Зачем всё это?
Я в инфобезе уже около 4 лет и пришёл к осознанию, что надо продавать курсы между специалистами по ИБ и «целевой аудиторией» есть огромная пропасть.
Мы варимся в этой теме, нам всё понятно, но до обычных людей это порой не доходит.
Поэтому моя цель — записывать короткие ролики по информационной безопасности, чтобы:
• простыми словами рассказать о важности цифровой гигиены и других базовых принципов безопасности;
• создать базу знаний, которую можно быстро скинуть родственнику или знакомому для ликбеза.
Потому что иначе зачем мы вообще этим занимаемся? 😂
Если можешь принести пользу — приноси пользу. 🤝

Не хотел об этом писать, но раз уж опубличили...

В мире цифровой безопасности даже доверенные платформы иногда скрывают неожиданные риски. В Telegram существует метод, который позволяет потенциально определить IP-собеседника буквально в одно нажатие — без загрузки файлов, перехода по подозрительным ссылкам и без какого-либо предупреждения от мессенджера. Механизм основан на официальной возможности Telegram быстро подключаться к прокси-серверам типа MTProto. Этот протокол был специально создан для обхода блокировок и защиты трафика, маскируя его под обычный HTTPS.

Исследователь формирует специальную ссылку вида https://t.iss.one/proxy?server=IP_АДРЕС&port=ПОРТ, где указан его собственный сервер. Эту ссылку можно замаскировать под обычный, безобидный текст — например, под имя пользователя (@durov) или ссылку на сайт. Внешне это выглядит как обычная кликабельная метка в Telegram. Когда пользователь нажимает на такую ссылку, клиент Telegram (на iOS или Android) мгновенно отправляет тестовый пакет на указанный в ссылке сервер, чтобы проверить работоспособность прокси. Этот пакет содержит IP-адрес пользователя. Ключевая проблема в том, что Telegram считает ссылки на свой домен t.iss.one (включая t.iss.one/proxy) внутренними и безопасными. Поэтому при переходе не появляется никакого предупреждающего окна — в отличие от переходов на внешние сайты.

Почему это возможно? Клиенты Telegram на мобильных устройствах настроены автоматически «пинговать» прокси-сервер при попытке подключения, чтобы проверить его доступность. А поскольку ссылка ведет на официальный домен Telegram (t.iss.one), система не видит в ней угрозы и не предупреждает пользователя.

Подпишись на @deanonym_tg

Чисти телефон правильно

На старых устройствах стоит забить память под завязку (до 2019). На новых (с полным шифрованием) достаточно пары крупных файлов . Это делается для того, чтобы при попытке восстановления с «железа» максимум можно было получить только набор зашифрованных блоков от последнего состояния. Вообще тут интересно мнение форензиков. Стоит ли на новых смартфонах (от 2019) делать такую процедуру?

Сброс — это команда на удаление указателей, а не самих данных. Фотографии, переписки, кэш, токены доступа, фрагменты переписок, скриншоты и даже история местоположений могут физически остаться в памяти. Телефон просто помечает эти области как «свободные», и они подлежат перезаписи в будущем, но не прямо сейчас.

Дополнительные меры для продвинутых пользователей
Используйте безопасное форматирование SD-карт через ПК, с помощью программ Eraser или HDD Low Level Format Tool.
Заполните внутреннюю память нулями — для Android можно подключить устройство к ПК и с помощью скрипта залить большой файл до упора.
Очистите данные приложений через ADB, если у вас разблокирован режим разработчика.
Для iOS можно использовать режим DFU и восстановление прошивки через iTunes (или Finder в macOS Catalina и выше).

⬆️Взято из: Сброс до заводских — не защита: как правильно очищать смартфон перед продажей

Статья + исследования (можно почитать для прикола):
-Старый смартфон – находка для мошенников: эксперты рассказали, как безопасно продать устаревший гаджет
-A Study of the Data Remaining on Second-Hand Mobile Devices in the UK

Метаданные простыми словами

Метаданные — это данные о данных, описывающие их свойства, такие как дата создания, автор, размер или местоположение.

Рекомендации:
-Отключите геолокацию в настройках смартфона (Конфиденциальность → Местоположение → Выкл.)
-Ограничьте доступ приложений к фото: "Только выбранные" вместо "Полный доступ"

Дополнительно:
-Регулярно очищайте кэш приложений
-Удаляйте EXIF перед загрузкой фото (для членов клуба шапочек из фольги)

Статьи:
-Удаляем метаданные (EXIF) из фото перед публикацией: защита приватности
-Торговля знает, когда вы ждете ребенка
-Эксперимент: проверяем, что интересного можно узнать из метаданных фотографий в Интернете ​
-Эксперты предупредили о риске сохранения метаданных при пересылке файлов
-Burger King foot lettuce

Мои рекомендации по цифровой гигиене разума

Фильтрация информации. Выбирайте проверенные источники новостей и контента. Поменьше кликбейта и мусора.

Управление вниманием. Введите себе протоколы для восстановления концентрации. На свой вкус, хотите ставьте уведомления на минимум или делайте "цифровые паузы". Подберите себе подходящие методы.

Очень заезжено, но делайте осознанное потребление. Развивайте критическое мышление, желательно не через рилсы и марафоны.

Обучайтесь устойчивости. Тут два камня одним зайцем. Можете смотреть brainrot в ленте, но с целью его распознания. Те же самые ИИ фейки без опыта уже тяжело распознать.

Уменьшите эмоциональный контент. Следить за важными событиями полезно, но не 24/7. Если у вас ломка по негативу, то хотя бы ограничьте просмотр новостей.

Больше протоколов: Цифровая гигиена: как снизить стресс в цифровом пространстве
Википедия: Эхо-камера

Быстрый вопрос-ответ по "ФОТО.apk"


Что делать, если прислали:
-Не открывайте "фото"
-Заблокируйте контакт и пожалуйтесь на него

Что делать, если скачали:
-Отключите интернет
-Удалите приложение
-Просканируйте телефон с помощью различных антивирусов и аналогичного ПО
-Желательно сбросить телефон к заводским настройкам

Дополнительно: установите запрет на скачивание файлов из неизвестных источников. Лучше полностью отключите эту функцию.

Чуть подробнее: Вредоносный файл «Фото.apk» в Telegram: как происходит взлом и что делать

Canvas fingerprinting — это метод скрытого отслеживания, когда сайт через HTML5 Canvas заставляет браузер отрисовать изображение/текст и извлекает уникальный хеш из пиксельных данных.
​

Риски коротко
-Профилирование для рекламы/фрода без согласия
-Связь аккаунтов на одном устройстве
​

Рекомендации
-Установите расширение CanvasBlocker
-Используйте Brave Browser (или подобный)
-Для Safari (iOS): Включите "Предотвращение межсайтового отслеживания" + "Защита от технологий отслеживания"
-В Firefox: about:config → privacy.resistFingerprinting=true
-Можно использовать Tor, но тут уже не о балансе скорости и приватности

Статьи:
Википедия: Canvas fingerprinting
Отпечаток браузера: что это, как работает, нарушает ли закон и как защититься
Canvas Fingerprinting: что это такое и как это работает

Протоколы при получении подобных смс на любой сервис:

-Не вводите код никуда и не отвечайте на звонки/сообщения от подозрительных номеров или контактов.

-Зайдите на официальный сайт или приложение сервиса самостоятельно (проверьте URL вручную, не по ссылкам из SMS). Смените пароль, включите уведомления о входах и двухфакторную аутентификацию (2FA, предпочтительно не SMS).

-Проверьте историю входов, привязанные устройства/сессии и удалите подозрительные.

-Если есть признаки компрометации (незнакомые действия в аккаунте), обратитесь в техподдержку сервиса или заблокируйте аккаунт.

Все пункты опциальны и напрямую зависят от того, насколько вы соблюдаете цифровую гигиену в целом. Если у вас двухфактока и нормальный пароль, то такое можно игнорировать.

Цифры привел из "интернет-мошенники в 2024 г. отобрали у россиян более 150 миллиардов"

Хочу записать ролик про роблокс и подобного рода игры (с большим акцентом на чат).
Я раз за разом сталкиваюсь с тем, что оттуда вылазят всякие извращенцы и ‘синие киты’. Буквально на днях +1 кейс был.

Но пока не получается сделать это так, чтобы оно не звучало как запугивание и тыкание пальцем в злодея. Потому что виноваты не игры, но при этом с ними надо быть аккуратней.

Постараюсь на днях максимально беспристрастно разложить все и скинуть 🤝

И, кстати, всё сказанное применимо к любой игре и соцсети 👌

Объясните ребёнку об опасности. Проведите спокойный разговор без запугивания. Расскажите простыми словами.
Обучите ребёнка всегда обращаться к вам. Сделайте правило: «Видишь странное сообщение, предложение или просьбу? Сразу скринь и покажи мне — разберёмся вместе. Я не буду ругать, а помогу».
⬆️ Но это, конечно, легче сказать, чем сделать

Бесплатные решения по родительскому контролю:
iOS: Зайдите в «Настройки» → «Экранное время» → выберите профиль ребёнка
Android: Установите приложение Family Link на свой телефон (родителя) и телефон ребёнка из Google Play
Windows: «Пуск» → «Параметры» → «Учётные записи» → «Семья» → добавьте ребёнка
Есть уйма платных и бесплатных приложений/решений. Но это вам придётся исследовать самим. Не хочу рекомендовать то, в чём совсем не разбираюсь.

Статьи:
Темная сторона Roblox: как игра превратилась в «рай для педофилов»
Педофилы и мошенники: как защитить ребёнка от преступников в игре Roblox
Чаще всего подростки сталкивались с агрессией в Roblox и Minecraft

Мои рекомендации по паролям/доступу:

-Создайте привычку периодически проверять сервисы/сайты на предмет актуальности пароля.

-Меняйте пароли, если есть подозрения компрометации. Если менять просто так, есть риск поменять на слабый

-Пароль должен быть длинным и не однотипным (смешайте символы с буквами, заглавными и строчными и т. д.).

-Пароли лично я рекомендую хранить в бумажном виде. Но ничего зазорного в менеджерах пароля нет, AES-256 как-никак.

-Защищайте все точки восстановления (почта, телефон) — они часто слабее основного аккаунта.

-Если сервис вам предлагает двухфакторку, код-фразу и тд — делайте.

И уберите мышление «кому я нужен», оно работает аккурат до первой потери аккаунтов 😂

Замечаю очень много опасности от рекреационного использования ИИ

В основном потому, что пользующийся — тупой. Но это ладно (мы же не тупые, у нас такого никогда не будет).
Тема с ИИ (распознавание видео, ошибки, опасности в целом) очень большая. Хотел её организованно как-то отснять, но думаю, можно и кусочками.
Начну, пожалуй, с того, почему надо от ИИ информацию перепроверять почти всегда.
Если вас интересуют какие-то конкретные вопросы — можете их также задать 🤝
Первый ролик будет на днях 👌
Пысы: кто догадается к чему картинка, тот молодец 😁

Немного о поддакивании ИИ. И чем это опасно.

Главная опасность — в незнании.
ИИ так незаметно влились в жизнь человека («умный» поиск, чаты и т.д.), что многие забывают сначала ознакомиться с возможностями и лимитами этих инструментов.

Самое главное помнить, что:
-ИИ всегда будут стараться вам угодить. Это опасно, если вы задаёте им заряженные вопросы (те, что подтверждают ваши взгляды).
-ИИ не захватят мир — это всего лишь алгоритм. А значит, ошибки нередки. Перепроверяйте информацию.
-Не тупейте, не полагайтесь на техно-облегчения. Думайте своей головой!

Статьи:
Экс-сотрудник Yahoo после общения с ChatGPT убил свою мать и покончил с собой
В ООН предупредили о грядущем росте числа самоубийств из-за общения с ИИ
В ответах нейросети от Google выявили опасные для жизни медицинские советы
Безумные советы нейросетей вредят здоровью и рушат жизни.

Быстрый вопрос-ответ. Что делать, если просят сделать перевод на улице?

Лучше отказаться, потому что слишком много рисков:
-Это могут быть фальшивые деньги.
-Вас могут кинуть на бабки (в случае если у вас просят наличку).
-Остальные теоретические случаи — в видео, но я бы не стал терять сон из-за них. Уж слишком мала вероятность.

Сразу говорите «нет», не вступайте в споры с такими людьми. Если включить голову, то сейчас можно делать зачисления и без карты. Во всяком случае, можно что-то придумать без участия незнакомых людей.
Если на вас давят, перекрикивайте таких людей. Грозитесь вызвать полицию. Не давайте на себя эмоционально давить.

К азам ИБ вернемся попозже, так как я начал тему с ИИ. Ее лучше продолжить. Очень актуальна.
На днях расскажу почему стоить наработать навык распознания ИИ видео.
Также об этом писал ранее тут 🤝

Рекомендации остаются теми же:

-Не верьте своей первичной реакции, научитесь сначала анализировать, а потом реагировать (даже в три часа ночи в рилсиках)
-Прекратите бессмысленно листать ленту, сократите время онлайн
-Научитесь идентифицировать ИИ, это нарабатываемый навык (можно оправдывать листание рилсов тем, что ты учишься)

*идея держать микрофон в руках так себе, учитывая сколько я жестикулирую

Готовьтесь к волне фейков, вышла новая модель Seedance 2.0

Релиз состоялся сегодня, поэтому чего можно ожидать (я отталкиваюсь исключительно на прецедент, так что можете меня не цитировать):
1) Первые несколько дней видео формата "Вау, смотри че может эта модель"
2) В течение недели у вас в ленте начнет появляться забавный контент на новой модели, а вместе с ним и ролики, чью аутентичность не получается подтвердить
3) На вторую неделю ваша лента полностью заполнена новым AI slopом. Что реальное, что нет - все еще не совсем понятно
4) Где-то через две недели набьется глаз, артефакты данной модели станут общеизвестными. Вместе с этим спадет хайп, лента стабилизируется

Поэтому держите ухо востро, включайте мозг перед браузингом, даже если заходили чисто похихикать

О возможностях модели можете почитать на официальном сайте, либо в статье на ваш вкус

Будьте внимательны при выборе техники/подписок

Помните, что вы не обязаны на все соглашаться. Да, иногда в урон функционалу, но спросите себя, что вам важнее.
Сейчас такое время, что маркетолог может быть многократно опаснее мошенника.

Подробнее про "Мне плевать, что на меня собирают информацию" можно почитать:
Ничего личного: за вами следят в соцсетях, и это нормально
Почему нам рекламируют то, что мы видели, хотя даже не обсуждали — простым языком

Мои рекомендации по отправке и хранению файлов

-Пользуйтесь защищенной альтернативой облачному хранению. Например, proton drive, вместо гугла или яндекса
-Используйте локальные конвертеры документов, вместо первой попавшейся ссылке онлайн. Например, VERT
-(Актуалочка) не кидайте документы в публичные версии ИИ моделей. Берите платку или разворачивайте локально

Дополнительно, перед отправкой документов кому-либо, чистите EXIF файла (если не забудете)

Статьи и ссылки:
-Глава киберзащиты США слил служебные документы в публичный ChatGPT
-VERT
-proton drive
-Облачные хранилища в России: кто безопаснее?