Кибер-мозг

Открываем секретный канал

Вот уже почти 2 месяца прошло с того момента, как весь мир ахнул от публичного заявления Паши Дурова о том, что он не против делиться нашими данными с властями, а мы всё продолжаем пользоваться этим мессенджером. Удивительно, неправда ли?

Благо, эту тему мы с вами уже разобрали (вот здесь), как и различные способы защиты своего аккаунта (например, тут). Настройки и знание различных мошеннических схем – это, конечно, хорошо, но знаете ли вы, чем отличаются секретные чаты от обычных? Как оказалось, много, кто не знает, поэтому погнали разбираться.

Думаю, что сегодня мы обойдемся без сильной духоты и не будем разбирать типы и алгоритмы шифрования (ладно, вот тут можете почитать сами) – вам нужно знать лишь то, что оно существует во всех чатах в Телеграм, но, как и всегда, есть нюанс.

Если сильно упрощать, то когда вы переписываетесь с кем-то через обычные чаты, все ваши сообщения шифруются и отправляются на сервер, где их расшифровывают, обрабатывают и складывают в правильном порядке, а затем опять шифруют и отправляют на устройство того, кому вы эти сообщения написали. Называется такая архитектура – клиент-серверная (да, не так уж и сложно).

Именно поэтому, если вы зайдете в свой аккаунт с разных устройств или попытаетесь восстановить Телеграм после утери своего смартфона, всё так легко вернётся на свои места. И именно поэтому обычные чаты также называют облачными – по сути, все они постоянно хранятся в облаках. Да, безопасно, да, шифрование есть, но все ваши переписки постоянно хранятся где-то там, а не только у вас.

Ну а теперь переходим к горячему секретным чатам. Тут всё сильно безопаснее, но не то чтобы сильно удобнее. Здесь уже применяется подход с так называемым "сквозным шифрованием", и в этом случае наша переписка остаётся только нашей. Теперь все сообщения шифруются и отправляются напрямую нашему адресату, на устройстве которого они и расшифровываются. И никто больше – ни ребята из Телеграм, ни возрастные женщины на скамейке у подъезда, ни французские власти, к этим данным доступа не имеют (по крайней мере, так описано в документации мессенджера).

Какие есть побочки? Весьма логичные – эти чаты не будут синхронизироваться между вашими устройствами и не восстановятся после входа в ваш аккаунт с нового смартфона или ноутбука. Все данные (включая ключи шифрования) из этих чатов хранятся сугубо локально на том устройстве, на котором этот чат был начат. Ну и бонусом в секретных чатах у вас уже активны такие функции, как защита от скриншотов, защита от пересылов + можно настроить автоудаление сообщений по таймеру.

При этом, ограничений (помимо синхронизации) тоже хватает – нельзя ставить реакции, нет закрепов и возможности копировать текст, нет возможности сделать секретный чат больше, чем на двух человек. Начать секретный чат вы можете через уже созданный обычный – просто откройте чат, нажмите на аватарку/имя собеседника, нажмите на кнопку "Еще" и там выберите пункт "Начать секретный чат". Станет ли от этого ваша жизнь сильно лучше или безопаснее – не факт.

Ну а для тех, кто уже знал, как работают и какие бывают чаты в Телеграм, держите интересный факт, чтобы не зря время потратили: игрушка йо-йо появилась в шеснадцатом веке на Филиппинах в качестве оружия.

А какие чаты выбираете вы?
🤩 – обычные/облачные
👀– секретные

Твой Пакет Безопасности

Дарю вам немного мотивации.

#КиберМем

Твой Пакет Безопасности

Такое мы сохраняем

Я за свою жизнь прочитал не так много книг, особенно тех, что как-то связаны с кибербезопасностью. У меня как-то давно закралась и укоренилась мысль о том, что технологии развиваются сильно быстрее, чем пишутся (а тем более читаются) книги.

Именно поэтому я проводил достаточно много вечеров в ютубе со своими друзьями – индусами, ну или просто сидел в интернетах, читая очередную интересную статью, исследование или документацию (согласен, тут слово "интересная" не подходит). Ну и чаще всего я решал и изучал какие-то вопросы по мере поступления проблем, чтобы сразу закрепить полученные знания.

Своё мнение я не навязываю, тем более, что в книгах можно почерпнуть достаточно много той самой базы – фундамента, на котором строится не только ИБ, но и всё IT. Так что настало время составить и поделиться с вами подборкой достойных книг (на основе отзывов знакомых, коллег и одной нейросети), так что погнали 👇

📖 "Компьютерные сети" — Эндрю Таненбаум. Один из лучших учебников по сетям, охватывающий архитектуру и протоколы, начиная с простых основ и заканчивая более сложными аспектами. Другие книги автора тоже советую посмотреть.

📖 "Практическая криптография" — Брюс Шнайер. Основы шифрования и защиты данных от одного из ведущих экспертов в этой области.

📖 "Искусство тестирования на проникновение в сеть" — Ройс Дэвис. Тут всё и так очевидно.

📖 "Кибербезопасность для чайников" — Джозеф Штейнберг. Простая и понятная вводная по кибербезопасности, охватывающий основные аспекты защиты информации.

📖 "Социальная инженерия и социальные хакеры" — Максим Кузнецов, Игорь Симдянов. Как говорится, «Любители взламывают системы. Профессионалы взламывают людей».

Как-то так. Если вы знаете о книгах из мира информационной безопасности, которых нет в этом списке, но они должны в нём появиться – вэлкам в комментарии. И да, помните о том, что знания, не закрепленные практикой, очень быстро забываются 🤪

Твой Пакет Безопасности

Опять кто-то угоняет твой телеграм

Пока искал, в каком из постов я упоминал инфоповод с анонимными номерами в Телеграм, понял, что это была первая тема, которую мы с вами разобрали. Я тогда вообще был чуть ли не единственным человеком (а по планете еще ходили динозавры) в этом канале, а было это почти 2 года назад 😐

Ну ладно, поностальгировали, теперь переходим к основному блюду. Анонимные номера всё еще работают, их всё еще покупают, кто-то даже успел на них обогатиться (там были американские гонки с ценой на старте) а еще через них всё ещё угоняют Телеграм-аккаунты.

Кстати, в связи с последними заявлениями от руководства мессенджера, которые мы обсудили вот тут, эти номера должны были еще больше взлететь в цене (но это не точно), так как через них намного сложнее сдеанонить пользователя, хоть и все еще возможно.

Так вот, к теме угона – это типичная схема для мира NFT, на технологии которого по сути и работает привязка этих анонимных номеров. Если сильно упрощать, то эти номера привязываются к крипто-кошельку пользователя на блокчейне TON. Зайдя в свой кошелек (например, через Tonkeeper) пользователь, помимо своей крипты, может увидеть свои анонимные номера в разделе с NFT.

И в какой-то момент на адрес вашего кошелька может прилететь якобы подарочный NFT с новым анонимным номером, вот только если вы его откроете и нажмёте на кнопку подтверждения, то просто отдадите свой аккаунт (привязанный к этому номеру) злоумышленнику. А всё почему? А потому что бесплатный сыр только в мышеловке в описании был фишинговый сайт (что-то в стиле anonymousnumbers.com), а не fragment.com (иногда всё чуть сложнее, и дело в смартконтракте, но сути это не меняет).

Иногда такие письма счастья приходят сразу в кошелек, а иногда скамеры находят вас в Телеграме и пишут прямо в личку (внимание на скрины), чтобы с высокой вероятностью провернуть ту же самую схему, только под другим соусом. Мораль проста – будьте внимательны и не ведитесь на подарки, пришедшие из ниоткуда.

#Кибергигиена

Твой Пакет Безопасности

А когда не довольны?

#КиберМем

Твой Пакет Безопасности

Как в Яндексе отражают кибератаки и защищаются от хакеров

Yandex for Security — канал, где вы узнаете, чем живут и как работают наши инженеры-безопасники.

Вас ждут:

🔸 Обзоры ИБ-решений и инструментов от тимлидов и инженеров Яндекса

🔸 Полезные выжимки из докладов яндексоидов и онлайн-трансляции выступлений

🔸 Дискуссии о киберугрозах и практические руководства по защите данных

🔸 Приглашения на митапы и вечеринки с нашими экспертами

Чувствуйте себя в полной безопасности — в комьюнити Yandex for Security 💜 Подписывайтесь

А ты перезагрузился?

Как бы кто не ненавидел корпорации за то, что они крутят нашими данными и торгуют ими направо и налево, периодически у них все-таки появляются гениальные идеи, которые делают жизни их пользователей безопаснее.

Как-то так повелось, что из-за закрытости и замкнутости системы у Apple (да, когда-то так и было), ее операционки издревле считаются более безопасными, чем аналоги конкурентов (Windows, Android). Да, сейчас можно заразить и взломать уже все, что угодно, но сделать это с устройствами яблочной компании сильно сложнее и дороже. Да и в целом, эти ребята давно уделяют безопасности очень много внимания (тут можно глянуть поподробнее).

Так к чему это я? А я к тому, что, как недавно выяснилось, в новой iOS 18.1 они добавили одну функцию, о которой нигде не написали. И функция эта очень интересная. Согласно источнику (раз, два), выявили ее сотрудники правоохранительных органов, когда с несколькими вещдоками произошла странная вещь – айфоны просто начали перезагружаться сами по себе.

Как оказалось позже, это новая функция безопасности в iOS, которая принудительно перезагружает устройство после нескольких дней бездействия (а точнее, без разблокировки). Добавили ее для того, чтобы защитить данные на устройстве в случае утери, кражи или изъятия, так как после такой перезагрузки смартфон входит в режим BFU (до первого разблокирования), что сильно усложняет доступ ко всем внутренностям до ввода пароля.

Собственно, сотрудники цифровой криминалистики уже высказывают свое недовольство, так как им эта функция также усложнила жизнь при работе с устройствами подозреваемых. В общем, 100 баллов гриффиндору Эпплу и всем мир.

Твой Пакет Безопасности

Что? Правильно – воскресный дайджест

Ну а перед этим небольшое вступление, по традиции. Неделька выдалась насыщенной. Меня тут (во второй раз в жизни) пригласили на пресс-конференцию, да еще и какую – на презентацию нового отечественного электромобиля 💀 от АТОМа и Касперского (да, через последних я туда и попал) в музее Транспорта Москвы. Было конечно интересно, и я надеюсь, что у ребят все получится (фотографии закину в комментарии).

Не менее насыщенной обещает быть и следующая неделя – напомню, что я буду выступать на конференции CIRF, где расскажу, как продать гараж доносить ценность ИБ 🤕. Так что забегайте на огонек. Еще попробую дойти до одного ИБшного митапа от ecom.tech, но это не точно. Ну всё, я выговорился, так что погнали.

⚡ Отличный понедельничный кибермем – ссылка

⚡ Что тебя будут спрашивать на собеседованиях, если ты решишь стать кибербезопасником – ссылка

⚡ Как настроить эту пресловутую двухфакторную аутентификацию и защитить все свои аккаунты – ссылка

⚡ Что дать посмотреть своим родны...

Популяризации много не бывает

У одного хорошего дядьки из интернетов, который обычно очень подробно и красочно рассказывает про различные исторические события и личности, тут вышло видео на тему кибербезопасности. Там есть вся база, необходимая каждому – от статистики и технологий мошенничества до конкретных тактик и хронологии их развития.

Но, что самое главное, всё это рассказано на понятном языке. Ну а дадька этот – уважаемый Сергей Минаев, слушать и смотреть работы которого – одно удовольствие. Лично у меня уроки истории еще никогда не были такими интересными, поэтому выражаю искреннюю благодарность.

Да, возможно это всё сделано по инициативе Яндекса и не только во имя образовательной миссии, но какая разница, ведь по итогу мы имеем понятный видеоряд, который интересно смотреть, и который может даже кому-то помочь спасти свои кровные деньги или данные.

В общем, лучше самим убедиться – ссылка (ну или здесь).

#Кибергигиена

Твой Пакет Безопасности

Поднять щиты

О том, что такое двухфакторная аутентификация или 2FA мы с вами уже говорили (вот тут). О том, как этот способ защиты научились автоматизированно обходить злоумышленники мы тоже уже обсудили (вот здесь). Собственно, настало время научиться эту двухфакторку настраивать во всех важных местах и наконец-то сделать это.

На самом деле, я просто случайно наткнулся на доступную инструкцию (с картинками!) по тому, как это сделать, поэтому делюсь. Там и про популярные мессенджеры с соцсетями, и про Госуслуги с айфонами и андроидами.

А вот и сама инструкция – ссылка

#Кибергигиена

Твой Пакет Безопасности

Настало время опенсорса

Когда-то давно я начал собирать в своих закромах все вопросы, которые я периодически встречал на технических собеседованиях. Вопросы достаточно часто повторялись, хоть у них и менялись иногда формулировки, и в какой-то момент я осознал, что количество таких вопросов конечное и даже не очень большое.

По итогу я структурировал всё это добро, опубликовал для своих менти, а они сами периодически помогали мне дополнять этот раздел вопросами и кейсами со своих интервью или же какими-то полезными ссылками. Собственно настало время поделиться этим сокровищем с миром 🌈

Собеседования и так стрессовая штука, на которой некоторые запрещают гуглить (а это, я вам скажу, отдельный навык, который еще прокачать надо), давят психологически, не дают время на подумать и применяют другие техники для снижения когнитивных способностей (осуждаю 😡). Так что такой сборник вопросов точно лишним не будет, особенно для новичков.

Я не стал выгружать его PDF-кой, потому что эта страница постоянно пополняется и видоизменяется, и вам так будет проще сохранить ее в закладки и периодически поглядывать в нее.

Ну а вот и тот самый Список вопросов и кейсов на техническом интервью для ИБшников

#BaseSecurity

Твой Пакет Знаний | Кибербезопасность

Вот она, вершина мошеннических схем.

#КиберМем

Твой Пакет Безопасности

Ну что, дамы и господа, эта неделя была непростой, но мы справились и пережили эту шестидневку. Так что переходим сразу к нашему дайджесту всего самого интересного, что происходило за неделю 👇

⚡️ Жизненно-грустный кибермем – ссылка

⚡️ Пост про то, как ребята из одной компании видят все роли в мире кибербезопасности (достаточно годно, между прочим) – ссылка

⚡️ Комично-ироничная история про то, как один стажёр 2 месяца саботировал целую компанию – ссылка

⚡️ Страшнейший подкаст на тему ИБ – ссылка

❤️ В Пакете Вакансий вышла парочка интересных предложений в компанию, которую когда-то основал один этичный хакер – ссылка

❤️ В Пакете Мероприятий также не обошлось без анонсов годных событий и пополнения календаря – ссылка

Ну всё, теперь можно идти отдыхать дальше, ведь завтра еще один заслуженный выходной 🎉

Завариваем чай

На днях записали с одними крутыми ребятами хэллоуинский подкаст на тему страшилок из мира кибербезопасности 😦

Поболтали и о СКАМерских схемах, которые актуальны для каждого из нас (в том числе и безопасников), и о киберинцидентах из мира корпораций (не без стажеров). Затронули тему настоящих хакеров (тех, что плохие, а не этичные) и отечественных инструментов безопасности, которые мы даже смогли похвалить (пришлось выбирать между угощением или жизнью).

И да, выгляжу я так не потому, что все нормальные вещи в стирке, а потому, что хэллоуинского костюма лучше, чем "американский футболист" (с бейсбольной кепкой, да) у меня не нашлось 😢

В общем, уютно посидели, приятно поболтали. Глянуть можно вот тут – ссылка (ну или здесь, если у вас туго грузится ютуб).

Твой Пакет Безопасности

Ох уж эти стажеры

Иногда у безопасников спрашивают (интересуются, да), а почему это мы защищаемся не только от внешних угроз, но и от внутренних. Ведь мы семья и должны доверять друг другу все сотрудники проходят множественные собеседования, проверки СБ и прочие ритуалы перед трудоустройством. Более того, большинство имеет опыт работы в других компаниях, а значит, и репутацию, которую можно подтвердить.

А потом злые безопасники устанавливают им на корпоративные ноуты инструменты для мониторинга процессов, ограничивают доступы, что-то там рассказывают про DLP и пугают страшилками про последствия за утечки. Теорию закрепили, теперь переходим к практике и реальной истории в жанре юмористического хорррора.

Есть такой Зань Янг Кейю Тянь, который однажды устроился на стажировку в компанию, которая владеет всеми любимым и ненавистным ТикТок-ом (ByteDance). Ну устроился и устроился, как говорится, но есть нюанс. Этот начинающий разработчик два месяца подряд устраивал натуральную диверсию, мешая жить всем вокруг и подвергая опасности данные и сервисы, доступ к которым у него был.

Он заражал компоненты (в том числе нейросетевые), загружал файлы со скрытым кодом, менял версии артефактов, создавал микробаги, ломал ML-модельки, и приправлял это всё отвлекающими манёврами.

И делал он это всё весьма изящно и хитро, ведь его не могли поймать на протяжении двух месяцев, хотя пакостил он у всех прямо на виду. Чинить это всё приходилось команде из 30-ти инженеров. Самое ироничное в этой истории то, что он со всеми ходил на встречи по разбору этих инцидентов и внимательно слушал обсуждение планов по тушению пожаров, после чего шел и поджигал там, куда никто сейчас не смотрит.

Первый ли это такой случай в истории человечества? Конечно нет. Приукрашен ли конкретно этот сюжет? Может быть, но суть от этого не меняется. И это мы еще не затронули повсеместные случаи продажи инсайдерской информации и персональных данных в дарксторах. В общем, так и живем.

Так семья или не семья?
❤️ – семья
😈 – не семья

Твой Пакет Безопасности

Так вот, какие они бывают

Закинул в архив и забыл опубликовать 🤦‍♂️ Но, как говорится, лучше поздно, чем никогда, поэтому ловите схемку с ролями в кибербезопасности. В целом, расписано достаточно подробно, нарисовано достаточно симпатично, есть почти все роли – даже чемпиона по безопасности решили сюда засунуть. Больше всего конечно радует подпись практически на всех карточках "Есть в Инфосистемы Джет" 😀

Я кстати так и не понял, где там карьерные пути неисповедимы – карточки как-то связаны цветом и (возможно) нумерацией, но, из-за отсутствия какой-то пояснительной бригады легенды, так и не ясно – как. В любом случае, это точно будет отличным подспорьем для тех, кто свой карьерный путь только начинает, ну и остальным явно не помешает поглядеть. Джетам – респект.

#BaseSecurity

Твой Пакет Знаний | Кибербезопасность

#ИБ

😂 Твой Пакет Мемов

Врум-врум, дайджест!

⚡️ Сложный кибермем – ссылка

⚡️ Пост про то, как опасно нынче блокировки обходить – ссылка

⚡️ Новая мошенническая схема, мигрировавшая к нам из Вконтакте и Одноклассников – ссылка

⚡️ Гадаем на тенях – ссылка

⚡️ Продаём кибербезопасный воздух – ссылка

☄ В канале с мероприятиями вышел анонс крутого события для студентов и начинающих ИБшников (советую глянуть и пообщаться с теми, кто в этой индустрии карьеру уже построил) – ссылка

☄ В канале с вакансиями вышло еще 4 сочнейших объявления с ЗП аж до 630к рублей – ссылка

☄ В канале со всякими полезными ссылками тоже вышел пост, который никто не хочет лайкать – ссылка

Твой Пакет Безопасности

Ну вот и живите теперь с этим

О том, что такое OSINT мы с вами уже говорили (да о чём мы с вами только не говорили), поэтому долго тут останавливаться не будем. Отдельными инструментами, которые помогают с поиском информации по открытым источникам, я с вами тоже делился.

Ну а теперь настало время узнать про еще один метод и инструмент для достаточно специфичной задачи – определение местоположения по изображению с помощью теней. Звучит конечно так себе, но это вам и не айфон.

Некоторые из вас наверняка слышали про игру GeoGuessr – там люди соревнуются в том, чтобы как можно быстрее определить местоположение по фотографии (или 3d-проекции) местности, в которой она была сделана. Можете посмотреть где-нибудь видео того, как это происходит – выглядит забавно.

Так вот, есть инструмент (еще и бесплатный), который делает тоже самое, причем опирается он, в основном, на тени – ссылка (да, придется повозиться, что его поставить). Само собой, там будут примерные координаты, но иногда это уже что-то. И да, я знаю людей, которые замазывают тени на своих фотографиях, прежде чем их куда-то отправить или где-то опубликовать 😬

Так и живём.

Твой Пакет Безопасности

«Привет, это ты на фото?»

В Telegram разгоняется фишинговая кампания по новой старой, как мир схеме с apk-файлами и кликбейтными названиями. Пример можно посмотреть на скрине.

В данном случае под видом файла с «Фото» распространяется вредоносная программа, которая крадет данные со смартфонов на Android.

Файлы типа .apk, .scr, .exe, .docm с кликбейтными названиями вроде: «Фото», «Отчет» или «Горячее видео из душа» регулярно используются злоумышленниками для фишинга. Всегда проверяйте расширение файла, не открывайте подозрительные вложения от незнакомцев.

Так ты или не ты на фото?

👁 Твой Культ Безопасности

"Все тени рано или поздно погибают от солнечного света"

Одни ребята тут выкатили шикарный отчет по расследованию об одной популярной хакерской группировке – Shadow (она же Twelve, DARKSTAR и C0met). Отличное чтиво даже для тех, кто не особо погружен в IT и кибербезопасность – написано вполне понятным языком, да еще и с картинками.

Этот хакерский синдикат атаковал за последнее время более 50 российских компаний, у части из которых они вымогали деньги, а у остальных – просто разрушали всю инфраструктуру. Это конечно не детективы Дарьи Данцовой, но вечерок скоротать точно поможет.

Твой Пакет Безопасности

Вот и настал этот момент

Если коротко, то меня и мою статью опубликовали в Forbes (не благодарите), если чуть поподробнее, то приятного прочтения 👇

Ну а теперь поехали. Почти год назад я подводил итоги того, что у меня получилось сделать, а что – нет. И среди неудач там был пункт, связанный с Форбсом. Так вот, у меня это получилось – написать материал в одно из самых авторитетных и известных изданий в мире.

Да, само собой, это не «30 за 30» и не тот самый формат интервью, но для меня и это было вызовом. Сделать это самостоятельно на том уровне, на котором нахожусь сейчас я, было бы предельно сложно, поэтому отдельную благодарность хочется выразить всем тем, кто направлял, помогал поддерживал (не без ваших молитв, и ).

И нет, я не делал это для социальной валидации (мне хватает других активностей в жизни), я делал это в первую очередь для себя. Ну а вот тут можно почитать и саму статью – ссылка

Вышло кстати недурно, как по мне, особенно концовка.

Да ну хватит уже

В общем, я понимаю, что вам наверное уже надоели эти разборы схем социальной инженерии и СКАМа в последнее время, но я ничего не могу с этим сделать – они никак от меня не отстанут. Ну а я не отстану от вас, не одному же мне мучаться. Да, текста там внизу много, но я в вас верю.

Так вот, за последнюю неделю у меня дважды пытались угнать доступ к аккаунту на Госуслугах 👇

Схема номер 1 – базовая. Звонит сотрудник почты и говорит о том, что на ваше имя пришло письмо и его нужно направить либо курьером к вам домой, либо в ближайшее отделение Почты России. Я сразу немного поднапрягся (мне кажется, что я их уже по голосам отличаю) и сказал, отправлять по адресу ближайшего отделения почты. Такой легкий ответ сотрудника не устроил, и он решил уточнить – а не интересно ли мне, от кого это письмо, на что получил отрицательный ответ.

Позже он все-таки сказал, что письмо важное и из налоговой, но в любом случае ему нужно подтверждение от меня (через Госуслуги), что письмо надо отправить именно в отделение. После этого мне приходит СМС от "gosuslugi" с текстом "Код восстановления доступа к учётной записи: ХХХХ", а вежливый сотрудник просит ему его назвать. В общем, классика. Дальше мы еще минут 10 мило поболтали, пока я называл неверные коды, но потом сотрудник начал сильно нервничать и разговор закончился.

Нужно понимать, что мне в этом случае было достаточно легко распознать что-то неладное, но если бы я в это время действительно что-то ждал от налоговой и куда-то торопился, то ситуация бы сильно усложнилась.

Схема номер 2 – поинтереснее. Где-то спустя день после того, как я написал тот пост про ID-сервисы, мне позвонили из якобы того же красного оператора связи и попытались провернуть такую же историю с подтверждением через тот же МТС-ID. Угнать у меня кстати пытались опять Госуслуги, а не доступ к телефону, но тем не менее. Легенда состояла в том, что у меня заканчивается договор с МТС и его надо либо продлить, либо расторгнуть. Тут сотрудник был уже более настойчивый, и на мою фразу "пожалуй я сейчас положу трубку и перезвоню в колл-центр МТС" он сразу ответил, что не получится, так как сразу после этого звонка мой номер заблокируется, я потеряю к нему доступ, интернет отключится, рука отвалится, позвонить тоже будет невозможно. Вот это я понимаю рычаг.

Собственно, после такого странного заявления я понял, что дальше будет что-то интересное, поэтому согласился переподписать договор. Дальше сотрудник меня расслаблял различными выгодными тарифами, которые я могу подключить после продления договора. А потом что? Правильно – СМС от "gosuslugi" с текстом "Код восстановления доступа к учётной записи: ХХХХ". Но тут меня попросили назвать не код, а "номер заявления", который должен был прийти мне в сообщении. На мой вопрос о том, почему там написано "код восстановления", мне ответили, что это просто шаблон такой универсальный, ничего страшного.

Дальше началась моя любимая фаза – называние неверных кодов из СМС. И тут, в какой-то момент мне приходит СМС от МТС_ID с одноразовым кодом входа (да, прямо как в том посте). Так сотрудник пытался доказать мне, что работает в МТС и даже говорил, что код из этой СМС ему не нужен (все верно, он же не от Госуслуг). В общем, мы также поболтали еще минут 10 и потом разошлись по своим делам.

Итого, что мы имеем – несмотря на то, что легенды были абсолютно разные, в обоих случаях был один и тот же финальный аккорд – передача кода восстановления доступа к аккаунту на Госуслугах. Прошу вас, как только вам приходит такая СМС, сразу же кладите трубку, с кем бы вы не разговаривали – с врачом, сотрудником почты, да хоть с мороженщиком. И никому не говорите этот код, потом просто замучаетесь бегать, восстанавливать этот доступ и разбираться, где вас кинули. Всё, я выговорился, я доволен. Ну а вы, как и всегда, можете поделиться этим постом с родными и близкими, чтобы они знали, какие сказки нынче в моде.

Так что, надоели вам эти посты про мошеннические схемы или не надоели?
🦄 – надоели
❤️ – не надоели

Твой Пакет Безопасности

#ИБ

Твой Пакет Мемов

СНИЛС

До сих пор для большинства граждан нашей страны это просто какой-то очередной заламинированный документ, у которого есть уникальный номер, и который лучше не терять. Некоторые догадываются и помнят, что эта штука как-то связана с пенсией и страхованием. Ну а лично я свой СНИЛС получил давным-давно, а произошло это максимально случайно. Ну а сегодня мы поговорим о том, что будет, если злоумышленники получат от вас номер этого странного документа.

Так уж вышло, что данные СНИЛСа не публичные, а это значит, что некоторые организации их используют как дополнительный фактор подтверждения вашей личности. Например, так делают Госуслуги. Именно для получения доступа к ним чаще всего злоумышленники и пытаются выманить у вас номер этого документа, а затем начинается свистопляска с выманиваем одноразового кода из СМС (да, номер СНИЛС – всего лишь один из факторов).

Но, как вы могли заметить, скамеры не всегда пытаются выведать у вас этот номер, так как его все-таки можно найти, если порыться в утечках из банков, медицинских учреждений или компаний, где вы когда-то работали (да, этот номер есть у вашего работодателя).

Что же делать, если вы назвали номер своего СНИЛС кому-то плохому? Ничего, потому что без дополнительного фактора он в ваши аккаунты не зайдет, микрозайм не возьмет и ничего плохого скорее всего сделать не сможет. Ну а если вы ему и одноразовый код из СМС назвали, то скорее всего ваши Госуслуги уже пали. Да, тут уже не всё так радужно, но что делать в этом случае мы уже обсуждали в этом посте, так что не теряйте.

Ну вот и всё – мы так и не поняли, что такое СНИЛС, но хоть разобрались, что не стоит никому говорить его номер. Так и живем.

#Кибергигиена

Твой Пакет Безопасности

А вот об этом-то я не упомянул в воскресенье (просчитался, но где) – завтра буду в прямом эфире прожаривать резюме ИБшников, поэтому, если будет время, забегайте на огонёк 🔥

Ну а если вы хотите, чтобы прошлись и по вашему резюме, то в посте по ссылке написано, как и куда его прислать. На сегодня всё – да, даже без душных и длинных постов. Всем мир.

Твой Пакет Безопасности

Ода уважения

Уже предвижу интересные комментарии у этого поста, но я давно хотел излить эту мысль в текст, поэтому пристегнитесь, будет сладко, противоречиво и искренне. Чтобы не томить – речь пойдет о Яндексе, его важности и моём отношении к нему.

В первую очередь, хочется выразить этим ребятам уважение за то, сколько они пережили турбулентностей за последние годы – начиная с утечек данных и кода, заканчивая разделениями и микроскандалами.

И несмотря на это, они остаются лучшим бигтехом нашей страны практически во всех рейтингах. У них все еще одни из самых стабильных сервисов, они покрывают (и делают при этом легче) уже практически все бытовые сферы нашей жизни – от такси и доставки до умного дома и продуктов (да, не без самокатов), они все еще продолжают расти, развиваться и подстраиваться под этот сложный мир и обстоятельства. Да они даже ребрендинги успевают делать.

Смогли бы мы жить в мире без такой компании, как Яндекс? Да смогли бы конечно, но такой ли лёгкой и удобной была бы эта жизнь?

Лично от себя хотел бы сказать спасибо за одни из лучших ИБшных оффлайновых мероприятий, как закрытых, так и публичных, которые завлекают в мир кибербеза всё больше людей, а тех, кто уже тут – раскрепощают и радуют. Круто, что кибербез у нас двигают вперед не только профильные компании, но и те, кто строит его сугубо для себя и своих продуктов.

И да, все любят хейтить, ругать и осуждать – это удобно, да не нужно напрягаться, чтобы найти для этого повод – так уж устроен наш мозг. Каким бы не был негатив – его еще и всегда поддержит кто-то из толпы, а нам ведь важна социальная валидация. Но иногда стоит и похвалить, особенно если кто-то этого заслуживает.

И нет, это не "продано", это правда моё мнение относительно этой компании и того вклада, который я вижу и ощущаю. И нет, в Яндекс я не перехожу, как и не еду за новым бентли 🥸

Мем не нашел, поэтому ловите гифку, которая сегодня буквально везде 👇
(ваши гештальт-мемы принимаются в комментариях)

Твой Пакет Безопасности

#IT #ИБ

Твой Пакет Мемов

​Даёшь больше выступлений и инфопартнёрств

Чувствую, что воскресенье скоро станет не днем дайджестов, а днем анонсов. В общем, информации будет много, до конца дойдут не все, но я в вас верю:

Во-первых, на днях будем болтать с двумя крутыми безопасниками (сдаю первого и второго) про Архитекторов Безопасности на подкасте от SafeCode. Само собой, ссылкой поделюсь сразу же, как только выложим это добро в сеть.

Во-вторых, меня тут пригласили поучаствовать в дискуссии на конференции SecurityTech 2024 (24 октября), а кто я такой, чтобы отказываться. Ну и, само собой, наш с вами канал стал инфопартнером этого мероприятия ☝️

Во-третьих, 14 ноября (да, не скоро, но я еще напомню) буду рассказывать что-то интересно на конференции CIRF (Corporate Incident Response and Forensics) от МКО Системы. Обещают, что будет много неформального общения и крутой атмосферы. И да, тут мы тоже инфопартнёры ☝️

В-четвертых (казалось бы, ну хватит, да?), наш канал попал в топ лучших авторских каналов про информационную безопасность, уступив только глыбе индустрии. Горжусь.

Вот теперь всё, всем плодотворной грядущей недели 💪

Твой Пакет Безопасности

Вот это я понимаю схема

Ребята из Sonatype тут решили потратить колоссальное количество времени и сил – они умудрились засунуть в одну схему по DevSecOps всё, что только можно – от классов решений и ролей до самих инструментов и их вендоров. А еще всё это обмазано бесконечным количеством стрелочек и связей.

В общем, очень сложное, но полезное и красивое. Забираем – полезно будет практически всем безопасникам.

#DevSecOps #AppSec #BaseSecurity

Твой Пакет Знаний | Кибербезопасность

​Дышим глубоко

Как насчет того, чтобы смягчить закон, который еще не вступил в силу? Если вы еще помните про то, как я распинался в канале (например, тут или тут) на тему долгожданного закона об оборотных штрафах за утечки наших с вами персональных данных, то вот вам новость на эту тему – этот закон хотят смягчить 😡

Согласно поправкам, для протёкших провинившихся компаний будут предусмотрены поблажки в случае, если пострадавшим клиентам будет выплачена компенсация, и если компания вложится деньгами в какие-то мероприятия по обеспечению кибербезопасности (какие – пока не понятно). Судя по всему, речь про обучение для сотрудников по кибергигиене, внешние аудиты безопасности и вот это вот всё.

И да, закон все еще планируют запустить и привести к исполнению в этом году. В общем ладно, видимо надо просто выдохнуть, дождаться, когда этот момент уже настанет и посмотреть, что из этого получится.

Ну и в эту же тему – я тут наткнулся на интересный пост про влияние утечек на бренд компаний и опрос об отношении пользователей к сливам своих данных. Интересно посмотреть, какие результаты будут у ИБ-коммьюнити, поэтому ниже ловите сам опрос (само собой, анонимный) 👇

Твой Пакет Безопасности

​Нет, ну вы это видели?

В общем, сегодня без кибербезного контента, поэтому можете расслабиться и выдохнуть. Просто короткий пост по двум инфоповодам:

Во-первых, какой-то герой поставил платную рекакцию под предыдущий пост!!!!!

Во-вторых, нас тут добавили в папку с другими каналами по кибербезопасности – ссылка (да, с первой новостью конечно же не сравнится, но тоже событие). Не могу сказать, что знаком со всеми из этого списка, но видеть себя там приятно. И кстати, мы с вами там одни из самых больших 💪

В общем, не смею больше всех вас отвлекать, поэтому погнали жить эту жизнь дальше.

Твой Пакет Безопасности

#IT

Твой Пакет Мемов

Вот и подошла к концу очередная неделя нашей с вами жизни. Дайджеста в этот раз не будет, но про пару вещей упомянуть нужно.

Во-первых, тут ребята из Авиликса выложили ролик с награждения своего замечательного Pentest Award – ссылка.

Во-вторых, в эту пятницу я выступил с докладом на одной международной конференции по безопасности. Был рад повидаться со знакомыми лицами, познакомиться с новыми людьми и пообсуждать насущные темы. Словил на месте сразу 3 приглашения на разные мероприятия в роли спикера (было очень приятно). Поэтому и вы не стесняйтесь звать меня ведущим на свои корпоративы.

В-третьих, мы тут с одним хорошим человеком решили сделать исследование зарплат в мире кибербеза, поэтому, если вы хотите также приложить к этому свою руку (конфиденциальность гарантирую), то вэлкам в личные сообщения.

Ну а мы продолжаем жить эту жизнь дальше. Всем добра.

Твой Пакет Безопасности

​Кардшеринг

В общем, пока недовольные пешеходы и автомобилисты из разных разных городов нашей страны продолжают анархично разбрасывать электросамокаты и кричать на их владельцев, мошенники начали популяризировать мошенническую схему, которая построена на похожей концепции.

Раньше (ну и сейчас) мошенники промышляли покупкой доступов к чужим банковским счетам и картам. Делали они это либо для себя, либо для перепродажи другим нехорошим людям, например, "обнальщикам". Если кто не смотрел сериал Озарк (а я советую это сделать), то это вид мошенничества, связанный с незаконным обналичиванием денежных средств (чтобы не платить налоги, например). И да, люди действительно продавали мошенникам доступ к своим банковским сервисам, реально (читать с интонацией).

Так вот, теперь стало модным не выкупать такие доступы, а брать их в аренду. Ох уж этот современный мир по подписке. Логика та же – вы даете другим людям доступ, например, к своей банковской карте, а взамен получаете посуточную оплату на срок аренды. И да, люди действительно дают в аренду свои карты, реально (читать с интонацией).

Что происходит с картой дальше? Правильно – всё самое нелегальное и аморальное, что только придёт вам в голову. Во-первых, новоиспеченный бизнесмен (тот, кто сдал свою карту в аренду) становится дроппером, то есть соучастником всего того, что будет происходить дальше с банковским счетом. Ну а карта будет использоваться для чего-угодно – от сбора средств на несуществующую благотворительность до использования счета для вывода нелегально заработанных денег в крипту.

К сожалению, чаще всего на такое ведутся либо молодые ребята, либо пожилые люди, по одним и тем же причинам. Ну а вы, мои дорогие читатели, не поддавайтесь этим мимолетным искушениям, делитесь этой информацией с теми, кого это может коснуться, и не пытайтесь обмануть эту жизнь, обходя законы. Всем мир.

И да, термин "кардшеринг" из заголовка поста запатентован под другую существующую технологию (да, вы тоже должны об этом знать).

#Кибергигиена

Твой Пакет Безопасности

Ну что, дорогие читатели, у меня к вам просьба 🤨

Я тут понял, что у меня мало чтива, поэтому накидайте, пожалуйста, в комментарии крутые телеграм-каналы, посвященные IT и ИБ 👇

Чем больше, тем лучше 👍