Как устроен антифрод и почему одних алгоритмов недостаточно

Есть у финансового мошенничества одна особенность: даже самая продвинутая система защиты не всегда спасает, если злоумышленник сумел убедить человека самостоятельно перевести деньги. Поэтому антифрод — это не только про скоринг, ML-модели и подозрительные транзакции, но и про психологию.

С чего это меня понесло в антифрод, спросите вы. А я вам расскажу. Я тут наткнулся на бесплатный курс от СберУниверситета «Финансовый антифрод: лаборатория защиты».

Там предлагают посмотреть на мошенническую атаку сразу с трех сторон: технического специалиста, сотрудника банка и клиента. Разбирают социальную инженерию, Kill Chain (ю ноу), графовую аналитику, поведенческие маркеры и даже правовые механизмы возврата денег со счетов дропов (про них мы уже говорили).

Как по мне, инициатива, вполне своевременная. По данным «Работы.ру», спрос на специалистов по кибербезопасности с 2021 года вырос более чем на 30% (нет, ну вы видели?). А 74% российских компаний уже сообщают о кадровом дефиците в ИБ.

Так что разобраться в антифроде сейчас полезно не только тем, кто непосредственно занимается банковской безопасностью (фрод есть не только там, да). Особенно если учитывать, что мошенники тоже на месте не стоят.

Кстати, как вы считаете, антифрод стоит относить к кибербезу, инфобезу или просто службе безопасности? Правильного ответа, кстати, нет.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

На криптографию надейся, а сам не плошай

Настало время разобраться в одном важном вопросе – как работает шифрование в мессенджерах. Вот захотел я, да. Но для начала давайте разберемся на простом примере, что вообще такое шифрование и для чего оно нужно. Представьте, что ваше сообщение – это письмо. В обычной жизни вы кладете письмо в конверт, и любой почтальон может его вскрыть и прочитать. Или кто-то может подойти к почтальону, попросить открыть нужный конверт, прочитать содержимое и вернуть обратно.

В мессенджерах с шифрованием вы кладете письмо в условный несгораемый сейф. У вас и у друга есть по уникальному ключу. Вы закрываете сейф своим ключом, а открыть его может только ключ вашего друга. Так обеспечивается конфиденциальность вашей переписки.

Вот только когда мессенджер утверждает, что «ваши сообщения зашифрованы», это еще ничего не значит. Правильный вопрос: зашифрованы от ĸого? Вся криптография тут сводится ĸ важному моменту – у ĸого лежат ключи.

С точки зрения архитектуры, существует 2 основных вида шифрования:

1. Транспортное шифрование (клиент-сервер)

Ваше сообщение шифруется только во время отправки с вашего устройства на сервер. Сервер получает его, дешифрует, сохраняет, а потом снова шифрует для отправки другому клиенту. То есть при большом желании оператор/посредник может прочитать его содержимое (или кому-то показать). Грубо говоря, шифруется тут канал, по которому ваше сообщение проходит путь от устройства до сервера.

Плюсы такого подхода: облачная история, мгновенная синхронизация между устройствами, поиск по переписке с любого девайса.
Минус один, зато фундаментальный: сервер становится точкой доверия. Взлом, недобросовестный сотрудник, юридическое принуждение – и переписка оказывается доступна третьей стороне.

Транспортное шифрование используется во всех мессенджерах, но есть те, кто не добавляет сверху никакой защиты. Например, так работают обычные (не секретные) чаты Telegram, наши любимые мессенджеры VK и Max, корпоративные Google Chat и Microsoft Team и др.

2. Сквозное шифрование (end-to-end, E2EE)

Ключи генерируются и хранятся тольĸо на устройствах собеседников. Сервер видит и передает лишь зашифрованный текст, который не может расшифровать даже сам оператор/посредник. Проще говоря, в этом случае шифруется уже не канал передачи, а само сообщение. То есть при перехвате данных все, кроме получателя, увидят лишь бессмысленный набор символов.

Плюсы этого вида: никто не сможет получить доступ к вашей переписке – даже при взломе сервера или по запросу спецслужб. Защищены не только тексты, но и фото, видео, файлы, звонки.
Минусы: ваши метаданные все равно оседают у оператора/посредника (кому вы пишете, в какое время, с какого устройства и как долго длился разговор).

Сквозное шифрование доступно в режиме «секретный чат» в ТГ, а также является основной защитой для WhatsApp, Signal, Viber, iMessage и Threema.

Так что, получается, WhatsApp безопаснее Telegram?
По сути, с точки зрения архитектуры, да, сквозное шифрование надежнее транспортного. Но на практике, уязвимости всплывали у каждого мессенджера хотя бы раз.

Кроме того, шифрование канала не гарантирует полную безопасность. Метаданные, незашифрованные бэĸапы, зараженное устройство, где переписку читают до всяĸого шифрования – все это выносит атаку за пределы криптографии.

Ну и стоит помнить, что ни один вид шифрования не защитит вас от перехода по фишинговым ссылкам или добровольной передачи личной информации мошенникам. Так что будьте бдительны и следите, кому вы доверяете свои данные. Всем добра.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Ну что, открывайте шампанское – мы это сделали (теперь у нас есть патент)!

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Иллюзия безопасности

А помните, как в 2016 году все (ладно, не все) смеялись над Цукербергом и называли его паранойиком за то, что он заклеивает скотчем камеру и микрофон своего макбука?

На самом деле, слежка через камеры – это не такая уж и городская легенда, а скорее реальная возможность для атаки. Еще со времен нулевых трояны удаленного доступа (RAT) умели включать веб-камеры по запросу хакера. На теневых форумах того времени существовал целый рынок, где доступ к взломанным компьютерам продавали пачками (camfecting). Делалось это с двумя конкретными целями: подсмотреть за человеком (ради удовольствия) или шантажировать (ради денег).

Один из самых громких случаев произошел в 2010 году в США, когда школьный округ выдал ученикам макбуки с «противоугонным» софтом, в результате чего были сделаны десятки тысяч фотографий школьников в их личных комнатах и спальнях. Дело закончилось скандалом и судом. После этого в СМИ все чаще стали всплывать мнения о том, что заклеивать камеру – это не всегда про паранойю, а все-таки еще и про безопасность.

Обычно в этом споре главный контраргумент звучит так: зачем переживать, ведь камера не сможет включиться без светового индикатора, и я все равно замечу, что меня снимают. Ну правда?)

Во-первых, на части ноутбуков индикатор камеры управляется программно: прошивкой или драйвером.
Еще в 2013 году была исследована потенциальная атака iSeeYou. На макбуках старых поколений можно было перепрошить контроллер камеры и снимать с погашенным светодиодом.

А во-вторых, даже учитывая, что на современных Mac светодиод соединен с камерой аппаратно, есть важный момент – горящий индикатор надо успеть заметить. Для кадра достаточно доли секунды.

Ну и еще один важный момент, который нужно держать в голове. Если в вашей машине сидит зловред, у которого хватает прав включить камеру, то у него есть доступ и к микрофону, экрану, файлам, паролям и перепискам. А зачастую разговоры и переписки содержат намного больше информации для шантажа, чем фото вашей спальни. Так что наклейка на камере закрывает лишь один канал утечки из десяти возможных.

Так заклеивать камеру или нет?

Да, если хотите себя обезопасить, то заклеивать можно и разумно. Это бесплатная страховка от зловредов, от криво написанных приложений и от собственной ошибки (например, незаметно включившейся камеры во время созвона).

Физика все равно надежнее любого софта. Шторка на камере или отключенная от USB внешняя вебка снимать не будет даже во время взлома. Но не стоит забывать, что помимо ноутбука, мы еще и повсюду носим с собой смартфон, у которого камер даже больше. И однажды я работал с человеком, у которого на его андроид-смартфоне была заклеена стикером каждая камера 😬

А вы заклеиваете камеру на ноутбуке?

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT