Международная полицейская операция, обойти которую не сумели даже опытные мошенники, завершилась впечатляющими цифрами. В рамках Operation First Light 2026, координируемой Интерполом, участвовали 97 стран и территорий. С 15 января по 30 апреля 2026 года полиция задержала 5 811 человек, перехватила 293 миллиона долларов незаконных средств и установила личности более 142 000 жертв по всему миру. Раскрыто свыше 23 000 дел, идентифицировано 15 606 подозреваемых. В Эсватини провели 82 ареста и разгромили сеть, которая занималась нелегальными азартными играми, отмыванием денег и мошенничеством с выдачей себя за другое лицо. В Таиланде задержали всего двух человек, но вскрыли схему конвертации доходов от романтических афер в криптовалюту через кросс-чейн свопы токенов — метод, который стремительно набирает популярность среди мошенников, пытающихся замести финансовые следы.
Пока полиция считает арестованных, разработчики программного обеспечения продолжают попадаться на удочку типосквоттинга. Компания Socket обнаружила 17 вредоносных пакетов в npm и PyPI, маскирующихся под SDK платёжных систем Paysafe, Skrill и Neteller. Цель — украсть системную информацию и секреты разработчиков, отправив их через эндпоинт Ngrok. Вредонос отличался осторожностью: он избегал машин с менее чем двумя ядрами процессора, а также хостов, в имени или пользователе которых встречались слова «sandbox», «analyzer», «cuckoo», «virus», «malware», «vmware» или «vbox». Атакующий менял ключи обфускации от версии к версии и от пакета к пакету — так исчезала возможность отслеживать вредонос по хешам.
Исследователи Max Hirschberger и Ogulcan Ugur представили технику под названием Process Parameter Poisoning (P³) и инструмент P³-Shellcode Loader. Метод использует структуру Process Parameters для инъекции шеллкода в удалённые процессы, не создавая при этом приостановленных процессов или потоков — а именно на эти признаки чаще всего реагируют защитные решения. Тем временем в Esri ArcGIS Server нашли уязвимость CVE-2026-9181 с оценкой CVSS 9.8 из 10 (или 7.5 по другой шкале), затрагивающую версии 12.0 и более ранние. Через сфабрикованные параметры пути в REST-ресурсе Uploads злоумышленник может обойти каталоговую защиту и получить неавторизованный удалённый доступ к файлам — об этом сообщила .
Экосистема вымогательских групп Interlock и Rhysida оказалась куда более переплетённой, чем предполагалось. Interlock, известный также под псевдонимом Hive0163, связан с группой TAG-124 (она же KongTuke или Landupdate808). В арсенал Interlock входят вредонос NodeSnake, одноимённый RAT, загрузчик JunkFiction (он же Dormouse), инструмент Supper (он же SocksShell или WINDYTWIST) и криптор JunkFiction. Аналитики IBM X-Force нашли пересечения в коде между NodeSnake, ModeloRAT, загрузчиком JunkFiction, Interlock RAT и Supper — это намекает на общую кодовую базу или общих разработчиков. Ранние версии JunkFiction датируются маем 2024 года. У Rhysida свой набор инструментов: загрузчик Endico, Broomstick (он же Oyster или CleanUpLoader), тот же Supper и криптор Tomb (он же Textshell или pkr_mtsi), а связи прослеживаются с IceNova (Latrodectus) и ITG23 (TrickBot). Цепочка заражения выглядит так: JunkFiction запускает Supper, который злоупотребляет легитимным инструментом удалённого управления CrossTec Remote Control.
Отдельная история — предупреждение китайского Национального банка данных об уязвимостях (CNVDB) об инструменте Claude Code от Anthropic. Ведомство призвало удалить затронутые версии — с 2.1.91 (2 апреля) по 2.1.196 (29 июня), утверждая, что в коде обнаружен «бэкдор», собирающий данные о геолокации и идентификации пользователя и отправляющий их на удалённые серверы. Рекомендация была категоричной: немедленно провести расследование, удалить или обновить продукт, мониторить трафик в ключевых бизнес-сетях. История получила предысторию — ранее уже сообщалось, что Claude содержит скрытый код, блокирующий китайским ИИ-компаниям возможность извлекать внутренности модели через дистилляцию. Anthropic назвала это экспериментом по предотвращению копирования модели, а не шпионским механизмом.
Социальная инженерия продолжает работать безотказно, только теперь через видеозвонки. Unit 42 из Palo Alto Networks описала кампанию, начинающуюся с фальшивого письма «Employee Survey» с PDF-вложением. Далее жертве звонят в Microsoft Teams от имени поддельного «системного администратора», злоупотребляют функцией удалённого управления Teams и устанавливают HopToDesk и AnyDesk для закрепления в системе. Через cmd.exe и curl.exe с домена camorreado[.]click скачивается вредоносный MSI-файл (v7.msi), после чего многоступенчатый загрузчик подтягивает легитимную среду выполнения Node.js, расшифровывает полезную нагрузку через цепочку шифров и разворачивает троян EtherRAT.
Group-IB разобралась во внутренней структуре одной из самых обсуждаемых групп последних лет — Scattered Spider, известной также как Octo Tempest, Muddled Libra или UNC3944. Термин 0ktapus появился ещё в августе 2022 года после кампании социальной инженерии против Twilio. По выводам аналитиков, Scattered Spider представляет собой децентрализованное сообщество, похожее по устройству на более широкую сеть «The Com», а 0ktapus — лишь один из подкластеров внутри этой экосистемы. Их объединяют общая тактика и английский язык как рабочий, при этом отдельные подгруппы не гнушаются физической кражей устройств из салонов сотовой связи ради подмены SIM-карт. Цели неизменны: криптовалюта, вымогательство, шантаж.
На Тайване прокуратура предъявила обвинения двум предпринимателям в помощи связанным с китайским правительством хакерам в шпионаже против политиков, учёных, журналистов и представителей гражданского общества. Схема строилась на аренде и сборе аккаунтов мессенджера LINE, которые передавались китайским операторам кибератак для выдачи себя за журналистов, выстраивания доверия и последующей доставки вредоносного ПО. Одной из компаний, задействованных в аренде аккаунтов, называют Xiamen Empress Information Technology. Параллельно компания Huntress зафиксировала фишинговую кампанию, работающую как минимум с ноября 2025 года через манипуляции с М⃰ Business Account Manager: письма рассылались от имени легитимных бизнес-аккаунтов М⃰, что позволяло обходить спам-фильтры. В июне схема получила апгрейд — чат-бота через мошеннический аккаунт Ф⃰ Messenger, а украденные учётные данные, коды многофакторной аутентификации, номера телефонов, письма и изображения документов удостоверения личности отправлялись в приватный Telegram-канал. М⃰ предприняла меры по устранению проблемы.
Исследователь Ron Ben Yizhak из SafeBreach собрал цепочку повышения привилегий в Windows, объединив две уязвимости: CVE-2025-49760, раскрытую в августе 2025 года и связанную с подменой RPC-сервера, и CVE-2025-59200, исправленную в октябре 2025 года и касающуюся клиента службы Data Sharing Service. Атака выглядит так: злоумышленник подделывает RPC-сервер, отправляет горячую клавишу в обход UIPI, запускает запланированную задачу, получает RPC-запрос на свой поддельный сервер и внедряет XML в toast-уведомление — в итоге привилегии поднимаются с низкого уровня целостности до среднего. Исследователь под ником zwclose нашёл в драйвере RtsPer.sys устройств чтения SD-карт Realtek утечки памяти ядра, возможность записи произвольных данных в память ядра и чтение/запись физической памяти через DMA без привилегий — проблема затрагивает ноутбуки Dell, Lenovo и других производителей, использующих кардридеры Realtek. Речь идёт о шести CVE: с 2022-25477 по 2022-25480 и 2024-40431 с 2024-40432. Realtek выпустила исправление в августе 2024 года.
Вымогательское ПО не стоит на месте. WhiteLock, описанный AhnLab, перед шифрованием файлов останавливает службы AnyDesk и TeamViewer, лишая жертву возможности удалённо реагировать на атаку. Prinz Eugen, впервые замеченный в мае 2026 года и написанный на Go, шифрует файлы рекурсивно, отдавая приоритет недавно изменённым документам, использует алгоритм ChaCha20-Poly1305 с проверкой целостности и не оставляет записки с требованием выкупа на диске — его рекламирует злоумышленник под ником ROOTBOY, ранее замеченный в продаже данных и вымогательстве с июля по ноябрь 2025 года. Threatdown также описал связанную цепочку: SEO-отравление подсовывает жертвам троянизированный установщик ManageEngine OpManager, загрузчик Bumblebee подтягивает AdaptixC2, который в итоге разворачивает Akira.
Rubrik Zero Labs описала расширение для Chrome под названием GhostChrome-X, которое модифицирует защищённые конфигурационные файлы и подделывает метаданные целостности, выдавая себя за легитимное. Оно сочетает доступ к браузеру с выполнением команд на уровне операционной системы, закрепляется через запланированные задачи и ключи реестра Run, собирает куки, историю браузера и данные форм. Отдельная возможность — отслеживание активности WebAuthn, позволяющее атакующему взаимодействовать с сайтами, использующими WebAuthn, прямо внутри сессии жертвы.
Индийские пользователи оказались под прицелом сразу нескольких кампаний. ZeroBEC описала многоступенчатую AutoIt-инфекцию, замаскированную под возврат налога (ITR) и нацеленную на финансовые и технологические организации: атакующие используют скомпрометированную веб-инфраструктуру, полезные нагрузки на Dropbox, защищённые паролем архивы и код, распознающий песочницы. Финальной нагрузкой служит AsyncRAT, хотя недавние образцы перешли на коммерческий LX RAT из экосистемы LX Crypter и LX Protector. CYFIRMA нашла родственную кампанию с фальшивыми уведомлениями о налоговой проверке, доставляющую троян через DLL side-loading с возможностями закрепления, разведки системы, мониторинга активности, динамического запуска нагрузки и зашифрованной связи с командным сервером. K7 Labs зафиксировала кампанию Remcos RAT с ZIP-архивами на тему GST, использующую стеганографию и выполнение в памяти без записи на диск — метод сокращает криминалистические улики и обходит сигнатурное обнаружение. CYFIRMA также описала фишинг под видом Microsoft Teams: поддельные посадочные страницы имитируют инструменты для совместной работы, а загрузки маскируются под просмотрщик стенограмм встреч или утилиту записи, при этом большая часть инфраструктуры активна лишь последние три-шесть месяцев — признак того, что кампания продолжает развиваться.
Mandiant, принадлежащая Google, нашла проблему в ADFS: при ручной ротации сертификатов с отключённым AutoCertificateRollover активные ключи подписи остаются доступными в машинном хранилище DPAPI. «Призрачные» записи базы данных продолжают успешно расшифровываться, даже ссылаясь на неиспользуемые сертификаты — а это открывает путь к подделке высокопривилегированных SAML-токенов. AWS в собственной рекомендации настаивает на многоуровневой стратегии контроля исходящего трафика, отдельно предупреждая об агентных ИИ-системах: атакующие способны манипулировать целями автономных агентов, чтобы незаметно вывести данные или выполнить код, поэтому исходящую активность агентов с доступом к инструментам, API и интерпретаторам кода нужно жёстко ограничивать.
Unit 42 из Palo Alto Networks описала архитектурный изъян облачных провайдеров: атакующий удаляет чужой storage-бакет и создаёт новый под тем же глобально уникальным именем уже на своём аккаунте — логи и конфиденциальные данные начинают уходить прямиком к злоумышленнику. Похожую технику под названием Bucket Monopoly ещё в 2024 году описывала Aqua Security, а подтверждённых случаев эксплуатации в реальных условиях пока не зафиксировано. За последние недели тот же Unit 42 предупредил ещё о пяти проблемах: небезопасные настройки Active Directory Certificate Services с чрезмерными правами регистрации открывают путь к повышению привилегий и подмене личности; идентичности Kubernetes можно использовать для эскалации от первоначального доступа до облачной бэкенд-инфраструктуры; многоагентные ИИ-системы уязвимы к prompt injection через межагентную коммуникацию, поскольку не различают инструкции разработчика и вредоносный ввод; интерпретатор кода Amazon Bedrock AgentCore можно обойти через DNS-туннелирование из-за отсутствия проверки токена сессии; а стартовый набор инструментов AgentCore при автоматическом создании ролей генерирует чрезмерно широкие IAM-разрешения, фактически открывая «режим бога» и компрометируя всех агентов AgentCore в аккаунте AWS.
Общая нить всех этих историй проста: ущерб — угон сессии, выполненный вредоносный пакет, удалённый бакет, утечка данных — к моменту обнаружения аномалии уже нанесён. Продуктивнее следить не за «странным», а за почти правильным: именами пакетов и доменов, отличающимися на пару символов от оригинала, инструментами, которые просят больше прав, чем им реально нужно, сервисами, доверяющими устаревшим сертификатам и токенам, и трафиком, уходящим туда, куда он раньше никогда не уходил. Ни одна из описанных атак не потребовала выдающейся изобретательности — везде сработала связка из лишних разрешений, привычного доверия и недостаточной проверки.
Пока полиция считает арестованных, разработчики программного обеспечения продолжают попадаться на удочку типосквоттинга. Компания Socket обнаружила 17 вредоносных пакетов в npm и PyPI, маскирующихся под SDK платёжных систем Paysafe, Skrill и Neteller. Цель — украсть системную информацию и секреты разработчиков, отправив их через эндпоинт Ngrok. Вредонос отличался осторожностью: он избегал машин с менее чем двумя ядрами процессора, а также хостов, в имени или пользователе которых встречались слова «sandbox», «analyzer», «cuckoo», «virus», «malware», «vmware» или «vbox». Атакующий менял ключи обфускации от версии к версии и от пакета к пакету — так исчезала возможность отслеживать вредонос по хешам.
Исследователи Max Hirschberger и Ogulcan Ugur представили технику под названием Process Parameter Poisoning (P³) и инструмент P³-Shellcode Loader. Метод использует структуру Process Parameters для инъекции шеллкода в удалённые процессы, не создавая при этом приостановленных процессов или потоков — а именно на эти признаки чаще всего реагируют защитные решения. Тем временем в Esri ArcGIS Server нашли уязвимость CVE-2026-9181 с оценкой CVSS 9.8 из 10 (или 7.5 по другой шкале), затрагивающую версии 12.0 и более ранние. Через сфабрикованные параметры пути в REST-ресурсе Uploads злоумышленник может обойти каталоговую защиту и получить неавторизованный удалённый доступ к файлам — об этом сообщила .
Экосистема вымогательских групп Interlock и Rhysida оказалась куда более переплетённой, чем предполагалось. Interlock, известный также под псевдонимом Hive0163, связан с группой TAG-124 (она же KongTuke или Landupdate808). В арсенал Interlock входят вредонос NodeSnake, одноимённый RAT, загрузчик JunkFiction (он же Dormouse), инструмент Supper (он же SocksShell или WINDYTWIST) и криптор JunkFiction. Аналитики IBM X-Force нашли пересечения в коде между NodeSnake, ModeloRAT, загрузчиком JunkFiction, Interlock RAT и Supper — это намекает на общую кодовую базу или общих разработчиков. Ранние версии JunkFiction датируются маем 2024 года. У Rhysida свой набор инструментов: загрузчик Endico, Broomstick (он же Oyster или CleanUpLoader), тот же Supper и криптор Tomb (он же Textshell или pkr_mtsi), а связи прослеживаются с IceNova (Latrodectus) и ITG23 (TrickBot). Цепочка заражения выглядит так: JunkFiction запускает Supper, который злоупотребляет легитимным инструментом удалённого управления CrossTec Remote Control.
Отдельная история — предупреждение китайского Национального банка данных об уязвимостях (CNVDB) об инструменте Claude Code от Anthropic. Ведомство призвало удалить затронутые версии — с 2.1.91 (2 апреля) по 2.1.196 (29 июня), утверждая, что в коде обнаружен «бэкдор», собирающий данные о геолокации и идентификации пользователя и отправляющий их на удалённые серверы. Рекомендация была категоричной: немедленно провести расследование, удалить или обновить продукт, мониторить трафик в ключевых бизнес-сетях. История получила предысторию — ранее уже сообщалось, что Claude содержит скрытый код, блокирующий китайским ИИ-компаниям возможность извлекать внутренности модели через дистилляцию. Anthropic назвала это экспериментом по предотвращению копирования модели, а не шпионским механизмом.
Социальная инженерия продолжает работать безотказно, только теперь через видеозвонки. Unit 42 из Palo Alto Networks описала кампанию, начинающуюся с фальшивого письма «Employee Survey» с PDF-вложением. Далее жертве звонят в Microsoft Teams от имени поддельного «системного администратора», злоупотребляют функцией удалённого управления Teams и устанавливают HopToDesk и AnyDesk для закрепления в системе. Через cmd.exe и curl.exe с домена camorreado[.]click скачивается вредоносный MSI-файл (v7.msi), после чего многоступенчатый загрузчик подтягивает легитимную среду выполнения Node.js, расшифровывает полезную нагрузку через цепочку шифров и разворачивает троян EtherRAT.
Group-IB разобралась во внутренней структуре одной из самых обсуждаемых групп последних лет — Scattered Spider, известной также как Octo Tempest, Muddled Libra или UNC3944. Термин 0ktapus появился ещё в августе 2022 года после кампании социальной инженерии против Twilio. По выводам аналитиков, Scattered Spider представляет собой децентрализованное сообщество, похожее по устройству на более широкую сеть «The Com», а 0ktapus — лишь один из подкластеров внутри этой экосистемы. Их объединяют общая тактика и английский язык как рабочий, при этом отдельные подгруппы не гнушаются физической кражей устройств из салонов сотовой связи ради подмены SIM-карт. Цели неизменны: криптовалюта, вымогательство, шантаж.
На Тайване прокуратура предъявила обвинения двум предпринимателям в помощи связанным с китайским правительством хакерам в шпионаже против политиков, учёных, журналистов и представителей гражданского общества. Схема строилась на аренде и сборе аккаунтов мессенджера LINE, которые передавались китайским операторам кибератак для выдачи себя за журналистов, выстраивания доверия и последующей доставки вредоносного ПО. Одной из компаний, задействованных в аренде аккаунтов, называют Xiamen Empress Information Technology. Параллельно компания Huntress зафиксировала фишинговую кампанию, работающую как минимум с ноября 2025 года через манипуляции с М⃰ Business Account Manager: письма рассылались от имени легитимных бизнес-аккаунтов М⃰, что позволяло обходить спам-фильтры. В июне схема получила апгрейд — чат-бота через мошеннический аккаунт Ф⃰ Messenger, а украденные учётные данные, коды многофакторной аутентификации, номера телефонов, письма и изображения документов удостоверения личности отправлялись в приватный Telegram-канал. М⃰ предприняла меры по устранению проблемы.
Исследователь Ron Ben Yizhak из SafeBreach собрал цепочку повышения привилегий в Windows, объединив две уязвимости: CVE-2025-49760, раскрытую в августе 2025 года и связанную с подменой RPC-сервера, и CVE-2025-59200, исправленную в октябре 2025 года и касающуюся клиента службы Data Sharing Service. Атака выглядит так: злоумышленник подделывает RPC-сервер, отправляет горячую клавишу в обход UIPI, запускает запланированную задачу, получает RPC-запрос на свой поддельный сервер и внедряет XML в toast-уведомление — в итоге привилегии поднимаются с низкого уровня целостности до среднего. Исследователь под ником zwclose нашёл в драйвере RtsPer.sys устройств чтения SD-карт Realtek утечки памяти ядра, возможность записи произвольных данных в память ядра и чтение/запись физической памяти через DMA без привилегий — проблема затрагивает ноутбуки Dell, Lenovo и других производителей, использующих кардридеры Realtek. Речь идёт о шести CVE: с 2022-25477 по 2022-25480 и 2024-40431 с 2024-40432. Realtek выпустила исправление в августе 2024 года.
Вымогательское ПО не стоит на месте. WhiteLock, описанный AhnLab, перед шифрованием файлов останавливает службы AnyDesk и TeamViewer, лишая жертву возможности удалённо реагировать на атаку. Prinz Eugen, впервые замеченный в мае 2026 года и написанный на Go, шифрует файлы рекурсивно, отдавая приоритет недавно изменённым документам, использует алгоритм ChaCha20-Poly1305 с проверкой целостности и не оставляет записки с требованием выкупа на диске — его рекламирует злоумышленник под ником ROOTBOY, ранее замеченный в продаже данных и вымогательстве с июля по ноябрь 2025 года. Threatdown также описал связанную цепочку: SEO-отравление подсовывает жертвам троянизированный установщик ManageEngine OpManager, загрузчик Bumblebee подтягивает AdaptixC2, который в итоге разворачивает Akira.
Rubrik Zero Labs описала расширение для Chrome под названием GhostChrome-X, которое модифицирует защищённые конфигурационные файлы и подделывает метаданные целостности, выдавая себя за легитимное. Оно сочетает доступ к браузеру с выполнением команд на уровне операционной системы, закрепляется через запланированные задачи и ключи реестра Run, собирает куки, историю браузера и данные форм. Отдельная возможность — отслеживание активности WebAuthn, позволяющее атакующему взаимодействовать с сайтами, использующими WebAuthn, прямо внутри сессии жертвы.
Индийские пользователи оказались под прицелом сразу нескольких кампаний. ZeroBEC описала многоступенчатую AutoIt-инфекцию, замаскированную под возврат налога (ITR) и нацеленную на финансовые и технологические организации: атакующие используют скомпрометированную веб-инфраструктуру, полезные нагрузки на Dropbox, защищённые паролем архивы и код, распознающий песочницы. Финальной нагрузкой служит AsyncRAT, хотя недавние образцы перешли на коммерческий LX RAT из экосистемы LX Crypter и LX Protector. CYFIRMA нашла родственную кампанию с фальшивыми уведомлениями о налоговой проверке, доставляющую троян через DLL side-loading с возможностями закрепления, разведки системы, мониторинга активности, динамического запуска нагрузки и зашифрованной связи с командным сервером. K7 Labs зафиксировала кампанию Remcos RAT с ZIP-архивами на тему GST, использующую стеганографию и выполнение в памяти без записи на диск — метод сокращает криминалистические улики и обходит сигнатурное обнаружение. CYFIRMA также описала фишинг под видом Microsoft Teams: поддельные посадочные страницы имитируют инструменты для совместной работы, а загрузки маскируются под просмотрщик стенограмм встреч или утилиту записи, при этом большая часть инфраструктуры активна лишь последние три-шесть месяцев — признак того, что кампания продолжает развиваться.
Mandiant, принадлежащая Google, нашла проблему в ADFS: при ручной ротации сертификатов с отключённым AutoCertificateRollover активные ключи подписи остаются доступными в машинном хранилище DPAPI. «Призрачные» записи базы данных продолжают успешно расшифровываться, даже ссылаясь на неиспользуемые сертификаты — а это открывает путь к подделке высокопривилегированных SAML-токенов. AWS в собственной рекомендации настаивает на многоуровневой стратегии контроля исходящего трафика, отдельно предупреждая об агентных ИИ-системах: атакующие способны манипулировать целями автономных агентов, чтобы незаметно вывести данные или выполнить код, поэтому исходящую активность агентов с доступом к инструментам, API и интерпретаторам кода нужно жёстко ограничивать.
Unit 42 из Palo Alto Networks описала архитектурный изъян облачных провайдеров: атакующий удаляет чужой storage-бакет и создаёт новый под тем же глобально уникальным именем уже на своём аккаунте — логи и конфиденциальные данные начинают уходить прямиком к злоумышленнику. Похожую технику под названием Bucket Monopoly ещё в 2024 году описывала Aqua Security, а подтверждённых случаев эксплуатации в реальных условиях пока не зафиксировано. За последние недели тот же Unit 42 предупредил ещё о пяти проблемах: небезопасные настройки Active Directory Certificate Services с чрезмерными правами регистрации открывают путь к повышению привилегий и подмене личности; идентичности Kubernetes можно использовать для эскалации от первоначального доступа до облачной бэкенд-инфраструктуры; многоагентные ИИ-системы уязвимы к prompt injection через межагентную коммуникацию, поскольку не различают инструкции разработчика и вредоносный ввод; интерпретатор кода Amazon Bedrock AgentCore можно обойти через DNS-туннелирование из-за отсутствия проверки токена сессии; а стартовый набор инструментов AgentCore при автоматическом создании ролей генерирует чрезмерно широкие IAM-разрешения, фактически открывая «режим бога» и компрометируя всех агентов AgentCore в аккаунте AWS.
Общая нить всех этих историй проста: ущерб — угон сессии, выполненный вредоносный пакет, удалённый бакет, утечка данных — к моменту обнаружения аномалии уже нанесён. Продуктивнее следить не за «странным», а за почти правильным: именами пакетов и доменов, отличающимися на пару символов от оригинала, инструментами, которые просят больше прав, чем им реально нужно, сервисами, доверяющими устаревшим сертификатам и токенам, и трафиком, уходящим туда, куда он раньше никогда не уходил. Ни одна из описанных атак не потребовала выдающейся изобретательности — везде сработала связка из лишних разрешений, привычного доверия и недостаточной проверки.