"Так безопасно?" №4: Возможно ли взломать IPhone?

Возможно, ведь возможно взломать все, в теории.
А на практике, есть множество нюансов, упрощающих или усложняющих взлом, и разные модели злоумышленника.
Ну и мы умышленно не будем обсуждать тут возможности терморектального криптоанализа.

1. Кто будет взламывать ваш айфон? Сотрудник силовых структур какой-либо страны или киберкриминал?
Физический доступ к устройству у злоумышленника будет?
Силовые структуры, например, западных стран используют услуги дорогих подрядчиков для извлечения данных с айфонов захваченных ими террористов, оплачивая чеки в сотни тысяч долларов. В первую очередь в таких американских компаниях как Grayshift и самой известной фирме по криминалистике из Израиля Cellebrite. Grayshift, например, утверждает, что ей под силу взломать защиту любых версий и моделей айфон и андроид, при наличии физического доступа к устройству. За какое время? Есть ли нюансы в зависимости от настроек безопасности? Не уточняют. Думаю, нюансы есть и тут.
Также у силовых структур есть возможность получить все, что вы храните в ICloud по судебному запросу, но не доступ к устройству, как бы они этого ни хотели.

2. Если физического доступа к устройству нет? Тогда все гораздо сложнее. Защита айфона постоянно совершенствуется, это единый стандартизированный продукт с постоянными исследованиями безопасности. И что самое важное с разделением приложений на собственные "песочницы". То есть, каждое приложение на вашем айфоне не может влиять на работу других приложений, они находятся в виртуальном пузыре доступов и данных, и любые прием-передача идут через интерфейсы операционной системы. Такая модель значительно повышает устойчивость всего устройства ко взлому. Пример, у вас есть новая еще не известная разработчику уязвимость в WhatsApp, которая позволяет взломать приложение-мессенжер на IOS, но даже взломав само приложение, вы увидите лишь данные этого приложения и доступные ему. Но не сможете повлиять на прочие приложения, чтобы выйти на уровень "выше" уже на уровень самой операционной системы вам нужны другие уязвимости. Сейчас за цепочку уязвимостей в IOS позволяющую взломать саму ОС и закрепиться в ней (заразить телефон) биржа Zerodium платит 2 миллиона долларов.
Поэтому удаленный взлом телефона актуального (обновляющегося) телефона с последними установленными обновлениями ОС и приложений - крайне маловероятен. Успеха в подобном несколько раз достигало лишь высокотехнологичное spyware, такое как Pegasus. Его использование стоило дорого и применялось оно против очень важных/заметных персон, но о нем мы еще напишем.

3. Вирус в магазине приложений? Для айфонов это не такая актуальная проблема. Изоляция приложений высокая, поэтому монетизировать подобный вирус сложно. А усилий приложить, чтобы вирус поместить в AppStore нужно действительно много, оно не окупится. Да и доля рынка айфонов ниже, чем Андроид, удобнее зарабатывать не на яблоках.

Итог. Современные смартфоны уже из коробки серьезно защищены. Они проектировались уже с расчётом на безопасность. Да в них постоянно находят уязвимости и их исправляют, но актуальный и обновленный айфон с обновленными приложениями взломать очень сложно и дорого. Если же он у злоумышленников в руках, многое будет зависеть от ваших настроек безопасности и их бюджетов.

Рекомендуем владельцам айфонов:
- Своевременно обновлять устройство и приложения.
- Не ставить FaceID/TouchID на разблокировку.
- Не хранить лишнего в ICloud.
- Поставить на учетную запись Apple/резервные копии сложные и уникальные пароли.

#3side_так_безопасно

"Частная шпионская компания" — как продавать софт для нелегальной слежки половине мира и сделать на этом бизнес?

NSO Group - израильский стартап, основанный в 2010 году в прекрасном курортном городке Герцлия. Нанимая выходцев из израильской спецслужбы "Unit 8200", им удалось к 2016 году создать лучший известный инструмент для взлома смартфонов - троян Pegasus. И зарабатывать на его продаже сотни миллионов долларов в год.

По словам создателей, Pegasus поставлялся только официальным властям стран для "помощи в борьбе с терроризмом и преступностью". Фактически же его использовали и для слежки за оппозиционными журналистами, разведки, вмешательства в работу сотрудников правозащитных организаций и просто слежки за гражданами.

Израиль однозначное классифицировал Pegasus как оружие, и правительство одобряло каждую сделку по продаже софта. Одобрение на продажу кибероружия было получено для множества стран, но интересно, что Эстонии и Украине было отказано в покупке, в первую очередь из-за опасений, что целью станет Россия.

Список клиентов NSO Group успешно пользовавшихся шпионским ПО:
- Правительство Бахрейна
- Правительство Джибути
- Федеральное управление уголовной полиции Германии
- Правительство Венгрии
- Израильское правительство и полиция
- Правительство Мексики (первый клиент)
- Правительство Марокко
- Правительство Панамы
- Правительство Польши
- Руководство Саудовской Аравии
- Правительство Испании
- Руководство ОАЭ
- Множественные ведомства США

Также есть подозрения, что множество государств тоже использовали Pegasus, но подтверждения этому так и не были обнародованы. В 2021 году журналистам удалось получить список из 50 000 телефонных номеров, которые были загружены в систему как "потенциальные цели". Среди них оказались телефоны президентов и чиновников множества государств, включая государств-клиентов NSO Group, журналисты, правозащитники и бизнесмены. И это только те, кого удалось идентифицировать. Также Pegasus был замешен в скандале внутри самого Израиля, он без ордера или судебного надзора использовался для слежки за гражданами полицией и другими ведомствами страны.

Фактически под прицелом NSO Group мог оказаться любой телефон. Известно о тысячах случаев заражения. Случались и скандалы со злоупотреблением внутри компании, один сотрудник был пойман при попытке продать нелегальную копию софта на черном рынке. Другой же пойман при попытке внедрить троян на телефон своей любовницы. Троян даже был обнаружен на телефоне богатейшего на тот момент человека в мире - Джеффа Безоса.

Как же работал Pegasus? Первая обнаруженная версия 2016 года использовала фишинговую рассылку и получала доступ к телефону жертвы после перехода по вредоносной ссылке (1click -уязвимость). При этом троян работал на любых операционных системах. Версия 2019 года уже использовала уязвимости звонков WhatsApp, что позволяло взломать любой телефон одним звонком. Никаких кликов и действий от пользователя не требовалось (0click-уязвимость). Также в 2019 году было замечено распространение трояна через уязвимости в IMessage для IPhone, также без действий пользователей (0click-уязвимость).

Но самое любопытное то, что троян полноценно заражал телефон, закреплялся в системе с максимальными правами. Таким образом он мог получить доступ к любым данным, хранящимся в телефоне, приложений, камере, микрофону и прочему абсолютно незаметно для пользователя! Для поднятия привилегий до максимального уровня в каждой атаке использовалось несколько уязвимостей нулевого дня для каждой операционной системы.

Но огласка сделала свое дело. К NSO Group были выдвинуты судебные иски от WhatsApp и Apple, одно время деятельность компании даже была запрещена в США, инвесторы устроили множественные перепродажи своих долей и в итоге компанию потрясла реорганизация. Сейчас статус компании не совсем ясен. Но месяц назад Джозеф Байден назначил в консультативный совет по разведке США Джереми Баша - бывшего ключевого советника NSO Group, ответственного за одобрение сделок компании в составе комитета по деловой этики.

У компании еще все впереди?

Взлом спутников 24 февраля

Тут в октябре вышла интереснейшая публикация одного из университетов США, о том, каким образом возможно была проведена атака на клиентов спутникового интернета ViaSat. Я попробую простым языком и без политики объяснить вам, что там изложено.

До операции. В 2018 году известная компания-производитель ПО кибербезопасности Fortinet обнаружила в своих VPN-решениях уязвимость CVE-2018-13379. Fortinet FortiOS и FortiProxy позволяли с помощью корректно сконфигурированного элементарного запроса в виде:

curl -k https://10.1.1.1:10443//remote/fgt_lang?lang=/../../../..//////////dev/cmdb/sslvpn_websession --output -

Скачать системные файлы устройства, без каких-либо ограничений. Уязвимости быстро нашли наиболее эффективное применение, злоумышленники стали выгружать список подключенных к VPN пользователей с их паролями в ОТКРЫТОМ виде из файла кэша SSL VPN. Fortinet оперативно выпустил обновления и настойчиво рекомендовал клиентам не только обновиться, но и поменять все пароли, т.к. использование уязвимости злоумышленниками в Интернете уже засекли.

В 2021 году в TOR появился русскоязычный сайт (картинка 1 следующего поста) со сливом около 500 000 комбинаций логин/пароль для примерно 13 000 устройств собранный через указанную уязвимость. Fortinet настойчиво рекомендовал проверить администраторов, нет ли их устройств в списке и сменить пароли, если они там оказались и все-таки не забыть обновиться.

Видимо тщетно.

24 февраля 2022. Используя слитые данные от VPN, неизвестными был получен доступ сначала к сети управления спутниковым интернетом ViaSat, и с помощью этой же уязвимости (или слитых учетных записей) к самим модемам конечных пользователей.

После развития атаки в сети управления спутниками, был получен и доступ к управлению зонами спутникового интернета. Интересовали их зоны указанные на картинке 2 следующего поста. Именно для этих зон, захватывающих в первую очередь территорию Украины и частично Германию был выставленный особый сигнал с передачей обновления ПО, стоит отметить, что зоны Германии предположительно были выставлены по ошибке.

Модемы же, к которым также был получен доступ через VPN, охотно скачали обновление. Обновление содержало вирус «AcidRain», удаляющий все данные с памяти модема и тем самым выводящий его из строя.

Итог. Вся картина атаки представлена на картинке 3 следующего поста. В целом цепочка выглядит вполне стройной и реалистичной, хоть и основана исключительно на данных из открытых источниках, что и отмечают авторы. С определенной долей вероятности взлом происходил именно так, состоялся из-за полного пренебрежения сотрудников компании к информационной безопасности. Уязвимость была стара, обновления были давно выпущены, и даже публичная утечка данных их не смутила.

А возможно использовались и другие уязвимости, но пока про них убедительных данных нет.

Американский источник тут.

Побег из матрицы

На виртуальных машинах сейчас строится практически любая инфраструктура. Удобно засунуть кого-то приложение в виртуальную машину, чтобы в случае его взлома остальные приложения и сам сервер не были затронуты.

Но случаются и побеги из подобной «песочницы». Исследователь предоставил видео с запуском калькулятора ОСНОВНОЙ операционной системы прямо из виртуальной машины VMware! Нео очередной раз сбежал на уровень выше.

Это потенциально несет огромную угрозу безопасности, ведь, например, компьютерные вирусы изучаются изолированно с помощью виртуальных машин. И многие другие процессы опираются на то, что виртуальная машина никак не может повлиять на сам сервер. А без исправления это уже не так.

Всем пользователям ПО VMware приготовиться обновляться, ибо это очень критично. За подобные уязвимости платят сотни тысяч долларов, так что поздравим автора!

Подробности пока не опубликованы, идентификатор CVE тоже не присвоен, будем ждать их сразу после патча.

Джеймс Рейндж, президент White Rock Security Group

"Только в первом полугодии 2022 года число атак программ-вымогателей возросло на 288%."

Потрясающая статистика, конечно. И это только начало.

Всем привет!

Завтра Антон участвует в небольшом видео-интервью про OSINT, кто хочет — присоединяйтесь.

OSINT - поиск по открытым источникам, то есть с использованием привычной нам информации. Соцсетей, различных реестров, специальных сервисов и некоторых других утекших источников. При некотором умении и правильном подходе, при помощи OSINT можно получить ОЧЕНЬ много разной информации об интересующем объекте.

В общем, будем обсуждать, что именно изменилось в 2022 году в этой сфере, как искать и где искать даже без специальных навыков.

Услуга: базовый аудит информационной безопасности

В каком случае она имеет смысл: если вы раньше не занимались вопросами ИБ и не представляете, на сколько ваш бизнес уязвим.

Сколько это стоит: от 50 тысяч рублей, в зависимости от сложности структуры и глубины анализа

Что вы получаете: опытного аудитора, который внимательно оценит ситуацию с безопасностью в вашей компании и ваши риски, построит дорожную карту дальнейших работ и даст рекомендации, что можно улучшить.

Опираясь на отчет аудитора, вы сможете самостоятельно или при помощи сторонних специалистов выстроить дальнейшие планы.

#3side_услуги

Почему простые мошенничества тоже опасны

Один мой товарищ, мне рассказал о двух очень показательных историях с мошенничеством персонала. С подобным может столкнуться любой бизнес, совершенно в любой сфере.

Бензозаправка. Одинокая заправка на трассе с крайне ограниченным выходом в интернет. Бензин наливается, данные записываются в базу на сервер, который по совместительству - рабочее место оператора-кассира. Раз в несколько дней это уходит в головной офис по слабому интернету. Да база защищена паролем и работает под другим пользователем, да и знаете оператор-кассир, согласившийся работать в таком удаленном месте, живет тут в селе неподалеку. Он явно не хакер, что он может сделать?
А оказывается, может скрутить счетчик налитого бензина прямо в оперативной памяти, и этот бензин продать на сторону! Без знаний в IT? Чем и как? ArtMoney! Известная многим геймерам программа, которая позволяет накрутить себе денег в компьютерной игре. По факту она просто ищет нужные числа в памяти игры и меняет их. Так и делал оператор, просто менял количество налитого бензина, только не в игре, а в памяти базы данных. Сам он догадался или прочитал где-то, неизвестно. Поймали на сверке, но далеко не сразу, не могли понять, как он это делает.

Ресторан. У известной CRM для ресторанного бизнеса была проблема - возможность загрузившись с внешней флешки редактировать базу данных, она была не зашифрована. Ну и что? Официанты же и менеджеры не хакеры! А им и не надо ими быть, ведь на мошеннических форумах активно и недорого продавалась инструкция по обогащению с помощью этой уязвимости. Часть персонала ресторана, обладая минимальными техническими знаниями, в течение дня записывали солидную часть заказов на определённый стол. А вечером после ухода управляющей просто-напросто "обнуляли" этот стол в базе данных и перепечатывали чеки, забирая всю выручку с этого стола. Все по инструкции, работали так более полугода. Вскрылось это случайно, благодаря установке системы электронных чеков, о которой сотрудники не подумали. Подтвердили камерами. Прибыль ресторана, после увольнения участников, увеличилась вдвое, ведь эта схема в месяц приносила сотни тысяч рублей.

Противодействие мошенничеству со стороны клиентов/сотрудников/партнеров важная часть безопасности любого бизнеса. Важно анализировать бизнес-процессы, предотвращать появление подобных схем и выявлять уже действующие.

В целом, этим возможно заниматься и самостоятельно, но гораздо проще и эффективнее обратиться к профессионалам. Через нас это получится, скорее всего и дешевле.

Выложили запись нашего небольшого диалога про OSINT!

В прошлый четверг мы с Антоном Бочкаревым провели #ИБшныйДвиж на тему «OSINT: Насколько стало легче искать людей в 2022 году»

Поговорили о распространенных инструментах поиска, о том, какими из них может воспользоваться несвязанный с ИБ человек, а какими пользуются настоящие профессионалы.

Вот подборка инструментов от Антона, которые мы успели обсудить:
— Поиск по утечкам: СДЭК, Гемотест, Яндекс.Еда, базы ГИБДД.
— Система быстрых платежей: при вводе номера адресата можно и посмотреть имя, отчество и первую букву фамилии.
— Сервис Saverudata (работает с VPN).
— Боты в Телеграм: Universalsearchrobot (канал Howtofind).
— Maltego, Shodan.
— Поисковые системы.
— ТГ-канал Howtofind.
— ТГ-канал OSINT mindset.
— ТГ-канал osint_club_channel.

Посмотреть обсуждение полностью можно на нашем You-Tube канале «Полосатый ИНФОБЕЗ».

«10 миллионов рублей за багбаунти!» - громкое заявление ради пиара

Positive Technologies заявили, что готовы заплатить столько за кражу денег со счетов в рамках багбаунти.

Что тут не так? Это не уязвимость, это полноценный redteam-проект, использующий целую цепочку уязвимостей. Поэтому это не относится к багбаунти! Подобный проект требует бОльших ресурсов, наприме привлечения команды с разными специализациями:
- Специалист по web-уязвимостям.
- Специалист по инфраструктурным уязвимостям.
- Специалист по работе со счетами.

Это не работа для глубоких профессионалов одной области чаще всего зарабатывающих на платформах поиска уязвимостей.
И заплатят только по факту, то есть если противодействием вам нарушили работу в середине, или система противодействия мошенничеству не дала провести операцию в самом конце - вы провели бесплатный redteam, спасибо. Вы поработали бесплатно, денег заработать не удалось.

И для такой работы это совсем не те деньги, чтобы так рисковать. В классических redteam платят деньги за любой качественный проект, а не только «если получилось».

Багбаунти формат создает еще дополнительные ограничения в рамках платформы для исполнителей.
За "новый формат багбаунти" нам пытаются выдать redteam на максимально невыгодных исполнителю условиях.

Да и клиентов, которые согласятся на подобное, тоже думаю будет немного. Так что, я уверен, что это просто громкие слова, только хайп.

Все больше коллег пытаются донести, что это лишь кривое пояснение для СМИ, поэтому оно так звучит.
А по идее это командный багбаунти, с отдельными доплатами за риски, которые важны бизнесу.

Если это так, то круто и действительно новый подход от PT.
Надеюсь пояснения от PT будут и разрешат этот вопрос.

Минцифры провело исследование уровня грамотности россиян в сфере ИБ — результаты ... не обнадёживают

Собственно говоря, суть исследования — оценить знания жителей России в сфере возможных угроз и способов защиты от них. Причем судя по описанию, вопросы покрывали достаточно актуальные: от антивирусного ПО до социальной инженерии. Итоговый результат оценили в 48,2 пункта (наверное, это не очень хорошо), но нам интереснее другое. А именно — ответы на конкретные вопросы.

И вот тут картина не очень хорошая: 41% россиян вообще не смогли назвать ни одной возможной угрозы. То есть возможность отправить деньги мошенникам (социальная инженерия) либо не рассматривается ими именно как угроза в сфере ИБ, либо просто не рассматривается. При том, что 16% назвали как раз телефонное мошенничество. В общем, или всё очень плохо, или проблема в разной трактовке понятия ИБ.

Ожидаемо, лучше всех себя показала категория 25-34 года, для более возрастных респондентов картина хуже. Для возраста 13-17 лет угрозы ожидаемо другие (там в первую очередь история про соцсети). Причем слово "фишинг" знакомо только 14% респондентов — и вот это уже реальная проблема. Ну, или тоже явление понятное, а слова такого умного не знают. Всё может быть.

Что характерно, россияне прекрасно понимают свои проблемы: тот же 41% респондентов оценил себя на 1-3 балла. Правда, если вопрос задавали в конце, то множество ответов "не знаю" могли как-то повлиять на мнение респондентов.

Резюмируя: с ИБ картина примерно такая же, как с финансовой грамотностью, которую ЦБ долго пропагандировал а потом плавно решил дрейфовать в сторону застрахованных счетов. В любом случае, рассказывать про ИБ важно, даже если повышение этой самой грамотности происходит не самыми быстрыми темпами. Круто, что Минцифры это делает — реально важная работа.

Управление рисками и кибербезопасность

Риск-менеджмент — это такая довольно важная штука для практически любого бизнеса. Рисков бывает куча типов, у всех свои ключевые риски, и здесь главная идея — не уход от риска в целом, а разумное снижение вероятности его наступления. То есть мы не пытаемся любой ценой минимизировать вероятность наступления негативного события — мы определяем баланс между последствиями и стоимостью снижения вероятности их наступления.

Грубо говоря, существуют бизнес, для которого борьба с киберрисками бессмысленна. Самый простой пример — это палатка с шаурмой у вокзала. А бывает и совсем наоборот — вспоминаем историю про заправку. В общем, самое главное в этом вопросе — разумность и взвешенность.

По нашему опыту — к нам часто приходят уже после того, как проблемы в сфере безопасности реализовались. Не всегда катастрофическим образом, но "звонок" прозвенел и бизнес понял, что вот сейчас у него будет проблема. Можно считать, что это нормально ... но это нехорошо. В идеале, картина должна быть совсем другой.

Самый главный вопрос, который рано или поздно может (и должен?) задать себе любой CEO или CTO звучит так: "что я потеряю, если риск реализуется и сколько стоит защита". И управление рисками ИБ в любой компании начинается с ответа на этот вопрос. Ответ может быть "ничего не потеряю", или может быть "я потеряю бизнес". Самое главное — чтобы ситуация должна быть управляемой. А про методы количественной оценки риска мы ещё поговорим.

Тут вышло интервью с Антоном для казанского Enter

"Миссия компании — сделать услуги по кибербезопасности прозрачными, надежными и доступными малому бизнесу. Проблема современного информационного рынка в том, что из-за цепочки посредников клиент до конца не понимает, кто будет выполнять заказ. Мы решили эту проблему и создали первый в России агрегатор услуг по кибербезопасности."

И ещё пара слов о том, как мы дошли до жизни такой, какой продукт мы создаём и самое главное — для кого мы это делаем.

"Так безопасно?" №4: Как техдиру говорить про кибербезопасность и деньги?

По результатам вчерашнего поста про управление рисками, у нас возник один небольшой спор с коллегами о том, как техдир должен обосновывать свои расходы. Эта история не совсем про наш бизнес, но мы попробуем ответить (тем более, что бэкграунд у Артёма всё равно в финансах).

Самое главное — ваш CEO\CFO мыслит в других категориях. С CTO наверное проще, но если у вашей компании есть отдельный CTO и вертикаль под ним — то, наверное, какие-то понятия о безопасности у вас есть. А если есть CISO то вообще прекрасно и говорить придется уже ему.

Начать в любом случае надо с того, чтобы перевести возможную угрозу в разряд денег. Просто говорить "нас могут взломать" — недостаточно, потому что сразу возникнет здравый вопрос "и чем нам это грозит"? Хорошо бы сразу понимать, в какие конкретно потери эта история может вылиться. Потому что говорить "наша база клиентов утечет к конкурентам" — это одно, а "если наши продажи упадут на 10%, то нас зашифруют и будут потери от простоя на XXX рублей" — это другое. Никто не любит абстракции, все любят бабки.

Сделать такую "бизнесовую" оценку для человека из IT/ИБ может быть тяжело, но если вы доросли до Head of что-нибудь, то вам рано или поздно придётся вгружаться в бизнесовую составляющую. Это в любом случае полезно.

Второй момент — это правильно оценивать ваши возможности и реальность угроз. Потому что если вы понимаете, что проблема реальна, жопа (извините) полная, то лучше уже сейчас идти к тому, кто распоряжается деньгами и говорить "есть проблема". Нет, конечно, конкретная стратегия зависит от того места, где вы работаете — но общая идея именно такая. CTO, который "обо всём предупреждал" лучше CTO, который молчал. Кстати, именно таким CTO мы иногда продаём расследование инцидентов.

В общем, главное — это интерпретировать проблему в деньгах. Идея, вроде бы, совсем очевидная, но мы часто видим колоссальную пропасть в мышлении "чуваков из IT/ИБ" и "людей, которые распоряжаются деньгами".

Управление ИБ в компании — это не сложно и не дорого

Чем больше мы общаемся с совершенно разными людьми (из стартапов, традиционного бизнеса, из разных индустрий) тем чаще мы встречаемся с двумя очень популярными мифами.

1) Информационная безопасность — это дорого. На самом деле, правильный вариант этой фразы звучит как "ИБ может быть очень дорогим". А может быть и нет. А может быть вам не нужно ИБ за 20 миллионов рублей даже если у вас есть на него деньги. У нас был очень разный опыт общения с заказчиками (и потенциальными заказчиками), и мы можем точно сказать одно. Зачастую на рынке взаимосвязь между стоимостью услуги и её ценностью для бизнеса если и не отсутствует, то бывает достаточно неочевидной. Это не значит, что сделают плохо. Это значит, что даже дорогая и классно сделанная услуга зачастую этому конкретному заказчику просто не нужна.

2) ИБ — это сложно. В реальности нет, ИБ — это так же про бизнес, как программа управления логистикой или трекинг грузовиков. Здесь нет вообще ничего такого, что нельзя было бы понять. Всё интуитивно просто, а главное — ИБ всегда "закрывает" те или иные угрозы бизнесу.

В общем, ничего сложного или страшного здесь нет. Будут вопросы - пишите)
А завтра у нас выйдет большой лиебез про самый знаменитый в истории слив данных. Там тоже очень и очень поучительная история.

Утечки данных — одна из главных киберугроз современности

Конфиденциальные данные компаний утекают в сеть. Это может быть клиентская база (привет, доставка еды), технические материалы, да что угодно. Зачастую, сами пострадавшие компании позиционируют их как взлом со стороны — гораздо проще свалить вину на "анонимных хакеров" чем признать собственные глубокие проблемы в управлении информационной безопасностью.

Иногда от таких утечек страдают целые государства, или точнее — власти этих государств. Ниже — разбор самых популярных мифов об Эдварде Сноудене, идеалисте, патриоте своей страны и бывшем сотруднике АНБ — одной из самых влиятельных спецслужб в мире. Будучи сотрудником одного из её подрядчиков и разочаровавшись в её культуре, Сноуден опубликовал массу конфиденциальной информации, явив миру неприглядную картину того, чего боялись параноики всего мира — программы тотальной правительственной слежки за собственными (и не только) гражданами.

История Сноудена — пример не только того, как один человек может изменить мир. Это пример грандиозного провала в информационной безопасности огромного и влиятельнейшего правительственного агентства.