​Идеальный баланс

Ребята из Касперского тут выкатили забавный онлайн-сервис – Privacy Checker. Понятное дело, что он является частью маркетинга платных продуктов компании, но, это не делает его хуже. Там есть действительно полезные и не самые очевидные советы.

Вы можете натыкать в конструкторе то устройство и софт, в котором хотите подкрутить настройки безопасности, а сервис вам подскажет, на что обратить внимание, в какие меню нужно зайти, что выключить и так далее. Здесь даже можно выбрать уровень паранойи баланса между безопасностью и удобством.

В общем, можете зайти, потыкать и проверить, всё ли лишнее вы отключили, когда настраивали свой браузер или мессенджер. Думаю, что старшему поколению тоже будет полезно поиграться в этом конфигураторе, чтобы не нахвататься лишнего в интернетах. Так что рассылайте всем родным и близким.

#Кибергигиена

Твой Пакет Безопасности

​Забыли про утечки?

Напоминаю, что за 2022 год были слиты данные еще не всех граждан нашей страны, поэтому стремиться еще есть к чему. Так что поехали.

Начнем с того, что были слиты данные пользователей Альфа Страхования. Для тех, кто не знает – это практически монополист на рынке РФ в сфере страхования. Если вы где-то оформляете страховку, то, скорее всего, это просто прокладка между вами и Альфой. Так вот, их вскрыли и слили. В сеть сразу были выложены уникальные данные порядка миллиона клиентов, включая их телефоны, почты, ФИО, хэши паролей и т.д. Сами NLB (хакерская группировка, которая и опубликовала данные) утверждают, что они получили данные 14 млн клиентов компании, но пока они не были опубликованы. Так что, либо они блефуют, либо Альфа Страхование пошли на сделку.

Также был взломан ИТ-интегратор "Первый Бит" и все его дочерние компании, из которых суммарно было слито порядка 250 000 номеров телефонов, а также другие персональные данные клиентов.

Еще один инфоповод в сфере утечек посвящен самой Минцифре. Там предложили компенсировать пострадавшим (от утечек) гражданам их страдания. Для этого предлагается оставлять свои заявки на Госуслугах. Правда ответственность за подсчет размера компенсации возлагается на самого оператора ПДн. Но, если компания, потерявшая ваши данные, удовлетворит более 60% полученных жалоб, то к ней предлагается применять смягчающие тарифы по оборотному штрафу (который мы обсуждали тут).

Кажется, что мы немного не успеваем вводить штрафы для компаний, потому что очень скоро они смогут просто оправдываться тем, что данные их клиентов и так уже были слиты в сеть.

#Мнение

Твой Пакет Безопасности

​Плохие приложения

В одном из прошлых постов мы с вами уже обсуждали то, насколько развит рынок вредоносного ПО в Google Play. И пока исследованием этого маркетплейса занимаются ведущие ИБ компании во всем мире, Гугл решил выкатить свой отчет по "плохим приложениям" в своём же сервисе.

Судя по аналитике (за 2022 год), модераторы платформы забанили 173 000 аккаунтов, распространяющих вредоносные приложения. Самих приложений, при этом, было заблокировано порядка 1 500 000, и это до публикации в каталоге. В общем, в аналитике есть еще несколько интересных цифр, так что вэлкам. Сам отчет вышел небольшой, поэтому много времени его изучение не займет.

Радует то, что Гугл не только в курсе того, что его маркетплейс не без греха, но и то, что он даже пытается анализировать всю эту ситуацию. Осталось только вынести весь мусор из своего же дома.

Ах да, недавно вышел еще отчет от McAfee, согласно которому в Google Play обнаружены десятки копий игры Minecraft, которые сразу же заражают ваш смартфон вредоносным рекламным ПО – HiddenAds. Но не переживайте, Майнкрафт всё равно запустится.

#НовостьДня

Твой Пакет Безопасности

​Альянсы и отчеты

Продолжаем тему нейросетей и ИИ в кибербезе. Да-да, сейчас это модно, поэтому придется еще немного потерпеть (ну или много). Так вот, есть такая организация – Cloud Security Alliance. По сути, это такой же источник пользы в мире кибербезопасности, как и знаменитый OWASP. Они тоже любят выпускать различные ТОПы уязвимостей в безопасности и публиковать полезные исследования.

В состав этого альянса входят лидеры IT индустрии на уровне Google и Intel, а еще эти ребята делают упор на безопасность облаков (наверное, вы догадались по названию), что достаточно актуально в наше время. Так что рекомендую присмотреться к их деятельности, если хотите быть в курсе того, что происходит в мире кибербеза прямо сейчас.

Ну всё, альянс похвалили, теперь можно и к теме поста. CSA тут выкатили отчет по исследованию вреда, который может нанести компаниям тот самый ChatGPT. К слову, исследование справедливо не только для детища OpenAI, но и для других нейросетевых чат-ботов.

В отчете также разобрано, как можно попробовать взять под контроль использование нейросетевых сервисов сотрудниками компаний. Какого-то открытия ребята не совершили, но, по крайней мере, собрали в одном месте и в структурированном виде всё то, что можно наложить на обеспечение безопасности в части использования ChatGPT на работе.

С учетом того, что ИИ-сервисы начинают все чаще использовать для решения рутинных рабочих задач, отчет весьма актуален.

#Полезное

Твой Пакет Безопасности

Сериальный стек

Тут Netflix поделился своим технологическим стеком, причем в достаточно удобочитаемом виде, с разбивкой на стандартномый SDLC.

У компании достаточно высокий уровень зрелости айтишки, так что скорее забирайте в свою копилку полезных схем и смело применяйте на практике.

Жаль только, что они не поделились какими-то инсайдами и удобным софтом для этапа планирования, ограничившись только стандартными Джирой и Конфлюенсом. Ждём теперь от них расписанный Secure SDLC.

#Полезное

Твой Пакет Безопасности

​Лучший тренажёр

ЦБ (это тот, который Центральный Банк и Банк России) запустил тут свой онлайн-тренажер-приманку. Звучит сложно, но это не так. В общем, теперь в интернетах есть такой сайт – Рублерост. С первого взгляда – обычный лендинг, каких миллионы. Но, если вчитаться в яркие заголовки, то становится понятно, в чём дело.

По сути, это образовательный проект от ЦБ, запущенный с целью проведения профилактики попадания на крючки мошенников, пирамид и прочих плохих людей. Судя по инструкции, на сайте спрятаны 7 уловок, которые чаще всего можно встретить на мошеннических сайтах.

Если серьезно, то очень радует, когда такие структуры пытаются заботиться о кибергигиене своих граждан и клиентов. Скорее отправляйте вашим доверчивым родственникам, пусть тренируются и будут бдительны. И да, раздражающие всплывающие окна включены в комплектацию.

#Кибергигиена

Твой Пакет Безопасности

​Фишинговая повестка

Злоумышленники тут придумали новый способ распространения вредоносного ПО. Да, через повестки и мобилизационные предписания. Они приходят жертвам на электронную почту, где во вложениях лежит троян под видом оригинала электронной повестки или подписи к ней.

Если распаковать этот архив из вложений (а этого делать не надо), то злоумышленник сможет получить к вашему устройству удаленный доступ при помощи DarkWatchman RAT (достаточно попсовый вредонос).

Рассылка идет с поддельной электронной почты Военного Комиссариата РФ. Письма рассылают как обычным гражданам, так и сотрудникам HR-отделов больших компаний под соусом призыва их сотрудников. Я уверен, что это не последняя волна фишинговых рассылок, так что будьте бдительны и предупредите родных.

#Кибергигиена

Твой Пакет Безопасности

​Тёмная сторона интернетов

Не очень понятно, почему только сейчас, но в Госдуме предложили признать незаконным использование даркнета.

Что именно подразумевает под даркнетом депутат, предложивший данную инициативу – не раскрывается. Под раздачу, судя по всему, попадут вообще все ресурсы на теневой стороне интернета, а не только нелегальные маркетплейсы и форумы.

В целом, тех, кто регулярно сидит в даркнете и пользуется им по назначению, и так можно было привлечь сразу по нескольким уголовным статьям, но тут, видимо, решили брать оптом. И да, установка и использование браузера Tor также может стать нелегальным в рамках этой инициативы.

#НовостьДня

Твой Пакет Безопасности

​Новая почта каждый день

Помните, как мы с вами говорили о сервисе have i been pwned? Так вот, в рамках подписки Google One вы можете следить за тем, засветились ли ваши личные данные в даркнетовских сливах. Называется эта штука dark web report, и через нее можно пробить такие данные, как имя, адрес, телефон, страховку и адрес электронной почты.

Но Гугл не стоит на месте и теперь функция по отслеживаю сливов вашей электронной почты будет доступна сразу в Gmail. Пока это доступно только пользователям из США, но скоро функцию раскатят на весь мир. На самом деле, очень удобно, особенно если вашу свежую почту еще ни разу не сливали (тут могла быть ваша ирония).

#НовостьДня

Твой Пакет Безопасности

​Лучший мессенджер для открыток

Если вдруг у вас есть паранойя на тему того, что ваш телефон постоянно вас прослушивает, то расслабьтесь, это не телефон, а просто WhatsApp. Один из разработчиков Твиттера тут обнаружил, что Вотсап, установленный на его андроид-смартфон, регулярно запрашивал доступ к микрофону, пока тот спал.

Это далеко не первый случай, когда месенджер так нелепо спалился, но у компании на это есть супер-ответ – "Это ошибка системы Android, а ответственность за это несёт Google". Так и живем. Ну а вы не забывайте следить за разрешениями, которые у вас запрашивают приложения и иногда поглядывать, как они этими разрешениями пользуются.

В общем, заходят как-то Вотсап, Гугл и Твиттер в бар...

#НовостьДня

Твой Пакет Безопасности

​Сёрфшарк, который не смог

Ставлю доллар против песо, что у большинства из вас тоже перестал работать Surfshark. При этом, этот VPN продолжает платить блогерам, а они не стесняются его рекламировать. Когда-то это действительно был один из лучших сервисов на рынке с удобным приложением и быстрым подключением, но эти времена прошли. Сейчас его активно блокирует большинство провайдеров в РФ, а схема с обходом через OpenVPN практически не работает.

Да, есть различные бесплатные сервисы, которыми все уже перестали брезговать, но у них маленькие лимиты, реклама, а по поводу сохранности и конфиденциальности ваших данных я вообще промолчу.

Если не ударяться в крайности, то выхода два – либо поднимать свой сервер в другой стране и настраивать на нем свой VPN, либо искать друга, который сделает это за вас.

Я поднимал себе такой на OpenVPN, но это не самое удобное и практичное решение. Поэтому вам я советую присмотреться к другому открытому проекту – Outline VPN, который собрали, вроде как, ребята из Гугла. Плюсов у проекта много, но один из основных, это то, что ни у кого не получится просто так получить доступ к трафику, который сквозь него проходит.

Ну а еще его очень удобно настраивать и работает он на протоколе, который крайне тяжело отследить и заблокировать. К слову, он подойдет не только для личного использования, но и для небольших стартапов, с учетом наличия удобной функции управления профилями для сотрудников. И да, это не реклама.

Кстати, есть еще некий VPN Generator, который решает проблему отсутствия друзей, которые поднимут вам VPN-сервер. Сам я им не пользовался, но отзывы неплохие, за надежность тоже многие ручаются. Если вы им пользовались, то можем обсудить в комментариях ваши впечатления.

#Полезное

Твой Пакет Безопасности

​Бесплатные безопасники

Наткнулся тут на просторах LinkedIn (это такая международная социальная сеть для выстраивания рабочих взаимоотношений и красивой продажи себя на рынке труда) на список из пары десятков бесплатных курсов по кибербезопасности. Есть совсем попсовые и вводные уроки, но есть и годные материалы из Стэнфорда и Амазона, например.

Так что скорее бегите (не забудьте только включить VPN) экономить сотни долларов на профильном обучении. И да, смело добавляйтесь в друзья, вот ссылка на мой профиль. Я там даже иногда выкладываю интересные посты из этого канала (но на английском языке).

#Полезное

Твой Пакет Безопасности

​Берем ручки и открываем тетрадки

Думаю, что пора воскрешать познавательную рубрику нашего канала, в рамках которой мы с вами уже узнали, что такое вишинг и смишинг. Ну а сегодня мы разберем такой термин, как Ransomware. Это целый класс вредоносного ПО, основной целью которого является шантаж жертвы, то есть вымогательство. Именно поэтому, если вы где-то услышите о программах-вымогателях, то это тот самый Ransomware.

Для того, чтобы шантажировать жертву и вымогать у нее деньги, нужно нанести ей какой-то вред или что-то украсть, а потом предложить всё вернуть обратно за вознаграждение. Чаще всего подобные программы шифруют ценные данные на компьютере жертвы, отнимая у пользователя доступ к ним. Далее пользователь видит сообщение о том, что ему необходимо перевести фиксированную сумму денег вымогателю (чаще всего на криптокошелек), за что тот расшифрует все данные и вернет к ним доступ.

Спойлер – в большинстве случаев злоумышленник не выполняет условия этого договора, так что платить никому не нужно. Помните о том, что нужно пользоваться антивирусным ПО (оно вовремя заметит подозрительную активность и заблокирует вредонос), делать резервные копии (чтобы никому не платить и просто восстановить важные данные) и обновляйте ПО на своих устройствах (часто программы-вымогатели распространяются через уязвимые версии других программ и сервисов), в том числе и саму операционную систему.

#Кибергигиена

Твой Пакет Безопасности

Безопасное производство

Ловите очередную сочную схемку, посвященную ДевСекОпсу. А если быть точнее, то безопасному конвейеру CI/CD и всему тому, что к нему можно прилепить. Можете держать ее перед глазами на собеседованиях или во время аудитов, чтобы не забыть ничего важного.

#Полезное

Твой Пакет Безопасности