#инцидент #расследование
Обратилась компания автодилер – проводили пилот. Традиционно настроил мониторинг посещения сайтов объявлений, список был пошире чем обычно: avito, drom, auto, yula (тогда ещё была популярна).

Оффтоп. Тогда ещё не задумывался, а сейчас это входит в «базу»: для разных регионов разные предпочтения по сайтам объявлений. Например, в тот «год автодилеров» узнал, что для продажи машин и запчастей восточнее от Новосибирска почти все используют drom.ru, а западнее Екатеринбурга – почти все auto.ru. Мониторинг автору в Иркутске не то что результатов не отловил, а вызвал вопросы «что за сайт?» :) как и в мониторинг дромру в Москве; а для Казахстана, естественно, свой другой вариант был. Задумывались о таком?

Сели рыбачить…. И поймали, что сотрудник сервисного центра размещал объявления «Услуги профессионального автосканера. Скину ошибку чек, обновлю пошивки, проверю машину перед покупкой».
Дальше разобрав ситуацию стала ясна схема: у автодилера, ожидаемо был профессиональный автосканер с доступом к прошивкам и всякому дорогому и сложно добываемому ПО. Сотрудник на выходные уносил с собой сканер с ноутбуком, по вызову оказывал услуги, утром в понедельник всё возвращал на место.
Вроде как-бы и нет прямого ущерба, но за этими услугами клиенты могли бы приехать к автодиллеру, а так пользовались альтернативными вариантами, которые этот сотрудник осуществлял за счёт чужого оборудования и ПО без какой-либо оплаты. Напомню, у автодилера есть план по ТО, рентабельность бизнеса, сотрудники с зарплатами…

как бы #мем .... но если вы ещё не понимаете в чём реальная опасность от того, что ваш аккаунт в телеге взломают то посмотрите на картинку и задумайтесь в таком ключе.

#схема
Сейчас новости о утечках ПДн стали как комары: все знают о них, всем уже пофиг, просто отмахиваются, но на крупный рой внимание всё-таки обращают. Когда всплывают крупные утечки - мошенники активизируются. Боты и ссылки призывают жертву проверить не утекли ли её пароли и/или ПДн: «Проверьте, не попали ли вы в список», «Ваш пароль может быть скомпрометирован», «Зайдите и убедитесь, что ваши данные в безопасности». Внутри сервиса пользователям предлагают ввести логин, пароль, почту якобы ради проверки. На деле же это новая волна фишинга, завернутая в реальную новостную повестку.

Писал об этом для Ленты: https://lenta.ru/news/2025/06/24/utechka/

Предупреждён - вооружён (с). Знайте о такой схеме и не попадитесь на неё. А ещё защитите близких и знакомых.

#инцидент
Ну вы же тоже подумали что проблема не только в том, что какой-то завхоз обогатится на несколько тысяч. Как минимум такой сотрудник может продать настроенное оборудование без вайпа или диск с данными... И привет внезапное проникновение в сеть или утечка данных.

Как минимум, два примера:

✅ ESET закупил на втричке списанные маршрутизаторы. И на некторых сохранились настройки VPN: https://www.eset.com/us/about/newsroom/press-releases/eset-discovers-corporate-secrets-and-data-on-recycled-company-routers-1/

✅ Коллеги из Бастиона пошли на "барахолку" и прикупили жёстких дисков поживших в корпорации.... и восстановили много всякого интересного. Если хочется больше деталей - вот ссылка: https://habr.com/ru/companies/bastion/articles/967914/

#матчасть Есть вот такие метрики для воздействия на бизнес (BIA)
✳️ MTD (maximum tolerable downtime) – допустимое время в течение которого критичный процесс может быть прерванным
✳️ RTO (recovery time objective) – целевое время восстановления
✳️ RPO (recovery point objective) – максимальное время, за которое могут быть потеряны данные
Прекрасная картинка для иллюстрации (взял с учёбы):

#схема
Вспомнилось мне, что во время расцвета локеров (вирус на ПК блокировал весь экран с какой-нибудь гейской картинкой и не было возможности убрать её кроме как выключить комп, перезагрузка не помогала) встречалась схема продвижения а-ля «балканский вирус».

Зарази ПК двух других людей и мы вышлем тебе ключ разблокировки.

Вполне может и для шифровальщиков подойти :)

Предупреждён - вооружён (с). Знайте о такой схеме и не попадитесь на неё. А ещё защитите близких и знакомых.

#инцидент #расследование Ещё про автодилеров.

У меня был год, когда как-то случайно на пилот попали несколько автодилеров, а потом я специально попросил всех кто авто* кидать на меня. За год прокачал понимание отрасли и мошеннических схем. Ещё за время работы были год строителей и год банков.

Автодилер обратился с проблемой, что клиенты ближе к концу официальной гарантии получают предложения от альтернативных СТО. Капитан очевидность сообщал, что кто-то сливает контакты и информацию по машинам.

В целом обычная ситуация для компании, у которой в портфеле есть услуги. Настроил у клиента мониторинги переписки, запись данных на флэшки и облака.
Было немного проще «рыбачить», т.к. делали словари с указанием конкретных марок автомобилей.

Вскоре нашли сотрудника, который регулярно выгружал из CRM информацию о клиентах у которых скоро заканчивается официальная гарантия. Очевидно, затем передавал её в альтернативные СТО или перепродавцам баз.

Думаю, эфир получился интересным и полезным. Могли лучше, но для первого раза - отлично. Переживал что начну засыпать или уставать из-за джетлага - но всё было норм.

Не всё по плану обсудили, но хорошо что вопросы из чата ответили.

Запись эфира: https://rutube.ru/video/228c50328cb2d0d0fbbce90676d2f01c/?r=a

Первые 28 минут нужно промотать - огрехи такого вида записи

Теперь я сертифицированный специалист кибербезопасности. 💪 🎉

Готовился несколько месяцев, собирался несколько лет. В начале хотел сдать CISSP, но появился вариант импротозамещения.

Отдельный респект НПО Эшелон за их инициативы!

Кстати, если интересно (пост наберёт 15 единорогов) - напишу подробнее о сертификациях специалистов в ИБ.

#схема
Жертве переводят деньги по номеру телефона, причём сумма может быть любой - от сот.рублей до десятков тысяч, и сразу звонят с просьбой вернуть. Причины какие угодно ("это мне с Авито оплатили но ошиблись номером", "Это мама деньги перевела но цифры перепутала", "я за покупку переводил"). В общем, выглядит всё благонадёжно: не мои деньги пришли, быстро нашёлся хозяин, просит вернуть. Зачастую просят вернуть по номеру карты (даже за вычетом комиссии).

А затем вам звонит уже "генерал-полковник по делам терроризма" и говорит что вы финансируете ВСУ, есть факт перевода денег и на вас заведено дело, но сарзу видно, что вы человек не плохой поэтому вам помогут, только переведите деньги на безопасный счёт на время следствия.

Ещё есть вариант что вас втянут в цепочку дропперства ,т.к. получаете вы серые деньги, а возвращаете белые. Комиссии и риски там такие, что перекрывают риск того, что 2 из 5 не вернут деньги.

В таких ситуациях переводить ничего никому нельзя! Пусть или запросят возврат через свой банк, или напишут обращение в банк, и опять же банк законно запросит возврат денег.

Предупреждён - вооружён (с). Знайте о такой схеме и не попадитесь на неё. А ещё защитите близких и знакомых.

#инцидент #расследование И ещё про автодилеров.
У одного автодилера упала конверсия воронки продаж физикам, но вот с юриками – всё пёрло. У клиента вызвал вопрос дизбаланс каналов продажи и нужны были факты чтобы разобраться.
Я побеседовал про процесс продаж – сначала ничего не обычного за что зацепиться не придумали. В процессе поиска чтоб начать "рыбачить" в том числе создал словари с VIN номерами машин в автосалоне, благо это можно сделать по маске зашив часть про производителя, марку и год, а порядковые номера машин с конвейера оставили под звёздочкой.
И это выстрелило! Один сотрудник регулярно копировал и пересылал сам себе информацию о клиентах, которые машину рассматривали, но уходили за кредитом или покопить денег. А часто через несколько дней именно такую машину выкупала лизинговая компания.

Конкретно в этом расследовании у меня не сошлась юнитэкономика схемы, но скорее всего это от того, что есть нюансы лизинга и кредитования, которые я не знаю. Как мне пояснил заказчик – лизинговая компания связывалась с клиентом, предлагала ему покупку заинтересовавшего авто через себя, а затем приходила к дилеру и покупала автомобиль; и каким-то образом это было менее выгодно компании, чем если бы клиент купил авто напрямую.

#схема
Картинка будет нагляднее текста :) Ясно, что ссылка фишинговая для получения учётных данных.

Предупреждён - вооружён (с). Знайте о такой схеме и не попадитесь на неё. А ещё защитите близких и знакомых.