Как некомпетентные разработчики приложений открывают доступ к вашим данным

Исследователи компании CheckPoint проанализировали популярные Android-приложения и нашли популярные ошибки в конфигурации сторонних сервисов, из-за которых пострадала безопасность пользовательских данных: это незапароленные базы данных, сторонние сервисы для рассылки пуш-уведомлений и облачные хранилища, ключи от которых хранятся в самом приложении или плохо зашифрованы.

While investigating the content on the publicly available database, we were able to recover a lot of sensitive information including email addresses, passwords, private chats, device location, user identifiers, and more. If a malicious actor gains access these data it could potentially result in service-swipes (ie. trying to use the same username-password combination on other services), fraud, and identity theft.

Среди дырявых приложений: астрологический прогноз с незапароленной базой данных (10 млн скачиваний), приложение такси с данными пользователей в открытом доступе (50 тысяч скачиваний), скрин рекордер с незащищенным облачным хранилищем (10 миллионов скачиваний), приложение для отправки факсов с открытым доступом к облаку с документами пользователей (500 тысяч скачиваний).

Всего 23 приложения поставили под угрозу данные более 100 миллионов пользователей. Просто из-за криворукости разработчиков.

🧐 Что случилось: придумали новое ПО для фишинга — LogoKit. Он меняет текст и логотипы на фишинговой странице в реальном времени для быстрой адаптации к запросам жертв. Кроме того, он автоматически подтягивает электронную почту жертвы в поле адреса электронной почты или логина, чтобы жертва подумала, что уже заходила на этот сайт раньше. LogoKit представляет собой набор файлов JavaScript, он очень мал, может спокойно распространяться на общедоступных сервисах и не требует сложных настроек сервера.

Звучит как реклама, но на самом деле это страшный вредоносный софт, из-за которого сотни тысяч человек могут стать жертвами мошенников.

За последний месяц этой штукой оказалось заражено более 700 сайтов, среди них страницы входа Adobe Document Cloud, OneDrive, Office 365 и несколько криптовалютных обменников.

Почитать и посмотреть образцы фиш-ссылок: https://community.riskiq.com/article/a068810a

🤔 Что случилось: у администраторов сообществ появился фильтр для борьбы с агрессивными пользователями — блокирует комментарии с угрозами или обещаниями физической расправы. Фильтр по умолчанию отключён и срабатывает после ручного изменения настройки сообщества.

🙃 Как: в основе фильтра лежит обученная нейросеть, способная с 80%-й точностью оценивать контекст разговорной речи. Вместе с нейросетью работают алгоритмы, которые в фоновом режиме мониторят сообщество и мгновенно реагируют на нежелательные высказывания.

🙃 Зачем: чтобы уменьшить травлю в соцсетях и усложнить жизнь троллям.

❌ Проблема: фильтр появился только у половины администраторов соцсети. Остальным придётся подождать, пока разработчики закончат тестирование.

💪 Перспектива: разработчики планируют повысить точность нейросети и расширить её возможности — сделать так, чтобы она защищала от оскорблений на основе национальной принадлежности или по иным признакам нетерпимости.

👉 Подробности: https://vk.com/press/communities-hate-speech

Нашли новый способ кражи денег с бесконтактных карт.

Хорошо, что это исследователи балуются, а не настоящие хакеры.

😱 Что случилось: нашли ещё один способ угонять деньги с бесконтактных кредитных карт в обход пин-кода. Летом прошлого года смогли хакнуть карты Visa. В этом году добрались до Maestro и Mastercard.

🙂 Но: информацию уже передали в Мастеркард.

👩‍💻 Кто: инженеры Швейцарской высшей технической школы Цюриха.

#новости_код

Программные патчи для автомобилей станут обязательными и регулярными
https://habr.com/ru/post/559054/?utm_source=habrahabr&utm_medium=rss&utm_campaign=559054

Исследователи получили доступ к чужому Wi-Fi, взломав «умные» розетки
https://tproger.ru/news/issledovateli-poluchili-dostup-k-chuzhomu-wi-fi-vzlomav-umnye-rozetki/

Произошла крупнейшая в истории утечка паролей. Под ударом все пользователи интернета - CNews
https://www.cnews.ru/news/top/2021-06-08_proizoshla_krupnejshaya_v_istorii

Бежим участвовать в летней школе CTF для прокачки своих скиллов по инфобезу:

https://ctfnews.ru/news/1740

Наберём человек 15 введу голосовалку по тематике канала:) чтоб и правда было полезно, а пока так 👽💫👽

Кто не любит читать,любит смотреть, нашла раритетные видео, делала видеоподкасты в PwC , по кибербезу естессно)

https://youtube.com/playlist?list=PLkYGN9S9a9RbI_KeDW5Q3pZolyMNDsmWr

Кому интересно мысли вслух от таких компаний как Тинькофф, GroupIB, Страховая компания по киберрискам и прочее, go!).

😱 Что случилось: инженерный совет интернета IETF принял в качестве стандарта транспортный протокол связи QUIC, который был создан в качестве эксперимента в Google. В ближайшие годы QUIC может заменить TCP — один из основных протоколов передачи данных с 1974 года.

🤨 И что: для простых пользователей — ничего особенного, просто любимый сериал будет грузиться немного быстрее. Согласно исследованиям, QUIC ускоряет поиск на 8% на компьютерах и на 4% — на смартфонах.

Кстати, всем советую по возможности бывать на внешних мероприятиях по кибербезу (подготовлю топ,выложу), а пока советую в записи посмотреть мероприятие,можем обсудить в комментариях,кстати):

https://securityday.kaspersky.ru/

Впереди лето, а значит.. можно успеть сходить на стажировку, например, Яндекс.
Основное направление для стажировки у Я.— это разработка и другие технические позиции: фронтенд, бэкенд, мобильная разработка, аналитика, машинное обучение, тестирование и информационная безопасность. По этим направлениям приходит большая часть стажёров.

Подробнее,как попасть и где выполнить тестовые задания:

https://thecode.media/yandex-start/

Недавно модное издательство Медуза выпустило новость.

"Американское подразделение бразильской компании JBS, являющейся крупнейшим производителем мяса в мире, заплатило атаковавшим его хакерам выкуп в размере 11 миллионов долларов".

Но скорее всего производитель мяса отмывал деньги, или были дыры в отчётности по тратам (что вероятнее).

А вы как считаете?
Давайте обсудим в комментариях.

https://meduza.io/news/2021/06/10/krupneyshiy-v-mire-proizvoditel-myasa-jbs-zaplatil-vymogatelyam-11-millionov-dollarov-v-kiberatake-podozrevali-hakerov-iz-rossii.

Что посмотреть на досуге?

Взломы сетей, высокотехнологичный шпионаж, армии роботов — об этом сняты десятки или даже сотни фильмов. Возможности кибератак сценаристы оценили в 80-х годах прошлого века, и с тех пор идей для кино, сериалов, документалок — меньше не становится.

Кража личных данных.

Фильм «Взлом» (2000 год) — об украденной информации, использованной для шантажа. Знаменитый хакер Кевин Митник (в исполнении Скита Уильриха) крадет у специалиста по информационной безопасности Цутому Симомуры уникальный вирус, «превращающий» любой компьютер в металлолом. Постепенно «Взлом» превращается в поединок двух хакеров.

Тему похищения личных данных у людей активно эксплуатировали в сериале «Черное зеркало». В третьем эпизоде третьего же сезона сериала (2016 год) рассказывается о взломе веб-камеры на ноутбуке подростка, его начинают шантажировать видео, снятым шантажистом. Как и всегда в «Черном зеркале», все оказывается совсем не тем, и черное — совсем не черным.
Кибербуллинг

Психологическое давление в сети — сравнительно новый вид агрессии. Но он стал наглядным примером обратной стороны технологического прогресса. «Кибер-террор» (2015 год) со звездой «Игры Престолов» Мэйси Уильямс в главной роли тоже построен на теме кражи личных данных. Но дальнейшая интернет-травля занимает в фильме куда более важное место. Героиня под угрозой публикации интимных фото делает то, к чему ее принуждает незнакомый хакер.

Продолжение по ссылке:

https://hightech-fm.turbopages.org/hightech.fm/s/2018/07/03/film

Делитесь,что смотрели из фильмов?