Довіра понад усе!

​​Очередная кража денег с банковского счёта. Или инсценировка, всякое бывает. Многие комментаторы, не понимают, что такое одноразовый пароль. Или их неточно процитировали. В целом приложение "Аваля" отличает низкая защита, по сути, только пароль. Правда, для выполнения транзакции необходим финансовый номер.

Если это кража, то известные факты можно объяснить посредством заблаговременно внедрённого трояна. Он и мог незаметно перехватить OTP-подтверждение платежа, и поступление денег круглосуточно мониторить. В России это уже года четыре как весьма распространённая схема. Возможно, в который раз Украина повторяет зады российской цифровой преступности.

За кадром осталась проблема кардерства. В 2021 года имел время и желание поковыряться в этой теме. В целом заполучить левую карту и карточный счёт для вывода украденных денег вообще не проблема. И недорого, и недолго.

​​Муртазин, конечно, любит и умеет приврать. Допускаю, что именно свой случай он высосал из пальца. Тем не менее, российская цифровая преступность много-много лет шагает в ногу со временем и демонстрирует впечатляющую способность к инновациям. Освоение технологий фальсификации голоса выглядит вполне логичным и реалистичным делом для ресурсно-обеспеченных ОПГ, которые уже давно освоили индустриальные методы.

Пейсбук напомнил о событиях пятилетней давности, когда доблестные правоохранители пачками разоблачали мерзавцев, злоупотреблявших криптовалютами. Народно творчество било ручьём:

"В підозрюваного вилучена речовина, схожа на біткойн, складено протокол".

"Гаврила продавал биткойны, Кремлю Гаврила помогал".

"Если майнишь и не мент, значит Путина агент".

Слава Нації, смерть ворогам!

По состоянию на конец 2022 года как минимум два крупнейших розничных банка ФРГ действительно отказались от SMS OTP в пользу многофакторной аутентификации на основе мобильных приложений. Старший сын, который поступил в тамошнюю Berufshule (что-то вроде техникума) как раз по специальности IT Security, описывает интерфейс этих приложений как неприлично корявый по украинским меркам, однако не имеющий каких-то очевидных изъянов в части собственно устойчивости к атакам. Quadratisch, praktisch, gut.

А вот в медицинских, FMCG и проч. массовых приложениях продолжает царить SMS OTP. Нет регулирования и нормативных запретов - нет надёжных, но корявых решений. Всё предсказуемо.

https://t.me/TrustUndSecurity/29

​​Вопрос о том, какие мессенджеры должно, а какие нет использовать приличному человеку, неизбежно упираются в известные проблемы наиболее популярных решений. WhatsApp занимает не последнее место среди подобных решений. При этом реализованный в нём подход к 2FA выглядит, мягко говоря, странно. Впрочем, это американская поделка и это много объясняет. Отношение GAFAM и штатовской хай-тек тусовки к 2FA можно смело описать как глубоко неадекватное.

​​Иллюстрация к вопросу о пользователе как уязвимом элементе любой ИТ системы. К сожалению, наше восприятие крайне несовершенно и может быть легко обмануто буквально на ровном месте.

​​На момент провозглашения независимости Мишеньке Фьодорову, например, исполнилось восемь месяцев (р. 21 января 1991 г.). Женечка Горбачьов будет постарше, поумнее, ему пошёл восьмой годик. Всьо сходится, наразі

​​Нещодавно надав виданню Mind коментар щодо системи блокування інтернет-ресурсів для боротьби з фішингом, яку запроваджує НБУ:

"Останні три роки цифрова злочинність в Україні якісно змінилася. Відбулася її індустріалізація, перетворення традиційних злочинних угруповань на повноцінні організації, в яких мають місце поділ праці, спеціалізація, перспективні дослідження, фінансовий і кадровий менеджмент.

Перед війною, у 2021-22 роках у Дніпропетровську та Києві налічувалися десятки кримінальних кол-центрів, які займалися різними шахрайськими діями. Найбільші з них налічували десятки робочих місць. Поряд із деякими країнами Східної та Південної Європи - Сербією, Румунією, Болгарією, - Україна є заповідником для злочинних угруповань, які спеціалізуються на цифрових злочинах.

Такі успіхи вітчизняних злочинців були б неможливими без підтримки з боку органів влади, зобов'язаних злочинності протистояти. Як і в разі контрабанди, проституції, наркоторгівлі або, якщо говорити про правопорушення у сфері телекомунікацій, масових "вирізів" кабелю та рефайлу, скрізь і всюди має місце відповідний "дах".

Тому заявлена мета створення системи автоматичного блокування інтернет-ресурсів - протидія фішингу, - виглядає всього лише приводом, виправданням. Фактична мета нововведення, найімовірніше, це посилення контролю за інформаційним простором з боку влади. Особливо підозрілою виглядає така функціональна можливість системи, як автоматична фіксація та передача до органів влади користувачів, які намагаються зайти на заблоковані ресурси".

Вирішив не писати про сотні кримінальних кол-центрів, аби лякати співгромадян. Нехай, мовляв, будуть "десятки". А за кілька днів бачу в ЕП статтю, цілком присвячену цим самим кол-центрам. І бачу, що мова йде про тисячу кол-центрів в цілому по Україні. Та й, власне кажучи, решта викладених подробиць нічим не відрізняються від того, що було в 2021 році, коли я зацікавився цим сюжетом.

Помітне бажання автора якщо не виправдати, то, бодай релятивізувати цю діяльність. Гадаю, суто рефлекторне.

"Офіційно в Україні безробітними є 30% населення, тож "офіси" дають людям роботу. Так само добре, що ці гроші частково потрапляють в економіку України...Це українська реальність і певною мірою – субкультура".

З тексту абс. недвозначно випливає, що цю "тему" кришують рідні мсра та чєкісти, чи як там правильно називати людей із холодною головою, чистима руками та гарячим серцем на чолі із паном Малюком. Наших славетних захисників від "руського світу", з яким ведуть запеклу боротьбу навіть рідні українські шахраї.

Все як завжди в Україні, наразі.

​​Идея поставить порок на службу патриотическому чуйству не первый год искушает украинских активистов и приравненных к ним осіб. В 2016 году несколько месяцев встречал в метро такое вот объявление. В конце-концов не выдержал: дай, думаю, позвоню. Всегда был неравнодушен к химии, тем более органической. Школа с углублённым изучением химии, фамилия, опять же.

Интуиция не подвела, это было именно о том, что пришло в голову самым первым."Частная лаборатория закрытого типа", режимный объект - телефоны сдаются, никакого общения с внешним миром. Находилось всё это на территории Российской Федерации. Командировки по три месяца. 5000 долларов в месяц с еженедельной выплатой денег
А производилось в этой лаборатории Альфа ПВП, новейшее на тот момент ПАВ из числа формирующих сильнейшую зависимость.

Люди бывалые, нюхавшие много лет державную портянку в разного рода ведомствах из трёх букв быстренько разложили мне сию ситуацию.

Россиянским "правоохранителям" это было удобно, потому что открытая, а значит экономически наиболее эффективная вербовка происходила на территории Украины, а с хохлов что взять, известные же подлецы-с. Взятки гладки-с, а ручки-то вот они.

Отечественные мастера "правоохранительных" услуг трактовали открытое содействие трансграничной преступной деятельности, а именно производство наркотиков как инструмент гибридной войны, форму противодействия государству-агрессору, чтоб вы не сомневались.

"Вот так и живём"

​​В материале "Экономической правды" заметна попытка ограничить круг жертв украинских мошенников одними лишь россиянами и приравнёнными к ним русскоязычными:

"Чи працюють "офіси" з клієнтами з інших країн? Так, окрім Росії, "офіси" працюють на просторах СНД та деяких азіатських країн, де розмовляють російською.

Також у списку так звана російськомовна Європа: Німеччина, де велика кількість російських мігрантів, та країни Балтії. Такі компанії також працюють з італійцями та поляками".

Это, разумеется, не соответствует действительности. Для преступников никакие деньги не пахнут, ни "русскоязычные", ни норвежские, ни британские. Жители стран ЕС, особенно Западной, в среднем много более зажиточны.

Среди преступных сообществ на постсоветском пространстве, которые специализируются на цифровой преступности, отдельный хорошо развитый сегмент образуют те, кто специализируется на жертвах за пределами стран СНГ. Это, как правило, транснациональные крупные преступные предприятия. Очень масштабные. С очень крепкой крышей, что позволяет им годами функционировать совершенно ничего не скрывая и не боясь.

Украинское государство обращает на них внимание только если этого требуют зарубежные партнёры. Причём даже в случае ареста рядовых исполнителей и руководство среднего звена быстро отпускают и они возвращаются к "станку".

Всегда полезно, забавно и познавательно наблюдать, как мечутся цирковые, запутавшись в собственной многолетней лжи. Нет, говорят, качественных реестров и чтобы непременно с верифицированным телефонными номерами!

Позвольте, задаст в этом месте вопрос пытливый естествоиспытатель, разве приложение Дия не ассоциировано УЖЕ с личностью гражданина или гражданки, которую удостоверяет?

Разве е-паспорт в приложении Дия не является полнофункциональным и юридически значимым удостоверением личности? Каких ещё верификаций вам не хватает? Какая вообще разница, вручать повестку по предъявлении паспорта или е-паспорта?

Наконец, получить повестку это же совсем не страшно, это же не кредит оформить или посылку в Новой почте получить. Никаких же значимых рисков для получателя, что за нелепые страхи. Просто сверка документов, рутинная процедура. Качественные реестры, некачественные, какая разница. Господь отличит своих.

https://t.me/stranaua/98453

Боты атакуют через SMS

В России продолжает цвести и колоситься практически ничем не ограниченная индустрия цифровой преступности. Местный разработчик решений для защиты от кибератак Servicepipe сообщает о росте массовых рассылок SMS-сообщений, якобы от лица тех или иных компаний.

За 2022 году число таких атак, по данным компании, выросло втрое, до 500 тысяч запросов в сутки. В других ИБ компаниях тренд на рост подтверждают, но расходятся в оценках его величины, например, в FBK CyperSecurity говорят о росте в 1.5 раза.

Также растет число атак против финансовых организаций и онлайн-ритейлеров, им боты направляют множество запросов кодов, например, на регистрацию, авторизацию или восстановление пароля по номеру.

Злоумышленников не смущают расходы на отправку спам-SMS, за одну атаку могут формироваться десятки тысяч SMS. Атакуемая организация тратит больше - отправка сервисной SMS в ответ на спам-запрос обходится банку примерно в 1.5-2.1 руб. С учетом того, что из-за перегрузки систем, отвечающих за обработку SMS, они могут переставать работать, ущерб от атаки может быть еще более существенным из-за роста недовольства клиентов, которые столкнулись с перебоями в оказании услуг.

Иногда спам-атаку SMS направляют против конкретного человека, а затем мошенник, представляющийся полицейским, берется решить проблему, а наделе старается в ходе фишинга выманить данные, позволяющие добраться до банковских счетов атакуемого.

​​Не так давно комментировал очередную попытку властей зарогулировать эти ваши интернеты, на этот раз под соусом противодействия фишингу. Сегодня попался на глаза пресс-релиз Киевстара на эту же тему. Компания, по необходимости, ретранслирует официальную точку зрения на предмет, от которой сводит скулы и портится аппетит.

"Адже десятки зловмисних груп, які проводять фішингові кампанії проти українських громадян, координуються російськими злочинцями, а ФСБ покриває їхні дії. Внаслідок цього кошти, які втрачають українці, використовуються для підтримки країни-терориста», – глаголет заступник Секретаря РНБО України Сергій Демедюк. Да-да, без ФСБ в Украине ни чихнуть, ни пукнуть, не говоря уже о том, чтобы вывести в нал сотни миллионов гривен ежемесячно. И куда только смотрит родная СБУ?!

Наряду с официозной чепухой пресс-релиз содержит и действительно интересные факты. Например, "лише за перший місяць зафіксовано близько 120 тисяч унікальних переходів на цю сторінку (з попередженням, що сайт створений зловмисниками)". Кроме того, "у 2022 році ми спостерігали суттєве збільшення проявів фішінгу. Найпоширенішим видом стала фейкова соціальна допомога від державних чи міжнародних організацій постраждалим від війни українцям. У 2022 році НБУ виявив близько 4500 фішингових ресурсів, для порівняння – в 2021 році ця цифра була на порядок меншою".

Для сравнения в России фигурируют цифры порядка 500 тысяч зловредных SMS в сутки, используемых, в том числе, для фишинга. Иными словами, масштаб бедствия в РФ больше даже не на порядок, а на два, если не три.

В начале апреля МЦТ поразило профессиональное сообщество настоящей сенсацией: "Дія.Підпис відповідає вимогам ЄС...Відтепер українці можуть підписувати європейські контракти і документи за допомогою Дія.Підпису-EU".

Сенсационное сообщение было формулировано традиционно невнятно, посему пришлось задать уточняющие вопросы.

Как обычно, чуда не произошло. Из многословно-уклончивых ответов безымянных "дієвих" следовало, что речь идёт всего лишь о возможности использовать Дія.Підпис в качестве усовершенствованной цифровой подписи. Да и то если на это будет согласие европейских партнёров.

О подписи квалифицированной, полноценной речь не идёт и не может идти, поскольку договоры о взаимном признании КЭП с государствами-членами ЕС по-прежнему отсутствуют.

Столкнувшись с неприятными вопросами, МЦТ быстренько переписало свои пресс-релизы, добавив туда смешной чепухи: "Це все той же електронний підпис у смартфоні, який ви можете активувати за 1 хвилину в застосунку Дія. Тільки тепер він відповідає технічним вимогам ЄС. В Україні він є кваліфікованим електронним підписом, у країнах ЄС — удосконаленим (...) Дія.Підпис-EU має юридичну силу, і його можуть приймати в суді, незважаючи на те, що він не є кваліфікованим електронним підписом у ЄС. Але відповідно до регламенту ЄС, електронні підписи з країн, що не входять до ЄС, можуть використовуватися в ЄС як удосконалені електронні підписи".

Такое впечатление, что у цирковых какая-то паника, которую они пытаются погасить привычным для них способом, раздувая из ничего эпичную перемогу. Возможно, это побочный эффект яростной и пока ещё закулисной борьбы за использование Дии для раздачи повесток.

Французский мегабанк Societe Generale недавно запустил свой стейблкойн EURCV на Ethereum и уже начислил себе 10 млн. Стейблкойн, если рассматривать технически, это просто смартконтракт с интерфейсом ERC-20, то бишь программа, часто хранимая на блокчейне и исполняемая распределённой виртуальной машиной. Как минимум на Ethereum код смартконтрактов обязательно открыт и публичен. И криптаны не замедлили посмотреть в этот открытый код. А там ужас.

Ну как ужас. Обычные банковские процедуры, только нараспашку. Функция "забрать деньги у клиента обратно". Функция "сначала утвердить транзакцию клиента". Функция "уничтожить деньги клиента". Криптосообщество негодует и уже насовало банку в панамку во всех твиттерах, требуя убираться к чёрту из их райского DeFi-сада со своим поганым централизованным финансом.

Не думаю, что банк это остановит. Доступ к криптосчетам Societe Generale всё равно предоставляется только через KYC/AML/CFT, то бишь по паспорту с предъявлением флюорографии. То есть, те, кто будет гонять евро через эфир, как это происходит с долларом на USDT и USDC, знают, куда идут.

Негодование анархистов-жидкодемократов понятно, но здесь столкнулись две разные архитектуры доверия. Первые больше доверяют технологиям, платформам и протоколам. Вторые - организациям, авторитетам и государственному аппарату принуждения. Соответственно этим приоритетам и распределяются роли, данные, полномочия. Криптаны возмущены "видите, эти деньги - не ваши". Конечно. Вы же помните, что все деньги - они не ваши, а их вам только дали поносить?

Райский сад децентрализованных финансов, конечно, прекрасен своими ZKP-свободами, ДАО-коммунами и парящими в кружевных крипто-небесах токен-единорогами. Кипящий энтузиазм крипто-визионеров, пророчащих всем всеобщий биткойн, обещающих люду манны суверенных идентичностей и гибель централизованным диктаторам, заразителен.

Но с этим есть проблема. Вся эта чудо-среда подключена к электричеству, которое вырабатывается жутко невиртуальными способами и может быть отключено. А вокруг пока ещё неустранимых биологических оболочек криптанов ходят люди с пистолетами, которые могут любой зашифрованный контейнер, как и голову, взломать одним нажатием. И те, кто доверяет Societe Generale, с его уродскими функциями "забрать себе все деньги клиента", про это помнят лучше, чем те, кто возмущается таким осквернением святынь крипто-суверенности.

Истерия вокруг TikTok докатилась до родных палестин. Флагман, прожектор и маяк проатлантических взглядов, один из моих любимых ресурсов державницкой ориентации решил расчесать сию тему, разложив её по самым строгим патритическим понятиям.

Редактор ЭП тов. Панченко на протяжении 18 минут с пристрастием пытает молодого коллегу, тоже журналиста Олега Павлюка, который вызвался выступить в роли эксперта.

Надо отдать г-ну Павлюку должное, он не стал врать, преувеличивать и натягивать на глобус то, что смог почерпнуть об этом вопросе. Его старший товарищ на разный лад пытался продвинуть ключевые тезисы соответствующей повестки. Мол, запрещён в приличных странах, неоднократно уличён, Ухо Партии и всё такое. В ответ пан Олег аккуратно, но однозначно отвечал, что ничего "такого" на сегодняшний день доказать или найти не удалось.

Этот разговор ещё раз подтвердил, что проблема TikTok это, во-первых, проблема категоричного неприятия Штатами наличия у конкурентов тех возможностей, которыми давным-давно пользуются американские компании и госучреждения. Just Because Fuck You, That's Why. Во-вторых, это готовность "свободного мира" соглашаться с этой ситуацией, несмотря на её очевидное противоречие "порядку, основанному на правилах".

В этом смысле считать TikTok проблемой или нет - на 100% зависит от готовности признать интересы, пристрастия и даже самые нездоровые привычки Соединённых Штатов безусловным руководством к действию.

P.S. В который раз обратила на себя внимание физиономия бессменного редактора и, не побоюсь этого слова, кофаундера Европейской, так сказать, Правды. Похоже, он не прекращает противостоять российской агрессии на алкогольном фронте. Надо бы как-то дать человеку сигнал. Удержать от роковых ошибок.

​​Предсказуемо. Силовики заняты совершенно другими вызовами, да и возможности силовых структур в части противодействия мошенникам вряд ли выросли, скорее наоборот.

Недавние рассуждения первых лиц ВС США касательно гражданских технологий означают неизбежность скорого и крутого поворота в их, технологий, судьбе. Технологическое "рассоединение", запрет либо очень строгие ограничения для продуктов и услуг, завязанных на технологии потенциального противника начинают выглядеть как необходимый едва ли не сегодня.

"Итак, каковы некоторые из этих технологий? Ну, во-первых, у вас есть высокоточные боеприпасы и вездесущие сенсоры. Таким образом, мы можем вести дальний прицельный огонь с большей точностью и на большем расстоянии, чем когда-либо в истории человечества. И не только мы, но и русские, и китайцы, и другие страны могут сделать то же самое. И теперь мы наблюдаем появление - в дополнение к дальности и точности, у вас есть появление гиперзвуковой скорости, поэтому вы представляете оружие, которое может двигаться со скоростью, от которой, по существу, с сегодняшними оборонительными технологиями, не может быть защиты. Итак, у вас есть некоторые фундаментальные изменения в способности наносить удары. У вас также происходят фундаментальные изменения в способности видеть. Так что любой, кто носит часы Fitbit или GPS или бегает с iPhone, — это сенсор. Итак, у нас есть способность ощущать и видеть окружающую среду и улавливать сигналы, потому что в окружающей среде так много электронных сигналов. У нас есть способность — не только у нас, русских, китайцев и так далее — способность видеть и ощущать эту среду, как никогда раньше".

​​Не удивлюсь, если эпоха доступности GPS в Москве закончилась или закончится в ближайшее время.

BBC опубликовала несколько материалов, посвящённых транснациональным преступным сообществам, которые сосредоточены на "инвестиционных" мошенничествах в цифровой среде. Вот текстовая версия, а вот почти часовой сюжет. Это очень, очень большой бизнес с миллиардными доходами. Миллиардами долларов и Евро, разумеется.

По ходу рассказа упоминается Milton Group, один из наиболее известных представителей этого преступного бизнеса. В 2019-20 годах участники международного сообщества журналистов-расследователей опубликовали впечатляющие расследования этой помойки. Пример подобных публикаций здесь, остальные можно найти на сайте OCCRP. Ключевой момент этих материалов - Украина является одной из наиболее популярных площадок международной цифровой преступности. В самом центре Киева, в бизнес-центра Мандарин-плаза открыто и никого не боясь действуют сразу несколько криминальных колл-центров. Никто ничего не боится, не шифруется и даже не понимает зачем.

Публикации имели некоторый резонанс, поскольку Milton Group специализируется на Западной Европе, куда так стремится, теряя штаны, Украина. Славная СБУ и доблестное МВД провели пару показательных обысков, по результатам которых было заявлено о ликвидации, устранении и даже открытии каких-то уголовных дел. Разумеется, "по факту", как это принято в наших краях. Расследование BBC подтвердило многолетнюю практику - всё вернулось на свои места. Война, как и в случае других форм организованной преступности, не изменила ничего. Неудивительно, поскольку этот прибыльный бизнес, как и многое другое, крышуют
патриоты в погонах. Суровые люди с холодной головой, горячим сердцем и липкими руками.