Чистые данные: еженедельник безопасности

Законодатели на защите данных

В конце августа ФСТЭК России опубликовала проект масштабных поправок к приказу № 117, являющемуся основным нормативным актом, регулирующим защиту информации в государственных информационных системах.

Проект детализирует требования к защите информации при использовании искусственного интеллекта в государственных информационных системах; вступление поправок в силу запланировано на 1 марта 2027 года.

Нормативный акт закрепляет необходимость изоляции моделей искусственного интеллекта в отдельном сегменте с контролируемыми границами и доступом исключительно посредством усиленной многофакторной аутентификации. Особое внимание уделяется ИИ-агентам: для них устанавливается обязательная цифровая идентичность и чёткие границы допустимых действий. В случае работы с конфиденциальной информацией проект предписывает внедрение фильтрации запросов и ответов, квотирование нагрузки и ограничение функциональных возможностей моделей. Ответственность за соблюдение установленных требований при привлечении подрядчиков возлагается на оператора системы; дополнительно вводится обязательный внутренний регламент по защите информации, привязанный к закону № 243-ФЗ и ГОСТ Р 71476-2024. При этом из нормативной базы исключено требование об использовании «доверенных» технологий искусственного интеллекта.

Таким образом, данный проект формализует подход к искусственному интеллекту как к объекту национальной безопасности и определяет единый комплекс технических и организационных мер для государственного сектора. Ожидается, что финальная редакция документа будет утверждена до конца 2026 года.

Актуальные мошеннические схемы 

В случае получения в мессенджере сообщения следующего содержания: «Вы записаны на прививку от гриппа, можно пройти без очереди. Подробнее — по ссылке...» — рекомендуется немедленно удалить его. Подобные действия характерны для мошеннических схем.

Злоумышленники распространяют электронные письма, СМС-сообщения и текстовые сообщения в мессенджерах, маскируя их под официальные уведомления от портала «Госуслуги» или медицинских учреждений.

Аферисты создают ложное ощущение дефицита мест для вакцинации в определённом районе и предлагают решение — запись якобы без очереди или бронирование импортной вакцины.

В тексте сообщения содержится ссылка на поддельный сайт «Госуслуг», на котором злоумышленники запрашивают логин, пароль, номер телефона и код подтверждения. При вводе указанных данных мошенники получают доступ к личному кабинету и персональным данным пользователя.

Официальные письма от портала «Госуслуги» направляются исключительно на адрес электронной почты, указанный в личном кабинете, и исходят только со следующих адресов:

— no-reply@gosuslugi.ru;

— no-reply@pos.gosuslugi.ru;

— noreply@dom.gosuslugi.ru. 

Признаки подделки:

Сообщение получено в иностранном мессенджере — портал «Госуслуги» не осуществляет рассылку через WhatsApp* или «Телеграм»;

Содержится призыв перейти по ссылке и «записаться прямо сейчас»;

Адрес отправителя не соответствует официальному домену.

Меры по обеспечению безопасности

1. Не рекомендуется переходить по ссылкам, содержащимся в электронных письмах, СМС-сообщениях и сообщениях в мессенджерах.
2. Необходимо проверять адресную строку браузера. Единственный официальный адрес — gosuslugi.ru.
3. Запись на приём в поликлинику должна осуществляться только через официальный портал «Госуслуги» или лично в регистратуре медицинского учреждения.
4. Предложение оплатить «бронирование» вакцины является признаком мошенничества.
5. Рекомендуется активировать двухфакторную аутентификацию в настройках аккаунта на портале «Госуслуги»: для входа потребуется не только пароль, но и код подтверждения, отправленный по СМС.
6. Запрещается сообщать коды из СМС и пароли третьим лицам.
7. Рекомендуется периодически проверять историю действий в личном кабинете, в частности разделы «Действия в системе» и «Мобильные приложения». 

* Продукт компании «Meta», признанной экстремистской и запрещённой на территории Российской Федерации

Новые уязвимости

Исследователи F6 сообщают о возвращении группировки Hive0117 с новым вредоносным ПО для атак на бухгалтеров.

В августе 2026 года специалисты впервые зафиксировали рассылки ранее неизвестной вредоносной ПО в адрес российских организаций, по результатам анализа которой ей было дано название FMVT RAT.

FMVT RAT – банковский RAT с многоступенчатым процессом заражения, в ходе которого используется несколько компонентов: дроппер, установщик, лоадер основного ядра RAT и само ядро.

Вредоносное ПО закрепляется через COM, поддерживает получение команд от C2, способно перехватывать буфер обмена и собирать телеметрию, взаимодействует с браузерами через Chrome DevTools Protocol, поддерживает веб-инжекты.

Использование Chrome DevTools Protocol (CDP) банковскими троянами - это относительно новая и продвинутая техника веб-инжектов (подмены содержимого страниц).

В отличие от классических методов, когда троян пытается внедриться в память процесса браузера (что легко обнаруживается современными антивирусами), использование CDP позволяет злоумышленникам действовать легальными методами автоматизации.

Отличительная особенность нового вредоносного ПО – поиск подключенных к устройству смарт-карт ридеров. Такие устройства обычно используют в организациях для защищённой работы с конфиденциальными данными, проверки цифровой подписи при подписании юридически значимых документов – включая платёжные поручения.

Такое поведение – признак его использования в атаках на системы ДБО. Проверка наличия криптографического токена, вставленного в USB-разъем компьютера, особенно важна для злоумышленников, так как позволяет пройти аутентификацию в кабинете ДБО и получить возможность провести финальный этап атаки.

В августе-сентябре 2026 года злоумышленники направили вредоносные письма с новым вредоносным ПО в адрес более 100 российских компаний из таких отраслей, как ретейл, строительство, логистика и транспорт, промышленность, туризм, образование, медицина, ТЭК и другие.

При этом в F6 заметили, что эти рассылки схожи с действиями Hive0117, активность которой не наблюдалась с апреля 2026 года.

Hive0117 – финансово мотивированная группировка, действующая с конца 2021. До апреля 2026 использовала в атаках бесфайловое вредоносное ПО DarkWatchman.

Нацелена на финансовые подразделения компаний из различных отраслей. Помимо России, среди целей в том числе замечены организации из Беларуси, Узбекистана и Казахстана.

Злоумышленники маскируются под реальные организации, регистрируют инфраструктуру для рассылок и управляющих доменов. Зачастую домены используют повторно. Для нее характерны периодические простои продолжительностью до нескольких месяцев, за которыми следуют всплески масштабной активности.

Первую волну активности Hive0117 в 2026 году исследователи F6 зафиксировали еще в феврале-апреле. Тогда злоумышленники провели рассылки, ориентированные на бухгалтеров, в адрес более 3000 российских компаний из разных отраслей.

За это время, по данным F6, Hive0117 совершила около 400 успешных атак на российские организации. Средняя сумма ущерба по результатам первых атак составляла 3 млн рублей, а впоследствии увеличилась до 10 млн. рублей.

Затем наступило продолжительное затишье: на следующие несколько месяцев Hive0117 пропала с радаров. Похоже, что злоумышленники за это время успели перевооружиться – на связь нового RAT с Hive0117 указывают сразу несколько признаков, начиная от самих отправлений до C2-инфраструктуры.

Согласно телеметрии F6, с августа по сентябрь 2026 года злоумышленники провели несколько волн рассылок. За месяц с 13 августа по 12 сентября Hive0117 совершила более 100 успешных атак на российские компании. Средняя сумма ущерба составила 10-12 млн рублей.

В связи с чем F6 на данный момент атрибутирует активность, связанную с FMVT RAT, с киберпреступной группой Hive0117. При этом специалисты также установили, что атакующие за это время изменили версию доставляемого FVMT RAT с 1.8 на 1.9.