Этот опасный Wi-Fi, или 5 вопросов о безопасности данных

Общественные точки доступа Wi-Fi находятся повсюду — в торговых и развлекательных центрах, гостиницах и кафе, на вокзалах и в транспорте. Мы с удовольствием подключаемся к бесплатной сети, чтобы поработать, оплатить счета, проверить почту, не подозревая, что подвергаем личные данные опасности. Как уберечь свое устройство от взлома, разбирались с экспертами.

Вопрос 1. В чём проблема?

Никто не гарантирует безопасность общественных точек Wi-Fi. Вы можете считать, что сеть, к которой вы подключились, защищена, но на самом деле, она может таковой и не являться.

Юрий Чемёркин, эксперт-исследователь по вопросам информационной безопасности мобильных устройств ЗАО «Перспективный мониторинг» рассказал, что общественные точки доступа, как правило, являются недоверенными, т. е. передаваемая в них информация не шифруется, а пересылается в открытом виде. Ее можно перехватить с помощью простого ПО. А некоторые мошенники в местах концентрации людей разворачивают поддельные сети Wi-Fi, имитируя названия широкоизвестных точек для перехвата трафика.

Если у вас в настройках установлено автоподключение к публичным сетям, не исключено, что вы автоматически подсоединитесь к поддельной Wi-Fi. Тогда мошенники получат все передаваемые вами данные (пароли-логины, нешифрованные диалоги в мессенджерах и почте, номера банковских карт и т. д.).

«Атака может быть осуществлена, где угодно и в любое время. Даже через специально разработанное бесплатное приложение, выложенное на каком-либо сайте или в магазине приложений (в т. ч. в официальном — Google Play, AppStore и др.). Достаточно установить его, не посмотрев, к каким данным программа требует доступ. В конце концов, преступники могут получить вашу информацию с утерянного/сворованного гаджета, если он и установленные на нем приложения не были защищены паролями, графическими ключами и т. д.», — пояснил Юрий Чемёркин.

Вопрос 2. Что крадут мошенники?

Мошенников интересует любая информация, которую они смогут продать (вам или другим злоумышленникам) и использовать для воровства денежных средств или других активов.

Юрий Чемёркин уточняет, что это могут быть данные карт, персональные данные из профиля, фото, аудио, видео с компроматом или другой информацией (например, фото паспорта), пароли и логины для доступа к приложениям, в т. ч. банковским, финансовым и т. д.

Данные банковской карты, пароли и логины от электронной почты или аккаунтов в социальных сетях — всегда лакомый кусочек для хакеров.

«Возможна утечка данных о компании, в которой работает гражданин, подвергшийся хакерской атаке, если он вошел в интернет с корпоративной техники. Возможен взлом самого устройства, после чего мошенники могут воспользоваться вашим номером телефона в корыстных целях, например, отправляя с вашего номера смс на платные номера», — дополняет Иван Андриевский, первый вице-президент «Российского союза инженеров».

Вопрос 3. Как они делают это?

По словам инженера по информационной безопасности компании LWCOM Евгения Зорина, получить трафик пользователя общественной сети несложно, для этого даже не обязательно быть хакером — достаточно установить себе специальное приложение. Таким образом, можно встроиться в любую интернет-сессию и получить все необходимые данные. Также хакеры используют уже классические схемы перенаправления вас на фишинговые сайты, когда вы подключаетесь к сети.

Вопрос 4. Как уберечь своё устройство?

При использовании публичного Wi-Fi эксперты рекомендуют использовать дополнительное шифрование (доступ к сайтам по HTTPS, использование сервиса VPN).

Андрей Янкин, руководитель отдела консалтинга Центра информационной безопасности компании «Инфосистемы Джет» пояснил, что VPN-клиенты встроены в прошивку любого современного мобильного устройства, а VPN-сервисы в интернет стоят недорого. Отключение автоматического подключения к знакомым сетям тоже будет не лишним. Для доступа в корпоративную сеть это уже не рекомендации, а обязательное правило. Если работодатель позволяет сотрудникам работать удаленно, то он сам должен озаботиться безопасностью подключений. Пренебрежение этим может обойтись дорого.

Каждый случай требует особого внимания, но можно дать несколько общих советов:

— Не ставьте приложения, выложенные в неофициальных магазинах или на подозрительных сайтах.

— Внимательно читайте отзывы о приложениях (даже выложенных в официальных магазинах), отказывайтесь от установки при малейшей опасности.

— Регулярно обновляйте операционную систему (ОС) и установленные приложения: разработчики стараются повышать защищенность и реагировать на действия хакеров.

— Используйте VPN-решения для шифрования информации.

— Не пользуйтесь функцией автоподключения к WI-Fi и обращайте внимание на сертификаты.

— Не выполняйте процедуры Root/Jailbreak (перепрошивки устройств для получения прав администратора): преступники могут использовать эту уязвимость.

— Защищайте устройство и приложения с помощью пин-кодов, паролей и т. д. Чем они будут сложнее, тем лучше. Необходимо учитывать, что, например, графический ключ (последовательность 4–6 цифр) более слабая защита, чем пароль (не менее 4 цифр, букв, спецсимволов).

— Включите опцию удаленного управления устройством: отслеживайте украденный смартфон или планшет, удаляйте личную информацию на них. Или же воспользуйтесь специализированным ПО, которое выполняет те же функции.

Андрей Врублевский, руководитель направления оптимизации и контроля сети компании «КРОК», рекомендует включить на устройстве подтверждение подключения к известным сетям, чтобы контролировать, к какой точке доступа оно пытается подключиться. После подключения к публичной сети необходимо использовать защищенное, зашифрованное соединение, воспользовавшись, например, услугами VPN-провайдеров. Используйте платный антивирус и обновляйте антивирусные базы.

Используйте сервисы онлайн-фильтрации. Например, SkyDNS или Яндекс. DNS. DNS — это сетевой механизм, с помощью которого компьютер преобразует понятные человеку интернет-адреса в цифры ip-адреса понятные компьютеру. Адрес такого DNS любое устройство автоматически получает при интернет-подключении. И если вы подключились к мошеннической точке доступа, то и DNS-там будет фальшивый. Если же запретить своему мобильному устройству (телефону, планшету, ноутбуку) автоматически подключать DNS и пользоваться только доверенным DNS с фильтрацией (SkyDNS или Яндекс. DNS), то мошенники не смогут подделывать интернет-адреса.

«Еще есть двухфакторная авторизация у банков. Она спасает от несанкционированного доступа к вашему счету и проведению большего числа платежей. Но при подделке DNS от утечки данных о вашей карточке это не спасет. Злоумышленники всегда знают сайты и процессинговые центры, на которых двухфакторная авторизация не сработает, и смогут потратить ваши деньги», — напоминает Сергей Еремин, основатель VentureBox.

Вопрос 5. Как бороться с хакерами?

Экономическими и прочими правонарушениями в IT занимается Управление «К» МВД России; преступлениями, связанными с государственными интересами в этой же сфере, — ЦИБ ФСБ (8-й центр). Ряд коммерческих компаний выпускает программное обеспечение, программно-аппаратные комплексы и предоставляет услуги в области информационной безопасности.

Сергей Еремин говорит, что компании, которые занимаются разработкой антивирусного ПО, также борются с онлайн-мошенниками и поддельными сайтами.

По словам Андрея Врублевского, если говорить об атаках на корпоративный сегмент, то борьбой с хакерами озадачены, в основном, отделы безопасности компаний, которые не хотят допустить взлома информационных систем и утечки данных.

«Если отказаться полностью от использования публичных Wi-Fi точек сложно, то стоит хотя бы минимизировать их использование. Благо, мобильный интернет сейчас не слишком дорог. На данный момент у правоохранительных органов не хватает времени и сил бороться с подобными проблемами, поэтому пользователям и компаниям нужно самим подумать о своей безопасности, чтобы не стать жертвой атаки. Многие полагают, что у них нечего украсть, поэтому проблема их не касается. Это заблуждение. Сегодня злоумышленники научились монетизировать любой взлом», — подчеркивает Юрий Чемёркин.

Если вы не хотите, чтобы от вашего имени набрали кредитов, украли деньги, рассылали спам, просили денег у ваших друзей в Facebook или выложили личную переписку или фото, совершайте минимум действий в общественных сетях.