Ar saugu jungtis prie nemokamo wifi: etinis hakeris parodė, kas nutinka

Kibernetinio saugumo ekspertas Deividas Ambrazevičius laidoje darė tai, apie ką dažniausiai tik kalbama: laužėsi gyvai, su leidimu, ir rodė rezultatą ekrane.

Įspūdingiausia dalis buvo apie nemokamą viešą wifi. Ataka vadinasi evil portal, ir ji paprastesnė, nei atrodo.

Sukuriamas netikras tinklas ir parenkamas prisijungimo lango šablonas. Oro uoste tai būtų oro linijų langas, kitur Google. Žmogus prisijungia, suveda savo duomenis, ir jie iškart matomi tam, kas tinklą sukūrė.

Svarbiausia čia yra tai, kad nieko nereikia laužti. Žmogus atiduoda prisijungimą pats, nes langas atrodo lygiai taip, kaip tikėtasi.

Kiek jau nutekėjo

Pokalbio pradžioje Deividas patikrino mano paštą per „Have I Been Pwned“. Sąraše buvo 11 nutekėjimų su realiais senais slaptažodžiais ir adresais.

Iš to atsiranda schema, kurią daugelis yra gavęs į paštą: šantažo laiškas, kuriame nurodomas tavo tikras slaptažodis. Jis atrodo įtikinamai būtent todėl, kad slaptažodis tikras. Realiai jis paimtas iš seno nutekėjimo, o jokios medžiagos siuntėjas neturi.

Prie to prisideda tai, kad nutekėjimuose dažnai yra ne slaptažodžiai, o kas tu esi ir ką pirkai. Tos informacijos pakanka, kad tau parašytas laiškas atrodytų asmeniškas.

Kodėl verta turėti antrą paštą

Praktinis patarimas, kurį galima įsivesti per vakarą: elektroninėse parduotuvėse naudoti sugeneruotą adresą, o tikrus duomenis palikti tik valstybinėms įstaigoms.

Logika paprasta. Nutekėjimų neišvengsi, nes jie vyksta ne pas tave, o pas įmones. Vienintelis dalykas, kurį kontroliuoji, yra tai, kiek tikrų duomenų apskritai išdalinai.

Tas pats galioja telefono numeriui ir asmens kodui. Pokalbyje buvo istorija apie moterį, kuri per pažinčių programėlę atidavė asmens kodą ir kortelės duomenis, ir apie tai, kaip svetimu vardu imami greitieji kreditai.

Kortelė, kurią nuskaito pro piniginę

Atskira demonstracija buvo su NFC skaitytuvu. Kortelės duomenys nuskaitomi pro piniginę, o kai kuriais atvejais ir iš telefono.

Iš to seka konkretus sprendimas: pirmoji kortelė telefone turėtų būti mažiausiai reikšminga, o ne pagrindinė. Tai nieko nekainuoja ir užtrunka minutę.

Slaptažodžiai, kodai ir kas iš tikrųjų saugu

Techninė dalis buvo tokia. MD5 šifruotą slaptažodį galima atlaužti per kelias dienas. SMS kodus galima apeiti per SIM kortelės keitimą, tad dviguba autentifikacija per žinutę nėra tas pats, kas dviguba autentifikacija apskritai.

Saugiausia, jo vertinimu, yra fizinis USB raktas arba passkey. Tai vienintelis būdas, kurio negalima nei perimti žinute, nei išvilioti pokalbiu telefonu.

Susirašinėjimo klausimu jo pozicija buvo aiški.

„WhatsApp'as saugesnis yra negu Telegramas. O saugiausia tikrai, ir aš bandysiu visą savo šeimą permesti ant to, yra Signal."

1:15:07 laidoje

Svarbi detalė apie „WhatsApp“: šifravimą reikia įsijungti nustatymuose, jis nėra įjungtas savaime visoms funkcijoms.

Sukčiai, kurie nebeatrodo kaip sukčiai

Sunkiausia pokalbio istorija buvo apie investicinę schemą su deepfake reklama. Verslininkė pervedė apie 200 000 eurų ir savo paskyroje matė uždirbtą pusę milijono.

Pinigai buvo išvesti per kriptovaliutas ir nebeatgauti. Skaičius ekrane buvo tik paveikslėlis, o tas paveikslėlis ir yra visa schema: žmogus nemato problemos, nes mato pelną.

Kai svetimu vardu paimamas kreditas

Rimčiausia grėsmė pokalbyje buvo ne pinigų, o tapatybės vagystė. Turėdamas asmens kodą ir kelis kitus duomenis, sukčius gali paimti greitąjį kreditą svetimu vardu, o žmogus apie tai sužino tik tada, kai pradeda skambinti išieškotojai.

Deividas pasakojo apie moterį, kuri per pažinčių programėlę atidavė asmens kodą ir kortelės duomenis. Ten nebuvo jokio įsilaužimo. Buvo tik pokalbis, kuris truko pakankamai ilgai, kad atsirastų pasitikėjimas.

Iš to seka taisyklė, kuri skamba grubiai, bet veikia: asmens kodas nėra duomuo, kurį kada nors reikėtų siųsti žinute. Nė vienam. Jei kažkam jo tikrai reikia, tam yra oficialūs kanalai, o jei oficialaus kanalo nėra, tai ir poreikio nėra.

Ką su tuo daryti

Yra dar viena vieta, apie kurią pagalvoja mažai kas, nors naudojasi kasdien. Į pokalbių robotus negalima kelti jautrių duomenų: nei asmens duomenų, nei buhalterinių ataskaitų, nei kodo su raktais. Deividas pasakojo atvejį, kai robotas jam pateikė tris svetimus API raktus, patekusius ten su kažkieno įkeltu tekstu.

„Nieko nekelkit, nieko nekelkit sensityvių duomenų apie save."

1:21:14 laidoje

Praktiškai iš viso pokalbio lieka penki veiksmai. Patikrink savo paštą per „Have I Been Pwned“. Prie viešo wifi jungiesi tik su VPN arba visai nesijungi. Pirma kortelė telefone yra nesvarbi. Dvigubą autentifikaciją perkelk nuo SMS prie passkey. Ir nuo šiol laikyk, kad viskas, ką parašai internete, kada nors nutekės, nes taip ir bus.