Война за данные: как сделать свои мобильные устройства приватнее?

2020-12-09 7872 комментарии
Нельзя отрицать тот факт, что не только злоумышленники, но и крупные компании типа Google или Apple ведут активную охоту на данные пользователей. Пользователи, в свою очередь, либо не интересуются темой приватности своих данных, либо пытаются всеми силами их защитить

Но зачем злоумышленникам и крупным компаниям личные данные пользователей? Ответ на этот вопрос очень прост: их можно продать или использовать для своей выгоды. Злоумышленники могут использовать украденные данные для расширения горизонтов своих атак или продавать их на чёрном рынке. Корпорации же зачастую используют личные данные пользователей для предложения более эффективной рекламы.

Какую информацию могут получить от пользователей и как от этого защититься? Аналитический отдел компании Falcongaze разобрался в этом вопросе.

Как и какие данные могут украсть злоумышленники?

С помощью различных методик киберпреступники могут добраться до практически любых данных, которые хранятся на взломанном устройстве жертвы. Среди наиболее часто используемых методик можно выделить:

  • Троянские программы, которые имеют различный функционал: от создания бэкдора и копирования информации с устройств на сервер атакующего до получения полного контроля над девайсами жертвы;
  • Программы-шифровальщики, которые способны зашифровать и отправить злоумышленнику все данные с устройства жертвы;
  • Фейковые сайты, которые крадут учётные данные пользователей;
  • Взлом аккаунтов пользователей с помощью подбора паролей.

Нередко кибератаки проводятся с помощью методов социальной инженерии. Например, злоумышленник может написать жертве якобы от имени коллеги и предложить перейти в рабочий чат в каком-нибудь приложении, добавив во вложения установщик с заранее вшитым вредоносом. Если доверчивый пользователь скачает и запустит этот установщик, то он, конечно, установит себе на устройство ожидаемое приложение, но получит не самое приятное дополнение к нему в виде вредоносной программы.

Или киберпреступник может прислать на почту фишинговое письмо о крупных скидках в известном онлайн-магазине, оставив ссылку на поддельную страницу входа на сайт. Если адресат перейдёт по ссылке и введёт свои учётные данные для реального сайта магазина, то злоумышленник получит доступ к аккаунту жертвы и сможет украсть все указанные в нём данные.

Как от этого защититься?

Идеального рецепта защиты от кибератак не существует. Можно оставить устройство без присмотра буквально на пару минут и быть атакованным. Однако снизить риск можно следующими способами:

  • Не переходить по неизвестным и сокращённым ссылкам от незнакомых источников. А если переходить, то ничего не вводить и не скачивать и уж тем более не запускать;
  • Установить и регулярно обновлять проверенное защитное ПО (Антивирусы для Android, Безопасность iPhone). Хороший антивирус с актуальной базой сможет быстро реагировать на вредоносные программы и деактивировать их, а файрвол можно настроить на блокировку трафика на неизвестные адреса, что затруднит выполнение вредоносами их функций;
  • Устанавливать программы только из официальных источников. Если вам предлагают перейти в конференцию в Zoom, то можно зайти на официальный сайт платформы и скачать установщик оттуда. А можно и не скачивать вовсе, а использовать веб-версию. Со смартфонами политика должна быть примерно такая же: для установки приложений лучше всего использовать только официальные магазины. В них все приложения проходят предварительную модерацию, и, хотя риск утечки данных всё ещё есть, он будет гораздо ниже.
  • Двухфакторная аутентификация спасёт аккаунты от злоумышленников даже если они смогут подобрать к ним пароль;
  • Не подключать неизвестные съёмные носители к своим устройствам и тем более ничего с них не запускать. Хакеры иногда прибегают к методу «дорожного яблока»: подкидывают на видное место носитель с вредоносными программами и ждут, пока кто-то его подберёт и запустит на своём устройстве. И вам очень повезёт если это будет какой-нибудь USB-киллер. Просто потеряете все данные с устройства. А могут и украсть всё: от паролей к соцсетям до данных банковских карт и денег на них.

Какие данные собирают крупные компании?

Почему, например, Google бесплатен? Может, корпорация может себе позволить поддержку всех своих сервисов благодаря продажам своей линейки смартфонов, хромбуков и подписок на YouTube Premium?

Отнюдь. Основная статья доходов техногиганта — это реклама. Реклама на YouTube, в поисковике, рекламные баннеры на различных сайтах. Именно благодаря доходам с рекламы Google может позволить себе не просто поддерживать, а ещё и развивать свои продукты.

Но чтобы продавать рекламу подороже, она должна быть эффективной. А для эффективной таргетной рекламы нужно знать, что пользователь хочет. Для этого нужно собирать информацию о каждом пользователе, и чем больше этой информации собрано, тем лучше.

И получается так, что Google начал собирать информацию о пользователях всеми возможными способами: запросы в поисковике, просмотры видео на YouTube, данные о геолокации и маршрутах в Google Maps, даже переписка по почте просматривается. Некоторые говорят, что телефон может прослушивать пользователей даже когда просто лежит на столе с выключенным экраном. Более того, синхронизация сервисов гугл и автоматическое бэкапирование в Google Drive дают доступ компании ко всем фото, видео и прочим файлам, которые туда попали. Включить алгоритм распознавания лиц — и можно узнать, с кем человек тесно общается.

И так поступает не только Google. Так поступают практически все компании. Apple, например, полностью синхронизирует данные со своих устройств с сервисом iCloud. А с недавним обновлением MacOS до 11 версии под названием Big Sur сбор и передача данных о пользователях на сервера Apple не может быть заблокирована даже настройками файрвола или VPN.

Ну собрали информацию, и что?

Даже в «сыром» виде эта информация может быть опасна. Во-первых, ни одна компания не защищена от утечек данных на 100%. Можно вспомнить утечки из Facebook в 2011, 2013 и 2018 годах, утечки Google в 2009,2014, 2018 годах и обнаруженные в 2018 году уязвимости их колонки и ТВ. Во-вторых, многие компании продают собранные данные третьим лицам. И если эта информация попадёт к людям со злыми намерениями, то всё может закончиться очень плохо. Ведь среди этой информации может находиться не только адрес электронной почты, но и пароли от аккаунтов, номера телефонов, адреса и даже платёжные данные.

Или компании могут использовать информацию в своей работе. И речь не только о более точной таргетной рекламе. Если обработать эти данные, то можно предсказать нужды пользователей ещё до того, как они сами о них узнают. Например, более 8 лет назад крупная американская сеть магазинов Target после обработки данных своих клиентов научилась с довольно высокой долей вероятности угадывать беременность своих клиентов до того, как они сами о ней узнавали. Основой для таких выводов были изменения в покупках клиентов, а точность метода составила около 87%.

Более того, некоторые такие компании могут выдавать личные данные правоохранительным органам без всяких на то оснований. Например, Apple с октября 2012 года является партнёром американского государственного проекта PRISM, целью которого является массовый негласный сбор информации. Участие в этом проекте позволяет ФБР и военным получить доступ к имеющимся у Apple данным без ордера.

Как не отдать свои данные?

Полностью остановить получение данных о вас невозможно как минимум потому, что все мы ходим в магазин и что-то покупаем, имеем счёт в банке и сим-карту мобильного оператора. Однако предотвратить сбор большого массива данных можно:

  • Используя более приватные настройки операционной системы или перейдя на такую. Да, желательно отказаться от продукции Apple, а в идеале и от базовых прошивок Android. Производители смарт-девайсов тоже любят собирать информацию о пользователях с помощью своих устройств. Идеальным вариантом будет перейти на открытую операционную систему типа ElemenaryOS для компьютеров или LineageOS для смартфонов и установить на неё полный спектр приложений по информационной безопасности. Но как минимум желательно настроить приватность на своём устройстве;
  • При использовании Windows можно отключить сбор телеметрии или хотя бы отслеживать, какие данные собираются и отправляются в Microsoft. Для этого существует официальная программа Diagnostic Data Viewer;
  • Хорошей идеей будет использование поисковой системы, которая не отслеживает своих пользователей. Например, DuckDuckGo. Однако если при этом использовать тот же Chrome, то эффекта не будет, так как браузер всё равно будет отслеживать вашу активность. Так что его тоже придётся сменить.

Вместо резюме

Мы не берёмся призывать всех переходить исключительно на открытое ПО и закрывать все каналы передачи информации. Отношение к сохранности приватных данных — это личное дело каждого.

Однако конфиденциальность данных с каждым днём становится всё более важным вопросом. Данные собирают все и всегда, но их дальнейшее использование зачастую остаётся под покровом тайны. Конечно, крупные корпорации имеют лучшие системы защиты, но ни одна система не может обеспечить защиту на все 100%. Можно взломать сервер компании напрямую, можно проникнуть в систему через какую-нибудь аутсорс-услугу, можно просто подкупить сотрудника и достать необходимые данные вообще без необходимости что-либо делать. А дальше с украденными данными можно сделать что угодно

Конечно, если применить всё, описанное в этой статье, то вы будете выглядеть как параноик, особенно если кому-то об этом расскажете, но и без защиты оставаться уже нельзя.

Поэтому важно найти золотую середину в паре «удобство-приватность» и приложить максимум усилий для её достижения.

© .
Комментарии и отзывы

Нашли ошибку?

Новое на сайте