Кибербезопасное инфоцыганство

Сегодня в рубрике "Кибербезопасность для самых маленьких" у нас Security Awareness, упоминание которого стало очень модным в последние пару лет. Что же это такое? Погнали разбираться.

Сначала, по классике, не напрягаясь, переводим дословно – осведомленность о безопасности. В целом, уже можно догадаться о чем речь. А речь о той самой кибергигиене, но не для всех, а именно для сотрудников компаний (когда-нибудь будет и для всех, надо только немного подождать). С давних времен считается, что человек является самой уязвимой частью любой системы, именно поэтому все так опасаются человеческого фактора – он банально непредсказуем.

В какой-то момент безопасники сели и посчитали, что порядка 80% киберинцидентов компании происходят по вине сотрудников (не стал добавлять ссылки для подтверждения, а то там что не сайт, то реклама этой услуги от вендоров) – кто-то скачивает себе на рабочий ПК вредоносные файлы, кто-то оставляет свой незаблокированный ноут в кофейне (здесь могла быть ваша реклама), кто-то просто тыкает во все ссылки во входящих письмах и вводит туда свои корпоративные пароли. В общем, проблемная область, прямо скажем.

Закрыть весь этот хаос инструментами безопасности очень сложно. Во-первых, работать будет просто невозможно – доступа к интернетам не будет, компы будут тормозить (из-за набора антивирусов и отслеживающих программ), каждый раз нужно будет вводить не только пароль, но и одноразовый код, при этом не забыв вставить специальную флешку. Во-вторых, защититься от действий своего же сотрудника на все 100% просто не получится.

Собственно, в какой-то момент было принято волевое решение – обучить сотрудников азам информационной безопасности (доступы, пароли, вирусы, инциденты), кибергигиене, показать, как выглядит фишинг, рассказать, что делать в случае подозрительной активности, а что самое главное – чего нельзя делать, чтобы всё было безопасно. Некоторые компании еще и проводят киберучения после образовательной секции, чтобы закрепить полученные знания. И вот это вот всё было названо Security Awareness.

Важная ли это вещь или кибербезопасное инфоциганство? Конечно же важная штука. Человек действительно является самым уязвимым звеном любой системы, и никто (по крайней мере раньше) не учил нас в школах или университетах всему тому, что описано выше. А отличить без подготовки хорошо написанное фишинговое письмо от настоящего не так уж и просто, как вам может показаться.

Ну вот и всё, урок окончен. Ну а для тех, кто знал, что такое Security Awareness, но зачем-то прочитал весь пост, вот вам интересный факт, чтобы не зря время потратили: в Антарктиде существует единственная река – Оникс, она течет всего 60 дней в году.

#Полезное

Твой Пакет Безопасности

Ох уж эти стажеры

Иногда у безопасников спрашивают (интересуются, да), а почему это мы защищаемся не только от внешних угроз, но и от внутренних. Ведь мы семья и должны доверять друг другу все сотрудники проходят множественные собеседования, проверки СБ и прочие ритуалы перед трудоустройством. Более того, большинство имеет опыт работы в других компаниях, а значит, и репутацию, которую можно подтвердить.

А потом злые безопасники устанавливают им на корпоративные ноуты инструменты для мониторинга процессов, ограничивают доступы, что-то там рассказывают про DLP и пугают страшилками про последствия за утечки. Теорию закрепили, теперь переходим к практике и реальной истории в жанре юмористического хорррора.

Есть такой Зань Янг Кейю Тянь, который однажды устроился на стажировку в компанию, которая владеет всеми любимым и ненавистным ТикТок-ом (ByteDance). Ну устроился и устроился, как говорится, но есть нюанс. Этот начинающий разработчик два месяца подряд устраивал натуральную диверсию, мешая жить всем вокруг и подвергая опасности данные и сервисы, доступ к которым у него был.

Он заражал компоненты (в том числе нейросетевые), загружал файлы со скрытым кодом, менял версии артефактов, создавал микробаги, ломал ML-модельки, и приправлял это всё отвлекающими манёврами.

И делал он это всё весьма изящно и хитро, ведь его не могли поймать на протяжении двух месяцев, хотя пакостил он у всех прямо на виду. Чинить это всё приходилось команде из 30-ти инженеров. Самое ироничное в этой истории то, что он со всеми ходил на встречи по разбору этих инцидентов и внимательно слушал обсуждение планов по тушению пожаров, после чего шел и поджигал там, куда никто сейчас не смотрит.

Первый ли это такой случай в истории человечества? Конечно нет. Приукрашен ли конкретно этот сюжет? Может быть, но суть от этого не меняется. И это мы еще не затронули повсеместные случаи продажи инсайдерской информации и персональных данных в дарксторах. В общем, так и живем.

Так семья или не семья?
❤️ – семья
😈 – не семья

Твой Пакет Безопасности

Вот она, вершина мошеннических схем.

#КиберМем

Твой Пакет Безопасности

Поднять щиты

О том, что такое двухфакторная аутентификация или 2FA мы с вами уже говорили (вот тут). О том, как этот способ защиты научились автоматизированно обходить злоумышленники мы тоже уже обсудили (вот здесь). Собственно, настало время научиться эту двухфакторку настраивать во всех важных местах и наконец-то сделать это.

На самом деле, я просто случайно наткнулся на доступную инструкцию (с картинками!) по тому, как это сделать, поэтому делюсь. Там и про популярные мессенджеры с соцсетями, и про Госуслуги с айфонами и андроидами.

А вот и сама инструкция – ссылка

#Кибергигиена

Твой Пакет Безопасности

Популяризации много не бывает

У одного хорошего дядьки из интернетов, который обычно очень подробно и красочно рассказывает про различные исторические события и личности, тут вышло видео на тему кибербезопасности. Там есть вся база, необходимая каждому – от статистики и технологий мошенничества до конкретных тактик и хронологии их развития.

Но, что самое главное, всё это рассказано на понятном языке. Ну а дадька этот – уважаемый Сергей Минаев, слушать и смотреть работы которого – одно удовольствие. Лично у меня уроки истории еще никогда не были такими интересными, поэтому выражаю искреннюю благодарность.

Да, возможно это всё сделано по инициативе Яндекса и не только во имя образовательной миссии, но какая разница, ведь по итогу мы имеем понятный видеоряд, который интересно смотреть, и который может даже кому-то помочь спасти свои кровные деньги или данные.

В общем, лучше самим убедиться – ссылка (ну или здесь).

#Кибергигиена

Твой Пакет Безопасности

А ты перезагрузился?

Как бы кто не ненавидел корпорации за то, что они крутят нашими данными и торгуют ими направо и налево, периодически у них все-таки появляются гениальные идеи, которые делают жизни их пользователей безопаснее.

Как-то так повелось, что из-за закрытости и замкнутости системы у Apple (да, когда-то так и было), ее операционки издревле считаются более безопасными, чем аналоги конкурентов (Windows, Android). Да, сейчас можно заразить и взломать уже все, что угодно, но сделать это с устройствами яблочной компании сильно сложнее и дороже. Да и в целом, эти ребята давно уделяют безопасности очень много внимания (тут можно глянуть поподробнее).

Так к чему это я? А я к тому, что, как недавно выяснилось, в новой iOS 18.1 они добавили одну функцию, о которой нигде не написали. И функция эта очень интересная. Согласно источнику (раз, два), выявили ее сотрудники правоохранительных органов, когда с несколькими вещдоками произошла странная вещь – айфоны просто начали перезагружаться сами по себе.

Как оказалось позже, это новая функция безопасности в iOS, которая принудительно перезагружает устройство после нескольких дней бездействия (а точнее, без разблокировки). Добавили ее для того, чтобы защитить данные на устройстве в случае утери, кражи или изъятия, так как после такой перезагрузки смартфон входит в режим BFU (до первого разблокирования), что сильно усложняет доступ ко всем внутренностям до ввода пароля.

Собственно, сотрудники цифровой криминалистики уже высказывают свое недовольство, так как им эта функция также усложнила жизнь при работе с устройствами подозреваемых. В общем, 100 баллов гриффиндору Эпплу и всем мир.

Твой Пакет Безопасности

А когда не довольны?

#КиберМем

Твой Пакет Безопасности

Дарю вам немного мотивации.

#КиберМем

Твой Пакет Безопасности

Открываем секретный канал

Вот уже почти 2 месяца прошло с того момента, как весь мир ахнул от публичного заявления Паши Дурова о том, что он не против делиться нашими данными с властями, а мы всё продолжаем пользоваться этим мессенджером. Удивительно, неправда ли?

Благо, эту тему мы с вами уже разобрали (вот здесь), как и различные способы защиты своего аккаунта (например, тут). Настройки и знание различных мошеннических схем – это, конечно, хорошо, но знаете ли вы, чем отличаются секретные чаты от обычных? Как оказалось, много, кто не знает, поэтому погнали разбираться.

Думаю, что сегодня мы обойдемся без сильной духоты и не будем разбирать типы и алгоритмы шифрования (ладно, вот тут можете почитать сами) – вам нужно знать лишь то, что оно существует во всех чатах в Телеграм, но, как и всегда, есть нюанс.

Если сильно упрощать, то когда вы переписываетесь с кем-то через обычные чаты, все ваши сообщения шифруются и отправляются на сервер, где их расшифровывают, обрабатывают и складывают в правильном порядке, а затем опять шифруют и отправляют на устройство того, кому вы эти сообщения написали. Называется такая архитектура – клиент-серверная (да, не так уж и сложно).

Именно поэтому, если вы зайдете в свой аккаунт с разных устройств или попытаетесь восстановить Телеграм после утери своего смартфона, всё так легко вернётся на свои места. И именно поэтому обычные чаты также называют облачными – по сути, все они постоянно хранятся в облаках. Да, безопасно, да, шифрование есть, но все ваши переписки постоянно хранятся где-то там, а не только у вас.

Ну а теперь переходим к горячему секретным чатам. Тут всё сильно безопаснее, но не то чтобы сильно удобнее. Здесь уже применяется подход с так называемым "сквозным шифрованием", и в этом случае наша переписка остаётся только нашей. Теперь все сообщения шифруются и отправляются напрямую нашему адресату, на устройстве которого они и расшифровываются. И никто больше – ни ребята из Телеграм, ни возрастные женщины на скамейке у подъезда, ни французские власти, к этим данным доступа не имеют (по крайней мере, так описано в документации мессенджера).

Какие есть побочки? Весьма логичные – эти чаты не будут синхронизироваться между вашими устройствами и не восстановятся после входа в ваш аккаунт с нового смартфона или ноутбука. Все данные (включая ключи шифрования) из этих чатов хранятся сугубо локально на том устройстве, на котором этот чат был начат. Ну и бонусом в секретных чатах у вас уже активны такие функции, как защита от скриншотов, защита от пересылов + можно настроить автоудаление сообщений по таймеру.

При этом, ограничений (помимо синхронизации) тоже хватает – нельзя ставить реакции, нет закрепов и возможности копировать текст, нет возможности сделать секретный чат больше, чем на двух человек. Начать секретный чат вы можете через уже созданный обычный – просто откройте чат, нажмите на аватарку/имя собеседника, нажмите на кнопку "Еще" и там выберите пункт "Начать секретный чат". Станет ли от этого ваша жизнь сильно лучше или безопаснее – не факт.

Ну а для тех, кто уже знал, как работают и какие бывают чаты в Телеграм, держите интересный факт, чтобы не зря время потратили: игрушка йо-йо появилась в шеснадцатом веке на Филиппинах в качестве оружия.

А какие чаты выбираете вы?
🤩 – обычные/облачные
👀– секретные

Твой Пакет Безопасности

Продолжаем ловить рыбу

Много раз уже с вами обсуждали всевозможные способы угона ваших телеграм-аккаунтов через поддельные сайты, приложения и сервисы (раз, два, три, четыре, пять), и то, как этого избежать. Но задумывались ли вы когда-нибудь о том, насколько сложно им создавать эти фишинговые ресурсы, которые позволяют перехватить доступ к вашему аккаунту сразу, как только вы попадаете на крючок?

В обычном мире IT есть такая штука, как веб-панель – это инструмент для комфортного администрирования серверов и любых ресурсов (например, сайтов), которые на них размещаются. Там всё удобно, красиво, с графиками, разноцветными кнопочками и картинками. Созданы веб-панели были для тех, кто особо не разбирается в разработке и обслуживании сайтов, чтобы упростить им жизнь и избавить от необходимости платить разработчикам или администраторам.

Так вот, злоумышленникам такая концепция тоже понравилась и они построили на ней полноценные платформы по созданию фишинговых ресурсов (да-да, тех самых, с помощью которых у вас и угоняют потом всё, что только можно). Там есть всё, что только можно придумать: шаблоны, инструменты для управления ботами, сбор статистики по угонам и переходам, редактор компонентов. И одни ребята из мира кибербезопасности сделали очень подробное исследование (нет, это не реклама) на тему таких аморальных веб-панелей – ссылка.

Я вам решил об этом рассказать не для того, чтобы вы пошли этими вещами пользоваться, а для того, чтобы вы понимали, что создать фишинговый ресурс для них практически ничего не стоит, они могут плодить их тысячами за очень короткие промежутки времени, копируя что угодно.

Но из-за того, что эта часть автоматизирована, а мошенники чаще всего не особо смышленые ребята, на этих фишинговых клонах можно найти очень много несостыковок, ошибок и того, что на настоящем сайте быть не должно: битых/нерабочих ссылок, кривых картинок, поехавших шрифтов, странных формулировок и прочих аномалий. Именно это и может спасти вас и ваших родных даже в том случае, если вы перешли по поддельной ссылке.

Так что будьте внимательны и бдительны, даже если заходите на какой-то сайт из поисковика (да, иногда они вкладываются деньгами в то, чтобы их сайт поднялся в поисковой выдаче).

Твой Пакет Безопасности