Всем привет!
Бывают случаи, когда тебе нужно кого-то зафишить. Бывает, когда у целевой организации настроен второй фактор для аутентификации — sms, Google authenticator, Duo. Что делать в таких случаях? Нанимать гопников? Подрезать телефоны у сотрудников? Нет! Оказывается, хитрые хакеры написали софт, способный помочь в этой непростой ситуации.
Мы с племянником решили внести свою лепту в дело противодействия фишингу и подготовили памятку. Распространяется безвозмездно. Вы можете скачать её и, распечатав, повесить у себя в офисе; разместить в посте в социальных сетях, добавить в буклет или книгу.
Вот памятка:
A теперь пояснения, почему фишинг всё ещё актуален, и почему он останется таковым и в будущем.
На днях стало известно о том, что ЦБ планирует получить право без суда блокировать сайты, используемые финансовыми мошенниками. Эта идея уже вышла из стадии концепта, е обсуждали на совещании у вице-премьера Максима Акимова, пишут «Ведомости». Для реализации запрашиваемой возможности специалисты ЦБ разработали проект поправок в закон «Об информации», которые наделяют представителей Центробанка такими полномочиями.
Интересно, что блокировать сайт планируется вне зависимости от того, в какой зоне находится сайт. В настоящее время законопроект проходит межведомственное согласование. ЦБ — седьмой по счету государственный орган, который получит право вносить сайты в реестр запрещенной информации.
Читать полностью »
(с) МВД России. Фрагмент записи с камер наблюдения в момент кражи денег из банкомата
Эта статья посвящена анализу и выявлению закономерностей в преступлениях, направленных на кражу денег банков или их клиентов.
Далее в статье будет представлена выборка из более чем из ста реальных преступлений последних лет. Все рассмотренные преступления будут классифицированы и снабжены кратким описанием. Затем будет проведен комплексный анализ, по результатам которого сформулированы ответы на основные вопросы банковской безопасности, в частности:
Разработчики мобильных браузеров уже давно пытаются стереть различия между сайтами и приложениями (да, я смотрю на тебя, PWA), и у них это вполне неплохо получается. Но всё таки остался ещё один концепт, который делает веб вебом и не даёт реализовать максимально сходный с нативным приложением пользовательский опыт — это URL в адресной строке браузера. Предлагаю узнать, как с этой проблемой справляется, скажем, китайский CM Browser.
Пользователи одной из крупнейших криптовалютных бирж Poloniex стали целью фишинговой атаки. Злоумышленники использовали мобильное приложение, замаскированное под официальный ресурс биржи, но использующееся исключительно для кражи данных. У Poloniex до сих пор нет собственного мобильного приложения, чем и решили воспользоваться преступники.
Аналитик компании ESET Лукас Стефанко обнаружил новое приложение под брендом Poloniex в Google Play в конце марта. Интересный факт — изначально программа не совершала злонамеренных действий, а только переадресовывала пользователей на сайт биржи. По мнению эксперта, таким образом злоумышленники хотели набрать базу лояльных пользователей, которые с большей вероятностью впоследствии ввели бы в приложение свои данные для входа в аккаунт на бирже.Читать полностью »
– Учитель, я подобрал хороший пароль, которого не может быть в словарях.
Инь Фу Во кивнул.
– Я ввёл его в Гугле, – продолжал Сисадмин, – и убедился, что в Сети такого сочетания нет.
– Теперь есть.
Я аспирант и преподаю вирусологию в университете.
Полгода назад, перед началом осеннего семестра, мне выдали целый поток пятикурсников — 45 человек с разным опытом, интересами и жизненными позициями. Еще тогда я подумал, что это хорошая база для какого-нибудь научного эксперимента. Спустя два месяца я все придумал и попросил студентов написать фишинговые письма.
Под катом то, что из этого получилось, что им за это было, и немного аналитики о работе популярных почтовых сервисов. И сами письма, конечно.
Осторожно, много скриншотов.
Читать полностью »
О том, что такое фишинг известно давно. Первые фишинговые атаки были зафиксированы вскоре после появления всемирной паутины. Но несмотря на то, что специалисты по ИБ создают все более совершенные способы защиты от фишинга, новые фишинговые сайты продолжают появляться ежедневно.
Согласно данным некоторых исследований, в 2016 году ежедневно создавалось около 5000 фишинг сайтов. В 2017 эта цифра будет еще больше. Секрет жизнестойкости этого вида мошенничества в том, что он опирается не на “дыры” в программном обеспечении, а на уязвимость в человеческой сущности, у которой есть доступ к важным данным. Поэтому нелишним будет в очередной раз напомнить, что такое фишинг, каковы самые распространенные виды фишинговых атак, а также способы противодействия им.
Бурное развитие крипторынка открывает массу возможностей зарабатывать на его росте почти без вложений и SMS. Проще всего — купить биткоин и ждать, пока он вырастет в цене. Профит! Такой нехитрый способ сделал миллионерами уже многих миллиардеров. Чуть сложнее — начать биткоин (или другую крипту) майнить. Но содержать ферму сейчас — удовольствие недешёвое, так что ради покрытия текущих расходов можно начать продавать её мощности для майнинга другим пользователям уже за фиатную валюту. Это называется «облачным майнингом» — и это как раз то, чем занимается HashFlare.
Естественно, такой метод заработка требует ещё более солидных вложений, команды, расчётов. Кому-то это кажется слишком сложным — и тогда они просто крадут чужой бренд, дизайн сайта и даже его вёрстку. И это, к сожалению, не злая шутка и даже не новая глава книги вредных советов: новые скамы, пытающиеся обирать самых доверчивых юзеров под брендом HashFlare, возникают почти каждый день.
Благо жертв хватает: на волне хайпа в мир криптовалют вовлекается всё больше новичков, желающих заработать, но ещё толком не понимающих правил безопасной работы. О них мы сегодня и поговорим.
Читать полностью »
На протяжении большей части последних 40 лет пользователям приходилось совершать прыжок веры каждый раз, когда они открывали электронную почту. Считаете ли вы, что письмо действительно приходит от того, кто указан в графе отправителя? Большинство легко ответит «да» и на самом деле очень удивится, узнав как легко подделать электронную почту почти от любого отправителя.
При создании Интернета изначально не было разработано никакой возможности проверить личность отправителя. Во время разработки основных протоколов электронной почты, затраты на вычислительную мощность, реализацию и простоту использования были уравновешены с риском мошенничества. Тяжело было предположить, что 84% всей электронной почты в будущем будут иметь вредоносную нагрузку и являться фишингом или спамом.
Результатом является то, что заголовки писем, включая поля «From: » и «Reply-to: », очень легко подделать. В некоторых случаях это так же просто, как набрать «john@company.com» в поле «From: ». Объединив это с неподозрительным содержанием, убедительной графикой и форматированием, вполне возможно обмануть людей, подумавших, что сообщение в их почтовом ящике действительно пришло от банка, ФНС, руководителя или президента США.
Приняв во внимание повсеместное распространение электронной почты, вы осознаете основу нашего нынешнего кризиса информационной безопасности. Слабость в электронной почте привела к массе фишинговых атак, направленных на то, чтобы заставить людей нажимать на вредоносные ссылки, загружать и открывать вредоносные файлы, отправлять форму W-2 (аналог 2-НДФЛ в США) или переводить средства на счета преступников.
Читать полностью »
