← Архив

#credentials

9 ноября 2026 г.November 9, 2026 день целиком 1 новостьstory

• Безопасность Важно Claude Code записал пароли в файл настроек: 1 122 публичных копии на GitHubClaude Code stored passwords in a settings file: 1,122 public copies on GitHub Apiiro нашла в публичных репозиториях 1 122 файла .claude/settings.local.json, в которых лежат пароли, токены и ключи: опция «да, больше не спрашивать» сохраняет команду целиком, вместе с секретом. Всего в них 1 379 секретов, включая 379 паролей к базам данных и 23 ключа AWS.Apiiro found 1,122 public .claude/settings.local.json files containing passwords, tokens and keys: the "yes, don't ask again" option stores the whole command, secret included. Together they hold 1,379 secrets, including 379 database passwords and 23 AWS keys.

8 ноября 2026 г.November 8, 2026 день целиком 1 новостьstory

• Безопасность Ruby-гем strutil-core оказался червём: крал SSH и Git-доступы и пытался размножиться по npm и PyPIThe strutil-core Ruby gem turned out to be a worm stealing SSH and Git access and trying to spread via npm and PyPI Вредоносный гем strutil-core 1.0.1 пробыл в публичном доступе около пяти часов: его пометили как malware через 70 секунд после публикации, но удалили только к 09:13 UTC. При установке он запускал червя, который собирал учётные данные и пытался распространиться через npm, PyPI, Artifactory, GitHub и GitLab.The malicious gem strutil-core 1.0.1 was publicly available for about five hours: it was flagged as malware 70 seconds after publication but removed only by 09:13 UTC. On install it launched a worm that harvested credentials and tried to spread through npm, PyPI, Artifactory, GitHub and GitLab.

7 ноября 2026 г.November 7, 2026 день целиком 1 новостьstory

• Безопасность Фальшивые приглашения на мероприятия OpenAI и SpaceX крадут корпоративные аккаунты Microsoft и GoogleFake OpenAI and SpaceX event invites are stealing corporate Microsoft and Google accounts Кампания использует приглашения на вымышленные мероприятия с брендами OpenAI и SpaceX, чтобы заманить сотрудников на страницы входа и увести корпоративные аккаунты. Для Microsoft применяют device-code фишинг через Kali365, для Google — AiTM-прокси VoidProxy.A campaign uses invitations to invented OpenAI and SpaceX events to lure employees to sign-in pages and steal corporate accounts. Microsoft accounts are targeted with device-code phishing via Kali365, Google accounts with the VoidProxy adversary-in-the-middle kit.

6 ноября 2026 г.November 6, 2026 день целиком 1 новостьstory

• Безопасность Лаунчер NIKKE на ПК подменили: через официальный CDN раздавали RAT, крадущий пароли и кошелькиThe NIKKE PC launcher was tampered with: a credential-stealing RAT was served via the official CDN Лаунчер Goddess of Victory: NIKKE для ПК стал жертвой атаки на цепочку поставок: в легитимные JavaScript-файлы вшили логику, которая скачивала удалённый агент K2F. 4 ноября разработчики подтвердили подмену скриптов, но один изменённый файл ещё отдавался с CDN.The Goddess of Victory: NIKKE PC launcher suffered a supply-chain attack: malicious logic was hidden in legitimate JavaScript and downloaded the K2F remote-access agent. On 4 November the developers confirmed script tampering, but one modified file was still being served from the CDN.

26 октября 2026 г.October 26, 2026 день целиком 1 новостьstory

• Безопасность DreamHost принудительно сбрасывает пароли почты и FTP/SFTP из-за продолжающегося инцидентаDreamHost forces email and FTP/SFTP password resets amid an ongoing incident Хостинг с 400+ тысячами клиентов заблокировал вход в почту и FTP/SFTP до смены паролей владельцем аккаунта. Компания советует искать чужие правила пересылки в ящиках — это намекает на компрометацию части почты, хотя официально причина не названа.The host with 400k+ customers locked email and FTP/SFTP access until account owners reset passwords. It advises checking mailboxes for unknown forwarding rules — hinting some mail was compromised, though no cause has been confirmed.

22 октября 2026 г.October 22, 2026 день целиком 1 новостьstory

• AI 1Password for Agents: AI-агенты входят на сайты, не видя паролей1Password for Agents lets AI agents sign in without ever seeing the password 1Password запустила слой входа для персональных AI-агентов: агент запрашивает доступ, пользователь подтверждает его на своём устройстве, а 1Password сам заполняет форму. Первыми подключаются Meta Muse и Grok Bot, в планах — Claude Duet и ChatGPT Work.1Password launched a sign-in layer for personal AI agents: the agent requests access, the user approves on their own device, and 1Password fills in the form itself. Meta Muse and Grok Bot come first, with Claude Duet and ChatGPT Work planned.