Специалисты Центра кибербезопасности компании F6 опубликовали новый блог, в котором подняли проблему утечки персональных данных и документов, содержащих коммерческую тайну, через публичные инструменты, известные как «песочницы». Такие онлайн-сервисы, как VirusTotal, JoeSandbox и Any.Run, позволяют пользователям оценивать угрозы, связанные с загружаемыми файлами, письмами и ссылками. Однако, как выяснили аналитики, эти инструменты также открывают доступ к отчетам о проверках для всех пользователей, включая потенциальных злоумышленников, что может способствовать улучшению их атакующих стратегий.
Эксперты F6 исследовали платформу Any.Run, которая, помимо предоставления публичных отчетов, позволяет пользователям скачивать файлы после регистрации. В результате анализа данных, загруженных пользователями из России в 2024-2025 годах, специалисты выделили три основных типа небезопасных файлов. Первые — это файлы с персональными данными физических лиц, которые могут использоваться злоумышленниками для фишинговых атак и организаций мошеннических схем. Вторые — документы, содержащие коммерческую тайну и внутренние регламенты компаний. Третьи — файлы, которые могут свидетельствовать о внутренней инцидентной безопасности в организациях.
Объем утечек трудно оценить, однако персональные данные граждан, как показывает исследование, значительно преобладают в количестве относительно корпоративной информации. С 30 мая 2025 года вступает в силу ряд законов, ужесточающих ответственность за утечки персональных данных в России. Это значит, что компании, чьи сотрудники используют такие публичные песочницы для загрузки конфиденциальных файлов, могут столкнуться с серьезными юридическими последствиями.
В завершение эксперты F6 рекомендуют организациям внедрять строгие политики безопасности, увеличивать осведомленность сотрудников о рисках, ограничивать доступ к конфиденциальной информации и рассматривать альтернативные методы проверки файлов, такие как использование хешей вместо загрузки оригиналов. Применение этих мер может значительно уменьшить риски утечек данных и защитить репутацию компаний.