Хакерська атака на "Київстар" – привід замислитися про кібербезпеку
Це поширена помилка, коли кібербезпека сприймається як просто додаткові витрати, насправді це - страхування: невеликим коштом запобігаєш значно більшим збиткам.
Після хакерської атаки на "Київстар" у користувачів оператора виникло чимало запитань: вплив на роботу бізнесів, вплив на шахрайство у фінансовій сфері через можливий витік даних абонентів. Та й узагалі, чи переживати пересічним громадянам про свої кошти? Роз’яснюю.
По-перше, це дивно, коли банки, торгові мережі, маркетплейси та інші організації роблять невіддільним елементом свого бізнес-процесу номер мобільного телефону. Бо вони не можуть контролювати, чи працює він взагалі. Йдеться про всі ці підтвердження у вигляді смс, необхідні для здійснення купівлі, сплати чи доступу до акаунту.
У сфері кібербезпеки підтвердження через смс чи дзвінок на мобільний телефон ніколи не було надійним. Додати до звичайного логін-пароля (які легко вкрасти) підтвердження через "другий фактор" - свого часу така ідея вважалася проривною для безпеки. Але справжній "другий фактор" - це те, що є тільки в тебе, є твоєю власністю. А номер мобільного оператора знаходиться в іншому місці та керується іншими людьми. Він, по суті, тобі не належить. Це найголовніше, що варто врахувати.
Класичне розуміння другого фактора – це токен чи додаток на твоєму мобільному телефоні, що генерує випадкові коди, які швидко змінюються. Без фізичного доступу до твого пристрою зловмисник просто не зможе надати "друге підтвердження".
Коли зламали "Київстар", робота деяких бізнесів просто спинилася, адже частина критичних процесів спиралася саме на мобільного оператора. Наприклад, POS-термінали, які обслуговують клієнтів. Одна справа, коли такий термінал під'єднано до мережі ТРЦ (де зазвичай кілька інтернет-провайдерів), інша - коли невеликий бізнес до свого процесингу підключає термінал через 4G оператора. Що ми бачимо і зараз. Деякі термінали досі не відновили свою роботу. Або ж через ненадходження смс люди були вимушені відмовитися від онлайн-покупки та йти в інші інтернет-магазини, де прив’язки до смс-повідомлень у процесі купівлі не було.
Злив даних мобільного оператора небезпечний і тим, що оператор знає, які комунікації здійснював абонент, звідки абонент отримує смс, період його активності, які ресурси відвідує абонент і навіть те, де він частіше за все буває фізично. І оця інформація опиняється у хакера. Легко визначити, наприклад, послугами яких банків абонент користується. Маючи CDR та інші дані технічних систем, хакер може спрофілювати цілі групи абонентів, поділивши їх за пріоритетністю. А далі можливо все - фішинг, фейкові телефонні дзвінки нібито від представників банку та інша соціальна інженерія. У будь-якому випадку інформація, вкрадена зловмисниками в мобільного оператора, може допомогти якщо і не зламати дані абонента, то ретельно підготуватися до подальших серйозних кроків із фінансовими махінаціями. Саме тому витік даних мобільних операторів у рази збільшує ризики для користувачів мобільного банкінгу.
Ще одна загроза - мобільні банківські додатки для операцій, у яких банк може запросити додаткове підтвердження. Наприклад, деякі банки надсилають смс із кодом на ваш фінансовий номер телефону. А деякі замість смс генерують код просто у мобільному додатку. Ця механіка дещо безпечніша.
Важливе питання, чи повністю вичищена присутність хакерів у мережі оператора? Якщо ні, то для зловмисників лишається можливість перехвату змісту смс від банків у режимі реального часу. А це ще раз нагадує, що банкам уже давно слід замислитися та переробити механіку підтверджень. Для цього є багато інших технологій, хоча б замість смс використовувати щось на кшталт Google Authenticator.
Бізнесам варто подумати про те, як забезпечити безперервність свого бізнесу в майбутньому. І тут також є варіанти: кілька ліній зв’язку, які між собою не перетинаються, наприклад, "оптичний" інтернет та інтернет 4G.
Зважаючи на те, яка перерва у діяльності бізнесів була спричинена нещодавнім збоєм мобільного звʼязку, варто передивитися всі бізнес-процеси та зрозуміти, які з них є критично прив’язаними до сервісів сторонніх компаній. І йдеться тут не лише про "Київстар".
Програма-мінімум для бізнесів і фінансових установ така:
• визначити критичні місця своїх операційних процесів, що залежать від сторонніх постачальників, та подумати про альтернативні варіанти - як переробити ланцюг постачання, аби він перестав бути «стопером» якщо щось у постачальника «зламається». Наприклад, альтернативою прив’язці коду з смс може бути електронна пошта;
• проводити регулярну ревізію використовуваних технологій, зокрема технологій захисту. Систематично відмовлятися від застарілих і "так історично склалося" на користь сучасних технологій. Окремо банкам та фінустановам рекомендую "забути" про телефонний номер клієнта та смс на нього і знайти більш безпечні рішення;
• кібербезпеку будують як інтегратори, так і оператори кібербезпеки на аутсорсі;
• кожен бізнес по-своєму унікальний. Тож аби підвищити безпеку його роботи з урахуванням усіх нюансів – звертайтеся до професіоналів по консультації та рішення.
- Ключові інструменти, які допоможуть виграти найскладніші перемовини: поради підприємцям Владислав Пʼявка 10:46
- Харасмент у школах: чому мовчати небезпечно і як створити безпечне середовище для дітей Олександра Нікітіна 10:40
- З чого почати масштабування і систематизацію бізнесу Олександр Висоцький 10:29
- Як зменшити пори на обличчі? Вікторія Жоль 10:21
- Чи варто боятися фінмоніторингу? Сергій Пагер 08:40
- Що означає бути громадянином? Дмитро Зенкін вчора о 09:44
- Дві нові "гарячі точки" в Азійському регіоні Георгій Тука вчора о 07:54
- Європейський вибір України: Як суспільство звільняється від пострадянського минулого Штефан Сабау 26.04.2025 23:00
- Дзеркальні кроки – основа переговорного процесу Сергій Пєтков 26.04.2025 07:28
- Післяплата через Нову пошту та NovaPay: чи потрібен фіскальний чек? Арсен Маринушкін 26.04.2025 00:43
- ТЦК проти позову: розбираю відзив на позов, коментую, відповіді Павло Васильєв 25.04.2025 21:39
- Очікування vs реальність: правда про старт кар’єри в IT Сергій Немчинський 25.04.2025 10:36
- З чого починати описувати бізнес-процеси? Жанна Кудрицька 24.04.2025 23:46
- Неустойка за неповернення майна з оренди: між штрафом та пенею Дмитро Шаповал 24.04.2025 13:56
- Стягнення шкоди з закладу освіти та батьків внаслідок пошкодження ока дитині Артур Кір’яков 24.04.2025 13:11
- ТЦК проти позову: розбираю відзив на позов, коментую, відповіді 451
- Захист дітей від насильства: як працює модель Барнахус в Україні та Польщі 127
- ТЦК – треш, хайп, фейк або соціальна допомога військовим та їх сім’ям 111
- Китай закручує "рідкоземельну гайку". Як Україні скористатися своїм шансом? 100
- За фасадом новобудови: як виявити ризики перед купівлею 98
-
Зрадник Сальдо отримав підозру за заволодіння Херсонською нафтоперевалкою
Бізнес 8674
-
У Польщі зірвали спробу повернення російських дискаунтерів
Бізнес 7435
-
Скільки коштує стати блогером у 2025: реальні історії інфлюенсерок про старт, витрати та заробіток
Життя 4217
-
"Життя після 100 — не виняток, а нова норма": як тренд довголіття змінює наш підхід до краси
Життя 3576
-
Паліндром і Христина Соловій: вісім музичних новинок тижня
Життя 2847