнаружена уязвимость: из-за предсказуемой структуры URL (поддомены вида fiscal-review-b4a5ff.cf.metaaiusercontent.com) возможен перебор ссылок на общие разговоры. Это подтверждено баг-баунти отчетом Meta и DNS-логами, что позволяет раскрыть личные данные пользователей. В сообществе возник спор: одни считают это ошибкой, другие — намеренным решением для таргетированной рекламы. Несмотря на полезность сервиса, критики видят в заявлениях Meta о конфиденциальности лишь маркетинговый ход, что подчеркивает общие проблемы FAANG-компаний по сбору и монетизации данных. Рекомендации: — не передавать через Muse конфиденциальную информацию; — использовать открытые модели (например, Anthropic) или самохостинг для контроля над данными; — разработчикам AI-ассистентов внедрить sandbox-механизмы и инструменты управления доступом.

Утечка CPR произошла из‐за слабой политики паролей, отсутствия MFA и использования номера CPR как секретного аутентификатора, что является ошибкой проектирования, поскольку такой идентификатор не должен быть секретным. Слабый пароль «123456» и отсутствие MFA позволили злоумышленникам получить доступ к базе CPR, что подтверждают участники. Надзор за сторонними провайдерами оказался недостаточным. Совет: Проводить регулярные аудиты третьих сторон, имеющих доступ к гражданскому реестру, и вводить обязательную сложность паролей (минимум 12 символов, специальные символы) и двухфакторную аутентификацию для всех привилегированных аккаунтов. Спор: Одни винят отдельных сотрудников и их некомпетентность (ionwake), другие — конфликт интересов между командами безопасности и продуктивности, где отсутствие баланса приводит к утечкам (zkmon). Отсутствие надзора и базовых процедур (обязательный контроль паролей, MFA, ограничение выгрузок) в государственных системах приводит к системным уязвимостям, как отмечают sneak и 0xbadcafebee.

В Дании выявлена масштабная утечка персональных данных: злоумышленники использовали легальный доступ одной компании к национальной базе CPR, чтобы получить имена, адреса и CPR-номера около 8,8 миллиона граждан. Утечка не затронула тех, кто оформил защиту своих данных — их информация осталась недоступной.

Администрация CPR немедленно отключила доступ компании, уведомила надзорный орган Datatilsynet и передала дело в полицию. Ведётся расследование в сотрудничестве с экспертами и государственными структурами. Инцидент подчёркивает риски, связанные с широким доступом к централизованным реестрам, даже при формальном соблюдении законов.

Утечка CPR-номеров в Дании произошла из-за неограниченного легального доступа компаний к национальной базе через API, а не из-за взлома. CPR-номер используется как универсальный идентификатор для доступа к медицинским, банковским и государственным сервисам, что делает его критически ценным. Доступ к базе предоставляется без ограничений на объём или частоту запросов, позволяя любому сотруднику компании экспортировать данные всей популяции. Население Дании — около 6 млн, но утечка затронула 8,8 млн записей, включая данные умерших и бывших резидентов, что указывает на хранение исторических данных в базе. Несмотря на наличие MitID как двухфакторной системы аутентификации, утечка CPR-номеров ставит под угрозу целостность системы, так как номера используются как первичный идентификатор во многих сервисах, где двухфакторная аутентификация не применяется (например, аптеки). Цифровизация государственных услуг в Дании развивалась без должного акцента на кибербезопасность, и IT-инфраструктура часто управляется другими министерствами, а не отдельным ведомством. Аналогичные утечки произошли в Польше (20 млн медицинских записей) и Франции (678 тыс. налоговых записей), указывая на системную проблему в ЕС. GDPR не предотвратил такие инциденты: штрафы недостаточны для стимулирования инвестиций в безопасность, а закон не применяется к государственным системам в полной мере. Спор о публичном доступе к данным (как в Швеции через hitta.se) не решён: одни считают, что прозрачность снижает риск злоупотреблений, другие — что это лишь легитимизирует эксплуатацию данных и не заменяет защиту. Для снижения рисков необходимо: рассматривать CPR-номер как имя пользователя, а не пароль, требуя дополнительный фактор аутентификации; обязывать компании анонимизировать или хешировать данные при тестировании; вводить уголовные наказания для ответственных лиц внутри компаний; ограничивать доступ к CPR только тем организациям, которые действительно нуждаются в данных для законных функций, и проводить строгий аудит всех запросов. Утечка подтверждает, что персональные данные в Дании давно не являются секретом — они доступны через легальные каналы, делая инцидент не новостью, а масштабным проявлением уже уязвимой системы. Цифровая идентификация на основе национальных номеров фундаментально уязвима при отсутствии контроля над доступом.

Хакерская группа ShinyHunters заявила, что взломала несколько сервисов, связанных с ФБР, и получила доступ к данным всех сотрудников и соискателей агентства. По их словам, в украденной информации содержатся имена агентов, их домашние адреса, номера телефонов и данные о супругах. Представитель группы подтвердил 404 Media: «Мы взломали ФБР. У нас есть данные обо всех сотрудниках и соискателях».

Утечка таких сведений представляет серьёзную угрозу национальной безопасности и может быть использована для отслеживания, запугивания или преследования агентов ФБР и их семей. Ранее аналогичные данные, похищенные хакерами из той же экосистемы, применялись для слежки за родственниками политиков и давления на следователей. Кроме того, такая информация может быть ценна для иностранных разведок, стремящихся понять внутреннюю структуру и методы работы одного из ключевых американских ведомств. Если данные попадут в руки преступников, безопасность сотрудников ФБР и их близких окажется под угрозой.

Утечка данных ФБР — не уникальный инцидент, а симптом системной хрупкости кибербезопасности в государственных структурах, усиленной устаревшими системами и избыточным сбором данных. Утечка произошла через уязвимость в Oracle PeopleSoft, что указывает на широкую уязвимость других систем, использующих аналогичное ПО. Сбор 2–3 ТБ персональных данных для списка сотрудников — избыточный и небезопасный подход, увеличивающий риски при компрометации. ФБР хранит данные как «controlled unclassified», что означает отсутствие реальной защиты, несмотря на чувствительность информации. Подобные инциденты уже происходили: взлом ФБР в 2016 году и утечка 22,1 млн записей из OPM в 2015 году демонстрируют повторяющуюся модель уязвимости. Спор: одни считают, что данные можно получить через публичные источники, поэтому утечка — символический акт; другие возражают, что объем и структура данных позволяют масштабную атаку. Совет: лучшая защита — не собирать и не хранить избыточные данные: если их нет, их нельзя украсть (как советует Idle Words в статье «Haunted by Data»). Совет: необходимо внедрять «рабочие имена» для сотрудников, чтобы отделить личные данные от профессиональной деятельности и защитить семьи от целенаправленных атак. Эксплуатация уязвимостей в PeopleSoft — не новость, и ShinyHunters не первый, кто использует эту атаку, что подтверждает системную проблему в госсекторе. Совет: белые и серые хакеры должны иметь право проводить пентесты без разрешения, чтобы выявлять уязвимости до того, как их использует враг — но это не будет принято из-за бюрократии. Экспорт 2+ ТБ данных требует длительного времени и, вероятно, оставил следы в логах — что ставит под сомнение утверждение о полной незаметности атаки. Сравнение с фильмами вроде «Mission: Impossible» показывает, что реальность стала хуже: утечка происходит не через шпионаж, а через техническую неграмотность. Инциденты такого масштаба больше не вызывают удивления — они стали обыденностью, что свидетельствует о глубоком кризисе кибербезопасности в США.

Южная Корея ужесточила наказания за утечки персональных данных: с пятницы компании, виновные в умышленной или грубо халатной утечке данных 10 млн и более человек, могут быть оштрафованы на сумму до 10% годовой выручки — против прежних 3%. Штраф рассчитывается с учётом тяжести нарушения, умысла, масштаба ущерба и рецидивов в течение трёх лет. Например, Coupang, оштрафованный в июне на 624,6 млрд вон за утечку данных 37,55 млн пользователей, по новым правилам мог бы получить штраф в триллионы вон, хотя окончательная сумма будет зависеть от смягчающих обстоятельств.

Новые правила также вводят обязательное уведомление пользователей в течение 72 часов при высоком риске утечки — даже без подтверждённого факта, например, после нелегального доступа к системам или обнаружения торговли данными. Компании, инвестировавшие в защиту данных, могут получить снижение штрафа до 40% за проактивные меры: наличие CPO, бюджеты на безопасность, раннее обнаружение и оперативное реагирование. Требования к назначению и смещению CPO теперь включают одобрение совета директоров и уведомление регулятора для крупных компаний (выручка >180 млрд вон, обработка данных >1 млн человек или чувствительных данных >50 тыс.), а также для университетов, больниц и операторов критической инфраструктуры. Регулятор подчеркивает, что цель — превратить защиту данных из статьи расходов в инвестицию, укрепляющую доверие и прибыль.

Обсуждение подтверждает, что жесткие штрафы в 10% выручки — это попытка сдвинуть безопасность данных из категории 'cost of doing business' в категорию неприемлемого риска, но вызывает сомнения в применимости к крупным конгломератам и эффективности при отсутствии реального принуждения.

• Спор: Один пользователь предлагает обходить закон через оболочечные компании, другой возражает, что закон о 'piercing the corporate veil' позволяет судам игнорировать корпоративную оболочку и привлекать к ответственности владельцев.

• Спор: Один участник утверждает, что 'нет таких вещей, как безопасная компьютерная система', другой возражает, что безопасные системы возможны, если приложить усилия, и штрафы должны применяться только к грубой халатности.

• Совет: Предлагается система штрафов, привязанная к типу утечки (например, $2000 за утечку SSN, $500 за незасоленные пароли), с выплатой средств напрямую пострадавшим, а не государству.

• Спор: Один участник отмечает, что 10% штрафа от выручки — это слишком мало для масштабных утечек, так как корпорации получают 'скидку' на ущерб: ущерб 10 млн человек должен стоить больше, чем 10 млн раз по одному человеку.

• Совет: Предлагается установить штраф за утечку SSN в $1 млн+, поскольку это постоянный и непоправимый ущерб, равный утрате национальной идентичности, которую невозможно отозвать.

• Многие согласны, что текущие штрафы в ЕС (4% по GDPR) неэффективны, так как утечки продолжаются еженедельно, и 10% в Корее — это шаг в правильном направлении, если будет реально применяться.

• Подтверждается, что южнокорейский регулятор — один из самых строгих в мире, и его практика по наложению штрафов за нарушения конфиденциальности уже известна и эффективна.

• Спор: Один участник предполагает, что закон не будет применяться к Samsung или другим чеболям, так как штраф в 10% выручки может разорить бизнес, и политическое давление остановит его применение.

• Совет: Предлагается, что штрафы должны быть привязаны к EBITDA, а не к выручке, и включать верхний предел в 20% выручки или 200% EBITDA, чтобы не допустить несправедливости для компаний с низкой маржой.

• Спор: Один участник отмечает, что большинство утечек происходят не из-за умысла или грубой халатности, а из-за случайных ошибок, и текущая формулировка закона может не охватывать реальные причины утечек.

• Подтверждается, что закон направлен на иностранные компании, и его строгость — ответ на слабость других стран, где лоббирование технологических гигантов блокирует подобные инициативы.

• Совет: Предлагается, что штрафы должны быть настолько высокими, чтобы утечки становились нерентабельными, а не 'ценой ведения бизнеса', и чтобы компании предпочитали инвестиции в безопасность, а не риск штрафов.

SSN should be 1MM+. It is a password to your national identity that can be used to steal your identity and effectively cannot be revoked once leaked. It is a permanent grievous injury to someone to leak it. — @someguynamedq

Утечка данных водительских прав в США превратилась в национальную угрозу безопасности, так как хакеры получили доступ к миллионам записей, содержащих личную информацию, включая фотографии, адреса и номера социального страхования. Эти данные, хранящиеся в централизованных системах штатов, стали лёгкой мишенью из-за устаревшей инфраструктуры и слабой киберзащиты, что позволяет злоумышленникам создавать поддельные документы, шпионить за государственными служащими и военными, а также проводить целевые атаки на критическую инфраструктуру. Особую тревогу вызывает тот факт, что такие утечки могут использоваться иностранными разведками для вербовки агентов или подрыва доверия к государственным институтам.

Автор статьи подчеркивает, что водительские права — это не просто документ для вождения, а де-факто национальный идентификатор, используемый при доступе к аэропортам, федеральным зданиям и банковским услугам. Их компрометация подрывает основы доверия к системе идентификации и создаёт системную уязвимость, которую сложно исправить без масштабной модернизации IT-систем и введения строгих стандартов защиты данных на уровне всех штатов. Без срочных действий США рискуют столкнуться с волной кибершпионажа и мошенничества, исходящего из одной, казалось бы, обычной утечки.

Утечка данных водительских прав — симптом системной неспособности США защищать персональные данные из-за коммерциализации, устаревшей инфраструктуры и отсутствия личной ответственности. Информация уже давно доступна через легальные каналы: информационные брокеры, продажа данных штатами и передача страховщиками делают утечку частью более широкой проблемы. Спор: Предложение о персональной ответственности руководителей и инвесторов считается нереалистичным — если данные хранятся у третьих сторон, ответственность размывается, а массовая ответственность сотрудников парализует отрасль. Штрафы в 2x lifetime compensation не решат проблему: ущерб уже нанесён, компании не имеют средств для компенсации, и даже крупные штрафы (как у Wells Fargo) не остановили злоупотребления. Совет: Запретить хранение чувствительных данных (сканы водительских прав) до внедрения надёжной системы идентификации. Пересмотреть модель ответственности: если банк выдал кредит по украденным данным — проблема банка, а не жертвы. Ввести юридические нормы для разработки ПО, как для безопасностно-критичных продуктов, с ответственностью за несоответствие стандартам. Вместо штрафов — обязательное страхование ответственности менеджеров с растущими премиями при истории инцидентов, что исключает неэффективных руководителей. Система водительских прав устарела: создана для другого времени, теперь используется как универсальный идентификатор malgré высокие риски. Пользователи могут снизить риски, используя почтовый ящик вместо домашнего адреса в правах (Калифорния, Теннесси, Техас) или паспортные карты без адреса. KYC-системы — иллюзия безопасности: ИИ легко подделывает документы, утечки постоянны даже у крупнейших компаний и неизбежны. Американские органы безопасности игнорируют угрозы для граждан, фокусируясь на внешних делах, а не на защите внутренней инфраструктуры. Необходимо создать официальный механизм проверки попадания удостоверения в утечку (например, через сайт IDScan, как HaveIBeenPwned). Предложение о тюремном заключении политиков, разрешивших передачу данных частным компаниям, вызывает скепсис: не решает техническую проблему, лишь перекладывает вину. Идея, что персональные данные должны быть приватными, устарела — многие уже публично доступны через коммерческие базы, ожидание приватности иллюзорно. Утечка напоминает OPM-2015: после национального инцидента не было значимых системных изменений, и сомнительно, что на этот раз что-то изменится.

Джонатан Кларк стал жертвой целевой фишинговой атаки в январе 2025 года, за четыре месяца до публичного признания Coinbase утечки данных. Мошенники обладали его полными персональными данными, включая номер социального страхования и точный баланс биткоина, что указывало на компрометацию внутренней базы Coinbase. Кларк немедленно предоставил компании детальный технический отчет с записями разговора и доказательствами, но не получил ответов на свои вопросы в течение четырех месяцев.

Coinbase публично признала утечку только в мае 2025 года, когда злоумышленники потребовали выкуп в $20 млн. Позже выяснилось, что сотрудники аутсорсинговой компании TaskUs в Индии продавали клиентские данные, включая имена, адреса, SSN и балансы счетов. Финансовые потери оцениваются в $180-400 млн, а более 200 сотрудников TaskUs были уволены. Кларк утверждает, что Coinbase знала об утечке задолго до официального признания, игнорируя его предупреждения.

• Reuters и другие СМИ сообщают, что Coinbase знал о утечке данных клиентов ещё в январе, но не уведомил клиентов и SEC, что вызвало волну критики.
• Пользователи жалуются на фишинговые звонки, в которых мошенники знают их точные балансы и личные данные, что указывает на утечку данных Coinbase.
• Комментаторы подчеркивают, что Coinbase не сообщил о взломе в течение 4 месяцев, несмотря на то, что SEC требует раскрытия таких инцидентов в течение 4 дней.
• Некоторые пользователи утверждают, что Coinbase не только не уведомил клиентов о взломе, но и не предпринял никаких действий для защиты их данных.
• В то же время, другие участники обсуждения подчеркивают, что Coinbase не несет ответственности за безопасность личных данных клиентов, если они сами не соблюдают основы криптовалютной безопасности.

Troy Hunt объявил о добавлении в Have I Been Pwned 2 миллиардов уникальных email-адресов (точнее 1,957,476,021) и 1,3 миллиарда паролей, из которых 625 миллионов ранее нигде не встречались. Это крупнейшая база данных утечек, которую когда-либо обрабатывали. Данные поступили из двух источников: логов вредоносного ПО, собирающего данные с зараженных устройств, и списков для подбора паролей, полученных из других утечек. Hunt отмечает, что такие списки становятся "ключами от замка" из-за привычки пользователей использовать один и тот же пароль на разных ресурсах.

Для проверки данных Hunt проанализировал собственные старые email-адреса и обратился к подписчикам. Один пользователь подтвердил, что в базе находились как его старые, так и текущие пароли. Особенно показателен случай, когда человек использовал простой пароль, состоящий из другого пароля с добавлением в конце "!!". Это подтверждает распространенную практику создания слабых вариаций паролей, что делает пользователей уязвимыми при утечках данных.

• Пользователи обсуждают, что их данные уже неоднократно оказались в утечках, но при этом не ясно, какие именно сервисы пострадали и что делать с этим дальше.
• Обсуждается, что вместо того, чтобы собирать и продавать наши данные, компании могли бы просто не собирать лишние данные и не хранить их нешифрованными.
• Участники обмениваются опытом использования уникальных email-адресов и менеджеров паролей, но при этом отмечается, что даже при наличии таких инструментов, большинство сайтов всё ещё требуют email-адрес и не поддерживают вход через SSO-провайдеров.
• Поднимается вопрос, почему до сих пор не введён стандарт веб-автентификации через асимметричные ключи, вместо паролей, и почему пароли всё ещё не храняться в виде хеша, а не в открытом виде.

Discord подтвердил, что в результате инцидента с поставщиком услуг клиентской поддержки могли быть скомпрометированы документы, касающиеся до 70 000 пользователей. Компания подчеркивает, что атакующие распространяют ложную информацию как часть вымогательской кампании. Пока неясно, какие именно данные были затронуты, но Discord утверждает, что «большинство» из них ограничиваются адресом электронной почты, номером телефона и/или имени пользователя.

• Discord и другие компании продолжают собирать и хранить документы удостоверяющие личность, несмотря на то, что они не могут их защитить.
• Пользователи, которые предоставили свои документы, теперь подвержены риску, что их личные данные могут быть украдены.
• Сторонние подрядчики, которые обрабатывают документы удостоверяющие личность, не могут быть идентифицированы, что делает невозможным для пользователей понять, кто именно имеет доступ к их личным данным.
• Пользователи, которые не предоставили свои документы, не могут получить доступ к сервису.
• Пользователи, которые предоставили свои документы, теперь не могут быть уверены, что их личные данные не будут использованы для других целей.