Атаки на людину - коли ламають не систему, а вас

Найдорожчий фаєрвол не рятує, якщо власник сам віддасть пароль. Ціла родина атак не чіпає систему взагалі - ціль у них ви. Тут не потрібні вразливості й експлойти, потрібна лише довіра, поспіх або неуважність. Розберемо основні різновиди і спільний захист.

Соціальна інженерія

Зловмисник не зламує систему - він зламує людину, змушуючи її самостійно віддати доступ. Класика: «Вітаю, я з техпідтримки, терміново потрібен ваш пароль для оновлення». Три головні важелі - тиск, терміновість, авторитет: вас квапять, лякають наслідками й прикриваються посадою.

жодна легітимна організація не просить пароль - ні банк, ні IT-служба, ні Google, ні поліція;
перевіряйте особу того, хто питає чутливе, - передзвоніть на офіційний номер, а не той, що вам дали;
будь-який «терміновий» запит - привід сповільнитись, а не пришвидшитись.

Фішингові сайти (спуфінг)

Вам надсилають посилання на «банк» - і сторінка виглядає один в один зі справжньою. Домен відрізняється на один символ (privatb4nk.ua замість privatbank.ua), дизайн скопійовано до дрібниць, а введені логін і пароль одразу йдуть шахраям.

перевіряйте адресний рядок - URL має бути точним до символу;
HTTPS і замочок не гарантують чесності: фішинговий сайт теж має сертифікат;
для банку й пошти - закладки, а не пошук у Google і не посилання з SMS; адресу вводьте руками;
підозрілий URL перевіряйте на VirusTotal або в Google Safe Browsing.

Схема заробітку на приманках (розіграші, «опитування», «призи») розібрана окремо - як перевірити репутацію сайту.

Скімінг карток

Ви знімаєте гроші в банкоматі й не підозрюєте, що дані картки вже зчитані. Скімер - накладка на щілину для картки плюс мініатюрна камера над клавіатурою; замасковані так, що неозброєним оком їх важко помітити. Зібране йде на дублікати карток.

перед використанням огляньте банкомат - похитайте зчитувач, перевірте накладки;
прикривайте клавіатуру рукою під час PIN - це вимикає камеру;
надавайте перевагу безконтактній оплаті (NFC) і віртуальним карткам;
банкомати в відділеннях банків захищені краще, ніж вуличні;
увімкніть сповіщення про кожну транзакцію.

Підглядання за екраном (shoulder surfing)

Найпростіша атака взагалі без технологій: зловмисник дивиться через плече, поки ви вводите пароль у кафе, метро чи аеропорту. Дехто знімає жертву камерою здалеку.

екран конфіденційності (privacy screen) на ноутбуці й телефоні;
прикривайте клавіатуру під час PIN чи пароля;
автоблокування екрана на мінімальний час простою;
не відкривайте конфіденційні документи в транспорті чи кафе.

Соцмережі: ви самі віддаєте розвідку

Усе, що ви публікуєте, може бути використане проти вас. Фото з відпустки каже злодіям, що вас немає вдома. Пост про нову роботу дає матеріал для цільового фішингу. Відповіді на «веселі опитування» (перший учитель, перша машина) розкривають ваші ж контрольні запитання безпеки. Ці ж уламки - витоки, соцмережі, викинуті документи - складаються в крадіжку особистих даних: на ваше ім’я беруть кредит чи реєструють бізнес, і роками потім доводиться розгрібати чужі борги.

обмежте публічні дані: дата народження, телефон, адреса;
не публікуйте локацію в реальному часі - краще після повернення;
перегляньте налаштування приватності в усіх мережах;
знищуйте паперові документи з особистими даними перед викиданням;
періодично перевіряйте кредитну історію на чужі записи.

Які висновки з цього зробити

Спільна риса всіх цих атак - ціль не система, а ви; тому й захист поведінковий, а не технічний.
Тиск і терміновість - сигнал сповільнитись. Легітимні організації не просять пароль і не квапять.
Домен і адресний рядок вирішують: один символ різниці - і ви на приманці.
Менше особистого в публічному доступі - менше матеріалу для цільової атаки.