Безопасность, Шрек и наггетсы

О пользе контактов для обратной связи

Бодрого понедельника, монстры коммуникаций! Наткнулась на историю, как охота за бесплатными наггетсами помогла белой хакерше обнаружить серьезные уязвимости в сервисах McDonald’s, разместить картинку со Шреком на внутреннем портале фастфуда и привела к увольнению одного из сотрудников Мака. Выводы для PR и для кибербеза воспоследуют.

Некая BobDaHacker (ресерчер описывает себя как небинарную персону, так что she/he/they — подходит) нашла баг в приложении Мака, попыталась сообщить об этом фастфуду и попала в зазеркалье.

Она без труда получила полный доступ к внутренней платформе Feel-Good Design Hub с бренд‑материалами, конфиденциальными видео и API‑ключами. А затем, поменяв слово login на register в URL, смогла пройти регистрацию: пароль на почту прилетел в открытом виде.

Учётка давала доступ к именам, адресам электронной почты и номерам телефонов клиентов, а также к информации об их заказах, времени их заказа и суммах расходов, включая размер чаевых.

Как это возможно в 2025 году? — удивляется ресерчер. Да вот фиг знает, уважаемая редакция.

Попытка честно зарепортить баг стала очередным взятием Форта Боярд. Файл security.txt, где обычно указывают контакт для ресерчеров, был удалён. Не растерявшись, хакерша нашла имена сотрудников Мака в LinkedIn и начала звонить в штаб-квартиру, называя их одно за другим, пока кто-то не перезвонил.

Проблемы частично исправили через 3 (!) месяца. Но, как сообщается в блоге:
🟣нормальной аутентификации так и нет
🟣защищённого канала для багов — тоже
🟣security.txt не вернули
🟣друга хакерши, помогавшего с тестами багов, уволили. Вот тебе и Шрек на портале.

Какие выводы? Не важно, насколько вы большие. Если нет простого способа связаться с вами, чтоб сообщить об уязвимости — это уже уязвимость.

Я часто вижу на сайтах во время PR-аудитов схожую ситуацию. Если бы я была журналистом — я бы не знала, куда писать. На общее info@? В форму обратной связи? Всё это утонет в рекламе и спаме, проще не писать.

➡ Совет понедельника, хоть вы и не просили: проверьте, как у вас маршрутизируются входящие. Сделайте путь прозрачным — для тех, кто хочет вам помочь или запросить тот же комментарий. Пусть они не передумают.

#кибербез #кейс

Удали мои печали. Часть 2

Когда закрывать комментарии — это единственный выход

Добралась до второй части разбора про закрытие комментариев, первая здесь. Но сначала история про конфуз с Пал Валерьичем Дуровым, храни его французский багет:

Телега падала не только из-за несговорчивости Пал Валерьича перед ликом РКН. В 2018-м мессенджер прилег на три часа из-за сбоя в дата-центре. Дуров тогда затащил антикризис в соло: извинился в Twitter/X и пообещал скорое восстановление. Спустя несколько минут в треде, полном поддержки фанатов телеги, Дуров совсем расщедрился и анонсировал компенсацию за неудобства: QR-код, сайт, «отправь 1 ETH — получи 10 ETH! Чем больше отправишь, тем больше получишь!». Кайф? Кайф. Только писал это не Пал Валерьич, мошенники скопировали его аватар, подпись 1 в 1 и переманили аудиторию на наспех сколоченный сайт. За час в фиатном эквиваленте увели 60 000$

К чему я? Главная причина, когда комменты стоит закрывать — это угроза безопасности бизнесу или пользователям. Тогда это не бегство от диалога, а осознанная мера.

Когда наша рука не дрогнет, чтоб отрубить комменты?

🟣 Если это защита от информационных атак и нашествия ботов. Когда лента комментариев забита рекламой или оскорблениями, это не обсуждение, а инструмент давления.
🟣Если это юридические риски для компании. Комментарии могут содержать запрещённую к публикации информацию, порно, призывы к насилию или к чему-то еще, что описывает УК. За информацию отвечает владелец площадки, а если он ОРИ, то и подавно.
🟣Если мы за кибербезопасность. Во время инцидента и вне его под постами могут появляться вредоносные ссылки, в том числе, от лжесотрудников что-то сливающих или куда-то настойчиво зовущих.

Как закрыть комменты и не потерять доверие пользователей?

🟣Переносим дискуссию в управляемый канал, даем чёткий маршрут: горячая линия, форма обращения, официальный чат поддержки.
🟣Тестим, чтоб канал технически и ресурсно выдержал шитсторм.
🟣Четко указываем причину перед тем как выйти из чата. Аудитория должна воспринимать наш мув, как заботу, а не как попытку спрятаться.
🟣Собираем вопросы в единый FAQ и, приоритизируя по частоте повторяемости, публикуем на них ответы в канале, который пока томится без комментариев.

🔠🔠🔠🔠
По итогу закрытие комментариев — так себе мера крайняя, не 100%-я и не позитивная. Но иногда необходимая. Как и любой инструмент в антикризисе, она требует осознанного применения SMM, как части антикризисного PR-плана, внятных объяснений и временных рамок. А ну и SMMшик должен знать, когда жамкнуть рубильник.

Доклад окончен, спасибо, а я пошла писать подказд!

👍 — все по полочкам, мать
❤️ — стори с Дуровым смешная

#инструмент

Несмотря на помеху справа — вы видите её на фото — мы записали подкаст 😈

Миша Вершинин, автор подкаста, маркетолог, социальный психолог и писатель, проживший 6 лет на Ближнем Востоке, позвал в новый выпуск Уроков публичности.

О чем говорили?

➡️ Как можно по-простому представить себе отрасль ИТ и относятся ли к ней маркетплейсы и финтех?
➡️ Почему внутриком — это не исключительное право HR и какую роль внутренние коммуникации играют в управлении изменениями?
➡️ Какие апгрейды нужны пиарщику в ИТ, зачем ему продуктовый профайл и почему у него есть фора на пути к ИИ?
➡️ Где IR пересекается с классическим PR?
➡️ Зачем завела свой телеграм-канал и нужен ли он пиарщику?
➡️ Что общего у антикризиса и езды на мотоцикле и как помогают от выгорания прогулки с питбулями из собачьего приюта (спойлер — еще как!)

Получился естественный разговор, понятный вашей бабушке. Теперь она будет знать, кто такой вендор и почему Миша, ведущий подкаста, решил, что мне осталось поработать в Palantir 🤣

❎ Послушать можно здесь
❎ А также в Телеграм

#подкаст

Не грози ресерчеру, попивая сок

Секретный playbook для пиарщика от белого хакера

Знаете то чувство, когда находишь «своего человека» в индустрии и думаешь: о, будто я сама это написала?

Внезапный мэтч у меня случился с бельгийским ресерчером и этичным хакером Inti De Ceukelaire. Но это не то, что вы подумали🤣 В разборе утечки данных 850 000 абонентов бельгийского филиала телеком-гиганта Orange Telecom он вдрызг разнес антикризис компании и призвал ее к ответственности. Ну наш слоняра!

Блог начинается с дисклеймера, мол как же неприятно писать эту статью и вдохновлять пиарщиков заметать сор под ковёр, но кто-то должен называть вещи своими именами. Да, брат, да!! 😈

Бренды типа Orange занижают значимость инцидентов кибербезопасности

— пишет автор, который сам стал жертвой утечки.

21 августа он получил письмо от Orange Telecom: его данные могут быть среди похищенных. Сначала ресерчера порадовало поведение компании и ссылка на специальный лэндинг. Но радость сменилась праведным гневом: лэндинг оказался PR-буллшитом, цель которого — ввести СМИ и клиентов в заблуждение, негодует он.

Как не надо делать на примере кейса Oracle я уже писала. А это — свеженький анти-playbook по PR от белого хакера. Зацените:

📌 Фокусируемся на том, чего «не произошло». То есть перечисляем, какие данные НЕ утекли. О том, что реально похищено — молчим, но намекаем, что хакер всё же получил доступ к одной там из наших систем. На этом всё.

📌 Двусмысленные заголовки. «Orange информирует клиентов о кибератаке» — пишем в третьем лице с акцентом на слове «информирует», что звучит позитивно, никаких тебе "нас атаковали" или "взломали".

📌 Незаметно правим опубликованные данные. В 12:00 пишем «нет доказательств, что данные утекли», потом убираем это со страницы в 16:30, а на следующий день возвращаем обратно. Вдруг никто не заметит?

📌 Побольше эвфемизмов! «Кибератака» вместо «утечки данных», поскольку второе чревато вниманием регулятора. Что такое «критичные данные» Orange определяет сама по принципу, что не утекло — то и важно, e-mail, например. А вот SIM- и PUK-коды, которые реально опасны при SIM-свапе, почему-то не важны.

📌 Не даем деталей. Классическая мантра о нераскрытии, поскольку идет расследование и "нужно сохранить приватность". По факту — это уход от ответственности.

📌 Не извиняемся. Пользователям рассказывают, как им самим себя защитить, но не признают неудобств и рисков, созданных компанией, да и к чему эти все извинения?

Финал очень "европейский" — прям с чашечкой кофейку на площади Брюсселя:

Взломы бывают даже у лучших, но общество должно требовать честности и ответственности от компаний, допустивших утечку.

Ну и, чтобы жизнь провайдеру не казалась апельсиновым соком, ресерчер обещает подать жалобу в бельгийский орган по защите персональных данных и потребовать полной прозрачности от компании.

Ну красавчик! Всем бы такой уровень социальной ответственности.
Как вам анти-playbook? Забираем?

#антикризис #кибербез

Здрасьте, я снова в подкасте

Всем пятница, друзья!
Если в час дня по Москве за обедом вальяжно решите послушать мой вокал подкаст о роли PR в ИТ и кибербезе — велкам!
Если нет — будет запись, не отвертитесь 🤣

На логи я твои взгляну

О трансформации роли PR-специалиста в кибербезопасности, как познакомилась с хакером (нет) и приходят ли ко мне компании после моих разборов в тг-канале — в свежем выпуске подкаста Belyaev_Security Димы Беляева.

~ 45 минут говорили об антикризисной подготовке, сохранении доверия к бизнесу после инцидента и я даже... сформулировала свою миссию! А вы думали я просто постики тут пишу и консультирую? 🎉

Передаю привет всем друзьям и просто хорошим людям, с кем работали бок о бок из Group-IB, F6, Андэк, Аладдин, СИТРОНИКС и Астерос и всем кого упомянула в подкасте 💜

⏩Слушать на mave
⏩Слушать на Yandex
⏩Смотреть на Rutube

Таймкоды:

00:02 — Тернистый путь пиарщика в ИТ и кибербезе, СМИ того периода, смена медийного ландшафта
00:07 — Опыт создания публичного имиджа интегратора СИТРОНИКС ИТ
00:09 — Вызовы и кризисы в работе, влияние СМИ и журналистов
00:11 — Переход в Астерос и эволюция пиара до стратегической функции
00:13 — Шаг к кибербезопасности: переход в Group-IB, новые требования к пиарщикам, рост медийных каналов
00:17 — Значение анализа данных и изучение угроз, как компетенция современного пиарщика в ИБ
00:20 — Что такое Cybersecurity PR и в чем миссия PR-машины
00:23 — Кто чаще всего приходит за консалтингом, каковы задачи CEO, CISO, CMO и PR
00:29 — Проблемы позиционирования ИТ-продуктов, сложности согласования и бюрократия в крупных компаниях
00:33 — Идеальный кризисный сценарий, практика подготовки плейбуков и обучения антикризисной команды
00:40 — Сложности измерения влияния PR на репутацию после киберинцидентов
00:44 — Позитивная реакция СМИ и пример отработки кризиса сетью 12Storeez
00:46 — Blitz-игра, где я пытаюсь серьёзно шутить

Всем 3 сентября! Напишите, какой из подкастов вам ближе про PR или про кибербезный PR?

👍 — за PR в целом
❤️ — кибербез и ИТ ван лав
😄 — пиши лучше тексты, а

Не папка, но коллекция!

Время папок с непонятными подборками прошло. Настало время коллекций 💎

У нас здесь опытные и состоявшиеся авторы сферы коммуникаций. Помимо экспертизы, у них есть свой стиль. Они делятся опытом, не загоняясь и не загоняя вас в свои воронки.

Коллекция находится здесь

Таким авторским составом еще не выступали:

Breaking Trends
Асланов PR
Люди гибнут за PR
PRexplore
Афанасьев и Связи с ответственностью 
Будни пиарщика
Падшая листва
ОтЪехавшая
те самые девочки из пиара
ТемРеRaментов
PR Us
PR machine
Диджитал-мама
PR-отдел
Ася Шабалина о digital PR в ИТ
Пиарщик на привязи
Птички в голове
Молодой пиарщик продал душу за Xbox
Мадина Малова | Коммуникации на грани

Красавчики здесь все, в любом порядке ⚡️

Хочешь загадку?

Зачем использовать шифры и загадки в коммуникациях

Привет, монстры коммуникаций!
В эфире вообще непостоянная рубрика #культурнаяпятница, где мы говорим о механиках вовлечения, внутренних коммуникациях и культурке. А и о ядерных корпоративах (1,2,3) иногда 😆

Сегодня на мысль навел Красный банк. Он замахнулся на кибертурнир CTF по спортивному хакингу. За креативом в таких проектах слежу и, как вы знаете, неистово люблю такое делать.

Почему сентябрьское состязание Alfa CTF названо Surfing Edition и в визуалах вовсю используются пальмы и сёрф-доски — не знаю. Возможно, кто-то из оргов впечатлился отпуском на Бали или ребята просто скучают по лету. Смысл таких мувов для компаний понятен — это коммьюнити и рекрутинг ИТ-талантов, хоть называй их серфёрами, хоть нет.

Мне зашел нулевой таск — картинка с эмодзи-кубками, среди которых нужно найти один «не такой». Хоть я и не мамкин хакер, дёрнулась искать немедленно 😊

Для ивентов, брендинга, коммуникаций в ИТ, инженерке и особенно в кибербезе головоломки, шифры, анаглифы, оптические иллюзии, визуальные загадки — это триггер когнитивного кайфа. Такая механика вовлечения нажимает сразу три кнопки: любопытство, желание найти ответ и простое человеческое тщеславие: ну уж я-то точно найду собаку справлюсь!

Сайд-эффектов у таких механик тонна, и все они про позитивное касание с брендом, потому что:

➡️ это мини-игра, а люди любят играть в игры и получать дофамин от выигрыша
➡️ вы даете ЦА почувствовать себя интеллектуалами, и им это нравится
➡️ легко транслируются ценности типа внимания к деталям и поиску нового
➡️ можно использовать онлайн и оффлайн
➡️ здесь безграничные возможности для визуализации бренда
➡️ такой контент вирален и хорошо шерится
➡️ это способ вовлечения в командные активности — тимбилдинги, стратсессии, внутренние челленджи, онбординг, да просто пятничный IQ-break

А еще это... минутка отдыха от ChatGPT

Короче, кубок 🏆 на картинке я вычислила. Спойлер вам оставила. Нашли? 👀

#инструмент

Интересное на канале за Август

Финальный заезд этого лета привел PR машину аж на два подкаста, дивно пообщались, спасибо ведущим! В ящик PR-инструментов и антикризисных разборов добавились новые. Почитайте, если пропустили, в ежемесячной подборке лучших постов. Кстати, хэштэгами размечен весь канал, сориентируетесь!
Всем бодрости духа в понедельник😈

#кейс

🔠 Операция деградация — изучаем стратегии мессенджеров,
🔠 Сдаем личные устройства — обыск vs проверка на примере кейса "Самолёта"
🔠 Безопасность, Шрек и наггетсы — о пользе контактов для обратной связи

#инструмент

🔠 Как считать ущерб от простоя — математика для PR, 58 сохранений поста!
🔠 Удали мои печали — когда закрывать комментарии плохо и когда это 200% правильно
🔠 Киберколлабом единым — зачем делать совместные исследования конкурентам

#антикризис

🔠 Марафонец антикризиса часть 1, часть 2 — провайдер Сибири реагирует на кибератаку в СМИ
🔠 Не грози ресерчеру — анти-playbook для пиарщиков

#подкаст

🔠 Уроки публичности — рассказываю о PR в ИТ, касаемся тем ИИ, отношений с инвесторами, взаимодействия с внутрикомом, антикризиса и даже мотоциклов
🔠 Belyaev Security — раскрываю роль пиарщика в кибербезе, зачем нужен playbook по антикризису и как сохранить доверие к бизнесу после инцидента

Еще раз спасибо всем, кто голосовал за меня в номинации Киберблогер года: топ-3 наш!


💜 Самый полезный пост — с чем ко мне приходят компании и как я могу помочь вам

Такой же отчет за Июль

Многорукий PR-шивва на час

Готовящееся увольнение, неадекватные KPI и другие диагнозы — я знаю, что вы делали этим летом

Давно не рассказывала чем занимаюсь. Сейчас в аду большого и тяжелого проекта. Но. За лето ко мне пришли три ИТ-компании, где пиарщик — один в поле воин, максимум воинов двое.
Тащат корпоративный и продуктовый PR на себе, а бизнес всё равно посматривает косо: пиар не работает и намекает на лиды и воронку.

Спросить совета не у кого, брать в штат матерого PR-директора, который отстаивал бы команду, ее результаты и понимал бы их влияние на цели бизнеса — ту мач. Дорого, да и уровень зрелости МСБ часто не тот.

“Нам нужен PRD на час”, сказал один пиарщик. Ни слова больше.

В общем, у меня новый опыт. Из классного удалось:
🔠 предотвратить увольнение,
разработать систему постановки задач в PR, ребята брались, как киборги, за всё
🔠 разобрать кейс «бан от Tier-1», который оказался конфликтом с единственным журналистом
🔠 создать 10 принципов работы с журналистами, потому что "нас не берут в СМИ". Про это еще расскажу, там интересное.

Что поняла — иногда нужен кто-то на опыте, кто за несколько часов докопается до проблемы, предложит решение, оставит чек-лист и уйдет обратно в свой гараж. Возможно, PRD на час — это ваш вариант, пиар это же про любовь. Пишите в личку.

А название запатентую когда-нибудь, ей богу! Кто заметил, что главное в руках пиарщика? 🤣

Хакнуть хакера

Всё ли стоит пиарить — про этичность, риски и тонкую грань в кибербезе

Я как-то писала про наше тестовое задание для пиарщика в компанию по кибербезопасности. Допустим, у тебя на руках супер-находка ресерчеров, прямо информационная бомба уровня "весь Tier-1 наш". Стоит ли её запускать в СМИ? Ответ был здесь, а сегодня про свежий спорный кейс.

Папищеки прислали любопытную новость. Дилемма в ней мне близка по многим причинам. Суть такая. Ресерчеры из американской компании Huntress волей случая проникли в инфраструктуру хакера и решили там задержаться. На три месяца. Как они пояснили в дисклеймере к блогу — исключительно чтобы изучить внутреннюю кухню злоумышленника, понять его поведение и предупредить ИБ-сообщество об угрозах.

Вроде всё гладко, но история расколола ИБ-коммьюнити на два лагеря: одни осуждают, другие поддерживают.

Веселье в том, что хакер сам стал подопытным кроликом — кликнул на рекламу Huntress в Google (привет, маркетинг!) и установил их софт. Исследователи быстро поняли, что это не легальный клиент попал в воронку, а знакомый им по прошлым инцидентам злоумышленник.

Три месяца наблюдений дали редкий и ценный контент: история браузера, подготовка фишинга, использование ИИ для автоматизации атак.

— А давайте напишем об этом блог! — сказали ресерчеры.
— А может, не надо? — возможно, но не факт, ответили пиарщики.

Блог написали, причем вовсю распиарили там свой EDR — решение, которое и помогло исследовать темную сторону. Публикация сдетонировала, вызвав этическую и юридическую дискуссию: мол, где же граница между легитимным исследованием и hack back — то есть взломом киберзащитниками собственно злоумышленников, что вне закона почти во всех странах, включая США, где базируется Huntress?

Одни говорят это вам не hack back, а smart defense. Другие считают, что исследователи ради маркетинга и пиара встали на скользкую дорожку ибо это уже разведка, а значит игра вне поля частного бизнеса.

В защиту Huntress: они всё-таки не залезали в инфраструктуру намеренно, злоумышленник сам установил их агент. Но как только ресерчеры увлеклись начали систематически использовать этот доступ, возникли вопросики о правомерности такого шага.

🔠🔠🔠🔠
Что важнее, на ваш взгляд:

🔥 — результат исследования и данные
❤️ — осторожность в пиаре, а то прилетит
👍 — маркетинг продукта

Пожурим!

Этой осенью займу судейское кресло у камина в составе жюри профессионального конкурса корпоративных СМИ «Медиалидер — 2025»

Если вы издаете внутреннее медиа для сотрудников, развиваете для них социальную сеть, блог, ИИ-подкаст или сняли остросюжетную документалку — подавайте заявку!

В своей безудержной карьере я делала всё это, включая блог несуществующего сотрудника и съемки фильма-катастрофы про дата-центр. Я знаю, это сложно, а еще сложнее — найти время на заявку и 15 слайдов. Но заряд мотивации x10, когда будете стоять на сцене и греться в лучах славы, того стоит.

Чего я не жду от номинантов:

Рубрик «Алло, мы ищем таланты», «Доска почёта», «Минутка юмора» и другие приметы союза нерушимого.

Чего жду:

Вайба компании, ее голоса, идеи, которая заставляет вставать по утрам, нерва, ценности, ДНК. Увижу это — отправлю прямиком в шорт-лист.

🟣Подробнее о критериях здесь.
🟣Призы ждут тройку лидеров в 23-х номинациях. В несколько категорий подаваться можно!
🟣Дедлайн — 22 сентября
🟣Награждение — 28 ноября

Всем внутриком!

Может ли молчание стоить репутации при возникновении инцидента ИБ? 🫢

Ника Комарова, эксперт по стратегическим коммуникациям в ИТ и кибербезопасности, автор канала PR Machine, расскажет на CyberCamp 2025 про совместную работу ИБ и PR. В докладе:

▶️Почему о крупных инцидентах нужно уведомлять СМИ и контрагентов
▶️Как правильно общаться с PR, чтобы информация об инциденте не распространилась раньше времени или в искаженном виде
▶️Что во время инцидента делает PR, а что — ИБ
▶️Почему инцидент ИБ это не конец карьеры

А еще Ника участвует в новом для кэмпа формате — Консультациях, запись на которые откроется позже в сентябре 🔜 В онлайн-формате, тет-а-тет, вы сможете задать ей свои вопросы по одной из следующих тем:

▶️Репутационные последствия кибератаки
▶️Распространение информации об инциденте ИБ
▶️Роль ИБ в антикризисном плане пиарщиков
▶️Особенности диалога PR и ИБ
▶️Совместные учения PR и ИБ

Читайте подробнее о формате Консультаций на сайте после прохождения регистрации.

А как устроено взаимодействие PR и ИБ в вашей компании? Пройдите несколько опросов прямо в чате. Результаты Ника разберет в своем докладе ⬇️

©️ Регистрация l 😺 Чат