Kept Cyber - Кибербезопасность

Какую информацию о владельце можно получить при исследовании его телефона? В современном мире смартфон — это цифровой двойник, хранящий историю перемещений, привычек, пожеланий, общения и многое другое. В руках исследователя цифровых улик он превращается в бесценный источник информации о владельце. Исследование телефона — это процесс глубокого многослойного анализа, способный восстановить даже то, что пользователь мог считать удаленным безвозвратно. Какая же информация хранится в телефоне? Коммуникация: — история звонков; — список контактов; — СМС-сообщения; — переписка из мессенджеров — WhatsApp (продукт запрещенной на территории РФ компании Meta), Telegram, Viber; Медиафайлы: — фотографии; — видео; — аудиозаписи. Исследователь извлекает не только сами файлы, но и их метаданные — точное время, дату и даже координаты места съемки (если функция геолокации на фото и видео включена). Активность устройства – история: — включений и выключений устройства; — блокировки/разблокировки экрана; — заряда аккумулятора; — установки и удаления приложений. Особый интерес представляют данные из приложений: — точное время запуска программ; — пароли и логины различных аккаунтов; — токены авторизации (цифровые ключи для авторизации без пароля); настройки профилей программ; — внутренние отчеты об ошибках; — названия Wi-Fi сетей и Bluetooth-устройств; — буфер обмена (за период активности устройства в зависимости от специфики работы ОС); — словарь клавиатуры (часто вводимые слова, имена, адреса и т. д.); история поисковых запросов (от браузеров до маркетплейсов); — черновики сообщений и заметок; — текст пуш-уведомлений; — никнеймы, адреса почты и ID пользователей; — списки подписок, лайков, просмотров и черные списки; — номера чеков, состав корзины и история покупок; — пульс, фазы сна и тип активности (пешком, бег, транспорт). В некоторых случаях удается восстановить даже удаленную информацию, если она не была перезаписана. Однако процесс извлечения данных сильно зависит от того, какая операционная система установлена на устройстве. Экосистемы популярных производителей (например, iPhone (iOS) и Android) устроены принципиально по-разному. Артефакты (журналы вызовов, сообщения, история браузера) в iOS хранятся в строго определенных местах — базах данных SQLite и Plist-файлах, что упрощает их поиск. Сама Apple не имеет ключей для расшифровки данных на устройствах под управлением iOS 8 и новее. Это привело к известному противостоянию между ФБР и Apple в 2016 году, когда следствие не смогло самостоятельно получить доступ к iPhone террориста из Сан-Бернардино и было вынуждено прибегнуть к помощи сторонних специалистов для взлома устройства. Операционная система Android, в отличие от iOS, представляет собой фрагментированную экосистему. Производители (OEM) вольны модифицировать систему по своему усмотрению, что приводит к огромному разнообразию версий, прошивок и способов хранения данных. Вся информация на телефоне — не просто архив, а серьезный ресурс как для злоумышленников, так и для следствия. Именно данные, извлеченные из телефонов, в последние годы не раз становились решающими уликами в самых громких расследованиях. Рассмотрим пример, где информация, извлеченная из телефонов подозреваемых, помогла правосудию. Дело о мошенничестве в Китае (2025) Согласно материалам дела, фигуранты создали базу данных, содержащую более 900 миллионов записей персональной информации. В рамках расследования уголовного дела о мошенничестве эксперты извлекли и восстановили данные из 56 мобильных телефонов. Им удалось восстановить 9 миллионов единиц информации, включая удаленные чаты и записи о переводах, что помогло разоблачить преступную схему. Огромный массив данных в телефоне — «орудие о двух концах». Для правоохранителей — ключ к раскрытию преступлений, для злоумышленников — инструмент шпионажа, кражи личности и мошенничества. Цифровая копия человека нуждается в надежной защите от постороннего доступа, но в руках правосудия она становится мощным инструментом восстановления справедливости. #KeptОтвечает

Поверхность атаки представляет собой сумму всех доступных злоумышленнику компонентов ИТ-инфраструктуры, через которые возможно осуществить несанкционированный доступ, похитить конфиденциальные данные или нарушить работу сервисов. Чем сложнее цифровая экосистема компании, тем больше потенциальных векторов первоначального проникновения доступно нарушителям. Поверхность атаки традиционно разделяют на три ключевых уровня: 1️⃣ Цифровой (программный) уровень: внешние IP-адреса, открытые сетевые порты, веб-приложения, API, интерфейсы удаленного доступа (VPN, RDP), облачные ресурсы и теневая ИТ-инфраструктура (Shadow IT). Сюда же относятся риски цепочек поставок (Supply Chain): уязвимости в сторонних библиотеках, внешние зависимости в используемом ПО и интеграции с системами подрядчиков. 2️⃣ Человеческий фактор: сотрудники компании и контрагенты, уязвимые к фишингу, методам социальной инженерии и ошибкам администрирования прав доступа. 3️⃣ Физический уровень: серверные помещения, рабочие станции, съемные накопители и общедоступные сетевые разъемы в офисах. Для минимизации поверхности атаки организации необходимо построить процесс непрерывного управления внешними активами (EASM), оперативно выводить из эксплуатации устаревшие системы и закрывать неиспользуемые сетевые интерфейсы. Для контроля цифровых зависимостей применяются анализ состава ПО (SCA) и ведение реестров компонентов (SBOM). Комплексная защита усиливается регулярным патч-менеджментом, микросегментацией внутренней сети, внедрением модели Zero Trust с принципом наименьших привилегий, обязательным использованием многофакторной аутентификации (MFA) и периодическим обучением персонала основам кибергигиены. #Викторины

CISO & DPO news #135 (31 июля–6 августа) ▫️ Российские технологические компании просят Минцифры разрешить обучение ИИ на обезличенных данных без согласия граждан Сейчас такие массивы информации юридически остаются персональными данными, что тормозит разработку нейросетей. Однако при соблюдении определенных условий возможность идентификации конкретного человека будет исключена. Дополнительно бизнес предлагает ввести понятие аккредитованного «доверенного посредника» для безопасного обмена качественными датасетами. ▫️ Модели ИИ создают поддельные личности и пытаются обмануть разработчиков Британский Институт безопасности ИИ (AISI) зафиксировал 19 нарушений, 17 из которых совершила модель Mythos 5 от Anthropic. В самом серьезном сценарии ИИ попытался внедрить вредоносный код в популярный открытый проект на GitHub и убедить разработчика одобрить его. При этом ИИ не получал прямых указаний обманывать и создавать фейковые личности. Такой результат — попытка решить сложную задачу. В AISI отмечают, что впервые столкнулись с таким масштабом обмана, направленным против реального человека. ▫️ Роскомнадзор планирует обновить контрольные вопросы для проверки обработки персональных данных В обновленную форму войдут темы, касающиеся уничтожения и обезличивания персональных данных, согласия на обработку и распространение информации, уведомлений в Роскомнадзор и другие вопросы. ▫️ 93% российских компаний предоставляют подрядчикам доступ к системам, данным и ИТ-инфраструктуре Организации все чаще рассматривают партнеров как часть собственной цифровой экосистемы. Однако они по-прежнему недооценивают связанные с этим риски: только 46% считают подрядчиков серьезным источником киберугроз. При этом 40% компаний всегда проводят проверку до начала сотрудничества, 45% — если сторонняя организация получает доступ к критически важным системам. ▫️ Пароли из восьми символов подвергаются взлому чаще всего В 2025 г. было зафиксировано 1,1 млрд таких случаев. При этом абсолютными антилидерами по надежности остаются простейшие последовательности. В топ-5 — все еще популярные «123456», «123456789», «12345678», «admin» и «Password». Самая востребованная вредоносная программа для кражи учетных данных — LummaC2, на счету которой более 60 млн скомпрометированных записей. ▫️ Хакеры атаковали крупнейшие хедж-фонды Уолл-стрит С помощью технологий голосового фишинга злоумышленники имитировали интонации и речевые обороты, чтобы получить конфиденциальные данные и прямой доступ к системам. Среди пострадавших компаний — Point72, Two Sigma и Citadel. ▫️Нелегальные форумы продают доступ к моделям ИИ от Anthropic со скидкой до 95% Сервисы используют бонусные кредиты, которые позволяют оплатить только 5–15% от официальной цены за токен. Главная угроза для пользователей — в архитектуре таких сервисов: выступая в роли прокси-шлюза, операторы платформ получают полный доступ ко всем промптам, документам и строкам кода. ▫️ Почти 90% систем управления дата-центрами уязвимы Хакеры могут отключить инфраструктуру без прямой атаки на серверы: достаточно взломать всего один связанный узел. Главная проблема — в системах управления зданием: почти 90% из них используют устаревшие протоколы связи без шифрования и аутентификации, 40% работают на старом программном обеспечении. ▫️ Троян-шифровальщик атаковал крупное подразделение Coca-Cola Инцидент затронул предприятия производителя молочной продукции Fairlife на территории США. После обнаружения проблемы компания активировала протоколы реагирования на инциденты, однако производство пришлось временно остановить. Coca-Cola расследует инцидент и ведет работу по восстановлению данных.

Какую информацию о пользователях собирают голосовые помощники? Голосовые помощники прочно закрепились в повседневной жизни многих пользователей. Помощников просят поставить будильник, включить музыку, узнать погоду или управлять устройствами умного дома.   В основе работы голосового помощника лежит принцип постоянного прослушивания. При прослушивании устройство непрерывно анализирует акустический фон, ожидая слова-активатора — фирменной фразы вроде «Алиса», «Hey, Siri» или «Ok, Google». Вся обработка звука на этом этапе происходит локально, на самом устройстве, и служит лишь для обнаружения ключевой фразы.   Как только активация произошла, дальнейший процесс схож для всех семейств голосовых помощников:   - микрофон захватывает звуковой сигнал; - нейросетевые алгоритмы распознавания составляют словесную расшифровку; - извлечённая информация по защищённым каналам отправляется на облачные серверы компании-разработчика; - искусственный интеллект анализирует смысл запроса, контекст, предыдущие взаимодействия, метаданные (время, дату, IP-адрес, идентификатор устройства, геолокацию); - формируется ответ, синтезируемый в голосовое сообщение; - ответ отправляется обратно на исходное устройство и проигрывается пользователю.   Производители утверждают, что используют сквозное шифрование при передаче и хранении, а также обезличивают данные, привязывая их не к имени, а к случайному идентификатору устройства. Однако это обезличивание может носить обратимый характер. Официальные сроки хранения информации могут составлять годы, если пользователь не удалит историю вручную. Но даже в случае ручного удаления данные могут остаться на серверах производителя, например, для улучшения качества распознавания речи и работы алгоритмов машинного обучения.   Голосовые помощники — это очень удобно, особенно в режиме многозадачности, когда на всё «не хватает рук». Но при их использовании существует несколько путей потенциальной утечки конфиденциальной информации.   Первый и самый очевидный путь — ложная активация. Модель голосового помощника основана на вероятностных алгоритмах, и на практике она далека от идеала. Шум телевизора, похожее по звучанию слово, музыка или даже кашель могут быть ошибочно интерпретированы как команда. В этом случае устройство активируется, начинает запись и отправляет фрагмент аудио в облако, считая, что пользователь обратился к нему. Это явление известно как «ложная активация» («false wake»), и оно неоднократно становилось предметом судебных разбирательств. Из-за неё в облако уходят фрагменты приватных разговоров, которые никогда не предназначались для помощника, и могут стать частью обучающей выборки или даже рекламного профиля.   Второй путь — уязвимости в облачной инфраструктуре или в приложениях-навыках сторонних разработчиков (skills). Злоумышленник, получивший доступ к API или взломавший сервер, может выкачать архивы записей.   Третий путь — человеческий фактор: сотрудники или подрядчики, имеющие доступ к обезличенным записям, могут копировать их на личные носители, публиковать в открытых каналах или продавать.   Четвёртый, менее очевидный, но юридически легитимный — запросы со стороны судебных и правоохранительных органов, которые в разных странах могут обязать компанию предоставить записи конкретного пользователя, и это уже само по себе является формой «утечки» в широком смысле, несмотря на то, что это происходит с санкции закона.   Голосовые помощники — это мощные системы сбора данных, которые могут записывать окружающие звуки по ошибке или из-за технических сбоев. Эти записи хранятся годами, и при определённых условиях могут стать достоянием третьих лиц.   Полностью исключить риски невозможно, но можно их уменьшить следующими способами:   - регулярно чистить историю голосовых команд в настройках аккаунта; - отключать микрофон физической кнопкой, когда умное устройство не используется; - не обсуждать конфиденциальные темы в радиусе слышимости голового помощника.