#схема
Жертве приходит письмо "В вашу учётную запись на госуслугах (почте, налоговой, и т.д.) произошёл вход с нового устройства в другом регионе. Если это не вы - срочно пройдите по ссылке или позвоните по телефону". Ссылка фишинговая похожая на правильную, телефон - колцентра мошенников.

...я бы ещё QR добавил - квишинг сложнее обнаружить "на глаз".

Вот тут описывал: https://rg.ru/2025/07/26/ekspert-rasskazal-o-novoj-sheme-moshennikov-s-fejkovymi-pismami-ot-gosuslug.html

Предупреждён - вооружён (с). Знайте о такой схеме и не попадитесь на неё. А ещё защитите близких и знакомых.

#инцидент #расследование

История о продаже оборудования. Действия фигуранта могут показаться глупыми и/или малоприбыльными, но, во-первых, это реальная история; а во-вторых, напоминаю, «не надо недооценивать человеческую глупость и жадность» (с).

В одной организации офицер ИБ, по моей рекомендации, сделал дашборд по посещению досок объявлений сотрудниками. В какой-то момент обнаружил что один сотрудник регулярно и не так чтобы мало времени проводит на Avito. Затем офицер ИБ посмотрел скрины и заголовки окон. Стало ясно что сотрудник не только ищет что купить, но и продаёт сам всякое.

Дальше офицер ИБ посмотрел в карточке продавца актуальные и закрытые объявления. А в этом увидел что-то знакомое: офисные телефоны и маршрутизаторы. Затем офицер ИБ уточнил в бухгалтерии какое именное оборудование списывалось за последнее время…. Там были, в том числе, офисные телефоны (якобы они уже пожелтели и хрипели) и сетевое оборудование (якобы сгорело).

На обнаруженного сотрудника даже заявление планировали написать, но не знаю, чем закончилось.

#цитата
Человека проще обмануть чем доказать ему, что его обманывают.

#матчасть После ряда вопросов к прошлому посту понял, что не до конца «разжевал» свой посыл про WiFi Free.

Историю с использованием Free WiFi нужно разделить на три блока:
1. Фрод при использовании.
2. Подключение мобильного телефона.
3. Подключение ноутбука на десктопной операционной системе.

А теперь рекомендации по блокам:
1. Фрод.
Включаем голову: никаких установок приложений, никакого ввода СМС от ГосУслуг для аутентификации в WiFi, или чего-то не связанного с подключением к Free WFii spot. Лучший вариант – когда сервис просит позвонить ему для аутентификации.
Схема с фейковыми страницами популярных сервисов вполне реальная, нужно смотреть на ssl сертификат. Но если вы отправляете почту из почтовой программы – то такая схема не пройдёт. В целом, если просто гуглить – то ничего криминального тоже не произойдёт. А лучший вариант – включить VPN внутри которого будет достоверный DNS.
Схема с кражей MAC – может быть.

2. Все опасности с фродом – оставляем в первом блоке, тут именно про подключение мобильного телефона.
В целом, словить атаку через какой-то 0-day крайнемаловероятно в силу организации ОС. Но мобильный телефон всё-таки при сканировании из сети о себе рассказывает (идентификатор устройства, ОС, WiFi и Bluetooth).

3. Десктопная ОС
Наоборот, очень подвержена атакам через непропатченные дыры и 0-day. А ещё, зачастую, пользователь на десктопной ОС с правами администратора. Поэтому подключать ноутбук к Free WiFi не рекомендую.

В итоге:
• Риск фрода есть, используем «голову» при подключении, обращаем внимание на нелогичности и странности.
• Большого риска в подключении именно самого мобильного телефона к Free WiFi нет.
• Если нужен интернет на ноутбуке – лучше подключить к Free WIFi телефон, а уже с него раздать WiFi для своего ноутбука. И использовать VPN с телефона или ноутбука; и не из учётной записи с правами администратора.

#мем
Инфоцыгане предлагают свои курсы в разных областях. Иногда их постулаты «от капитана очевидность», иногда спорные с точки зрения полезности; но реклама очень агрессивная. Если бы я был инфоцыганом – я бы организовал такой курс:

//смотреть со звуком, звук довольно тихий получился.

#схема

Если информация о возвращении в 2026-м году брендов одежды от испанской компании Inditex (а это, на минуточку, Zara, Massimo Dutti, Bershka, Stradivarius, Oysho, Pull & Bear) будет ещё активнее появляться в сети (например, https://news.1rj.ru/str/url_mash/11292) - то не заставят себя ждать мошенники.

Жертвы будут получать сообщения в мессенджеры и по СМС о том, что можно (нужно) восстановить бонусные карты и баллы любимых магазинов (а ещё, поди, и плюс 100500 баллов в честь возвращения). Ссылки, естественно, будут фишинговые.

Предупреждён - вооружён (с). Знайте о такой схеме и не попадитесь на неё. А ещё защитите близких и знакомых.

#инцидент #расследование Левак на стороне.

Обратился директор компании, делающей проекты/чертежи для строительства (ну как-то так). Его запрос был «Есть предположение, что сотрудники левачат. Хочу быть полностью уверенным ла или нет».
Сначала поговорил с ним:
- Что такое в вашем бизнесе «левачат»?
- К нам приходит клиент, говорит нужен проект вентиляции в котельной. Мы заключаем договор, берём предоплату, делаем, сдаём, что-то доделываем, получаем деньги. Клиенту нравится, он приходит второй и третий раз. К десятому заказу клиент уже знает несколько исполнителей в нашей компании, и обращается напрямую с предложением «сделай мне проект как третий был, но с выводом как у пятого…; а деньги я тебе сразу на карту скину – и мне дешевле, и тебе плюсом к зарплате».

Затем обсудили как построен бизнес-процесс работы по проектам.
Примерна такая суть:
* для надёжности все проекты лежат на сетевом хранилище, которое каждую ночь бэкапится и т.д.
* Все проекты имеют сквозную нумерацию, разложены в папках по годам.
* Сетевое хранилище подмаплено на каждый рабочий компьютер как сетевой диск.

Установили в компании сервер и агентов на все рабочие компы и настроил вот такие фильтры:
1. «Работа в приложениях архикад, ревит» + «Файл расположен не на сетевой шаре»
2. «Работа в приложениях архикад, ревит» + «Работа в субботу или воскресенье» или «работа с 19 до 07».
Установил алерты и стали ждать.

Прошло не долго: уже через неделю пришёл алерт, что некий сотрудник работал два часа с файлами не на шаре. Директор глянул скрины и сразу сказал, что это и есть «левак».

#матчасть по "цветам команд"
Когда у общества нет цветовой дифференциации штанов, то нет цели (с) Кин-дза-дза

RedTeam (КРАСНАЯ) - Атакующие, взломщики.
BlueTeam (СИНЯЯ) - Обороняющиеся, защищающие.
PurpleTeam (ПУРПУРНАЯ) - "Защитники с ножами", ищут как оборонятся атакуя.GreenTeam (ЗЕЛЕНАЯ) - можно назвать "защитники бай дизайн", продумавыют защиту не в во время атаки, а на этапе построения.

YellowTeam (ЖЕЛТАЯ) - Строители и архитекторы всего ландшафта
OrangeTeam (ОРАНЖЕВАЯ) - Организуют взаимодействие и обучение.
WhiteTeam (БЕЛАЯ) - Обеспечивающее звено

#схема

Очень сложная и красивая схема как закинуть трояна вам на ПК (а если повезёт - на рабочий АРМ).
https://habr.com/ru/articles/928026/

Краткое описание: предлагают работу, следом тестовое, которое требует доустановить / линкануть что-то, затем приезжает обновление уже с malware.

Предупреждён - вооружён (с). Знайте о такой схеме и не попадитесь на неё. А ещё защитите близких и знакомых.

#инцидент #расследование #матчасть
Вы же когда-то задумывались, что номер банковской карты – это не просто 16 цифр?

Одна из цифр – по сути контрольная, чтобы алгоритм проверки сошёлся. Таким образом можно отличить просто 16 цифр подряд от номер банковской карты. Это всё упаковано в стандарт ISO/IEC 7812 (ИСО/МЭК 7812) а сам алгоритм придумал Ханс Питер Лун.
Если нужен сам алгоритм – легко загуглить.

Ну так вот, переходим к расследованиям: «база» - ввести проверку в передаваемой информации на наличие сработок алгоритма Луна, т.е. когда не какие-то данные идут, а именно номер карты появился. В 99% случаем попадётся какая-нибудь ведомость от бухгалтерии (но тоже есть вопросики), а в 1% встречается номер карты, связанный с какой-нибудь схемой или утечкой. Повторюсь, «не надо недооценивать человеческую глупость и жадность» (с).

Не мем, но картинка как мем

#матчасть
На случай заумных и душных презентаций. Если нужно описать что после внедрения EMS / IRM / DLP системы сотрудники начинают более продуктивно работать (какое-то время) – то назови, что это Хоторнский эффект.

Хоторнский эффект — это психологическое явление, при котором люди начинают работать лучше и продуктивнее, когда знают, что за ними наблюдают или их действия оцениваются. Это связано с желанием показать себя с лучшей стороны и получить положительную оценку со стороны окружающих или руководства

#схема
Мошенники звонят жертве и говорят что она вызвана для участия в заседании присяжных.

Дальше рассказ с целью накрутить сложность и срочность: ...это всё сложно...писали же в газете....ехать через весь город...принимать сложные решения...

А дальше возможны варианты:
А) диктуйте чтобы заполнить ваши паспортные данные и снилс
Б) продиктуйте СМС с Госуслуг что вы подтверждаете участие
В) продиктуйте СМС с Госуслуг чтобы подтвердить ваш отказ
Г) пройдите по ссылке и заполните всякое

Предупреждён - вооружён (с). Знайте о такой схеме и не попадитесь на неё. А ещё защитите близких и знакомых.

#инцидент #расследование

В одной компании на пилоте смотрели дашборд по использованию ПО (тоже входит в рекомендуемую мной «базу»). Глаз зацепился за использование ТимВьювера. Директор компании сказал «странно, у нас сис.админ обычно ногами ходит».

«Провалились» глубже – оказалось интереснее – ТимВьювер использовала бухгалтер. Дальше уже в азарте расследования глянули скрины – увидели, что бухгалтер подключается удалённо куда-то, и там работает в какой-то 1С.

Довольно частое явление, что бухгалтер ещё отдельно от работы ведёт каких-нибудь упрощёнщиков, как доп.доход. Но тут несколько часов в день, каждый день, в рабочее оплачиваемое время….

балканский фрод

#матчасть надёжность и устойчивость
Для продукта - это не синонимы.

Надёжность - это внутренняя мера. Устойчивость - по отношению к внешним воздействиям.

Для надёжности обычно метрики – это:
• количество багов и индекс их критичности
• частота багов
• среднее время наработки до отказа
• задержки ответов

Для устойчивости обычно – это:
• время восстановления после атаки (MTR)
• uptime
• частота инцидентов от внешнего воздействия за период времени