Кибершторм конца сентября: zero-day, атаки на больницы и кража $30 млн

Последние дни сентября 2026 года выдались на редкость тяжёлыми для цифрового мира: за четыре дня атакующие ударили по дипломатии, медицине, браузерам, крипте и цепочкам поставок электроники. Ниже — главное, что стоит знать, чтобы вовремя закрыть свои риски.

  • APT29 охотится за дипломатами Европы. Группировка, которую эксперты связывают с российскими спецслужбами (официального подтверждения пока нет), использовала уязвимость нулевого дня в Microsoft Outlook — CVE-2026-6789. С 25 сентября под прицелом оказались госучреждения континента, включая МИД Германии и Франции. Microsoft оперативно выпустила временные меры защиты, но угроза утечки дипломатической переписки никуда не исчезла.

  • LockBit парализовал больницы Канады. 29 сентября атака шифровальщиков остановила работу 15 клиник провинции Онтарио. Злоумышленники требуют 5 млн долларов, а в их руках уже оказались истории болезней пациентов. Медики перешли на бумажный документооборот, и это самый тревожный сигнал: задержка экстренной помощи — это уже вопрос жизни и смерти.

  • Chrome получил четвёртый zero-day за год. Google срочно закрыла дыру CVE-2026-1111, позволявшую вырваться из песочницы браузера и запустить произвольный код. Патч от 29 сентября доступен для Windows, macOS, Linux и Android, но главное другое: уязвимость уже эксплуатировали в дикой природе. Если вы не обновились — сделайте это прямо сейчас.

  • Curve Finance потеряла $30 млн. 28 сентября хакеры выкачали около 10 млн токенов, воспользовавшись изъяном в языке смарт-контрактов Vyper. Разработчики остановили уязвимые пулы, но репутационный удар сильнее финансового: общие потери DeFi-сектора от взломов за год перевалили за $1 млрд.

  • 20 млн клиентов Delivery Club утекли в сеть. Имена, телефоны и адреса покупателей выставили на хакерском форуме за 2 биткоина. Компания подтвердила инцидент 29 сентября и уверяет, что пароли и платёжные данные не пострадали. Но таких данных достаточно для массового фишинга и звонков от «службы поддержки» — ждите волну мошенничества.

  • Foxconn лишился 1 ТБ секретов. 28 сентября группировка LockBit 3.0 заявила о взломе внутренней сети производителя и краже схем будущих устройств и клиентских данных. Компания ведёт расследование и деталей не раскрывает, но на кону коммерческая тайна и сроки поставок электроники для гигантов вроде Apple.

  • Apache Struts под угрозой массового взлома. Критическая CVE-2026-12345 позволяет выполнить код на сервере без всякой аутентификации. Уязвимы версии 2.5.0–2.5.30, патч вышел 29 сентября, а сканеры уже вовсю ищут незакрытые системы. Эксперты прямо сравнивают ситуацию с инцидентом в Equifax 2017 года.

Общий знаменатель у всех этих историй один: у атакующих почти нет «нерабочих» целей, а окно между обнаружением дыры и её использованием сжалось до часов. Самое полезное, что вы можете сделать сегодня, — закрыть три базовые привычки: ставить обновления сразу, а не «на выходных»; не переходить по ссылкам из неожиданных писем и сообщений; а в компаниях — проверить, что критичные сервисы вообще подпадают под регламент патчинга. И заведите резервные копии, которые физически отключены от сети: истории с больницами Онтарио доказывают, что иначе выкуп становится единственным «планом Б».

А вы уже обновили Chrome и проверили свои серверы на CVE-2026-12345?