Разбираемся, могут ли жулики взломать мобильные телефоны и похитить всю переписку и даже деньги со счетов, используя подставные сети бесплатного Wi-Fi
О небезопасности Wi-Fi-сетей ходит много правдивых и не очень легенд. На днях журналистка Марина Ахмедова опубликовала в своём фейсбуке:
“Позавчера... работали со специалистами по информационной безопасности. Зашли в ТЦ со специальным чемоданчиком. Вынули из него ноутбук, антенну, установили фиктивную точку доступа wi-fi. Люди начали моментально подключаться. Будь наш специалист по безопасности злоумышленником, он прицепился бы к присоединенному к wi-fi самому дорогому устройству и вошёл бы в аккаунты этого человека в соцсетях, прочёл переписку, перевёл деньги с онлайн банка на свой счёт. Наш специалист был не таков — он воюет на белой стороне Луны. Но его устройство показало — в это самое время в ТЦ орудуют целых два злоумышленника. Созданы фиктивные точки доступа, к которым люди подключаются, попивая кофе, и тогда злоумышленник начинает работать с вашим телефоном, забирая из него все — переписку, данные онлайн-банка, аккаунты в соцсетях. И знаете, что мы вчера поняли? Можно сидеть за столиком и не шевелиться. Можно сложить руки на столике. И в это время совершать цифровое преступление или быть его жертвой”.
Неужели всё правда и каждый из нас — а все мы, конечно же, любим бесплатный Wi-Fi в кафешках и торговых центрах — может потерять свои аккаунты и деньги? Правда ли, что мошенники с помощью подставных сетей взламывают мобильные телефоны? Как выясняется, не совсем.
Как это работает?
- Такой сценарий с воровством конфиденциальных данных с помощью подключения к Wi-Fi-сети возможен, но не совсем таким образом, как описано, — объясняет директор проектного направления компании Group-IB Антон Фишман. — Такой способ называется Rogue Access Point, для этого не требуется специальное оборудование, достаточно любого ноутбука со специальной сетевой картой и антенной.
Злоумышленники при этом не «забирают из телефона всё — переписку, данные онлайн-банка, аккаунты в соцсетях», а имеют возможность перехватывать, прослушивать и подменять те данные, которые вы через него передаете.
При этом если вы используете доступ к различным сайтам/порталам, не защищенным HTTPS (HyperText Transfer Protocol Secure, расширение протокола HTTP для поддержки шифрования в целях повышения безопасности), то все данные, действительно, могут перехватить, включая сессионные ключи, ключи авторизации и т. д. Если даже вы используете HTTPS, то злоумышленник может использовать MITM-атаку (Man in the middle или «человек посередине», когда атакующий способен читать и видоизменять по своей воле сообщения, которыми обмениваются корреспонденты, оставаясь незамеченным) и, по сути, также получать доступ к данным пользователя. Но это будет видно в браузере – сертификат, которым подписано подключение, будет изменен.
Доступ именно к данным приложений интернет-банка, мессенджеров и т. д. злоумышленник перехватить не сможет, поскольку эти приложения обычно используют технологию SSL-Pinning для защиты от MITM-атак. Но в любом случае для защиты от этого желательно использовать VPN (Virtual Private Network, виртуальная частная сеть при доступе к интернету через публичные сети). VPN поможет защититься от MITM-атак.
Как обезопасить себя от мошенников
Пять советов от директора агентства бизнес-разведки Р-Техно Романа Ромачева
1. Не использовать бесплатные wi-fi сети.
2. Если жизненно необходимо подключиться к бесплатному вай-фаю, то использовать только сайты с безопасным протоколом подключения. Это те, у которых в адресной строке написано https (а не http).
3. Открыть на телефоне раздел "Настройки" – "Wi-Fi" и удалить все бесплатные и незнакомые сети. Это нужно для того, чтобы телефон не подключался к ним автоматически, когда вы оказываетесь в их зоне доступа.
4. Установить на телефон антивирус – приложений сейчас много, они в разной степени защищают от интернет-угроз, но лучше иметь хотя бы что-то, чем совсем ничего.
5. Для интернет-платежей и шопинга можно использовать виртуальные карты. Это специальный сервис, который сейчас предлагают многие банки и платежные системы. На такую виртуальную карту можно перевести лишь ту сумму, которую вы планируете потратить на покупки. После транзакции карта перестанет существовать, так что даже если ее данные вдруг попадут к мошенникам, они не получат доступ к вашему основному счету.
itog.info
