Громадський активіст
БЛОГИ
Сотовые операторы, банки, интернет-магазины и службы такси сегодня знают про нас больше, чем мы можем себе представить. Мы добровольно расстаёмся со своими персональными данными, меняя их на современные блага цивилизации.
Пользуясь приложениями такси, сервисами доставки еды, интернет-банкингами и всем, без чего невозможно сегодня представить жизнь в обществе — мы делимся своими анкетными данными, информацией про связи и информацией про образ жизни, после чего перестаём контролировать дальнейшую судьбу этой информации.
Еще больше данных про нас собирает государство, обладающее, помимо прочего, возможностью ограничивать право граждан на тайну звонков и переписки.
Всю эту информацию, от выписки движений по банковскому счету до прослушки телефона, можно свободно купить на «чёрном рынке», благодаря коррумпированным сотрудникам коммерческих сервисов и государственных органов, что открывает большое поле деятельности для журналистов, хакеров, мошенников, или представителей криминального мира.
Редакция TK Media разбиралась, как работает «черный рынок данных» и что нужно делать, чтобы защитить право на приватность в цифровую эпоху.
О существовании подобной практики говорят данные судебного реестра и многочисленные объявления в интернете. Сотрудник Новой Почты может продать ваши анкетные данные (ваш адрес, номер телефона или данные о пользованиях сервисом) мошенникам за сумму от 100 до 500 гривен, а менеджер банка передать ваши анкетные данные, или выписку по счёту, злоумышленнику за вознаграждение от 500 гривен до 300 долларов, в зависимости от запрашиваемых данных, личности клиента и связанных с этим рисков.
Помимо точечных запросов по конкретному лицу, в сети можно приобрести базы с анкетными данными клиентов банков, интернет-магазинов, почтовых сервисов, торговых площадок и даже государственных органов. Поэтому не удивляйтесь, что службы такси и интернет-магазины знают ваш номер телефона, засыпая рекламным sms-спамом, а Михаил Поплавский приглашает вас на свой юбилейный концерт.
Стоимость базы зависит от количества клиентов, ее актуальности, амбиций продавца и платежеспособности покупателя. В целом, приобрести одну базу в интернете можно по цене от 1000 гривен до нескольких сотен долларов. Для этого не нужно выходить в DarkNet: персональные данные продаются в многочисленных телеграм-чатах.
С вашими личными данными приходится работать менеджерам низкого и среднего звена, занимающим низкооплачиваемые позиции в корпоративной иерархии, в связи с чем легко склоняемых к дополнительному заработку, не требующего значительных усилий. Всё это, наряду с наличием спроса, является благоприятной почвой для того, чтобы торговля личными данными процветала.
В момент, когда вы делитесь своими личными данными с сервисом или пользуетесь его услугами, вы должны учитывать, что ваши данные и история пользования может быть передана третьим лицам.
В ряде случаев мошенникам действительно будет труднее заполучить ваши данные.
Например, если вы являетесь VIP-клиентом ПриватБанка, то обычный менеджер не сможет получить доступ к вашей анкете и выписке. Только менеджер VIP-отделения, или сотрудник Службы безопасности банка смогут иметь доступ к вашим данным, что значительно усложняет работу для мошенников, если у них нет соответствующего «контакта» в организации, повышает стоимость работы для заказчика и влечёт больше рисков для сотрудника банка.
Все, кто имеют доступ к базам данным, содержащих информацию, представляющую ценность. Сотрудник полиции может продавать данные из баз «АРМОР» и «НАИС» — помимо анкетных данных, они могут содержать историю ваших правонарушений и привлечений к ответственности, либо информацию об автомобилях и проверки номерных знаков. Пограничник, обладающий доступом к базе «ГАРТ», может продавать историю ваших выездов за границу — когда, каким способом, с каким паспортом, с кем и в каком направлении вы покидали территорию Украины. Человек, имеющий доступ к базе данным ЗАГСа может продавать информацию о ваших родственниках и членах семьи. Сотрудник налоговой может продавать данные о ваших доходах, как впрочем и сотрудник Пенсионного фонда. Менеджер банка продавать ваши анкетные данные и выписки со всеми транзакциями по счёту. Сотрудник СБУ может продавать «трафики» соединений по номеру вашего телефона или даже прослушивать его за деньги, а силовик с доступом к базе «Умный город» может следить за вашими передвижениями на авто в режиме реального времени — через систему городских камер.
Вариантов кого могут заинтересовать ваши личные данные много: в самом безобидном случае это могут быть журналисты-расследователи, которые хотят узнать куда вы летаете, получить сумму ваших официальных доходов через данные налоговиков, или анкетные данные ваших родственников, чтобы проверить принадлежащую им недвижимость или автомобили; заинтересоваться вашей частной жизнью может и ревнивый супруг/а, желающий проверить ваши расходы, список звонков или получить данные о ваших местоположениях, чтобы убедиться действительно ли вы ездили в командировку в Днепр, а не летали с любовницей на Бали.
В менее приятных случаях — это могут быть мошенники, собирающие ваши личные данные для аферы; коллекторы, изучающие ваше финансовое положение, намеревающиеся запугивать ваших родственников; или представители криминального мира, рассматривающие вас как потенциальную жертву.
Всех перечисленных лиц, которых могут заинтересовать ваши данные, объединяет одно — они точно не являются вашими доброжелателями.
Любая организация, будь это частный банк, крупный интернет-магазин или государственная спецслужба, состоит из живых людей со своими желаниями, амбициями, пороками и недостатками. О том, что силовики могут пользоваться служебным положением, продавая информацию коммерческим структурам говорят открытые данные судебного реестра и отчеты самих правоохранителей. Например, недавно силовики отчитались о задержании группы лиц, включая действующих сотрудников СБУ, торговавших данными сотовых соединений абонентов. Согласно опубликованным данным следствия, два месяца «прослушки» одного номера стоили 9 тысяч долларов. В июле в ГБР отчитались о задержании сотрудника СБУ: по версии следствия, он продавал «трафики» сотовых соединений по цене от 2,5 до 5 тысяч гривен за выписку за один номер. Несмотря на регулярные новости о задержаниях предприимчивых силовиков, на чёрном рынке данных можно встретить объявления с предложением приобрести выписку по номеру или поставить номер телефона на «прослушку»: проблематика понятна — низкая зарплата правоохранителей, наличие возможности (доступ к информации) и наличие спроса (готовности платить) за неё на рынке.
Человеческий фактор — главная уязвимость любой системы. Малое количество следственных судей, загруженных большим количеством работы, рассматривающих десятки ходатайств в сутки, ограниченных по времени на 24 или 72 часа (срок, в который судья обязан рассмотреть ходатайство, согласно уголовно-процессуальному законодательству) физически не имеют возможности исследовать ходатайство должным образом. В таких условиях рассмотрение и удовлетворение ходатайства следователя носит скорее формальный характер: глупо думать, что судья будет анализировать ходатайство, самостоятельно «офизичевать» номеры телефонов, устанавливать их владельцев и разбираться в их связи с конкретным уголовным производством. Вероятно, судья просто удовлетворит ходатайство, вынеся решение, скопированное помощником с принесённой флэшки прокурора.
Сами же силовики могут «вписывать» нужные номера телефонов в чужие уголовные дела: часто речь идёт об уголовных производствах с квалификацией «терроризм», «госизмена», «финансирование терроризма» и других дел, связанных с общественной или государственной безопасностью.
Кроме того, сами сотовые операторы часто передают данные о выписках правоохранителям без решения суда.
Ваши разговоры могут прослушивать правоохранительные органы, обладающие правом на снятие информации с транспортных телекоммуникационных сетей (до недавнего времени это право было только у СБУ и МВД, а после принятие законопроекта 1009 появилось у НАБУ и ГБР), либо другие лица, обладающие специальной аппаратурой.
Если ваш номер поставлен на «двойку», интересанты могут получать аудиозаписи ваших телефонных разговоров, читать текстовые сообщения и делать это в режиме «реального времени».
Главную ценность иногда могут представлять не ваши разговоры по телефону, а переписки в мессенджерах или содержимое электронной почты. «Прослушка» может помочь получить доступ к вашей электронной почте или аккаунту в социальной сети Facebook, в случае если к ним привязан прослушиваемый номер телефона. В таком случае ваши недоброжелатели смогут провести «сброс пароля» через кнопку «забыл пароль» и «восстановить» доступ к аккаунту от вашего имени, «подтвердив личность», введя одноразовый код отправленный почтовым сервисом или социальной сетью на номер вашего мобильного телефона. Зачастую подобные операции происходят глубокой ночью, когда вы спите и ни о чём не догадываетесь: за это время ваши недруги смогут получить доступ к аккаунту, сделать архив переписок, возможно даже сделать публичное заявление от вашего имени.
В получении перехвата SMS-сообщений заинтересованы и интернет-мошенники, поскольку двухфакторная аутентификация в виде SMS часто установлена как способ подтверждения личности на различных биржах криптовалют. В США жертвами подобных мошенников стали многие крипто-предприниматели, а ущерб в виде похищенных денег с крипто-кошельков оценивается в десятки миллионов долларов. Впрочем, в США мошенники пользуются не услугами спецслужб, а обманом сотрудников операторов сотовой связи, восстанавливая номера телефонов своих жертв используя методы социальной инженерии.
Другой популярный вид деятельности мошенников — порно-шантаж. Мошенники взламывают учётные записи пользователей в социальных сетях, iCloud, выбирая беспечных жертв с низким уровнем защиты аккаунтов, после чего шантажируют публикацией интимных переписок или откровенного фото-, видео-контента. Впрочем, перехват SMS не единственный и не самый простой способ взлома аккаунта.
Для того чтобы защитить свои данные стоит придерживаться нескольких правил.
Привяжите вашу электронную почту, аккаунты в социальных сетях Facebook, Instagram, Twitter, аккаунты в мессенджерах к новому номеру телефона. Этот номер телефона должен быть известен только вам — не сообщайте о нем знакомым, коллегам или родственникам. Вы не должны пользоваться им в повседневной жизни или оставлять, как контактный, при пользовании прочими сервисами — банками, такси или магазинами.
Не стоит вставлять сим-карту с секретным номером в ваш телефон, являющийся для вас основным устройством. По IMEI вашего телефона силовики могут узнать все номера телефона, сим-карты которых когда-либо вставлялись в устройство. Таким образом ваш номер телефона станет известным, а все проделанные телодвижения потеряют смысл.
Не стоит пополнять ваш секретный номер через онлайн-банкинг с вашего счёта. Таким образом эта операция останется в выписке ваших банковских транзакций, а проделанные телодвижения потеряют смысл. Лучше сделать это через одноразовую карту пополнения (помните, которые стираются монеткой?) или через терминал iBox. В последнем случае в терминале не стоит проходить авторизацию и подтверждать личность указывая основной номер телефона.
Приобретите простой дешевый кнопочный телефон, после чего утилизируйте его, либо приобретите телефон с нулевым IMEI для постоянного использования (такие решения можно найти в интернете либо на радиорынках). Не забывайте, что номера телефонов в мессенджерах следует обновлять минимум раз в полгода, во избежание неприятных ситуаций: операторы продают неактивные номера новым клиентам.
Установите двухэтапную аутентификацию в настройках вашей электронной почты, социальных сетей, или мессенджеров. Не используйте в качестве двухэтапной аутентификации получение смс-сообщение на номер телефона.
Установите Google Authenticator — приложение, генерирующее одноразовые кодовые пароли, которые нужно вводить в качестве двухфакторной аутентификации каждый раз при входе с нового устройства. Таким образом злоумышленник не сможет получить доступ к аккаунту, если у него нет физического доступа к вашему устройству.
Другой способ «физической» защиты — токены. Токен — криптографический ключ, используемый для аутентификации и идентификации владельца. Для подтверждения личности его необходимо вставить в устройство. Приобрести токен легко можно в многочисленных интернет-магазинах, а настроить его, как способ аутентификации, в настройках электронной почты или социальной сети.
О защите личного номера телефона, привязанного к онлайн-банкингу, стоит позаботиться, как минимум, если вам небезразлична судьба ваших банковских сбережений.
В августе киберполиция отчиталась о задержании группы лиц, похищавших деньги с банковских счетов украинцев. По версии следствия, мошенники покупали на чёрном рынке базы телефонных номеров клиентов банков, после чего делали дубликат сим-карты через услугу «восстановления номера» в сервисных центрах операторов связи.
После получения копии SIM-карты, мошенники проходили авторизацию в онлайн-банкинге жертвы и переводили деньги на свои счета (к слову, в интернете без труда можно приобрести карту банка, оформленную на подставное лицо — фунта; люди, нуждающиеся в деньгах продают данные своих паспортов и оформляют на себя банковские счета, после чего посредники перепродают их в интернете). Преимущественно, жертвами злоумышленников становились владельцы зарплатных — учителя, работники медучреждений, социальной сферы. Всего, по версии правоохранителей, мошенниками было похищено около 1,5 миллиона гривен.
Подобные схемы стали возможны из-за слабых протоколов безопасности сотовых операторов, позволяющих восстановить номер телефона без надлежащего подтверждения личности владельца номера. Для создания дубликата сим-карты мошенник, в зависимости от правил конкретного оператора, мошенник должен назвать три последних/наиболее частых входящих/исходящих вызовов и сумму последнего пополнения номера телефона.
Данные о ваших входящих/исходящих вызовов сможет дать детализация по номеру телефона, которую также можно приобрести на чёрном рынке, а сумму последнего пополнения узнать, пополнив номер телефона самостоятельно через терминал.
Вы можете защитить свой номер телефона от создания дубликата третьими лицами. Для этого ваш номер телефона должен быть контрактным.
В таком случае для создания дубликата сим-карты просителю придется предъявить паспорт и пройти идентификацию личности. Конечно, есть вероятность, что злоумышленники смогут подделать ваши документы или подкупить сотрудника сервисного центра, однако, как правило, мошенники ищут более «легкую добычу» и избегают задач повышенной сложности, а «свой человек в сервисном центре» с высокой долей вероятности будет привлечён к ответственности за передачу дубликата сим-карты постороннему человеку, что потенциально может привести к раскрытию всех участников сговора.
Одним из наиболее распространенных методов взлома почты являются «фишинг». Существуют разные способы фишинга, отличающиеся методами работы, стилистикой и подходом. Задача фишингового письма состоит в том чтобы получить ваше внимание, заставить вас нажать на ссылку или прикреплённый документ, после чего ввести пароль от своего ящика, передав пароль злоумышленнику. Кроме того, скачав файл ваш компьютер можно заразить вредоносным ПО.
Несмотря на очевидные конкурентные преимущества Telegram перед другими мессенджерами, у него есть свои недостатки. Например, Telegram едва ли не единственный из популярных мессенджеров, который подтягивает историю ваших чатов (кроме секретных чатов), при входе с нового устройства. То есть, если ваш недоброжелатель получит доступ к вашему аккаунту, перехватив SMS-сообщение с кодовым паролем, при входе в аккаунт он сможет получить доступ ко всей истории ваших переписок.
В то же время, Telegram действительно является наиболее безопасным мессенджером из популярных, если соблюдать определённые правила безопасности:
Установив облачный пароль, вы сможете защитить свой аккаунт от несанкционированного вами вмешательства. Таким образом, даже если кто-то перехватит SMS-сообщение с кодовым паролем и успешно пройдет первый этап аутентификации, ему будет предложено ввести дополнительный пароль, установленный вами заранее. Если собеседник не будет знать установленный вами пароль, он не сможет получить доступ к аккаунту.
Конечно, вы можете поспорить, приведя в пример Signal или Wickr, как мессенджеры с лучшей, на ваш взгляд, системой безопасности, а может быть вы и вовсе фанат общаться в приложении игр в шахматы, но правда в том, что количество людей, которые пользуются ими в украинских реалиях крайне мало, а насильно заставлять каждого собеседника устанавливать, регистрироваться и разбираться в выбранном вами мессенджере вряд ли будет удобным для вас обоих.
Telegram позволяет сделать «сброс» облачного пароля. Такая возможность предусмотрена на случай, если вы действительно забыли пароль, но вам необходимо получить доступ к вашему аккаунту. Telegram предложит вам подтвердить личность, получив одноразовый код-доступ на указанную при подключении облачного пароля электронную почту, что в свою очередь является окном возможностей для злоумышленников.
Описанные меры предосторожности защищают вас от дистанционного проникновения в ваши аккаунты, однако информация, интересующая ваших недругов, может находиться физически на вашем устройстве. Поэтому не исключено, что ваши неприятели могут решить завладеть вашим телефоном физически. Сделать это могут как правоохранители, проведя обыск в вашем жилье, автомобиле или офисе, так и грабители, поджидающие вас в подворотне в вечернее время суток. Для того чтобы обезопасить свой телефон, стоит придерживаться следующих правил.
Это зависит только от вас. Важно помнить, что силовики не будут ломать голову, перебирая в голове возможные шестизначные комбинации, они будут работать с людьми, знающих правильный ответ на интересующий вопрос. Вы проделали немало усилий, выстраивая линию оборону, расставляя ловушки и построили цифровой форпост, но главная уязвимость вашей стратегии защиты — это вы и окружающие вас люди. Вам будут рассказывать, что вы обязаны предоставить код-пароль сотруднику правоохранительного органа, давить, угрожать и даже применять физическую силу, выбивая из вас правильный ответ. Силовики будут повышать градус ситуации и усиливать давление, подбирая методы, которые могут сработать.
Блогера и экс-советника министра информационной политики Александра Барабошко задержали в ноябре 2018-ого года сотрудники военной прокуратуры в одном из ресторанов. Пока силовики везли его домой для проведения обыска, они пытались получить пароль от его iPhone, поскольку функция FaceID была отключена на устройстве. За каждый неправильный ответ ему наносили удар в голову. На следующий день Печерский районный суд отправил блогера в Лукъяновское СИЗО с альтернативой залога в 3,5 миллиона гривен. С целью получить пароль от телефона, силовики договорились с администрацией СИЗО, чтобы блогера посадили в, так называемую, «пресс-хату», где в течении нескольких дней обитатели учреждения, в обмен на блага от администрации СИЗО, выбивали из блогера пароль от телефона. Методы и настойчивость зависят от того, насколько ваших недругов будет интересовать информация на вашем устройстве.
Да. Например, если во время санкционированного обыска, в присутствии понятых, у вас будет изъят телефон, на котором будет установлен месседжер и открыт ваш аккаунт-псевдоним. Другой вариант — если кто-то из ваших собеседников или коллег даст показания и подтвердит следствию, что этим аккаунтом пользовались действительно вы. В таком случае будет «ваше слово против слова свидетеля», а вес версии обвинения будет зависеть от количества свидетелей, давших аналогичные показания, и контекста переписок. Допустимость собранных доказательств и обоснованность подозрения будет оцениваьь уже суд. Однако часто силовиков интересует не доказать вашу вину, а получить доступ к вашим корпоративным секретам.
Во избежание неприятных инцидентов, стоит придерживаться следующих правил:
Соблюдение тайны личной переписки, как и безопасный секс, — ответственность всех участников процесса. Вы не можете быть уверенными на 100% в том, что ваш собеседник не передает скриншоты ваших переписок третьим лицам, или в том, что пароль от его электронного ящика не является датой рождения ребёнка, что, без тени сомнения, было бы насколько милым, настолько же и беспечным.
С юношеских лет мы знаем, что незащищенный секс несет риски, но кто сказал, что беспечное поведение в интернете или незащищенные каналы обмена информацией не чреваты последствиями? Как и в случае с угрозами венерических заболеваний в малоразвитых странах, вашу компанию могут спасти от неприятных последствий только системная образовательно-просветительская работа, то есть только вы, как руководитель компании, поскольку без понимания стратегических угроз и наличия политической воли сверху задавать курс на самообразование будет некому.
Только введение корпоративных стандартов безопасности и системное обучение сотрудников может позволить нивелировать риски.
Проведите инвентаризацию процессов, определите как происходит обмен информацией и просчитайте риски. Пусть это будет игрой: представьте, что вы рейдер, прокурор или недобросовестный конкурент и вам нужно «хакнуть» вашу компанию. Как вы будете это делать? Какие уязвимости вы видите? На какие кнопки нужно давить? Что будет брешью в обороне вашей компании?
Выполнение этих рекомендаций могут помочь избежать неприятных проблем в будущем.
Помимо введения правил информационной безопасности для сотрудников — необходима также система контроля и проверки их соблюдения. Ваши сотрудники и коллеги могут пренебрегать введёнными правилами, в силу глупости, беспечности или думая, что их это не касается. В результате, чужая халатность и пренебрежение распоряжениями руководства может поставить под угрозу вас и ваш бизнес.
Если вы владелец бизнеса любого размера и оборота, в вашей компании должен быть технический специалист, компетенции которого должна быть чуть больше, чем способность установить Windows, обновить Office или поставить антивирус (впрочем, последнее важно). Это может быть системный администратор, или руководитель департамента сетевой безопасности — можете придумать любое красивое название, которое придется по вкусу вам и удовлетворит амбиции вашего сотрудника. В обязанности специалиста должны входить безопасность корпоративных данных, мониторинг угроз и пресечение утечек данных. Ваши данные должны храниться на собственном сервере, который не должен физически находиться в офисе. Кто-то скопировал корпоративные файлы на флешку? Заразил компьютер вирусом? Ваши безопасники должны об этом знать. Технические специалисты должны работать in-house, но не пересекаться с коллегами, во избежание развития личных отношений.
Стоит позаботиться и о физической безопасности офиса, периодически проверяя рабочие помещения на предмет жучков и прослушки. Вы можете считать, что ваше помещение — это крепость, но если прослушку находят в кабинете руководителя антикоррупционной прокуратуры, главы Окружного административного суда или директора ГБР, чем вы лучше?
Лучше иметь хороший протокол безопасности вашей компании, чем читать протокол обыска или задержания.
Это распространённое заблуждение. Каждый человек когда-то оказывался в конфликтных ситуациях, также как и каждый, в процессе жизни, заработал какое-то количество недругов, неприятелей или врагов. Необязательно быть политиком, журналистом, активистом или бизнесменом чтобы иметь недоброжелателей; необязательно быть богатым человеком чтобы на вас обратили внимание мошенники; необязательно быть преступником чтобы вами заинтересовались правоохранительные органы.
Силовиков или мошенников можете интересовать не вы, но лица с которыми вы общаетесь. Например, руководство вашей компании, партнеры по бизнесу, клиенты, близкие друзья, или дальний родственник, ставший объектом внимания заинтересованных лиц. Личная переписка бухгалтера и сплетни секретарши с коллегами про начальство могут сказать больше о реальном объекте внимания, чем он сам.
25 березня за новим стилем (7 квітня - за старим) - Благовіщення Пресвятої Богородиці, яке належить до числа дванадесятих свят, тобто, найбільш значущих у житті Ісуса Христа і Богородиці. За Біблією, саме в цей день Архангел Гавриїл повідомив Діві Марі...
За новоюліанським календарем християни східного обряду України вперше святкують день ангела жінки на ім'я Віра, Любов, Надія і Софія. Ще минулого року цей день припадав на 30 вересня. Також в честь цього дня іменинницям обов'язково потрібно сходити в ц...
