ЦПБ Москва | OSINT | Кибербезопасность

​​Сетевой маркетинг? А что, если... сетевой траффикинг? Часть 1.

Сообщение в WhatsApp:
— Привет, извини за беспокойство, твой номер у меня в контактной книге, но у нас нет истории переписки. Меня зовут Тина. Напомни, пожалуйста, своё имя?

Это переведённое с английского сообщение может звучать резковато для русского уха: во-первых, его надо адаптировать под особенности нашего языка, а во-вторых, писать не в вотсапп, а куда-нибудь в более располагающее к знакомству место. Но суть понятна: незнакомец пытается завести разговор. Некоторые люди (особенно читающие ЦПБ) уже заранее начнут подозревать что-то неладное. Тем не менее, для многих такой крючок с червячком может оказаться вполне заманчивым.

Вот невзначай завязывается беседа с девушкой с какого-нибудь неловкого повода, как в примере выше. В собеседнике просыпается некое желание, например, поскорее снять напряжение ситуации или успокоить написавшего, дескать, всё окей, ничего страшного, меня зовут так-то, а ты откуда? Произошло самое главное: завязка беседы. Дальше есть, куда разгуляться.

Недавно мы писали про фишинг, и примечательно, что порой такое мошенничество настолько нелепое, что распознаётся сразу. Нет у меня никакого богатого прадеда из Африки. Не может мне просто так написать девушка, у которой в профиле десять друзей и двадцать фото, которые выложены сегодня же и в одно время... Но злоумышленники не стоят на месте: появляется индивидуальный подход. А ещё обманывать они могут вовсе не по своей воле.

Известно, например, что в Камбодже мафиозные структуры похищают людей и заставляют их заниматься интернет-вымогательством. Жертв заманивают в места, контролируемые преступниками с оружием, под предлогом заманчивой вакансии вдали от дома. В истории по ссылке попался китайский повар, потерявший работу на родине. Попав в руки похитителей, у заложников есть выбор: заплатить крупную сумму за своё освобождение или же "отработать" его. Только отработать, скорее всего, не получится: похищенных достаточно скоро перепродают другим мафиози, таким образом увеличивая цену свободы.

Работа же представляет собой проведение отработанных мошеннических схем. Для начала, необходимо связываться с людьми с учётом их потребностей и максимально войти в доверие. Мужчине можно, например, написать от имени симпатичной девушки (соответствующие пакеты фотографий на любой вкус и в разных жизненных ситуациях продаются в свободном доступе). Далее надо сделать так, чтобы разговор, начавшийся с какого-либо простенького повода, перерос в регулярное общение на безобидные и обмен личной информацией. В ход идёт заранее проработанная легенда, подкрепляемая подходящими по ситуации фотографиями.

Постепенно и косвенно прощупывается благосостояние собеседника, и в какой-то момент ему доверяется "тайна" о том, что у нашей "девушки" есть высокопоставленный родственник с доступом к инсайдерской информации. Делается это мягко. Здесь мошенникам нужно сыграть на таком чувстве, чтобы человек подумал: "Надо же, мне доверяют, я ни в коем случае не могу подвести". Мужчине так точно захочется показать себя с лучшей стороны. Такой ход нужен в том числе для того, чтобы приучить собеседника не болтать: создаётся доверительная среда и необходимая привычка.

Продолжение в следующем посте.

Сайт, где можно подыскать ИИ сервис по своим надобностям.
https://www.aixploria.com/en/

​​Я-то точно на такое никогда не попадусь.

#ИнформационнаяБезопасность_ЦПБ

Нереально защититься от всех видов цифровых атак, но тем не менее подавляющее большинство их требует действия от, как в анекдоте, "кожаной прослойки между стулом и баранкой", а в нашем случае между стулом и клавиатурой.

Если вы считаете, что никогда в жизни не откроете "письмо счастья" и не попадётесь на такой обман -- спешим вас немножко осадить, потому что попасться на удочку мошенников может кто угодно, если сойдутся нужные условия. Это не значит, что всё теперь бессмысленно, и именно вы обязательно попадётесь. Это лишь напоминание для осведомлённости.

Пример: на почту бухгалтера средней компании падает письмо от руководителя. Бухгалтер без промедления открывает письмо, выполняет указанные там действия и... оставляет злоумышленникам всю информацию о "финансовом внутряке". Бывалые закатывают на этом моменте глаза, а-ля "да-да, бывают же тупые, слышали мы", но давайте всё же введём больше деталей и сразу же отработаем ошибки.

1. В компании сложился определённый алгоритм взаимодействия руководителя и буха. Мы его здесь описывать не будем, но скажем так: рук посылает письмо с инструкциями, бух выполняет, и так регулярно в течение месяца.

Проблема: корпоративный шпионаж. Человек из компании с недобрыми намерениями узнал детали алгоритма.

2. Сотрудники используют почты не на корпоративном домене, то есть почты у них хоть и специально заведённые, но всё же на "яндексах" и "мэйлру".

Проблема: почту, похожую на руководителя, может создать кто угодно, добавив какой-нибудь малоприметный символ. Заменив букву "а" на "о" в одном месте, например.

3. Бух при переходе по ссылке попадает на интерфейс, идентичный почтовому клиенту, где с него требуется ввести пару логин-пароль.

Проблема: сотрудник остаётся в полной уверенности, что его просто "выкинуло" из системы, и раздражённо вводит данные для входа, которые уже отправляются кому надо. Или передаётся токен сессии, не важно.

Привязать к этому целевой OSINT со стороны злоумышленников -- и можно выяснить много интересных деталей. Например, все или большинство даже корпоративных почт сотрудников, затем найти наиболее уязвимого и неопытного, найти его "боль" или потребность. А дальше дело техники: подсунуть ему нужную форму для заполнения логни-пароля.

Как защищаться? Проводить тренинги осведомлённости в компаниях, заводить корпоративные адреса и (это к СБ-шникам) периодически подсовывать сотрудникам безобидную тестовую "свинью", чтобы собрать базу невнимательных.

К слову, на практикумах ЦПБ мы сочиняли свои фишинговые письма. И надо отметить, если у вас фантазия сейчас "не прёт", то у вашего сокурсника может получиться такое письмо, что зачитаешься. Попади оно вам в нужном эмоциональном состоянии (от гнева до эйфорического счастья) -- и вы на крючке.

Небольшая заметочка про мошенничество: https://vk.com/wall-73493509_1831
Небольшая заметка о корпоративной безопасности: https://vk.com/wall-73493509_1801
Как поссорился Иван Иванович с Иваном Никифоровичем: https://vk.com/wall-73493509_1801
Использование массированных атак троллей во время войны: https://vk.com/wall-62262331_4728

Передают, что некие проблемы с умными устройствами и телефонами Xiaomi. Как у вас?

​​Появляются целые направления в сфере проверок организаций, так как специфика каждой страны в какой-то степени уникальна. Чего стоит один Китай, где для получения сведений из бизнес реестров надо поплясать с бубном: иметь китайский номер телефона, иметь WeChat, иметь знакомого китайца, который может "порекомендовать" горе-проверяльщика; этот знакомый китаец тоже должен попадать под ряд условий, и так далее.

Примеры доступных локальных реестров
Кипр — http://www.cyprus.gov.cy (дата регистрации, вид деятельности, директора, учредители, финансовые отчеты)
Великобритания — https://find-and-update.company-information.service.gov.uk (Дата регистрации, вид деятельности, директора, лица оказывающие существенное влияние, финансовые отчеты)
Бахрейн — https://sijilat.bh (Дата регистрации, вид деятельности, директора, учредители)

Сейчас вперёд будут выходить те компании, у которых уже набита рука на проверке зарубежных контрагентов и которые уже на зубок выучили не только где искать информацию, но и методологию, специфическую для разных стран, а также выработали понимание, как оперативно отслеживать изменения в этапах проверки по всему миру.

Проверка контрагентов и консультации по данным вопросам также в ведении московского филиала ЦПБ.