​Скажи мне, кто твой продакт, и я скажу, кто ты

Наткнулся тут на одно исследование IT-рынка в разрезе позиции продакт-менеджера. Свёрстано оно отлично и удобно смотреть даже с телефона. Вопросы задаются интересные и действительно полезные для тех, кто это исследование будет потом читать.

Советую глянуть не только продактам, а всем, кто связан с IT, так как можно накладывать некоторые вопросы с ответами и на свою специальность/сферу. Исследование также будет полезно тем, кто сейчас пытается сменить работу в РФ-компании на зарубежную. Более того, так как продакты неразрывно связаны с бизнесом, это будет полезно вообще всем тем, кто занимается управлением, развитием и масштабированием любых процессов.

Насколько я понял, ребята из devcrowd регулярно собирают аналитику и делают рисерчи по разным областям/профессиям в IT, публикуя их потом на своем сайте. Так что вэлкам.

#Полезное

Твой Пакет Безопасности

​Кибергигиена на художественном конкурсе

А мы продолжаем нашу рубрику с социальной инженерией в Телеграме. На этот раз злоумышленники заходят через уже взломанные аккаунты из вашего списка контактов. Они массово рассылают сообщение с наивной просьбой «проголосовать за рисунок ребёнка» на местном художественном конкурсе (скрин прикреплю к посту).

В сообщении будет ссылка для голосования, после перехода по которой вас попросят ввести номер телефона. Затем нужно будет подтвердить его одноразовым кодом. По итогу вас выкинет из вашего телеграм-аккаунта, который уже будет под контролем злоумышленников.

Будьте осторожны, особенно со встроенными кнопками или внешними ссылками.

#Кибергигиена

Твой Пакет Безопасности

​Apple сдаёт позиции?

Судя по официальной информации от Bloomberg, Apple всё таки разрешит пользователям своих устройств скачивать приложения в обход официального магазина приложений AppStore. Это была одна из ключевых особенностей, на которой строилась безопасность яблочной операционной системы. В отличие от маркетплейса приложений на Android, в AppStore намного больше контролей и механизмов безопасности, которые ограждают обычных пользователей от вредоносных приложений, вирусов и прочих опасностей.

Всему виной вступление в силу закона Евросоюза «О цифровых рынках», созданного во имя здоровой конкуренции. А несоблюдение новых правил грозит штрафом в размере 10% от годового оборота компании. Кроме того, потерять европейский рынок для Apple будет очень болезненно.

Но я предлагаю взглянуть на ситуацию объективно, выделив её плюсы и минусы.

Плюсы от снятых ограничений:
- Джейлбрейк практически обесценится.
- Можно будет использовать легальные и безопасные приложения, которые не прошли проверки AppStore по другим критериям (например, санкционные приложения).
- Разработчики больше не будут тратить лишние силы и время на прохождение проверок при публикации своих приложений.
- Разработчики не будут отдавать комиссию при оплате подписок, покупке товаров внутри приложений. А пользователи эту комиссию не будут платить, что сделает услуги дешевле.
- Можно будет не пользоваться новой функциональностью и приложениями, не прошедшими проверки от Apple, тем самым не подвергая себя лишней опасности.

Минусы от снятых ограничений:
- Apple будет вынуждена тратить лишние ресурсы на внедрение новой функциональности в свежих iOS/iPadOS, экономя тем самым на других полезных фичах.
- Даже если не скачивать приложения в обход AppStore, многие ограничения всё равно уже будут ослаблены в операционной системе, что создаёт бреши в безопасности.

Подытожу тем, что лично я крайне не рекомендую вам устанавливать приложения из сторонних источников, даже когда у вас появится эта возможность.

#НовостьДня

Твой Пакет Безопасности

​​Децентрализации много не бывает

Под конец 2022 года сообщество TON, о котором мы уже говорили с вами в другом посте, выпустило TON Connect 2.0. Для большинства людей это скорее минорная новость, если ее вообще кто-то и заметил. Если кратко, то был обновлен открытый стандарт для безопасного входа (при помощи криптокошельков) в интернет-сервисы без логинов и паролей.

По сути, теперь это стало работать для большего количества сервисов на базе блокчейна TON. Добавили поддержку мобильных и десктопных приложений, ботов Telegram и других dApps. Какого-то ощутимого прорыва не случилось, но то, что комьюнити TON продолжает развивать свою платформу – не может не радовать.

Кажется, что эта криптовалюта только начинает набирать обороты и её ждёт великое будущее, особенно, с учётом синергии с таким проектом, как Telegram.

(Данная информация не является индивидуальной инвестиционной рекомендацией)

#НовостьДня

Твой Пакет Безопасности

​Илона Маска взломали?

Вчера стало известно, что в сеть утекла база электронных адресов пользователей социальной сети Twitter.

Хоть утечка и достаточно масштабная (235 млн уникальных акаунтов), ничего сверхъестественного не произошло. Во-первых, были слиты только имейлы с привязкой к пользователям, а на основе этой информации мало что можно сделать, помимо потугов социальной инженерии и небольшого перебора. Во-вторых, данные были слиты еще в 2021 году (но опубликованы позже) при помощи уязвимости, которая уже закрыта. И да, Илон Маск тут не причем, так как он пришёл в Твиттер позже.

Само собой, шумиха всё равно поднялась, стоимость акций компании может пошатнуться, а регуляторы разных стран теперь будут пристально следить за действиями компании и ее руководства – с этим уже ничего не поделать. Ну а рядовые пользователи Твиттера могут и дальше спокойно продолжать пользоваться этой социальной сетью, держа в голове тот факт, что в мире нет ничего на 100% безопасного.

#НовостьДня

Твой Пакет Безопасности

​Роскомнадзор не всегда вредит

При собеседовании на различные позиции в кибербезопасность мне часто давали кейс по проработке требований при трансграничной передаче персональных данных. Тема достаточно скользкая, и в ней есть много нюансов, с помощью которых можно легко завалить кандидата. Более того, здесь действительно есть достаточное количество рисков и опасностей, с точки зрения ИБ и законов разных стран.

Так вот, законодательство РФ в этом вопросе не стоит на месте и регулярно пытается сконтролировать подобные действия компаний в части передачи данных. Так, например, в сентябре 2022 года в силу уже вступили некоторые поправки соответствующего закона. А в марте 2023 года компании также обяжут уведомлять о намерении передать персональные данные клиентов за рубеж.

Поправки важные (да, РКН иногда приносит пользу), так как лично мне хотелось бы знать, куда и какие именно мои данные передают, а главное – для чего. Кажется, что это может сделать обмен данными между компаниями более прозрачным для клиентов, а некоторые компании это может и вовсе остановить, если ранее они делали это (передачу) не совсем согласованно и обоснованно.

Было бы отлично уведомлять клиентов о любой передаче их данных, вне зависимости от региона получателя.

#НовостьДня

Твой Пакет Безопасности

​Проснись уже, самурай

В одном из прошлых постов мы с вами уже обсуждали ChatGPT, где я высказал свои опасения о том, что эту нейронную сеть скоро могут начать использовать с целью взлома и проведения кибератак. Так вот, это будущее уже наступило.

На форумах даркнета уже начали обсуждать и публиковать вредоносный код, сгенерированный при помощи ChatGPT. Теперь злоумышленникам и новоиспечённым хакерам даже не нужно учить языки программирования, чтобы создавать шпионское ПО, шифровальщиков или червей.

Фишинговых креативщиков теперь тоже можно заменить, так как ChatGPT виртуозно формулирует тексты и для фишинговых писем.

Ребята из Checkpiont (одна очень известная израильская киберконтора) проверили, действительно ли эта нейронная сеть способна на такие ужасные вещи, и да, это так. Добро пожаловать в новую реальность, господа и дамы.

#НовостьДня

Твой Пакет Безопасности

​Кибервойну никому не выиграть

Если вдруг вам показалось, что все кибератаки в мире направлены сугубо на Россию, то вы заблуждаетесь. РФ входит в ТОП стран, откуда исходит больше всего кибератак. Всё СНГ также славится не только количественными показателями, но и качественными, поэтому участники нашего киберкомьюнити регулярно мелькают в сводках новостей (раз, два, три).

Гордиться такими достижениями я бы точно не стал, так как это, как миyимум, привлекает внимание хакерских группировок из других стран. Плюс к этому, в результате кибератаки, в любом случае, есть пострадавшие. Более того, зачастую, они не имеют вообще никакого отношения к изначальному конфликту и просто становятся разменной монетой.

Так вот, хоть в наших СМИ и не освещаются киберинциденты, вызванные нашими хакерами, мир их всё равно обсуждает. В даркнете достаточно тесно, поэтому многие умельцы совершают атаки осознанно и совместно, порой выбирая своей целью не просто компании или предприятия, а целые государства. Так, например, молодая пророссийская группировка NoName057(16) недавно атаковала госаппарат Польши и успешно положила их сайт, всего лишь при помощи своего телеграм-канала. При этом, кто-то другой, в это же время, поднял фишинговый сайт под доменом gov.pl с целью кражи платёжных данных пользователей. А некоторые сервисы государственного аппарата этой страны находятся под нагрузкой до сих пор.

И это всего лишь одна страна и один случай. Кибератаки происходят каждую минуту, каждый день, во всех странах мира. Эту войну, к сожалению или счастью, никому и никогда не выиграть. И гордиться тут нечем.

#Мнение

Твой Пакет Безопасности

​Мобилизация телеграм-аккаунта

Наверняка все вы уже наслышаны про фейки о второй волне мобилизации в РФ. Так вот, злоумышленники и здесь не остались в стороне, воспользовавшись новым инфоповодом.

Схема следующая (ничего нового) – вам приходит личное сообщение в Телеграме от человека из вашего списка контактов со следующей формулировкой "Список людей, которые будут мобилизованы 1-3 февраля – вредоносная ссылка".

Сообщение может выглядеть как пересыл из телеграм-канала или иметь немного другую формулировку, но сути дела это не меняет. Перейдя по ссылке, вас перебросит на страницу авторизации в Телеграме, и после того, как вы войдёте в свой аккаунт, вы сразу же потеряете к нему доступ.

Аналогичным способом было угнано уже много телеграм-аккаунтов и заражено немало устройств (когда пересылали базы утечек клиентских данных) . Поэтому, если вам придёт подобное сообщение со ссылкой или файлом – просто игнорируйте.

Будьте начеку и не поддавайтесь панике.

#Кибергигиена

Твой Пакет Безопасности

​Утекло или не утекло – вот в чём вопрос

Мы с вами уже обсуждали утечки данных в нескольких постах ранее (раз, два, три, четыре), но наверняка вам интересно – а слиты ты ли именно ваши данные? И если да, то какие и откуда?

Так вот, это можно легко проверить. В мире кибербезопасности есть такой персонаж – Трой Хант. Он создал сервис Have I Been Pwned?, который позволяет пользователям увидеть, была ли скомпрометирована их личная информация. Вы вводите адрес электронной почты или номер телефона, а в ответ получаете информацию о том, из каких источников утекали ваши данные и какие именно (например, пароль, дата рождения, имейл, пол, номер телефона, геолокация и прочее). Например, одна из моих электронных почт была замечена в базе сливов целых 5 раз.

Есть еще один сервис от самой Mozilla – Firefox Monitor, в котором также можно проверить ваши данные и прогнать их по всем сливам.

Если вы узнали, что ваши данные также были скомпрометированы, то стоит сменить все пароли, а также задуматься над дальнейшим использованием того или иного сервиса. И, само собой, не используйте один и тот же пароль в разных приложениях, сайтах и на прочих ресурсах.

#Полезное

Твой Пакет Безопасности

​Квантовые проблемы

На днях увидел новость о том, что в Японии начали продавать квантовые компьютеры обычным людям без регистрации и СМС. И кажется, что это большая проблема.

Квантовые компьютеры это новый виток эволюции в компьютерной инженерии, позволяющий моделировать и вычислять огромные массивы данных в короткие сроки за счет молниеносного перебора множества значений (можно почитать тут и тут). Но за благами, которые несёт эволюция, всегда есть и побочные/негативные эффекты.

Речь об алгоритмах шифрования. Если кратко, то любой алгоритм, даже самый стойкий, можно взломать – вопрос лишь в целесообразности затраченных вычислительных ресурсов и времени. Чаще всего взлом алгоритма упирается в то количество комбинаций, которое мы можем перебрать за единицу времени. Так вот, с приходом в массы квантовых компьютеров, у злоумышленников может появиться золотой ключ, который будет открывать любую дверь за считанные секунды.

Как только квантовые компьютеры появились (они были дорогими и их нельзя было купить на Амазоне), некоторые алгоритмы шифрования сразу же были выведены из оборота, так как их взлом больше не представлял из себя ничего сложного. Да, это не последний рубеж обороны, и от перебора можно защититься дополнительными контролями, но ложек дёгтя в бочке безопасности явно прибавилось.

#Мнение

Твой Пакет Безопасности

​Модный приговор взлом

На днях хакеры взломали аккаунт (одной заблокированной в РФ социальной сети) российского бренда одежды 2MOOD. Само собой, они уже потребовали выкуп в размере 1 млн. рублей у официальных владельцев за возврат их профиля. Интересно в этой истории то, что злоумышленники не просто забрали себе этот аккаунт, а устроили там "самую настоящую" распродажу одежды по выгодным ценам.

Само собой, продавать они никому ничего не будут, ведь оплату они теперь принимают только через директ переводами на карту. Но ведь у этого бренда одежды наверняка есть сайт, через который законные владельцы компании могут и дальше реализовывать свой товар, подумали вы. Но хакеры тоже об этом подумали, поэтому нагрузили сайт и тем самым положили его.

Под контролем у злоумышленников на данный момент находится еще и почта этой компании, через которую они активно рекламируют свою "распродажу". Более того, они грозятся взломать и остальные ресурсы, принадлежащие бренду (спойлер первый – если бы они могли это легко сделать, они бы это уже сделали).

Владельцы компании собираются обратиться в правоохранительные органы (спойлер второй – им это едва ли поможет). В любом случае, платить выкуп или соглашаться на любые условия злоумышленников будет фатальной ошибкой. Взломанный аккаунт надо просто банить, почту менять, а сайт переносить и переподнимать. Да, это повлечет за собой финансовые издержки, но такова цена несоблюдения кибергигиены.

#НовостьДня

Твой Пакет Безопасности

​Тотальный контроль

Эту тенденцию уже не остановить, поэтому остаётся только комментировать и жить дальше. С сентября 2023 года все службы заказа такси в РФ будут обязаны дать ФСБ доступ ко всем своим системам и базам данных, в которых хранится и обрабатывается информация о заказах пользователей. Последствия, думаю, очевидны – теперь государство будет знать обо всех ваших передвижениях, преступник вы или нет.

ФСБ планирует сделать это автоматизированно, при помощи удалённого доступа к данным. Кажется, что в ближайшие годы, как и с данными от операторов связи (обсуждали это в одном из прошлых постов), никто так и не научится делать это “как надо”, правильно структурировать и использовать эту информацию. Но настанет тот день, когда спецслужбы справятся с этой задачей.

Если вы живете мирной жизнью и не нарушаете закон, то вам и не должно быть дела до того, как подобные службы оперируют этой информацией. Но помните, что законы меняются, и ранее безобидные действия граждан могут оказаться преступными.

#Мнение

Твой Пакет Безопасности

​Двойная порция сливов

Во всех источниках уже раструбили новость о сливе данных из mail.ru, который вчера в теневых форумах выложили проукраинские хакеры из NLB. Да, слив действительно стоит внимания, так как утечка была массовой (3,5 миллиона строк в первом дропе), но тут интересно другое.

Во-первых, не совсем понятно, почему это называют сливом mail.ru, ведь компания уже два года как пережила ребрендинг и стала VK. Понятно, что эти данные относятся к домену mail.ru, но всё-таки, правильно было бы это трактовать как утечку из VK. К тому же, утекли не самые важные данные, помимо связки электронного адреса и номера телефона.

Во-вторых, мало кто заметил не менее важную и критичную утечку данных в сервисе reg.ru. В этом сливе, помимо обычных данных, дропнули еще и пароли пользователей. Более того, reg.ru, судя по всему, заботится о своей репутации (если это можно так назвать) и пока зачищает информацию об утечке в СМИ.

Обе компании уже начали оправдываться, но каждая по-своему. Мэйл/ВК заявил, что "Выложенные в открытый доступ данные почтового сервиса Mail.ru связаны с утечкой стороннего сервиса в начале 2022 года, сам сервис защищен", умно, но все всё понимают. А вот reg.ru, судя по всему на время расследования, решил вообще положить часть своих сервисов с очень интересным и комичным дисклеймером (фото приложу ниже).

Ну пока пользователям сервиса reg.ru "везёт", кибервойна продолжается, дамы и господа.

#НовостьДня

Твой Пакет Безопасности

​Хранилище бесконечности

На днях TON (это всё тот же блокчейн команды Telegram, который продавал NFT-номера на базе платформы Fragment) снова навёл шуму, представив своё собственное облачное хранилище. Согласно всем текущим трендам, оно децентрализованное, надёжное и безопасное.

Более того, с помощью этого сервиса нам обещают обмен и хранение файлов абсолютно любого размера. В последнее верится с трудом, иначе я уже предвижу эксплуатацию новых ZIP-бомб.

Так вот, лично мне кажется, что это хранилище не взлетит без дополнительных удобных фич, синергии с другими сервисами и вливаний тонны денег в маркетинг. Вспомните тот же сервис MEGA, который предлагал хранить у себя терабайты данных бесплатно. Но все всё равно пользовались Яндекс Диском и Google Drive с хранилищем на смешные 50-70 ГБ. Решает не щедрость предложения, решает экосистема, маркетинг.

#НовостьДня

Твой Пакет Безопасности

​Киберподкасты

Собрал тут список подкастов по IT и кибербезу на доступном языке, которые я сам регулярно потребляю. Думаю, что будет полезно всем, кто заботится о своей безопасности и хочет быть в курсе последних новостей и трендов из мира IT.

- Смени пароль! – отличный подкаст от специалистов из Лаборатории Касперского
- Hack me, если сможешь – более профессиональный подкаст для тех, кто уже в IT
- Люди и код – подкаст, в котором ребята из Скиллбокса обсуждают IT (и всё, что с ним связано) на доступном языке
- Podlodka Podcast – флагман среди подкастов, в котором каждый найдёт для себя (как минимум одну) интересную тему
- Техток – молодой подкаст от ребят из МТС, в котором затрагиваются максимально разнообразные и интересные большинству темы

Это далеко не все интересные подкасты из моего арсенала, так что на пару постов еще хватит.

#Полезное

Твой Пакет Безопасности

​Партия гордится тобой

Только мы успели с вами обсудить проблему появления квантовых компьютеров, как китайские хакеры уже нашли способ взлома алгоритма шифрования RSA. Новость кажется рядовой, так как каждый день что-то да взламывают. Но проблема состоит в том, что на шифровании RSA держится подавляющая часть всех интернетов.

Мир кибербезопасности прекрасно понимал, что этот момент настанет, но не так быстро. Аналитики давно уже посчитали мощность квантового компьютера, необходимую для взлома этого алгоритма, исчесляемую сотнями тысяч кубитов (единица измерения мощности). Но китайские умельцы нашли способ сделать это в тысячу раз проще – им потребовалось всего 372 кубита. И да, такой квантовый компьютер уже существует.

У рядовых хакеров на дорогую квантовую игрушку денег, может быть, и не хватит, но мировые державы себе такое удовольствие позволить точно смогут. Хочется уже уже какого-то прорыва в сфере криптографии, чтобы надолго забыть о проблемах с шифрованием и его взломами.

#НовостьДня

Твой Пакет Безопасности

​Улыбаемся и машем лицом

Думаю, что все вы знаете и помните о новшестве в московском метрополитене, согласно которому ваша внешность теперь постоянно считывается при использовании входных/выходных турникетов. Многим это не понравилось, так как за обличием удобства и отказом от проездных карточек скрываются огромные риски утечки чувствительной информации о жителях мегаполисов.

Все помнят многократные взломы и сливы из государственных систем, обрабатывающих и хранящих конфиденциальную информацию, а точнее, персональные данные пользователей. При помощи биометрических данных можно сделать много неприятных и незаконных вещей уже сейчас, не говоря уже о том, что с ними можно будет сделать в будущем. Номер телефона, имя или паспорт можно легко поменять, а вот с внешностью и голосом всё немного сложнее.

Так вот, под конец 2022 года вышел закон, согласно которому теперь нельзя никого принуждать к сдаче биометрии. Более того, он запрещает дискриминацию в отношении личностей, отказавшись от сбора подобных данных. Своё согласие (на обработку биометрии) теперь также можно будет отозвать через Госуслуги. И это просто отлично, ведь людям возвращают их законные права.

Я уверен, что когда-нибудь мир будет готов к тому, чтобы везде использовать свою внешность, голос и отпечатки пальцев для того, чтобы удобно потреблять блага этого мира , но не сейчас.

#НовостьДня

Твой Пакет Безопасности