Security Week 14: приватность в условиях пандемии
В дайджесте на прошлой неделе мы привели примеры эволюции традиционной киберпреступности на фоне пандемии. Это важная тема, особенно в условиях массового перехода на удаленную работу, но лишь в краткосрочной перспективе. Мы еще столкнемся с кибератаками, эксплуатирующими «вирусную» тематику, но они закончатся (надеемся, скоро) вместе с пандемией. Сегодня поговорим о влиянии, которое шумиха вокруг COVID-19 оказывает на приватность, и здесь эффект от нынешней ситуации, скорее всего, будет долгосрочным.
Начнем с цифрового аспекта. Сервис телеконференций Zoom, испытывающий в последнее время значительный прирост числа пользователей, стал объектом внимания и тех, кто заботится о приватности, и тех, кто любит ее нарушать. Последние ответственны за явление, названное «ZoomBombing»: подключение к чатам других людей для наведения бардака и паники. Причина — отсутствие надежных инструментов для того, чтобы к встрече могли присоединиться только те, кого там ждут.
Our video call was just attacked by someone who kept sharing pornography + switching between different user accounts so we could not block them. Stay tuned for next steps. And I am sorry to everyone who experienced. We shut down as soon as we could.
— Jessica Lessin (@Jessicalessin) March 20, 2020
Дефолтный алгоритм Zoom «есть ссылка — можете подключиться», изначально призванный упростить работу с сервисом, сыграл с ним злую шутку. Результат: порнография и угрозы в публичных чат-румах, вынужденная отмена внутренних корпоративных переговоров из-за подключения третьих лиц. Решения проблемы есть — точнее, они всегда были, но не всегда применялись: пароль для доступа, ручная проверка списка абонентов, активная модерация публичных сессий. Разработчики Zoom делятся рекомендациями здесь.
Вопросы по приватности встреч и переговоров возникли и к самой компании. Сервис практически заставляет всех пользователей устанавливать приложение (и наверняка получит много данных для анализа в ближайшие недели). Веб-интерфейс для подключения к конференции существует, но не используется по умолчанию. Приложение собирает аналитику, в том числе отправляет данные в Facebook, как минимум из приложения для iOS. На прошлой неделе после запросов в СМИ трекер Facebook удалили.
Но вопрос не только в сохранении нашей сетевой активности в тайне. Пандемия, вероятно, расширит рамки приемлемого вторжения в частную жизнь в целом.
Издание Threatpost подготовило подборку мнений об эволюции приватности, сделав акцент на видеонаблюдении. Главное: люди сейчас гораздо спокойнее относятся к раскрытию персональной информации, в том числе медицинской, если это хотя бы теоретически помогает улучшить ситуацию с распространением вируса.
Прогресс в системах распознавания значительный. Например, по сообщениям Reuters, китайская компания Hanwang Technology добилась надежной идентификации людей, носящих маски. Там же упоминается комбинация камер для распознавания лиц и инфракрасных датчиков для измерения температуры. Изначально устанавливаемые в аэропортах, такие системы теперь используются и за их пределами, например в общественном транспорте.
Буквально год назад массовые системы распознавания лиц обсуждались как угроза частной жизни, а в некоторых городах на уровне местных правительств не решались внедрять подобную технологию. В зависимости от страны отношение к массовому отслеживанию перемещений людей отличалось, но наверняка в 2020 году такие системы будут активно развиваться — как по набору функций, так и по масштабу применения.
Одним из неожиданных последствий эпидемии стал временный отказ от биометрической идентификации по отпечатку пальца или рисунку ладони. Такое решение, например, приняли в полицейском департаменте в Нью-Йорке. Причина понятная: негигиенично.
Интересно, что приватность в сети ранее всегда эволюционировала в результате реакции на сетевые же угрозы. Если можно отследить незашифрованный трафик — давайте его шифровать, если сотни тысяч компаний собирают личные данные пользователей — давайте регулировать этот процесс законодательно и требовать от агентов защиты этих сведений. Крадут деньги в онлайне? Будем лучше идентифицировать пользователей: через двухфакторную аутентификацию, биометрию и так далее. Сейчас же приватность и в интернете, и в оффлайне меняется под влиянием вируса — не компьютерного, а человеческого. Интересные наступили времена.
Что еще произошло:
Продолжение обзора коронавирусных киберугроз. Агентство Reuters сообщает о кибершпионской кампании, направленной на Всемирную организацию здравоохранения. По данным организации, попытка преступников заманить сотрудников на почти точную копию веб-интерфейса корпоративной почты провалилась. Публичный вредоносный сайт, якобы предлагавший бесплатную (и в реальности не существующую) вакцину, обнаружило и закрыло Министерство юстиции США.
BitDefender сообщает (новость, оригинальная статья) про атаку на роутеры с дефолтными паролями, также эксплуатирующую тему коронавируса. На взломанных маршрутизаторах меняются настройки DNS и включается редирект при посещении некоторых сервисов для сокращения ссылок. Пользователя отправляют на страницу, где предлагают установить приложение «для получения информации о вирусе».
Базовые тематические рекомендации для пользователей в блоге «Лаборатории Касперского»:
Новая 0-day в Windows в библиотеке Adobe Type Manager Advisory, которой подвержены Windows 7, 8, 10 и серверные версии ОС. Подробнее в блоге «Лаборатории Касперского» и на Хабре.
Баг в iOS 13 приводит к утечке данных при использовании VPN-соединения. После подключения к серверу имеющиеся соединения должны быть разорваны и восстановлены уже через защищенный канал, но на практике они не разрываются. Патча пока нет, проблему устраняет только постоянное подключение к VPN.
Компания FireEye утверждает, что недавно обнаруженные уязвимости в ПО Citrix NetScaler/ADC, Zoho ManageEngine Desktop Central и роутерах Cisco используют для кибершпионажа.
Еще один внеплановый патч от Adobe закрыл критическую уязвимость в клиенте Creative Cloud Desktop. На прошлой неделе в таком же пожарном порядке устранили уязвимости в Photoshop.
Check Point Software рассказывает о вредоносном ПО в Google Play: целая серия аппов маскируется под приложения и игры, хотя на деле имитирует клики пользователя по баннерам распространенных рекламных сетей.
В компании Qihoo 360 нашли уязвимость в системах видеонаблюдения тайваньской фирмы LININ. Атаки на эти устройства с последующим распространением вредоносного ПО фиксируют с августа прошлого года, производителя уведомили в январе. Патч выпущен в феврале, но требует установки вручную.
