Microsoft Paint имеет серьезную уязвимость, позволяющую удаленные атаки в Windows 11

Microsoft обвиняется в применении недобросовестных методов для продвижения своего браузера Edge. Эти тактики включают показ навязчивой рекламы и изменение шаблонов файлов, чтобы затруднить пользователям переход на другие варианты браузеров.

В отчете, подготовленном Browser Choice Alliance (BCA), подробно описано десять таких «темных паттернов», используемых компанией, например, открытие ссылок непосредственно в Edge, даже если другой браузер установлен в качестве основного.

На данный момент Microsoft не выпустила официального заявления по поводу этих обвинений. Хотя усилия Microsoft по увеличению присутствия Edge на рынке очевидны, BCA утверждает, что компания прибегает к неэтичным стратегиям для продвижения своего браузера.

BCA опубликовала 46-страничный документ, описывающий десять «грязных трюков», реализованных Microsoft для этой цели. BCA — это коалиция организаций, разрабатывающих браузеры, которые в первую очередь выступают за право пользователей Windows свободно выбирать, какой браузер использовать. Среди членов этого альянса такие компании, как Google, Vivaldi, Opera, Midori, Wavebox и BrowserWorks.

Этот отчет был подготовлен Behavioural Insights Team (BIT) и в основном описывает стратегии, которые Microsoft применяет, чтобы помешать пользователям переходить с Edge на конкурирующий браузер. Эти стратегии классифицируются как «темные паттерны» (dark patterns), то есть «скрытые паттерны» в свободном переводе. Эти паттерны относятся к техническим или дизайнерским подходам, которые побуждают пользователя совершить действия, которые он не совершил бы добровольно.

Каковы темные паттерны, используемые Microsoft в отношении Edge?

Исследование, проведенное BIT, выявляет десять темных паттернов, распределенных по трем различным категориям (или фазам).

Категория 1: Установка альтернативного браузера

В этой первой категории наблюдаются следующие моменты: навязчивая реклама, когда пользователь видит баннеры или призывы в сервисах, таких как Bing, при использовании Edge для поиска информации о других браузерах, пытаясь убедить его остаться в Edge; фрагментарное изменение шаблонов, при котором Microsoft пытается установить Edge в качестве основного для определенных форматов файлов (например, PDF), вынуждая пользователя многократно перенастраивать выбранное им программное обеспечение для разных типов файлов; и ограничение режима S, который запрещает установку конкурирующих браузеров, если Windows работает в режиме S (ограниченном режиме, ориентированном на безопасность).

Категория 2: Принудительное использование Edge

Механизмы принудительного использования включают строку поиска Windows, которая открывает локальные результаты поиска в Edge, даже если другой браузер установлен в качестве основного; виджеты и ссылки на экране блокировки, которые также открывают результаты в Edge, несмотря на другую основную настройку; ленту новостей, поскольку выделенные новости в Windows 10 открываются в Edge, когда основной браузер установлен как другой; ссылки в Outlook и Teams, которые автоматически открываются в Edge, требуя от пользователя вручную настроить это поведение для другого браузера; блокировку сторонних инструментов, пытающихся предотвратить перенаправление ссылок в браузер Microsoft; и принудительное открытие вкладок в Edge сразу после входа в систему, позволяя системе автоматически запускать Edge, даже если в качестве основного выбран другой браузер.

Категория 3: Обновление операционной системы

Наконец, третья категория касается некорректной настройки после обновлений системы, когда Microsoft снова пытается установить Edge в качестве основного после получения Windows крупного обновления.

Пользователям Microsoft Authenticator для Android следует убедиться, что на их устройствах установлена последняя версия приложения. Это обновление устраняет критическую уязвимость, которая могла позволить злоумышленнику получить доступ к учетным данным аутентификации в различных сервисах.

Уязвимость была выявлена компанией по цифровой безопасности Enclave и получила оценку 8,6 (по шкале от 10) в системе CVSS 3.1, что указывает на очень высокий уровень серьезности. По данным Enclave, злоумышленник мог бы использовать эту уязвимость, создав приложение для Android, даже не имея специальных разрешений, выдавая себя за официальное приложение Microsoft, чтобы заставить Authenticator отправлять соответствующие токены аутентификации.

Получив эти токены, злоумышленник мог бы получить доступ к учетным записям пользователя на нескольких платформах. В тестах, проведенных Enclave, удалось получить доступ к конфиденциальной информации, такой как электронная почта, календари и файлы.

Enclave уведомила Microsoft об уязвимости, и та признала проблему через регистрацию CVE-2026-80097, которая была опубликована 8 сентября 2026 года. Хотя технические детали были раскрыты Enclave только недавно, первоначальное уведомление было направлено оперативно.

Для снижения риска рекомендуется установить версию Microsoft Authenticator 6.2606.4246 или выше. Версию, установленную на Android-телефоне или планшете, можно проверить, зайдя на страницу Microsoft Authenticator в Google Play Store.

Microsoft Authenticator — это приложение, совместимое с Android и iOS, которое упрощает двухфакторную аутентификацию во множестве сервисов. Кроме того, оно используется для генерации временных кодов подтверждения для входа и позволяет получать доступ к некоторым сервисам Microsoft без необходимости вводить пароли.

Компания Microsoft объявила о предложении ряду сотрудников в Индии и трех других странах возможность уйти с работы по собственному желанию. Согласно имеющимся данным, около 60 000 работников имеют право на участие в этой программе выкупа. Данное объявление вызвало значительное беспокойство среди персонала компании.

Один из индийских разработчиков программного обеспечения поделился своим переживанием после получения подобного предложения. Он сообщил, что получил соответствующее электронное письмо всего через три месяца после начала работы в Microsoft.

Этот сотрудник разместил свой рассказ на социальной платформе Reddit. Пользователь с ником clock-maker365 опубликовал пост в сабреддите r/developersindia. В своем сообщении он выразил сильное беспокойство, отметив, что присоединился к Microsoft всего три месяца назад и имеет очень ограниченные знания о кодовой базе. Этот первоначальный пост впоследствии был удален.

Разработчику было направлено электронное письмо всего несколько часов назад, в котором была установлена крайняя дата принятия решения о будущем — 1 декабря. В посте говорилось, что письмо поступило примерно за три часа до публикации. Microsoft предоставляет 60 тысячам сотрудников возможность добровольного выхода на пенсию. Суть предложения заключается в получении денежной компенсации с завершением карьеры в Microsoft 31 декабря. Последний срок подачи заявки установлен на 1 декабря.

Разработчик уточнил в своем посте, что данное письмо не было отправлено всем сотрудникам компании. Он подчеркнул, что хотя предложение адресовано многим, оно было получено только некоторыми отобранными людьми, и он является одним из них. Разработчик заявил, что даже если он откажется от предложения, Microsoft может уволить его из компании. Он предположил, что получение такого письма означает, что его имя попало в список сокращений, и компания каким-либо образом обеспечит его уход.

Microsoft пока не комментировала опасения относительно начала нового раунда увольнений. Тем не менее, ранее в начале текущего года компания уже предлагала некоторым старшим сотрудникам добровольно выйти на пенсию, после чего было уволено около 4 800 человек.

Разработчик также выразил глубокое смятение, отметив, что, несмотря на усердную работу в течение последних трех месяцев, он крайне обеспокоен своим будущим. Он задался вопросом, зачем он так много работал, чтобы попасть в эту нестабильную ситуацию на рынке труда крупной корпорации? Он обратился к пользователям Reddit за советом относительно своего будущего, поскольку у него не было запасного плана. Он сообщил, что обладает трехлетним опытом, не имеет семейного бизнеса и располагает только шестью месяцами средств. Он упомянул, что может заниматься DSA, но сомневается в востребованности этого навыка, считая его одной из наименее полезных компетенций. Он спросил, что ему делать.

Хотя сам пост был удален с Reddit, разработчик в ответ на комментарий сообщил о размере пакета выходного пособия, который ему предложили. Ему предложили компенсацию в размере двух или трех месячных базовых окладов плюс одна неделя базового оклада, а также две недели базового оклада за шесть месяцев работы. Другой пользователь отметил, что наличие в резюме Microsoft поможет разработчику легко найти новую работу, утверждая, что кто может работать в Microsoft, может добиться успеха в любой компании. Еще один пользователь заявил, что он присоединился к компании месяц назад и получил такое же предложение, посоветовав собеседнику сохранять сбережения и готовиться, поскольку рынок для тех, кто работает в msft, не настолько плох.