Хакерська атака на "Київстар" – привід замислитися про кібербезпеку
Це поширена помилка, коли кібербезпека сприймається як просто додаткові витрати, насправді це - страхування: невеликим коштом запобігаєш значно більшим збиткам.
Після хакерської атаки на "Київстар" у користувачів оператора виникло чимало запитань: вплив на роботу бізнесів, вплив на шахрайство у фінансовій сфері через можливий витік даних абонентів. Та й узагалі, чи переживати пересічним громадянам про свої кошти? Роз’яснюю.
По-перше, це дивно, коли банки, торгові мережі, маркетплейси та інші організації роблять невіддільним елементом свого бізнес-процесу номер мобільного телефону. Бо вони не можуть контролювати, чи працює він взагалі. Йдеться про всі ці підтвердження у вигляді смс, необхідні для здійснення купівлі, сплати чи доступу до акаунту.
У сфері кібербезпеки підтвердження через смс чи дзвінок на мобільний телефон ніколи не було надійним. Додати до звичайного логін-пароля (які легко вкрасти) підтвердження через "другий фактор" - свого часу така ідея вважалася проривною для безпеки. Але справжній "другий фактор" - це те, що є тільки в тебе, є твоєю власністю. А номер мобільного оператора знаходиться в іншому місці та керується іншими людьми. Він, по суті, тобі не належить. Це найголовніше, що варто врахувати.
Класичне розуміння другого фактора – це токен чи додаток на твоєму мобільному телефоні, що генерує випадкові коди, які швидко змінюються. Без фізичного доступу до твого пристрою зловмисник просто не зможе надати "друге підтвердження".
Коли зламали "Київстар", робота деяких бізнесів просто спинилася, адже частина критичних процесів спиралася саме на мобільного оператора. Наприклад, POS-термінали, які обслуговують клієнтів. Одна справа, коли такий термінал під'єднано до мережі ТРЦ (де зазвичай кілька інтернет-провайдерів), інша - коли невеликий бізнес до свого процесингу підключає термінал через 4G оператора. Що ми бачимо і зараз. Деякі термінали досі не відновили свою роботу. Або ж через ненадходження смс люди були вимушені відмовитися від онлайн-покупки та йти в інші інтернет-магазини, де прив’язки до смс-повідомлень у процесі купівлі не було.
Злив даних мобільного оператора небезпечний і тим, що оператор знає, які комунікації здійснював абонент, звідки абонент отримує смс, період його активності, які ресурси відвідує абонент і навіть те, де він частіше за все буває фізично. І оця інформація опиняється у хакера. Легко визначити, наприклад, послугами яких банків абонент користується. Маючи CDR та інші дані технічних систем, хакер може спрофілювати цілі групи абонентів, поділивши їх за пріоритетністю. А далі можливо все - фішинг, фейкові телефонні дзвінки нібито від представників банку та інша соціальна інженерія. У будь-якому випадку інформація, вкрадена зловмисниками в мобільного оператора, може допомогти якщо і не зламати дані абонента, то ретельно підготуватися до подальших серйозних кроків із фінансовими махінаціями. Саме тому витік даних мобільних операторів у рази збільшує ризики для користувачів мобільного банкінгу.
Ще одна загроза - мобільні банківські додатки для операцій, у яких банк може запросити додаткове підтвердження. Наприклад, деякі банки надсилають смс із кодом на ваш фінансовий номер телефону. А деякі замість смс генерують код просто у мобільному додатку. Ця механіка дещо безпечніша.
Важливе питання, чи повністю вичищена присутність хакерів у мережі оператора? Якщо ні, то для зловмисників лишається можливість перехвату змісту смс від банків у режимі реального часу. А це ще раз нагадує, що банкам уже давно слід замислитися та переробити механіку підтверджень. Для цього є багато інших технологій, хоча б замість смс використовувати щось на кшталт Google Authenticator.
Бізнесам варто подумати про те, як забезпечити безперервність свого бізнесу в майбутньому. І тут також є варіанти: кілька ліній зв’язку, які між собою не перетинаються, наприклад, "оптичний" інтернет та інтернет 4G.
Зважаючи на те, яка перерва у діяльності бізнесів була спричинена нещодавнім збоєм мобільного звʼязку, варто передивитися всі бізнес-процеси та зрозуміти, які з них є критично прив’язаними до сервісів сторонніх компаній. І йдеться тут не лише про "Київстар".
Програма-мінімум для бізнесів і фінансових установ така:
• визначити критичні місця своїх операційних процесів, що залежать від сторонніх постачальників, та подумати про альтернативні варіанти - як переробити ланцюг постачання, аби він перестав бути «стопером» якщо щось у постачальника «зламається». Наприклад, альтернативою прив’язці коду з смс може бути електронна пошта;
• проводити регулярну ревізію використовуваних технологій, зокрема технологій захисту. Систематично відмовлятися від застарілих і "так історично склалося" на користь сучасних технологій. Окремо банкам та фінустановам рекомендую "забути" про телефонний номер клієнта та смс на нього і знайти більш безпечні рішення;
• кібербезпеку будують як інтегратори, так і оператори кібербезпеки на аутсорсі;
• кожен бізнес по-своєму унікальний. Тож аби підвищити безпеку його роботи з урахуванням усіх нюансів – звертайтеся до професіоналів по консультації та рішення.
- Стягнення коштів, які належать особі, яка має заборгованість перед боржником Євген Морозов 10:30
- Справи про адміністративні правопорушення, які розглядають ТЦК і СП Євген Морозов вчора о 12:18
- "Єдиний" спосіб оскарження результатів оцінки в рамках виконавчого провадження Євген Морозов 04.10.2024 12:19
- Wi-Fi у школах: на якому етапі ми зараз і як відбувається облаштування Петро Оленич 04.10.2024 12:07
- Perplexity AI: Коли пошуковик розуміє вас з півслова Олеся Стойко 04.10.2024 07:40
- Як збільшити прибуток через систематизацію бізнес-процесів Жанна Кудрицька 03.10.2024 22:44
- Визначаємо місця проживання дитини під час війни Світлана Приймак 03.10.2024 19:22
- Декілька роздумів щодо "тарифного подвигу" Укрпошти Олег Пендзин 03.10.2024 16:44
- Забезпечення прав людини в умовах війни Дмитро Зенкін 03.10.2024 14:16
- Відключення споживачів від комунальних послуг за борги по ЖКХ Євген Морозов 03.10.2024 12:24
- Я вдома! Як ефективно встановити і захистити особисті кордони Алла Заднепровська 03.10.2024 09:07
- Де знайти додаткові інвестиції: кредит, грант чи інвестор? Костянтин Соловйов 02.10.2024 20:37
- Мобілізація по новому. Особливості призову командирами ВЧ Ігор Калініченко 02.10.2024 17:34
- Зобов`язання ДПС України зареєструвати в ЄРПН податкову накладну Євген Морозов 02.10.2024 12:16
- Бізнес під прицілом: як новітні розвідтехнології стають щитом в умовах війни Ігор Шевцов 02.10.2024 10:21
- Відбір постачальника – це не вся закупівля: ключові ролі в закупівельному процесі 293
- Мобілізація по новому. Особливості призову командирами ВЧ 249
- Відстрочка від мобілізації для студентів іноземних ВНЗ: Покарання невинних за чужі провини 228
- Де знайти додаткові інвестиції: кредит, грант чи інвестор? 120
- Бізнес під прицілом: як новітні розвідтехнології стають щитом в умовах війни 78
-
Італія звинувачує сім осіб і дві компанії у бракованих деталях для літаків Boeing
Бізнес 5806
-
В Україні сповільнилося зростання реальних зарплат, у НБУ назвали причини
Фінанси 5141
-
"На черзі – власні ракети дальністю ураження 700 км". Стаття Горбуліна та Бадрака
3617
-
На Хмельницькій АЕС збудують захисні споруди вартістю 1,7 млрд грн
Бізнес 2790
-
"Чудовиська": що за дискусія навколо серіалу від Netflix
Життя 1897