Чудовищный размах телефонного мошенничества в России — ущерб к концу года достигнет ... триллиона рублей?

Мы традиционно много пишем про телефонное мошенничество — это классика социальной инженерии и это касается всех. Но так вышло, что объем ущерба от действий мошенников очень долго было сложно оценить. Есть данные ЦБ — около 20 млрд рублей ущерба — которым на рынке не верит приблизительно никто. Есть известная оценка Сбера, там говорят про 300 млрд рублей к концу года.

В реальности ущерб может быть гораздо выше. По непубличным данным, уже сейчас CoR (стоимость риска) портфеля нескольких крупных банков вырос приблизительно на процент (в смысле, процентный пункт) — то есть мошенники становятся вообще главной угрозой банкам! Для справки, РКП (розничный кредитный портфель) условного Сбера под 18 трлн, и если взять 1% от него, то получится около 180 млрд. Это, подчеркнем, только кредиты — "обычные" кражи со счетов мы не учитываем. Повторимся, что Сбер мы взяли только для примера — для условного ВТБ цифра будет в районе 80 млрд, для Альфы еще меньше.

А теперь считаем — банковский сектор в прошлом году заработал 3,3 трлн (все вместе), то есть даже если чистый рост резервов составит пол-триллиона, то это все очень существенно повлияет на прибыль. А значит, банки наконец начнут всерьез бороться с мошенниками.

Кстати, на наш взгляд прямо сейчас самым адекватным способом может быть не попытка предсказать фрод через транзакции, звонки или прочее. Вполне возможно, что оценка действия пользователя (нервного пользователя) в мобильном приложении может быть гораздо эффективнее. Мы точно знаем, что у банков такая информация есть.

Онлайн-конференция по безопасности приложений SafeCode 2024 Autumn

30 октября пройдет онлайн-конференция, посвященная практикам AppSec для всех, кто хочет писать надежный и безопасный код.

В программе будут доклады о безопасности: авторизации, веба, контейнеров, ML/AI, фронтенда и других систем. Спикеры расскажут про культуру DevSecOps, инструменты пентестера, безопасную разработку и многое другое. Ведущие конференции возьмут интервью у ИБ-специалистов из крупных компаний.

Участников также ждет воркшоп по защите контейнеров и мастер-класс, где хакер будет в прямом эфире искать уязвимости в сайте самой конференции.

Подробности о мероприятии — на сайте SafeCode.

За какую сумму вас можно взломать?

Статья про Кибериспытание, в котором мы принимаем крайне активное участие!
Самая реалистичная и практическая оценка защищенности из возможных)

А о том, какие у нас будут совместные проекты - расскажем в следующий раз!

17.11 - ключевая дата

Как появился СПАМ — главный бустер киберпреступности

Сегодня мы хотим рассказать вам о спаме — о том, как он появился, как с ним пытались бороться и как развивалась эта криминальная индустрия. Мы также обсудим, почему именно спам стал движущей силой развития киберпреступности во всём мире. И, возможно, без него не было бы современного мира кибербезопасности. Но обо всём по порядку!

https://habr.com/ru/companies/timeweb/articles/849542/

P.S. Поддержите плюсиком на Хабре, пожалуйста! Ведь если статья зайдет, обязательно напишу несколько продолжений! Там есть о чем рассказать.

Знай своего клиента и особенно подрядчика

Многие компании в сфере криптовалют и прочих Web3 технологий привыкли доверять крупным и известным подрядчикам. Особенно часто на аутсорс передается процедура KYC (Знай своего клиента), процедура верификации личности клиентов. Этим занимаются специализированные подрядчики, они же и хранят данные, и отвечают за качество своих услуг.

Одним из крупнейших подрядчиков этой сферы считается Fractial ID, который на днях был взломан. Ransomware группировка Stormous выложила компанию среди своих жертв и опубликовала украденные у Fractial ID данные!

Суммарно объём украденных данных более 12 ГБ, затрагивающий более 300 000 пользователей! Но главное - содержимое, самое чувствительное из которого:

- Сканы документов удостоверяющих личность
- Фотографии с документами
- Выписки со счетов
- Подтверждение адреса проживания
- Используемые адреса кошельков ETH/BTC
И многое, много другое.

К слову, уже ранее компания уже сталкивалась с утечкой. 14 июля заявляли, о мини утечке данных 6500 пользователей. Почему мини? Всего клиентов компании около 1,2 миллиона человек. Видимо после мини утечки выводы сделаны не были и вот уже утечка серьезнее. Компания же своим клиентам обещала безопасность, анонимность и децентрализацию. Все в духе Web3, но как оказалось, лишь на словах.

Знай своего клиента, а особенно стоит знать своего подрядчика. А что с безопасностью у ваших подрядчиков?

Без кибербезопасности нет "Правосудия"

Тут ряд телеграмм-каналов написал, что из-за хакерской атаки ГАС «Правосудие» будет недоступна аж до конца года, а документооборот между судами возвращается в каменный век к Почте России. Судить о сроках восстановления не беремся, но тенденция пугает.

Именно сервисы, направленные на взаимодействие государства и граждан становятся наиболее очевидной, популярной и достаточно слабозащищенной целью. Причина понятна — в ИБ там традиционно не инвестировали, а небольшие IT-команды очень разного уровня подготовки способны противостоять атакам далеко не всегда.

И если крупный бизнес к кибератакам привык, а малый бизнес или надеется "проскочить", или начинает инвестировать в ИБ, то с государственные сервисы ранее ИБ никогда всерьез не занимались — им это было просто ненужно. Раньше никто в здравом уме не пытался его атаковать. Но сейчас мир изменился, так что истории фонда Сколково и судебной системы становятся очень неприятными "первыми ласточками". А защиты на уровне Госуслуг там даже близко нет.

Ливанский куш, взлом банка с последствиями

Эта статья про физическое проникновение в один из банков Ливана. Легальный проект, с неожиданной концовкой, который выполнял один из самых известных специалистов по физическому тестированию на проникновение Jason E. Street! Вся история — это набор фактов, смешанный с его личными комментариями с выступлений, интервью и общения в кулуарах. Поэтому подробности на личной совести эксперта, но я предлагаю ему поверить! Уж слишком громкая вышла история :)

https://habr.com/ru/companies/timeweb/articles/852258/

DevSecOps - безопасная разработка, это как?

За последнее время несколько Заказчиков из сегмента средних предприятий попросили нас пояснить, что это.

В двух словах то рассказали, но если поглубже стоит послушать вот этот подкаст)

Рассказывет Илья Шмаков, он BISO и DevSecOps TeamLead в Росбанке.

Ссылки:
• VK Видео
https://vk.com/video-227015785_456239029
• Rutube
https://rutube.ru/video/4e55ae740612a5d16a4d4953dc6ae966/
• YouTube
https://www.youtube.com/watch?v=LifFzjdvGTc

Слушать в Podster
https://podster.fm/podcasts/bezopasnyyvykhod/e/375805/bezopasnaya-razrabotka-devsecops

Ваши доступы не восстановить!

Мы уже несколько раз писали о технике угона сим-карт с помощью поддельной доверенности или подкупа сотрудника сотового оператора. Эти атаки редки, но зачастую чувствительны, ведь злоумышленники точно знают, какую именно выгоду могут получить, какие доступы завязаны на эту сим-карту.

В течение суток смс от банков, Госуслуг и многих других сервисов не придут, а настоящая сим-карта перестанет работать сразу же после перевыпуска. Что дает жертве время забить тревогу и обратиться к оператору связи в отделение для повторного перевыпуска.

А что, если жертва не может? Если вдруг этот человек с чувствительными доступами, например, попал в ДТП, разбился на квадрике, попал в больницу с инсультом или оказался в ином недоступном месте?

Если жертва достаточно заметна, то об этом напишут в СМИ, или злоумышленники узнают об этом иначе, особенно если они таргетировали жертву заранее. Злоумышленники перевыпускают сим карту, и:

- Жертва не заметит этого, ведь если всё действительно плохо, у нее нет телефона в руках.

- Телефон может быть заблокирован, окружающие/близкие не заметят, что симка почему-то перестала работать.

- Как только злоумышленники восстановят доступы с помощью новой сим карты, повторно перевыпустить и лишить их захваченного не выйдет! Ведь для этого нужен визит владельца или человека с доверенностью в отделение.

Таким образом, очень чувствительные доступы могут на значительное время оказаться в руках злоумышленников, и уже сделать ничего с этим будет практически нельзя.

Для кого подобная атака может быть актуальна в первую очередь?

- Топ-менеджмент или владельцы крупных компаний.

- Публичные персоны, владельцы крупных телеграм-каналов.

- Журналисты-расследователи и иные персоны работающие с конфиденциальными источниками.

- Политические деятели.

Какие советы по противодействию подобным атакам мы можем дать?

- Доступы стоит оформлять на наименее заметную сим-карту.

- Если вы оформляете доступы на сим-карту человека-«номинала», например, для конспирации, помните, что и с ним может что-то случиться, а его номер могут знать.

- Заранее напишите доверенность на перевыпуск сим-карты и передайте доверенному лицу, в таком случае он сможет отбить атаку, официально перезапустив сим-карту.

- Поставьте второй фактор на критически важные доступы, например, пароль для ТГ-аккаунта. Сим карта не должна быть единственным необходимым для входа, или восстановления аккаунта.

Помните, ваша дееспособность не должна быть единой точкой отказа, всякое случается.

Завтра добро пожаловать на эфир!

Нас же еще ни разу не взломали!

Компаниям бывает просто везет. У них может быть на периметре простая и при этом критическая уязвимость, которую просто никто не замечал. Или как у WebArchive годами могут лежать API-ключи для доступа к их системе поддержки в публичном хранилище кода, но это не использовали.

WebArchive был мало кому интересен, хотя исследователи безопасности обнаружили этот репозиторий и ключи, и даже пытались достучаться до компании. Не вышло. В итоге WebArchive был взломан дважды, не работал значительное время и были слиты данные всех их пользователей.

Но это показывает, что уверенность в собственной защищенности, описываемая простой фразой "нас же еще ни разу не взломали" не стоит ничего. Меняется как и интерес, так и квалификация злоумышленников, например до 2022 года высококвалифицированный хактивизм не существовал.

Отсутствие взлома - не признак защиты.

У наших друзей сейчас конкурс, кому интересно, велком!)

Кибербезопасность приграничных регионов

Практика показывает, что звонок от «службы безопасности сбербанка» для жителей приграничных с Украиной регионов не единственная возможно атака на их телефоны. Пойдем по порядку.

Мошенники звонят по всей России, используя IP-телефонию, но сейчас им старательно связывают руки, рубят каналы коммуникации:
- Ужесточили ответственность операторов IP-телефонии за недостаточную проверку своих клиентов.
- Фильтруют входящие звонки из-за границы.
- Старательно борются с подменой номера при звонках.

Конечно всё еще остаются методы мошеннических звонков через приложения мессенджеров, но тут уже всё в руках пользователя, который поверит, что сотрудники Сбера будут звонить через Whatsapp.
Но жителям приграничья и всем, кто находится на новых территориях доверять телефонам звонкам нельзя даже после новых защитных мер. Вам могут позвонить с любого номера, прислать любое смс и даже повлиять на ваш мобильный интернет. А все потому, что на вышках сотовой связи со стороны Украины стоит нужное оборудование, заставляющее все телефоны в радиусе действия вышек переключаться на ИХ вышки, а не наши. Происходит это за счет подменны метаданных, так как телефон ведет обмен с вышкой с самым оптимальным показателем связи. И если ваш телефон подключился к их вышке, то со своей стороны вы никак не можете перевестись на нашу. То есть сбрасывать странный звонок и звонить самому бесполезно - вас всё равно переадресует к мошенникам.

То есть именно физическое расположение вышек, в приграничных территориях, например Харьковской области, создают точки кибератак на обычные телефонные звонки, начиная с обычной прослушки любого звонка, заканчивая переадресацией и подменой входящих номеров.

Чуть сложнее с перехватом мобильного интернета, например онлайн камер, но тоже возможно. Относитесь ко всей мобильной связи в приграничье с подозрением, ведь вы не знаете к какой вышке вы подключены в данный момент!

Тот самый стрим, который проводили в конце октября! Тут расписаны темы, тайминг очень удобно для прослушивания в записи)

Взлететь нельзя погибнуть — немного про российские ИБ-стартапы

Мы тут на прошлой недели посетили одно замечательное мероприятие, посвященное стартапам в кибербезе. Спасибо уважаемым коллегам из CyberStage что позвали, было действительно очень, очень полезно, мы точно получили больше, чем ожидали. Из неожиданного — было много сказано о том, почему история со стартапами в России несколько ... проблемная, а у "малого кибербеза" вагон проблем. Дисклеймер для людей из индустрии: большинство описанных проблем относятся в первую очередь к продуктовой разработке, у услуг своя кухня, да и большинство компаний на рынке ИБ-услуг "стартапами" назвать нельзя при всем желании.

Так вот, первая и главная проблема — российский ИБ-рынок очень маленький. И пусть кажущаяся цифра в ~500 млрд через пару лет никого не смущает — в реальности (и это было хорошо показано) рынок состоит из большого числа маленьких ниш. Лезть на самые крупные из них (вроде антивирусов) для небольшой команды — безумие. А объем остальных будет оставаться в диапазоне от 5 до 15 млрд рублей — сорри, но тут единорогом даже не пахнет. Вывод: действительно, без выхода на международку потенциал продукта будет реализован очень слабо.

Вторая проблема — зарегулированность и экономика. Деньги на ИБ есть у крупных компаний. Но они же (и это тоже было сказано) не готовы пускать в свою инфраструктуру небольшие компании. И их можно понять, тут же есть регулятор, который отметил, что главное — безопасность, а у небольших вендоров с этим могут быть проблемы, и пока они не пройдут 100500 сертификаций, пускать их куда-то нельзя. И вообще, "стартапы — это про технологии, пусть продаются крупным корпорациям". Правда, уважаемый представитель регулятора не сказал (или не знал) сколько в России early stage сделок с участием российских ИБ-стартапов. Открою секрет: по пальцам одной руки. Ой, как же так выходит, что крупняк не спешит инвестировать в ИБ, а если делает это — то на таких условиях, что из бизнеса после этого фаундерам часто проще уйти. Вывод: с экономикой мы ничего не сделаем, регулятор больше интересуют бумаги, так что спасение утопающих дело рук самих утопающих. В конце концов, "хотели бы денег — шли бы в IT" (С).

Третья — извините, но ключевая ставка. Эра дешевых денег закончилась, вместе с ней умер венчур. Для ожидаемых инвестором доходностей у нас просто не хватит емкости рынка. Все, точка, занавес. Вывод: и снова, MENA и LATAM нас спасут. Наверное. Когда-нибудь.

На самом деле, не все так плохо. Текущая ситуация не только сильно усложнила инвестиции, но и сделала ИБ болью небольших компаний. Которые рано или поздно будут инвестировать в ИБ. А значит, если продуктовый стартап выживет сейчас, то через пару лет у него появляются очень интересные перспективы. Надо только объяснить это сотрудникам, когда они будут снова просить проиндексировать зарплату.

T-mobile ломают снова и снова

Знаете, T-Mobile - это одна из крупнейших телекоммуникационных компаний в мире, принадлежат они Deutsche Telekom, в свою очередь крупнейшему провайдеру Германии. К слову, именно Deutsche Telekom помогли создать технологию, которую не совсем честно использовали для разработки "Google.Планета Земля", что позволило создать все современные онлайн и оффлайн карты и навигаторы!

Они занимались кибербезопасностью? Безусловно. В ковидный 2020 год, мне даже довелось собеседоваться к ним в T-Systems. Это было задолго до основания 3side, на тот момент еще даже идеи в моей голове не было. Собеседовали меня на должность эксперта по тестированию на проникновение/redteam со специализацией на инфраструктуре. Это был один из самых сложных и интересных технических собесов в моей жизни! Команда и потенциальный руководитель вызывали восхищение, и собес я прошел, ожидал лишь оффер. Команда атакующей безопасности (pentest/redteam) T-systems сидела в офисе в Санкт-Петербурге и обслуживала всю Европейскую инфраструктуру группы компаний, конечно же вся команда была из России, лишь некоторые релоцировалась в Германию.

На собесе я также подчеркнул, что у меня серьезный опыт в социальной инженерии. Но с очень грустным вздохом, мой потенциальный руководитель рассказал, что по законодательству Германии, подобные проекты нелегальны. Нельзя винить сотрудника в подобных ошибках и проверять сотрудников нельзя. Поэтому у них это большая проблема, и они вынуждены пытаться защищаться от любых действий своих же сотрудников! Даже T-systems нельзя было проводить подобные проекты.

Летом 2020 года, набор в команду T-Systems был заморожен, и мне сказали, что раз оффер был уже согласован, меня ждут сразу после разморозки найма. Найм планировали разморозить после ковида, но этого так и не случилось до самого февраля 2022. Далее, насколько мне известно, T-systems прекратили свое существование. Да и я уже не рассматривал работу в найме!

За эти 4 года группа компаний T-Mobile были взломаны не менее 3 раз и каждый раз со скандалом, утечками и огромным ущербом. Более того, уверен что запрет на социальную инженерию и роспуск очень сильной команды T-Systems из России сыграли свою роль.

Цените ваших сотрудников и оценивайте свою защищенность с минимумом искусственных ограничений!

Тишина в канале закончилась

Всем привет, у нас случился конец года и сезон огромного количества мероприятий!
Поэтому активность в канале была почти нулевой. Но, мы возвращаемся постепенно в строй, вот планы по ближайшим публикациям:
- прогноз на 2025 год в индустрии
- немного о мероприятиях
- о Web3 кибербезе
- статья на хабре про легальную торговлю данными
- наши планы на 2025 год

Возможно будет что-то еще, порядок тоже может поменяться!
Будет интересно)

Я тебя найду и позвоню

Вышла очень важная статья на Хабре о торговле за копейки нашими данным.

Не об утечках! О легальных сервисах позволяющих за 1 звонок без снятия трубки раскрыть данные о ваших перемещениях, посещаемые сайты и метаданные ваших телефонных переговоров!

Очень прошу помочь с репостами, такой легальный пробив не должен существовать.