Кто бы мог подумать: киберриски, которые таят в себе на первый взгляд безобидные программы и чат-боты
Технологии делают жизнь проще, помогая справляться с рабочими и бытовыми задачами: написать письмо, расшифровать аудио или законспектировать многостраничный отчет. Мы настолько привыкли доверять технологиям (а заодно — людям по ту сторону экрана), что и не задумываемся о киберугрозах, которые скрываются за рутинными процессами. Вместе с экспертами «Лаборатории Касперского» разобрались, в каких случаях стоит проявить осторожность.
Вам приходит голосовое от начальника, но с непривычного аккаунта в телеграме. Наверное, что-то случилось.
Начальник предупреждает, что скоро вам в рамках проверки позвонит некое должностное лицо, по указанию которого нужно будет перевести деньги на сторонний счет.
Скорее всего, это одна из актуальных схем телефонного мошенничества, когда злоумышленники притворяются коллегами в мессенджере и просят не игнорировать предстоящие звонки. В целом, по данным Kaspersky Who Calls, в первом полугодии 2024 года доля российских пользователей, которые столкнулись с потенциальными злоумышленниками, выросла на 20 процентных пунктов по сравнению с аналогичным периодом 2023 года.
Бывает и так, что в мессенджере человеку приходит сомнительное сообщение с предложением перейти по ссылке. Например, чтобы проголосовать за ребенка в детском конкурсе или получить доступ к какому-либо сервису (чаще всего — несуществующему). В таких случаях речь идет уже о фишинге и попытке украсть не деньги, а аккаунт пользователя.
Фишинг — вид мошенничества, при котором злоумышленник обманом пытается выудить (fishing переводится как «рыбная ловля») конфиденциальную информацию. Когда речь идет о мессенджере, то это номер телефона, пароль и код подтверждения.
По данным «Лаборатории Касперского», количество попыток перехода российских пользователей на фишинговые и скам-страницы в первом полугодии 2024 года выросло более чем в пять раз по сравнению с аналогичным периодом прошлого года.
Злоумышленники воруют телеграм-аккаунты, рассылая ссылки на фишинговые ресурсы якобы от имени людей из списка контактов. При этом легенды могут быть самыми разными. Например, известны случаи, когда аккаунты в телеграме пытались угнать под видом сервиса для вывода средств из игры Hamster Kombat, предложений получить доступ к телеграм-каналу для взрослых, протестировать премиум-подписку, скачать взломанную версию игры.
Возможно, вы подверглись фишинговой атаке, если вас торопят, пугают и просят:
- скачать сомнительный файл;
- установить подозрительное приложение;
- перейти по ссылке;
- прислать свои данные — например, логин и пароль или конфиденциальные документы;
- ввести данные на сайте с названием, отличающимся от оригинального, — например, номер и CVV-код банковской карты.
Как не стать жертвой фишинга и телефонного мошенничества — рассказывает Дмитрий Галов, руководитель Kaspersky GReAT (Глобального центра исследований и анализа угроз «Лаборатории Касперского») в России:
«Перепроверяйте информацию, даже если это сообщение от начальника. Если есть сомнения, свяжитесь с человеком лично, например позвоните. Если вас просят срочно перейти по ссылке или скачать приложение — не делайте этого, сначала проверьте, действительно ли человек по ту сторону экрана тот, за кого себя выдает.
Для защиты от телефонного мошенничества и спама важно использовать специальные решения, которые подскажут, что входящий вызов — нежелательный, и сочетать их с нетехническими мерами защиты: постоянно повышать цифровую грамотность.
Используйте для защиты аккаунта двухфакторную аутентификацию, не сообщайте никому и не вводите на сторонних ресурсах код подтверждения».
Вам на почту приходит инструкция по оплате сервиса от зарубежных партнеров — текст на английском, в теле письма — скан документа. Пишут, что провести оплату нужно быстро.
Если внимательно прочитать тему письма и адрес отправителя, может оказаться, что таких партнеров или клиентов у вас нет — письмо пришло с незнакомой электронной почты, а это уже подозрительно. А если скриншот слишком маленький — и хочется кликнуть на картинку, чтобы она открылась в новом окне, — похоже, что перед вами снова фишинг.
В конце августа 2024 года эксперты «Лаборатории Касперского» обнаружили подобную атаку: злоумышленники рассылали сотрудникам российских фирм письма на английском языке якобы от имени южнокорейской компании. Фишинговые ссылки были спрятаны за картинками — так злоумышленники надеялись выманить учетные данные от корпоративной почты потенциальных жертв. С этой киберугрозой столкнулись организации из сферы сетевого ретейла, дистрибуции, перевозок и логистики.
«Изображение видно плохо — на это и рассчитывают злоумышленники. Даже если человек не ожидает письма, ему может быть интересно посмотреть детали. Однако на самом деле за картинкой скрывается фишинговая ссылка. Если пользователь нажмет на скан, то будет перенаправлен на поддельный ресурс, мимикрирующий под файлообменник от Adobe. Там его попросят ввести учетные данные от корпоративного почтового аккаунта, чтобы получить доступ к документу. Однако делать этого ни в коем случае нельзя, иначе эти сведения уйдут злоумышленникам», — комментирует Роман Деденок, эксперт «Лаборатории Касперского» по кибербезопасности.
Вы записали конфиденциальную двухчасовую встречу на диктофон. Чтобы поделиться тезисами с коллегами, нужно расшифровать аудио. ИИ в помощь!
Транскрибаторы экономят силы и время, но могут стать причиной утечки данных.
«Чат-боты на основе нейросетей — это такие же сервисы, как облачные документы, соцсети или мессенджеры. Данные, которые вы туда помещаете, оказываются на серверах компании-разработчика и могут использоваться дальше в соответствии с пользовательским соглашением. Например, для улучшения сервиса», — говорит Дмитрий Галов.
По словам эксперта, к чат-боту стоит относиться как к незнакомцу в интернете и в соответствии с этим осторожнее выбирать данные, которыми планируете поделиться.
А еще важно помнить, что, скачивая неофициальный клиент чат-бота на сомнительном сайте, мы рискуем вместо условного ChatGPT установить вредоносное ПО — так было, например, с троянцем Fobo. Злоумышленники часто распространяют под видом новых или популярных приложений зловредные программы — как для ПК, так и для смартфонов.
Наконец, атакующие могут получить доступ к аккаунту пользователя (а заодно и ко всем перепискам) в сервисе чат-бота, поэтому лучше не использовать слабые пароли или одинаковые комбинации в разных сервисах.
Ошибочно считать, что неприятности в интернете случаются только с чересчур доверчивыми и технически неграмотными людьми без критического мышления. Практика показывает, что жертвой киберзлоумышленников может стать любой, поэтому так важно знать о потенциальных рисках.
Платформа Kaspersky ASAP знакомит сотрудников компаний с разными типами угроз и учит им противостоять. Эксперты расскажут, какие киберриски важно учитывать при работе с ИИ, как реагировать на дипфейки и фишинг и почему не стоит поручать нейросети обработку конфиденциальных корпоративных и личных данных.
Теперь из текстовой расшифровки встречи надо выбрать главное и написать саммари. Без ИИ не обойтись.
Тут мы сталкиваемся с теми же киберрисками, что и в предыдущем примере: загружая информацию в форму ИИ-сервиса, мы не можем проследить ее дальнейшую судьбу.
20 марта 2023 года в ChatGPT произошел сбой. Из-за ошибки в работе библиотеки с открытым исходным кодом пользователи могли видеть часть чатов других людей и платежную информацию 1,2% подписчиков ChatGPT Plus: имя, фамилию, адрес электронной почты, тип банковской карты, последние четыре цифры ее номера и дату истечения срока ее действия.
После этого инцидента власти Италии ограничили использование ChatGPT для пользователей страны. Свое решение они обосновали тем, что в положении о конфиденциальности нет информации о том, какие сведения собирает компания-разработчик OpenAI, как нет и правовых оснований, оправдывающих массовый сбор и хранение персональных данных для обучения алгоритмов.
Важную информацию — расшифровки встреч, документы и переписки, код — лучше никуда не загружать и работать с ними по старинке.
Работа застала вас в кофейне. Надо подключиться к местному Wi-Fi, чтобы отправить коллегам документы.
Некоторое время назад появилась новость о том, что мошенники создали поддельную Wi-Fi-точку в аэропорту: ее легко можно было принять за официальную. Однако если человек пытался подключиться к поддельной точке, у него запрашивали учетные данные от телеграм-аккаунта. В результате данные могли уйти злоумышленникам, а человек мог потерять доступ к аккаунту в мессенджере.
Дмитрий Галов говорит, что подобный вид мошенничества называется «Злой двойник»:
«Злоумышленник создает поддельную точку доступа Wi-Fi с именем, совпадающим с названием реальной точки доступа в той же локации — кафе или другом общественном месте.
Если пользователь по ошибке подключается к „двойнику“, злоумышленник может выманить у жертвы конфиденциальные сведения — например, учетные данные от аккаунта в мессенджере.
Чтобы защититься, мы рекомендуем не подключаться к неизвестным публичным Wi-Fi-сетям без необходимости. Деактивируйте функцию автоматического подключения, это можно сделать в настройках вашего гаджета. Если у вас сохранилось много старых точек доступа, к которым вы подключались, есть смысл удалить их вручную».
Вы регистрируетесь в новом корпоративном аккаунте. Пароль? Пусть будет Sasha2312.
Тогда у нас для вас плохая новость. Недавно «Лаборатория Касперского» проанализировала 193 млн паролей, обнаруженных в публичном доступе на даркнет-ресурсах: 45% из них мошенники взломают быстрее, чем за минуту. Еще 14% паролей подберут за час и 8% — за сутки.
Чаще всего люди используют в качестве паролей имена, популярные слова (forever, love, admin) и комбинации вроде qwerty12345. Слабые пароли могут быть легко скомпрометированы умными алгоритмами, даже если вы заменили букву или цифру на другой знак, например «1» на «!» и «а» на «@».
Как защитить свой аккаунт:
- Используйте разные пароли для почты, мессенджера, CRM и других сервисов. Если раскроют один из них, остальные не будут скомпрометированы.
- Придумайте сложную комбинацию. Имена, даты рождения и клички питомцев, увы, вычислить слишком легко.
- Регулярно меняйте пароли.
- Не храните пароли на листочках или в текстовых заметках на смартфоне, лучше использовать для этого специальные программы — менеджеры паролей.
- Включите двухфакторную аутентификацию везде, где возможно. Каким бы ни был пароль, 2FA послужит дополнительным инструментом безопасности.
С переходом на удаленку начальник завел моду проверять, у кого статус в чате часто меняется на «отошел». Коллега подсказал, что на маркетплейсе можно купить USB-имитатор движения мыши — так вы всё время будете онлайн, даже если прилегли отдохнуть.
С помощью такой уловки действительно можно обойти слежку и провести начальника, который всё еще измеряет эффективность в часах, просиженных за компьютером. Но будьте осторожны: злоумышленники могут вас перехитрить.
Такие гаджеты могут представлять угрозу для кибербезопасности вашего компьютера и данных — причем не только личных, но и всей компании. USB-имитаторы движения мыши могут содержать вирусы, программы-вымогатели, шифрующие данные и требующие выкуп за их разблокировку, а также шпионское ПО, которое собирает конфиденциальную информацию без ведома пользователя.
С января по май 2024 года в России локальные угрозы (вредоносные программы, которые передаются через USB-накопители: флешки, внешние жесткие диски и т. д.) были обнаружены и заблокированы на устройствах 22% пользователей.
Выход — не прибегать к сомнительным хитростям, а обсудить с начальником необходимость делать паузы во время работы и договориться о перерывах, которые нужны удаленному работнику не меньше, чем сотруднику в офисе.
Чтобы избежать утечки данных, материальных убытков и других серьезных неприятностей, современной компании нужно заботиться о кибербезопасности: применять новейшие технические решения и обучать сотрудников.
Для стажера, IT-специалиста или топ-менеджера нужный набор знаний будет разным. «Лаборатория Касперского» предлагает персонализированные тренинги по кибербезопасности. Программа адаптируется под потребности каждого сотрудника, включает игровые элементы и симуляции для закрепления материала. Оцените подход в рамках бесплатного урока по распознаванию фишинговых атак.