7 ноября заместитель главы Департамента защиты экономики Национальной полиции Александр Варченко, который является супругом первого замглавы Госбюро расследований (ГБР) Ольги Варченко, оказался в центре скандала. В Facebook студентка КПИ Наталья Бурейко пожаловалась, что якобы Александр Варченко в социальной сети для знакомств Tinder приставал к ней, а после отказа стал угрожать расправой. Сам Варченко называет это провокацией и информационной атакой, заявляя, что никогда не был знаком и не вел переписок с Бурейко. Не исключено, что аккаунт Варченко в Tinder – это дело рук хакеров. #Буквы рассказывают, как обезопасить свои персональные данные в Сети.

С чего все началось?

7 ноября студентка Наталья Бурейко пожаловалась в соцсети, что якобы замглавы Департамента защиты экономики Нацполиции Александр Варченко приставал к ней, а после отказа стал угрожать расправой.

“Все началось с рандомного свайпа в Tinder и ненавязчивого общения по вечерам… Сперва он казался галантным мужчиной и джентельменом, осыпал комплиментами и присылал открытки, хвастался своими связями и положением в обществе”, – написала Наталья.

Но потом, по словам девушки, общение переросло в открытое домогательство, а затем угрозы расправой. Свои слова Наталья Бурейко подкрепила скринами якобы из переписки в Tinder.

Пост студентки быстро “разлетелся” по сети Facebook: за сутки под публикацией оставили почти тысячу комментариев и сделали около 2,5 тыс. репостов.

Девушка взволнована и напугана, а сам Александр Варченко заявляет о хорошо продуманной и циничной провокации. А те, кто стал в защиту Александра считаю, что его данные были украдены хакерами. То есть злоумышленники создали фейковый аккаунт в Tinder и вели переписку уже от имени Варченко.

Замглавы Департамента защиты экономики Нацполиции Александр Варченко мог, например, стать жертвой фишинга.

Фишинг – если дословно – это рыбная ловля, выуживание. В хакерской практике – это вид мошенничества для получения доступа к конфиденциальным данным пользователей — логинам и паролям. Так, киберпреступники массово рассылают электронные письма от имени популярных брендов, а также личные сообщения внутри различных сервисов, например, от имени банков или внутри соцсетей. В письме часто содержится прямая ссылка на сайт, внешне неотличимый от настоящего, либо на сайт с переадресацией. После того, как пользователь попадает на поддельную страницу, мошенники пытаются заставить его ввести свои логин и пароль – это позволяет мошенникам получить доступ к аккаунтам и банковским счетам жертвы.

Аппаратные токены или как обезопасить себя от фишинга

В начале 2017 года корпорация Google перевела всех своих сотрудников (а это больше 85 тысяч человек) на аппаратные токены — небольшие устройства, позволяющие защитить аккаунт пользователя от хакерской атаки. С тех пор не было зафиксировано ни одной успешной кражи аккаунтов сотрудников.

Аппаратные токены обычно похожи на USB-флешки или брелоки. Они хранят в себе зашифрованную информацию и используются как замена других методов двухэтапной аутентификации.

В Украине аппаратные токены можно купить тут: https://ipug.com.ua/

Двухэтапная аутентификация

Это метод заключается в введении пароля, а потом кода, который пользователь получает альтернативным способом — например, посредством SMS или в приложении Google Authentificator (где новый код генерируется каждую минуту). В таком случае, даже если хакеру удастся украсть пароль пользователя, он не сможет войти в его аккаунт, так как потребуется еще доступ к телефону.

Тем не менее и у такого метода нашлись изъяны. 

Ранее исследователи из Амстердамского свободного университета заявляли, что двухфакторную авторизацию можно обойти с помощью смартфона с Android или iOS. 

Примечательно, что атаки на пользователей iOS и Android существенно различаются. Тем не менее компьютер жертвы должен быть заражен специальным “трояном”, который от имени пользователя обращается к Google Play и просит установить на его смартфоны шпионское приложение. Google Play выполняет просьбу, не спрашивая у пользователя разрешения. После установки приложение вирус ждет SMS с кодом доступа. После получения, код тут же переправляется на сервер злоумышленника.

С iOS дело еще проще. В последние версии OS X и iOS встроена функция под названием Continuity. Она, среди прочего, позволяет читать SMS с iPhone при помощи компьютера. Чтобы перехватить код доступа, “трояну” достаточно мониторить содержимое файла ~/Library/Messages/chat.db, куда попадают пришедшие SMS.

ЧИТАЙТЕ ТАКЖЕ: Как сохранить ваши файлы в безопасности. Советы от «Букв»

Поставили под сомнение двухфакторную аутентификацию и исследователи Национального Института стандартов и технологий США. По словам экспертов, номер телефона, к которому подключена двухэтапная аутентификация, может быть привязан к VoIP-сервису – технологии передачи медиаданных в реальном времени с помощью семейства протоколов TCP/IP. Также хакеры могут попробовать убедить поставщика услуг в том, что номер телефона изменился.

И тут исследователи Национального Института стандартов и технологий США рекомендуют производителям использовать в своих приложениях токены и криптографические идентификаторы. А еще они рассматривают идею использования биометрии для аутентификации.

Вернемся же к аппаратным токенам.

Чтобы войти в свой аккаунт с нового устройства, пользователь должен ввести пароль, а затем вставить в USB-порт токен и нажать кнопку на нем (для телефонов и планшетов существуют версии с поддержкой Bluetooth). При этом токен отслеживает адрес сайта и вводит код только там, где должен.

В Google считают аппаратные ключи самым надежным способом защитить данные пользователей.

Тем не менее стоит отметить, что у токенов есть свой недостаток — пока они полноценно поддерживаются только браузерами Chrome и Opera. В Firefox поддержку можно включить на странице конфигурации, в браузере Edge от Microsoft она появится позже. Появится ли она когда-нибудь в Safari, неизвестно.

В современном мире, когда компьютерные технологии развиваются не по дням, а по часам, стать жертвой фишинга, особенно неподготовленному пользователю, проще простого. Необходимо запомнить, что свои конфиденциальные данные нельзя сообщать по электронной почте, нужно тщательно проверять ссылки, по которым переходите. А еще лучше вообще не переходить по прямым ссылкам из электронного письма.

С появлением Интернета мошенники получили мощные инструменты для своей деятельности – они легко, в жажде наживы, могут выманить у доверчивых людей персональные данные или доступ к банковским счетам. А еще так же легко могут “стать” каждым из нас – создавать зеркальные аккаунты, писать от чужого имени. И тогда настоящему пользователю потребуется немало усилий, чтобы откреститься от такой “активности”.