Цифровая безопасность – это то, как мы обеспечиваем сохранность своих личных данных, имущества и технологий в Интернете. В начале 2000-х годов среднестатистический компьютерный пользователь и владелец модема чувствовал, что выполнил долг перед самим собой, установив бесплатную версию антивирусной программы.
Сегодня этих мер недостаточно, чтобы оставаться в относительной безопасности. В мире тотальной цифровизации и связанных с нею угроз действуют значительно более сложные правила цифровой гигиены.
Неизменным остается одно: обеспечение безопасности пользователя, в первую очередь, – дело рук самого пользователя.
Когда все только начиналось, взломы личных компьютеров или веб-ресурсов в основном были хулиганством и редко наносили значительный ущерб. Но вид «продвинутых» пользователей, тестирующих Интернет на прочность, эволюционировал вместе со средой.
И пока одни из нас могли полностью потерять ориентир на виражах развития компьютерных технологий, другие изучали все тонкости и уязвимости системы.
Современный компьютерный взломщик – это совсем не озорник и пакостник. Так называемые «черные хакеры» – это изощренные преступники, перед которыми стоят конкретные задачи, связанные, например, с личным обогащением.
Для этих целей они стремятся получить доступ к конфиденциальной информации, установить удаленный контроль над компьютером или сайтом или полностью заблокировать доступ к ним.
Даже если сайт или компьютер не представляет никакого интереса с точки зрения финансовой наживы, он может стать объектом атак новичков в «профессии», оттачивающих свои навыки на плохо защищенных ресурсах.
Иногда взломщики пытаются пополнить подконтрольные им компьютерные мощности: использовать ваш компьютер для совершения DoS-атак, создания ботнетов, майнинга криптовалют, заражения других компьютеров.
При этом жертвой взлома может пасть не только компьютер и лаптоп, но и смартфон или планшет. Как ожидается, этот ряд будет только расширяться с развитием интернета вещей.
По предсказанию Forbes, к 2025 году в мире будет насчитываться 80 миллиардов различных приспособлений, подключенных к Сети. И каждое может быть однажды скомпрометировано.
Как они это делают
Некоторые схемы нарушения цифровой безопасности не новы, как компьютеры, или стары, как мир. Так, фишинг – это, по сути, древний способ выудить нужную информацию, втершись в доверие.
Мошенники пытаются узнать пароли, PIN-коды или кодовые слова путем подлога. Это может быть фальшивое электронное письмо от банка с просьбой пройти по ссылке или позвонить по телефонному номеру. Обычно это заканчивается необходимостью ввести свой пароль.
Фишинг – пример социальной инженерии создания условий для достижения определенного результата с использованием технологий, а также различных видов манипуляции. В одной категории с фишингом стоят, например, телефонный фрикинг – взлом телефонных сетей и претекстинг – получение конфиденциальной информации с помощью притворства.
Другие мошеннические схемы – изощренные новинки, эксплуатирующие самые мелкие уязвимости в цифровой инфраструктуре, малопонятные простому пользователю.
Bait and switch – метод взлома, переживающий бум на фоне взрывного развития онлайн-маркетинга. Мошенники покупают место для своего рекламного баннера, а при его нажатии пользователь переносится на сайт, где его ждет вредоносное ПО.
Или Сlickjacking – метод взлома, при котором преступник заменяет интерфейс сайта на подложный, таким образом направляя пользователя на враждебный ресурс.
Cookies – фрагменты кода, хранящиеся на компьютерах. Их назначение – облегчать взаимодействие с вебсайтами, поэтому они содержат массу информации о пользователе, что делает их ценным пакетом данных.
Кража cookies – еще один популярный метод нарушения цифровой безопасности. Заполучив эти данные, злоумышленник может, например, выйти в ваши аккаунты в социальных сетях.
Вирусы и программы-вымогатели буквально берут данные пользователя в заложники. Вымогатели получают доступ к ценной информации и блокируют ее до тех пор, пока им не выплачивается выкуп.
Другой вариант такого вымогательства – угрозы обнародовать некую компрометирующую информацию, полученную путем взлома видеокамеры или другим обманным методом.
Масса опасностей подстерегает пользователей беспроводным Интернетом, особенно открытых WiFi-точек в общественных местах. Компьютер с уязвимостями, например, с устаревшей версией программного обеспечения, может завершить свой вояж по беспроводной сети с неприятным «уловом».
Взломщики применяют Fake WAP – создают фальшивую точку WiFi, подключившись к которой пользователь открывает «дверь» в свой девайс.
Snooping and sniffing – это вынюхивание. Взломщик буквально подслушивает и подглядывает, чем занимаются подключенные к незащищенной WiFi-точке пользователи и регистрирует передаваемую их компьютерами информацию.
При этом обнаружить постороннее присутствие практически невозможно. Через незащищенные сети можно запросто подцепить вирус или зловредное ПО всех видов: «троян», «червя», программу-вымогатель и далее по списку.
Основы основ
Приемов для совершения взлома, а также получения доступа к конфиденциальной информации множество. Но, как пишет Rapid 7, это все-таки конечный список. Преступники редко прибегают к кардинально новым методам. Они полагаются на проверенные трюки, известные своей эффективностью.
Поэтому и большинство основных правил, создающих слой защиты вокруг данных онлайн, остались неизменными с ранних дней Интернета. Например, не загружать сомнительный софт.
Если что-то устанавливается на компьютер или смартфон, то это должны быть проверенное программное обеспечение или приложение из официальных источников.
Другая неизменная составляющая обеспечения своей безопасности в Сети – пароли. В 2007 году интернет-пользователю необходимо было иметь дело в среднем с 8 паролями. В 2014 году это число достигло 19, и большинство из них не отвечает самым минимальным требованиям безопасности.
Как пишет How to Geek, “qwerty”, “password” и “12345” продолжают занимать ведущие по популярности позиции среди паролей.
Между тем стандартом на сегодня считается шести- или восьмизначный непредсказуемый набор знаков, среди которых должны встречаться заглавные и прописные буквы, цифры и символы.
При этом многие системы просто-напросто блокируют пароли, вроде “Password1” или “Qwerty123”, которые настойчиво пытаются протащить ленивые пользователи. В идеальном мире юзер не повторяет пароли, поскольку если один его аккаунт будет скомпрометирован, под угрозу попадут и все остальные.
Примерный пользователь, заботящийся о своей безопасности онлайн, использует генератор паролей и менеджер паролей, например, Dashlane.
Резервные копии всего, что дорого сердцу, – еще один нестареющий платиновый стандарт. И пока многие пользователи продолжают игнорировать необходимость создавать бэкапы жесткого диска своего компьютера, ряд девайсов, которым необходимы регулярные резервные копии, пополнился планшетами и смартфонами.
В том, что касается беспроводных сетей, Norton рекомендует придерживаться простых правил поведения:
- держать ПО на своих девайсах обновленным;
- отказаться от функции автоматического подключения к открытым беспроводным сетям;
- не решать в них финансовые вопросы и не вводить какую-либо личную информацию;
- не оставлять WiFi включенным без надобности;
- не подключаться к сетям, не защищенным паролем, и настроить браузеры таким образом, чтобы они подключались к сайтам, используя SSL-шифрование.
В таких случаях в адресной строке http:// сменяется на https://, а сайт помечается как безопасный. В идеале для подключения к открытым точкам эксперты рекомендуют использовать VPN – виртуальные частные сети.
Тем не менее, как предупреждает PC Mag, в сфере цифровой безопасности “серебряной пули” – магического решения всех проблем – нет и вряд ли будет, поэтому основное оружие пользователя – это бдительность и высокий уровень компьютерной грамотности.
Смартфоны и «умные вещи»
Взлом компьютеров – это старый тренд. Новомодные хакерские атаки направлены на подрыв смартфонов. Помимо стандартных программ-вредителей, маскирующихся под благопристойные приложения, все большее распространение получает «серое ПО» (greyware), чуть менее зловредное, но не менее неприятное программное обеспечение.
В легких случаях оно может приносить с собой водопад назойливой рекламы, в тяжелых – передавать третьим сторонам телефонные номера и другую информацию.
По данным Norton, такое ПО может содержать до 55 процентов приложений для Android.
Фишинг для смартфонов называется смишингом. Послания приходят в виде смс, в остальном схема та же. Так что старые добрые правила относительно поведения онлайн распространяются и на смартфоны: по странным ссылкам лучше не ходить, адреса в адресной строке вбивать самому, с финансовыми институтами общаться напрямую по официальным каналам, а также помнить, что обычно банки и подобные им организации стараются всячески избегать такой корреспонденции.
Планшеты зачастую оказываются сравнимы, если не более уязвимы, чем и компьютеры, и смартфоны. Так, недавно Avast Threat Labs опубликовала исследование, согласно которому значительная часть планшетов на Android может быть заражена вредоносным ПО, которое было установлено еще на фабрике.
В основном это гаджеты из более дешевого ряда, не сертифицированные Google.
Avast обнаружила не менее 18 тысяч скомпрометированных девайсов в Германии, России, Великобритании и США, фабричный софт на них содержал ПО для распространения рекламы.
В 2016 году Олег Селаев, разработчик Oracle Labs, написал вирусный твит: «Буква «б» в термине «интернет вещей» обозначает «безопасность», намекнув, что безопасность здесь отсутствует, как и сама буква.
Как ожидается, в будущем взломы «умных вещей» станут все более частыми и опасными. Пока самые громкие «хаки» носят скорее показательный характер.
#internetoftoys or #internetofthreats? Reuben Paul 11 yrs.) tells us at #NLcyber how it is. @ncsc_nl pic.twitter.com/hDstEWlOiZ
– Joost vander Vleuten (@BruJoost) May 16, 2017
Например, демонстрация 11-летнего Рубена Пола в 2017 году. Техасский школьник произвел абсолютный фурор на конференции в Голландии. Он взломал девайсы присутствующих через Bluetooth и превратил их в пульты управления электронным плюшевым мишкой. По словам Пола, в интернете вещей любая игрушка может стать оружием.
Сдвиг компьютерных преступлений в сторону подрыва интернета вещей Gartner предсказывает последние несколько лет, а информация о скандальных уязвимостях и грубых нарушениях основ безопасности в различных девайсах появляется практически ежедневно.
При этом недопустимо низкий уровень защищенности обнаруживается в таких критически важных девайсах, как кардиоимпланты, камеры для мониторинга детских и автомобили.
Третья сторона
Часто даже самому бдительному и опасливому интернет-пользователю ничего не остается, как полагаться на милость и здравый смысл более крупных агентов, которым он вверяет личные данные: банка, социальной сети, благотворительной организации.
Между тем подрывы корпоративной цифровой безопасности вышли на принципиально новый уровень, поскольку ставки здесь как никогда высоки. Размах утечек личных данных пользователей теперь измеряется миллионами аккаунтов и миллиардами по размерам ущерба.
Размах таких нарушений безопасности можно отслеживать в реальном времени. Дата-блог Information is Beautiful ведет практически прямую трансляцию таких утечек по всему миру.
Необходимо также быть готовым к тому, что и сами агенты, получающие наши данные, могут быть не слишком чистоплотны, когда речь заходит о хранении, обработке и передаче информации.
Сам пользователь может бороться с этим, постоянно контролируя свой цифровой отпечаток: по максимуму использовать настройки приватности, делать покупки только на сайтах, использующих SSL, и лишний раз не делиться данными, которые хочется сохранить в тайне.
Но в глобальном масштабе регулирование этих процессов лежит в зоне ответственности правительств и или наднациональных образований.
Путем первопроходца здесь идет Еврокомиссия. Недавно вступил в силу ее наделавший много шума «Общий регламент по защите данных» (GDPR) – попытка передать гражданам Евросоюза больший контроль над тем, кто и для каких целей собирает и хранит их персональные данные.
На подходе другой акт – «Регламент электронной защиты права на личную жизнь», который обещает быть еще более суровым.
Проблема защиты права на личную жизнь действительно очень близко подходит к вопросу обеспечения сохранности размещаемой в Интернете информации. В Сети имеют место разнообразные виды преследований: от кибер-запугиваний до кибер-домогательств.
Новый термин в этом ряду – doxing. Он происходит от слова docs – сокращения английского слова documents и обозначает поиск в открытых базах данных и других источниках личной информации о человеке.
Сам по себе doxing нейтрален и может применяться как с благими намерениями, например, для оценки рисков или бизнес-анализа, так и с целью вымогательств или принуждения.
Эва Гальперин, директор по кибербезопасности фонда Electronic Frontier, считает, что контроль над такими данными – это опять же обязанность самого пользователя: «Люди находят то, что вы уже рассказали о себе сами». Она считает, что doxing может нанести особый ущерб, если человек привлек или планирует привлечь к себе повышенное внимание общественности.
По словам Гальперин, в таких случаях необходимо заранее позаботиться об открытой информации: «Гуглите себя, закрывайте личные страницы, усложняйте доступ к информации о себе. Люди должны знать, какие именно данные о них лежат в открытом доступе».
Помните, что, когда вы размещаете фотографии в Instagram, пишете посты в Facebook, рассказываете в Twitter о своем местонахождении, кто-то может взять эту информацию, поместить в некий контекст и – раз! – вы стали жертвой доксинга».
Безопасность мыслей
XXI век называют веком мозга и когнитивных наук. И это обстоятельство также может быть чревато последствиями с точки зрения цифровой безопасности.
Фальшивые новости считаются одной из самых серьезных новых угроз свободе слова. Но, по мнению некоторых экспертов, это и проблема цифровой безопасности.
Мошенническая деятельность здесь может быть не связана с прямым воровством, но фальшивые сенсации и сообщения могут помогать злоумышленникам накручивать трафик, рейтинги в поисковых системах, привлекать рекламодателей и заманивать пользователей в ловушки фишинга и других схем.
Более того, все чаще высказывается мнение, что целенаправленная дезинформация похожа на «взлом» мышления, когда знания о когнитивных особенностях мозга в сочетании с технологиями приводят к манипуляциям общественным мнением и сознанием, последствия которых могут оказаться самыми непредсказуемыми.
Дэнни Роджерс, основатель Tebium Labs и специалист по «теневому Интернету», считает самым успешным в истории компьютерным взломом события, предшествовавшие президентским выборам в США в 2016 году.
Тогда в ведущих социальных медиа через фейковые аккаунты велась масштабная кампания по дезинформации. По мнению Роджерса, мы должны начать воспринимать фальшивые новости как атаку на целостность данных.
Это позволит нам эффективно противостоять дезинформации, поскольку мы сможем задействовать против нее весь тяжелый арсенал методов обеспечения цифровой безопасности.