Киберэксперт предупредила о фишинге через уязвимость Roundcube Webmail
Почтовый хостинг-провайдер Cock.li пострадал от утечки данных. Хакеры использовали уязвимость SQL-инъекции в Roundcube Webmail, что позволило им получить доступ к данным более миллиона пользователей. Киберэксперт и инженер-аналитик компании «Газинформсервис» Екатерина Едемская предупредила, что украденная информация представляет серьезную угрозу фишинговых атак.
«Уязвимость SQL-инъекции позволяет злоумышленнику внедрять произвольные SQL-запросы в веб-приложение, в данном случае это привело к похищению информации, такой как контактные данные, временные метки входов, языковые настройки и другие метаданные. Важно отметить, что пароли пользователей и содержимое их писем остались защищенными, что указывает на возможное использование правильных методов изоляции критичных данных на уровне базы данных. Однако украденная информация может быть использована для проведения фишинговых атак», — подчеркнула Едемская.
Киберэксперт отметила, что с точки зрения защиты веб-приложений, важнейшей мерой является защита от SQL-инъекций с использованием подготовленных запросов (prepared statements), что исключает возможность внедрения вредоносных данных. Также необходимо внедрить Web Application Firewall, который фильтрует подозрительные SQL-запросы и другие вредоносные действия. Для повышения уровня безопасности в будущем Cock.li и аналогичные сервисы должны пересмотреть свою архитектуру защиты, включая обязательное использование шифрования данных как в покое, так и в процессе передачи, а также внедрение более эффективных методов управления доступом.
«Для организаций, стремящихся повысить уровень защиты баз данных и приложений, можно рассмотреть использование таких решений, как Jatoba от компании «Газинформсервис», которые обеспечивают эффективные механизмы защиты от несанкционированных SQL-запросов и инъекций, мониторинг активности пользователей, журналирование операций и другие функции, способствующие укреплению безопасности на всех уровнях системы», — подытожила инженер-аналитик.
похожие материалы
40% российских компании автоматизируют бизнес-процессы с помощью ИИ
По данным исследования СберАналитики и Сбер Бизнес Софт в области автоматизации бизнес-процессов в российских компаниях итогам 2025 года, чаще всего в компаниях автоматизируют документооборот и обработку заявок (70%), бухгалтерию и финансовый учёт (55%), HR-процессы (34%), стратегическое планирование (34%) и поддержку клиентов (30%).
Каждую шестую уязвимость в приложениях знакомств назвали критической
Аналитики по кибербезопасности выявили серьёзную проблему с безопасностью популярных приложений для знакомств - примерно 17 % обнаруженных уязвимостей признаны критическими, что может привести к утечкам личных данных и компрометации аккаунтов пользователей.
Ограничения VPN в России выросли на фоне растущего спроса на обход блокировок
В России количество VPN-сервисов, заблокированных регуляторами, продолжает расти: к середине января 2026 года доступ к 439 сервисам обхода блокировок оказался ограничен, что на 70% больше, чем три месяца назад.
«Код Безопасности» и Компания «Актив» провели успешные тесты на совместимость ПАК «Соболь» c устройствами Рутокен
Компания «Актив», российский производитель и разработчик программно-аппаратных средств защиты информации, и российский разработчик средств защиты информации «Код Безопасности» подтвердили совместимость своих решений: USB-токенов и смарт-карт Рутокен ЭЦП 3.
Около 50 000 сайтов WordPress оказались под угрозой полного захвата из-за критической уязвимости плагина
Около 50 000 сайтов на базе WordPress остаются уязвимыми к полному захвату из-за критической ошибки в популярном плагине Advanced Custom Fields: Extended (ACF Extended).
На конкурсе Pwn2Own Automotive нашли десятки уязвимостей в системах Tesla
В Токио на первом дне конкурса по автомобильной безопасности Pwn2Own Automotive 2026 команда исследователей успешно продемонстрировала эксплуатацию 37 ранее неизвестных уязвимостей в различных автомобильных компонентах, включая систему развлекательной электроники Tesla.
Apple превратит Siri в полноценного ИИ чат-бота в новых версиях iOS и macOS
Apple готовит масштабное обновление голосового помощника Siri, которое должно превратить его в полноценного ИИ чат-бота, встроенного в экосистему iPhone, iPad и Mac.
В России беспилотные грузовики получат систему защиты от хакеров
В России внедряют дополнительную защиту для автономных грузовиков, участвующих в дорожных испытаниях.
Аналитики зафиксировали рост атак через подрядчиков в инфраструктурах российских компаний
Почти треть успешных взломов российских компаний в 2025 году произошла через подрядчиков, следует из аналитики центра мониторинга и реагирования на кибератаки RED Security SOC.
Роскомнадзор отчитался о снижение числа утечек в 2025 году
Количество зафиксированных случаев компрометации баз персональных данных в России снизилось в 2025 году до 118 случаев, в сеть попали более 52 млн записей, пишет ТАСС.