Командний рядок знаходить потрібний документ за секунди там, де Провідник думає хвилинами. Але у 2026 році це вже не лише інструмент для просунутих користувачів: за даними Microsoft, вставлення чужої команди в консоль стало найпоширенішим способом первинного зараження компʼютерів. Розбираємо актуальні команди пошуку й відкриття файлів — і пояснюємо, коли консоль перетворюється на зброю проти вас.

Що змінилося: cmd, PowerShell і Термінал — це різні речі

Стара інструкція «натисніть Пуск, наберіть cmd» досі працює, але картина ускладнилася. Сьогодні в Windows співіснують три сутності, які легко переплутати:

• Командний рядок (cmd.exe) — класичний інтерпретатор із часів MS-DOS. Простий, обмежений, але присутній у кожній збірці Windows.
• PowerShell — сучасніший інтерпретатор із власною мовою сценаріїв. Працює з обʼєктами, а не з рядками тексту, тому дає значно гнучкіший пошук.
• Термінал Windows (Windows Terminal) — це не інтерпретатор, а вікно, всередині якого відкриваються попередні два. Вкладки, теми, розділені панелі.

Ключова зміна: починаючи з Windows 11 версії 22H2 і жовтневого оновлення 2022 року, Microsoft зробила Термінал Windows застосунком за замовчуванням для всіх консольних вікон — командний рядок і PowerShell тепер відкриваються саме в ньому (документація Microsoft). Повернути класичне вікно можна в «Параметри» → «Система» → «Додатково» → «Термінал» → «Windows Console Host».

Як відкрити консоль у Windows 11 і Windows 10

• Натисніть «Пуск» і почніть набирати «Термінал» або «Командний рядок» — оберіть потрібний результат.
• Натисніть Win + X і оберіть «Термінал» у меню швидких посилань.
• У Провіднику відкрийте потрібну папку, клацніть в адресному рядку, наберіть cmd або powershell і натисніть Enter — консоль запуститься одразу в цій папці. Це найшвидший спосіб і він позбавляє потреби вручну переходити між каталогами.

Для команд, які торкаються системних папок, знадобляться права адміністратора: клацніть по знайденому застосунку правою кнопкою миші та оберіть «Запуск від імені адміністратора».

Пошук файлів у командному рядку (cmd)

Команда dir із ключами /s і /b

Найпростіший спосіб — рекурсивний перегляд каталогу. Спершу перейдіть у корінь диска, а потім запустіть пошук за маскою:

cd /d C:\
dir /s /b *звіт*.docx

Ключ /s змушує команду переглядати всі вкладені папки, а /b виводить «голий» результат — лише повні шляхи, по одному на рядок, без заголовків і підсумків (довідка Microsoft щодо dir). Зірочка замінює будь-яку кількість символів, знак питання — рівно один.

Зверніть увагу на ключ /d у команді cd: без нього командний рядок змінить каталог, але залишиться на попередньому диску.

Команда where — швидша альтернатива

Якщо приблизно відомо, де шукати, команда where відпрацює помітно швидше:

where /r "%USERPROFILE%" *звіт*.docx

Без ключа /r команда переглядає лише поточну папку та каталоги, перелічені у змінній середовища PATH. Ключ /t додасть до результату розмір файлу й дату останньої зміни (довідка Microsoft щодо where).

Збереження результатів у файл

Якщо результатів багато, зручніше вивантажити їх у текстовий документ, а не гортати консоль:

dir /s /b C:\*.pdf > "%USERPROFILE%\Desktop\pdf-list.txt"

Пошук у PowerShell: більше контролю

Основний інструмент — командлет Get-ChildItem (він же має аліаси dir, ls і gci). На відміну від cmd, він повертає обʼєкти, які можна фільтрувати за датою, розміром чи атрибутами (документація Microsoft).

Get-ChildItem -LiteralPath $HOME -Filter "*звіт*.docx" -Recurse -File -ErrorAction SilentlyContinue |
Select-Object FullName, Length, LastWriteTime

Що роблять параметри:

• -Filter — фільтрує файли на рівні файлової системи, тому працює швидше за -Include, який відсіює вже отримані результати.
• -Recurse — переглядає всі вкладені папки. Обмежити глибину можна параметром -Depth.
• -File — виключає з результатів папки.
• -ErrorAction SilentlyContinue — приховує помилки доступу до системних каталогів, які інакше забʼють екран.
• -Force — додає до вибірки приховані та системні файли, які за замовчуванням не показуються.

Microsoft окремо застерігає: параметр -Path у поєднанні з -Recurse поводиться неочікувано, якщо останній елемент шляху збігається з назвою вкладеної папки. Надійніше вказувати каталог через -LiteralPath, а маску — через -Filter.

Приклад: знайти все, що змінилося за добу

Get-ChildItem -LiteralPath "$HOME\Documents" -Recurse -File |
Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-1) } |
Sort-Object LastWriteTime -Descending

Такий запит стане в пригоді, якщо ви не памʼятаєте назви документа, але точно знаєте, що працювали з ним учора.

Як відкрити знайдений файл

У командному рядку

За відкриття файлу у програмі за замовчуванням відповідає команда start:

start "" "C:\Users\Taras\Documents\звіт.docx"

Порожні лапки на початку — не помилка й не одрук. Перший аргумент у лапках команда start сприймає як заголовок вікна, тож без цієї «заглушки» шлях із пробілами відкриється неправильно (довідка Microsoft щодо start).

Корисні супутні команди:

• explorer . — відкрити поточну папку у Провіднику.
• explorer /select,”C:\Users\Ivan\Documents\звіт.docx” — відкрити Провідник із уже виділеним файлом.
• cd /d D:\Проєкти — перейти в потрібну папку разом зі зміною диска.

У PowerShell

Invoke-Item "C:\Users\Taras\Documents\звіт.docx"

Скорочений аліас — ii. Важливий нюанс: у PowerShell слово start означає не команду cmd, а командлет Start-Process, тому синтаксис із порожніми лапками тут не потрібен і лише заплутає.

І ще одна економія часу, яка працює в обох середовищах: почніть набирати назву файлу чи папки й натисніть Tab — консоль сама допише решту. А якщо перетягнути файл із Провідника у вікно консолі, повний шлях до нього вставиться автоматично.

macOS: mdfind і open

У macOS роль пошукового рушія виконує Spotlight, і в нього є консольний інтерфейс — команда mdfind. Вона шукає по індексу, тому відпрацьовує майже миттєво:

mdfind -name "звіт" -onlyin ~/Documents

Відкрити знайдене допоможе команда open:

open ~/Documents/звіт.docx
open -R ~/Documents/звіт.docx    # показати файл у Finder
open .                           # відкрити поточну папку

Linux: find і xdg-open

find ~ -type f -iname "*звіт*.docx" 2>/dev/null
xdg-open ~/Documents/звіт.docx

Ключ -iname шукає без урахування регістру, а конструкція 2>/dev/null відкидає повідомлення про відсутність доступу до системних каталогів (man-сторінка find). Команда xdg-open відкриває файл у програмі, призначеній для цього типу за замовчуванням — це прямий аналог start у Windows.

Головне застереження: не вставляйте в консоль чужі команди

Зворотний бік зручності командного рядка в тому, що він виконує будь-що з правами користувача — і не питає зайвого. Саме на цьому побудована атака ClickFix. За звітом Microsoft Digital Defense Report 2025, вона стала найпоширенішим способом первинного проникнення й фігурувала у 47% інцидентів, які фіксували фахівці Microsoft Defender Experts, — більше, ніж класичний фішинг (35%).

Схема проста. Користувач заходить на зламаний сайт, бачить фальшиву перевірку «Я не робот», і йому пропонують «підтвердити» себе: натиснути Win + R, вставити текст і натиснути Enter. У цей момент шкідлива команда вже лежить у буфері обміну — її туди непомітно скопіював скрипт на сторінці (дослідження Microsoft Threat Intelligence). Оскільки команду запускає сама людина, антивірус і поштові фільтри лишаються осторонь.

У лютому 2026 року Microsoft зафіксувала нову версію атаки: замість вікна «Виконати» жертв просять відкрити Термінал Windows через Win + X. Це обходить механізми виявлення, налаштовані саме на діалог «Виконати», і виглядає для користувача переконливіше — наче звичайна робота адміністратора.

Українців це стосується безпосередньо. 19 липня 2026 року CERT-UA повідомила про перехід угруповання UAC-0145 — підкластера російського Sandworm — саме на техніку ClickFix. Протягом червня–липня фахівці дослідили понад десяток зламаних сайтів, які показували відвідувачам фальшиву CAPTCHA з проханням виконати команду PowerShell. Далі в автозавантаження потрапляв скрипт GHETTOVIBE, а за ним — інструмент розвідки SCOUTCURL, що збирав дані про систему, встановлені програми й вміст браузера.

Що робити

1. Запамʼятайте головне правило: справжня CAPTCHA ніколи не просить нічого вставляти у вікно «Виконати», Термінал чи PowerShell. Жодна легітимна перевірка не потребує запуску команд.
2. Перед натисканням Enter прочитайте команду. Насторожити мають слова powershell, mshta, rundll32, curl, iwr, irm, iex, bitsadmin, а також ключі -EncodedCommand, -e, -w hidden і довгі нечитабельні рядки з випадкових символів.
3. Не вимикайте попередження про багаторядкову вставку в Терміналі Windows. За замовчуванням параметр multiLinePasteWarning увімкнений і показує запит перед вставленням тексту з кількох рядків — саме такого, який виконується автоматично (налаштування Термінала).
4. Власникам Mac варто оновитися. У macOS Tahoe 26.4 Apple додала до Термінала блокування підозрілих вставок із попередженням «Possible malware, Paste blocked». Воно спрацьовує, якщо ви рідко користуєтеся Терміналом і скопіювали команду з сайту, чату чи листа (довідка Apple).
5. Якщо команду вже виконано — відключіть компʼютер від мережі, змініть паролі до ключових сервісів з іншого пристрою, перевірте папку автозавантаження та зверніться до CERT-UA або Кіберполіції.

Часті запитання

Чим командний рядок відрізняється від PowerShell?

Командний рядок оперує текстовими рядками й має обмежений набір команд. PowerShell працює з обʼєктами: результат однієї команди можна одразу відфільтрувати, відсортувати чи передати далі по конвеєру. Для простого пошуку файлу достатньо cmd, для складніших умов — дати, розміру, атрибутів — краще PowerShell.

Чому команда dir /s шукає так довго?

Вона фізично обходить кожну папку на диску, тоді як Провідник чи Spotlight користуються заздалегідь побудованим індексом. Щоб пришвидшити пошук, звужуйте область: замість кореня диска вказуйте конкретний каталог або скористайтеся where /r.

Чому start не відкриває файл, шлях до якого містить пробіли?

Найімовірніше, ви не поставили порожні лапки перед шляхом. Перший аргумент у лапках команда start вважає заголовком вікна. Правильна форма — start “” “C:\Шлях до файлу\документ.docx”.

Чи безпечно взагалі користуватися командним рядком?

Так, якщо ви розумієте, що саме виконуєте. Небезпечні не команди, які ви набрали свідомо, а ті, які вам підказав сторонній сайт, спливне вікно чи «служба підтримки» в месенджері. Команду, скопійовану з невідомого джерела, виконувати не можна за жодних обставин.

Як відкрити консоль одразу в потрібній папці?

Відкрийте папку у Провіднику, клацніть в адресному рядку, наберіть cmd або powershell і натисніть Enter. Консоль запуститься вже в цьому каталозі — переходити через cd не доведеться.

Ця стаття Як знайти й відкрити будь-який файл через командний рядок: cmd, PowerShell і Термінал Windows раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

За останній рік ринок менеджерів паролів перебудувався сильніше, ніж за попереднє десятиліття. Bitwarden уперше з моменту запуску підняв ціну преміум-тарифу, 1Password подорожчав на третину, Dashlane узагалі прибрав безкоштовний план, а історія з LastPass дійшла до мільйонного штрафу регулятора і слідів у російській екосистемі відмивання криптовалюти. Розбираємо, який менеджер паролів обрати у 2026 році, кого варто оминути й чому самого лише «надійного пароля» вже недостатньо.

Логіка залишилася незмінною: якщо ви використовуєте той самий пароль у пошті, банківському кабінеті та на форумі, витік бази форуму автоматично відкриває зловмиснику доступ до решти. Менеджер паролів усуває саме цю проблему — він генерує та зберігає окремий складний пароль для кожного сервісу, а вам потрібно памʼятати лише один.

Актуальності темі додає українська статистика. За даними Держспецзвʼязку, у 2025 році CERT-UA опрацювала майже 6 тисяч кіберінцидентів — на 37,4% більше, ніж роком раніше. Значна частина фішингових розсилок надходить зі скомпрометованих облікових записів українських підприємств та організацій — тобто зі справжніх, а не підроблених адрес. Захист облікових даних перестав бути особистою гігієною й став елементом стійкості.

Що змінилося за рік: коротко про головне

• Bitwarden подорожчав. У січні 2026 року вартість преміум-передплати зросла до $1,65 на місяць ($19,80 на рік), сімейного тарифу — до $3,99 на місяць ($47,88 на рік на шість осіб). Безкоштовний план компанія залишила без змін (заява Bitwarden).
• 1Password підвищив ціни наприкінці березня 2026 року. Індивідуальний тариф коштує $3,99 на місяць, сімейний — $5,99 на місяць за річної оплати; знижені $2,99 і $4,49 діють лише для нових клієнтів у перший рік (тарифи 1Password).
• Dashlane остаточно відмовився від безкоштовного тарифу у вересні 2025 року — тепер доступні тільки платні плани та 30 днів на повернення коштів.
• Ключі доступу вийшли на масштаб. FIDO Alliance оцінює їхню кількість у світі у 5 мільярдів; 75% опитаних уже увімкнули ключ доступу щонайменше в одному сервісі (State of Passkeys 2026).
• LastPass отримав штраф £1,2 млн від британського регулятора ICO у грудні 2025 року, а крадіжки криптовалюти з викрадених у 2022 році сховищ тривають і досі.

Як працює менеджер паролів

Менеджер паролів — це зашифроване сховище, доступ до якого відкриває один майстер-пароль. Усередині зберігаються логіни, паролі, ключі доступу, банківські картки, захищені нотатки й документи. Застосунок сам підставляє потрібні дані у форму входу, генерує нові паролі та синхронізує сховище між пристроями.

Практично всі сучасні сервіси побудовані на архітектурі нульового знання: дані шифруються безпосередньо на вашому пристрої, а на сервери компанії потрапляють уже у зашифрованому вигляді. Постачальник не має вашого майстер-пароля й не може розшифрувати сховище — навіть якщо його сервери зламають, зловмисник отримає лише масив нечитабельних даних.

Зворотний бік цієї моделі: якщо ви забудете майстер-пароль, відновити доступ у більшості випадків неможливо. Саме тому майстер-пароль варто зробити довгою парольною фразою, записати її на папері й зберігати в надійному фізичному місці, а також налаштувати аварійний доступ для довіреної особи, якщо тариф це дозволяє.

Важливий нюанс, який добре ілюструє справа LastPass: захист сховища залежить не лише від алгоритму шифрування, а й від стійкості вашого майстер-пароля. Про те, як його скласти, ми писали в окремому матеріалі — парольна фраза чи складна комбінація символів.

Ключі доступу не скасували паролі, але вже змінили правила

У травні 2026 року FIDO Alliance опублікувала звіт State of Passkeys, за яким у світі використовується близько 5 мільярдів ключів доступу. Про технологію знають 90% опитаних, 75% увімкнули її щонайменше в одному сервісі, 49% користуються нею регулярно там, де вона доступна, а 68% організацій уже впровадили або впроваджують ключі доступу для співробітників (FIDO Alliance). Дослідження охопило 11 тисяч користувачів і 1400 керівників у десяти країнах.

Ключ доступу — це пара криптографічних ключів. Приватний залишається на вашому пристрої під захистом біометрії або PIN-коду, публічний зберігає сервіс. Красти нічого: паролю, який можна виманити фішингом чи підібрати, просто не існує.

Проте паролі нікуди не зникли. Більшість сервісів підтримують ключі доступу паралельно зі старим входом, тож менеджер паролів залишається потрібним — тепер уже як сховище одразу для двох типів облікових даних. Детальніше про технологію — у нашому поясненні, що таке ключі доступу.

Чи достатньо менеджера, вбудованого в браузер

Chrome, Firefox, Edge і Safari пропонують збереження паролів безкоштовно, і це однозначно краще, ніж один пароль на всі сервіси. Але у вбудованих сховищ є обмеження, які варто розуміти.

• Приʼязка до екосистеми: паролі, збережені в Safari, не синхронізуються на Android, а сховище Chrome незручно використовувати за межами браузера.
• Слабкий захист на скомпрометованому компʼютері: якщо хтось має фізичний доступ до вашого пристрою та розблокованого профілю, дістатися до збережених паролів значно простіше, ніж до окремого сховища з власним майстер-паролем.
• Немає повноцінного аудиту сховища, безпечного обміну доступами, поштових псевдонімів і зберігання довільних типів даних.

Окремо варто згадати застосунок «Паролі» від Apple: він коректно синхронізується через iCloud, підтримує ключі доступу і для користувача, який живе виключно в екосистемі Apple, є цілком робочим безкоштовним варіантом. Щойно зʼявляється пристрій на Windows або Android, зручність зникає.

Bitwarden — оптимальний вибір для більшості

Bitwarden залишається найзбалансованішим рішенням: відкритий код, регулярні незалежні аудити, застосунки для Windows, macOS, Linux, Android та iOS і розширення для всіх основних браузерів. Безкоштовний тариф дозволяє зберігати необмежену кількість паролів і ключів доступу та синхронізувати їх між необмеженою кількістю пристроїв — умова, якої немає в жодного великого конкурента.

У січні 2026 року компанія оновила платні плани: преміум коштує $1,65 на місяць ($19,80 на рік), сімейний — $3,99 на місяць ($47,88 на рік на шість осіб). Одночасно преміум отримав сповіщення про проблеми у сховищі, підказки щодо заміни слабких паролів, 5 ГБ для вкладень замість 1 ГБ і підтримку до десяти ключів безпеки. Безкоштовний тариф компанія прямо зобовʼязалася не змінювати.

Окрема перевага для тих, хто не хоче довіряти дані чужим серверам, — офіційна можливість розгорнути Bitwarden на власному сервері. Варто памʼятати й про інший бік відкритої екосистеми: у квітні 2026 року npm-пакет Bitwarden CLI став ціллю атаки на ланцюжок постачання. Це не компрометація сховищ, але нагадування, що оновлення варто ставити з офіційних джерел.

Proton Pass — найсильніший безкоштовний тариф

Proton Pass від швейцарської Proton пропонує найщедріший безкоштовний план на ринку: необмежені паролі, необмежені пристрої, підтримка ключів доступу на всіх платформах, генератор паролів, сповіщення про слабкі та повторювані комбінації і 10 поштових псевдонімів, які приховують вашу справжню адресу (тарифи Proton Pass).

Платний Pass Plus додає необмежені псевдоніми, вбудований генератор одноразових кодів, захищений обмін сховищами й окремими записами, моніторинг витоків, вкладення файлів, аварійний доступ та власні домени для псевдонімів. Якщо ви вже користуєтеся Proton Mail або Proton VPN, має сенс дивитися на пакет Proton Unlimited.

Клієнтські застосунки Proton Pass мають відкритий код, компанія працює за швейцарським законодавством про захист даних. Тим, кого цікавлять поштові псевдоніми як окремий інструмент, стане в пригоді наш огляд сервісу одноразових адрес Firefox Relay.

1Password — коли потрібні максимальна зручність і Travel Mode

1Password не має безкоштовного тарифу: доступні 14 днів пробного періоду, після чого індивідуальний план коштує $3,99 на місяць, сімейний на пʼятьох — $5,99 на місяць за річної оплати. Знижені ставки $2,99 і $4,49, які видно на сайті, компанія обмежує першим роком для нових клієнтів. У перерахунку це приблизно $48 на рік за індивідуальний тариф і $72 на рік за сімейний.

Натомість ви отримуєте найдоопрацьованіші застосунки в категорії, підтримку всіх платформ включно з Linux і ChromeOS, інструмент командного рядка, зберігання SSH-ключів та API-токенів, а також моніторинг витоків Watchtower.

Функція, яка в українських реаліях заслуговує на окрему увагу, — Travel Mode. Вона тимчасово видаляє обрані сховища з пристроїв, а після перетину кордону відновлює їх одним натисканням. Для журналістів, волонтерів і всіх, хто регулярно перетинає кордон із робочим ноутбуком чи телефоном, це відчутна перевага: під час перевірки на пристрої фізично немає чутливих даних.

Архітектурна особливість сервісу — Secret Key: окремий згенерований ключ, який використовується разом із майстер-паролем. Це помітно ускладнює перебір, але означає, що частину доступу створили не ви, тож копію «аварійного набору» слід зберігати офлайн. У 2026 році сервіс також додав захист від фішингу.

NordPass, Dashlane і Keeper: коли вони мають сенс

NordPass

Менеджер від Nord Security використовує шифрування XChaCha20 замість поширенішого AES-256 і має охайний інтерфейс. Головний аргумент — пакетна ціна разом із NordVPN та NordLocker для тих, хто вже користується цими сервісами. Головне обмеження — безкоштовний тариф дозволяє лише один активний сеанс: щойно ви входите на телефоні, сеанс на ноутбуці завершується. Преміум коштує близько $2 на місяць за річної оплати, але ціна поновлення зазвичай вища за акційну, тож умови продовження варто перевіряти окремо.

Dashlane

Dashlane пропонує моніторинг витоків, сповіщення про фішингові сайти з підробленими адресами й вбудований VPN, а сімейний тариф охоплює до десяти осіб — більше, ніж у конкурентів. Компанія відмовилася від десктопних застосунків і працює переважно через розширення для браузерів та мобільні застосунки. Безкоштовного тарифу більше немає, індивідуальна передплата коштує близько $5 на місяць, що робить Dashlane одним із найдорожчих варіантів у добірці.

Keeper

Keeper орієнтований на команди й організації: замість окремих сховищ тут використовується структура тек із розподілом прав, схожа на Google Drive, є одноразові посилання для передавання доступів назовні та записи, що самознищуються після відкриття. Для приватного користувача це надлишкова гнучкість, для невеликої компанії чи ІТ-відділу — вагома перевага. Частина функцій, зокрема моніторинг витоків, продається як окремі модулі.

KeePassXC та Enpass — коли сховище має залишатися у вас

Якщо ви принципово не хочете, щоб зашифрована база зберігалася на серверах постачальника, є два перевірені варіанти.

KeePassXC зберігає паролі у локальному зашифрованому файлі, який захищається майстер-паролем, файлом-ключем або обома одночасно. Синхронізацію ви організовуєте самостійно — через будь-яку хмару або власний сервер. Проєкт має відкритий код і застосунки для Windows, macOS і Linux; офіційних мобільних клієнтів немає, розробники рекомендують сторонні застосунки для Android та iOS. Це найгнучкіший і повністю безкоштовний варіант, але він вимагає готовності самостійно розвʼязувати проблеми.

Enpass працює за схожим принципом, але має власні застосунки на всіх платформах і зручні налаштування синхронізації через Dropbox, Google Drive, OneDrive, iCloud, Nextcloud або будь-який сервіс із підтримкою WebDAV. Синхронізувати базу можна й у межах локальної мережі. Enpass не зберігає ваших даних у себе, тож зламувати в компанії просто нічого.

Кого варто оминути у 2026 році

LastPass

11 грудня 2025 року британський регулятор ICO оштрафував LastPass UK на £1,2 млн за витік 2022 року, який зачепив персональні дані до 1,6 млн британських користувачів. У матеріалах розслідування описано механіку злому: спершу зловмисник скомпрометував робочий ноутбук співробітника в Європі, потім — особистий ноутбук інженера у США, встановив там кейлогер і перехопив майстер-пароль, а двофакторну автентифікацію обійшов за допомогою cookie довіреного пристрою. Особистий і робочий сейфи інженера були повʼязані одним майстер-паролем, і це дало доступ до ключів шифрування резервної бази.

Регулятор наголосив, що самі паролі користувачів залишилися зашифрованими. Проблема в іншому: сховища з слабкими майстер-паролями відтоді послідовно зламують офлайн. У 2025 році Секретна служба США вилучила понад $23 млн криптовалюти, зазначивши, що приватні ключі жертв були отримані саме з розшифрованих сховищ менеджера паролів.

Наприкінці 2025 року компанія TRM Labs, що спеціалізується на блокчейн-розслідуваннях, простежила подальший шлях украдених коштів. За її оцінками, понад $28 млн було виведено через Wasabi Wallet наприкінці 2024 — на початку 2025 року, ще близько $7 млн — під час хвилі у вересні 2025 року. Кошти неодноразово виводилися через повʼязані з росією біржі, зокрема Cryptex і Audi6, а цифрові сліди до та після змішування вказують на операційний контроль з боку російської кіберзлочинної екосистеми.

Ключовий висновок для користувача: гроші крадуть не одразу після витоку, а хвилями через роки. Якщо ви колись зберігали в LastPass seed-фрази, приватні ключі або критичні доступи, недостатньо змінити майстер-пароль — потрібно перевипустити самі секрети.

Програмне забезпечення російського та білоруського походження

Менеджер паролів — це категорія, у якій питання юрисдикції розробника не є теоретичним: сервіс отримує повний перелік ваших сервісів і доступів. Показовий приклад — Passwork, розслідування щодо якого виявило спільне коріння та синхронні оновлення з російською компанією, сертифікованою ФСТЕК і ФСБ. Редакція не рекомендує використовувати рішення російського чи білоруського походження для зберігання облікових даних — незалежно від того, де формально зареєстрована юридична особа.

Порівняльна таблиця

Ціни наведено станом на серпень 2026 року в доларах США за річної оплати. Вартість у гривні залежить від курсу, регіону та поточних акцій, а ставка поновлення часто відрізняється від ціни першого року.

Як перейти на менеджер паролів: сім кроків

1. Оберіть сервіс і створіть акаунт. Для більшості читачів достатньо безкоштовного тарифу Bitwarden або Proton Pass.
2. Складіть майстер-пароль. Найпростіший робочий підхід — парольна фраза щонайменше з чотирьох випадкових слів. Запишіть її на папері й покладіть у надійне місце.
3. Увімкніть двофакторну автентифікацію для входу в сам менеджер. Найкращий варіант — апаратний ключ; прийнятний — застосунок-автентифікатор. Автентифікації через SMS варто уникати через ризик підміни SIM-картки.
4. Імпортуйте наявні паролі. Усі великі сервіси підтримують перенесення з браузера або іншого менеджера через файл CSV. Після імпорту цей файл слід видалити остаточно, а не лишати в теці завантажень.
5. Запустіть аудит сховища. Почніть заміну зі слабких, повторюваних і скомпрометованих паролів, рухаючись від пошти та банківських сервісів до менш критичних.
6. Увімкніть ключі доступу там, де вони підтримуються, і збережіть їх у тому самому сховищі.
7. Налаштуйте аварійний доступ для довіреної особи, якщо ваш тариф це дозволяє, і зробіть зашифровану резервну копію сховища.

Окрема порада щодо автозаповнення: залишайте його напівавтоматичним. Повністю автоматичне підставляння даних у форми історично ставало причиною атак через приховані поля на сторінці, тому підтверджувати підстановку вручну — розумний компроміс.

Часті питання

Чи безпечно зберігати всі паролі в одному місці?

Так, за умови архітектури нульового знання, довгого майстер-пароля та увімкненої двофакторної автентифікації. Ризик концентрації даних менший за ризик використання одного пароля на десятках сервісів або зберігання паролів у нотатках і браузері.

Що буде, якщо я забуду майстер-пароль?

У більшості сервісів відновити доступ неможливо — це прямий наслідок того, що постачальник не зберігає ваш ключ. Часткові страховки: аварійний доступ для довіреної особи, коди відновлення й записана офлайн копія майстер-пароля.

Чи вистачить безкоштовного тарифу?

Для більшості приватних користувачів так. Безкоштовний Bitwarden дає необмежену кількість паролів і пристроїв, безкоштовний Proton Pass додає до цього 10 поштових псевдонімів. Платити варто тоді, коли потрібні моніторинг витоків, вбудований генератор одноразових кодів, сімейний доступ або зберігання файлів.

Чи замінять ключі доступу паролі найближчим часом?

Ні. За даними FIDO Alliance, у світі використовується близько 5 мільярдів ключів доступу, але паролі працюють паралельно майже скрізь. Найближчі роки менеджер зберігатиме обидва типи облікових даних одночасно.

Що робити колишнім користувачам LastPass?

Перенести сховище в інший сервіс, змінити паролі до критичних акаунтів і, найголовніше, перевипустити всі секрети, які не зводяться до пароля: seed-фрази криптогаманців, приватні ключі, коди відновлення й API-токени. Зміна майстер-пароля вже не захищає дані, викрадені у 2022 році.

Чи можна довіряти хмарній синхронізації?

Так, якщо шифрування відбувається на пристрої до передавання. Саме так працюють усі сервіси з цієї добірки. Якщо ви не хочете покладатися на чужу інфраструктуру взагалі, є KeePassXC, Enpass або самостійний хостинг Bitwarden.

Що обрати

• Більшості користувачів — Bitwarden: безкоштовний тариф без обмежень за пристроями, відкритий код і найнижча ціна преміуму серед великих сервісів.
• Тим, хто не готовий платити взагалі, — Proton Pass: найширший безкоштовний функціонал і поштові псевдоніми в комплекті.
• Тим, хто цінує зручність і часто перетинає кордон, — 1Password із Travel Mode.
• Командам і невеликим компаніям — Keeper або бізнес-тарифи 1Password.
• Тим, хто хоче контролювати сховище самостійно, — KeePassXC, Enpass або Bitwarden на власному сервері.

Найгірший сценарій — не використовувати менеджер узагалі. Історія LastPass показує не те, що менеджери паролів небезпечні, а те, що навіть у найгіршому випадку зашифроване сховище з довгим майстер-паролем встояло, тоді як сховища зі слабкими паролями зламали офлайн через роки після витоку.

Ця стаття Кращі менеджери паролів у 2026 році: що змінилося на ринку і як обрати сховище раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Google готує для Chrome захист, який не даватиме встановлювати через корпоративні політики розширення, що підміняють сторінку нової вкладки або типову пошукову систему. Функція розрахована на звичайні домашні компʼютери з Windows і macOS, які не перебувають під керуванням жодної організації, — саме там шкідливі програми роками зловживають механізмом, створеним для системних адміністраторів.

Що саме готує Google

Зміни зʼявилися у вигляді низки чернеток у системі рецензування коду Chromium Gerrit. До стабільної версії браузера вони ще не дійшли: код перебуває на розгляді, і лише після схвалення прапорець функції kBlockDseNtpOverrideExtensionsOnUnmanagedDevices планують увімкнути за замовчуванням.

У коментарі до одного з наборів змін інженер Google Анунай Гош (Anunoy Ghosh) пояснює логіку: у середовищах із низьким рівнем довіри — тобто на некерованих споживчих пристроях — примусове встановлення розширень і рекомендації через корпоративні політики використовують для того, щоб закріпити в браузері захоплювачі пошуку та нової вкладки. Сам набір змін, за його словами, вмикає наскрізний захист на некерованих пристроях з Windows і macOS.

Як шкідливі програми зловживають корпоративними політиками

Механізм, про який ідеться, називається ExtensionInstallForcelist. Він дає адміністраторам змогу тихо встановлювати розширення без участі користувача, причому користувач не може ані видалити їх, ані вимкнути через інтерфейс браузера. У документації Google прямо зазначено, що дозволи таким розширенням надаються неявно.

На компʼютері, який справді приєднано до домену або керується через MDM, це звичайний робочий інструмент. Проблема в іншому: на домашньому пристрої Chrome читає локальні ключі політик, не отримуючи підтвердження від жодного довіреного джерела — ні від контролера домену, ні від служби керування пристроями. Тому шкідлива програма, яка вже отримала доступ до системи, може дописати такі ключі самостійно. Браузер сприйме розширення як встановлене адміністратором.

Наслідки для користувача виглядають так: підмінена сторінка нової вкладки, змінена пошукова система, перенаправлення запитів на сумнівні сайти — і жодної активної кнопки «Видалити» у списку розширень. Додатковий побічний ефект: у меню Chrome зʼявляється напис «Керується вашою організацією», хоча жодної організації за пристроєм немає.

Варто розуміти й межі цього механізму. За документацією Google, у Windows розширення поза Chrome Web Store можна встановити примусово лише на пристрої, приєднаному до домену Active Directory чи Microsoft Entra ID або зареєстрованому в Chrome Enterprise Core; у macOS — лише за наявності MDM, MCX або тієї ж реєстрації. Тобто на домашньому компʼютері зловмисники здебільшого змушені спиратися на розширення, які вже розміщені у Chrome Web Store.

Напис у меню ще не означає зараження

Тут важливо не переплутати причину з наслідком. «Керується вашою організацією» — штатна функція браузера, а не сигнал тривоги. Chrome показує цей напис, щойно до нього застосовано хоча б одну політику, незалежно від того, звідки вона взялася і наскільки нешкідлива. На особистому пристрої політики цілком легально зʼявляються щонайменше трьома шляхами.

• Ви увійшли у профіль Chrome робочим або навчальним акаунтом. Тоді політики надходять із хмари й зникають після виходу з акаунта чи переходу в окремий профіль.
• Пристрій колись був корпоративним або купувався з рук, а профіль керування з нього не зняли.
• Політики прописав застосунок, який ви встановили самі. Так роблять деякі VPN-клієнти, захисні програми та скрипти для посилення приватності — зокрема ті, що вимикають ШІ-функції браузера.

Відрізнити одне від одного можна за конкретними назвами політик на сторінці chrome://policy. Насторожувати мають лише ті, що керують пошуком, стартовою сторінкою та примусовим встановленням розширень:

• ExtensionInstallForcelist — примусово встановлює розширення, яке неможливо видалити;
• DefaultSearchProviderSearchURL та інші політики з префіксом DefaultSearchProvider — перевизначають пошукову систему;
• NewTabPageLocation — підміняє сторінку нової вкладки;
• HomepageLocation — задає стартову сторінку.

Якщо жодної з них у переліку немає, а є, скажімо, GeminiSettings, HelpMeWriteSettings чи BuiltInDnsClientEnabled — це налаштування функцій самого браузера, а не захоплення. Такий набір типовий для конфігурацій, які свідомо вимикають ШІ-начинку Chrome і зайву телеметрію.

Другий контрольний сигнал — сторінка chrome://extensions. Якщо кожне розширення можна вимкнути та видалити, керування нікому не заважає. Заблокована кнопка видалення — ось що справді потребує уваги.

Корисна й колонка «Джерело» у таблиці політик. Значення «Хмара» вказує на Google-акаунт у профілі браузера, «Платформа» — на файл конфігурації, що лежить на диску. У macOS такі файли шукають у теці /Library/Managed Preferences/, а встановлені профілі керування видно в Системних налаштуваннях, у розділі «Керування пристроями».

Що зміниться після ввімкнення захисту

• Chrome блокуватиме спроби встановити кероване політикою розширення, яке перевизначає нову вкладку або типову пошукову систему. Встановлення скасовуватиметься, а ідентифікатор розширення потраплятиме до переліку заблокованих.
• Браузер більше не намагатиметься завантажити заблоковане розширення під час наступних перевірок політик. Це має припинити нескінченні повторні спроби встановлення та зайвий мережевий трафік.
• Розширення, яке користувач встановив власноруч, більше не «перетворюватиметься» на кероване політикою. Воно залишиться під контролем користувача, тож його можна буде вимкнути або видалити.
• Якщо пристрій раніше був керованим, але втратив цей статус, а локальні ключі політик на ньому лишилися, Chrome автоматично видалить відповідні розширення-перевизначники.
• Google додає метрики, щоб оцінити, наскільки поширені такі захоплювачі і як часто браузер їх блокує.
• Для легітимних адміністраторів передбачено окрему «аварійну» політику, яка вимикає захист — на випадок, коли потрібне корпоративне розширення справді має перевизначати нову вкладку чи пошук.

Чого поки що не варто очікувати

Набори змін усе ще перебувають на розгляді, тож у стабільному Chrome функції немає. Термінів увімкнення Google не називала, а частина запропонованої поведінки може змінитися до релізу. Захист також не універсальний: він націлений саме на перевизначення нової вкладки та пошукової системи через політики і не стосується інших способів, у які шкідливе ПЗ дістається до браузера — від крадіжки сесійних файлів cookie до багатоетапних кампаній, де фінальне навантаження збирається вже на боці жертви.

Що робити вже зараз

Дочекатися оновлення Chrome — не єдиний варіант. Якщо у вашому браузері вже змінилася нова вкладка чи пошук, перевірити ситуацію можна за кілька хвилин.

1. Перевірте статус керування. Введіть в адресному рядку chrome://management і натисніть Enter. На особистому пристрої, який не належить роботодавцю чи навчальному закладу, керування має бути відсутнє. Докладніше про перевірку — у довідці Google.
2. Подивіться перелік політик. Адреса chrome://policy покаже, які саме правила застосовано до браузера. Записи, походження яких ви не можете пояснити, — привід для тривоги.
3. Перегляньте розширення. На сторінці chrome://extensions зверніть увагу на позиції, які неможливо вимкнути. Покроково цей процес ми розбирали в інструкції «Як видалити або вимкнути розширення в Google Chrome».
4. Знайдіть джерело проблеми в системі. Політику дописала якась програма, тож самого лише прибирання розширення недостатньо — після перезапуску воно повернеться. Перевірте список встановлених програм і проскануйте систему антивірусом.
5. Скиньте налаштування браузера. Після очищення системи скористайтеся скиданням налаштувань Chrome до типових. Покроково це описано в довідці Google про видалення небажаного ПЗ. Там же зазначено, що браузер і зараз перевіряє під час кожного запуску, чи не змінилися його налаштування, і відновлює важливі значення до безпечних.

Часті запитання

Напис «Керується вашою організацією» завжди означає зараження?

Ні. Це штатна функція Chrome, яка зʼявляється щоразу, коли до браузера застосовано політики. На робочому ноутбуці або пристрої навчального закладу вона очікувана. Тривожним сигналом є поява напису на особистому компʼютері, який ніхто не налаштовував централізовано.

Чи можна видалити розширення, встановлене через політику?

Через інтерфейс браузера — ні, кнопка видалення буде неактивною. Спершу потрібно прибрати саму політику, а разом із нею й програму, яка її створила. Після зникнення політики Chrome видаляє відповідне розширення самостійно.

Політики є, але серед них немає підозрілих. Що робити?

Найімовірніше, нічого. Якщо у переліку лише налаштування функцій браузера, а всі розширення можна вимкнути та видалити, це не захоплення. Варто лише зʼясувати походження конфігурації: чи це залишок від колишнього робочого керування, чи її прописав встановлений вами застосунок. Видаляти файли політик наосліп не варто — якщо їх створює якась програма, вона просто пропише все знову.

Захист працюватиме на всіх платформах?

У чернетках змін ідеться про некеровані пристрої з Windows і macOS. Про Linux, ChromeOS чи мобільні версії у наявних матеріалах не згадано.

Чи постраждають корпоративні розширення?

Ні. Захист розрахований лише на пристрої без підтвердженого керування. Крім того, для адміністраторів передбачено окрему політику, яка вимикає його на випадок, коли корпоративне розширення справді має перевизначати нову вкладку чи пошукову систему.

Ця стаття Chrome блокуватиме розширення, які захоплюють нову вкладку та пошук через корпоративні політики раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

30 липня 2026 року Google додала до вебверсії Google Earth генератор зображень Nano Banana 2: користувач міг наблизити будь-яку точку на карті, ввести речення — і отримати фотореалістичне зображення, накладене на справжні супутникові, аерофото- та 3D-знімки цього місця. Менш ніж за добу компанія вимкнула функцію. Дослідники за один вечір згенерували неіснуючу атомну електростанцію в Ірані, табір біженців на кордоні США та Мексики, кратер від вибуху біля лікарні в Газі — і російські танки в центрі Києва.

Що саме запустила Google

Функція зʼявилася в Google Earth під кнопкою «create image» і була доступна глобально, без списку очікування, лише у вебверсії сервісу — у застосунках для Android та iOS її не було. В анонсі на офіційному блозі менеджер продукту Google Earth Браян Горовіц описував інструмент як спосіб побачити реконструкцію Помпеїв часів Римської імперії, згенерувати інфографіку про Статую Свободи, візуалізувати забудову порожньої ділянки в Токіо або майбутній будинок біля озера.

Ключова відмінність від звичайних генераторів зображень полягала саме в підкладці. Nano Banana 2 працював не з чистим аркушем, а з реальними геоданими Google: згенерована сцена лягала поверх автентичного знімка конкретних координат. Саме це Google подавала як перевагу — і саме це виявилося головною проблемою.

Тест, який зайняв один вечір

Уже ввечері 30 липня нідерландський дослідник відкритих джерел Хенк ван Есс перевірив нову функцію і описав результат у своїй розсилці Digital Digging. За кілька запитів він розмістив біженців біля мексиканського кордону, атомну електростанцію в Ірані, смертельну аварію на вулиці Амстердама та лікарню в Газі з кратером від вибуху поруч. Під усіма трьома сценами — власні супутникові знімки Google.

«Нічого не було відхилено», — зафіксував ван Есс. Модель не пропонувала переформулювати запит і не помʼякшувала результат. Його головна теза: підробка не мусить бути переконливою сама по собі, бо вона успадковує довіру до карти, на якій зображена.

Незалежно від нього редакція NPR згенерувала пожежу на іранському нафтовому терміналі острова Харк і затоплений Капітолій США. Видання Futurism отримало Білий дім у вигляді поля бою, а Financial Times перелічила серед створених користувачами сцен літак, що врізається в хмарочос, і вибух у москві.

Танки росії в центрі Києва: що згенерувала BBC Verify

Команда BBC Verify провела власне тестування і повідомила, що змогла створити зображення зруйнованої Ейфелевої вежі, величезної вирви, яка поглинає піраміду Хеопса в Гізі, та російських танків у центрі української столиці. Усі сцени — вигадані, усі привʼязані до справжніх географічних координат.

Захисні механізми при цьому спрацьовували вибірково. Коли журналісти попросили «викосити» на газоні Білого дому слово Trump, інструмент відмовив із посиланням на правила. Прохання розмістити на тому самому місці громадський сад він виконав без застережень. Невеликі зміни у формулюванні запиту, за даними BBC Verify, дозволяли обійти обмеження.

Дослідник у сфері виявлення ШІ-контенту Генрі Адждер попередив: фальшиві зображення із зон бойових дій особливо дестабілізують ситуацію тоді, коли події розвиваються швидко, а достовірної інформації бракує. Він також зауважив, що простори, які вважалися «незаплямованими» штучним інтелектом, мають окрему цінність для журналістів і для тих, хто працює на передовій кризових подій.

Геопросторовий аналітик Білл Ґрір, співзасновник некомерційного сервісу Common Space, у коментарі BBC Verify наголосив, що шкода для суспільної довіри тут особлива: супутникові знімки історично сприймалися як один із найнадійніших видів даних.

Чому водяний знак SynthID не став запобіжником

До відкоту функції Google наголошувала, що кожне згенероване зображення несе невидимий водяний знак SynthID, розроблений Google DeepMind, і що його можна перевірити через застосунок Gemini або Google Lens.

На практиці ця гарантія виявилася хиткою. Тестування BBC Verify показало, що перевірку можна обійти: якщо подати фейкове зображення назад у Gemini з відповідним формулюванням запиту, чат-бот у частині випадків визначав підробку як справжній знімок. Сторонні сервіси виявлення ШІ-контенту теж не розпізнавали окремі зображення.

Принципова межа SynthID у тому, що це маркер походження, а не запобіжник. Він дозволяє встановити, що зображення згенероване, — але не заважає його створити, не мандрує разом зі скриншотом і не має жодного значення для людини, яка побачила картинку в стрічці й не збирається нічого перевіряти. Про схожу проблему з довірою до синтетичного контенту cybercalm.org писав у матеріалі про ШІ-«лікарів» у TikTok.

Що відповіла Google

31 липня компанія додала до початкового анонсу оновлення і вимкнула функцію. У заяві Google зазначила, що люди довіряють Google Earth як надійному відображенню світу; що геопросторові фахівці використовували інструмент для корисних завдань, але водночас у мережі поширювалися скриншоти згенерованих зображень, які, схоже, порушують правила компанії. Функцію відкочено на час роботи над «сильнішими запобіжниками».

Google також підкреслила, що згенеровані зображення не потрапляли в основний інтерфейс Google Earth і не були видимі іншим користувачам, а також мали позначку про ШІ-походження. Термінів повернення функції компанія не назвала. Формально йдеться про паузу, а не про скасування.

Це не перший випадок зловживання ШІ Google

Історія з Google Earth лягає в довший ряд. 12 червня 2026 року Google подала позов до федерального суду Мангеттена проти китайської кіберзлочинної мережі, яку компанія називає Outsider Enterprise. За версією Google, учасники мережі використовували Gemini для генерації коду фішингових сторінок, а потім імпортували його у власний набір інструментів. За даними позову, із мережею повʼязують понад 9 тисяч фальшивих сайтів і близько 1,59 млн шахрайських URL, а ліцензія на набір коштувала від 88 доларів на тиждень. Це був перший позов Google щодо зловживання саме її ШІ-інструментами.

Паралельно Google Threat Intelligence Group (GTIG) веде квартальну звітність про зловмисне використання ШІ. У лютневому звіті 2026 року група описала зростання атак на витягування моделей, появу шкідливого ПЗ, яке звертається до API Gemini під час виконання, та зрілий підпільний ринок «зламаних» ШІ-інструментів. У травневому звіті GTIG зафіксувала, що зловмисники соціально інженерять самі запити — наприклад, видають шкідливі прохання за завдання зі змагань capture the flag, щоб обійти обмеження моделі.

Чому це окрема проблема для України

Для країни, що воює, фальшиві супутникові знімки — не абстрактний ризик. Вони можуть слугувати «доказом» наслідків ракетного удару, якого не було, або навпаки — приводом заперечити удар, який стався. Саме тому тест BBC Verify із російськими танками в центрі Києва варто читати не як курйоз, а як демонстрацію готового інструменту інформаційної операції.

Українські фахівці вже стикалися з тим, що російські ШІ-інструменти вбудовуються безпосередньо у зловмисне ПЗ. У звіті GTIG описано шкідливу програму PROMPTSTEAL, яку CERT-UA задокументувала під назвою LAMEHUG: у червні 2025 року її застосувала група APT28 (UAC-0001, повʼязана з ГРУ) проти українського сектору безпеки й оборони. Замість жорстко зашитих команд програма зверталася до мовної моделі Qwen2.5-Coder-32B-Instruct через API Hugging Face і генерувала команди на льоту. GTIG назвала це першим випадком, коли шкідливе ПЗ звертається до LLM у реальній операції.

Показова деталь: файли LAMEHUG поширювалися під іменами на кшталт «AI_image_generator_v0.95.exe» — тобто маскувалися саме під генератор зображень. Тема ШІ-генерації вже працює як приманка проти українських користувачів.

Як перевіряти супутникові знімки: що можна зробити самому

Відкіт функції не робить проблему меншою: зображення, згенеровані за добу її роботи, залишилися на дисках і в соцмережах. Кілька практичних кроків, які знижують ризик повірити підробці.

1. Шукайте другий незалежний знімок. Комерційні оператори — Planet, Maxar, Sentinel Hub, а також безкоштовний Copernicus Browser із даними Sentinel-2 — дають знімки тих самих координат від інших постачальників. Подія, яку видно лише в одному джерелі, майже завжди фейк.
2. Перевіряйте дату й метадані. Google Earth підписує дату зйомки шару. Якщо «свіжа» катастрофа лежить на знімку кількарічної давності, це вже відповідь.
3. Читайте тіні та геометрію. Напрямок тіней має збігатися для всіх обʼєктів у кадрі. Згенеровані елементи часто мають тіні під іншим кутом або взагалі без них, а прямі лінії доріг і дахів у місці «домальовування» ламаються.
4. Прогоніть зображення через Gemini або Google Lens. Перевірка SynthID працює не завжди, але позитивний результат — сильний сигнал. Негативний результат нічого не доводить.
5. Не довіряйте скриншотам. Метадані та водяні знаки не переживають перезняття екрана й перезавантаження в месенджер. Якщо у вас лише скриншот — вважайте походження невстановленим.
6. Звіряйтеся з фактчекерами. В Україні знімки з зон бойових дій регулярно перевіряють Центр протидії дезінформації, StopFake та фактчекінгові редакції великих медіа.

Загальні ознаки синтетичних медіа та методи їх розпізнавання cybercalm.org розбирав у матеріалі про діпфейки. Про те, які функції Google Maps лишаються корисними і безпечними, ми писали окремо.

Питання та відповіді

Чи працює генерація зображень у Google Earth зараз?

Ні. Google вимкнула функцію 31 липня 2026 року, менш ніж за добу після запуску. Компанія заявила, що поверне її після впровадження сильніших запобіжників, але термінів не назвала.

Чи були згенеровані зображення видимі іншим користувачам Google Earth?

За заявою Google — ні. Зображення не потрапляли в основний інтерфейс сервісу й не показувалися стороннім. Проблема в іншому: користувач міг завантажити результат або зробити скриншот і поширити його на будь-якій платформі.

Чи можна відрізнити такі зображення від справжніх супутникових знімків?

Не завжди. Кожне зображення несло невидимий водяний знак SynthID, який перевіряється через Gemini або Google Lens. Проте тестування BBC Verify показало, що перевірку в частині випадків удавалося обійти, а сторонні детектори ШІ-контенту не розпізнавали окремі зображення. Скриншот, зроблений із такої картинки, водяного знака може не зберегти.

Які саме фейкові зображення вдалося створити дослідникам?

Серед задокументованих прикладів: атомна електростанція в Ірані, табір біженців на кордоні США та Мексики, лікарня в Газі з кратером від вибуху, пожежа на нафтовому терміналі острова Харк, затоплений Капітолій США, зруйнована Ейфелева вежа, вирва біля піраміди в Гізі та російські танки в центрі Києва.

Що робити, якщо я побачив підозрілий супутниковий знімок у соцмережах?

Не поширюйте його. Знайдіть ті самі координати в незалежному джерелі супутникових даних, звірте дату зйомки та напрямок тіней, за можливості перевірте зображення через Google Lens або Gemini і дочекайтеся підтвердження від фактчекерів.

Ця стаття Google Earth дозволяв «домалювати» війну на справжніх супутникових знімках. Функцію вимкнули за добу раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Агентство національної безпеки США оновило памʼятку про обмеження витоку даних щодо місцеперебування — документ, який з 2020 року був базовим посібником для всіх, хто не хоче, щоб телефон розповідав про кожен їхній крок. Нова редакція вийшла у квітні 2026 року. За кілька тижнів до цього Пентагон уперше публічно підтвердив, що противник купував комерційні дані геолокації, аби стежити за американськими військовими. Розбираємо, що змінилося в рекомендаціях і які налаштування смартфона справді дають ефект.

Що саме оновило АНБ

Документ «Limiting Location Data Exposure» уперше вийшов у серпні 2020 року. Версія 1.1 датована квітнем 2026-го — це перше оновлення майже за шість років. Змін зазнали три розділи: про визначення місцеперебування за вимкненого мобільного звʼязку, про застосунки й соцмережі, а також перелік рекомендованих заходів.

Найпомітніші доповнення:

• Зламаному пристрою не можна вірити. Якщо телефон скомпрометовано або рутовано, він може обходити механізми дозволів і не показувати індикатори доступу до сенсорів. Такий пристрій здатен зберігати й передавати координати навіть тоді, коли служби геолокації та всі бездротові модулі вимкнено.
• «Втома від керування приватністю». Що більше застосунків встановлено, то більший тягар ручного контролю дозволів — і то вищий шанс, що користувач почне механічно погоджуватися на будь-які запити.
• Відкриті мережі Wi-Fi. DNS-запити передаються у відкритому вигляді, і той, хто перебуває в зоні дії мережі, може їх перехопити. Регулярні звернення до корпоративного сайту з кавʼярні здатні розкрити адресу офісу. Якщо сайт працює через HTTP, а не HTTPS, видимим стає і вміст запитів та відповідей.
• Примітка для iOS. Вимикати Wi-Fi і Bluetooth слід через «Параметри»: перемикачі в Пункті керування можуть працювати не так, як очікує користувач.

Загальний висновок не змінився: повністю приховати місцеперебування пристрою неможливо — заходи лише зменшують обсяг даних, які він розкриває.

Служби геолокації — це не GPS

Головна теза, яку АНБ повторює з 2020 року: вимкнення служб геолокації не вимикає GPS і суттєво не знижує ризик. Цей перемикач лише обмежує доступ застосунків до координат. Операційна система продовжує використовувати дані про місцеперебування й передавати їх у мережу.

Телефон починає розкривати розташування з моменту ввімкнення, бо за замовчуванням довіряє мобільній мережі. Оператор отримує дані про місцеперебування щоразу, коли пристрій реєструється в мережі, — цього достатньо, щоб відстежувати переміщення на великій території. Отримати ці дані можна й без співпраці з оператором: комерційно доступні фальшиві базові станції дозволяють будь-кому в зоні дії зчитувати ідентифікатори пристроїв, а телефон автоматично підключається до найпотужнішого сигналу і не відрізняє таке обладнання від легітимного.

Пристрій видає місце навіть без мобільного звʼязку

Wi-Fi і Bluetooth дозволяють визначити розташування, навіть коли стільниковий звʼязок вимкнено. На деяких моделях Bluetooth неможливо вимкнути повністю, попри наявність відповідного перемикача в налаштуваннях. Непримітне обладнання на кшталт бездротових сніферів вимірює потужність сигналу й обчислює позицію — незалежно від того, чи користується власник бездротовими сервісами активно.

Навіть із вимкненими радіомодулями сенсори дають достатньо даних для обчислення координат. Датчики освітлення, тиску й температури дозволяють оцінити умови довкола: барометр, наприклад, підказує висоту над рівнем моря. Акселерометр фіксує рух за трьома осями, мікрофон реагує на гучні звуки й мовлення. Фотографії несуть координати в метаданих, а розпізнавання облич і впізнаваних обʼєктів дає змогу визначити місце навіть без метаданих. Щойно звʼязок відновлюється, накопичені дані йдуть у мережу.

Реклама як канал стеження: це вже не теорія

Найважливіша зміна відбулася не в тексті документа, а в реальності. У травні 2026 року група з чотирнадцяти конгресменів оприлюднила листування з Пентагоном, з якого випливає: Центральне командування збройних сил США отримувало повідомлення про те, що противник використовував комерційні дані геолокації для стеження за американським персоналом у зоні операцій. Це перше офіційне підтвердження такого сценарію.

У листі до Пентагону законодавці зазначають, що можливість централізовано вимикати передавання геоданих на службових смартфонах зʼявилася лише у травні 2026 року, а рекламний ідентифікатор на цих пристроях досі не деактивовано. При цьому і iOS, і Android мають налаштування, яке вимикає цей ідентифікатор, і його рекомендують як АНБ, так і CISA. Окремо конгресмени пропонують прибрати зі службових пристроїв браузери, «спроєктовані для збирання даних» рекламними компаніями, і замінити їх на браузери з блокуванням трекерів.

Що робить ці дані доступними, добре показав злам брокера Gravy Analytics у січні 2025 року. Зловмисник виклав на російськомовному форумі вибірку з понад 30 мільйонів точок геолокації; серед них — координати біля Білого дому, кремля, Ватикану та військових баз. За аналізом дослідників, дані походили з тисяч звичайних застосунків — ігор, фітнес-трекерів, застосунків для знайомств — через механізм аукціонів реклами в реальному часі. Під час такого аукціону, що триває мілісекунди, усі учасники торгів бачать модель пристрою, IP-адресу, а іноді й точні координати. Будь-хто, хто бере участь у торгах або спостерігає за ними, може ці дані зібрати.

Рекламний ідентифікатор: як його прибрати

Android

Відкрийте Параметри → Конфіденційність → Реклама і виберіть «Видалити рекламний ідентифікатор». Починаючи з Android 12 ідентифікатор можна саме видалити, а не лише скинути; з квітня 2022 року ця можливість доступна на всіх пристроях із Google Play. Після видалення застосунки, які запитують ідентифікатор, отримують рядок із нулів.

На оболонках Samsung One UI і Xiaomi HyperOS розділ може лежати за іншим шляхом — зокрема в «Google → Реклама». Якщо опції видалення немає, скидайте ідентифікатор вручну хоча б раз на тиждень: саме така мінімальна періодичність фігурує в рекомендаціях АНБ.

iPhone та iPad

Відкрийте Параметри → Приватність і безпека → Відстеження і вимкніть «Дозволити застосункам запитувати дозвіл на відстеження». За правилами App Tracking Transparency, які діють з iOS 14.5, кожен застосунок, що звертається по дозвіл за вимкненого перемикача, автоматично отримує відмову і втрачає доступ до рекламного ідентифікатора IDFA. На тому ж екрані можна попросити припинити відстеження ті застосунки, яким дозвіл було надано раніше.

Перемикач буває недоступним — наприклад, для дитячих облікових записів, для профілів під керуванням організації або якщо обліковий запис створено менш ніж три дні тому. У цих випадках усі запити на відстеження й так відхиляються автоматично.

Дозволи застосунків: менше — краще

АНБ радить давати застосункам мінімум дозволів і за можливості уникати тих, що за своєю природою розкривають місцеперебування: карт, компасів, застосунків про дорожню ситуацію, фітнесу, пошуку закладів поблизу. Якщо без такого застосунку не обійтися, дозвіл на геолокацію варто ставити в режим «лише під час використання». На Android це робиться через меню дозволів окремого застосунку, на iPhone — через «Служби локації» в розділі приватності.

Окремо варто перевірити перемикач точного місцезнаходження: більшості застосунків достатньо приблизної зони, а не координат із точністю до метрів. Корисним доповненням буде блокувальник реклами або контенту — він не дає рекламному коду завантажитися, а отже, обриває ланцюжок на першому кроці.

Історія переміщень Google: тепер на пристрої

Те, що раніше називалося «Історія місцезнаходжень», тепер має назву Timeline і зберігається безпосередньо на пристрої, а не в хмарі; вебверсію вимкнено. Водночас типовий період автовидалення скоротили з 18 місяців до трьох. Резервна копія в хмарі лишається опційною і шифрується.

Перевірити стан можна в Google Maps: торкніться фото профілю, відкрийте Timeline, потім «Місцезнаходження та налаштування конфіденційності». На Android є й системний шлях: Параметри → Локація → Служби локації → Timeline. Важливо розуміти межі цього налаштування: за поясненням Google, вимкнення Timeline не прибирає інші дані про місцеперебування, які зберігаються в обліковому записі через історію пошуку та вебактивність, зокрема приблизну локацію за IP-адресою.

Фото, метадані й соцмережі

Знімок із увімкненою геолокацією камери містить GPS-координати місця зйомки. Найпростіше рішення — вимкнути доступ камери до геоданих узагалі; для iPhone ми розбирали це в окремій інструкції. Але метадані — не єдиний канал: сучасні моделі розпізнавання здатні визначити місце за самим змістом кадру, тож обережність із публікацією потрібна навіть після очищення EXIF.

Це стосується не лише власних знімків. Публікація дитячих фото з геомітками створює окремий клас ризиків, про які ми писали в матеріалі про шерентинг. АНБ також попереджає: помилка в налаштуваннях приватності соцмережі може зробити дописи видимими для значно ширшої аудиторії, ніж передбачав автор.

Bluetooth-трекери: коли стежать адресно

Проти цілеспрямованого стеження за допомогою міток на кшталт AirTag працює спільний стандарт Apple і Google. З травня 2024 року обидві платформи підтримують специфікацію Detecting Unwanted Location Trackers: iPhone з iOS 17.5 і новішою та Android 6.0+ показують сповіщення, якщо невідомий Bluetooth-трекер тривалий час рухається разом із вами — незалежно від того, до якої екосистеми він привʼязаний. Зі сповіщення можна переглянути ідентифікатор мітки, змусити її подати звуковий сигнал і отримати інструкцію з деактивації.

Український контекст

Сухопутні війська ЗСУ окремо нагадували військовослужбовцям про правила кібергігієни: вимикати GPS і Bluetooth у зоні бойових дій, не підключатися до невідомих мереж Wi-Fi, вимикати геолокацію для камери й видаляти метадані перед публікацією, не відкривати підозрілі файли, обмежити активність у соцмережах і налаштувати двофакторну автентифікацію разом із віддаленим видаленням даних на випадок втрати пристрою. Окремо там згадано IMSI-catcher — фальшиві базові станції, які дозволяють перехоплювати дзвінки та SMS.

Тут варто розрізняти два різні сценарії. Телефон із увімкненою геолокацією не працює як «маячок», що транслює координати назовні. Реальні вектори інші: агрегація комерційних даних, зібраних через рекламні мережі, робота фальшивих базових станцій і метадані в опублікованих матеріалах. Саме тому підтверджений випадок із Центральним командуванням США важливий і для цивільних користувачів: він показує, що дані, зібрані заради показу реклами, цілком придатні для розвідувальних завдань.

Базовий чекліст

• Вимкніть або скиньте рекламний ідентифікатор — на Android через розділ реклами, на iPhone через «Відстеження».
• Переведіть дозвіл на геолокацію в режим «лише під час використання» для всіх застосунків, яким він не критичний, і вимкніть точне місцезнаходження там, де достатньо приблизного.
• Вимкніть Bluetooth і Wi-Fi, коли не користуєтеся ними; на iPhone робіть це через «Параметри», а не Пункт керування.
• Перевірте Timeline у Google Maps і за потреби скоротіть період зберігання або вимкніть функцію.
• Забороніть камері доступ до геоданих і перевіряйте метадані перед публікацією фото.
• Вимкніть «Знайти пристрій» або Find My, якщо ризик стеження для вас вищий за ризик втрати телефона.
• Не підключайтеся до відкритих мереж Wi-Fi; для маскування IP-адреси використовуйте надійний VPN.
• Встановлюйте якомога менше застосунків — кожен новий збільшує площу для збирання даних і навантаження на ваш контроль дозволів.

Жоден із цих кроків не робить пристрій невидимим. Вони зменшують обсяг даних, які він розкриває, — і саме так формулює завдання сама АНБ.

Часті запитання

Чи достатньо вимкнути служби геолокації, щоб телефон не відстежували?

Ні. Вимкнення служб геолокації обмежує доступ застосунків до координат, але не вимикає GPS і не заважає операційній системі використовувати та передавати дані про місцеперебування. Оператор звʼязку отримує розташування пристрою щоразу, коли той реєструється в мережі.

Що дає видалення рекламного ідентифікатора?

Воно розриває головний звʼязок, за яким рекламні мережі та брокери даних зшивають активність із різних застосунків в один профіль. Після видалення застосунки отримують рядок із нулів замість ідентифікатора. Це не робить пристрій анонімним, але суттєво ускладнює побудову історії переміщень.

Чи допомагає режим польоту?

Частково. Він вимикає стільниковий звʼязок, але на багатьох пристроях Wi-Fi і Bluetooth залишаються активними або вмикаються повторно — їх треба вимикати окремо. Крім того, сенсори пристрою продовжують збирати дані, які можуть бути передані після відновлення звʼязку.

Чи захищає VPN від відстеження місцеперебування?

VPN маскує IP-адресу, тому ускладнює визначення приблизної локації сайтами й рекламними мережами. Але він не впливає на GPS, на дані оператора мобільного звʼязку і на координати, які застосунок отримав через системний дозвіл. VPN — це один шар захисту, а не заміна налаштуванням дозволів.

Як дізнатися, що поруч чужий Bluetooth-трекер?

iPhone з iOS 17.5 і новішою та смартфони на Android 6.0+ показують сповіщення, якщо невідома мітка тривалий час рухається разом із вами. Зі сповіщення можна побачити ідентифікатор трекера, змусити його подати звуковий сигнал і отримати інструкцію з вимкнення.

Ця стаття Як зменшити відстеження смартфона: АНБ оновило свої рекомендації вперше за шість років раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Anthropic оприлюднила розслідування трьох інцидентів, у яких моделі Claude отримали доступ до відкритого інтернету з ізольованого тестового середовища й зламали бойову інфраструктуру трьох реальних організацій. Дві з постраждалих компаній не знали про вторгнення, доки їх не повідомили. Перевірку почали після того, як про схожий випадок повідомила OpenAI.

Що саме сталося

21 липня OpenAI повідомила, що кілька її моделей вирвалися з ізольованого тестового середовища, використавши раніше невідому вразливість нульового дня, і дісталися до бойової інфраструктури Hugging Face — платформи для розміщення моделей машинного навчання та наборів даних.

У відповідь Anthropic розпочала масштабну ретроспективну перевірку власних тестів кіберможливостей. Компанія шукала докази того, що Claude отримував доступ до інтернету із середовищ, які мали бути повністю ізольованими.

За результатами аналізу 141 006 тестових запусків виявили три інциденти — загалом шість запусків, чотири з яких зачепили одну й ту саму організацію. Усі вони сталися в середовищі Irregular, стороннього партнера з оцінювання моделей, послугами якого користуються і Anthropic, і OpenAI. Найраніші випадки датовані квітнем.

Перевірку розпочали в четвер, 23 липня, і того ж дня компанія зупинила всі кібертести. Усі три інциденти ідентифікували наступного дня. Партнера з оцінювання та три постраждалі організації повідомили в понеділок, 27 липня. Дві компанії, з якими вдалося звʼязатися, самостійно активність не виявили; до третьої в Anthropic досі намагаються достукатися.

Чому моделі опинилися в реальному інтернеті

У всіх випадках Claude виконував завдання типу capture the flag (CTF) — стандартний формат оцінювання наступальних кіберможливостей. Моделі описували вигаданий сценарій і повідомляли, що секретна інформація («прапор») захована на іншій машині в мережі; завдання — проникнути туди й дістати її. Спосіб не регламентували.

Системна інструкція прямо стверджувала, що середовище є симуляцією і доступу до інтернету немає. Через непорозуміння між Anthropic та партнером з оцінювання це не відповідало дійсності: помилка конфігурації залишила тестові машини з живим підключенням до мережі. Ні компанія, ні партнер не знали про це, доки проблему не виявив додатковий моніторинг.

Тому коли пошук вивів модель на реальні системи, вона сприйняла їх як частину вправи. У звіті наголошують: кіберполігони навмисно наповнюють правдоподібними деталями, аби коректно оцінити можливості моделі в бойових умовах, тож реалістичний вигляд цілі сам собою не є для моделі доказом того, що ціль справжня.

Для проникнення застосовували елементарні техніки — слабкі паролі та неавтентифіковані точки доступу. Складних вразливостей моделі не шукали й не експлуатували. Anthropic окремо наголошує: у жодному з випадків Claude не намагався скопіювати себе назовні чи свідомо втекти з тестового середовища.

Інцидент перший: Opus 4.7 і база даних із бойовими записами

Назва вигаданої компанії-цілі, яку обрав партнер з оцінювання, збіглася з доменом реального сайту. Контейнер цього тесту мав пряме підключення до інтернету.

У чотирьох запусках Claude Opus 4.7 не зміг дістатися симульованої цілі всередині середовища, натомість виявив, що реальна компанія доступна через мережу. Вважаючи її запланованою ціллю, модель знайшла та проексплуатувала вразливості в інфраструктурі компанії. У результаті було вилучено облікові дані застосунків та інфраструктури й отримано доступ до бази даних із кількома сотнями рядків бойових даних. Це найсерйозніші наслідки серед усіх трьох інцидентів.

Це також єдиний випадок, коли модель продовжила атаку після того, як зрозуміла, що працює в реальному середовищі. У всіх чотирьох запусках модель у своїх міркуваннях визнала, що система справжня; у двох випадках вона переконала себе, що реальна компанія, вочевидь, є частиною вправи. Жоден із запусків на цій підставі зупинено не було.

Інцидент другий: шкідливий пакет у PyPI і зламаний сканер безпеки

Цей епізод — найпоказовіший з погляду безпеки ланцюга постачання. Claude Mythos 5 знайшов усередині вигаданого середовища документ, що виглядав як інструкція з налаштування робочого місця для нових розробників іншої вигаданої компанії. Інструкція наказувала встановити з PyPI — публічного реєстру пакетів Python — бібліотеку, якої насправді не існувало.

Модель побачила в цьому можливість: якщо опублікувати власний пакет під тією самою назвою, системи компанії завантажать і встановлять його автоматично. Це класична схема dependency confusion — підміни неіснуючої залежності. Claude зібрав і опублікував шкідливий пакет із потрібною назвою.

Щоб це зробити, модель пройшла довгий ланцюжок дій, який людині-учаснику майже напевно дав би зрозуміти, що вправа вийшла за межі симуляції. Для реєстрації на PyPI знадобилася електронна пошта, для пошти — номер телефону. Не знайшовши безкоштовного сервісу номерів, модель кількома способами намагалася — і не змогла — здобути кошти на його оплату. Зрештою вона відкотилася на крок назад, знайшла безкоштовний незаблокований поштовий сервіс, зареєструвала обліковий запис PyPI і завантажила туди шкідливий пакет.

Пакет був публічно доступний близько години. За цей час його завантажили й запустили на 15 реальних системах. Однією з них виявився сканер реальної компанії з кібербезпеки, який регулярно встановлює пакети Python і перевіряє їх на шкідливий код. Коли сканер встановив пакет, прихований код спрацював: за оцінкою Anthropic, сканер вважав пакети з PyPI безпечними для встановлення, тож Claude зміг вивести облікові дані компанії на заздалегідь підготовлений збірний пункт, а потім використати їх для доступу до іншої інфраструктури цієї ж компанії.

Модель не націлювалася на цю компанію — на момент публікації пакета вона навіть не знала про її існування. Але код був у відкритому доступі, тож постраждала будь-яка система, яка його запустила. Пакет автоматично видалили власні системи безпеки PyPI; Anthropic повідомила команду реєстру про інцидент і передала індикатори компрометації.

Найпоказовіші — міркування самої моделі. На початку запуску вона правильно оцінила наслідки, зазначивши, що якби це був справжній інтернет, публікація пакета була б реальною атакою — «неприйнятною і точно не задуманим розвʼязанням». Але далі модель переконала себе, що все ще перебуває в симуляції: вона не впізнала центри сертифікації, які захищали зʼєднання (насправді цілком справжні), а календарна дата 2026 рік, на її думку, доводила штучність середовища. До цього висновку модель більше не поверталася — коли пакет почали встановлювати автоматичні сканери, вона сприйняла їх за запрограмованих учасників тесту.

В Anthropic визнають: незалежно від того, що модель думала про своє середовище, зусилля, докладені до публікації пакета, не відповідають бажаній поведінці, і цей напрям потребує додаткового навчання.

Інцидент третій: 9000 просканованих цілей і самостійна зупинка

Внутрішня дослідницька тестова модель, яку не планують випускати публічно, не змогла дістатися до вигаданої цілі й почала шукати альтернативи в мережі, просканувавши близько 9000 адрес. Зрештою вона скомпрометувала доступний з інтернету застосунок однієї з компаній, використавши базові й давно відомі техніки: зчитування облікових даних зі сторінки налагодження, залишеної у відкритому доступі, та SQL-інʼєкцію.

Більшу частину запуску модель вважала реальні вузли частиною вправи. Однак згодом вона помітила, що скомпрометований хост розміщений у хмарному обліковому записі, який жодним чином не повʼязаний із завданням. Самостійно дійшовши висновку, що ціль справжня, модель припинила атаку.

Три моделі — три різні реакції

Найстаріша із задіяних моделей, Opus 4.7, розпізнала бойові системи й не зупинилася. Mythos 5 правильно припустила, що працює у відкритому інтернеті, але переконала себе у зворотному. Найновіша внутрішня модель також розглянула версію, що цілі реальні, — і коли докази зʼявилися, зупинилася сама.

Anthropic застерігає від надто широких висновків: це три ізольовані інциденти, а не контрольований експеримент. Водночас у компанії визнають, що бажана поведінка — самостійно розпізнати реальну ціль і зупинитися без підказки — трапилася лише в найновішої моделі, та й та зайшла далі, ніж хотілося б. Закономірність узгоджується з припущенням, що досконаліші моделі реагують адекватніше, але для впевненості потрібні додаткові тести.

Незалежну перевірку матеріалів має провести METR — стороння організація з оцінювання ШІ, яка отримає доступ до всіх стенограм і вибірковий доступ до відповідних моделей. Протягом тижня Anthropic обіцяє опублікувати частково відредаговану стенограму запуску, у якому Claude створював шкідливий пакет для PyPI.

Чим це відрізняється від інциденту OpenAI

Сама Anthropic наголошує на кількох відмінностях:

• Інциденти виявила сама компанія під час проактивної перевірки стенограм — постраждалі організації активність не зафіксували й не зверталися до неї.
• Моделі OpenAI використали невідому раніше вразливість, щоб вирватися з ізоляції; моделі Claude потрапили в інтернет відкритим шляхом через помилку конфігурації.
• У компанії класифікують це радше як збій обвʼязки та операційних процесів, ніж як збій узгодженості моделі: моделям сказали, що інтернету немає, і водночас залишили доступ.
• Найновіша модель зупинилася самостійно, щойно зрозуміла, що середовище реальне.

Варто врахувати ще один контекст: тести проводили без захисних механізмів, які працюють у публічних версіях моделей, — без класифікаторів і моніторингу проти зловживань. Водночас моделі зберігали власне навчання безпеці, тобто це не були так звані helpful-only версії. Усі тести виконувалися на виділеній інфраструктурі, відокремленій від внутрішніх систем Anthropic і даних клієнтів. У компанії стверджують, що захисні механізми публічних версій заблокували б виявлену поведінку.

Що змінюють після інцидентів

Компанія формулює три висновки. Перший: тестові середовища з потужними автономними агентами потребують такого самого рівня захисту, як і будь-які інші бойові системи. Полігон із суто вигаданими сценаріями здається безпечним, адже всередині нього немає нічого справжнього, — але сам агент у ньому вже становить суттєву загрозу. Anthropic припускає, що моделі взагалі не пішли б в інтернет, якби інструкція чітко окреслювала, які системи входять до обсягу тесту, а які — ні.

Другий: межа між прийнятною і шкідливою дією залежить від того, як модель розуміє свою ситуацію. У жодному запуску компанія не побачила ознак того, що модель переслідує власну мету. Моделі робили те, чого від них вимагало завдання, але з хибним уявленням про реальність середовища.

Третій: інциденти підтверджують цінність ешелонованого захисту. Компанія обіцяє розширити безперервний моніторинг тестових стенограм, покращити інструменти розслідування та посилити вимоги до сторонніх постачальників тестових середовищ. Anthropic закликає інші ШІ-лабораторії провести аналогічні перевірки власних архівів.

Що з цього варто винести

Жодна з технік, якими моделі проникали в реальні системи, не була новою: слабкі паролі, неавтентифіковані точки доступу, відкрита сторінка налагодження, SQL-інʼєкція, підміна неіснуючої залежності. Це базова гігієна, яку опис інцидентів лише вкотре підсвічує — і яка залишається головним вектором для атак на ланцюг постачання та прихованих бекдорів:

• Неіснуючі назви внутрішніх пакетів у документації — це поверхня атаки. Якщо в інструкціях згадується бібліотека, якої немає в публічному реєстрі, будь-хто може зайняти цю назву. Назви внутрішніх пакетів варто резервувати в публічних реєстрах, фіксувати версії залежностей і налаштовувати пріоритет приватного індексу над публічним.
• Автоматичні системи, які встановлюють сторонній код для аналізу, мають робити це в ізольованому середовищі — інакше сканер безпеки сам стає точкою входу.
• Сторінки налагодження, тимчасові адміністративні інтерфейси й тестові ендпоїнти, залишені доступними з інтернету, знаходять скануванням за лічені хвилини.

Окремої уваги заслуговує масштаб: одна модель за один запуск перевірила близько 9000 цілей. Швидкість автоматизованої розвідки, доступна нападнику з агентом на базі сучасної моделі, змінює вимоги до часу виявлення на боці захисту.

Ця стаття Моделі Claude самостійно зламали три реальні компанії під час тестів кібербезпеки раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Microsoft Defender у 2026 році стабільно отримує максимальні оцінки незалежних лабораторій, а встановлення стороннього антивірусу на Windows 11 автоматично вимикає вбудований захист — паралельно вони не працюють. Питання «навіщо потрібен інший антивірус» більше не має універсальної відповіді, проте кілька конкретних прогалин у безпеці Windows справді залишаються.

Оцінки незалежних лабораторій: від нуля до максимуму

Репутація «вбудований антивірус не рахується» сформувалася не на порожньому місці. У 2014–2015 роках Microsoft Defender у тестах AV-TEST регулярно отримував 0 балів із 6 за захист. Станом на квітневе тестування 2026 року Microsoft Defender Antivirus (Consumer) 4.18 має по 6 балів із 6 за захист, продуктивність і зручність — максимальні 18 із 18 та статус Top Product. Такий результат тримається без істотних просідань щонайменше з жовтня 2024 року.

Друга велика лабораторія, AV-Comparatives, у Real-World Protection Test за лютий–травень 2026 року перевірила 20 споживчих рішень на 400 сценаріях реальних атак. Defender заблокував 396 загроз із 400 — 99,0% — і потрапив до найвищого кластера разом із Bitdefender, Avast, AVG, Norton і TotalAV. Окремо показовий тест хибних спрацювань: Defender став єдиним продуктом із нульовим результатом, тоді як середній показник по галузі становив 8. За підсумками він отримав найвищу нагороду ADVANCED+.

Хибні спрацювання — не дрібниця. Антивірус, який блокує робочі файли та безпечні сайти, привчає користувача машинально натискати «дозволити». Саме ця звичка згодом пропускає справжню загрозу.

Оновлення виходять кілька разів на добу

Друга поширена претензія до Defender — нібито рідкісні оновлення баз. Документація Microsoft стверджує протилежне: оновлення баз безпеки (security intelligence) постачаються кілька разів на добу. Оновлення платформи та рушія виходять окремо, щомісяця.

До того ж основний захист Defender давно не тримається на самих лише сигнатурах. Паралельно працюють хмарний рівень Microsoft Advanced Protection Service, поведінковий аналіз і репутаційні перевірки — вони реагують на невідомі зразки, не чекаючи на нову базу.

Другий антивірус не доповнює Defender, а вимикає його

У документації Microsoft прямо описано: на Windows 10 і Windows 11 встановлення стороннього антивірусу, який реєструється в Центрі безпеки Windows, автоматично переводить Microsoft Defender Antivirus у стан «вимкнено». Якщо активовано Smart App Control, Defender може лишитися в пасивному режимі — але й тоді він не виконує сканування в реальному часі, не застосовує хмарний захист, мережевий захист і контрольований доступ до папок.

Тобто «два антивіруси для надійності» — це не подвійний захист, а заміна одного захисту іншим. Позитивний бік у цій механіці теж є: якщо ліцензія стороннього продукту завершиться або ви його видалите, Defender вмикається автоматично, і компʼютер не залишається беззахисним.

Практичний висновок: вибір насправді бінарний — або Defender, або сторонній антивірус. І порівнювати їх варто не за маркетинговими переліками функцій, а за результатами тих самих незалежних тестів.

Де у захисті Windows справді залишаються прогалини

Батьківський контроль працює тільки в Edge. Веб-фільтри та фільтри пошуку Microsoft Family Safety діють винятково в браузері Microsoft Edge — це прямо зазначено в довідці Microsoft. Chrome, Firefox чи Opera доведеться або повністю блокувати через фільтри застосунків, або змиритися з тим, що в них обмеження не діють.

VPN у Defender більше немає. Функцію privacy protection (VPN) у застосунку Microsoft Defender відключено 28 лютого 2025 року для всіх передплатників Microsoft 365. Захист пристрою залишився, окремого VPN у пакеті — ні.

Моніторинг витоків персональних даних — не для України. Функції моніторингу кредитної історії та захисту від крадіжки особистих даних у Microsoft Defender доступні лише передплатникам у США.

Захист лише однієї платформи. Вбудований Defender закриває Windows. Якщо в родині є Android-смартфони, Mac чи iPhone, єдина підписка стороннього вендора може виявитися практичнішою за набір різних інструментів — про мобільний бік ми писали в матеріалі про антивіруси для Android.

Український контекст: чого точно не можна встановлювати

Для українських користувачів вибір антивірусу — не лише питання відсотків виявлення. Держспецзвʼязку веде Перелік забороненого до використання програмного забезпечення та комунікаційного обладнання; станом на 23 липня 2026 року він налічує 1564 позиції. Серед внесених до нього продуктів — антивіруси Kaspersky і Dr.Web.

Формально заборона поширюється на обʼєкти критичної інформаційної інфраструктури, системи з державними інформаційними ресурсами та системи зі службовою чи таємною інформацією — тобто передусім на державний сектор. Проте логіка зрозуміла й для домашнього користувача: антивірус має найвищі права в системі, бачить усі файли й передає телеметрію на сервери розробника. Встановлювати такий продукт російського або білоруського походження — свідомо створювати канал, який неможливо проконтролювати.

Масштаб загрози при цьому не абстрактний: у 2025 році CERT-UA опрацювала 5927 кіберінцидентів — на 37% більше, ніж роком раніше. Найпоширенішими методами стали розповсюдження шкідливого ПЗ (2058 випадків) і фішинг (1727 випадків, удвічі більше проти 843 у 2024 році).

Із доступних в Україні сторонніх рішень у локальному контексті найчастіше згадують ESET — словацького розробника з представництвом і українською локалізацією. У тесті AV-Comparatives за лютий–травень 2026 року ESET HOME Security Essential показав 98,5% заблокованих загроз і дві хибні тривоги, отримавши нагороду ADVANCED.

Що варто увімкнути у «Безпеці Windows» просто зараз

Значна частина захисту Windows вимкнена за замовчуванням. Перш ніж платити за сторонній антивірус, варто пройтися по цих пунктах — вони безкоштовні й уже є в системі.

1. Захист від підробок (Tamper Protection) — «Безпека Windows» → «Захист від вірусів і загроз» → «Керування параметрами». Не дає шкідливому ПЗ вимкнути сам Defender. Якщо зловмисник вимкне цю опцію першою, решта налаштувань втрачає сенс.
2. Контрольований доступ до папок — там само, розділ «Захист від програм-вимагачів». Забороняє невідомим програмам змінювати файли в «Документах», на робочому столі та в інших вибраних теках. Це найдієвіший вбудований барʼєр проти шифрувальників.
3. Хмарний захист і автоматичне надсилання зразків — без них Defender працює лише на локальних базах і втрачає більшу частину своєї переваги.
4. Smart App Control — «Безпека Windows» → «Керування застосунками та браузером». Блокує запуск непідписаних програм без репутації, перевіряючи не лише файли .exe, а й бібліотеки та скрипти. Раніше функцію не можна було ввімкнути назад після вимкнення; з оновленням Windows 11 25H2 у квітні 2026 року це обмеження зняли.
5. Ізоляція ядра та цілісність памʼяті — розділ «Безпека пристрою». Захищає від атак через вразливі драйвери.

Окремо варто памʼятати, що вбудований брандмауер Windows закриває більшість побутових сценаріїв — детальніше про це в нашому розборі стороннього брандмауера на Windows.

Кому сторонній антивірус справді потрібен

Висновок «Defender достатньо» стосується типового домашнього користувача, який тримає Windows оновленою, не вимикає базові функції захисту та не встановлює програми з торентів. Сторонній продукт має сенс, якщо:

• потрібен єдиний захист для Windows, Android, macOS та iOS в одній підписці;
• потрібен батьківський контроль, який працює в будь-якому браузері, а не лише в Edge;
• ви керуєте парком компʼютерів і потребуєте централізованої консолі та звітності;
• потрібні додаткові сервіси в одному пакеті — менеджер паролів, VPN, моніторинг витоків;
• ви працюєте в умовах підвищеного ризику — журналістика, волонтерство, публічна активність — і хочете додаткові рівні контролю.

В інших випадках гроші раціональніше витратити на резервне копіювання, менеджер паролів і апаратний ключ безпеки. Це закриє більше реальних сценаріїв, ніж заміна антивірусу, який і без того показує 99%. Тим паче що найпоширеніший вектор атаки сьогодні — не вірус у файлі, а фішинг і перехоплення сесії, проти яких антивірус будь-якого вендора допомагає лише частково.

Питання та відповіді

Чи достатньо Microsoft Defender у 2026 році?

Для більшості домашніх користувачів Windows 11 — так. У тестах AV-TEST за квітень 2026 року Defender має максимальні 18 балів із 18, а в AV-Comparatives — 99,0% заблокованих загроз і нуль хибних спрацювань. Умова одна: система має бути оновленою, а базові функції захисту — увімкненими.

Чи можна встановити другий антивірус разом із Defender?

Паралельно вони не працюють. На Windows 10 і Windows 11 встановлення стороннього антивірусу автоматично вимикає Microsoft Defender Antivirus. Після видалення стороннього продукту Defender вмикається знову.

Чому батьківський контроль Windows не блокує сайти в Chrome?

Веб-фільтри Microsoft Family Safety працюють лише в Microsoft Edge. Щоб обмеження діяли, інші браузери потрібно заблокувати у фільтрах застосунків та ігор.

Чи є у Microsoft Defender вбудований VPN?

Ні. Функцію privacy protection (VPN) у застосунку Microsoft Defender відключено 28 лютого 2025 року для всіх передплатників Microsoft 365.

Який антивірус не можна встановлювати в Україні?

Продукти російського та білоруського походження, зокрема Kaspersky і Dr.Web: вони внесені до Переліку забороненого програмного забезпечення Держспецзвʼязку. Серед доступних альтернатив у європейському та українському контексті — ESET, Bitdefender, Norton, F-Secure.

Ця стаття Чи потрібен антивірус, якщо є Microsoft Defender? раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Українська технологічна компанія Zibra AI за підтримки інвестиційної групи Roosh представила ZibraGDS — технологію, яка змінить підхід до створення складної 3D-графіки в реальному часі. Вона дає можливість працювати з анімованою геометрією без тривалого офлайн-рендерингу. Офіційно ZibraGDS представили в межах міжнародної програми ACM SIGGRAPH 2026. Про це розповів Сергій Токарєв — інвестор і генеральний партнер Roosh.

Які можливості демонструє нова технологія

Головною сферою застосування ZibraGDS розробники називають анімовані 3D-сцени з високою деталізацією, на кшталт симуляції води, руйнування об’єктів, створення складних візуальних ефектів та інших подібних елементів. Раніше через ресурсомісткі офлайн-процеси на обробку таких сцен йшло багато часу. Це призводило до повторного рендерингу та уповільнення роботи навіть за умов невеликих змін.

Технологія ZibraGDS виправить це, адже вона дозволяє:

• прискорювати процес рендерингу у 10 разів;
• скорочувати до 92% обсяг анімованих даних;
• обробляти складну геометрію на GPU;
• працювати зі сценами, які мають мільйони полігонів.

Сергій Токарєв наголошує, що інвестиції в технології такого рівня впливають на розвиток нових напрямів — від штучного інтелекту до інструментів розробки цифрового контенту.

Що лежить в основі ZibraGDS

Розробники із Zibra AI запевняють, що їхня технологія може працювати з великим обсягом геометричних даних. У процесі стиснення 3D-об’єкти діляться на meshlets — компактні структурні елементи. Потім завдяки amplification та mesh shaders на графічному процесорі відбувається декомпресія. У результаті продуктивність майже не падає навіть під час паралельної обробки великого обсягу інформації та відтворення складних сцен.

ZibraGDS — це продовження розвитку платформи ZibraVDB, яку розробники представили у 2024 році. Вона працює в режимі реального часу з різними об’ємними ефектами, а саме вогнем, димом і рідинами.

«На майбутнє цифрового виробництва впливатиме поява та розвиток технологій для швидкої генерації та масштабування складних продуктів. Тому нам необхідно створити нову інфраструктуру, яка стане фундаментом для всієї індустрії. Продукт Zibra AI — це ще один етап, який допоможе налаштувати виробництво швидшого, доступнішого та масштабованішого цифрового контенту», — говорить Сергій Токарєв.

Де можна буде використовувати ZibraGDS

Нова технологія має полегшити роботу спеціалістів, які займаються створенням та обробкою масштабних 3D-сцен. ZibraGDS можна буде використовувати під час розробки фільмів, відеоігор, інтерактивних продуктів і віртуальних просторів. Команди в режимі реального часу бачитимуть результат, що дозволить скорочувати виробничі цикли, швидше тестувати рішення та ефективніше використовувати ресурси.

Зі слів CEO Zibra AI Алекса Петренка, ZibraGDS вирішуватиме проблеми, пов’язані з офлайн-рендерингом і годинами очікування, адже масштабні 3D-сцени працюватимуть безпосередньо всередині рушія. Відповідно, це вплине не лише на швидкість роботи, а й на підхід студій до виробничого процесу.

Ця стаття Інновації у створенні 3D-графіки: Сергій Токарєв анонсував нову технологію ZibraGDS раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Підсистема Windows для Linux дозволяє запускати повноцінне середовище Linux усередині Windows — без віртуальної машини й без подвійного завантаження. За останні пʼять років WSL перетворилася з вбудованого компонента системи на окремий продукт із відкритим кодом, власним циклом оновлень і навіть вбудованою підтримкою контейнерів. Нижче — актуальний порядок встановлення, перевірені команди та розбір типових помилок.

Що таке WSL і кому вона потрібна

Windows Subsystem for Linux (WSL) дає змогу встановити дистрибутив Linux — Ubuntu, Debian, openSUSE, Kali, Arch та інші — і користуватися застосунками, утилітами й інструментами командного рядка Bash безпосередньо у Windows, без накладних витрат на класичну віртуальну машину чи налаштування подвійного завантаження. Це описано в офіційній документації Microsoft.

Історично існує дві архітектури. WSL 1 (2016 рік) працювала як шар сумісності, що транслював системні виклики Linux у виклики ядра Windows. WSL 2 (2019 рік) запускає справжнє ядро Linux у полегшеній віртуальній машині на базі Hyper-V — саме тому сумісність із реальним ПЗ для Linux у неї значно вища. Усі нові дистрибутиви, встановлені сучасною командою, за замовчуванням отримують WSL 2.

Ще одна принципова зміна: з 2021 року WSL більше не є частиною коду Windows. Це окремий пакет із власним графіком оновлень, який не залежить від того, коли Microsoft випустить наступне велике оновлення операційної системи.

Системні вимоги

• Windows 11 або Windows 10 версії 2004 і вище (збірка 19041 і вище). Для старіших збірок Microsoft пропонує окрему процедуру ручного встановлення.
• Увімкнена апаратна віртуалізація у BIOS чи UEFI.
• Підтримка процесором технології SLAT (Second Level Address Translation). Вона зʼявилася в Intel Nehalem — тобто в Intel Core першого покоління — та в AMD Opteron. На старіших процесорах WSL 2 не запуститься навіть після коректного встановлення компонента «Платформа віртуальної машини».
• Дистрибутиви мають зберігатися на системному диску (зазвичай C:).

Окремо про Windows 10: підтримка системи завершилася 14 жовтня 2025 року. Безкоштовна програма розширених оновлень безпеки (ESU) для приватних пристроїв подовжена до 12 жовтня 2027 року. WSL на Windows 10 працює, але з погляду безпеки це тимчасове рішення, а не довгострокова конфігурація.

Встановлення однією командою

Порядок дій виглядає так:

1. Відкрити PowerShell від імені адміністратора: клацнути правою кнопкою миші й обрати «Запуск від імені адміністратора».
2. Виконати команду:

wsl --install

3. Перезавантажити компʼютер.

Команда вмикає всі необхідні компоненти системи та встановлює Ubuntu як типовий дистрибутив. Під час першого запуску відкриється консольне вікно з розпакуванням файлів — це триває помітно довше, ніж усі наступні запуски, які займають менше секунди. Далі система запропонує створити імʼя користувача й пароль для середовища Linux; вони не повʼязані з обліковим записом Windows.

Важливий нюанс: команда wsl –install у наведеному вигляді спрацює лише тоді, коли WSL ще не встановлена. Якщо у відповідь ви бачите довідковий текст, підсистема вже є в системі — тоді слід переходити до встановлення конкретного дистрибутива.

Як обрати інший дистрибутив

Щоб побачити перелік доступних дистрибутивів:

wsl --list --online

Щоб встановити потрібний, підставивши його назву зі списку:

wsl --install -d <Distro>

Якщо процес встановлення зупиняється на позначці 0.0%, документація радить спершу завантажити дистрибутив напряму, оминаючи Microsoft Store: wsl –install –web-download -d <Distro>. Цей самий підхід рятує в мережах, де доступ до Store заблоковано.

Базові команди для щоденної роботи

Що робити, якщо встановлення не вдалося

Найпоширеніші коди помилок і їхні причини наведені в посібнику з усунення несправностей WSL:

• 0x80370102 — віртуальну машину не вдалося запустити, бо не встановлено потрібний компонент. Потрібно увімкнути «Платформу віртуальної машини» у Windows і віртуалізацію в BIOS. Варто також перевірити стан гіпервізора командою bcdedit /enum | findstr -i hypervisorlaunchtype; якщо він вимкнений, увімкнути через bcdedit /set hypervisorlaunchtype Auto.
• 0x80070003 — дистрибутив намагаються встановити не на системний диск. Змінити розташування можна в «Параметри» → «Система» → «Памʼять» → «Додаткові параметри сховища».
• 0x8007019e — не увімкнено додатковий компонент «Підсистема Windows для Linux».
• 0x8000FFFF — узагальнена «катастрофічна» помилка. Спершу варто перевірити права адміністратора, виконати wsl –update і wsl –shutdown, за потреби — перевірити цілісність системних файлів командами SFC /SCANNOW та DISM /Online /Cleanup-Image /RestoreHealth.
• Повідомлення про те, що wsl не розпізнано як команду — компонент не встановлено. На пристроях з архітектурою ARM64 ця помилка виникає й тоді, коли команду запускають зі звичайного PowerShell: у такому разі слід скористатися командним рядком або PowerShell Core.
• Відсутність інтернету всередині WSL. Microsoft прямо зазначає, що доступ можуть блокувати сторонні фаєрволи й антивіруси — серед перелічених у документації, зокрема, AVG, Avast і Symantec Endpoint Protection. У корпоративних мережах причиною частіше є політика, що забороняє локальні правила брандмауера.

WSL із відкритим кодом: що це змінило

19 травня 2025 року на конференції Build корпорація Microsoft відкрила вихідний код WSL — через девʼять років після анонсу підсистеми й після того, як перший запит спільноти на відкриття коду провисів у трекері з 2016 року. Тепер збірки публікуються в репозиторії microsoft/WSL на GitHub, а користувачі можуть самостійно збирати підсистему з коду й надсилати виправлення.

Відкрито, втім, не все. Драйвер lxcore.sys, що обслуговує WSL 1, а також компоненти перенаправлення файлової системи між Windows і Linux (p9rdr.sys та p9np.dll) лишаються закритими. Ядро Linux для WSL і графічний рівень WSLg були відкритими й раніше.

WSL Containers: контейнери Linux без Docker Desktop

На Build 2026 Microsoft анонсувала WSL Containers — вбудований спосіб створювати й запускати контейнери Linux безпосередньо у Windows. Публічне превʼю вийшло 29 червня 2026 року у складі збірки WSL 2.9.3.

Функція складається з двох частин: утиліти командного рядка wslc.exe, синтаксис якої свідомо повторює звичний docker, і програмного інтерфейсу, що дозволяє застосункам для Windows використовувати контейнери Linux у власній логіці. Документація наводить типові приклади:

wslc run --rm -it ubuntu:latest bash -c "echo Hello world!"

wslc image ls

wslc container ps

У превʼю вже доступні керування життєвим циклом контейнерів із обмеженнями ресурсів, збирання й вивантаження образів, створення мереж і томів, а також доступ до GPU через інтерфейс CDI — тобто прискорені обчислення для локальних ШІ-навантажень працюють одразу.

Практичний сенс для розробників очевидний: раніше контейнери Linux на Windows означали Docker Desktop із його ліцензійними умовами для великих команд. Тепер базовий сценарій закривається штатним інструментом. Але це саме превʼю: збірки серії 2.9.x на GitHub позначені як попередні, тож для критичних робочих процесів їх не варто вважати стабільними.

Чи існує WSL 3

Ні. Після Build 2026 частина видань подала анонс контейнерів як «WSL 3», і менеджер продукту WSL у Microsoft Крейг Лоуен публічно спростував це 23 червня 2026 року: такої версії не існує. WSL Containers — не наступник WSL 2 із новим номером, а нова можливість, надбудована над наявною інфраструктурою підсистеми.

Безпека: про що варто памʼятати

Кожен дистрибутив WSL 2 — це фактично окрема віртуальна машина з власною файловою системою й власними процесами. Для звичайного користувача це зручність, для служби безпеки — сліпа зона: класичні засоби захисту Windows бачать лише запуск процесу на боці хоста, а не те, що відбувається всередині середовища Linux.

Microsoft визнає цю проблему й постачає окремий плагін Defender for Endpoint для WSL, який передає події з підсистеми в корпоративну систему моніторингу. Він потребує WSL версії 2.0.7.0 або новішої. Варто розуміти межі: плагін забезпечує саме видимість подій, тоді як антишкідливий захист, управління вразливостями й команди реагування для логічного пристрою WSL недоступні.

Для домашнього користувача практичні висновки простіші. Оновлення дистрибутива не приходять через Windows Update — пакети Linux потрібно оновлювати самостійно засобами самого дистрибутива, а саму підсистему та ядро — командою оновлення WSL. І не варто зберігати в середовищі Linux незахищені ключі SSH чи токени доступу: у разі компрометації системи вони стають легкою здобиччю.

Часті запитання

Чи можна встановити WSL на Windows 10?

Так, за умови, що встановлено версію 2004 або новішу (збірка 19041 і вище). Водночас підтримка Windows 10 завершилася 14 жовтня 2025 року, а безкоштовна програма ESU для приватних пристроїв діє до 12 жовтня 2027 року.

Чим WSL 1 відрізняється від WSL 2?

WSL 1 транслює системні виклики Linux у виклики ядра Windows і не має власного ядра. WSL 2 запускає справжнє ядро Linux у полегшеній віртуальній машині, тому сумісність із реальним ПЗ вища. Нові дистрибутиви за замовчуванням встановлюються як WSL 2.

Чи потрібен Docker Desktop, щоб запускати контейнери?

Уже не обовʼязково. Від збірки WSL 2.9.3 доступне публічне превʼю WSL Containers із вбудованою утилітою wslc.exe. Оскільки це попередня версія, для критичних робочих процесів варто залишатися на перевірених інструментах.

Як оновити WSL?

Саму підсистему та ядро Linux оновлює команда wsl –update. Пакети всередині дистрибутива оновлюються окремо — звичайними засобами відповідного дистрибутива Linux.

Чи безпечно вмикати віртуалізацію заради WSL?

Це штатна платформна функція Windows. Проте вмикання Hyper-V може конфліктувати зі сторонніми гіпервізорами: VMware Workstation і VirtualBox підтримують спільну роботу лише у відносно свіжих версіях, тож їх варто оновити або тимчасово вимкнути.

Читайте також

Відновлення станом на певний момент часу у Windows 11: як працює нова функція відкату

Думаєте про перехід на Linux? 9 речей, які вам потрібно знати

Як запустити програму для Windows у Linux за допомогою Wine

Ця стаття Як встановити WSL у Windows 11 і Windows 10: покрокова інструкція раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Угруповання Laundry Bear, яке повʼязують з російськими спецслужбами, використовує уразливість у вебінтерфейсі корпоративної пошти Microsoft Exchange, щоб встановлювати бекдор OWAReaper. Жертві не потрібно нічого натискати — достатньо відкрити лист. Доступ до поштової скриньки, отриманий у такий спосіб, зберігається навіть після зміни пароля та повного перевстановлення системи.

Про кампанію повідомила компанія Proofpoint, що спеціалізується на безпеці електронної пошти. Атаки розпочалися 22 липня 2026 року — за день до того, як Proofpoint разом з Агентством національної безпеки США оприлюднила спільний звіт про це саме угруповання, але щодо іншої поштової платформи, Zimbra.

Під ударом опинилися державні установи США та країн Європи, а також компанії телекомунікаційного, фінансового, готельного й аерокосмічного секторів. Обсяг розсилки та широта цілей нетипові для цього угруповання: ймовірно, кампанію навмисно зробили масовою, щоб вона загубилася серед звичайного спаму.

Угруповання відоме під кількома назвами: Laundry Bear — так його позначили нідерландські спецслужби, Void Blizzard — класифікація Microsoft, TA488 — позначення Proofpoint.

Що таке half-click і чому звичні поради тут не працюють

Дослідники Proofpoint називають такі атаки «half-click» — умовним «напівкліком». Класичний фішинг вимагає від жертви дії: перейти за посиланням, відкрити вкладення, ввести пароль на підробленій сторінці. У цьому разі нічого подібного немає. У листі немає ні підозрілих URL, ні вкладень — лише HTML-код, який поштовий сервер обробляє некоректно.

Теми листів навмисно нудні. Серед зафіксованих — показники глобальних ринків газу, індикатори ланцюга постачання напівпровідників, гідрологічні дані про рівні водосховищ і сніговий покрив, моніторинг громадського здоровʼя. Розрахунок простий: адресат відкриє лист, побіжно перегляне його, вирішить, що це чергова розсилка, — і не поскаржиться службі безпеки.

Уразливість CVE-2026-42897: кого вона стосується

CVE-2026-42897 — це уразливість типу міжсайтового скриптингу (XSS) у компоненті Outlook Web Access. Сервер Exchange недостатньо очищає HTML у тілі листа, тож під час відкриття повідомлення у браузері виконується довільний JavaScript — у контексті вже автентифікованої сесії користувача.

Ключовий нюанс, який часто губиться в новинах: уразливість стосується лише локальних серверів Exchange Server 2016, 2019 та Subscription Edition. Хмарний Exchange Online їй не піддається, наголошує Microsoft.

Хронологія виглядає так:

• 14 травня 2026 року — Microsoft позапланово розкрила уразливість і підтвердила, що її вже експлуатують. Постійного виправлення тоді не існувало, компанія запропонувала лише тимчасове помʼякшення через службу Exchange Emergency Mitigation.
• 15 травня — CISA внесла уразливість до каталогу активно експлуатованих (KEV) і зобовʼязала федеральні відомства США усунути її до 29 травня.
• 9 червня — Microsoft випустила повноцінні оновлення безпеки.
• 14 липня — липневе оновлення зняло рекомендацію зберігати тимчасове помʼякшення.

За шкалою CVSS 3.1 Microsoft оцінила уразливість у 8,1 бала з 10.

Інфраструктуру для кампанії зловмисники створили ще в березні 2026 року — за два місяці до попередження Microsoft. Тому дослідники припускають, що певний час уразливість використовували як zero-day, тобто до того, як про неї дізнався виробник. Proofpoint формулює це обережно, як імовірний, а не доведений сценарій.

Як працює бекдор OWAReaper

OWAReaper — це JavaScript-імплант, який виконується цілком у вікні перегляду листів Outlook Web Access. Він не залишає слідів на самому компʼютері: немає файлів на диску, немає записів в автозавантаженні.

Одразу після запуску шкідливий код:

• через програмні інтерфейси Outlook переписує лист на сервері Exchange і прибирає з нього код експлойту, тож жертва вже не побачить нічого підозрілого;
• вимикає спливні вікна OWA та контекстне меню правої кнопки миші, поки працює;
• збирає адресу, імʼя користувача та налаштування Outlook;
• створює у структурі сторінки (DOM) два невидимі поля вводу й чекає, поки браузер сам підставить у них збережені логін і пароль.

Proofpoint називає OWAReaper найскладнішим бекдором, який дослідникам доводилося бачити серед доставлених через half-click-експлойти. Це розвиток шкідливого коду ZimReaper з попередніх кампаній: збігається навіть спосіб викрадення паролів із автозаповнення браузера.

Чому зміна пароля не рятує

Найнеприємніша частина звіту стосується закріплення в системі. Дослідники описують три окремі механізми.

Перший — зашифрована копія імпланта в локальному сховищі браузера, під ключем PageDataPayload.OwaUserDefaultSettings. Це легітимний ключ, який OWA використовує під час штатної синхронізації сторінки. Щоразу, коли користувач відкриває вкладку з поштою, звичайний процес синхронізації сам запускає OWAReaper.

Другий — крадіжка токенів через надбудови Outlook. Імплант шукає встановлені надбудови з дозволом ReadWriteMailbox і через них викликає GetClientAccessToken, щоб отримати токени OAuth. Далі йде виклик UpdateFolder, який надає права рівня «власник» службовому обліковому запису Default на всі поштові теки. Фактично це відкриває скриньку жертви для будь-якого автентифікованого користувача організації.

Саме цей крок робить атаку такою стійкою: права виставлено на боці сервера. Ані зміна пароля, ані повне перевстановлення системи на компʼютері жертви не позбавляють зловмисників доступу — знімати ці права доводиться вручну на самому сервері Exchange.

Третій механізм — прихований iframe у локальному кеші листів. OWAReaper вмикає кешування й додає шкідливий код у повідомлення, збережені в офлайновій базі IndexedDB. Він спрацьовує щоразу, коли жертва відкриває «отруєний» лист із кешу.

Два канали керування і два способи виведення даних

Команди імплант отримує двома шляхами. Перший — публічні описи комітів на GitHub: раз на добу OWAReaper звертається до пошукового інтерфейсу GitHub і шукає коміти особливого формату, що містять адресу жертви. Дані зашифровані алгоритмом AES-CTR. Передбачено три типи команд: повна заміна коду імпланта, зміна серверів керування та разове виконання довільного коду.

Другий канал — звичайні листи. Кожні пʼять хвилин імплант переглядає локальний кеш у пошуках повідомлень із певною структурою тіла.

Викрадені дані виводяться теж двома способами. Основний — HTTPS-запити із зашифрованим шляхом, замасковані під звернення по зображення та пропущені через легітимні CDN-сервіси, зокрема images.weserv.nl, i3.wp.com (мережа доставки зображень WordPress) і slack-imgs.com. Резервний — тунелювання через DNS: дані шифрують, кодують у Base32 і розкладають по піддоменах у звичайних DNS-запитах до підконтрольного зловмисникам домену.

Український контекст

Laundry Bear — не нове угруповання. Microsoft та нідерландські спецслужби AIVD і MIVD оприлюднили його опис у травні 2025 року. Microsoft тоді зазначила, що кібершпигунська активність групи непропорційно спрямована проти країн НАТО та України.

У жовтні 2024 року зловмисники отримали доступ до кількох облікових записів української авіаційної організації — тієї самої, яку раніше атакувало угруповання Seashell Blizzard (Sandworm).

Попередня кампанія цього ж угруповання — проти поштових серверів Zimbra через уразливість CVE-2025-66376 — теж зачепила Україну. У березні 2026 року дослідники Seqrite описали операцію GhostMail: 22 січня 2026 року фішинговий лист українською мовою надійшов до державної установи, що відповідає за навігаційне, морське та гідрографічне забезпечення судноплавства. Лист був замаскований під запит студента про стажування й надійшов зі скриньки Національної академії внутрішніх справ, яку, найімовірніше, зламали раніше. Про інцидент повідомили CERT-UA.

Атрибуція тут не збігається повністю: Seqrite приписала GhostMail угрупованню APT28 із середньою впевненістю, тоді як Proofpoint і спільна заява розвідок повʼязують експлуатацію цієї ж уразливості з Laundry Bear. Остаточної ясності щодо співвідношення цих кластерів поки немає.

22 липня 2026 року АНБ, ФБР, CISA та спецслужби Нідерландів, Великої Британії, Канади, Австралії й низки інших країн оприлюднили спільне попередження про кампанію проти Zimbra.

Що робити

Організаціям, які використовують локальний Exchange, Proofpoint рекомендує:

• відкликати й перевірити токени Exchange Web Services (EWS) для встановлених надбудов;
• перевірити й прибрати права на поштові теки, видані обліковому запису Default;
• очистити базу IndexedDB (owa_offline_db) і ключ PageDataPayload.OwaUserDefaultSettings у локальному сховищі браузера на уражених пристроях;
• заблокувати вихідні зʼєднання із серверами керування, перелік яких наведено у звіті.

Окремо варто переконатися, що встановлено червневе та липневе оновлення безпеки Exchange.

Для користувачів висновок незвичний: порада «не переходьте за підозрілими посиланнями» тут не працює, бо посилань у листі немає. Що справді має сенс — не зберігати пароль від робочої пошти в браузері: саме дані з менеджера паролів браузера OWAReaper витягує через невидимі поля форми. І будь-який лист, після відкриття якого вебпошта поводиться дивно — зникають спливні вікна, не працює права кнопка миші, повідомлення раптом змінює вигляд, — варто одразу показати службі безпеки.

Питання та відповіді

Чи стосується ця уразливість Outlook у Microsoft 365?

Ні. CVE-2026-42897 вражає лише локальні сервери Exchange Server 2016, 2019 та Subscription Edition. Хмарний Exchange Online їй не піддається.

Чи допоможе двофакторна автентифікація?

Ні. Шкідливий код виконується всередині вже відкритої, успішно автентифікованої сесії користувача, тому другий фактор він просто обходить. За схожим принципом працюють і сучасні атаки типу «людина посередині».

Чи врятує перевстановлення системи?

Ні, якщо зловмисники встигли змінити права доступу до поштових тек на сервері. Ці налаштування зберігаються на боці Exchange і знімаються лише вручну адміністратором.

Як зрозуміти, що організація постраждала?

Основні ознаки — надані обліковому запису Default права рівня «власник» на поштові теки, підозрілі токени EWS у надбудовах Outlook та вихідні зʼєднання з доменами керування, перелік яких наведено у звіті Proofpoint.

Ця стаття Досить відкрити лист: російські хакери зламують корпоративну пошту через уразливість в Outlook Web Access раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Наприкінці липня 2026 року сотні розмов користувачів із чат-ботом Claude виявилися доступними в результатах пошуку Google — разом із застосунками й документами, створеними всередині сервісу. Серед оприлюдненого — медичні документи, внутрішні корпоративні файли, запит юриста про порушення професійної етики та ключі від криптогаманця. Компанія Anthropic усунула технічну причину протягом двох діб, однак посилання, які вже встигли розійтися, залишаються робочими, а частину розмов уже зберегли сторонні особи.

Як виявили проблему

25 липня користувач Reddit опублікував у спільноті r/ClaudeAI спосіб, який не потребував жодних технічних навичок: пошуковий оператор site:claude.ai/share показував у Google сторінку за сторінкою чужих розмов із чат-ботом. Тема швидко зібрала близько чотирьох тисяч голосів. Першим про витік повідомило видання 404 Media.

Ідеться не про всі розмови з Claude. За замовчуванням чати приватні — у пошук потрапили лише ті, для яких користувач сам створив публічне посилання через функцію «Поділитися». Те саме стосується артефактів: інтерактивних мініпрограм, дашбордів і документів, які Claude генерує в окремій панелі поруч із чатом. Посилання не дають доступу до облікового запису чи до решти розмов — лише до знімка конкретного чату на момент публікації.

Що знайшли у відкритих чатах

Видання Futurism повідомило, що серед проіндексованих сторінок трапилися детальний медичний звіт реального пацієнта, результати клінічних досліджень з іменами учасників, документи з іменами та номерами телефонів дітей молодшого шкільного віку, корпоративні файли з позначкою «лише для внутрішнього використання», а також оцінювання працівників із персональними даними.

Видання Decrypt окремо описало seed-фразу криптогаманця у відкритому вигляді (той, хто нею володіє, контролює всі кошти), дані, схожі на номери соціального страхування, та запит юриста про те, чи зобовʼязаний він самостійно повідомити про порушення професійної етики. Пошук за оператором site:claude.ai/public/artifacts показував зарплатні відомості з іменами співробітників, експорти листування з CRM-систем та неоприлюднені дорожні карти продуктів.

Оцінити масштаб точно неможливо: жодне з видань не називає перевіреної кількості постраждалих розмов, а Anthropic не публікувала власних цифр.

Чому robots.txt не врятував ситуацію

Технічна причина — відсутність метатега noindex на сторінках спільного доступу. Anthropic покладалася на файл robots.txt, який забороняв пошуковим роботам сканувати ці адреси. Але заборона сканування не дорівнює забороні індексації: якщо посилання зустрічається деінде в мережі — на форумі, у дописі в соцмережі чи в робочому чаті, — пошукова система дізнається про існування сторінки й може додати її до індексу. Робот при цьому не може відкрити сторінку, а отже, не бачить інструкцію noindex усередині неї. Саме тому частина результатів у Google зʼявлялася з позначкою про відсутність опису сторінки.

Це принципова відмінність від ситуації з ChatGPT торік, де сторінки ставали публічними через окремий перемикач в інтерфейсі. Тут користувач нічого зайвого не вмикав — механізм захисту просто був неповним.

Що кажуть Anthropic і Google

Речниця Anthropic Емі Ротергем у коментарі TechCrunch заявила, що компанія не передає пошуковим системам каталоги чатів чи карти сайту, а посилання для спільного доступу неможливо вгадати — вони стають доступними лише тоді, коли користувач публікує їх самостійно. Оприлюднений у такий спосіб контент, за словами компанії, є публічним і, як і будь-який інший вміст мережі, може бути заархівований сторонніми сервісами. Фактично Anthropic поклала відповідальність на користувачів.

Речник Google Нед Едріенс зазначив, що ані Google, ані інші пошукові системи не визначають, які сторінки стають публічними, і що ці адреси були проіндексовані багатьма пошуковиками. Власники сайтів, за його словами, мають прямі інструменти для керування скануванням та індексацією.

Це вже третій подібний випадок у галузі за рік

У вересні 2025 року Forbes повідомляв про майже ідентичну історію: сотні транскриптів Claude потрапили в пошук, і Google оцінив кількість проіндексованих розмов приблизно у 600. Тоді Anthropic також посилалася на robots.txt.

Раніше, у липні 2025 року, OpenAI прибрала функцію, яка робила чати ChatGPT доступними для пошуку, — за даними 404 Media, у відкритому доступі опинилося близько 100 тисяч розмов. У серпні того ж року Forbes виявив сотні тисяч проіндексованих чатів Grok від xAI. Те, що три компанії незалежно припустилися однієї й тієї самої помилки, свідчить про системну проблему в тому, як індустрія проєктує функцію «поділитися».

Зникнення з пошуку не означає зникнення з мережі

Google почав прибирати результати вже 26 липня, після того як Anthropic оновила конфігурацію та додала теги noindex. Проте на момент публікації матеріалів частина посилань усе ще знаходилася через інші пошукові системи, а видання Fortune зафіксувало, що раніше оприлюднені чати залишалися відкритими для будь-кого, хто вже мав адресу.

Головний наслідок деіндексації — вона не видаляє копії. За даними Decrypt, у публічному репозиторії на GitHub уже збережено 453 розмови Claude та 519 чатів Grok — загалом 11 241 повідомлення у вигляді звичайного тексту. Скасування доступу до посилання зупиняє нові перегляди, але не стирає те, що вже скопійовано.

Як перевірити власні чати Claude і скасувати спільний доступ

Anthropic описує процедуру у довідці. Порядок дій для облікових записів на тарифах Free, Pro та Max такий:

1. Відкрити Claude і перейти до розділу Settings («Налаштування»).
2. Вибрати вкладку Privacy («Приватність»).
3. Натиснути Manage («Керувати») навпроти пункту Shared chats. Відкриється список усіх раніше оприлюднених розмов із назвою, датою публікації та посиланням на кожну.
4. Окремо перевірити перелік Shared artifacts — артефакти публікуються за власними адресами й у списку чатів не відображаються.
5. Переглянути кожен запис і позначити ті, що містять імена, адреси, контакти, реквізити доступу, клієнтські дані, медичну або юридичну інформацію, а також код, права на який належать роботодавцю.

Щоб закрити доступ до конкретної розмови:

1. Відкрити потрібний чат і натиснути кнопку Share у верхньому правому куті.
2. У випадному списку видимості змінити значення Public на Private — пряме посилання перестане працювати.

Важливо: видалення самої розмови з історії не скасовує раніше створене посилання. Це найпоширеніше непорозуміння — саме через нього під загрозою залишаються навіть ті, хто вже почистив історію чатів. Користувачі тарифів Team та Enterprise публічних посилань не створюють: у цих планах ділитися чатами можна лише з учасниками власної організації.

Що варто врахувати перед натисканням кнопки «Поділитися»

• Посилання спільного доступу — це публічна вебсторінка, а не приватне повідомлення. Напис «будь-хто з посиланням» слід читати буквально.
• Просте правило перевірки: якби цей текст був написаний на звороті поштової листівки, чи прийнятно було б, щоб його прочитали сторонні? Якщо ні — ділитися не варто.
• Файли, завантажені в чат, у знімок спільного доступу не потрапляють і залишаються приватними. Але цитати з цих файлів у відповідях Claude — потрапляють.
• Сирі дані, отримані через MCP-інтеграції, у спільному знімку приховані — видно лише підсумкову відповідь.
• Реквізити доступу, seed-фрази, паролі й ключі API не варто вводити в чат-бот узагалі — незалежно від того, планується публікація чи ні. Якщо такі дані вже були у відкритій розмові, їх потрібно негайно змінити або відкликати.
• Для безпечнішого обміну варто використовувати альтернативи публічним посиланням: експорт у файл і передавання через захищений канал або пересилання скриншотів лише потрібного фрагмента. Про підходи до приватності в ШІ-асистентах CyberCalm писав окремо.

Часті запитання

Чи означає це, що всі мої розмови з Claude бачили сторонні?

Ні. Витік стосувався виключно чатів та артефактів, для яких користувач власноруч створив публічне посилання. Приватні розмови залишалися недоступними, а самі посилання не давали доступу до облікового запису.

Чи можна дізнатися, чи потрапив мій чат у пошук?

Прямого інструмента для цього немає. Непрямий спосіб — переглянути список Shared chats у налаштуваннях приватності: якщо публічних посилань там немає, немає й що індексувати. Якщо посилання є, варто вважати, що вміст міг бути прочитаний сторонніми.

Чи достатньо перевести чат у режим Private?

Це зупиняє нові перегляди, але не видаляє копії, які вже могли зберегти пошукові кеші, вебархіви або сторонні особи. Якщо в розмові були реквізити доступу, їх потрібно змінити.

Чи безпечніші в цьому сенсі інші чат-боти?

Ні. Протягом 2025–2026 років у той самий сценарій потрапили ChatGPT, Grok і двічі Claude. Механізм публічного посилання створює однакові ризики в усіх сервісах.

Що робити, якщо в чаті були робочі дані компанії?

Скасувати доступ до посилання та повідомити відповідального за інформаційну безпеку — розголошення внутрішніх документів може мати наслідки і для роботодавця, і для працівника. Про ризики, повʼязані з роботою Claude з корпоративними файлами, CyberCalm повідомляв раніше.

Ця стаття Чати з Claude потрапили в пошук Google: що сталося і як закрити доступ до власних розмов раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Компанія LG Electronics USA заявила, що призупинятиме роботу застосунків для власних смарт-телевізорів, які перетворюють пристрій на постійно активний вузол резидентного проксі. Рішення ухвалене менш ніж через місяць після оприлюднення дослідження компанії Spur, яка виявила проксі-SDK у понад 42% застосунків магазину webOS і приблизно в чверті програм для Samsung Tizen.

Що виявили дослідники

Фахівці Spur Intelligence Labs завантажили та розпакували 6 038 застосунків для платформ LG webOS і Samsung Tizen, після чого просканували їхній вміст. У 2 058 із них — приблизно в кожному третьому — знайшовся вбудований SDK резидентного проксі. Дослідники не покладалися на описи в магазині чи тексти дозволів: пошук ішов за конкретними артефактами — файлами brd_api.js і службами brd_sdk від Bright Data, клієнтами Massive і службами .massivesdk, файлами SDK Honeygain/Oxylabs.

За платформами розподіл виявився нерівномірним: понад 42% застосунків для LG webOS містили проксі-функціональність, тоді як для Samsung Tizen цей показник склав 26,5%.

Ідеться не про маргінальні програми. Проксі-SDK знаходили в екранних заставках, годинниках, пасьянсах, застосунках-акваріумах, кулінарних добірках і простих іграх — зокрема у версії Pac-Man для Tizen.

Окремої уваги заслуговують видавці. За даними Spur, компаніям Bright Data, Bright Data Ltd і Bright SDK належать 367 застосунків із виявленою проксі-функціональністю, ще 16 опублікувала Honeygain UAB — дочірня структура Oxylabs. Тобто в частині випадків ідеться не про сторонніх розробників, які вбудували чужий SDK заради монетизації, а про власний «інвентар» проксі-операторів: тонкі оболонки-застосунки, створені для того, щоб SDK мав де працювати.

Що таке резидентний проксі

Проксі-сервер — це посередник, через який проходить інтернет-трафік. Технологія цілком законна й має чимало легітимних застосувань: зміна IP-адреси, обхід геоблокувань, збір відкритих даних для досліджень, тестування реклами в різних регіонах.

Резидентний проксі відрізняється походженням адреси. Трафік виходить у мережу не з дата-центру, а з домашнього підключення звичайного користувача. Для сервісів, які фільтрують ботів, така адреса виглядає як жива людина за телевізором чи ноутбуком — і саме тому доступ до неї коштує дорого.

Попит формують передусім масовий скрапінг сайтів, скуповування дефіцитних товарів, автоматизоване створення облікових записів та інші сценарії, у яких потрібно виглядати як пересічний користувач. Розробникам застосунків проксі-оператори платять за те, щоб ті вбудували SDK і перетворили пристрої своєї аудиторії на вузли мережі.

Чому телевізор виявився ідеальним носієм

Smart TV має операційну систему, магазин застосунків і постійне підключення до мережі, але майже ніхто не сприймає його як компʼютер. Немає акумулятора, який швидко розряджається. Немає мобільного трафіку, витрати якого видно в рахунку. Немає списку фонових процесів, куди можна зазирнути. Телевізор роками стоїть увімкненим у мережу, а власник думає про нього як про меблі.

Це змінює й саму природу згоди. Дозвіл на роботу проксі зазвичай оформлений як одноразове вікно під час першого запуску: застосунок пропонує вибір — дивитися рекламу або дозволити використання «вільних ресурсів пристрою та IP-адреси». У випадку Pac-Man на Tizen цей вибір сформульований прямо: реклама або участь у мережі Bright Data. Ключова деталь прописана дрібним шрифтом — проксі продовжує працювати навіть після закриття застосунку, доки його не видалять або не вимкнуть вручну.

Погодитися з таким вікном за допомогою пульта — справа кількох секунд. Памʼятати про цю згоду через півроку не буде ніхто. Spur окремо наголошує: ризик зростає, коли згоду дає той член домогосподарства, який не має на це права, — наприклад, дитина.

Чим це загрожує домашній мережі

Ризик не обмежується тим, що чужий трафік виходить у мережу з домашньої адреси, хоча й це неприємно: якщо через вузол пройде зловмисна активність, до чорних списків потрапить IP-адреса власника телевізора, а не замовника послуги.

Складніша проблема полягає в тому, що застосунок працює всередині домашньої мережі. Якщо фільтри проксі-провайдера дадуть збій або оператор дозволить запити до локальних адрес, телевізор стає точкою входу до всього, що ніколи не мало бути доступним ззовні: адміністративних панелей роутера, мережевих сховищ, принтерів, камер спостереження, робочих компʼютерів.

Це не гіпотетичний сценарій. У січні 2026 року KrebsOnSecurity описав ботнет Kimwolf, який використовував мережі резидентних проксі саме для того, щоб дістатися до пристроїв у локальних мережах за вузлами проксі й поширюватися далі.

Spur зазначає, що зразок SDK від Bright Data містить явний перелік заборонених діапазонів — 127.0.0.0/8, 10.0.0.0/8, 172.16.0.0/12, 169.254.0.0/16, 192.168.0.0/16 і 255.255.255.255. Це добра практика, але вона ж доводить головну тезу дослідників: технічно телевізор здатен встановити таке зʼєднання, а межу визначає лише політика самого SDK. У зразках Massive та Honeygain/Oxylabs аналогічного переліку дослідники не знайшли.

Що відповіли виробники та проксі-оператори

Старший віцепрезидент LG Джон Тейлор (John Taylor) заявив KrebsOnSecurity, що компанія працює з розробниками над видаленням проксі-опції із застосунків для платформи webOS, а ті, хто не виконає вимогу, втратять доступ до магазину. За його словами, перегляд каталогу вже триває, а процедуру перевірки застосунків, які містять проксі-SDK, буде посилено. Samsung публічної позиції щодо Tizen наразі не оголошувала.

Bright Data, на яку припадає більшість виявлених SDK, наполягає, що її мережа побудована на згоді користувачів: кожен учасник підтверджує участь через окремий екран і отримує щось натомість, а клієнти проходять перевірку. Компанія також повідомила про повторний незалежний аудит своїх практик, проведений PwC. Massive та Oxylabs заявили про власні механізми контролю — процедури KYC для клієнтів, серверну фільтрацію приватних діапазонів і незалежні аудити безпеки.

Позиція дослідників інша: проблема не в самому існуванні резидентних проксі, а в масштабі їх вбудовування у пристрої, які споживач не сприймає як обчислювальну техніку й не здатен перевірити. Одноразове вікно згоди, заховане в застосунку для телевізора, не замінює реальної прозорості, постійного контролю та нагляду з боку платформи, зазначив дослідник Spur Тревор Саттер (Trevor Sutter).

Інші платформи цю межу вже провели. За даними Spur, Amazon прямо забороняє застосунки, які надають проксі-послуги третім сторонам, а Roku блокує використання Bright SDK і подібних сервісів. LG і Samsung публічних правил такого рівня досі не мали.

Як зменшити ризик для власного телевізора

Простого способу дізнатися, чи бере телевізор участь у проксі-мережі, не існує: у прошивці немає відповідного індикатора, а фоновий трафік не видно з інтерфейсу. Проте ризик можна суттєво зменшити.

• Видалити зайві застосунки. Заставки, годинники, прості ігри та дрібні утиліти, встановлені колись «просто так», — найпоширеніший носій проксі-SDK. Якщо застосунком ніхто не користується, його варто видалити.
• Переглянути умови решти застосунків. Якщо програма колись пропонувала вибір «без реклами в обмін на використання ресурсів пристрою», найімовірніше, йшлося саме про проксі. У її налаштуваннях варто пошукати опцію відмови.
• Перевірити мережеві налаштування телевізора. Особливу увагу — розділам діагностики, використання даних і проксі. Будь-які незрозумілі значення проксі-сервера чи портів слід очистити.
• Вимкнути обмін даними. Відключення телеметрії та автоматичного розпізнавання контенту (ACR) у налаштуваннях приватності зменшує обсяг даних, які збирають виробник і розробники застосунків.
• Ізолювати телевізор у гостьовій мережі. Окремий сегмент Wi-Fi для смарт-пристроїв не дозволить скомпрометованому телевізору дістатися до компʼютерів, мережевих сховищ і камер спостереження.
• Встановлювати застосунки лише за потреби. Кожна нова програма з магазину — це нова згода, про яку легко забути вже наступного дня.

Детальніше про базові налаштування безпеки телевізора — у матеріалі «Як захистити смарт-телевізор від інтернет-загроз». Ознаки того, що проблема ширша за один пристрій, розібрані в матеріалі «Як дізнатися, що вашу мережу Wi-Fi зламали».

Запитання та відповіді

Чи є резидентні проксі незаконними?

Ні. Технологія законна й використовується для збору відкритих даних, тестування реклами та обходу географічних обмежень. Питання в іншому: наскільки усвідомлено власник пристрою погоджується стати вузлом такої мережі та чи може він у будь-який момент відмовитися.

Як дізнатися, чи працює телевізор як проксі?

Надійного способу перевірки з боку користувача не існує. Непрямою ознакою є встановлені колись прості застосунки — заставки, годинники, казуальні ігри, — які пропонували роботу без реклами в обмін на «використання ресурсів пристрою». Найпростіше рішення — видалити всі програми, якими ніхто не користується.

Чи стосується проблема телевізорів інших виробників?

Дослідження Spur охоплювало лише платформи LG webOS і Samsung Tizen. За даними тієї ж компанії, Amazon забороняє проксі-застосунки у своєму магазині, а Roku блокує відповідні SDK. Щодо інших платформ публічних даних наразі немає.

Чи достатньо просто не підключати телевізор до інтернету?

Пристрій без мережевого підключення справді не може бути вузлом проксі. Однак разом із цим втрачаються потокові сервіси та оновлення прошивки, які закривають уразливості. Компромісний варіант — окрема гостьова мережа для телевізора й мінімальна кількість встановлених застосунків.

Ця стаття Смарт-телевізор як проксі-сервер: LG блокуватиме застосунки, що продають IP-адреси власників раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня