Утекла очередная база данных — на этот раз МФО

Судя по сообщениям в ТГ (раз, два) в доступе оказалась часть базы клиентов МФО "Займер". Всего предположительно утекли данные о 16 млн россиян / 14 млн уникальных телефонов. А потом так что не одними данными доставщиков и ковидных тестировщиков полнятся базы мошеннических колл-центров))

По ощущениям, масштаб утечек в 2024 году будет как минимум сопоставим с 2023. Возможно, крупные компании, банки и разного рода энтерпрайзы будут "течь" меньше, но вообще говоря операторов персональных данных в России не много, а очень-очень много. Так сказать, хватит на долгие годы утечек.

Но если это правда, и клиентами только одно, пусть и довольно крупного МФО, были 10+ млн человек — то у нас не очень хорошие новости о доступности банковских продуктов в РФ. Даже 10 млн россиян — это 13% экономически активного населения страны. Но вот это уже за пределами тематики канала.

Какой ущерб МСП несут от кибератак?

Мы начинаем публиковать некоторые результаты нашего исследования. И сегодня поговорим о самом простом и важном — ущербе от кибератак.

Первое и главное — 45% опрошенных компаний столкнулись с ИБ-инцидентами. В большинстве случаев, ущерб был несущественным или вовсе отсутствовал. Но не всегда.

Около трети атакованных МСП (и "малых", и "крупных") понесли значимый ущерб. "Критический" ущерб понесли считанные проценты, но тут возможна классическая "ошибка выжившего".

В общем, фокус на защиту МСП имеет смысл — там все достаточно плохо.

"Умеренный" ущерб — это много или мало?

В продолжение к предыдущему посту. Мы просили респондентов измерить ущерб по отношению к годовому обороту компании. Среди ответивших (а их было меньше, чем сообщивших о реализовавшемся ущербе) картина сложилась такая — 10% МСП понесли ущерб в 20 и более процентов от оборота. Это очень много.

На другом полюсе, 44% атакованных вовсе без ущерба — мы предполагаем, что тут атаки на сайты и прочие репутационные истории небольших компаний.

И в продолжение про крипту и мошенников — из нашего видео с Garantex

По большому счету, почти все представленные советы универсальны и работают для всех отраслей.

Колл-центры атакуют выборы: как работает социальная инженерия

Мошеннические колл-центры эффективно используют свои навыки для кражи денег, проведения диверсий и на выборах. Способов обмана много, а результат один.

Где-то манипуляциями, где-то прямым шантажом уже потерянными миллионами, они заставляют своих жертв идти на преступление!
Поджигать, выливать краску в урны для голосования и многое другое.

Причем, вопреки устоявшемуся заблуждению под манипуляцию может угодить любой, абсолютно адекватный человек любого возраста. Ведь используются наши общие особенности и уязвимости мышления. В момент звонка в удачном для мошенников состоянии может оказаться кто угодно .

Например, доктора наук УРФУ развели на 15 млн рублей и заставляли вылить зеленку в урну, испортив бюллетени. Попытка вышла не то чтобы удачная, но с потенциальным наказанием от 3 до 5 лет.

Мы уже неоднократно писали, что лучший вариант сразу «бросать трубку», по одноименной памятке.

И следите за своими близкими, если они начинают вести странный диалог по телефону или делать какие-то действия, возможно их придется останавливать силой, это эффективнее, чем переубеждать. Деньги никто не вернет, а уголовную ответственность для жертв манипуляции никто не отменял.

FAQ о канале

Уважаемые подписчики, вас стало уже достаточно много, и большинство из вас не застали становление нашего канала.
Поэтому у многих возникают закономерные вопросы:

- Что это за канал?
Это корпоративный канал компании по кибербезопасности 3side ("Третья Сторона") . Мы не новостной канал, не авторский, и уж совсем не анонимный!

- Что вы постите?
Мы постим то, что касается кибербезопасности. Иногда это новости, из мира кибербеза, которые мы посчитали действительно важными. Иногда это анонсы наших выступлений/мероприятий, посты о наших нововведениях на нашей площадке или пиар наших услуг.

- Размещаете рекламу?
Нет, мы не размещаем коммерческую рекламу, Мы не зарабатываем на канале. Мы можем разместить анонсы мероприятий наших партнеров, в которых мы сами планируем принять участие, или готовы порекомендовать подписчикам. Но это бесплатно в рамках статуса "медиапартнера".

- Как часто выходят посты?
Раз в 2-3 дня, если не появляется что-то действительно "горячее" и важное. Если коротко, наша контентная политика звучит как "не спамим". Ведь сейчас Интернет и Телеграм в частности перегружают пользователей информацией, зачастую малополезной. Поэтому мы постим редко и то, что считаем важным.

- Телефонные мошенники, почему вы часто об этом пишете?
Начиная с первой диверсии в августе 2022 года мы осознанно подсвечиваем эту тему. Во-первых потому, что считаем ее крайне важной, а это явление очень опасным для населения. Во-вторых, мы первые кто начал ее подсвечивать, и писать о роли социальной инженерии. Нашими усилиями об этом начали писать СМИ, сначала не разбираясь в вопросе. Но многие исправляли свои статьи после наших писем и комментариев, к сожалению, далеко не все. Мы осознанно боремся со многими заблуждениями,и пытаемся максимально широко охватить аудиторию. И у нас это получается. Именно посты о колл-центрах у нас набирают сотни тысяч просмотров! Мы считаем это нашей социальной миссией.

- Вы пишете о политических хактивистах и политике около кибербеза?
Нет, наши обзоры чего-либо связанного с подобным пишутся лишь в технической плоскости.

- Почему закрыты комментарии?
Мы корпоративный канал молодой компании, у нас, к сожалению, нет времени и желания модерировать комментарии. А это неизбежно придётся делать, поэтому пока комментарии будут закрыты. Но, возможно, мы их откроем в будущем!

- Можно вам написать, или задать вопрос?
Да конечно, контакт в описании канала. Нам даже можно предложить темы для постов, у нас даже есть уже подзабытая для этого рубрика "Так безопасно?".

Погружение в технику. О безопасности Touch ID. Часть I

Одна из первых современных биометрических систем на смартфонах была Touch ID. Её представили в 2013 году вместе с выходом iPhone 5S и тогда её внедрение сильно упростило доступ к устройству. Давайте поговорим о том, как устроен Touch ID и так ли безопасно использовать его в качестве защиты своего мобильного девайса?

Из чего состоит человеческий палец? Из нескольких фаланг, из которых нас интересует самая крайняя, а именно дистальная фаланга или же по-простому — кончик пальца. С внутренней его стороны находится подушечка, которая образует уникальный рисунок из концентрических борозд. Несмотря на уникальность рисунка, у каких-то людей он действительно может повторяться, но шанс этого повторения крайне мал. В статье Apple о безопасности Touch ID указывается, что вероятность совпадения даже мельчайших областей разных отпечатков составляет всего 1:50 000 для одного сохраненного отпечатка.

Для технологии по считыванию биометрии и используется этот самый уникальный рисунок, который называется папиллярным рисунком. Как это происходит? Начнём с устройства самого сканера. Основным элементом здесь является центральная часть, где и находится сенсор. Она выполнена из кристалла сапфира, который обеспечивает высокую изностойкость и выступает в роли линзы, фокусирующейся на пальце. Следом идёт стальное кольцо, которое визуально разграничивает кнопку и корпус устройства. Оно является датчиком, который обнаруживает палец и выдаёт сигнал главному сенсору на начало сканирования. Если вы сразу приложите палец к сенсору, не коснувшись кольца, считывания биометрии происходить не будет.

Разобравшись с устройством, перейдём к его работе. Начнём с самого базового момента — регистрации отпечатка. Когда вы только начинаете настраивать ваш гаджет с Touch ID, вам предлагается зарегистрировать отпечаток пальца. Вы многократно прикладывайте подушечку пальца к сканеру, в результате чего в память устройства раз за разом записывается изображение отпечатка пальца вплоть до самых мелких деталей. Они подразделяются на 3 категории — дуга, петли и завиток. И все вместе образуют общий рисунок человеческого пальца, на который к тому же накладываются детали гребешков.

После создания детального изображения оно преобразуется в математическое представление, путь которого пролегает прямо в память устройства… ну почти. Так как биометрия пользователей, наравне с их код-паролями и данными банковских карт, является для Apple священной коровой, то и оберегают их по-особенному. А именно — с помощью Secure Enclave и защищенного энергонезависимого хранилища.

Secure Enclave является отдельными чипом внутри процессоров Apple, который отвечает за шифрование конфиденциальных данных пользователя. Если вкратце — после поступления математического образа вашей биометрии в зашифрованном виде он пропускает эту информацию через ещё два уровня шифрования и записывает её в защищенное хранилище. Оно не является частью Secure Enclave, но связано только с ним и ни с чем более.

Теперь в защищенном хранилище есть образ вашего отпечатка в виде зашифрованного кода. Изображение подушечки, которое сканер получает на входе, удаляется сразу после преобразования его в математическое представление.

Используя информацию в защищенном хранилище как шаблон, устройство может проводить аутентификацию входящих отпечатков пальца. Как это происходит? Вам нужно разблокировать смартфон, а значит, нужно приложить палец к сканеру. Проводится сканирование и математическое представление отсылается в Secure Enclave. В свою очередь, анклав проводит сверку полученного отпечатка с шаблоном из защищенного хранилища, и если совпадения обнаружены, то телефон разблокируется. А полученные данные помогут немного уточнить шаблон. Их, к слову, может быть несколько, как и пальцев на вашей руке (да, в настройках телефона есть возможность добавить несколько пальцев).

Разобравшись с устройством Touch ID мы перейдём к способам взлома этой системы. Об этом написано во второй части.

Источник материала — статья на хабре, предложена в канал самим автором.

Погружение в технику. О безопасности Touch ID. Часть II

Несмотря на то, что устройство с Touch ID хорошо защищает полученную биометрию, получить доступ к ней, а значит, и ко всей конфиденциальной информации, не прибегая к взлому, возможно. Специалисты из компаний, специализирующиеся на кибербезопасности, неоднократно обманывали Touch ID. Это происходило как в типичном шпионском фильме.

Они находили поверхность, на которой были отпечатки зарегистрированных пальчиков ииии… просто фотографировали их. В фотошопе фотографию делали монохромной и докручивали контрастность. После производили печать на ацетатной пленке с помощью лазерного принтера. Чтобы придать объём картинке, использовали тонер (специальный порошок для придания объёма). В завершение они наносили на пленку обычный клей, отпечатав, таким образом, структуру пальца.

И всё. Доступ был получен. Touch ID разблокировал устройство, несмотря на фейковый палец.

Компания Cisco Talos провела исследование возможных технологий, с помощью которых можно взломать Touch ID. Было выявлено как минимум три надежных способа обойти защиту смартфона. Первый — снимок с пальца жертвы (например, во время сна). Второй — снятие отпечатка с какой-либо поверхности, с которой соприкасался владелец пальца (например, чемодан). Третий — из баз данных, где хранится отпечаток (например, госструктуры).

Так что несмотря на работу инженеров Купертино, обмануть Touch ID можно без особых усилий.

Эта технология уже больше десяти лет используется для защиты данных миллионов пользователей. Хоть она и покинула экраны флагманских айфонов спустя 4 года, она всё ещё продолжает использоваться в других устройствах компании Apple — ноутбуках, планшетах и смартфонах SE-серии. На смену ей в 2017 году пришла технология Face ID. О ней мы поговорим в следующем материале.

Источник материала — статья на хабре, предложена в канал самим автором.

Один день в Кибердоме — с Антоном Бочкаревым

Всем привет. 25 апреля у наших чудесных друзей из Кибердома будет ознакомительное мероприятие. Это не совсем "день открыты х дверей", но это точно прекрасный способ познакомиться с пространством и послушать хороших людей из индустрии ИБ.

С 4 часов дня там будет открытая дискуссия с участием Антона, ну и Артем (это, если что, второй фаундер 3side) там тоже будет. Так что если вы хотите познакомиться, давно не виделись или просто хотите интересно провести время — приходите.

Место: Кибердом
Время: 25 апреля с 16 до 19 часов

Ссылка на регистрацию (вход свободный)

У наших друзей конкурс!)

Взлом Telegram Desktop за 1 клик?

Ряд Телеграм каналов распространили видео, с уязвимостью на выполнением кода через загрузку файла в Telegram Desktop на Windows. Для демонстрации традиционно запускается калькулятор, однако запустить можно любой код.

Никаких подробностей пока неизвестно, само видео - не совсем пруф, особенно без подробностей и с неизвестным бекграундом исследователя. Поэтому доказательств пока нет, но мы рекомендуем на всякий случай отключить предзагрузку файлов в приложении Windows и избирательно подходить к их загрузке!

Особенно внимательными стоит быть администраторам ТГ-каналов.

Отключить предзагрузку на ПК так:
Настройки => Продвинутые настройки => В личных чатах; В группах; В каналах; убрать все галочки.


P.S. Судя по всему мобильное приложение не подвержено.

Подтверждений не появилось, обновлений безопасности Telegram Desktop тоже. С крайне высокой долей вероятности, все таки монтаж.

Вредные советы и привычки

Привычки пользователей играют важную роль в кибербезопасности. Хотя им часто не уделяют должного внимания, именно они могут стать решающим фактором, который заставит пользователя задуматься о том, является ли происходящее нормальным. Однако, эти привычки могут быть использованы и злоумышленниками.

Например, до удаления из магазинов приложений множества российских банков, не было вредной привычки устанавливать эти приложения через "обходные пути". Мы привыкли, что официальные приложения от официального разработчика называются только так, а все остальное устанавливать нельзя! И установка чего-либо из неофициальных магазинов считается плохой и опасной идеей. А что теперь? Банки сами предлагают устанавливать их приложения из ненадежных источников и, более того, для IOS предлагают скачивать приложения с неизвестным разработчиком и "сомнительным" названием. Причем это нужно сделать максимально быстро, пока его не удалили.

Пользователи привыкают к тому, что это нормально, и когда в следующий раз им придет письмо/сообщение со ссылкой на новое приложение банка, они побегут устанавливать его, не глядя, что сообщение пришло не оттуда. В голове ничего не "щелкнет". К сожалению, банки вынуждены прививать пользователям очень вредные привычки.

Именно на это сделали ставку злоумышленники. В AppStore обнаружили несколько вредоносных имитаторов приложений банков ВТБ и Тинькофф с накрученными оценками и отзывами.

Как привычки могут помочь? Например, если внедрить сервис SSO (Single Sign-on), который позволяет заходить во все сервисы компании через единую точку входа и по единой учетной записи. Как только пользователи привыкнут, что вводить свои данные можно только там, а любые иные формы входа и по иным адресам будут вызывать у них недоверие и сомнение, "а точно ли я там, где нужно?", работу по информированию станет проще проводить. Инструкция простая - не вводить свои данные в иных местах и проверять URL.

Старайтесь формировать полезные привычки.

Мошеннические схемы и скрипты

Написал небольшую разъясняющую статью на Хабр о разнице между мошеннической схемой и скриптом. Навеяно постоянным спамом постов СМИ о "новых схемах", который не только не помогает доносить эту тему до населения, а скорее достигает обратного эффекта.

P.S. Поставьте, пожалуйста, плюсик на Хабре, там это важно для продвижения статьи.

Взлом Telegram Desktop все таки был

Наконец появились подробности, для не технарей упрощенно:

- Уязвимость работала не с картинками, а с файлами которые приложение ошибочно за них принимало.
- Код выполнялся не через Телеграм, а через интерпретатор Python для Windows и он должен был быть установлен!
- Требовалась не только предзагрузка, но и клик по файлу.
- У Телеграмма есть белый список расширений, где и случилась опечатка, что в целом считается плохой практикой.

Как противодействовать?
- С осторожностью относитесь к любым присланным файлам.
- Обновите Telegram Desktop, ошибка была исправлена.

Суть патча на скриншоте, технические подробности в статье на Хабре!)