Хакерська атака на "Київстар" – привід замислитися про кібербезпеку
Це поширена помилка, коли кібербезпека сприймається як просто додаткові витрати, насправді це - страхування: невеликим коштом запобігаєш значно більшим збиткам.
Після хакерської атаки на "Київстар" у користувачів оператора виникло чимало запитань: вплив на роботу бізнесів, вплив на шахрайство у фінансовій сфері через можливий витік даних абонентів. Та й узагалі, чи переживати пересічним громадянам про свої кошти? Роз’яснюю.
По-перше, це дивно, коли банки, торгові мережі, маркетплейси та інші організації роблять невіддільним елементом свого бізнес-процесу номер мобільного телефону. Бо вони не можуть контролювати, чи працює він взагалі. Йдеться про всі ці підтвердження у вигляді смс, необхідні для здійснення купівлі, сплати чи доступу до акаунту.
У сфері кібербезпеки підтвердження через смс чи дзвінок на мобільний телефон ніколи не було надійним. Додати до звичайного логін-пароля (які легко вкрасти) підтвердження через "другий фактор" - свого часу така ідея вважалася проривною для безпеки. Але справжній "другий фактор" - це те, що є тільки в тебе, є твоєю власністю. А номер мобільного оператора знаходиться в іншому місці та керується іншими людьми. Він, по суті, тобі не належить. Це найголовніше, що варто врахувати.
Класичне розуміння другого фактора – це токен чи додаток на твоєму мобільному телефоні, що генерує випадкові коди, які швидко змінюються. Без фізичного доступу до твого пристрою зловмисник просто не зможе надати "друге підтвердження".
Коли зламали "Київстар", робота деяких бізнесів просто спинилася, адже частина критичних процесів спиралася саме на мобільного оператора. Наприклад, POS-термінали, які обслуговують клієнтів. Одна справа, коли такий термінал під'єднано до мережі ТРЦ (де зазвичай кілька інтернет-провайдерів), інша - коли невеликий бізнес до свого процесингу підключає термінал через 4G оператора. Що ми бачимо і зараз. Деякі термінали досі не відновили свою роботу. Або ж через ненадходження смс люди були вимушені відмовитися від онлайн-покупки та йти в інші інтернет-магазини, де прив’язки до смс-повідомлень у процесі купівлі не було.
Злив даних мобільного оператора небезпечний і тим, що оператор знає, які комунікації здійснював абонент, звідки абонент отримує смс, період його активності, які ресурси відвідує абонент і навіть те, де він частіше за все буває фізично. І оця інформація опиняється у хакера. Легко визначити, наприклад, послугами яких банків абонент користується. Маючи CDR та інші дані технічних систем, хакер може спрофілювати цілі групи абонентів, поділивши їх за пріоритетністю. А далі можливо все - фішинг, фейкові телефонні дзвінки нібито від представників банку та інша соціальна інженерія. У будь-якому випадку інформація, вкрадена зловмисниками в мобільного оператора, може допомогти якщо і не зламати дані абонента, то ретельно підготуватися до подальших серйозних кроків із фінансовими махінаціями. Саме тому витік даних мобільних операторів у рази збільшує ризики для користувачів мобільного банкінгу.
Ще одна загроза - мобільні банківські додатки для операцій, у яких банк може запросити додаткове підтвердження. Наприклад, деякі банки надсилають смс із кодом на ваш фінансовий номер телефону. А деякі замість смс генерують код просто у мобільному додатку. Ця механіка дещо безпечніша.
Важливе питання, чи повністю вичищена присутність хакерів у мережі оператора? Якщо ні, то для зловмисників лишається можливість перехвату змісту смс від банків у режимі реального часу. А це ще раз нагадує, що банкам уже давно слід замислитися та переробити механіку підтверджень. Для цього є багато інших технологій, хоча б замість смс використовувати щось на кшталт Google Authenticator.
Бізнесам варто подумати про те, як забезпечити безперервність свого бізнесу в майбутньому. І тут також є варіанти: кілька ліній зв’язку, які між собою не перетинаються, наприклад, "оптичний" інтернет та інтернет 4G.
Зважаючи на те, яка перерва у діяльності бізнесів була спричинена нещодавнім збоєм мобільного звʼязку, варто передивитися всі бізнес-процеси та зрозуміти, які з них є критично прив’язаними до сервісів сторонніх компаній. І йдеться тут не лише про "Київстар".
Програма-мінімум для бізнесів і фінансових установ така:
• визначити критичні місця своїх операційних процесів, що залежать від сторонніх постачальників, та подумати про альтернативні варіанти - як переробити ланцюг постачання, аби він перестав бути «стопером» якщо щось у постачальника «зламається». Наприклад, альтернативою прив’язці коду з смс може бути електронна пошта;
• проводити регулярну ревізію використовуваних технологій, зокрема технологій захисту. Систематично відмовлятися від застарілих і "так історично склалося" на користь сучасних технологій. Окремо банкам та фінустановам рекомендую "забути" про телефонний номер клієнта та смс на нього і знайти більш безпечні рішення;
• кібербезпеку будують як інтегратори, так і оператори кібербезпеки на аутсорсі;
• кожен бізнес по-своєму унікальний. Тож аби підвищити безпеку його роботи з урахуванням усіх нюансів – звертайтеся до професіоналів по консультації та рішення.
- Тримай стрій. Бо за спиною – Україна Дана Ярова вчора о 11:07
- Як керувати бізнесом за тисячі кілометрів і залишатися лідеркою: мій особистий досвід Наталія Павлючок вчора о 09:48
- Как уменьшить долги за коммуналку, если вы были за границей или не жили дома Віра Тарасенко 23.06.2025 19:28
- Бухгалтерські документи як доказ: як працює судова експертиза Олексій Ільченко 23.06.2025 16:45
- Енергетична автономія бізнесу: як встановити й підключити власну електростанцію у 2025 Ростислав Никітенко 23.06.2025 13:51
- Розмежування судових економічних експертиз: спеціальності 11.1, 11.2, 11.3 Юрій Григоренко 23.06.2025 12:00
- Коли держава робить вигляд, що не чує, ми вчимося кричати Дана Ярова 23.06.2025 11:35
- Банкрутство компанії: покрокова процедура Альона Пагер 22.06.2025 23:16
- Невидима межа між формальністю і правом: коли уважність важить більше, ніж доступ до суду Світлана Приймак 22.06.2025 20:11
- Дискреція не без меж: перші рішення на користь кандидатів до апеляцій Тетяна Огнев'юк 22.06.2025 18:13
- Право на освіту і обов’язок захищати державу: як знайти баланс? Анна Даніель 21.06.2025 10:22
- Велике крадiвництво № 4 Володимир Стус 20.06.2025 19:53
- Наша війна надовго.... Володимир Горковенко 20.06.2025 14:03
- Мезонінне інвестування в девелопмент: як не стати власником недобудови Роман Бєлік 19.06.2025 21:04
- Реформа ДПП як шанс залучити приватний капітал до відбудови Галина Янченко 19.06.2025 16:22
- Дискреція не без меж: перші рішення на користь кандидатів до апеляцій 1540
- Множинне громадянство: що змінює новий закон і які ризики він несе Україні 266
- Як керувати бізнесом за тисячі кілометрів і залишатися лідеркою: мій особистий досвід 164
- Мезонінне інвестування в девелопмент: як не стати власником недобудови 160
- Право на освіту і обов’язок захищати державу: як знайти баланс? 106
-
Фізична втома ні до чого – "правило п’яти хвилин" допоможе впоратися з ментальним виснаженням
Життя 10685
-
Трансжири, "Е-шки" і фальшива екопродукція: як читати етикетки на продуктах
Життя 7690
-
Шпаргалка молодості: як визначити свій тип старіння шкіри та відстрочити дедлайн вікових змін
Життя 6198
-
Що буде з Україною без зброї США. Три сценарії та нова роль Європи
5789
-
Ядерна точка біфуркації: завдання для України
Думка 4335