Белый хакинг
Подскажите пожалуйста кто работает в сфере хакинга, криптоанализа и так далее . Что у вас по зарплатам примерно получается?
Информационная безопасность IT
1 412 постов
•
25 492 подписчика
Электронная подпись: как обходиться без бумаги и при этом не отдать все свои активы мошенникам?
Электронная подпись появилась в России еще в прошлом веке, когда компьютеры были большими, а интернет был по диал-апу. С тех пор применение усиленной электронной подписи (ЭП) расширяется. Её регистрируют как крупные организации, так и совсем небольшие ИП.
После начала пандемии коронавируса случился настоящий бум получений ЭП, ведь иначе бизнес бы встал. В результате за 2020 год было выдано почти вдвое больше сертификатов ЭП, чем в 2019-м. Разберемся, что такое ЭП, почему она так привлекательна для мошенников и как защитить ее от злоумышленников.
ЧТО ТАКОЕ ЭЛЕКТРОННАЯ ПОДПИСЬ?
В этом материале мы говорим об усиленной электронной подписи – идентификаторе человека при дистанционном обмене информацией, имеющем юридическую силу.
Бывает еще простая электронная подпись, подтверждающая, что документ отправил конкретный пользователь. Ее можно сделать с помощью обычных офисных программ, но уровень ее защищенности таков, что всерьез ее воспринимать сложно. Однако простые подписи используются широко. Например, ими незаметно для клиента заверяются все операции по банковским картам. Простая подпись может быть доказательством в арбитражном суде.
Чтобы ввести электронный документооборот, требовался инструмент, одновременно достаточно защищенный, чтобы ему можно было доверять, и достаточно простой, чтобы им мог пользоваться обычный пользователь ПК. Так появилась усиленная электронная подпись.
Усиленная ЭП – это реквизит документа, подтверждающий его авторство и отсутствие изменений в данных с момента подписания. Она защищена криптографическими методами, и взломать ее практически невозможно.
Чтобы подписать документ, нужна пара из секретного и открытого ключа.
Когда человек ставит электронную подпись, алгоритм считает контрольную сумму данных и зашифровывает получившееся значение секретным ключом.
Получатель документа с помощью парного открытого ключа узнаёт, кем именно был подписан документ и проверяет совпадение контрольной суммы. Если после подписи в документе хотя бы переставят запятую или удалят пробел, она будет уже другой. Значит, подпись недействительна.
Из всех ЭП юридической силой собственноручной подписи обладает только усиленная квалифицированная. Чтобы получить ее, нужно, чтобы соответствующий открытый ключ был подписан секретным ключом УЦ.Открытый ключ с метаданными владельца и подписью УЦ и называется сертификатом электронной подписи.
Неквалифицированная подпись используется в основном в деловой среде. Ее может выдать любой удостоверяющий центр (УЦ), в том числе и внутренний УЦ предприятия. Сообщение с неквалифицированной электронной подписью может (по предварительной договоренности сторон и в специально предусмотренных законом случаях) быть приравнено к бумажному документу, подписанному собственноручно.
Квалифицированная подпись по закону считается официальным документом. Она позволяет удаленно работать с налоговой инспекцией, присылать документы в суд – делать все то же, для чего нужна собственноручная подпись. Она подтверждается сертификатом от аккредитованного удостоверяющего центра.
НЕМНОГО ИСТОРИИ
С помощью сотрудников Музея криптографии, который скоро откроется в Москве, мы смогли составить хронологию использования ЭП в России.
1994 – в России принят первый стандарт электронной подписи – ГОСТ Р 34.10-94 (сейчас действуют национальный стандарт ГОСТ Р 34.10-2012 и межгосударственный ГОСТ 34.10-2018)
2002 – вступил в силу первый закон, призванный регулировать использование ЭП – 1-ФЗ «Об электронной цифровой подписи». Он содержал слишком серьезные требования к ЭП и сильно ограничивал возможности по применению электронных документов.
2011 – вышел закон 63-ФЗ «Об электронной подписи», значительно облегчающий ее применение. Это создало основу для перехода к безбумажному документообороту.
2018 – ЭП стала использоваться на портале «Госуслуги»
2019 – появление облачной подписи, которую можно оформить удаленно.
2020 – ключи ЭП можно получать через МФЦ.
2020 – ЭП активно используется в банках для защиты переводов.
Электронная подпись стала по-настоящему доступна. Но так ли это хорошо?
ОХОТА ЗА КЛЮЧОМ
Секретный ключ чужой электронной подписи для мошенников поистине золотой. Имея его, для всего цифрового мира злоумышленник может оставить её настоящего владельца без банковского депозита, бизнеса и единственного жилья.
Самые распространенные преступления с использованием ЭП:
- вывод средств со счетов компании;
- получение кредитов;
- оформление фирмы-однодневки;
- заключение договора дарения или купли-продажи на собственность человека или компании, включая недвижимость и дорогую технику;
- различные манипуляции с организацией: смена руководителя компании, главбуха, других ключевых сотрудников, ограничение доступа организации к госзакупкам и даже ликвидация компании.
Чтобы осознать полный спектр возможностей мошенников, представьте, что вы решили очень сильно навредить собственному материальному положению. Что вы можете для этого сделать? Мошенник с вашим секретным ключом может сделать все то же самое.
Открытый ключ на то и открытый, что давать его можно всем, кому требуется подтвердить вашу электронную подпись. Им можно:
- зашифровать что-то так, что расшифровать сможет только владелец парного секретного ключа;
- проверить подпись, созданную с использованием парного секретного ключа.
Имея доступ к открытому ключу, получить секретный невозможно. Поэтому его можно безопасно предоставлять всем, кому нужно прочитать ваши документы.
УДОСТОВЕРЯЮЩИЙ ЦЕНТР: ЗАЧЕМ ОН НУЖЕН?
На всех сайтах удостоверяющих центров говорится: чтобы получить электронную подпись, нужно получить в УЦ ключевую пару и сертификат. Создается впечатление, что ключевую пару могут сделать только там. Но это а) не так, б) нарушает главное правило работы с ЭП: секретный ключ не должен оказываться в чужих руках. Тем более – в непонятно чьих.
Удостоверяющие центры – это частные организации (порой ИП или вообще частные лица), которые не в полной мере контролируются государством. До 2020 года существовали сотни УЦ, среди которых встречались созданные с мошенническими целями – как раз для кражи секретных ключей. Теперь требования к ним значительно ужесточили, и многие недобросовестные игроки с этого рынка отсеялись. Но все ли? Вряд ли вам хочется проверить это ценой собственной квартиры или бизнеса.
Поэтому если УЦ не аккредитован в Минкомсвязи, с ним можно иметь дело только если:
- это собственный УЦ вашего предприятия;
- он сертифицирует подписи для участия в конкретных мероприятиях (например, в торгах, и тогда УЦ должен иметь аккредитацию не менее чем шести торговых площадок).
Смысл создания аккредитованных УЦ – в дополнительной защите подписи путем сертификации. Сертификат УЦ говорит о том, что его сотрудники удостоверились в том, что конкретный гражданин пришел к ним с паспортом и заявил, что принесенная им ключевая пара принадлежит ему. Для такой идентификации достаточно предоставить в УЦ открытый ключ. Но явиться лично и с паспортом придется. Дистанционные способы подтверждения личности в таком важном деле, как получение сертификата, могут применяться только в исключительных случаях. Если УЦ предлагает такие варианты просто по желанию клиента, возможно, организация настолько же непринципиальна и в других вопросах информационной безопасности.
Кроме выдачи сертификата электронной подписи, УЦ по заявлению владельца может приостановить действие сертификата или отозвать его, и тогда ЭП потеряет силу. Об этом пользователю, имеющему парный открытый ключ, сообщит программа, проверяющая подпись. В сообщении будет сказано: «Подпись верна, сертификат недействителен». Но между тем, как секретный ключ станет кому-либо известен, до тех пор, пока УЦ поместит сертификат открытого ключа в список отозванных, пройдет какое-то время. За этот промежуток злоумышленник вполне может провести операции, которые будут считаться легитимными.
КЕЙС: КАК СДЕЛАТЬ СЕБЕ ЭП
Верный способ защитить секретный ключ от утечек на начальном этапе – сделать на предприятии собственный УЦ. Он не будет аккредитованным, зато вы точно будете знать, кто имеет доступ к настолько важным данным. Приведем кейс от дружественной компании, которая не поленилась немного поработать, и теперь ее руководство спит спокойно. Ну, почти спокойно: инсайдерское в+оздействие (то есть, злой умысел сотрудника) никто не отменял, но это уже другая задача.
Для создания ключевой пары и последующей работы с цифровой подписью мы использовали отдельный компьютер с заведомо «чистой» системой. Мы протестировали несколько систем, и остановились на российском Alt Linux. Для добавления поддержки шифрования и цифровой подписи по ГОСТ в ней оказалось достаточно установить пакет openssl-gost-engine и добавить в начало конфигурационного файла несколько строчек:
HOME = .
openssl_conf = openssl_default
[ openssl_default ]
engines = engine_section
[ engine_section ]
gost = gost_engine_section
[ gost_engine_section ]
engine_id = gost
default_algorithms = ALL
В других системах на основе GNU/Linux все тоже заработало, но усилий приложить потребовалось чуть больше. Нам удалось настроить софт для создания ключевой пары под Windows и MacOS, но в этих случаях гораздо острее встает проблема вредоносного ПО, нацеленного на кражу секретного ключа.
После создания ключевых пар мы обратились в аккредитованный УЦ и зарегистрировали их по установленной законом процедуре. Мы предъявили в УЦ открытые ключи и необходимые документы как для физических лиц, так и для организации. Этот этап оказался самым сложным: сотрудники УЦ не сразу поняли, что нам не нужна медвежья услуга по созданию ключевой пары, а достаточно просто подписать уже существующий открытый ключ.
Мы ссылались на ФЗ-63 «Об электронной подписи». В ст. 2 этого закона и во многих других статьях сказано, что сертификат электронной подписи, в том числе квалифицированной, выдает УЦ. Но нет ни слова о том, что УЦ выдает ключевую пару. Сотрудники сначала аргументировали отказ в выдаче сертификата доводами вроде «Ну мы всегда так делали». Но затем они, вероятно, все же почитали закон и посоветовались с юристами. В результате наше законное требование было выполнено, мы успешно избежали навязанной и небезопасной услуги.
С 1 января 2022 года вступят в силу изменения к ФЗ-63, но принципиально поменяется только выбор УЦ, в которых могут получить сертификат руководители предприятий, индивидуальные предприниматели и нотариусы. Список компаний, которые смогут выдать сертификат в таких случаях, будет ограничен УЦ ФНС и организаций, которые налоговая служба сочтет доверенными. Получать ключевую пару именно в них закон по-прежнему не требует.
Как хранить секретный ключ
Ключевую пару можно хранить в специализированном устройстве. Для этого обычно используют рутокен или е-токен. УЦ выдает секретные ключи именно на этих устройствах, но их вполне можно приобрести самостоятельно.
Внешне токен похож на обычную USB-флешку, но внутри содержит не накопитель, а криптопроцессор – устройство, хранящее секретные ключи и осуществляющее внутри себя все необходимые криптопреобразования. Поместить секретные ключи в эти устройства можно, но извлечь их оттуда уже не получится, что обеспечивает дополнительный уровень защиты.
Две главных опасности для секретного ключа – это вредоносное ПО и действия пользователя. Надеяться только на антивирусные программы недостаточно. Важно соблюдать правила:
- не оставлять токен подключенным к компьютеру дольше необходимого;
- не оставлять устройство без присмотра (его нужно всегда иметь при себе или хранить в сейфе);
- ни в коем случае не помещать секретный ключ в облачное хранилище и вообще не использовать для его хранения Интернет.
ЭП: ТЕХНИКА БЕЗОПАСНОСТИ
1. Изучите компьютерную грамотность сами и обучите ей сотрудников или родственников! Антивирусы – это хорошо, но лучшая защита пользователя от кибермошенничества – его собственная голова. Люди, которые могут хотя бы подойти к вашему компьютеру, должны знать, что такое фишинг, как отличить настоящий сайт от подделки и почему нельзя открывать все ссылки подряд.
2. Поддерживайте антивирусную защиту актуальной! Самый распространенный способ «украсть ЭП» (а точнее секретный ключ) на сегодня – зловредные программы, которыми преступники заражают компьютеры.
3. Не используйте токен на компьютере, в защищенности которого вы не уверены.
4. Ключевую пару можно и нужно создать самостоятельно.
5. Не пользуйтесь услугами неаккредитованных удостоверяющих центров, если это не ваш собственный УЦ.
6. Секретный ключ, в том числе содержащий его токен, нельзя передавать никому. Даже родным и близким. Сотрудникам, которые имеют право подписывать документы, сделайте их личные ключи.
7. Паспортные данные и тем более сканы документа должны храниться максимально надежно. Нельзя размещать их в Интернете, даже в якобы безопасных хранилищах. Если при получении какой-либо услуги вместо паспорта допустимо предъявить другой документ, так и поступите. Иначе есть риск обзавестись неучтенной цифровой подписью.
8. Установите пароли на токен и компьютер. Пароль должен иметь достаточную длину и содержать как буквы в разных регистрах, так и цифры со спецсимволами. Еще лучше использовать ключевую фразу (passphrase): это набор слов, разделенных цифрами или спецсимволами. Например, 1k*СпОc0бОв/=\zaS4itit`+token|_|. Его придется выучить наизусть. Записанный на бумажке, даже самый сложный пароль теряет смысл. Достаточно один раз забыть такой листок на столе – и в лучшем случае просто придется заказывать новую подпись.
9. Не храните незащищенный секретный ключ на жестком диске компьютера.
10. Если вы – руководитель, и у ваших подчиненных есть ЭП, дающая право подписывать документы от имени предприятия, при увольнении сотрудника отзывайте его подпись даже раньше, чем он получит расчет.
Показать полностью
С этим справится только профессионал...
Информационный безопасник весьма неблагодарная профессия. Его работа для рядового сотрудника организации ассоциируется только с усложнением рабочего процесса.
Например, не печатает принтер, не работает формула в Excel, не включается компьютер, не кипятит чайник - зовут айтишника, он приходит и все исправляет, айтишник полезный сотрудник. А от информационного безопасника никакой пользы, только вредительство - то ключей наставят для входа в компьютер, то пароли придумают такие, что во век на запомнить, так еще и на монитор напоминалки вешать запрещают, то антивирус поставят, который тормозит работу компьютера, то еще какой-нибудь фигни придумают, что бы жизнь медом не казалась.
Как известно, работа со средствами криптографии накладывает определенные организационные мероприятия, такие как опечатывание помещений, в которых находятся компьютеры с установленными СКЗИ. Ключи от таких помещений, тоже рекомендуется хранить в опечатанном виде на посту охраны. Для этого используются специальные тубусы.
Весьма примитивное устройство - ключи кладутся внутрь, крышка закручивается, контрольная веревочка вдавливается в пластилин, а на пластилине сотрудник, сдающий ключи, ставит отиск своей металической печати.
Разуеется, если все годами носили ключи от рабочих помещений домой, то новшество в виде сдавания ключей на пост охраны сразу принимается в штыки. Хотя, на самом деле, такой подход решает проблему случайно забытых или потерянных ключей - теперь они всегда на месте. Но я, как начальник отдела ИБ не раз выслушивал возмущения по поводу неудобств сдачи ключей в тубусе на охрану - это ж надо утром и вечером расписываться в журнале, на КПП создаются очереди и т.д и т.п..
И вот однажды, мне звонит заместитель руководителя организации (далее- ЗАМ) и просит зайти к нему в кабинет. Захожу, ЗАМ сообщает, что у сотрудника одного из отделов организации "вышел из строя тубус", говорю: "не вопрос, сейчас разберемся", а у самого в голове 2 вопроса: "что там могло выйти из строя?" и "зачем такой ерундовый вопрос выносить на уровень руководства? ". Прихожу в кабинет, звоню тому сотруднику, приглашаю к себе с "вышедшим из строя оборудованием".
Заходит, я с порога спрашиваю:
- Чего сразу ко мне не пришел?
- у тебя закрыто было... - отвечает он, протягивая мне тубус
- что тут поломалось? - спрашиваю дальше, вспоминая, когда это меня не было на рабочем месте...
- да веревка порвалась....
Дар речи у меня на какой-то момент пропал, в голове начали закрадываться мысли предложить ему оформить официальное обращение служебной запиской, назначить приказом ответственных за ремонт вышедшего из строя тубуса, с составлением акта выполненых работ.... типа, такой абсурд должен быть доведен до конца.
- хорошо, оставляй - сказал я ему - хотя завязать веревочку в порванном месте мог тут же на месте.
Зашел к своим сотрудникам в отдел и спросил кто сможет взяться за ремонт тубуса. На меня посмотрели, как на идиота. Думаю, ну значит я не одинок, на одной волне. Рассказал мужикам, поржали вместе, тут же на месте я завязал ту самую порвавшуюся веревочку и пошел сдавать работу. Раз задачу ставил ЗАМ, значит ему и отчитаться надо. Зашел, поставил тубус на стол и говрю, что задача выполнена, узел на оборвавшейся веревке успешно завязан, работоспособность тубуса восстановлена, хорошо, что он своевременно обратился к профессионалам!
ЗАМ сам офигел, когда узнал в чем причина была, а главное понял, что это была попытка очередного плевка в сторону ИБ.
Показать полностью
1
Малварь детектед on pikabu
Всем привет! Сегодня наткнулся на коммент от мамкиного-хакера#comment_216927243
Взглянув на домен - сразу стало ясно, дело пахнет писюнами
Домену неделя, а уже так активно о нем пишут в комментах, хайповая видимо тема с этим вашим Рапториумом(урл оригинальный выглядит так: raptoreum.com), ага еще бы, курс подрос в 3.5 раза, и теперь каждый школьник имеющий базовые навыки в компиляции готовых исходников и сэкономивший карманные деньги на обедах, тратит 2$ на виртуальный сервер, еще 3$ на домен и начинает зашибать бабло на наивных любителях переходить по ссылкам из комментариев.
В чем суть?
На сайте размещен переделанный майнер, доход от майнинга в карман, естественно не тому, чей кошелек указан, а злому и подлому школьнику.
Визуально отличий от оригинального софта - нет.
Показать полностью
1
Ответ на пост «Может оно так и безопаснее на самом деле, чем помнить один пароль на все сервисы»
Кто все же решится апгрейднуть каменный век на парольный менеджер - делюсь своим решением. Зовется оно Bitwarden. Синхронизируется централизованно на винде, маке, иосе и андроиде. Прекрасно интегрируется в браузеры на вышеназванных платформах. Стоит копейки. В качестве плюшек имеет прикольные встроенные тулзы типа прочекать все пасы на дубли или на дырявость. Хранение на внешнем стороннем серве на первый взгляд не внушает спокойствия (утечки с манагеров имели место ни раз), однако за бесшовную синхронизацию на всех девайсах приходится платить. Помнить надо лишь один мастер-пароль, остальное за вас сделает софтина.
Сам файлик с пасами хранится не в открытом виде, а в зашифрованном контейнере, который расшифровывается при вас на время доступа к нему. Т.е. если мастер-пароль у вас не кличка вашего кота, а 30-символьный монстр со спец. символами (загуглите технику генерации и запоминания сложных паролей - там надо понять секрет), то злодей, даже вскрыв серв, получит разве что перспективу ближайшие пару жизней посвятить перебору пароля к вашему контейнеру. С другой стороны, проебав мастер-пароль, можете попрощаться с контейнером. Навсегда. Потому что мастер-пароль никто нигде не хранит, и ссылку для его сброса, как на мейлрушечке, вам никто не вышлет. Такова цена вашей безопасности.
По поводу «хранить или не хранить на внешнем серве». В открытом виде (в виде табличной базы данных с доступом к аккаунту через пароль) - однозначно не хранить. В зашифрованном - почему нет? В обмен мы получаем реально крутецкую синхру со всеми девайсами, не напрягаемся перебросами файлика туды-сюды, спокойно на каждый сервис генерим лютые пасы на 30-60 символов одним движением. При любом неудобстве же мы начинаем сачковать, вбивать пасы по принципу «ну это временный, я позже сменю, как до компа дойду», и пошло поехало.
Все помнят, как долго живут «крутые незапоминающиеся пасы» на листочках на мониторе. И как потом плавно они трансформируются в даты рождения детей и телефоны. Чем удобнее ваш парольный манагер, чем проще вам будет генерить и доставать сложные пасы, тем спокойнее вы будете спать. А похерить мастер-пароль можно и без внешних хранений, просто поймав через торрент сниффер вводимых символов с клавиатуры, специально заточенный под спизд как раз парольных манагеров.
Каких-то божественных гарантий сохранности ваших паролей не существует. Одно известно точно: чем неудобнее вам оперировать сложными паролями, тем призрачнее шансы, что вы не скатитесь к паре-тройке односложных паролей на всех своих аккаунтах, а в одно условно прекрасное утро не обнаружите взломанными добрую половину из них (с тонной утекшей приватной инфы, а возможно и пачкой кредитов на себя и своих родственников).
Показать полностью
«Воскресшие» учётки, похититель душ и похороны Facebook
Глупые ИБ-инциденты, от которых кровь стынет в жилах.
В хеллоуинской повестке – почти удавшаяся утечка на миллиард, фейковые директора и крупнейшее мошенничество по телефону.
Призрак разбитого сердца
Что случилось: Бывшая сотрудница Melbourne Flight Training взломала систему лётной школы и разрешила полеты неисправным самолетам.
Как это произошло: Генеральный директор лётной школы Дерек Фэллон обратился в полицию после того, как заметил странные изменения во внутреннем приложении Flight Circle, с помощью которого происходит управление полетами и отслеживание самолетов. По словам Фэллона, неизвестный удалил записи о неисправностях самолетов. Это значит, что самолеты, непригодные для эксплуатации, намеренно были сделаны «годными».
Позже директор еще раз позвонил в полицию, предоставив им имя якобы виновной бывшей работницы. Выяснилось, что в приложение зашли под учетной записью бывшей сотрудницы Лорен Лайд, которая ранее работала оператором полетов в школе, но ушла с должности после того, как директор уволил её отца. В полиции генеральный директор заявил, что Лорен и её отец работают в сговоре.
Следователи получили информацию об IP-адресе, который использовался для входа в учетную запись, и обнаружили, что он принадлежит отцу Лорен. В беседе с полицией Хэмптон Лайд отрицал, что был в курсе происходящего, и заявил, что очень переживает за дочь. А кроме этого рассказал, что у его дочери был роман с Дереком, который закончился трагическим расставанием. К несчастью, следователи не прониклись сочувствием к разбитому сердцу и предъявили Лорен обвинение в мошенничестве и несанкционированном доступе к системе. А ведь ничего бы не случилось, упокой сисадмин ее учётку.
В чёрном-чёрном хлебушке
Что случилось: Инженер-атомщик ВМС США попытался продать чертежи атомной подлодки в бутерброде с арахисовым маслом.
Как это произошло: В отчете сказано, что сотрудник военно-морского ведомства Джонатан Тоббе начал переписку по электронной почте с человеком, которого он считал представителем иностранного правительства (на самом деле, конечно, это был агент ФБР под прикрытием). В письме Джонатан сообщил, что у него есть чрезвычайно полезная информация, которую он готов продать военной разведке другого государства.
В ФБР решили поймать общительного сотрудника «на горячем» и договорились с ним о сделке. Сначала инженеру перевели 10 тысяч долларов в криптовалюте, после чего он загрузил данные, связанные с реакторами атомной подлодки, на SD-карту, а саму карту поместил между кусочками хлеба, смазанными арахисовым маслом. Позже ему перевели еще 70 тысяч долларов, в этот раз Джонатан спрятал вторую карту в упаковку от жвачки. После Джонатана Тоббе и его жену задержали, сейчас им предъявлены обвинения.
Как инженеру удалось похитить секретные чертежи? Сначала он прошел проверку службы безопасности Минобороны США, после которой получил доступ к чувствительной информации. А потом в течение нескольких лет после смены выносил по несколько страниц секретных документов.
Занимательно, что целые годы никто не замечал, что пропадают такие важные документы, как чертежи атомных лодок. Не иначе, что Джонатан – человек-невидимка.
Звонок от никого
Что случилось: В ОАЭ мошенникам удалось ограбить банк на 35 миллионов долларов благодаря использованию дипфейка.
Как это произошло: Инцидент произошел еще в 2020 году, но подробности стали известны только сейчас.
Управляющему банком позвонил дипфейк директора одной из обслуживающихся компаний и сообщил, что собирается совершить сделку, для которой нужно разрешение банка на перевод 35 миллионов долларов. А чтобы у управляющего точно не возникло никаких вопросов, мошенники заранее отправили электронные письма с фейковым подтверждением сделки от имени директора и главного юриста компании.
Управляющий не заметил подвоха и выполнил указания злоумышленников.
Полиция считает, что схема тщательно продумана, предположительно в ней участвовало 17 человек, которые отправили украденные деньги на банковские счета по всему миру.
Напомним, что это уже второй известный случай, когда мошенники используют дипфейки с такими разрушительными последствиями. Первый инцидент произошел в британской энергетической компании, где генеральный директор думал, что разговаривает с исполнительным директором немецкой материнской компании. Тогда мошенники, используя ПО на основе искусственного интеллекта, попытались украсть 243 тысячи долларов. Кажется, это вполне себе новая реальность. А казалось, духи-похитители лиц бывают только в детских мультиках…
Гонконгские потрошители (кошельков)
Что случилось: Мошенники выманили более 32 миллионов долларов у 90-летней старушки из Гонконга.
Как это произошло: Женщине позвонил мошенник, представившись сотрудником китайской полиции. Звонивший убедил пожилую женщину в том, что её ПДн использовались в серьезном уголовном деле в Китае и ей необходимо срочно перевести все деньги на счёт следственной группы для проверки. После «расследования» сбережения обещали вернуть хозяйке.
Через несколько дней к женщине домой прибыл человек с мобильным телефоном и SIM-картой, чтобы она могла связаться с фейковыми представителями службы безопасности.
Так женщина сделала 11 банковских переводов на 32 миллиона долларов. И если бы не бдительность домработницы, которая заподозрила неладное и связалась с дочерью пожилой женщины, полиция ни о чём бы не узнала. Кстати, одного из злоумышленников уже задержали, им оказался 19-летний студент.
Хотя это преступление и стало самым крупнейшим мошенничеством по телефону в истории Гонконга, но оно далеко не первое. Богатые пожилые люди Гонконга очень часто страдают от телефонных мошенников. К примеру, в прошлом году мошенники обманули 65-летнюю гонконгскую женщину на 8 миллионов долларов, ее также убедили в том, что ее личные данные засветились в преступлении в Китае. Видимо, китайская «уголовка» пострашнее будет, чем пустые счета.
Чёртик, поиграй, да потом отдай
Что случилось: Блокчейн-платформа Compound по ошибке разослала пользователям бесплатные 280 тысяч токенов COMP (почти 90 миллионов долларов).
Как это произошло: Основатель сервиса Роберт Лэшнер считает, что инцидент произошел из-за ошибки при обновлении смарт-контракта, который отвечает за распределение средств. Контракт увеличил объем средств, которые выплачиваются пользователям. Один из счастливчиков даже рассказал в своем твиттере, что успел получить 27 миллионов долларов.
В надежде убедить пользователей вернуть «случайные» деньги основатель блокчейн-платформы Compound Роберт Лэшнер в своем твиттере пригрозил сообщить в налоговую о тех, кто получил миллионы долларов из-за бага. Лэшнер также отметил, что не станет жаловаться на тех, кто вернёт 90% от полученных средств. Также основатель Compound пообещал раскрыть ПДн тех, кто не пойдет на сделку.
После таких заявлений пользователи тут же его захейтили. Ведь если бы основатель Compound действительно обратился в налоговую, то пользователям пришлось бы отдать лишь 40% от полученных денег, а не 90%, как требовал Лэшнер.
Позднее Роберт Лэшнер извинился и добавил, что его слова про налоговую — «просто тупой твит». После новостей вокруг Compound цена за токены увеличилась на 9% и на момент написания этого текста составляла 328 долларов. То ли ужасная глупость, то ли ужасная удача.
(Не очень) голодные игры
Что случилось: Хакеры взломали сервис потоковой передачи видеоигр Twitch, принадлежащий Amazon, и раскрыли внутренние данные о доходах самых популярных каналов.
Как это произошло: Об утечке стало известно после того, как неизвестный опубликовал на анонимном форуме 4chan ссылку на файл размером почти 125 ГБ, который содержал в себе исходный код Twitch.tv. Также пользователь намекнул, что это только часть имеющихся у него данных, назвав слитый архив «часть 1».
В архиве содержалась информация о выплатах стримерам. Их доходы составляли несколько десятков тысяч долларов в месяц. А максимальный заработок оказался у CriticalRole, за три года канал получил 9,6 миллиона долларов.
Также в попавшем в открытый доступ архиве оказалась данные об идентификации пользователей и некоторая коммерческая информация. К примеру, стало известно, что Amazon Game Studio планирует запустить интернет-магазин компьютерных игр. В Twitch подтвердили подлинность слитых данных.
Также хакеры заявили, что главной целью взлома было «способствовать еще большему разрушению и конкуренции в пространстве потокового онлайн-видео», потому что сообщество Twitch — «отвратительная токсичная помойка».
Роскомнадзор уже направил запрос в офис интернет-сервиса Twitch с требованием предоставить данные о том, какая личная информация российских пользователей была скомпрометирована. При этом в ведомстве отметили, что пока жалоб от россиян не поступало.
Продавец душ
Что случилось: Хакер разместил объявление о продаже базы данных с информациейо всех жителях Аргентины.
Как это произошло: В начале октября пользователь с учетной записью AnibalLeaks опубликовал фотографии удостоверений личности 44 аргентинских знаменитостей. В открытый доступ попали даже данные о президенте страны и суперзвездах футбола Лионеле Месси и Серхио Агуэро. Также хакер разместил объявление, в котором предлагал посмотреть ПДн любого жителя Аргентины.
Предположительно хакеру удалось взломать платформу RENAPER (Национальный реестр граждан). На данный момент у злоумышленника есть доступ к следующим персданным: полные имена, домашние адреса, даты рождения, даты выдачи и истечения срока действия ID-карты, трудовые идентификационные коды, телефонные номера граждан и правительства, удостоверения личности с фотографией.
Правительство Аргентины подтвердило нарушение безопасности. Но власти отрицают информацию о взломе RENAPER и считают, что к утечке причастны чиновники.
А пока в правительстве ищут крайнего, хакер заявил, что планирует и дальше продавать доступ к данным всем заинтересованным покупателям. В настоящее время население Аргентины составляет более 45 миллионов человек, и хакер утверждает, что владеет информацией обо всех. Если честно, звучит жутковато.
Злой, злой рок
Что случилось: Мошенники попытались похитить 1 миллиард долларов у Центробанка Бангладеш. Инцидент произошел еще в 2016 году, когда хакеры из Lazarus Group организовали кибератаку на национальный банк Бангладеш. Атака началась со сбоя в работе офисного принтера, который находился в главном офисе банка в столице страны Дакке.
Как это произошло: Принтер распечатывал записи о многомиллионных переводах, поступающих в банк и исходящих из него. Сотрудники попробовали перезагрузить принтер, после чего устройство напечатало срочное сообщение от Федеральной резервной системы Нью-Йорка, где Бангладеш держит счет в долларах США. FED получила инструкции от Центробанка Бангладеш об опустошении всего счета — около миллиарда долларов. Сотрудники главного офиса в Дакке попытались связаться с FED, но из-за разницы во времени им никто не ответил.
Хакеры все хорошо продумали, потому что атака началась в 20:00 по бангладешскому времени, а в Нью-Йорке было еще раннее утро. Затем начались выходные сначала в Бангладеше, а затем и Нью-Йорке. Так хак-группе удалось выиграть аж пять дней.
Затем одному из сотрудников пришло письмо от соискателя, предлагавшего загрузить его резюме и сопроводительное письмо с web-сайта. Ничего не подозревающий сотрудник скачал документы, заодно установив в систему вредоносное ПО. Так Lazarus Group получила доступ к цифровым хранилищам и миллиардам долларов. А после хакеры попытались перевести 951 миллион долларов в банк Манилы.
Но тут вмешался перст судьбы: отделение банка в Маниле, куда направлялась транзакция, находился на Jupiter Street – такое же название носило находившееся под санкциями иранское судно, поэтому банковские системы среагировали на слово Jupiter и заблокировали операцию. Фатальная случайность для такой продуманной схемы!
Сотрудникам FED удалось спасти большую часть денег. Мошенникам удалось провести только 5 транзакций на сумму 101 миллион долларов, после чего они попытались отмыть похищенное с помощью подпольных казино. Из этой суммы банку удалось вернуть только 16 миллионов долларов.
Проклятие Хауген
Что случилось: Бывшая сотрудница Facebook Фрэнсис Хауген перед увольнением скопировала внутреннюю документацию компании, а затем передала ее изданию Wall Street Journal.
Как это произошло: Фрэнсис Хауген работала менеджером в Facebook с 2019 года. По словам уже бывшей сотрудницы, она практически сразу «разочаровалась» в компании, потому что та не пытается бороться с дезинформацией, агрессией и негативным контентом.
Но почему-то уволиться разочарованная Фрэнсис решила лишь в апреле 2021 года. Чтобы сделать свой уход запоминающимся - экс-менеджер прихватила с собой информацию из внутренней рабочей сети Facebook Workplace, которую потом передала в СМИ.
Благодаря слитым документам издание Wall Street Journal даже выпустило статью о негативном влиянии социальной сети Instagram на подростков.
Также Фрэнсис рассказала, что Facebook эксплуатирует чувства страха и ненависти, чтобы спровоцировать людей на перепалки внутри социальной сети. Конфликты заставляют пользователей проводить больше времени в сети, а это способствует дополнительному росту прибыли.
После этого инцидента компания решила «обезопаситься», ограничив сотрудникам доступ к некоторым внутренним разделам портала. Кстати, эта информацию тут же просочилась в СМИ, а коллектив оказался очень недоволен новыми ограничения. Так одна разгневанная «бывшая» похоронила репутацию бренда. Как удачно, что его больше нет – с начала ноября компания заживёт под новым именем.
Показать полностью
6
Взлом через номер телефона
Всем привет.
Пытаются взломать через номер телефона. Две недели назад пришла смс от WhatsApp: "Your WhatsApp account is being registered on a new device. Do not share this code with anyone. Your WhatsApp code: xxx-xxx. Из аккаунта не вылетел, подключился через браузер, чтобы проверить отключение и вышел со всех устройств кроме телефона через кнопку в связанных устройствах (была только веб версия, которую я и подключил). Подключил пин-код WhatsApp'a.
Потом дней через 5 пришло смс от Microsoft: "Use 5084 as Microsoft account security code. GO passwordless with Microasoft Authenticator https://xxxxxxxxx". Через телефон вспомнил почту к которой привязан аккаунт, вошел, сменил пароль. Вошел в скайп (скайпом этой почты я пользовался 1-2 раза), новых диалогов не было. Отвязал телефон. Сегодня закрыл аккаунт.
Сегодня в 6 утра дозвон-сброс с +42 202 42xxxxx. Тут же приходит смс: "<#> Your Viber code: 764265 Getting this message by mistake? hxxps://reports.viber.com/xxxxxx xxxxxxx". Viber не пользовался тут же скачиваю и пытаюсь авторизоваться. Смс не проходят и авторизовываюсь через звонок. Для проверки удаляю авторизацию и пробую снова, смс опять не проходят и авторизовываюсь через звонок. Копирую ссылку в смс (он вроде не выглядит фишинговой), вставляю в браузере телефона и отправляю репорт, что через смс это делал не я. В "учетной записи"->"компьютеры и планшеты" других устройств нет.
Сейчас пользуюсь айфоном. С прошлого андроида после первых смс удалил банк-онлайн.
Я так понимаю это взлом через перехват смс.
Какие сервисы еще могут взломать? Можно ли где-то проверить свой номер из какой базы он слит или же сливают просто перебором?
Показать полностью
Конкурс для мемоделов: с вас мем — с нас приз
Конкурс мемов объявляется открытым!
Выкручивайте остроумие на максимум и придумайте надпись для стикера из шаблонов ниже. Лучшие идеи войдут в стикерпак, а их авторы получат полугодовую подписку на сервис «Пакет».
Кто сделал и отправил мемас на конкурс — молодец! Результаты конкурса мы объявим уже 3 мая, поделимся лучшими шутками по мнению жюри и ссылкой на стикерпак в телеграме. Полные правила конкурса.
А пока предлагаем посмотреть видео, из которых мы сделали шаблоны для мемов. В главной роли Валентин Выгодный и «Пакет» от Х5 — сервис для выгодных покупок в «Пятёрочке» и «Перекрёстке».
Реклама ООО «Корпоративный центр ИКС 5», ИНН: 7728632689
Сбербанк мошенники звонят с номера 900
Уже второй день на мой номер поступают звонки с номера 900. Телефон входящий звонок корректно определяет и сомнений что это 900 от сбербанка вроде не возникает. В истории звонков есть и входящие мошенников , и тот момент что я когда то звонил сам на номер 900
Но вот незадача если не брать трубку Билайн сразу присылает смс что этот абонент вам звонил и вот тут то и появляется номер мошенников.
Если у вас есть пожилые родственники, да и просто что бы самому не путаться, лучше занесите номер 900 в штатный черный список, если что позвонить на него вы сможете , а вот звонок с подменой номера с 900 уже не поступит . Как на это все смотрит оператор Билайн загадка. Но думаю в ближайшее время нас ожидает волна таких подменных номеров. Приложение для защиты от спама Касперский тоже видимо бессильно.
Показать полностью
3