ОБЖ в сети: чему нас не учили в школе. Ч. 2

Получила за прошлую неделю штук 10 сообщений с историями о сетевых аферистах. Методы банальны и просты: просят назвать код из СМС, внести предоплату, оплатить «доставку» по ссылке. Короче, сегодня «За шторкой» два базовых правила безопасности в сети, о которых мы стали забывать…

Правило № 4
Никому не называйте код из СМС. Умоляю, прошу, настаиваю, матерюсь. Даже если вам говорят, что это безопасно, даже если представляются сотрудниками банка. Кстати, код нельзя называть ДАЖЕ НАСТОЯЩИМ СОТРУДНИКАМ БАНКОВ. НИ-КО-МУ. Можно назвать только код при списании баллов в «Пятёрочке». В ДРУГИХ СЛУЧАЯХ НЕЛЬЗЯ.

Правило № 5
Не разговаривайте с незнакомцами… если они отправляют вам левые ссылки. Это особенно касается досок объявлений типа «Авито» или «Юлы» и фриланс-бирж. Допустим, вам пообещали предоплату и отправили ссылку, чтобы вы там «подтвердили свою карту», «ввели данные для зачисления платежа». Не надо хвататься за свой кошелёк, вертеть туда-сюда кредитку и судорожно перепечатывать её номер и CVV. Если ссылка пришла не от приложения/сайта (то есть вот прям от «Авито» или от «ЮДу»), БЛОКИРУЙТЕ МУДАКА-ОТПРАВИТЕЛЯ.

Вот прям сохраните себе и поделитесь с близкими. Человек — самый уязвимый элемент любой системы. На панике или на энтузиазме теряют бдительность даже айтишники.

Киберсадизм развлечения ради

Вирусы, трояны — та ещё гадость. Мошенники тоже достали: то фейковые розыгрыши айфонов, то липовые распродажи авиабилетов. Но худшее, что принёс нам интернет — кибербуллинг.

Кибербуллинг — систематическая травля с использованием телефонов, компьютеров, да чего угодно, хоть умных часов. Его формы ограничены лишь фантазией агрессора. Сталкинг (иногда рассматривается как форма буллинга, иногда — как отдельный вид интернет-запугивания), шантаж, распространение интимных фото, скриншотов личных переписок, создание целых веб-страниц, оскорбляющих и унижающих жертву — лишь некоторые примеры кибербуллинга.

Травить человека в сети гораздо проще, чем в реальной жизни. Агрессор может использовать разные инструменты, чтобы оставаться анонимным и не понести наказания. Жертва не сможет сразу дать отпор виртуальному обидчику. И главное — через монитор не видно, как жертва реагирует, плачет, впадает в истерику или остаётся равнодушной.

Я нашла исследование, по результатам которого почти половина старшеклассников поддерживают травлю, чтобы развлечься. Вот так просто. Никаких сложных мотивов: ни мести, ни зависти — развлекушки. При этом ни один ребёнок в возрасте 12-13 лет не обращается за помощью. Возможно, боится угроз или не хочет прослыть ябедой.

Но кибербуллинг встречается не только среди школьников. Травля может настигнуть пользователя сайтов знакомств. Собеседник выманивает голые фотки жертвы и угрожает распространить их. Думаете всё ради денег? Увы, садисты, которые кайфуют от травли встречаются не реже, чем вымогатели.

Киберпреступники воруют данные из браузера, в истории которого могут оказаться сайты для взрослых. А дальше они просто угрожают пользователю, что следили за ним через вебку, когда он на тех самых сайтах зависал. Чаще всего никакой записи у них нет, но жертве слишком страшно, чтобы адекватно оценить происходящее.

Не будьте агрессорами и поддерживайте близких, если они оказались в такой ситуации. И не обвиняйте жертв, для травли нет и не может быть никаких "сам(-а) виноват(-а)".

Поделитесь постом с друзьями, родителями, детьми и напомните им, что нужно быть осторожнее👀

Рассказала на своём втором канале о концепции интернета вещей и запуске DOOM с помощью картошки.

Чекайте 👉🏻 @smart_holodos

Оформляй, пропадай: чем опасны легкие деньги и чрезмерное доверие

Сегодня тут не совсем кибербезопасная тема, скорее — бытовая. Но, котаны, плиз, прочитайте внимательно и зарубите себе на носу:

никогда не соглашайтесь ничего на себя оформлять!

На биржах фриланса полно задач, суть которых проста: оформите на себя карту, получите 1-2 тыс. деревянных. Фрилансеру обещают, что он получит заветный косарь (а то и целых два!), а через пару месяцев пропадёт из базы «ПромТоргИнвестМудобанка», и карта будет заблокирована. Вот это лёгкие денежки, да? Но по-настоящему лёгкими они будут для мошенников, которые на такие карты принимают платежи, связанные со всякими махинациями. И придут разбираться не к ним, окаянным злодеям, а к пользователю, который когда-то поднял косарь на оформлении кредитки.

Оформлять на себя чужие посылки тоже не стоит. К Анфисе прибежала соседка Вера и попросила получить посылку. Мол, ей с ребёнком сидеть, у морских свинок роды принимать, уезжать на весь день к маме копать картошку. Анфиса по-соседски соглашается помочь, получает посылку… А потом и повестку в суд. Вера может оказаться мошенницей, которая ворует данные чужих кредиток и тратит с них денежки на всякую дребедень с алика. Не, ну а что? Некоторые банки разрешили оплачивать покупки без кода подтверждения. Если Верку спалят, то проще добраться до Анфиски, адрес которой на всех посылочках.

Будьте осторожнее, а то такие простые и очевидные правила часто забываются.

Стоит ли сбегать в лес от рекламодателей

Приватность, слежка, персональные данные — эти слова мелькают в заголовках СМИ, в пабликах — короче, везде. Мне приходит уйма сообщений с вопросами: «А точно ли меня не прослушивает Facebook?» и «Стоит ли уходить в лес без гаджетов?»

Ну не знаю, мне в лес пока неохота. Пойдём лучше за шторку, обсудим киберстрашилки.

Не надо думать, что за каждым из нас следит тайный агент, мониторит наши переписки, фоточки. Интересная была бы структура у общества: 50 % обычных граждан и 50 % шпионов. Стоп, а у шпиона должен быть свой шпион??? Тогда получается, всем нужно было бы шпионить за шпионами? Ааааааа😱

И всё же наши данные собирают и обрабатывают. Пожалуй, чаще всего этим занимаются рекламодатели. Информация о пользователе 👉🏻оптимизация рекламы 👉🏻 более тесное взаимодействие с целевой аудиторией 👉🏻 повышение продаж. Раньше меня это бесило, я обращала внимание на каждое «совпадение», когда говорила о собачьем пиве, а потом видела его в инстаграме. Сейчас стала относиться проще. Хотя гуглу и эплу сбор данных запретила, даже историю ютуба не сохраняю, но это так, чисто чтоб рекомендации посмотреть «Ранеток» после пары сезонов «Беременна в 16» не бесили.

Мой вердикт: выбрасывать смартфон и уезжать в тайгу не обязательно, НО.

Необходимо шарить, кто, как, зачем собирает и использует данные пользователей. Одним плевать на это, другим — неприятно. Поэтому важно знать, куда нажать, чтобы сбор инфы запретить или ограничить.

Нужно следить за новостями об утечках, периодически проверять, не оказались ли персональные данные в слитых базах. Вовсе не для того, чтобы нагнетать, истерить и бояться. Зная о таких проблемах, пользователь получает возможность быстренько поменять пароль, логин или вовсе удалить аккаунт.

Хорошо бы иметь отдельные номер и почту для регистраций на форумах любителей кактусов. Лучше, когда они не совпадают с номером и почтой от аккаунтов банков.

Всё не так плохо, господа параноики. Повышайте компьютерную грамотность и не нервничайте.

Осторожно! Хакеры за рулём

Хакеры не всегда укутываются в чёрные толстовки и сидят с утра до вечера возле компа. Есть такой движовый способ поиска и взлома Wi-Fi-точек, когда хакеры прыгают в тачку, берут комп с Wi-Fi-адаптером и гоняют по городу. Называется такое занятие вардрайвингом (от англ. wardriving — боевое вождение).

Бывает и варволкинг (от англ. warwalking — боевая прогулка), и варфлаинг (от англ. warflying — боевой полёт). Всё зависит от способа передвижения хакера. Правда, насчёт боевого плавания не знаю, но думаю, и такое есть.

С помощью вардрайвинга можно замутить целое исследование и выяснить, насколько защищены Wi-Fi-сети в определённой зоне.

Киберговнюкам вардрайвинг помогает собрать базу уязвимых точек, а потом… Потом продать её, использовать самому, попробовать установить фальшивую точку, чтобы пользователь подключился к ней и спалил свой трафик. Но на деле вряд ли кто-то будет гонять по Бутово и вардрайвить. Разве что из любопытства. Ну или из желания бесплатно пользоваться чужим интернетом.

В сети есть целые группы любителей такого «боевого вождения». Ребята обсуждают оборудование и методы поиска уязвимых Wi-Fi-точек. Это всё интересно, но плиз, помните, что взлом забавы ради тоже наказуем.

Снифферы: чем пахнет трафик

Снифферы анализируют трафик, то есть всю инфу, которая проходит через них. Их так обозвали из-за английского глагола «to sniff» — нюхать. Бывают и программными, и аппаратными (это когда для перехвата трафика используют не прогу, а какую-то вещь, не благодарите, ваш КЭП).

Использование снифферов бывает легальным и нелегальным, тут надо смотреть по ситуации. Существует поверье, что в мире порядочных безопасников их принято нарекать «анализаторами трафика», а снифферами пусть кибершпана балуется.

С благими намерениями снифферы используют, чтоб проверить, не присосался ли какой паразит к ресурсу, не перегружает ли сетевое оборудование. Сисадмины могут юзать их, чтобы устранять косяки.

Киберговнюки же стремятся *вынюхать* что-нибудь годное: провокационную инфу, платёжные данные, контакты. В местах, где о безопасности Wi-Fi-сети не парятся — кафешках, аэропортах — легко можно вкорячить вредоносную прогу, маскироваться и подключаться к другим устройствам.

Будьте осторожны! Смотрите, чтобы к вам не начал принюхиваться такой паразит!

Позвони мне, позвонииии! Номер карты назови мне…

Vishing (voice phishing — голосовой фишинг) — атака кибершпаны на пользователей по телефону. И нет, это не обычные мошенники, которые звонят и прикидываются «сынулей в опасности». У вишеров продвинутые методы: сначала проводятся разведка, сбор личной инфы о жертве с помощью других кибератак. А в самом вишинге часто используют технологию автоматизированной симуляции голоса и вредоносные программы.

HashedOut предлагает разделить виды вишинга на несколько групп. В первой — телемаркетинговое мошенничество. Эта дребедень существовала и раньше, но сейчас у ребят появились замашки вишеров. Кибершпана может и не знать жертву, которой звонит, но и диалоги ведёт весьма примитивные: «Алло-алло, вы выиграли бесплатный отдых!» Дальше всё понятно)

Впечатляет мошенничество с техподдержкой. Схема многоступенчатая. Вишер сначала кидает жертве всплывающую рекламу с предупреждением о вирусах, чтобы убедить пользователя позвонить в «техподдержку» и попросить о помощи. Более продвинутая кибершпана пускает в ход вирус-вымогатель. Устройство пользователя блокируется вирусом, на экране появляется номер телефона «техподдержки» (вишера, разумеется). Жертва в панике звонит, заказывает услугу, оплачивает и благодарит таких «прекрасных специалистов» за помощь.

Ещё один вид вишеров — киберговнюки, выдающие себя за госслужащих. В таком случае жертве звонят и предупреждают о задолженности, которую следует немедленно погасить. Конечно, добрый госслужащий поможет сделать это не отходя от телефона: достаточно назвать три цифры с оборотной стороны кредитки, а потом — код из СМС. Эх, никогда не ведитесь на такое! Так у людей и появляются «неожиданные» кредиты.

И последняя категория вишинга — атаки на банковские счета. Я прочитала статью, как кибершпане удалось заменить свой телефонный номер на номер банка. Естественно, пользователь был в ступоре, когда позвонил «банк» и предложил прислать новую карту. Ещё одна напоминалочка о том, что никому и никогда называть код не нужно. «Рабочее время» таких мошенников начинается в пятницу после полудня. Вишеры прозванивают обеспеченных жертв в надежде, что человек будет сидеть на расслабоне с бокалом красного сухого и выдаст все необходимые данные.

Тайна одной псины: как надёжно хранить пароли

Хранить пароли в башке — плохой способ. Придумать два пароля, запомнить их и использовать везде — худшее, что можно сделать для своей безопасности.

Сегодня неохота грузить вас навороченными постами о технологиях, аферистах и угрозах. Го поболтаем о надёжном хранении паролей.

Начну с немного архаичного способа. Вам понадобятся: блокнот, ручка (с динозавром), фантазия и немного здоровой паранойи.

Включите генератор паролей, побалуйтесь со сложными комбинациями из букв, цифр, процентов, восклицательных знаков. Сочините и запишите аккуратным почерком свои пароли.

Потом придумайте кодовое слово, например, «psina». Когда будете вбивать новые пароли, просто добавляйте его в начало или конец комбинации. Только записывать секретное слово в блокнотик не нужно! Тогда если тайную книжку с секретами своруют, подобрать пароли всё равно не смогут.

А теперь добавим немного технологий. Можно проделать то же самое с менеджерами паролей — специальными приложениями для хранения. Скачиваете, вбиваете данные, придумываете и запоминаете код доступа к приложению. Действуем по той же схеме: придумали пароль, вбили его с добавлением секретного слова. Пароль сохраняем в менеджере, *секретное дополнение* — в голове. И вот ваши данные уже защищены более надёжно, чем раньше. Не благодарите🕹

Анфиса отправляла свои голые фотки через «Вконтакте». Аккаунт взломали, фотки спалили киберговнюки, которые решили заработать с помощью сексторшена.

Sextortion можно перевести как «сексуальное вымогательство» — шантаж с угрозами распространить интимные фото и видео жертвы.

Взлом соцсетей — не единственный способ получить такой контент. Куда популярнее методы социального инжиниринга, когда у той же Анфисы голые фотки выпрашивает кибершпана с сайта знакомств.

Преступники также могут получить доступ к файлам Анфисы с помощью зловреда, который стащит файлы или даже сможет подключиться к камере. О программах-шпионах был целый пост.

Как защититься? Никогда не загружать в сеть те фотки, которые вы не готовы увидеть в публичном доступе. И даже в облаке их не хранить.

Случилось жуткое преступление: хакеры взломали крупный психотерапевтический центр. Кибертвари разместили данные о 300 пациентах в даркнете. Некоторые из них сами писали преступникам, предлагая выкуп за удаление информации. Позже злоумышленники охренели в край, связывались с пациентами напрямую и вымогали бабки.

Я сама занимаюсь с психотерапевтом, делюсь на сеансах личными историями, страхами. А что если у пациента тяжёлое расстройство? Человек может просто выйти в окно из-за того, что данные о его заболевании, тайны, которые он рассказал доктору, оказались в публичном доступе.

Я не знаю, как это всё комментировать. Вина тут не только на хакерах, но и на руководстве клиники. Да, утечки случаются, от них не застрахован никто, любая система уязвима.

Но тут речь о ментальном здоровье и жизнях людей. Пусть обезличивают данные, ведут по старинке записи в тетрадочках, раз не могут обеспечить безопасность на должном уровне. Кстати, атака-то не первая, в марте 2019 года на системы медцентра уже нападали, но тогда этот инцидент долго замалчивали. Ну как так?

Если вы занимаетесь с психотерапевтом, настаивайте, чтобы заметки велись от руки. Проверяйте, что ваши данные обезличены или зашифрованы. Ещё можно попросить использовать в записях о ваших сеансах псевдоним. И берегите свои нервы.

Настроение: подводить итоги октября

Подборка моих любимых октябрьских постов. Го читать, если что-то пропустили.

• Как автомобиль поможет взломать Wi-Fi
• Надёжный способ хранить пароли
• Винни-Пух и хакеры
• Что такое сексуальное вымогательство
• Снифферы: чем пахнет трафик

Ставьте 👍, если нравится тусить «За шторкой».

​​Поиск аккаунтов, к которым привязана почта Gmail

Анфиса любит форумы. О собачках, о суккулентах, о любимых диванах кинозвёзд. И от онлайн-магазинов тащится просто. Поэтому Анфиса постоянно где-то регистрируется, а чтоб не тратить время, просто заходит с помощью своего Google-аккаунта.

Если вы узнаёте в Анфисе себя, открывайте браузер, сейчас будем разбираться, где вы успели засветиться и что делать.

Шаг 1. Зайти в свой аккаунт .

Шаг 2. Перейти по этой ссылке в нужный раздел настроек.

Шаг 3. Посмотреть на свой список приложений под названием «Вход через аккаунт Google».

Чтобы посмотреть, какие разрешения есть у каждого приложения, нужно жмакнуть по нему. Вы увидите всю инфу, как у меня на скрине (пример с уже устаревшим приложением, которое навеки в моём 💔). Если что-то смущает или просто хочется отвязать программу, нажмите «закрыть доступ».

Что такое парсинг, или Как вытащить с сайтов любые данные

У Анфисы есть гора разных орехов, целый килограмм. Она хочет выбрать оттуда весь миндаль. Можно делать это вручную или позвать помощников — экспертов по перебору орехов.

А теперь представьте, что гора орехов — это массив данных, миндаль — конкретные данные, которые нужно найти пользователю, а эксперты по перебору — парсеры. Добро пожаловать в мир сомнительных примеров.

Процесс перебора данных называется парсингом. Парсеры — специальные программы, которые помогают в этом. Парсить можно что угодно: книжки, фильмы, вакансии, списки победителей собачьих выставок, объявления о продаже советских подстаканников. Главное, чтобы данные были доступны на ресурсах без регистрации или чтобы программа умела там региться.

Именно с помощью парсеров кибершпана собирает базы номеров, почт с разных сайтов. Если обращали внимание, некоторые ресурсы показывают пользовательский номер только после клика по нему (например, в объявлениях на «Авито»). Это позволяет чуть усложнить парсинг.

Кстати, громкие новости о сливах баз того же «Авито» на самом деле посвящены выходкам кибершпаны, которая напарсила базу из данных, которые и так были в публичном доступе. Защита от парсеров ложится на плечи разработчиков и админов веб-ресурсов.

Парсинг бывает и с благими намерениями. В универе я дико упарывалась в научно-исследовательскую работу: писала статьи, отчёты, доклады к конференциям. Всё это дело требует поиска и анализа источников. А парсинг поможет собрать и оформить список актуальных статей и книг, отобрав только проверенные и надёжные материалы.

Как потратить шесть тысяч рублей на бесплатную услугу

Мне нужно было снять с учёта проданную тачку. Через «Госуслуги» не удалось, они упорно твердили, что обязательно тащиться очно. Ну конечно, зачем оформлять такие вещи в электронном виде, когда на дворе «корона»?

Перед тем как помчаться в МРЭО, решила позвонить, выяснить, записываться туда или заваливаться так. Гуглю номер, набираю:

— Алло, здравствуйте! Бла-бла-бла, записываться нужно?
— Сейчас уточню, есть ли окошки. Все документы скидывайте в вотсап. Стоимость услуги составит 6 000 рублей.

Я, такая: «Эээээ, чтоооооо?» Кинулась проверять, куда звоню, оказалось — по номеру с сайта, замаскированного под МРЭО) Думаю, это не совсем конченые киберговнюки, которые выуживают деньги и пропадают. Скорее всего, просто оформляют бумажки, делают ксерокопии, едут с клиентом в МРЭО или помогают заполнить заявление на «Госуслугах».

Но это полный отстой, что такие сайты вылетают в поисковике перед официальными ресурсами госорганов. Будьте внимательнее и никому не отправляйте свои документы ни в мессенджерах, ни по e-mail, ни с голубями. И тем более не переводите деньги. Ни один госслужащий не будет по телефону продавать подобные услуги.

Кофемашина-вымогатель

Ох уж этот интернет вещей. Вот так не досмотришь за роботом-пылесосом, а они с кофеваркой уже мутят ОПГ. Один безопасник выпендрился решил доказать, что уязвимые умные устройства могут стать причиной жёсткой кибератаки на пользователя. Для этого он изменил прошивку кофемашины SmarterCoffee. В результате кофейная злодейка научилась требовать выкуп за продолжение нормальной работы. Она шумела, запускала то кофемолку, то нагреватель воды. Надоело? Извольте заплатить выкуп или вырубить монстра из розетки.

Чтобы взломать кофемашину, её даже не пришлось подключать к Wi-Fi-сети пользователя. При первом включении она создаёт свою сеть, к которой нужно подключиться со смартфона и настроить через специальное приложение. По умолчанию у кофеварки нет никаких паролей, соединение со смартфоном не защищено.

Файлы с прошивкой лежат прямо внутри приложения для настройки. Их можно достать, изменить и загрузить обратно в кофеварку с телефона или ноута. По сути, с прошивкой можно сделать всё, на что хватит фантазии. Это забавно, пока в каком-нибудь офисе дорогая кофемашина не устроила истерику и не начала вымогать деньги.

Так что будьте осторожны с этими электронными умниками. А то мало ли, что им в прошивку взбредёт👀

TOR — это что?

Мы не будем обсуждать скандинавскую мифологию или вселенную Marvel (хотя я не против). «За шторкой» давно не было луковых постов. Го обсудим, что такое Tor Project и как его создавали.

Напомню, TOR — технология, которая помогает сохранить анонимность. The Onion Router — луковый маршрутизатор. Его так обозвали за то, что передаваемые данные скрываются под несколькими слоями шифрования. Чтобы получить к ним доступ, нужно слои снять, «почистить луковицу» 🧅

Изначально TOR — проект военно-морских сил США. Потом его исходный код опубликовали для поиска ошибок. Команда Tor Project стала некоммерческой организацией в 2006 году. А потом пошло-поехало, проект получал инвестиции, развивался. В 2008 году появился Tor-браузер.

Идея создания этой сети — создать такой уголок безопасности и анонимности. Место, где никто друг другу не доверяет. И чего там только нет

Луковый маршрутизатор — братишка торрентов и цифрового пиратства во всех проявлениях. Если как следует прошерстить сеть, можно найти тонны контента, даже образовательного.

⚠️ Шарахаться по .onion-доменам следует очень аккуратно. Нельзя нигде оставлять свои данные, входить в личные аккаунты. Я оправдываю только одну причину залезать в даркнет — исследовательская работа, если вы — журналист, аспирант, научный сотрудник, который делает проект, пишет статью или даже диссертацию на окололуковые темы.

Из любопытства разок-другой можно, но ответственность за вашу безопасность на вас.

Как данные передаются в TOR-сети?

В сети TOR есть несколько узлов — точек, через которые проходят данные. По умолчанию их три: входной, промежуточный и выходной.

Входной узел ещё называют сторожевым. Через него пользователь попадает в сеть TOR. Сторожевой узел получает ту самую луковицу 🧅 из слоёв шифрования. Его задача — снять первый слой, то есть расшифровать и найти адрес, по которому луковица пойдёт дальше.

Промежуточный узел продолжает «чистить лук» и снимает ещё один слой, чтобы найти, куда отправлять данные дальше.

Выходной узел — главный в этой цепи. Он снимает последний слой шифрования и передаёт данные по нужному адресу. То есть ресурс, которому адресован запрос, увидит именно адрес выходного узла.
Затем выходной узел получает ответ от ресурса — новую луковицу, которая снова пройдёт через трехступенчатую систему «очистки» и отправится к пользователю.

Выходной — самая опасная «точка». При расследовании преступлений правоохранительные органы придут к оператору этого узла, если через него пройдёт какой-то «плохой» трафик.

Представьте, что Анфиса решила поддержать свободный интернет и подняла у себя дома выходной узел. Через несколько дней на ее пороге появились сотрудники спецслужб и стали задавать страшные вопросы. А всё потому что через выходную точку Анфисы неправильные Чиполлино продавали не совсем легальный лук 🧅

Технология крутая и интересная, но очень опасная. Продолжаю нудеть: будьте осторожнее с тем, что не можете контролировать.