Hacker News Digest

Хакерская группа ShinyHunters заявила, что взломала несколько сервисов, связанных с ФБР, и получила доступ к данным всех сотрудников и соискателей агентства. По их словам, в украденной информации содержатся имена агентов, их домашние адреса, номера телефонов и данные о супругах. Представитель группы подтвердил 404 Media: «Мы взломали ФБР. У нас есть данные обо всех сотрудниках и соискателях».

Утечка таких сведений представляет серьёзную угрозу национальной безопасности и может быть использована для отслеживания, запугивания или преследования агентов ФБР и их семей. Ранее аналогичные данные, похищенные хакерами из той же экосистемы, применялись для слежки за родственниками политиков и давления на следователей. Кроме того, такая информация может быть ценна для иностранных разведок, стремящихся понять внутреннюю структуру и методы работы одного из ключевых американских ведомств. Если данные попадут в руки преступников, безопасность сотрудников ФБР и их близких окажется под угрозой.

Утечка данных ФБР — не уникальный инцидент, а симптом системной хрупкости кибербезопасности в государственных структурах, усиленной устаревшими системами и избыточным сбором данных. Утечка произошла через уязвимость в Oracle PeopleSoft, что указывает на широкую уязвимость других систем, использующих аналогичное ПО. Сбор 2–3 ТБ персональных данных для списка сотрудников — избыточный и небезопасный подход, увеличивающий риски при компрометации. ФБР хранит данные как «controlled unclassified», что означает отсутствие реальной защиты, несмотря на чувствительность информации. Подобные инциденты уже происходили: взлом ФБР в 2016 году и утечка 22,1 млн записей из OPM в 2015 году демонстрируют повторяющуюся модель уязвимости. Спор: одни считают, что данные можно получить через публичные источники, поэтому утечка — символический акт; другие возражают, что объем и структура данных позволяют масштабную атаку. Совет: лучшая защита — не собирать и не хранить избыточные данные: если их нет, их нельзя украсть (как советует Idle Words в статье «Haunted by Data»). Совет: необходимо внедрять «рабочие имена» для сотрудников, чтобы отделить личные данные от профессиональной деятельности и защитить семьи от целенаправленных атак. Эксплуатация уязвимостей в PeopleSoft — не новость, и ShinyHunters не первый, кто использует эту атаку, что подтверждает системную проблему в госсекторе. Совет: белые и серые хакеры должны иметь право проводить пентесты без разрешения, чтобы выявлять уязвимости до того, как их использует враг — но это не будет принято из-за бюрократии. Экспорт 2+ ТБ данных требует длительного времени и, вероятно, оставил следы в логах — что ставит под сомнение утверждение о полной незаметности атаки. Сравнение с фильмами вроде «Mission: Impossible» показывает, что реальность стала хуже: утечка происходит не через шпионаж, а через техническую неграмотность. Инциденты такого масштаба больше не вызывают удивления — они стали обыденностью, что свидетельствует о глубоком кризисе кибербезопасности в США.

Утечка данных водительских прав в США превратилась в национальную угрозу безопасности, так как хакеры получили доступ к миллионам записей, содержащих личную информацию, включая фотографии, адреса и номера социального страхования. Эти данные, хранящиеся в централизованных системах штатов, стали лёгкой мишенью из-за устаревшей инфраструктуры и слабой киберзащиты, что позволяет злоумышленникам создавать поддельные документы, шпионить за государственными служащими и военными, а также проводить целевые атаки на критическую инфраструктуру. Особую тревогу вызывает тот факт, что такие утечки могут использоваться иностранными разведками для вербовки агентов или подрыва доверия к государственным институтам.

Автор статьи подчеркивает, что водительские права — это не просто документ для вождения, а де-факто национальный идентификатор, используемый при доступе к аэропортам, федеральным зданиям и банковским услугам. Их компрометация подрывает основы доверия к системе идентификации и создаёт системную уязвимость, которую сложно исправить без масштабной модернизации IT-систем и введения строгих стандартов защиты данных на уровне всех штатов. Без срочных действий США рискуют столкнуться с волной кибершпионажа и мошенничества, исходящего из одной, казалось бы, обычной утечки.

Утечка данных водительских прав — симптом системной неспособности США защищать персональные данные из-за коммерциализации, устаревшей инфраструктуры и отсутствия личной ответственности. Информация уже давно доступна через легальные каналы: информационные брокеры, продажа данных штатами и передача страховщиками делают утечку частью более широкой проблемы. Спор: Предложение о персональной ответственности руководителей и инвесторов считается нереалистичным — если данные хранятся у третьих сторон, ответственность размывается, а массовая ответственность сотрудников парализует отрасль. Штрафы в 2x lifetime compensation не решат проблему: ущерб уже нанесён, компании не имеют средств для компенсации, и даже крупные штрафы (как у Wells Fargo) не остановили злоупотребления. Совет: Запретить хранение чувствительных данных (сканы водительских прав) до внедрения надёжной системы идентификации. Пересмотреть модель ответственности: если банк выдал кредит по украденным данным — проблема банка, а не жертвы. Ввести юридические нормы для разработки ПО, как для безопасностно-критичных продуктов, с ответственностью за несоответствие стандартам. Вместо штрафов — обязательное страхование ответственности менеджеров с растущими премиями при истории инцидентов, что исключает неэффективных руководителей. Система водительских прав устарела: создана для другого времени, теперь используется как универсальный идентификатор malgré высокие риски. Пользователи могут снизить риски, используя почтовый ящик вместо домашнего адреса в правах (Калифорния, Теннесси, Техас) или паспортные карты без адреса. KYC-системы — иллюзия безопасности: ИИ легко подделывает документы, утечки постоянны даже у крупнейших компаний и неизбежны. Американские органы безопасности игнорируют угрозы для граждан, фокусируясь на внешних делах, а не на защите внутренней инфраструктуры. Необходимо создать официальный механизм проверки попадания удостоверения в утечку (например, через сайт IDScan, как HaveIBeenPwned). Предложение о тюремном заключении политиков, разрешивших передачу данных частным компаниям, вызывает скепсис: не решает техническую проблему, лишь перекладывает вину. Идея, что персональные данные должны быть приватными, устарела — многие уже публично доступны через коммерческие базы, ожидание приватности иллюзорно. Утечка напоминает OPM-2015: после национального инцидента не было значимых системных изменений, и сомнительно, что на этот раз что-то изменится.

AI может сделать системы слишком надёжными, что угрожает национальной безопасности. Раньше спецслужбы полагались на уязвимости в ПО, но теперь шифрование (iPhone, WhatsApp) закрывает эти «низко висящие плоды». В 2016 году FBI потребовал у Apple доступа к зашифрованному телефону, но отступил после обвинений в риске злоупотребления бэкдоров. Теперь, когда у злоумышленников остаются лишь редкие уязвимости, агентствам придётся требовать искусственных способов доступа — «исключительного доступа». Это может привести к тому, что США ослабят собственные системы, а иностранные государства получат новые возможности для атак. В итоге мы рискуем ускорить «самосоветскую» уязвимость, когда уже почти справились с защитой инфраструктуры. Нам остаётся лишь надеяться, что решения будут приняты правильно, даже если без чёткого плана.

Тред обсуждает влияние ИИ на безопасность ПО и последствия для правоохранительных органов и национальной безопасности. @mbroshi отмечает, что компании добавляют больше уязвимых функций, чем раньше; ИИ может выявлять существующие проблемы, но не обеспечивает полной безопасности. @tptacek и @thinkthatover спорят, насколько низкоуровневый код платформ менее уязвим, чем код приложений, и изменится ли это в будущем. @Carrok предлагает само-хостинг и контроль над ПО как меру против уязвимостей. @Grombobulous утверждает, что правоохранительным органам не нужен массовый доступ к коммуникациям — исторически это не было необходимо. @ayaros считает, что доступ государства к частным коммуникациям нарушает право на неприкосновенность частной жизни.

OpenAI и Anthropic, несмотря на конкуренцию, объединились в призыве к регулированию китайских открытых моделей ИИ, опасаясь, что их доступность угрожает безопасности и национальной безопасности США. Они аргументируют это тем, что открытые веса невозможно отозвать или обновить, что делает их уязвимыми к злоупотреблениям — позиция, которую сторонники открытого исходного кода считают как раз их главным преимуществом: отсутствием централизованного контроля.

При этом критики видят в этом попытку монополистов — включая OpenAI и Anthropic — закрепить своё доминирование под видом безопасности. OpenAI, несмотря на собственную открытую модель, выступает против «дистилляции» моделей, что США классифицируют как кражу интеллектуальной собственности. Разногласия проявились и в законодательстве: Anthropic поддержала жёсткий закон с обязательными независимыми проверками и штрафами, а OpenAI — более мягкий вариант. В ближайшие недели администрация США планирует рассмотреть стандарты для китайских моделей, а Сам Альтман готовится к встрече с законодателями.

Многие считают, что OpenAI и Anthropic маскируют попытки сохранить монополию под предлогом безопасности, а открытые модели — будущее ИИ, и их регулирование лишь тормозит инновации. Советуют компаниям сосредоточиться на развитии технологий, а не на подавлении конкуренции.

Интеллект всё больше превращается в сервис, который можно арендовать лишь у нескольких закрытых компаний, и это ставит под угрозу не только свободу кода, но и саму оперативную независимость. Когда доступ к моделям зависит от закрытых API, удалённых платформ, меняющихся условий и цен, то общество теряет возможность изучать, модифицировать, проверять, развертывать и сохранять эти системы без запроса разрешения — то, что называют «операционной свободой».

Открытый ИИ должен оставаться локально развертываемым, понятным, воспроизводимым и управляемым сообществом, даже если текущие лидеры отрасль переключат фокус или исчезнут. Иначе инфраструктура интеллекта превратится в подписку на мышление, контролируемую небольшим набором корпораций. Поэтому США и другие страны должны обеспечить возможность свободного использования, изучения, доработки и benchmark‑тестирования ИИ‑моделей, опираясь на глобальные открытые стандарты.

Ключевой посыл: свобода запускать, проверять и адаптировать ИИ‑системы — вопрос национальной безопасности и будущего цивилизации. Если хотите поддержать инициативу, можно написать на opensourceaimustwin@osmantic.com.

• Децентрализованное обучение на добровольных машинах сталкивается с проблемами коммуникаций и возможностей poison‑а данных, требуется сложная система отката.
• Чтобы запускать модели уровня SOTA, нужны распределённые инференс‑фреймворки, иначе они останутся под контролем крупных корпораций.
• Финансирование и политическое давление делают открытый AI уязвимым: без государственной поддержки или крупного капитала проекты не могут конкурировать с закрытыми решениями.
• Открытые веса моделей лишь «первый выстрел», их полезность ограничена без оригинальных данных и постоянного обновления, поэтому полностью открытый AI пока остаётся недоступным.

Израильские чиновники потребовали от Google и Amazon использовать секретный «миг» для обхода юридических приказов, позволяющий компаниям игнорировать судебные решения о раскрытии данных пользователей. Этот механизм позволял израильским спецслужбам получать доступ к информации, не раскрывая свои запросы общественности. Израиль настаивал на том, что это необходимо для национальной безопасности, но критики видят в этом попытку обойти правовые процедуры.

Секретный «миг» был частью более широкой программы, в рамках которой Израиль требовал от технологических компаний установить бэкдоры в своих системах. Google и Amazon сопротивлялись этим требованиям, опасаясь, что это создаст опасный прецедент и подорвет доверие пользователей. Внутренние документы показывают, что израильские чиновники угрожали компаниям юридическими последствиями, если те не выполнят требования.

• Документы, указывающие на то, что Google и Amazon могли бы получать платежи от Израиля за раскрытие информации, вызвали волну обсуждений о возможном нарушении закона и этике.
• Участники обсуждения подчеркнули, что такие платежи могли бы быть использованы для обхода законов о неразглашении, что ставит под сомнение легальность сделки.
• Обсуждение также затронуло вопрос о том, что компании могли бы быть вовлечены в преступное сговоре, что может повлечь за собой серьёзные последствия.
• Участники также обсуждали, что такие действия могут быть незаконными, и что компании могли бы быть привлечены к ответственности за участие в таком сговоре.
• В обсуждении также поднимался вопрос о том, что такие действия могут быть неэтичными и могут нарушать законы о защите данных и конфиденциальности.

Гренландия отказывается от Starlink в пользу французского спутникового сервиса Eutelsat OneWeb для улучшения интернет-связи в отдаленных регионах. Национальная телеком-компания Tusass подписала соглашение, чтобы предоставить более быстрое и стабильное покрытие для городов и поселков, не имеющих подводных кабелей или радиосвязи. Первым городом, получившим новый сервис до конца года, станет Tasiilaq, за ним последуют другие населенные пункты по мере расширения сети.

Спутники OneWeb вращаются ближе к Земле, чем традиционные, обеспечивая более быстрые и надежные сигналы. Tusass рассматривала сотрудничество со Starlink Илона Маска, но выбрала Eutelsat из-за доверия и долгосрочного партнерства. Гренландские политики подчеркивают важность сохранения контроля над телеком-инфраструктурой страны из соображений национальной безопасности, и Tusass остается единственным поставщиком телекоммуникаций в Гренландии.

• Публикация вызвала спор из-за слова "ditches", хотя Гренландия просто продлила контракт с Eutelsat, а не отказалась от Starlink.
• Комментаторы обвинили статью в предвзятости, потому что она не упомянула, что Starlink не соответствует требованиям, а Eutelsat соответствует.
• Обсуждение вышло за рамки технических деталей и перешло к геополитике, включая обвинения в том, что Starlink может быть использована для шпионажа или отключения интернета в Гренландии.
• Некоторые комментаторы указали на то, что выбор провайдера является политическим, а не техническим, и что статья не упоминает, что Starlink не соответствует требованиям, а Eutelsat соответствует.
• Также обсуждались вопросы, связанные с монополией Tusass в Гренландии и тем, что Starlink не может быть использована в Гренландии из-за законов, которые защищают Tusass от конкуренции.

Предоставленный текст содержит только навигационную структуру сайта CSO Online, а не саму статью о кибератаке. Судя по заголовку, речь идет о взломе американского ядерного объекта иностранными хакерами через уязвимости в SharePoint. Вероятно, в статье подробно описаны детали инцидента, включая то, как злоумышленники использовали недостатки в популярной платформе Microsoft для проникновения в критически важную инфраструктуру. Без доступа к полному тексту невозможно предоставить точный пересказ с ключевыми фактами, цифрами или цитатами.

• Обсуждение в основном вращается вокруг критики Microsoft-стека, но при этом поднимаются вопросы безопасности, ответственности вендора и даже культуры найма в целом.
• Участники обмениваются личными историями, где Microsoft-ориентированные компании отвергают кандидатов только за то, что те используют их продукты.
• Некоторые комментаторы утверждают, что использование Microsoft-стека само по себе является показателем плохой ИТ-культуры в компании.
• Другие спорят, что важно различать использование продуктов и саму культуру найма и отношение к сотрудникам.
• Обсуждение также затрагивает вопросы национальной безопасности, критикуя использование облачных сервисов и вендор лок-ина.

Apple удалила из App Store приложение для отслеживания агентов иммиграционной службы ICE после давления со стороны Министерства юстиции США. Приложение позволяло пользователям сообщать о местонахождении сотрудников ICE в реальном времени, что вызвало обеспокоенность властей из-за потенциальных угроз безопасности.

Решение Apple отражает растущую напряжённость между технологическими компаниями и правительством по вопросам контроля за приложениями, связанными с иммиграционной политикой. Это также поднимает вопросы о балансе между свободой слова и национальной безопасностью в цифровую эпоху.

• Критикуется централизованный контроль Apple и Google над магазинами приложений, который позволяет правительствам принуждать к цензуре.
• Отмечается, что подобные удаления приложений по политическим мотивам — не новость и ослабляют аргументы в пользу «закрытых экосистем».
• Предлагается использовать веб-сайты вместо нативных приложений для большей устойчивости к цензуре и удалению.
• Подчёркивается, что монополия и контроль над установкой софта создают риски для пользователей и ограничивают их свободу.
• Указывается на противоречие между публичной позицией Apple о приватности и её готовностью подчиняться государственному давлению.

Краткий перевод

• Суть: правительство США покупает 10 % Intel за $8,9 млрд. Критики (Скотт Линсиком и др.) указывают на риски политизации решений, нарушения фидуциарных обязанств, искажения рынка и неэффективного распределения капитала.
• Пропуск в критике: почти нет упоминаний Китая и Тайваня, а также отказ признать, что полупроводники — особый случай.
• Геополитика: полупроводники — стратегический актив; зависимость от TSMC в Тайване делает США уязвимыми. Прямое владение Intel — способ гарантировать внутреннюю цепочку поставок и сдержать Китай.
• Вывод: да, вмешательство рынка портит, но чипы — не обычный товар; национальная безопасность перевешивает идеологические принципы.

• Государственная доля Intel (10 %) воспринимается как гарантия выживания фабрики и страховка от полной зависимости США от зарубежных производителей.
• Критики считают, что вмешательство превращает Intel в «Huawei для США», подрывает рыночные принципы и не гарантирует успеха: талант и инновации не приходят по указанию.
• Сторонники указывают на аналогичные кейсы (Volkswagen, Rolls-Royce) и считают, что критически важную инфраструктуру нельзя оставлять только рынку.
• Главный риск — политическая непредсказуемость: решения могут меняться, а 10 % акций не дают реального контроля.