Разработчик PuTTY Simon Tatham обнаружил, что Zoom на Linux постоянно мониторит содержимое X11 clipboard. Данные отправляются в процесс, что может привести к утечке паролей и ключей. Подтверждено на hachyderm.io.
Аудит с MobSF, jadx и apktool выявил в VK 11 трекеров и рейтинг риска 98/100, а также ключи подписи RSA-1024 у шести приложений (Сбербанк, Госуслуги, VK, Авито, Ozon Bank). HMS Huawei найден в 10 из 11 приложений. Госключ оказался единственным с 2.4 балла риска и RSA-2048.
Реклама nudify-приложений с реальными фото девочек шла на Facebook и Instagram. Одно объявление разместила страница «Divine Productions», выдавшая себя за Церковь Иисуса Христа Святых последних дней. Охват — 29 000 человек в ЕС, 6800 в Великобритании, 80% в США. Генпрокуроры Мичигана и Флориды начали проверку.
На YouTube вышло видео «216M Spy TVs – The LG Smart TV Problem», в котором речь идёт о проблеме с телевизорами LG. В описании — ссылка на материал notebookcheck о том, что LG Smart TV поймали на логировании. Какие именно данные собираются, из заголовка не ясно, так что детали — в видео.
Детали не раскрыты — известно только, что GrapheneOS провёл крупное обновление стандартных приложений и механизма безопасного буфера обмена. Подробности позже.
24 августа X Corp прислала cease and desist, требуя удалить Nitter. После юридической консультации проект решил продолжить. Подробности позже. Также обновлён README.
Согласно сообщению, браузер Chrome в очередной раз делает исключение для сайтов Google, игнорируя пользовательские настройки хранения данных. Детали не раскрываются, но это уже не первый подобный случай.
Mullvad с 2 ноября 2026 прекращает работу своих публичных шифрованных DNS. Компания будет финансировать Quad9 как лидера в области приватных DNS. Пользователям Mullvad Browser автоматически перенастроят на Quad9, ручные конфигурации нужно сменить.
Пользователи могут отключить передачу своих диалогов и документов в тренировочные наборы Mistral. Процедура описана для Vibe, Studio и API — через админ-панель.
После аренды машины журналист Ars обнаружил свои права на тёмном сайте Nexus. IDScan.net, сканирующий документы для Hertz и других, возможно, имеет утечку в реальном времени. За 24 часа число доступных прав выросло на 400 000. ФБР расследует.
Минбез США выписал Google административный summons по закону 19 USC 1509 (таможня), чтобы получить данные YouTube-канала журналистки Джорджии Форт — в обход судьи, который ранее отказал в ордере. Также DHS получила от T‑Mobile записи 10 000 звонков и смс без уведомления. Закон изначально предназначен для проверк таможенных пошлин.
Техасский закон 2023 года добавил $1 к каждой страховке — собрали $81 млн. MVCPA потратила $30 млн на 3200 камер Flock, включая 2000 через гранты и 1200 для DPS. Губернатор остановил финансирование после расследования, но камеры уже стоят.
Meta согласилась выплатить почти $18B и ввести для пользователей до 18 лет дефолтный лимит два часа в день, блокировку с полуночи до 6 утра и школьный режим с 8 до 15. Флорида назвала выплаты «копейками» и идёт в суд, Техас получил отдельный $1B, а Нью-Мексико уже отсудил $942M.
Реверс-инжиниринг показал, что Paint и Photos отправляют промпт на сервер модерации, получают GUID и встраивают его в пиксели локально сгенерированного изображения. Видимая настройка водяного знака на это не влияет. Также изображения сохраняются только в C2PA-совместимых форматах.
Американцу предъявили уголовные обвинения за удаление данных с телефона при досмотре на границе. Судя по всему, это первый подобный случай, и он вызвал бурное обсуждение на Hacker News.
Исследователи показали, что 2-значные секреты в контексте восстанавливаются почти идеально, а 4-значные — с точностью 82%, даже когда модель отказывается их выдавать. Более способные модели утекают сильнее, а атака позволяет вытащить номера SSN из продакшн-агента.
Исследователь Джереми Фаулер обнаружил незащищённый Amazon S3-бакет ClarityCheck с 450 ГБ изображений, включая лица людей, в папках «faces» и «profiles». Вторая ошибка открыла email и телефоны. Данные были доступны месяцами.
При открытии AliExpress в Firefox/Chrome создаются два скрытых AudioContext из скриптов collina.js и fireyejs.js (Alibaba). Генератор пилы через AnalyserNode и ScriptProcessorNode подключён к системе с нулевым усилением — звука нет, но Bluetooth-канал занят. Multipoint-наушники перестают переключаться на телефон.
OpenAI подтвердила политику нулевого хранения данных для eligible API-клиентов и показала Private Safety Processing — технологию, которая должна совмещать безопасность AI и приватность. Подробностей о реализации пока нет.
Mozilla добавила в Firefox для iOS нативную блокировку рекламы. Инструкция по включению опубликована в базе знаний поддержки.
Пользователи заметили, что при переводе nameservers на Cloudflare в сайт молча добавляется Real User Measurement. Представитель Cloudflare подтвердил: для бесплатных планов RUM включен по умолчанию с сентября, отключается вручную и заодно открывает Observatory; платные планы — только opt-in.
Twitch обновил политику: пользователи должны вручную отключить использование своих стримов, VOD и чата для обучения генеративных моделей Amazon. Компания подтвердила, что использует контент как минимум с 2024 года.
В препринте восемь исследователей показали атаку на encrypted reasoning traces: берут зашифрованный блок от сильной модели и прогоняют его через более слабую того же провайдера, чтобы получить исходные рассуждения в plaintext. На 6 708 публичных агентских логов с GitHub и Hugging Face авторы нашли 704 уникальных секрета, включая 62 API-ключа, 33 пароля и 24 токена доступа; 64 находки были видны только внутри зашифрованного блока.
По заголовку известно только то, что в London Underground запустили сканирование лиц пассажиров. Детали эксперимента не раскрыты.
Deveillance анонсировал Spectre I — устройство размером с шайбу, которое мешает записи с AI-носимых гаджетов. На фоне слухов об Apple AI-пине и распространении умных очков, авторы обсуждают гонку слежки и контрмер, от ультразвуковых глушилок до алгоритмов восстановления речи.
В дополнение к мартовскому штрафу в $375 млн суд постановил перечислить ещё $567 млн в фонд помощи пострадавшим подросткам. Общая сумма — $942 млн. $420 млн пойдут на лечение, остальное — на профилактику и скрининг. Meta пообещала обжаловать.
Из-за того, что аутентификация через passkeys идёт вне основного соединения, реальный IP утекает. Уязвимость также затрагивает OnionBrowser. Apple уведомлена, но сроков исправления нет — это второй прокол платных функций iCloud+ за месяц.
Инженеры копируют в нейросети конфиги Cisco, FortiGate и Palo Alto с IP-адресами, VLAN и VPN-пирами, не задумываясь о безопасности. 28 июля 2026 года Malwarebytes обнаружила, что публичные чаты Claude индексируются поисковиками. Автор предлагает Config Anonymizer — локальный Python-инструмент для вычистки чувствительных данных перед отправкой в чат.
Bitsight перехватила телеметрию с десятков тысяч H96-стиков и обнаружила, что все они представляются моделями Samsung, Vivo, Huawei и Xiaomi. Устройства крутят два предустановленных приложения от Zhejiang Fengwo IoT Technology, которые координируют клики по рекламе на AI-сгенерированных сайтах. Сайты собираются через Blockly — визуальный язык для детей.
Федералы обвиняют Сэма Туника в уничтожении доказательств после того, как его Pixel на GrapheneOS сбросился при вводе пароля. Адвокаты утверждают, что отказ в адвокате и отсутствие ордера нарушают права. Эксперты говорят, что это первый случай применения закона против OS.
Инициатива #KillTheCookieBanner: предложение передавать настройки приватности через браузер, как язык. Google и индустрия трекинга лоббируют против. 90% людей соглашаются на трекинг из-за обманных баннеров, хотя реально хотят только 3%. Нужна помощь граждан.
CJEU постановил, что провайдеры VPN не несут ответственности за нарушение авторских прав пользователями, обходящими геоблокировку. Решение вынесено по делу об онлайн-публикации дневников Анны Франк: суд решил, что издатель не может требовать абсолютной непроницаемости защиты, а VPN — не инструмент пиратства.
Суд отклонил иск, утверждавший, что отказ Apple от сканирования iCloud с помощью NeuralHash или PhotoDNA является дефектом дизайна. Суд применил Section 230, постановив, что требования истцов касаются издательской деятельности Apple. Судья выразил недовольство, но закон на стороне Apple.
На сайте полиции Ванкувера нашли кнопку Quick Escape, которая умеет быстро уводить со страницы и при этом чистить следы в истории. Да, это тот случай, когда UX и паранойя внезапно пожали друг другу руки. Для «безопасного выхода» у полицейского сайта, конечно, особый привкус.
В issue по Claude Code пишут о потенциальной утечке session/cache между workspace-инстансами или даже consumer-аккаунтами. У репорта 282 очка и 129 комментариев на HN — то есть проблема выглядит достаточно неприятно, чтобы люди сразу начали проверять, не текут ли данные через изоляцию окружений.
Вирджинии теперь нельзя продавать geolocation data — и это уже не философия про приватность, а конкретная юридическая граница. Статья на Hunton собрала 628 баллов на HN, так что тема явно задела не только юристов: все давно знают, что location history уходит в оборот слишком легко. Теперь вопрос не в том, собирают ли данные, а в том, кто и как потом сможет их перепродать.
Сайт ipcrawl.com показывает живой атлас камер, найденных в публичном интернете, без особой романтики — просто список того, что забыли закрыть. У поста на Hacker News 269 очков и 134 комментария, так что тема явно задевает не только любителей поглазеть, но и всех, кто потом будет закрывать дыру у себя в сети.
The Register публикует колонку про «papers, please» эпоху интернета, где анонимность откусывают по кускам через проверки личности и возрастной гейткипинг. Тон ожидаемо мрачный: меньше приватности, больше цифровых турникетов и меньше шансов пройти мимо с нормальным лицом.
IPVM разбирает историю с Flock, где полицейские начальники использовали систему наблюдения для слежки за женщинами. Заголовок здесь не для красоты: материал упирается в конкретный вопрос о том, почему для таких запросов вообще не было ордеров и как это проходило мимо контроля.
На Lobsters обсуждают, как защитить онлайн-галерею художницы от обучения LLM на её работах, и спрашивают, есть ли уже практичные библиотеки или трюки для такого «poisoning». Идея звучит просто, но быстро упирается в неприятную реальность: защитить картинки на сайте от пайплайнов сбора данных — это не одна кнопка, а целая война с чужими краулерами. Тема пока больше из разряда «наивный вопрос, который слишком быстро становится техническим кошмаром».
The Privacy Guy пишет, как компания пять лет спорила о принудительном согласии, а в итоге получила штраф на €1.8 млн. История хороша тем, что это не «плохой кейс про privacy», а довольно приземлённый пример того, как юридическая казуистика потом превращается в счёт с шестью нулями.
Разработчики GrapheneOS пишут, что порт на Android 17 готов и «official releases are coming soon». Судя по обсуждению на форуме проекта, это не очередной анонс на слайдах, а вполне конкретная подготовка к релизам под свежую базу Android.
На Cryptography Engineering разбирают идею приватных агентов на примере будущего Siri. Автор спорит с тезисом, что local/private inference автоматически решает проблему приватности: если модель видит ваши данные и делает выводы, утечки могут случиться и без облачного сервера в кадре.
Ars Technica пишет, что спорный закон о слежке Section 702 должен истечь сегодня ночью, но его сертификат действует до марта 2027 года. То есть бумажно срок закончился, а по факту привычный механизм наблюдения продолжает работать. Очень по-американски: юридическая дата одна, реальность — другая.
Simon Willison пишет, что Lockdown Mode уже начал раскатываться на Free, Go, Plus, Pro и self-serve ChatGPT Business аккаунты. Режим задуман как последний барьер против prompt injection: он ограничивает outbound network requests, чтобы вытекать данные на финальной стадии атаки стало сложнее, а не просто «ну ладно, отправим это на первый попавшийся URL».
Ars Technica пишет, что Верховный суд оставил в силе штрафы FCC за продажу location data, а AT&T и Verizon не удалось отбиться аргументом про право на jury trial. Решение прошло со счетом 8–1, так что это не тот случай, где телекомы смогли продавить удобную для себя трактовку.
На HN разлетелся личный пост «Gmail thinks I'm stupid, so I left» — 733 очка и 434 комментария говорят, что тему прочувствовали многие. Автор рассказывает, почему ушел с Gmail, и судя по реакции, триггером стали не абстрактные «проблемы с UX», а очень конкретная человеческая усталость от того, как сервис умничает вместо того, чтобы просто работать. Это тот редкий случай, когда почтовый клиент вызывает не продуктивность, а философский кризис.
Авторы Хабра пишут, что в приватном мессенджере быстро упираешься в вопрос: что именно защищает пользователя — маркетинг или архитектура. В RCQ они пытаются встроить приватность в саму систему, а не прятать ее в FAQ, потому что обещания снаружи не проверишь, а архитектуру хотя бы можно разобрать по косточкам.
В десятой части серии на Habr автор продолжает разбор OSINT по американским компаниям. Тон у материала бодро-параноидальный: если юрлицо работает в США, спрятать данные полностью всё равно не выйдет, остаётся только правильно копать по открытым следам.
MacDailyNews пишет, что DOJ добивается раскрытия данных больше чем 100 тысяч пользователей приложения для тюнинга машин. Повод — кампания по контролю выбросов, а на фоне требований еще и спор о том, как далеко государство готово залезать в телефоны из-за автомобильных настроек.