Всем привет!👏

Мы вернулись после праздников и начинаем радовать вас самыми интересными новостями из мира информационной безопасности, а также рассказывать, как бережно относиться к своим и чужим данным❤️

Всем привет! 🫶

Понедельник подходит к концу, а мы подготовили для вас новый пост про утечки! Но сначала немного пояснений👇

УТЕЧКИ ИСХОДНЫХ КОДОВ💀

2022 можно смело называть годом утечки персональных данных. 2023 начался чуть иначе. Прошёл всего месяц, а мы прочли уже несколько громких новостей про утечку исходных кодов. Вкратце поясним, что это такое и какие здесь угрозы для обычных пользователей.

⌨️Что такое исходные коды
Это тексты программ. То, что пишут программисты, чтобы перед их запуском на исполнение. Исходные коды -- это не сами программы, но если тексты полные при наличии необходимых инструментов из них можно сделать работающую программу.

Проводя параллели с кулинарией, это салат, который ещё не смешали или пирог, который не запекли. Может оказаться так, что не все ингредиенты присутствуют и программа не заработает.
Тем более программы работают не сами по себе, а тесно взаимодействуют друг с другом. Поэтому быстро сделать полный клон всех сервисов вряд ли получится.

🎛Риски
Когда мы слышим, что утекли исходные коды крупного интернет-сервиса, возникает беспокойство, а как там моя почта? Не нужно ли сменить пароль? В целом нет. Обычно базы данных пользователей хранятся отдельно. А исходные коды напрямую не влияют на сохранность пользовательских данных. Однако изучение исходных кодов может указать на уязвимости или дать злоумышленникам другие подсказки, как взломать сервис.

🖲Последствия
Понятно, что владельцы сервиса будут уменьшать значимость утечки, указывая на то, что есть более новые коды программ. Это действительно так, процесс разработки идёт практически непрерывно, однако большая часть кода наследуется, да и в целом назвать код даже полугодовой давности устаревшим язык не поворачивается. Кроме редких случаев, когда какой-то модуль действительно переписывается.

Утечка исходных кодов является индикатором того, что не всё в порядке с внутренней безопасностью. Это может быть следствием некорректных регламентов, избыточного уровня доверия сотрудникам, появления нелояльных работников в коллективе и т.д.

Тем не менее, от утечек никто не застрахован, поэтому демонизировать пострадавшую организацию не стоит. Важнее  реакция на инцидент. Если это поможет повысить безопасность, наверное, клиенты от этого только выиграют.

И ещё один момент. С точки зрения конечного потребителя, хорошо, когда информация об утечке или взломе попадает в публичное поле. Это позволяет надеяться на более тщательное расследование и реальные изменения вместо того, чтобы просто замять дело.

ИТОГО✌️

Утечка исходных кодов программ и сервисов является серьёзным инцидентом информационной безопасности, но в большей степени неприятна для компаний, нежели для людей. В отличие от ситуации, когда утекают базы данных этих самых пользователей.

😊Примерно такие предложения можно встретить в сети. Звучит адекватно, и кто-то может клюнуть.

В этом посте поясним, почему не стоит связываться👇

Любопытно, что для оплаты услуг не требуется сложных действий, заводить кошелёк с биткойнами или регистрироваться на форуме в даркнете. Разнообразие вариантов оплаты, в т.ч. с обычных пластиковых карт, позволит заключить сделку практически любому. Судя по всему, схема рассчитана на самую широкую аудиторию.

В чём же заключаются риски, если всё выглядит так просто и привлекательно?

🔥Их много:
1. Нет никаких гарантий выполнения заказа. Деньги могут просто списать и всё.

Допустим, мы попали на "ответственного" исполнителя и тот постарается выполнить обещание. Но
2. Удалит данные только из части подконтрольных ему лично баз
3. Удалит только временно
4. Может сделать вид, что удалил и показать отдельный дамп без данных

Далее, что может иметь более серьёзные последствия
5. Скомпрометированные данные карты. Если вы вводить карточку на ресурсе злоумышленников, эти данные могут использовать и продолжать списания до обнуления счёта
6. Злоумышленники понимают, что клиент готов платить, можно работать целенаправленно, шантажировать, собирать прицельно информацию по конкретному человеку

Достаточно продвинутые пользователи могут испытать соблазн попытаться поймать злоумышленников. Логика такая: я переведу требуемую сумму и потом через полицию найдём преступников, кто торговлей данными занимается. Но во-первых, это нетривиальная задача, которая потребует исключительной настойчивости от жертвы, во-вторых, потребуется пройти по целой цепочке переводов на подставные карты. Наконец, в-третьих, поймать получится разве что кого-то из т.н. дропов -- низших звеньев группировки, которые занимаются обналичиванием. Подняться на уровень выше вряд ли удастся. Поэтому сценарий с поимкой и наказанием преступников тоже можно отбросить.

Итого на выходе
1. Вас могут просто вводить в заблуждение насчёт возможности удалить данные - объявление может принадлежать людям, которые не имеют отношения к продаже баз
2. Ни у кого нет доступа ко всем данным, так что где-то скорее всего останутся
3. Полно рисков (см. список выше)
4. Переводя деньги, вы поддерживаете чёрную индустрию

Всем привет! 🤟

Сегодня приготовили для вас пост на тему личных кабинетов в различных сервисах. Кто-то запоминает пароли, кто-то заходит по номеру телефона и СМС. Что же безопаснее? Рассказываем 👇