Руководство «Лаборатории Касперского» по безопасным путешествиям | Блог Касперского
Автор
KL FC Bot
в Новости и события из мира информационной безопасности
-
Похожий контент
-
Автор KL FC Bot
Современный человек практически не расстается со своими девайсами. Согласно исследованию, проведенному в США аналитической компанией Reviews.org, за 2024 год среднестатистический пользователь потратил на смартфон примерно 2,5 месяца жизни. Это колоссальная цифра, показывающая, насколько глубоко мобильные устройства интегрировались в нашу повседневную жизнь.
Цифровой детокс — это модное название простого отдыха от экранов и уведомлений, который пойдет на пользу всем, у кого есть смартфон или ноутбук. Согласно обзору десяти исследований, проведенных с 2013 по 2023 год, цифровой детокс способствует улучшению качества сна, удовлетворенности жизнью и субъективного благополучия, а также помогает уменьшить тревогу, стресс, депрессию и зависимость от телефона. К тому же регулярная цифровая разгрузка помогает восстановить способность мозга к длительной концентрации внимания и глубокой обработке информации.
Однако полное отключение от Сети несет в себе риски для вашей цифровой жизни. Сегодня мы разберемся, как дать голове отдохнуть, сохранив при этом контроль над аккаунтами, устройствами, данными и даже умным домом.
Что может случиться во время цифрового детокса?
Всего предусмотреть невозможно, но «постелить соломку» для минимизации последствий некоторых рисков вам вполне по силам. Что это за риски?
Кража аккаунтов — как обычных, так и экосистемных, вроде аккаунтов «Яндекса», «ВКонтакте», Google, Apple, Samsung, Xiaomi и так далее — через подбор паролей или подмену SIM-карт (SIM Swapping). Несанкционированные подписки и списания средств. Утечка личных данных из-за сливов паролей или отсутствия двухфакторной аутентификации. Угон аккаунтов в мессенджерах и соцсетях. Использование ваших устройств и аккаунтов для рассылки спама. Утеря или кража ваших гаджетов. Бытовые проблемы — взлом квартиры в длительное отсутствие, затопление, утечка газа или пожар.
View the full article
-
Автор KL FC Bot
В последнее время разработчики ПО встраивают ИИ-функции в привычные рабочие инструменты, включая операционные системы и браузеры. В некоторых случаях это действительно удобно. Но их наличие создает определенные риски, а потому далеко не все компании готовы предоставлять своим сотрудникам доступ к таким инструментам. В нашей предыдущей статье мы рассмотрели классификацию нежелательных ИИ-систем, способы их обнаружения на уровне сети и конечных точек, а также ключевой универсальный «рубильник» — управление OAuth-доступом в основных корпоративных платформах. В этом материале мы переходим к конкретике: разбираем, как отключить или ограничить ИИ, встроенный в популярные платформы.
Отметим, что крупные производители ПО иногда меняют названия настроек, связанных с ИИ, а также модифицируют нюансы их работы. Если какая-то из приведенных ниже настроек недоступна или работает не так, как ожидалось, поиск в Интернете по названию опции обычно позволяет найти ее новое местоположение или название.
Как отключить Microsoft 365 Copilot
Детектирование: реальное использование Copilot можно проверить в журнале: Microsoft 365 admin → Copilot usage report.
Отключение при помощи политик: в Admin Center пройти в раздел Settings → Integrated Apps, найти Copilot в списке Available Apps, выбрать Block. Более подробные политики конфигураций доступны через Customization → Policy Management. Здесь на странице Policies есть более двух тысяч политик, которые нужно отфильтровать по слову Copilot (подробное руководство). Учитывая, что Copilot является платным дополнением к Office, другой вариант блокировки и экономии — не назначать пользователям лицензии (SKU), включающие Copilot.
Отдельно рекомендуется заблокировать Copilot Chat, доступный в инструментах Teams, Edge, Outlook и нескольких других сервисах. Да, это не то же самое, что Copilot. Да, его надо блокировать отдельно, по этой инструкции.
Дополнительный слой защиты: на уровне веб-фильтра или NGFW заблокировать домены copilot.cloud.microsoft и m365.cloud.microsoft/chat, но Microsoft в явном виде не рекомендует этого делать, угрожая нарушением других функций Microsoft 365.
View the full article
-
Автор KL FC Bot
Порог сложности в разработке приложений сильно упал — фирменный веб-сайт, личный бот для сбора новостей или «аналитическую панель» (дашборд) на работе теперь может собрать буквально каждый, просто дав чат-боту или специальному ИИ-агенту несколько инструкций на естественном языке. К сожалению, между красивым прототипом и надежным, постоянно работающим и безопасным приложением лежит настоящая пропасть. Чтобы не стать героем еще одной печальной истории про ИИ-ошибки, не потерять деньги и ценные данные, воспользуйтесь простыми советами из нашей статьи. Они ориентированы на разработчиков без специальной подготовки или очень маленькие компании. Для крупных компаний есть другие, более сложные рекомендации.
Главные риски ИИ-кода
Хотя с помощью вайб-кодинга можно буквально за несколько часов получить работающее на вид приложение, оно скорее всего будет содержать опасные ошибки. ИИ был натренирован на примерах кода из Интернета, а там часто встречаются неоптимально написанные учебные примеры, код с ошибками и вообще неизвестно что. Иногда такой код просто не работает, но чаще ситуация сложнее и опаснее — он вроде бы работает, но «под капотом» в нем может быть грубая имитация нужной логики или серьезные ошибки. Согласно исследованию Cloud Security Alliance AI Safety Initiative, при использовании ИИ для написания кода следует учитывать следующее:
Минимум 45% ИИ-кода содержит опасные уязвимости, такие как отсутствие проверки пользователя перед доступом к важным данным. Профессиональный разработчик, вооруженный ИИ, создает код в 3–4 раза быстрее, но добавляет в 10 раз больше уязвимостей в код. 20% ИИ-кода пытается использовать внешние библиотеки и дополнительные модули, которых не существует в природе. Когда в приложении предусмотрен доступ к конфиденциальным данным (платежи, личная переписка или документы), ИИ-код иногда вообще не проверят учетные данные пользователя. Данные такого приложения может прочитать любой человек из Интернета. В других случаях верные имя и пароль все-таки запрашиваются, но не контролируется уровень доступа — зарегистрированный пользователь видит данные всех других пользователей. Прямо в коде могут быть записаны ключи доступа (токены) к базам данных и ИИ-сервисам, что упрощает их кражу и усложняет замену секретов после утечек и кибератак. Код проекта или важные файлы собранного приложения часто публикуются на сервере без ограничения доступа, поэтому оттуда можно украсть как логику приложения, так и уже упомянутые ключи доступа. ИИ реализует в приложении недостаточно безопасный доступ к базам данных, позволяющий как красть данные в обход приложения, так и выполнять на сервере баз данных вообще посторонний код. В приложениях, допускающих обращение по API, реализуется небезопасный доступ к API: без проверки прав пользователя и контроля частоты обращений (rate limiting).
View the full article
-
Автор KL FC Bot
Вы когда-нибудь пробовали посчитать, сколько денег вы тратите на подписки каждый месяц? Музыка, фильмы, игры, языковые курсы, сервисы доставок, подогрев кресел и возможность общаться с чат-ботом Grok прямо из машины — для чего только не придумали подписки. Есть даже подписка на сервис, который… следит за вашими подписками.
Количество подписок сильно отличается в зависимости от места жительства пользователя, но по статистике хотя бы одна платная подписка есть у 78% взрослого населения Земли, а в среднем на одного пользователя приходится 5,6 активных подписок. При этом большая часть из них — семейные, используемые совместно с близкими… и не очень: 37% пользователей делятся своими подписками за пределами семьи.
При этом подписные аккаунты, особенно семейные, часто содержат конфиденциальные данные владельца и потому востребованы кибермошенниками. Сегодня расскажем, как безопасно управлять подписками, избежать взлома всех ваших аккаунтов и не попасться на удочку злоумышленников.
Безопасность совместных аккаунтов и подписок
Зачем вообще кому-то нужно взламывать вашу подписку? Даже если сервис предлагает только развлекательный контент, ваш аккаунт почти наверняка содержит конфиденциальную информацию: имя, адрес, электронную почту, телефон, имена других участников и прочие персональные данные. Эти данные затем перепродают в даркнете и используют для дальнейших взломов.
Злоумышленники взламывают подписочные аккаунты, либо эксплуатируя методы социальной инженерии и фишинг, либо пользуясь тем, что многие пользователи используют слабые или скомпрометированные пароли, — как мы недавно рассказывали в нашем исследовании, почти половину всех паролей в мире можно взломать меньше чем за минуту. Затем мошенники либо перепродают существующие подписки или места в семейной группе задешево, либо оформляют на жертву новые подписки, надеясь, что та просто не заметит дополнительных списаний.
Наконец, некоторые «дельцы» не заморачиваются взломом чужих аккаунтов, а просто покупают подписки на большое количество устройств — в таких пакетах стоимость использования в пересчете на отдельное устройство, как правило, заметно ниже. А дальше места в этой подписке перепродаются в розницу на интернет-барахолках — в результате в одном «семейном» аккаунте могут оказаться совершенно незнакомые друг с другом люди.
View the full article
-
Автор KL FC Bot
Незаметно для нас мессенджеры стали неотъемлемой частью жизни, средой, где мы проводим значительную часть повседневных активностей. Мы используем их для общения с друзьями, семьей и коллегами, для чтения новостей, развлечения и даже для продвижения бизнеса или своего личного бренда. Разумеется, такой популярный инструмент неизбежно привлекает и злоумышленников. Поэтому, кроме комфорта и удобства, мессенджеры привносят в нашу жизнь и ряд рисков.
В этом посте мы решили посмотреть на основные угрозы для пользователей мессенджеров с точки зрения производителя защитных решений и продумать, как разработчики могли бы обеспечить дополнительную безопасность своих коммуникационных приложений.
Чрезмерные разрешения
Каждое современное приложение при установке и во время использования просит разрешения на доступ к различным функциям мобильного устройства: контактам, камере, микрофону, геолокации, галерее фотографий и так далее. В большинстве случаев эти разрешения действительно необходимы для работы приложения, но иногда пользователи дают гораздо больше прав, чем это нужно для нормальной работы в данный момент. При этом далеко не всегда пользователю очевидно, зачем именно мессенджеру нужен тот или иной доступ и, что еще важнее, — что происходит с данными, к которым этот мессенджер доступ получил (особенно если контроль над приложением захватят злоумышленники). А между тем, лишние доступы могут нести угрозу не только приватности, но и безопасности всего устройства в целом. Чтобы минимизировать эти риски, следует придерживаться нескольких простых правил.
Во-первых, мы рекомендуем придерживаться принципа минимально необходимых привилегий. Это значит, что доступ к каким-либо функциям и данным следует разрешать, только если пользователь понимает, для чего это нужно, и только на то время, когда это действительно необходимо. Например, простому текстовому мессенджеру едва ли нужен доступ к точной геолокации. Или если вы не собираетесь совершать видеозвонки через конкретный мессенджер, то и доступ к камере ему ни к чему.
View the full article
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти