Кибербезопасность для админа в Telegram

Знаю, что среди моих подписчиков много админов ИБ- и IT-каналов. Вот вам важное напоминание: не забывайте думать не только о контенте, но и о безопасности вашего канала и аккаунта. Иначе все ваши усилия и вложения в канал могут просто испариться. Давайте зафиксируем основные моменты, о которых нужно помнить, чтобы не стать жертвой мошенников. А если захотите почитать более подробно о рисках для админов, то рекомендую почитать статью одного небезызвестного вадминских кругах человека – Дениса Максимова.

Ну а теперь давайте разберем основные способы, которыми пользуются мошенники, чтобы красть ваши деньги, аккаунты, канал, данные (например, пароли и номера карт), и меры предосторожности.

Вирусы в файлах (бессмертная классика). Вам присылают архив (apk или zip) под любым предлогом: якобы с важным документом (например, договор или чек об оплате), который крадет сессию Telegram. После скачивания файла аккаунт исчезает с вашего устройства. Защита: отключите автоскачивание файлов в настройках мессенджера, не открывайте подозрительные вложения и следите за их расширениями.

Фишинговые логИны. Поддельные сервисы предлагают вам залогиниться при помощи Telegram, при этом просят код из SMS или пароль двухфакторной аутентификации. После этого, вы теряете доступ к аккаунту. Запомните: настоящие сервисы никогда не запрашивают эти данные. Всегда проверяйте URL сайта, куда логинитесь.

Угон через SIM-карту. Если мошенник получит доступ к вашему номеру, он может удалить аккаунт. Это можно сделать с помощью технических средств: перевыпуска симки, или перехвата СМС. Да, это становится делать все сложнее и дороже, но тем не менее. Скрывайте номер в настройках Telegram, а для каналов создавайте отдельный аккаунт-«призрак» без личной информации.

Массовые жалобы. Вас добавляют в запрещенный чат, делают его владельцем, а затем кидают на него жалобы. После этого администрация блокирует ваш аккаунт. Решение: в настройках запретите незнакомцам добавлять вас в группы.

Накрученные каналы. Вы договариваетесь о рекламе в канале, а вместо подписчиков получаете ботов. А можно получить ботов и просто так. Всегда анализируйте графики просмотров тех каналов, с которыми собираетесь сотрудничать: резкие скачки и «красные метки» в сервисах аналитики — признаки накрутки.

Всё остальное. Да, помимо всего того, что описано выше, ваши каналы будут под угрозой каждый раз, когда кто-то покусится на вас личный Телеграм-аккаунт, если не принять нужные меры предосторожности. Ну а после того, как злоумышленник завладеет вашим аккаунтом и каналом, вариантов может быть много – от его продажи, до распространения запрещенной информации или рекламы собственных ресурсов и товаров.

Так что не расслабляемся. Ваша внимательность защищает не только вас, но и тех, кто вам доверяет — ваших подписчиков и друзей. Делитесь опытом (того, как вас пытались взломать), поддерживайте коллег (если их коснулась подобная беда), и пусть ваши каналы делают мир лучше — без стресса и утечек данных. И да пребудут с вами двухфакторная аутентификация и здравый смысл 👍

⚡ Пакет Безопасности
😎 Security Club
🛍 Наши проекты

Напоминаю кстати про навигацию и другие проекты для всех новоприбывших или заблудившихся – ссылка

Навигация по вводным и полезным постам

- Интро
- О канале
- Об авторе
- Рубрики
- Подборки
- Спустя 2 года

Другие проекты

🙄Мой личный микроблог – ссылка
⚡ Пакет Безопасности – ссылка
👨‍🏫 Менторство ИБ – ссылка
😈 Культ Безопасности – ссылка
🧠 Пакет Знаний – ссылка
🗓 Пакет Мероприятий – ссылка
📋 Пакет Вакансий – ссылка
😂 Пакет IT-Мемов – ссылка
🤖 Кибербот – ссылка

Gemini теперь читает WhatsApp, даже если вы все отключили

Google расширяет полномочия ИИ‑ассистента Gemini. Теперь он получает доступ к уведомлениям из WhatsApp, SMS и других приложений. Даже если в настройках отключена активность приложений. То есть, вы все выключили, а он все равно видит, что вам пишут – через Google Assistant и встроенные утилиты.

Что известно:
– Gemini может считывать текст и изображения из уведомлений WhatsApp
– данные хранятся на устройстве до 72 часов «в целях безопасности»
– работает даже при отключенной активности приложений

Формально Google утверждает, что при отключенном ассистенте эти данные не идут на обучение ИИ. Фактически же они попадают в кэш и остаются на устройстве. Так что сложно понять, что там с ними может происходить на самом деле.

В любом случае, отключить ИИ‑ассистента можно вручную: Gemini → Профиль → Активность приложений → Отключить. Важный нюанс – даже после отключения функций Gemini может продолжать обрабатывать уведомления, если не удален полностью.

Можно конечно заморочиться посильнее и полностью удалить всё это добро через ADB: отладка по USB, подключение к ПК, удаление вручную. Но не уверен, что оно вам надо.

Кажется, что теперь Android – это не только про контроль пользователя, но и про контроль над пользователем. Добро пожаловать в этот чудный яблочный мир.

⚡ Пакет Безопасности
😎 Security Club
🛍 Наши проекты

А вот и воскресный дайджест!

⚡ Отметили юбилей в канале по 👨‍🏫 Менторству ИБ – через нас прошло уже больше 100 менти!

⚡ Наш с вами 😂 Пакет Мемов пробил 10 000 подписчиков, а это значит, что настало время идти регистрировать его в РКН

⚡ В 🗓 Пакете Мероприятий послетали ссылки в моем любимом календаре из-за ограничений Телеграма (да, новости бывают не только хорошие). Так что теперь буду думать, как это чинить

⚡ В 😈 Культе Безопасности вышла крутая коллаба с оффлайн-фестивалем «Вкуса Лета»

⚡ Я наконец-то домонтировал и выложил ролик "Менторство VS Онлайн-образование", так что айда смотреть, если еще не видели

⚡ Тут у меня сгорело на очередной анонимный мессенджер – ссылка

⚡ А здесь мы узнали, что Gemini теперь будет анализировать наши открытки в Вотсапе – ссылка

⚡ Еще на этой неделе прошел наикрутейший и вайбовый митап Assume Birch, где фортуна в очередной раз решила мне подарить двойную победу в бинго (подтверждение на фото)

Вот как-то так прошла эта неделя 🤨

А вы на парковке или в лифте?

Я честно сдерживал себя до последнего, чтобы не написать что-то про новый национальный мессенджер МАХ, но я уже просто не могу. Если коротко, то МАХ позиционируется как аналог WeChat (китайский гигамессенджер, в который встроены все экосистемы и сервисы страны), замена Телеграму и единое место как для общения, подачи заявок через Госуслуги, оплату парковки и вот это вот всё.


Так вот, я пережил рекламу от Инстасамки и запуск мемного тренда с парковкой. Рекламу от Дениса Дорохова, который вообще чуть ли не плачет, отыгрывая мемную концепцию улучшенной связи, продвигая MAX. Да и другие блогеры тоже не остались в стороне. При этом, распространяется реклама преимущественно через социальную сеть, официально запрещенную в РФ.

Параллельно с этим, по техническую сторону пиара форсируется тема того, что соткан новый мессенджер из библиотек, которые имеют отношение к недружественным странам. Кто-то пишет про то, что (вдохните) у них еще и SDK на дырявом и устаревшем Python 2 и Java 8 написаны (выдыхайте). Но это все ладно, сопротивление должно было быть – так уж у нас принято встречать всё новое и импортозамещаемое.

Финальным аккордом было то, что МАХ обвинили в слежке за пользователями. Но и тут я было уже сдержался. Но вдруг меня добило то, что новость об этом самом шпионаже была опубликована в Дзене, который, как и новый мессенджер, принадлежит VK 🤔

Слежка кстати заключается в том, что при установке приложение запрашивает доступ к такой информации, как переписка, геолокация, история звонков, фотографии и буфер обмена. Ну а при установке через RuStore мессенджер может собирать и данные о других приложениях на устройстве.

Всё, я выговорился, вам все рассказал. Теперь держите мой любимый мем (пока что) на эту тему.

Security by Obscurity

Представьте: вы прячете ключ от офиса под цветочным горшком на этаже. Дверь закрыта на замок, и вы надеетесь, что никто не догадается искать ключ рядом. Другой пример: в поездке президента сопровождает несколько машин – так, никто не знает точно, в которой из них едет глава государства. Это и есть Security by Obscurity – попытка защитить что-то ценное не за счет надежных механизмов, а за счет секретности или сложности обнаружения. Собственно об этой кибербезопасной концепции мы сегодня и поговорим.

Принцип Security by Obscurity подразумевает, что любая информационная система безопасна до тех пор, пока уязвимости остаются скрытыми. Эти лазейки в безопасности системы должны оставаться неизвестными для всех, кроме определенного круга лиц, например, разработчиков и архитекторов или как в случае из первого абзаца поста – только для сотрудников офиса.

В практическом кибербезе этот подход может быть реализован по-разному. Можно использовать обфускацию кода, вместо понятных имен переменных использовать случайные символы, скрыть названия внутренних систем или использовать неочевидные пути доступа к данным, например, через промежуточные идентификаторы и системы-прокладки.

В обычной жизни мы тоже часто полагаемся на неочевидность: прячем файлы в папке с невинным названием ☕, используем псевдонимы и не указываем телефон в соцсетях (но используем ФИО и номер везде при регистрации, да).

Главная опасность Security by Obscurity – ложное чувство безопасности. Когда вы верите, что спрятанное = защищенное, вы можете игнорировать реальные меры: сложные пароли, двухфакторную аутентификацию или своевременное обновление ПО. Если злоумышленник целенаправленно ищет лазейку, Security by Obscurity его не остановит. Хакеры же используют автоматизацию, сканеры, ботов и социнжиниринг, чтобы быстро находить "спрятанные" слабости.

Из-за этого в среде ИБ давно сложилось мнение, что "безопасность через неясность – это плохо". Так ли это на самом деле? Если вы хотите защитить свою систему только с помощью Security by Obscurity, то, очевидно, что это плохая идея: если "секрет" раскроется (а это вопрос времени), защита рухнет мгновенно. Настоящая безопасность – это слои, как матрешка (ну вы поняли). Obscurity – лишь один из них, который помогает снизить вероятность взлома.

⚡ Пакет Безопасности
😎 Security Club
🛍 Наши проекты

Я тут практически доделал мерч, поэтому ждите скоро большой розыгрыш чего-то интересного 🤩

Секонд-хенд твоих данных

Когда слышите про очередную утечку, не думайте, что все заканчивается на «взломали – утекло». Это только завязка. Настоящее начинается потом, когда ваши данные превращаются в товар, получают ценник в Monero (это такая крипта, популярная у хакеров) и уходят в плавание по даркнету.

Вот интересная статья, показывающая, как выглядит жизнь украденных данных после утечки:

- как и где их продают (спойлер, не только в даркнете);
- кто скупает (иногда это сами жертвы утечки);
- какие механики доверия и безопасности существуют у киберпреступников;
- что оценивается обычно в $150, а что – в $20.

Забавно, но факт – у киберпреступников все по-честному. Есть отзывы, гаранты, репутация продавца. Только вот торгуют они не кроссовками, а вашими данными.

И да, так уж получилось, что даркнетами в наше время пользуются далеко не только преступники, но и спецслужбы, и даже жертвы преступлений.

⚡ Пакет Безопасности
😎 Security Club
🛍 Наши проекты

Двухфакторка, которая смотрит в оба

Пока кто-то считает, что двухфакторка – это надежно, Lighthouse Reports выкатывают расследование. Они доказывают, что некоторые поставщики 2FA-решений связаны с разведками некоторых стран. И не просто где-то пересекаются на конференциях или анонимных квартирах, а встроены туда прямо на уровне системы.

И это уже далеко не первый подобный случай:
- Crypto AG – десятилетиями продавала своё полузащищенное оборудование, которое сливало всё, что только можно в сторону США и ФРГ.
- RSA когда-то за $10 млн внедрила слабый алгоритм от NSA прямо в свой криптомодуль.
- В 2024-м в XZ Utils заложили бэкдор, через который можно было удаленно запускать код на линукс-серверах. Библиотека, на секундочку, ставилась по умолчанию. Подозревают, само собой, разведку.

Это значит, что поставщик не обязательно ломает вас напрямую, да и не факт, что он в этом вообще заинтересован. Он просто делает так, чтобы при необходимости к вашим данным можно было удобно получить доступ.

Да, такова реальность. Такова обратная сторона удобства и оцифрованности нашего мира и быта. Так что нужно просто держать в голове то, что в любой момент кто-то может получить доступ к тому, что мы считаем приватным.

⚡ Пакет Безопасности
😎 Security Club
🛍 Наши проекты

Неделька, как и всегда, вышла весьма насыщенной, так что сразу погнали к нашему воскресному дайджесту 🎧

👨‍🏫 В Менторстве ИБ прошла неделя резюме, где мы даже успели разобрать один мемный пост из LinkedIn

🧠 В Пакете Знаний выложили список крутых Ютуб-каналов по кибербезу

📋 В Пакете Вакансий вас ждет крутая вакансия, связанная с построением личного бренда. А еще я там скоро выложу вакансию к себе в команду

📄 Ну а в Резюмешной выложено уже больше 20 проверенных резюме. В процессе проверки еще примерно столько же

⚡ Результаты опроса весьма воодушевляющие – надеюсь, все действительно так хорошо, как вы наголосовали)

⚡ Тут выговорился на тему моего нового любимого мессенджера – ссылка

⚡ Обсудили безопасность через неизвестность – ссылка

⚡ Выяснили, что происходит с нашими данными после их утечки – ссылка

⚡ Ну и узнали о том, почему двухфакторка – не панацея

⚡ А еще наш с вами канал стал инфопартнером конференции от крутых и атмосферных ребят из МКО – MOSCOW FORENSICS DAY, которая пройдет 11-12 сентября. Так что вэлкам на огонек.

#КиберМем

⚡ Пакет Безопасности
😎 Security Club
🛍 Наши проекты

Алло, это Позитив

Только недавно мы обсуждали новые схемы мошенничества через поддельные вакансии и вот на сцене СКАМа появилось что-то из этой же оперы. Сам я с таким пока не сталкивался, поэтому материал частично опирается на слова одного доброжелателя, который и поделился со мной своей историей. И важный момент – нацелена схема именно на безопасников.

Начинается все очень интересно – со звонка/сообщения/письма якобы от известных ИБ-компаний: Positive Technologies, Касперский, BIZОNE и т. д. Вежливо представляются и говорят, что проводят опрос для улучшения своего продукта Х. А дальше включается магия: «Вы ведь работали в N-компании в кибербезе? Занимались КИИ и сетями?».

И пока вы ловите теплый вайб признания от «коллег», вас уже раскручивают по методичке:
– какие стоят продукты;
– какие были атаки;
– как их отражали;
– где слабые места у вашей защиты (что бы вы хотели усилить или улучшить);
– какой бюджет был заложен.

Работает это просто: мошенники используют базы с резюме, прикрываются авторитетом бренда и не дают времени задуматься. Вы вроде просто делитесь мнением, а на самом деле кормите чужую разведку.

Что с этим делать (профдеформироваться!):
– не верьте на слово бренду, настоящие кастдевы/интервьюеры не задают вопросы про инфраструктуру и бюджеты;
– если чувствуете давление и слишком настойчивые вопросы, прочие манипулятивные техники – бросайте трубку без угрызений совести.

В общем, времена меняются и мошенники эволюционируют. Пока ИБ-отдел раздает наклейки «Никому не сообщай пароль», сам ИБ-специалист может слить архитектуру сети первому позвонившему «коллеге». А потом мы удивляемся, откуда у атакующих такая точность. А они просто вежливо спросили 😐

⚡ Пакет Безопасности
😎 Security Club
🛍 Наши проекты