-
Похожий контент
-
От KL FC Bot
В 2019 году мировой фондовый рынок вырос на 17 триллионов долларов США. И хотя пандемия, мягко говоря, потрепала мировые рынки, интерес к инвестициям никуда не делся: с начала 2020 года число пользователей трейдинговых приложений только растет.
Активы и личные данные участников электронных торгов — желанная добыча для киберпреступников. При этом в случае инцидента расхлебывать его последствия придется поставщикам или операторам трейдинговой платформы. В этом посте мы поговорим об основных опасностях, с которыми сталкиваются такие компании, и о том, как от них защититься.
Уязвимости в приложениях
Как и в любом ПО, в трейдинговых платформах регулярно находят уязвимости. В 2018 году ИБ-эксперт Алехандро Эрнандес (Alejandro Hernandez) нашел дыры в 79 таких приложениях. Разработчики хранили и передавали данные в незашифрованном виде (то есть кто угодно мог их подсмотреть или подменить), а также не разлогинивали трейдеров, даже если те продолжительное время не пользовались приложением. Встречались и недочеты на уровне проектирования, такие как возможность задать ненадежный пароль.
Годом позднее аналитики из ImmuniWeb провели похожее исследование и тоже пришли к неутешительному выводу: из 100 протестированных разработок финтех-компаний все оказались в той или иной степени уязвимы. Проблемы нашлись как в веб-, так и в мобильных приложениях. Многие ошибки были унаследованы от сторонних разработок и инструментов, использованных программистами. Для некоторых из них уже давно существовали патчи, но ими просто не воспользовались. Заплатку для одной из обнаруженных дыр выпустили еще в 2012 году, но у авторов финтех-приложения так и не дошли руки, чтобы ее скачать.
Между тем, если в продуктах компании есть проблемы с безопасностью, о них рано или поздно станет известно. Это может испортить репутацию и привести к потере клиентов. Если же из-за бага в приложении пострадают данные или деньги пользователей, разработчику придется возмещать ущерб и платить штрафы.
Бывает и так, что единственным пострадавшим от ошибки в коде оказывается создатель платформы. К примеру, авторы трейдингового приложения Robinhood пропустили в нем баг, который позволял премиальным пользователям заимствовать у платформы неограниченное количество денег для торговли ценными бумагами. Один из пользователей одолжил таким образом миллион долларов США, имея на руках лишь 4000 долларов. Среди трейдеров код получил название «чит на бесконечные деньги».
Чтобы избежать потерь, связанных с уязвимостями и ошибками в коде, создателям трейдинговых платформ стоит еще на стадии разработки внедрять механизмы защиты, такие как автоматическое разлогинивание пользователя, шифрование и запрет на использование слабых паролей. Также стоит регулярно пересматривать код на предмет багов и оперативно их удалять.
View the full article
-
От KL FC Bot
В кино достаточно часто можно увидеть, как главные герои (или их оппоненты) захватывают контроль над городской системой управления транспортом. Далее они либо создают пробки для своих противников, либо, наоборот, прокладывают «зеленый коридор» для себя. «Хакеры», «Крепкий Орешек 4.0», «Такси» — всех художественных воплощений этой хакерской схемы и не упомнить. Данный трюк давно превратился в клише.
По всей видимости, впервые его исполнили в британском фильме «Ограбление по-итальянски» (The Italian Job) 1969 года. Это единственный достойный внимания киберинцидент в фильме. Но он весьма примечателен — хотя бы тем, что данный сюжет, пусть и с изрядными изменениями, экранизировали еще два раза. Сначала в Голливуде (The Italian Job, 2003), а затем и в Болливуде (Players, 2012).
И несмотря на все изменения, захват системы управления светофорами присутствует во всех трех вариантах. Сравнивая три сцены, можно проследить, как постепенно меняется восприятие и отношение людей к сложности компьютерного взлома городской критической инфраструктуры.
«Ограбление по-итальянски» по-британски (The Italian Job, 1969)
Турин, город будущего, по тем временам — практически smart city. Все городские светофоры управляются суперкомпьютером из единого центра, туда же стекаются данные с камер наблюдения. Автор идеи ограбления, погибающий в первых кадрах, оставляет главному герою Чарли Крокеру в наследство подробный план вместе с вредоносной программой для суперкомпьютера и никак не объясняемым гаджетом для отключения камер.
Откуда взялась программа — неизвестно. Вероятно, кто-то когда-то достал копию оригинала и модифицировал ее так, чтобы в определенный момент огни светофоров начали мигать, создавая в городе хаос. Нужно помнить, что в 1969 году не только не было Интернета, но даже локальные вычислительные сети только-только зарождались. Поэтому единственный доступный способ загрузить в компьютер вредоносное ПО — пробраться на территорию центра и вручную подменить магнитную ленту в приводе. Для этого почему-то нужен «лучший в стране компьютерный специалист, профессор Пич».
Чтобы попасть в центр управления движением и подменить программу, нужно как-то остановить компьютер. Крокер устраивает диверсию — кидает в электроподстанцию с горы велосипед, чем обесточивает не только центр, но и, судя по всему, практически весь город (мафия, пирующая в каком-то особняке, тоже остается без света).
В игру вступает профессор Пич, который… просто снимает катушку с лентой и заряжает в привод другую. Собственно, ничего больше он сделать бы и не смог — вся электроника в этот момент обесточена. Стоило вербовать «светило науки», чтобы выполнить работу лаборанта. Впрочем, это в любом случае нелепый персонаж — его даже играет Бенни Хилл.
Следующая часть плана заключается в выведении из строя камер. Чтобы в центре управления светофорами не поняли суть проблемы и не убрали вредоносную программу, а также не увидели момент ограбления, преступники раскладывают по урнам и крышам вблизи камер какие-то устройства. Вероятно, глушилки, но как они работают, абсолютно непонятно. Дорожные камеры того времени не могли передавать беспроводной видеосигнал, так что, по всей видимости, «гаджеты» как-то отключали саму камеру.
В результате все срабатывает, как планировалось: камеры отключаются, светофоры начинают мигать, движение в городе парализовано, профессора Пича арестовывают за непристойное поведение в общественном транспорте. Не спрашивайте.
View the full article
-
От KL FC Bot
Сообщество попутчиков BlaBlaCar пришло в Россию в 2014 году, и за шесть лет в нем зарегистрировалось более 25 миллионов человек. Сервис удобен и водителям, и пассажирам: первые с его помощью «отбивают» часть расходов на дорогу, вторые — путешествуют по доступной цене. Не говоря уже о том, что поездка в приятной компании веселее, чем в одиночку.
Команда платформы заботится о безопасности пользователей: проверяет профили, внимательно относится к отзывам. Однако когда речь идет о миллионах людей, уследить за всеми сложно. Недавно мы обнаружили мошенническую схему, в которой злоумышленники притворяются водителями и требуют оплатить поездку через фишинговый сайт.
Билет на попутку с предоплатой
Мошенники размещают на BlaBlaCar объявления о свободных местах в машине, ничем не отличающиеся от настоящих, и даже цены указывают в пределах нормы. Маршруты они выбирают как популярные, так и не очень. Например, один из фейковых водителей, попавшихся нам на глаза, готов был «подвезти» жертву из города Буй Костромской области в Санкт-Петербург.
Когда пользователь откликается на объявление, мошенники в чате на сайте BlaBlaCar просят его связаться с ними в WhatsApp и отправляют номер телефона. Поскольку политика сервиса запрещает пересылать в сообщениях контактные данные, «водитель» пишет номер словами.
Обсуждение деталей поездки тоже на первый взгляд не вызывает подозрений. Мошенники охотно поддерживают разговор об интересующих пассажира подробностях и даже сами задают уместные в контексте поездки уточняющие вопросы.
View the full article
-
От KL FC Bot
Любой, кто хотя бы иногда соприкасается с Amazon, знает, что периодически можно столкнуться с мошенниками, которые паразитируют на популярности этой торговой площадки. Они обманывают всех — и продавцов, и покупателей, и регулярных, и разовых посетителей.
И даже если вы ни разу в жизни не заходили на Amazon (что, правда ни разу?), некоторые схемы могут затронуть и вас. Мы в первую очередь сконцентрируемся на покупателях, как на самой многочисленной группе, но не обойдем вниманием и остальных.
Я покупаю товары на Amazon, чего стоит опасаться?
Уже много лет подряд главной угрозой для большинства обычных пользователей остается неустаревающая классика интернет-мошенничества — фишинг. Основная цель мошенников — ваши личные данные. Предпочтительно те, что дают доступ к важным аккаунтам (в идеале имеющим отношение к деньгам). Аккаунт в Amazon, как нетрудно догадаться, в этом плане лакомый кусочек.
Получить эти данные мошенники пытаются обманными письмами, SMS или звонками от лица Amazon. Разновидностей фишинга могут быть многие десятки, но чаще всего они давят на срочность. Ниже основные подвиды фишинговых писем, которые попадались в последнее время нашим антиспам-аналитикам.
View the full article
-
От KL FC Bot
Первая версия Minecraft вышла еще в далеком 2009 году, но игра до сих пор остается невероятно популярной. И это неудивительно, ведь она позволяет детям не только увлекательно проводить время, но и творить — например, проектировать парки и детские площадки. А некоторые продвинутые учителя даже используют ее на уроках.
К сожалению, из Minecraft, как и из любого успешного проекта, пытаются извлечь выгоду и злоумышленники. Начиная с июля этого года мы обнаружили в Google Play более 20 приложений, заявленных как каталоги модов для Minecraft, но на самом деле превращавшие смартфоны и планшеты в инструмент для показа рекламы чрезвычайно назойливым способом. Рассказываем, что это за приложения и как защитить устройства ваших детей от подобных угроз.
Фейковые моды для Minecraft в Google Play
На момент написания поста большую часть найденных нами недобросовестных приложений из Google Play уже удалили, доступны оставались только пять:
Zone Modding Minecraft Textures for Minecraft ACPE Seeded for Minecraft ACPE Mods for Minecraft ACPE Darcy Minecraft Mod Самое скромное из них насчитывало более 500 установок, а самое популярное — более 1 000 000. Хотя приложения опубликованы разными издателями, у двух из них практически полностью — вплоть до опечаток — совпадают описания.
View the full article
-
Рекомендуемые сообщения
Присоединяйтесь к обсуждению
Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.