Najava da Chrome 146 na Windowsu uvodi Device Bound Session Credentials jedna je od važnijih sigurnosnih novosti za krajnje korisnike i poduzeća u posljednja 24 sata. Riječ je o pokušaju da se ukradeni sesijski kolačići više ne mogu lako prenositi s jednog uređaja na drugi, što izravno pogađa jedan od najčešćih obrazaca rada infostealer zlonamjernog softvera.
BleepingComputer navodi da Chrome 146 na Windowsu uvodi Device Bound Session Credentials, mehanizam kojim se podaci za prijavu i sesijski tokeni vezuju uz konkretan uređaj. U praksi to znači da krađa kolačića više neće automatski značiti i uspješno preuzimanje korisničke sesije na nekom drugom računalu. To je važan pomak jer su upravo sesijski tokeni posljednjih godina postali jedna od najvrjednijih meta infostealera. Napadaču često nije potrebno ukrasti lozinku ako može preuzeti već aktivnu i valjanu sesiju.
Za sigurnosnu zajednicu ova promjena je važna jer pokazuje da se preglednici sve agresivnije uključuju u borbu protiv post-phishing i post-malware kompromitacije. Klasična više-faktorska autentikacija više nije dovoljna zaštita ako korisnik jednom uspješno prođe prijavu, a napadač nakon toga ukrade sesijski token. Upravo zato vezivanje sesije uz uređaj može znatno otežati napade koji se oslanjaju na krađu browser artefakata, osobito u scenarijima gdje korisnici rade na nezaštićenim ili kompromitiranim endpointima.
Za poslovne korisnike korisnost ovakve promjene može biti vrlo konkretna. U kombinaciji s identity alatima, politikama pristupa i endpoint zaštitom, preglednik postaje aktivniji dio sigurnosne arhitekture, a ne samo pasivna ulazna točka prema SaaS aplikacijama. Kako se sve više rada odvija upravo kroz web aplikacije, svaki sigurnosni pomak na toj razini može imati značajan učinak na smanjenje kompromitacija računa i lateralnog kretanja napadača.
Europski kontekst je također važan. Tvrtke pod pritiskom NIS2, DORA-e i internih zahtjeva za cyber otpornošću sve više traže mjere koje mogu smanjiti stvarni operativni rizik, a ne samo zadovoljiti check-listu. Mehanizmi poput DBSC-a idu upravo u tom smjeru jer ciljaju poznat napadački obrazac. Hrvatskim tvrtkama to je korisna tema jer se velik dio poslovnih procesa, od e-pošte do financijskih i CRM sustava, već oslanja na preglednik kao glavno radno okruženje.
Za CIO-e i sigurnosne timove to znači da preglednik treba promatrati kao aktivni element arhitekture povjerenja. Ako se kroz njega odvija većina rada, onda promjene poput DBSC-a mogu imati stvaran učinak na smanjenje rizika. To nije rješenje za sve scenarije kompromitacije, ali jest važan primjer kako se sigurnost identiteta i uređaja sve više spaja na samoj točki gdje korisnik radi svoj svakodnevni posao. U vremenu kad se velik dio poslovnog rada odvija u SaaS aplikacijama, svako smanjenje krađe sesija ima izravan operativni učinak. Zato je riječ o maloj, ali strateški važnoj promjeni. Za tvrtke to znači i jednostavniji argument za ulaganje u moderniji browser security stack. Takve promjene najviše vrijede kada su nevidljive korisniku, a vidljive napadaču kao dodatna prepreka.
Najmanje osam američkih saveznih država tužilo je OpenAI tvrdeći da ChatGPT šteti djeci, obmanjuje roditelje i krši državne zakone o zaštiti potrošača. Arizona, Arkansas, Idaho, Iowa, Kansas, Montana, Nebraska i Zapadna Virginija podnijeli su odvojene postupke pred svojim sudovima, a koordinirana akcija cilja način na koji kompanija opisuje sigurnost chatbota i upravlja rizicima za maloljetnike i ranjive odrasle korisnike.
OpenAI i Meta upozorili su u Bostonu američki Odbor za pravila dokazivanja da su lažni videozapisi, slike i audiosnimke postali dovoljno uvjerljivi da ih ni čovjek ni postojeći detektori ne mogu pouzdano razotkriti. Rasprava je održana pred tijelom Američke sudske konferencije koje odlučuje treba li mijenjati savezna dokazna pravila, a neposredan razlog jest rast generativnih alata sposobnih proizvesti vjerodostojan zapis događaja koji se nikada nije dogodio.
Napadači su počeli iskorištavati kritičnu ranjivost u osam Atlassianovih proizvoda u izdanju Data Center samo nekoliko sati nakon objave demonstracijskog koda. Propust CVE-2026-21589, ocijenjen s 9,3, omogućuje neprijavljenom napadaču dohvat određenih datoteka iz korijena web-aplikacije ako zna njihov točan naziv i putanju. Pogođeni su Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible i Fisheye.
