Știri
Știri din categoria Securitate cibernetică
Aproape 4.000 de controlere industriale din SUA sunt expuse pe internet, ceea ce lărgește semnificativ suprafața de atac pentru campanii atribuite unor grupuri de hackeri legați de Iran, cu efecte deja raportate în zona de infrastructură critică. Datele apar într-o analiză BleepingComputer, care leagă expunerea masivă de atacuri în desfășurare asupra echipamentelor Rockwell Automation/Allen-Bradley.
Atacurile vizează controlere logice programabile (PLC – echipamente folosite pentru automatizarea proceselor industriale) și, potrivit unui avertisment comun emis marți de mai multe agenții federale americane, grupuri susținute de statul iranian ar fi țintit aceste dispozitive începând din martie 2026. Avertismentul indică „perturbări operaționale și pierderi financiare” în urma incidentelor.
În același context, agențiile avertizează că intensificarea campaniilor APT (atacatori avansați, de regulă cu resurse și obiective strategice) ar putea fi legată de escaladarea ostilităților dintre Iran și Statele Unite și Israel.
Firma de securitate Censys a raportat că, din peste 5.200 de sisteme de control industrial identificate ca fiind expuse online la nivel global și care răspund la EtherNet/IP (EIP) și se identifică drept dispozitive Rockwell Automation/Allen-Bradley, 74,6% sunt în Statele Unite – adică 3.891 de gazde.
Censys mai indică faptul că o parte disproporționată a expunerii din SUA apare în rețele ale operatorilor celulari (ASNs), ceea ce sugerează dispozitive instalate „în teren” și conectate prin modemuri celulare – un scenariu care poate complica inventarierea și controlul accesului în mediile operaționale (OT).
Potrivit FBI, activitatea investigată a inclus:
Pentru apărare, recomandările menționate includ măsuri de bază, dar cu impact direct în OT:
Campania actuală urmează unor atacuri similare de acum aproape trei ani, când un grup asociat Gardienilor Revoluției (IRGC), urmărit sub numele CyberAv3ngers, a exploatat vulnerabilități în sisteme OT Unitronics din SUA. Atunci au fost compromise cel puțin 75 de PLC-uri, circa jumătate în rețele de infrastructură critică din sectorul apă și ape uzate.
Separat, BleepingComputer menționează și un incident mai recent atribuit grupului hacktivist Handala (legat de Ministerul iranian al Informațiilor), care ar fi șters aproximativ 80.000 de dispozitive din rețeaua companiei americane Stryker.
În lipsa unor detalii publice suplimentare despre organizațiile afectate în valul început în martie 2026, dimensiunea expunerii (mii de PLC-uri accesibile din internet) rămâne principalul indicator al riscului operațional și financiar pentru operatorii care folosesc astfel de echipamente.
Recomandate
FBI avertizează asupra amenințării persistente a Iranului pentru ținte din SUA , conform unui raport de inteligență care indică riscuri pentru militari și instituții evreiești, informează Reuters . Raportul, datat 20 martie, a fost emis de FBI și alte agenții federale de inteligență, avertizând asupra amenințărilor persistente ale guvernului iranian la adresa personalului militar și guvernamental american, precum și a instituțiilor evreiești și israeliene din SUA. Deși aceste avertismente au fost emise, Casa Albă a minimalizat riscul unui atac, blocând anterior un raport similar. Președintele Donald Trump a declarat public că nu este îngrijorat de posibilitatea unui atac iranian pe teritoriul american, în ciuda altor evaluări de inteligență care sugerează contrariul. Detalii din raportul de inteligență Raportul intitulat „Public Safety Awareness Report” a fost obținut prin cereri de acces la informații publice de către organizația non-profit Property of the People și distribuit către Reuters. Documentul subliniază amenințările fizice crescute la adresa țintelor din SUA de către guvernul iranian, în contextul conflictului în curs. Raportul menționează că serviciile de securitate iraniene au încercat să răpească și să ucidă americani în ultimii ani. Metodele folosite în comploturile din SUA au inclus arme de foc, dar și alte metode precum înjunghieri, atacuri cu vehicule, bombardamente, otrăviri și incendieri. Reacția Casei Albe Casa Albă a justificat blocarea unui raport similar anterior, susținând că informațiile trebuie verificate corespunzător înainte de publicare. Abigail Jackson, purtătoare de cuvânt a Casei Albe, a declarat că administrația Trump lucrează împreună pentru a proteja teritoriul și poporul american, acuzând presa de răspândirea unor temeri nejustificate. „Întreaga administrație Trump lucrează împreună pentru a proteja patria și poporul american – așa cum fac întotdeauna”, a afirmat Abigail Jackson. „Instituțiile media nu ar trebui să încerce să răspândească frica iresponsabilă raportând memorii individuale ale forțelor de ordine care pot lipsi de context mai larg.” Amenințări și metode utilizate Raportul detaliază cum guvernul iranian preferă să folosească agenți cu statut legal existent în SUA sau cu acces facil la țară. Iranul a monitorizat rețelele sociale și aplicațiile de hărți pentru a alege ținte și a evalua măsurile de securitate. De asemenea, guvernul a folosit tactici de hacking, precum emailuri de tip phishing, pentru a-și atinge scopurile. Raportul avertizează autoritățile de aplicare a legii să rămână vigilente și să împărtășească informațiile îngrijorătoare cu autoritățile federale. În ciuda acestor avertismente, FBI și Centrul Național de Contraterorism nu au identificat amenințări largi la adresa publicului american. Percepția publicului american Un sondaj Reuters/Ipsos realizat luna trecută a arătat că majoritatea americanilor au o percepție negativă asupra conflictului, două treimi dintre aceștia dorind ca SUA să își încheie rapid implicarea. Această percepție publică face ca orice amenințare să fie deosebit de relevantă în contextul actual. [...]
Iranul amenință direct giganți tehnologici americani cu atacuri asupra infrastructurii din Orientul Mijlociu , potrivit Tom’s Hardware , într-o escaladare a tensiunilor dintre Teheran și Occident. Mesajul atribuit Gardienilor Revoluției (IRGC) vizează companii precum Nvidia, Microsoft, Apple, Google, Meta, IBM, Cisco și Tesla. Declarația, transmisă prin canale oficiale, indică faptul că aceste companii ar putea deveni ținte, în special facilitățile lor din Orientul Mijlociu. Oficialii iranieni susțin că reacția ar veni ca răspuns la ceea ce numesc „acte de agresiune” împotriva Iranului. Companiile vizate Lista include aproximativ 18 companii din tehnologie și sectorul financiar, printre care: Nvidia Microsoft Apple Google Meta IBM Cisco Tesla Acestea au infrastructură sau operațiuni în regiune, ceea ce le face vulnerabile în contextul actual. O escaladare a retoricii Deși astfel de avertismente au mai fost emise anterior, noul mesaj este considerat mai direct și mai explicit. IRGC a transmis inclusiv avertismente pentru angajații acestor companii, sugerând să își părăsească locurile de muncă pentru a evita riscuri. Context geopolitic tensionat Amenințările apar pe fondul conflictelor din Orientul Mijlociu și al acuzațiilor reciproce între Iran și SUA sau aliații săi. În ultimele zile, autoritățile iraniene au extins lista țintelor considerate „legitime”, incluzând și entități economice. Nu există, în acest moment, informații privind măsuri concrete sau reacții oficiale din partea companiilor vizate, însă situația indică o posibilă extindere a conflictului din zona militară către infrastructura economică și tehnologică. Evoluțiile ulterioare vor depinde de reacțiile internaționale și de modul în care tensiunile vor fi gestionate în perioada următoare. [...]
E-mailul personal al directorului FBI, Kash Patel, a fost compromis , potrivit Mediafax , iar mai multe fotografii personale au ajuns pe internet, după ce un grup de hackeri ar fi obținut acces la căsuța poștală electronică. Publicația notează că informația a fost relatată de Daily Express, iar ulterior „Departamentul de Justiție al SUA a confirmat piratarea e-mailului personal al directorului Patel”, conform Nexta, citată în articol. Atacul este atribuit grupului Handala, care a publicat fotografii personale și susține că a obținut acces la e-mailul lui Kash Patel . În plus, ar fi fost făcute publice și documente din corespondența privată și de serviciu a directorului FBI. „Departamentul de Justiție al SUA a confirmat piratarea e-mailului personal al directorului Patel.” Mediafax mai menționează că grupul Handala ar avea legături cu serviciile speciale iraniene. În acest stadiu, articolul nu oferă detalii despre metoda folosită în atac, amploarea exactă a datelor expuse sau eventuale măsuri luate de autoritățile americane pentru limitarea efectelor. [...]
Anthropic a limitat accesul la Claude Mythos, invocând riscuri „catastrofale” , potrivit biziday.ro , după ce modelul ar fi demonstrat capacitatea de a descoperi și exploata autonom vulnerabilități critice, inclusiv în sisteme de operare și browsere larg folosite, și chiar de a compromite sisteme critice de apărare națională. Accesul la versiunea de testare a fost restrâns la aproximativ 40 de organizații implicate în infrastructură critică și securitate, într-un program limitat de apărare cibernetică, până la integrarea unor măsuri de protecție considerate eficiente. Compania urmărește să ofere firmelor americane de securitate un avantaj temporar, înainte ca astfel de capabilități să devină disponibile la nivelul întregii industrii, în cursul anului viitor. „Creșterea semnificativă a capacităților versiunii de testare Claude Mythos ne-a determinat să decidem să nu o punem la dispoziția publicului larg”, a scris Anthropic în fișa tehnică a versiunii de testare. Modelul este descris ca un „salt generațional” față de modelele existente, nu doar prin identificarea de vulnerabilități, ci prin exploatarea lor autonomă, cu planificarea și executarea atacurilor fără intervenție umană. În timpul testelor, Mythos ar fi „evadat” dintr-un mediu controlat (sandbox, adică un spațiu izolat de testare) și ar fi folosit vulnerabilități pentru a accesa internetul; cercetătorii ar fi aflat după ce au primit un e-mail neașteptat de la model, iar ulterior acesta ar fi publicat singur detalii despre operațiune pe site-uri publice. Anthropic susține că a făcut public doar 1% dintre vulnerabilitățile descoperite de Mythos, menționând că 99% nu au fost încă remediate. Compania mai afirmă că modelul „a descoperit o vulnerabilitate veche de 27 de ani în OpenBSD”, un sistem de operare cu reputație solidă în zona de securitate. În urma unei scurgeri de date cauzate de o eroare de configurare, specialiștii au descris Mythos ca având „riscuri fără precedent” pentru securitatea cibernetică. Modelul ar face parte dintr-o nouă generație de AI numită „Capybara”, iar experții avertizează că astfel de tehnologii pot permite atacuri complexe desfășurate simultan, la scară largă, în timp ce utilizarea necontrolată a „agenților” AI de către angajați poate deschide noi breșe (agenți AI fiind sisteme care pot executa sarcini în mai mulți pași, cu autonomie ridicată). Pe fondul competiției geopolitice, oficialii iau în calcul că state precum China, Iran sau Rusia ar putea dezvolta ori folosi tehnologii similare sau chiar superioare. Conform relatării, un grup susținut de statul chinez ar fi folosit o versiune anterioară a modelului pentru a ataca aproximativ 30 de organizații într-o acțiune coordonată, înainte ca Anthropic să o detecteze. În paralel, Anthropic a lansat proiectul „Glasswing”, în parteneriat cu Google, Microsoft, Crowdstrike și Amazon Web Services, pentru testarea modelului în scopuri defensive și pentru îmbunătățirea securității cibernetice. Ce face subiectul relevant pentru companii și instituții: crește riscul ca vulnerabilități „zero-day” (necunoscute public și fără patch) să fie găsite și exploatate mai repede decât pot fi remediate; scade bariera de intrare pentru atacuri sofisticate, prin automatizarea etapelor de recunoaștere, exploatare și mișcare laterală în rețea; amplifică riscul operațional dacă astfel de capabilități ajung la actori statali sau la grupări criminale; obligă organizațiile să-și revizuiască politicile de utilizare a instrumentelor AI și controalele de securitate, inclusiv pentru „agenți” rulați intern. [...]
O nouă platformă de phishing numită „VENOM” vizează conturile Microsoft ale executivilor de top , potrivit BleepingComputer . Atacurile urmăresc furtul de credențiale pentru persoane din conducerea companiilor (CEO, CFO, vicepreședinți) din mai multe industrii, iar operațiunea ar fi activă cel puțin din noiembrie anul trecut. Platforma este descrisă ca un serviciu de tip „phishing-as-a-service” (PhaaS), adică o infrastructură „la cheie” pe care infractorii o pot folosi pentru a derula campanii de furt de date de autentificare. Cercetătorii citați de publicație spun că VENOM pare să fie cu acces restricționat, nefiind promovat pe canale publice sau pe forumuri clandestine, ceea ce îi reduce vizibilitatea pentru comunitatea de securitate. Cum arată lanțul de atac: de la e-mail la furtul sesiunii Cercetătorii companiei de securitate Abnormal au observat e-mailuri care imitau notificări Microsoft SharePoint privind partajarea de documente, prezentate ca parte a comunicării interne. Mesajele sunt personalizate și includ „zgomot” în codul HTML (de exemplu clase CSS false și comentarii), plus fire de conversație fabricate, adaptate țintei, pentru a crește credibilitatea. Un element central este folosirea unui cod QR redat în Unicode, pe care victima este îndemnată să îl scaneze pentru „acces”. Scopul este ocolirea unor mecanisme automate de analiză a linkurilor și mutarea interacțiunii pe dispozitive mobile, unde controalele pot fi diferite față de cele de pe stațiile de lucru din companie. „Fragmentele nu sunt niciodată transmise în cererile HTTP, făcând e-mailul țintei invizibil pentru jurnalele de pe server și pentru fluxurile de reputație ale URL-urilor”, explică cercetătorii Abnormal. Tehnici folosite: AiTM și „device code”, cu impact asupra MFA După scanarea codului QR, victima ajunge pe o pagină intermediară care filtrează cercetătorii și mediile de analiză (sandbox), astfel încât doar țintele „reale” să fie redirecționate către pagina de phishing. Utilizatorii care nu sunt de interes sunt trimiși către site-uri legitime, pentru a reduce suspiciunile. Pentru colectarea datelor, VENOM folosește o metodă de tip „adversary-in-the-middle” (AiTM), în care atacatorul intermediază în timp real fluxul de autentificare Microsoft, retransmițând credențialele și codurile de autentificare multifactor (MFA) către interfețele Microsoft și capturând „tokenul de sesiune” (cheia care poate menține accesul fără reintroducerea parolei). Separat, Abnormal a observat și o tactică de tip „device-code phishing”, în care victima este păcălită să aprobe accesul la cont pentru un dispozitiv controlat de atacator. În ambele scenarii, obiectivul este obținerea rapidă a accesului persistent în timpul autentificării: fie prin înregistrarea unui dispozitiv nou în contul victimei (în fluxul AiTM), fie prin obținerea unui token care oferă acces (în fluxul „device code”). Cercetătorii avertizează că MFA, de una singură, nu mai este suficientă și recomandă autentificare FIDO2 (chei de securitate sau metode rezistente la phishing), dezactivarea fluxului „device code” când nu este necesar și politici mai stricte de acces condiționat pentru a limita abuzul de tokenuri. [...]
Un actor care se prezintă drept „FlamingChina” susține că a furat peste 10 petaocteți de date militare din Centrul Național de Supercalcul din Tianjin, potrivit TechRadar . Incidentul nu este confirmat independent, însă atacatorul a publicat mostre și oferă setul de date la vânzare pentru „sute de mii de dolari” în criptomonede. Ce susține atacatorul și ce ar conține mostrele Conform relatării, mostrele publicate ar indica „cercetare în diverse domenii, inclusiv inginerie aerospațială, cercetare militară, bioinformatică, simulare de fuziune și altele”, iar datele ar proveni din infrastructura Centrului Național de Supercalcul din Tianjin, folosită atât de entități militare, cât și civile. Atacatorul afirmă că ar fi extras date din organizații „de top”, între care Aviation Industry Corporation of China (AVIC), Commercial Aircraft Corporation of China (COMAC) și China’s National University of Defense Technology. O analiză împărtășită de CNN, citată de TechRadar, ar sugera că materialele ar putea fi autentice și ar include scheme și randări pentru echipamente militare, precum aeronave, rachete și bombe. Data publicării la vânzare: 6 februarie 2026 Durata presupusei exfiltrări (scoaterea datelor din rețea): câteva luni, respectiv șase luni, potrivit declarațiilor atribuite atacatorului Volumul revendicat: peste 10 petaocteți (aprox. 10.240 teraocteți, adică peste 10 milioane de gigaocteți) Cum ar fi fost obținut accesul, potrivit unor surse citate TechRadar notează că cercetătorul în securitate cibernetică Marc Hofer, autorul blogului NetAskari, susține că ar fi discutat pe Telegram cu o persoană care pretinde că este „FlamingChina”. Aceasta ar fi indicat că accesul ar fi fost obținut printr-un domeniu VPN compromis (VPN fiind o rețea privată virtuală, folosită pentru acces la distanță). În aceeași versiune, datele ar fi fost extrase treptat cu ajutorul unui botnet (o rețea de dispozitive controlate de atacatori), în „pachete” mici, din mai multe servere simultan, pentru a reduce șansele de detecție a unui flux mare de date către exterior. TechRadar mai consemnează ipoteza că operațiunea s-ar fi bazat mai puțin pe programe malițioase și mai mult pe vulnerabilități ale arhitecturii supercalculatorului. De ce contează și ce implicații sunt sugerate Într-o declarație pentru CNN, citată de TechRadar, Dakota Cary, consultant la compania de securitate cibernetică SentinelOne, spune că mostrele sunt compatibile cu tipul de activitate a unui astfel de centru de calcul. „Mostrele furate sunt exact ceea ce m-aș aștepta să văd de la centrul de supercalcul.” Dacă incidentul se confirmă, miza depășește dimensiunea financiară a tranzacției propuse: un set de date cu simulări și proiecte avansate ar putea fi relevant pentru servicii de informații străine, în special în zona de apărare și cercetare. TechRadar mai notează că o astfel de breșă „ar putea ajuta” la explicarea unei situații separate, neelucidate în articol: dispariția, în martie 2026, a unor experți de profil înalt (aviație, arme nucleare, radar și sisteme de rachete) de pe site-ul China’s Academy of Engineering (CAE), fără explicații publice. Ce este Centrul Național de Supercalcul din Tianjin Centrul din Tianjin a fost deschis în 2009 și deservește peste 6.000 de entități, oferind putere de calcul pentru simulări complexe, potrivit TechRadar. Astfel de infrastructuri sunt utilizate în mod obișnuit pentru modelare în aviație, simulări legate de detonări nucleare și antrenarea unor sisteme de inteligență artificială. În descrierea citată de TechRadar, site-ul Tianjin Economic Development Area prezintă supercalculatorul drept „un suport tehnologic indispensabil pentru inovația științifică și tehnologică de vârf și modernizarea industriei”, care „deservește clienți tot mai diverși, de la institute de cercetare, universități, agenții guvernamentale până la companii și dincolo de acestea”. [...]
