Хакерська атака на "Київстар" – привід замислитися про кібербезпеку
Це поширена помилка, коли кібербезпека сприймається як просто додаткові витрати, насправді це - страхування: невеликим коштом запобігаєш значно більшим збиткам.
Після хакерської атаки на "Київстар" у користувачів оператора виникло чимало запитань: вплив на роботу бізнесів, вплив на шахрайство у фінансовій сфері через можливий витік даних абонентів. Та й узагалі, чи переживати пересічним громадянам про свої кошти? Роз’яснюю.
По-перше, це дивно, коли банки, торгові мережі, маркетплейси та інші організації роблять невіддільним елементом свого бізнес-процесу номер мобільного телефону. Бо вони не можуть контролювати, чи працює він взагалі. Йдеться про всі ці підтвердження у вигляді смс, необхідні для здійснення купівлі, сплати чи доступу до акаунту.
У сфері кібербезпеки підтвердження через смс чи дзвінок на мобільний телефон ніколи не було надійним. Додати до звичайного логін-пароля (які легко вкрасти) підтвердження через "другий фактор" - свого часу така ідея вважалася проривною для безпеки. Але справжній "другий фактор" - це те, що є тільки в тебе, є твоєю власністю. А номер мобільного оператора знаходиться в іншому місці та керується іншими людьми. Він, по суті, тобі не належить. Це найголовніше, що варто врахувати.
Класичне розуміння другого фактора – це токен чи додаток на твоєму мобільному телефоні, що генерує випадкові коди, які швидко змінюються. Без фізичного доступу до твого пристрою зловмисник просто не зможе надати "друге підтвердження".
Коли зламали "Київстар", робота деяких бізнесів просто спинилася, адже частина критичних процесів спиралася саме на мобільного оператора. Наприклад, POS-термінали, які обслуговують клієнтів. Одна справа, коли такий термінал під'єднано до мережі ТРЦ (де зазвичай кілька інтернет-провайдерів), інша - коли невеликий бізнес до свого процесингу підключає термінал через 4G оператора. Що ми бачимо і зараз. Деякі термінали досі не відновили свою роботу. Або ж через ненадходження смс люди були вимушені відмовитися від онлайн-покупки та йти в інші інтернет-магазини, де прив’язки до смс-повідомлень у процесі купівлі не було.
Злив даних мобільного оператора небезпечний і тим, що оператор знає, які комунікації здійснював абонент, звідки абонент отримує смс, період його активності, які ресурси відвідує абонент і навіть те, де він частіше за все буває фізично. І оця інформація опиняється у хакера. Легко визначити, наприклад, послугами яких банків абонент користується. Маючи CDR та інші дані технічних систем, хакер може спрофілювати цілі групи абонентів, поділивши їх за пріоритетністю. А далі можливо все - фішинг, фейкові телефонні дзвінки нібито від представників банку та інша соціальна інженерія. У будь-якому випадку інформація, вкрадена зловмисниками в мобільного оператора, може допомогти якщо і не зламати дані абонента, то ретельно підготуватися до подальших серйозних кроків із фінансовими махінаціями. Саме тому витік даних мобільних операторів у рази збільшує ризики для користувачів мобільного банкінгу.
Ще одна загроза - мобільні банківські додатки для операцій, у яких банк може запросити додаткове підтвердження. Наприклад, деякі банки надсилають смс із кодом на ваш фінансовий номер телефону. А деякі замість смс генерують код просто у мобільному додатку. Ця механіка дещо безпечніша.
Важливе питання, чи повністю вичищена присутність хакерів у мережі оператора? Якщо ні, то для зловмисників лишається можливість перехвату змісту смс від банків у режимі реального часу. А це ще раз нагадує, що банкам уже давно слід замислитися та переробити механіку підтверджень. Для цього є багато інших технологій, хоча б замість смс використовувати щось на кшталт Google Authenticator.
Бізнесам варто подумати про те, як забезпечити безперервність свого бізнесу в майбутньому. І тут також є варіанти: кілька ліній зв’язку, які між собою не перетинаються, наприклад, "оптичний" інтернет та інтернет 4G.
Зважаючи на те, яка перерва у діяльності бізнесів була спричинена нещодавнім збоєм мобільного звʼязку, варто передивитися всі бізнес-процеси та зрозуміти, які з них є критично прив’язаними до сервісів сторонніх компаній. І йдеться тут не лише про "Київстар".
Програма-мінімум для бізнесів і фінансових установ така:
• визначити критичні місця своїх операційних процесів, що залежать від сторонніх постачальників, та подумати про альтернативні варіанти - як переробити ланцюг постачання, аби він перестав бути «стопером» якщо щось у постачальника «зламається». Наприклад, альтернативою прив’язці коду з смс може бути електронна пошта;
• проводити регулярну ревізію використовуваних технологій, зокрема технологій захисту. Систематично відмовлятися від застарілих і "так історично склалося" на користь сучасних технологій. Окремо банкам та фінустановам рекомендую "забути" про телефонний номер клієнта та смс на нього і знайти більш безпечні рішення;
• кібербезпеку будують як інтегратори, так і оператори кібербезпеки на аутсорсі;
• кожен бізнес по-своєму унікальний. Тож аби підвищити безпеку його роботи з урахуванням усіх нюансів – звертайтеся до професіоналів по консультації та рішення.
- Альтернативи децентралізації енергогенерації в Україні не існує Олексій Гнатенко вчора о 15:31
- Відкриті дані: прозорість проти корупції Діана Граділь вчора о 13:39
- Способи захисту прав власника від самочинного будівництва на земельній ділянці Євген Морозов вчора о 10:45
- Власть, наука, интеллект – инвестиции в средний и малый бизнес и устойчивое развитие Вільям Задорський вчора о 04:01
- Прифронтовий Миколаїв. Яку допомогу можна отримати у місті, де лінія фронту зовсім близько Галина Скіпальська 25.07.2024 13:53
- На що дивляться інвестори? Олександр Висоцький 25.07.2024 12:22
- Де нормальний начпрод, там якісні продукти харчування Дана Ярова 25.07.2024 12:06
- Розвиток європейського ринку водню: Нові ініціативи та перспективи Олексій Гнатенко 25.07.2024 10:17
- Внесіть зміни у свій щоденний "to do list" Катерина Кошкіна 25.07.2024 09:59
- Гранти на відновлення та енергоефективність житла: можливості від Фонду енергоефективності Єгор Фаренюк 24.07.2024 21:44
- Порушення прав власника земельної ділянки внаслідок самочинного будівництва Євген Морозов 24.07.2024 19:48
- Як застосувати методи відбору постачальників НАТО у наших реаліях? Євгеній Сільверстов 24.07.2024 18:00
- Кого підтримуватиме Ізраїль під час виборів у США? Олег Вишняков 24.07.2024 13:22
- Європейська рада схвалила висновки щодо інфраструктури електромережі ЄС Олексій Гнатенко 24.07.2024 12:30
- Спільна власність чоловіка та жінки, які проживають без реєстрації шлюбу Євген Морозов 23.07.2024 19:26
- Boris Johnson: Запрошення до усвідомлення – домовлянь з РФ не буде 1882
- Суди проти рф – реалії, фантазії, міфи. Перспективи Арбітражу 299
- Як застосувати методи відбору постачальників НАТО у наших реаліях? 91
- Чому конкурентні закупівлі – це більше ніж просто вимога закону 65
- Дизайн дитячого простору 63
-
11 млрд доларів тому, кого немає. На що просила гроші Україна в Берліні
Бізнес 87037
-
У Харкові обрали нові назви для трьох станцій метро
Бізнес 11223
-
Помпео виклав своє бачення мирного плану Трампа: лендліз на $500 млрд і реальні санкції
Бізнес 9236
-
Криза мобільного зв’язку. Скільки коштуватиме подовження зв'язку під час відключень
Бізнес 5706
-
Київський підприємець почав розбирати Tesla, щоб заряджати оселі – FT
Технології 5379