Как и всегда, закрепляем неделю воскресным дайджестом.
Всем хорошего вечера!

Жизненный мем, на котором каждый сможет найти себя – ссылка

Как одна корпорация зла использует наши данные и бережёт свои – ссылка

Продолжаем историю про капчу и узнаём, как ее используют злоумышленники – ссылка

Пост для тревожных автомобилистов о том, как за ними наблюдают и взламывают через АлиЭкспресс – ссылка

Смотрим, почему опасно скачивать из магазинов приложений что ни попадя и зачем пользоваться только официальными клиентами – ссылка

Анонимный опрос, который всем (обязательно) нужно пройти – ссылка

Твой Пакет Безопасности

Сразу скажу, что Линукс – не панацея 🤷‍♂️

#КиберМем

Твой Пакет Безопасности

​История длиною в 2,5 месяца

Около недели назад вышла очередная новость по поводу тех самых оборотных штрафов (которые мы не раз обсуждали, например тут) за утечких наших с вами персональных данных. Не стал сразу писать пост на эту тему, так как думал, что внесут еще какие-то правки из-за возмущения масс, но нет, ничего не произошло, поэтому поехали разбираться.

Как и обсуждалось ранее, для компаний, которые слили наши данные, будут сразу введены льготные условия по штрафам за это деяние. Если компания компенсирует ущерб своим жертвам (всем или какому-то проценту – не ясно), то к ней будут применены льготные условия. Из интересного – сам алгоритм этой компенсации и сроки, в которые эту выплату можно таки получить.

- Сначала компания сама должна будет уведомлять жертву об утечке ее чувствительных данных (срока нет).
- Затем, если жертва захочет получить компенсацию (ну а вдруг нет), то она должна будет подать соответствующую заявку через Госуслуги (15 рабочих дней).
- После этого (начнется стадия торга) компания рассмотри ваше заявление и предложить свой размер (общий для всех пострадавших) компенсации (20 рабочих дней).
- Потом вы либо принимаете, либо отклоняете это предложение (20 рабочих дней).
- И финал – если подавляющее большинство согласится с размером компенсации, то компания её всем выплатит (5 рабочих дней).

Итого, у нас получается 60 рабочих дней, не считая того периода, который пройдет между самой утечкой и моментом уведомления жертвы о ней. На минуточку – это около 2,5 месяцев ожидания, торга и подач заявлений на Госуслугах. И да, это может быть спойлером, но у меня есть предчувствие, что все будут соглашаться с размером предложенной компенсации, ибо, в противном случае, жертвы вообще ничего не получат, а компания просто заплатит большой штраф не в их пользу.

Плюс к этому надо помнить, что утекли уже почти все наши данные, поэтому доказывать вред от новых утечек будет крайне сложно (но возможно). Но если мыслить позитивно, то хоть какая-то компенсация лучше, чем её отсутствие. Так и живем.

#НовостьДня

Твой Пакет Безопасности

​Ты мне угрожаешь?

Судя по количеству репостов прошлого душного поста про трушный кибербез (вот этого), безопасников тут всё еще много, и такой контент пользуется популярностью (аж 118 репостов!). Поэтому предлагаю вдохнуть всем, кто пришел почитать что-то бытовое и задержать дыхание буквально на один пост. Потом можно будет выдохнуть.

Про то, как защищать облака и строить безопасную архитектуру мы с вами недавно уже поговорили, поэтому сегодня обсудим то, с чего всё и должно начинаться. А точнее, с модели угроз. Это именно то, на базе чего и нужно формулировать и выдвигать требования, а не делать это вслепую, с пенного рта доказывая бизнесу, что "ну просто так надо, так делают все". В общем, вы всё поняли, поехали.

Здесь можно почитать про методологии – раз, два

Вот тут можно найти подсказки для создания модели угроз для мобильных приложений – раз, два

Вот тут аналогичная штука, но уже для облаков – ссылка

Тут можно наглядно посмотреть, как модель угроз буквально отрисовывается в формате Майнд-мапа (удобно и красиво) – ссылка

А вот тут вообще целый альманах полезных ресурсов для построения и улучшения вашей модели угроз – ссылка

Ну и на финал – бонус в виде готового плейбука по созданию модели угроз – ссылка

Всё, выдыхайте. А кибербезопасники и айтишники – скорее бегите репостить это своим друзьям, коллегам и интересующимся. Нам надо бить рекорды!

#Полезное

Твой Пакет Безопасности

​Как в стране с VPN-ом боролись

Ну что, дамы и господа, запасайтесь VPN-приложениями впрок, потому что у нас тут подъехала новая инициатива, связанная с удалением из магазинов (AppStore, Play Market, само собой RuStore и прочих) всех VPN-клиентов. Думаю, что ребята сначала вычистят всё, что содержит в своем названии или описании те самые три заветные буквы, а потом уже будут дочищать остатки. Начнется всё это 1 марта 2024 года.

И да, судя по всему, блокировка VPN-протоколов уже выкручена на максимум, поэтому мы потихоньку переходим к следующей фазе. После этого, скорее всего, подобные меры коснутся не только мобильных устройств, но и ПК, браузеров (а точнее их плагинов) и вообще всего, до чего сможет дотянутся РКН.

Само собой, инициатива подаётся под соусом недопуска граждан к экстремистским приложениям (ну вы сами поняли, о каком из них идет речь). Ну а мы с вами уже научены опытом с санкицями и банковскими приложениями, поэтому вы знаете, что делать.

#НовостьДня

Твой Пакет Безопасности

​Как тг-админов СКАМят

Если среди нас есть владельцы Телеграм-каналов или их админы, то этот пост для вас. Ну а всем остальным думаю тоже будет полезно узнать, что проблемы с интернет-мошенничеством касаются далеко не только подписчиков тг-каналов и участников аналогичных чатов.

Как вы все уже успели заметить, в Телегаме появилась новая функция публикации историй (как в одной другой популярной социальной сети). Ну а мы с вами уже уяснили одно правило, что любая новая функция влечет за собой новые схемы мошенничества. Так вот, публиковать истории можно только в том случае, если канал собрал необходимое количество "бустов" от своих премиум-подписчиков. Все каналы тут же начали просить отдать эти "бусты" по специальным ссылкам, но большим каналам набрать этот минимум оказалось не так уж и просто (даже после балансировки процента "бустов"). Это и вызвало появление опции накрутки голосов за счет ботов с оплаченной премиум-подпиской.

Деятельно эта не совсем легальная, а значит никак и ничем не регулируется. По итогу некоторые поставщики этой нелегальной услуги начали банально продавать воздух, получая деньги от отчаявшихся админов. Делают они всё по-умному – через однодневных ботов, либо через подставные тг-аккаунты. Владельцев каналов просят либо ввести данные карты в специальных формах, либо сделать денежный перевод на необходимую сумму. Итог, как и всегда, очевиден – деньги потрачены, услуга не оказана, а пожаловаться-то и некому.

К слову, я пока даже не разбирался, где эту ссылку для сбора "бустов" брать. Ну и да, что публиковать в историях канала я тоже пока не придумал, поэтому, если у вас будут идеи, то накидывайте в комментарии. Всем добра.

#Мнение

Твой Пакет Безопасности

​Сгенерированный заголовок

Сегодняший пост предлагаю посвятить теvе угасающего хайпа искусственного интеллекта. Ажиотаж вокруг этой темы начинает спадать, но, тем не менее, ИИ успел запустить свои щупальца во многие сферы нашей жизни, и, более того, продолжает это потихоньку делать. Так что настало время обсудить, что там нового придумали эти кожаные мерзавцы.

Начнем с японцев, которые продолжают жить в своем 3023 году. Там полицейские начали использовать ИИ для предотвращения преступлений (про Окулус помните?) в интернетах. В целом, ничего сложного, теперь им просто проще будет выявлять провокационные и заведомо опасные фрагменты текста с учетом контекста, на что раньше уходило слишком много времени и ресурсов. Видимо, японские ребята думают, что об анонсах кибератак часто пишут на сайтах и открытых форумах, но, к сожалению, это не так. Но вообще, думаю, что подобные системы предотвращения преступлении на базе нейронок будут усовершенствовать и когда-то мы можем дойти до уровня "Особого мнения" (если кто не смотрел этот фильм, то советую).

Еще, я тут пока изучал нейросетевые инфоповоды, наткнулся на немного запылившуюся новость о том, что (внимание) администрация Байдена-Харрис скоро запустит киберсоревнования с искусственным интеллектом (AI Cyber Challenge) для защиты критически важного программного обеспечения. Курировать это мероприятие будут большие дяди, такие как Google, Microsoft и OpenAI. Лично я не могу не порадоваться за то, что в кибербез (а точнее, в AppSec) будет вложено столько сил и денег, что привлечет к сфере еще больше внимания. В общем, радуюсь и надеюсь, что у нас тоже что-то такое когда-нибудь устроят.

Ну и напоследок – новость про то, что Bing (это тот самый поисковик от Microsoft со встроенным ИИ) не ограничивает себя в том, чтобы в своих сгенерированных ответах на вопросы пользователей отображать ссылки на зараженные сайты, файлы и прочие интернет-ресурсы. В общем, доверчивые пользователи могут запросто перейти на вредоносный сайт в поисках ответов на свои вопросы, а Bing будет не против. В целом, ничего нового (что-то подобное мы уже обсуждали тут), нужно просто всегда держать в голове, что в интернетах доверять нельзя даже искусственному интеллекту, который может обучаться на тех же вредоносных данных.

#Мнение

Твой Пакет Безопасности

А вот и жизненный мем от одного хорошего человека на насущную тему.

#КиберМем

Твой Пакет Безопасности

​Аж слюнки потекли

Обычными утечками сегодня уже никого не удивишь, поэтому хакерам приходится идти на крайние меры. Небольшая вводная – есть такой сервис 23andMe, который предоставляет услуги по получению информации о вашей родословной, генеалогическому древу и генетике в целом. Делают они это на основе полученных образцов вашей слюны.

Ну а сама новость заключается в том, что злоумышленники взломали этот сервис и получили доступ к данным миллионов пользователей. И это не просто ироничная история с очередным взломом, так как данные, которые содержатся на этой платформе крайне критичные и личные – информация о состоянии здоровья, фенотипе, генетических связях, фотографии и так далее.

Более того, даже в даркнете не все форумы готовы размещать у себя подобную информацию (слитые логины и пароли пользователей) по разным соображениям. Компания же отрицает инцидент и, судя по всему, не собирается вести переговоры со злоумышленниками. Винить их в этом сложно, а вот во взломе (если он был) – вполне. Ждём, когда протечет еще какая-нибудь биометрия.

#НовостьДня

Твой Пакет Безопасности

​​Так блокируем или не блокируем?

Ну что, все СМИ уже взорвались громкими заголовками (раз, два) о том, как наш любимый РКН тоннами закупает оборудование для блокировки всех зарубежных сервисов. Ну а чтобы новость звучала еще громче, её приправили названиями самых востребованных у нас в стране сервисов, таких как Ютуб, Телеграм и Вотсап. Вдобавок к этому, новостные издания упоминают еще и тотальную блокировку всех оставшихся VPN-протоколов, связывающих нас с другими государствами (внутренние затронуть не должны). В общем, описывается это всё, как тот самый тотальный суверенный чебурнет рунет, который мы уже не раз обсуждали.

Ну а теперь давайте попробуем разобраться в том, что произошло, и насколько это похоже на правду. Всё это началось с провокационной статьи на Инсайдере, сотрудники которого (согласно легенде) получили доступ к неким документам по закупке того самого оборудования. Бóльшая часть статьи состоит из хронологии того, как РКН уже пытался блокировать что-то на территории России, а также из предположений авторов касательно будущих глобальных блокировок. Статья очень большая и подробная, вплоть до указания опредленных моделей, стоимости и количества закупаемого железа. Лично у меня такие вещи только вызывают больше подозрений, так как я примерно понимаю, как подобные документы хранятся и в каком виде.

Еще, я конечно не знаю, откуда у этого СМИ появился доступ к таким материалам, но, судя по статье, там явно не пара договоров на закупку, а какие-то пароли, явки полноценные стратегические планы. Ребята даже посчитали, сколько потребуется узлов и единиц блокирующей техники для того, чтобы поднять глухой купол. Ах да, для того, чтобы все нейронные связи точно сошлись в головах читателей, в новостях указывается то, что оборудование для блокировок поставляет китайская компания Huawei (к слову, она правда на такое способна). Это конечно похоже на правду, но как-то непатриотично получается.

Может ли РКН в какой-то момент накопить, закупить, установить и настроить такое количество оборудования, чтобы устроить сетевой блэкаут всей стране? Конечно же может, но нюанс состоит в том, что это колоссальные трудо- и временны́е затраты. Вроде как ни для кого уже не сюрприз, что вероятность тотальной блокировки в какой-то момент станет реальностью, но нужно понимать, что даже если что-то закуплено, то это всё еще нужно развезти по ЦОДам, установить, настроить, протестировать (чтобы вообще всю сеть не положить) и запустить без вреда для необходимых внешних соединений (поверьте, такие есть и будут еще долго). А еще я напомню, что для всех вышеописанных действий нужны люди, причем не самые глупые.

В общем, расслабляемся и живем дальше. Даже если это и правда, то кажется, что ничего нового не произошло.

#НовостьДня

Твой Пакет Безопасности

​Юридическая консультация

Как я и говорил ранее, юриспруденция и безопасность неразрывно связаны. Особенно во времена, когда каждую неделю появляется всё новые инициативы и законы. Так что сегодня предлагаю посмотреть, что из новинок уже вступило в силу с этого октября (и не только), и как это связано с нами.

Начнем со сливок – разглашение персональных данных и информации о рекомендательных алгоритмах. Теперь практически любые сайты и интернет-ресурсы обязаны раскрывать информацию о своих пользователях и о том, как работают их механизмы рекомендаций.

Следующий лот – двухфакторная аутентификация. На Госуслугах она стала теперь обязательным атрибутом входа на платформу. Такое мы одобряем. Думаю, что скоро выйдет закон, который будет все сайты перетягивать на подобную схему. Такое мы одобряем.

Идем дальше. С 21 октября ЦБ сможет напрямую контактировать с МВД в части подозрительных денежных переводов, ну а сами банки, через которые эти переводы были сделаны, смогут временно замораживать подобные транзакции. Надеюсь, что это поможет бороться с мошенниками, а не с оплатой овощей на рынке.

Ну и на финал я приберег для вас инициативу от ФСБ, согласно которой скоро будет расширен перечень информации о пользователях/клиентах, которую сайты и прочие интернет-сервисы (то есть операторы ПДн) должны собирать и хранить. Делать они это должны будут не просто так, а для того, чтобы ведомство смогло оперативно получить доступ к этим данным в случае чего. Ну а хранить надо будет всего-то данные о геолокации и о платежных средствах человека (это в дополнение к перепискам, аудио-сообщениям и прочей информации). В общем, утечки наших данных теперь будут еще критичнее. Так и живем.

#Мнение

Твой Пакет Безопасности

​Статистики пост

Роскомнадзор тут подвёл полугодовые итоги по блокировкам всего и вся в интернетах. За последнее время РКН наделили немалым количеством полномочий (и продолжают наделять), поэтому они научились блокировать то, что раньше не умели и не пробовали (те же впн-протоколы). Помимо этого, рукавицы закона также продолжают сжиматься, поэтому за последние полгода РКН преуспел в этом виде спорта и заблокировал более (!) 850 000 сайтов, что на 85% больше, чем год назад. Думаю, что за следующее полугодие статистика еще подрастет, особенно с учетом того, что теперь им нужно блокировать все интернет-ресурсы, которые так или иначе рассказывают о способах обхода блокировок. Так что "то ли еще будет".

А еще я тут наткнулся на статистику по утечкам, которую РКН подвел пару месяцев назад. Судя по ней, за последние 2 года количество утечек чувствительной информации у нас в стране возросло аж в 40 раз. Судя по этой статье, в 2021 году было всего 4 (!) утечки персональных данных. Там есть еще парочка полезных статистических выводов (кроме капитанского умозаключения про то, что виноваты не только операторы данных, но и хакеры) и цифр, поэтому советую почитать на досуге.

Мем я этот уже использовал, но лучше я найти не смог, извиняйте.

#Мнение

Твой Пакет Безопасности

На заметку ☝️

#КиберМем

Твой Пакет Безопасности