WhatsApp

  • Бързите съобщения – бомба със закъснител за компаниите

    В миналото основните заплахи за ИТ сигурността в компаниите бяха вируси, проникнали чрез имейли и флашки, донесени от служители. Днес заплахите навлизат в корпоративните мрежи чрез бързи съобщения и облачни устройства.

    Преминаването на много компании, респективно служители, към режим на отдалечена работа, скоростно полуляризира чатовете като част от бизнес комуникацията. Резултатът не закъсня – рязко се увеличи броят на атаките и заплахите, използващи бързи съобщения. Информацията е от Safetica, компания, специализирана в решения, които предотвратяват изтичането на данни (Data Loss Prevention – DLP).

    Пандемията породи нови предизвикателства за ИТ сигурността

    Тенденцията от началото на 2020 г. е красноречива:

    • Обемът на данните, прехвърлени чрез бързи съобщения, се е удвоил по време на пандемията
    • Първият локдаун през пролетта на 2020 г. е довел до 50% увеличение на информацията, предадена по интернет. А в края на 2020 г. и пролетта на 2021 г. интензивността на тази форма на онлайн комуникация е нараснала с още 30%
    • Платформите за комуникация в екип, като Microsoft Teams и Zoom, както и месинджърите, преживяват голям бум

    И всичко това има отрицателно въздействие върху сигурността на корпоративните данни.

    Ситуацията допълнително се утежнява от честата практика служителите на дадена компания самостоятелно да избират платформа за ежедневната си работа, често без да уведомяват работодателя си за това („Bring Your Own Service“).

    Как да контролирате данните си

    В условията на отдалечена работа, използването на месинджъри за комуникация и предаване на данни е удобно и има явни предимства. Вместо да го забранявате, по-добре е да определите комуникационен канал, който считате за безопасен за компанията. А след това да регламентирате правилата за използването му и да обучите служителите си как да го правят.

    Когато избирате фирмена платформа за комуникация е добре да се спрете на такава, в която данните ви не се съхраняват непрекъснато. Ако фирмената ви информация е достъпна отвсякъде, по всяко време и от всеки служител, то контрол над нея се губи и рискът от изтичането й се увеличава драстично. Затова е нужно да използвате инструменти за контрол на достъпа, например двуфакторно удостоверяване (2FA).

    Не е препоръчително да активирате чат-платформи за „домашна“ употреба и социални медии върху корпоративни устройства. При всички случаи е необходимо да се конфигурира допълнителна защита на достъпа и да се използват подходящи инструменти за предотвратяване на изтичането на данни.

    Почти всяка платформа за комуникация се е сблъсквала с проблеми със сигурността

     

    От Facebook Messenger и WhatsApp до Microsoft Teams и Zoom, всички те са имала проблеми със сигурността. Струва си да използвате решения, които не само ефективно се справят с откритите проблеми, но и информират своите потребители за тях. Ако откриването на слабости се пази в тайна и елиминирането им отнема твърде много време, има вероятност грешката да бъде експлоатирана от трети страни.

  • Германски регулатор забрани на Facebook да обработва данни от WhatsApp

    Комисарят на Хамбург за защита на данните и свобода на информацията (HmbBfDI) е издал заповед, с която забранява на Facebook да обработва лични данни от WhatsApp на германски граждани. Facebook обмисля как да обжалва.

    HmbBfDI мотивира решението си с това, че масовото профилиране може да бъде опасно за гражданите и да се използва за манипулиране на демократични решения. Пример: скандалът с Cambridge Analytica и изтичането на данни, засегнали над 500 млн. потребители на Facebook.

    Ръководителят на HmbBfDI, Johannes Caspar, призовава регулаторите на останалите страни от Европейския съюз да последват примера на Германия, така че забраната да се приложи за всичките 27 държави-членки на ЕС.

    Още през февруари 2021 г. потребителите на WhatsApp по целия свят бяха поканени да се съгласят с нови условия за използване и поверителност, включващи съгласие за споделяне на данните им с Facebook. Това предизвика масово недоволство и провокира хората да се обърнат към други приложения (Signal, Telegram). В резултат, собственикът Facebook отложи промените до днес – 15 май 2021 г.

  • Малуер за Android може да краде информация през WhatsApp

    Открит е зловреден софтуер на Android, който краде чувствителна информация от заразените устройства и я изпраща към сървъри на нападателите.

    Става дума за троянец с отдалечен достъп. Той се маскира като системна актуализация, която трябва да бъде изтеглена от магазин на трета страна.

    WhatsApp е сред уязвимите приложения. Нападателите могат да шпионират разговорите и съобщенията ви в месинджъра, а ако разполагат с root достъп – могат да влязат в базата данни на устройството ви и да я откраднат.

    За ваша безопасност, избягвайте да сваляте приложения и актуализации от непознати магазини.

  • Какво е добре знаете, когато си избирате приложение за чат

    Накратко:

    • Не трябва да пренебрегвате политиката за поверителност при избор на чат приложение
    • Свързаните с Facebook платформи за кратки съобщения събират най-много информация за вас
    • След скандалa със споделянето на данни от страна WhatsApp, много потребители се насочиха към Signal и Telegram
    • End-to-end криптирането и синхронизацията между устройствата са решени по различен начин при Signal и Telegram
    • Информацията ви в iMessage е защитена
    • Viber е сигурна платформа за провеждане на разговори, но приложението споделя информация за вашите навици с партньори

    В случай, че до момента не сте се замисляли, добре е да имате едно на ум, когато комуникирате през платформите за чат.  Всичко, което споделяте с приятели – информация за вашето здраве, проблеми, политически възгледи и т.н. – се записва и може да се използва за различни цели. Ето защо е важно да сте наясно със защитите и политиките на чат платформата, която използвате. Ще ви помогнем, като разгледаме поверителността на най-популярните приложения за кратки съобщения:

    Facebook компаниите

    Едва ли сте пропуснали суматохата, която се създаде около WhatsApp, по повод намерението им официално да споделят данните на потребителите си със своя собственик – Facebook.

    Много от хората, научили за скандала с Whatsapp, спряха да използват платформата, но продължават да чатят през Facebook приложение – Facebook Messenger. Когато става дума за събиране, свързване и използване на вашата информация обаче, това със сигурност не е по-добрата алтернатива, дори обратното:

    Информацията, която събират за вас WhatsApp и Facebook Messenger
    Информацията, която събират за вас WhatsApp и Facebook Messenger

    WhatsApp vs Signal

    Най-богатият човек в света Илон Мъск, призова своите последователи да се прехвърлят към Signal. Същото направи и Edward Snowden, като написа в своя Twitter акаунт, че той използва Signal всеки ден.

    Големият интерес на милионите нови потребители, в рамките на един ден, претовариха сървърите на Signal.

    Общото между WhatsApp и Signal е, че и двете платформи използват криптиране от край до край. Основната разлика е, че Signal е приложение с отворен код (оpen source) – това означава, че всеки може да има достъп до кода на приложението и да го изследва за уязвимости, съответно – да се възползва от тях

    Има и други разлики, които имат отношение към вашата поверителност: WhatsApp криптира информацията, която изпращате, но не и архивите на чата ви в облака т.е. историята на чатовете ви остава незащитена. От съображения за сигурност, Signal пък не предлага синхронизиране на историята в облака. WhatsApp споделя вашата информация със собственика си Facebook. Signal от друга страна не е обвързан с големи технологични компании – единственият приход на приложението е от дарения от потребители.

    WhatsApp vs Telegram

    Ситуацията с Telegram е съвсем различна. Иронията е в това, че потребителите заменят „несигурния“ WhatsApp с Telegram, без да са запознати, че по подразбиране Telegram не предлага криптиране от край до край (endtoend). Има опция „secret chat“, която позволява да изпратите съобщение на друг, като използвате протокола за криптиране от край до край между двете устройства, но тази функция не може да се приложи за групов чат.

    Signal vs Telegram

    За потребителите, фокусирани върху поверителността си, голямата разлика е, че всичко в Signal винаги е шифровано от край до край, докато Telegram предлага end-to-end криптиране като незадължителна функция. Signal пази историята само и единствено на вашето устройство по подразбиране, докато Telegram използва сървъри за съхранение, което позволява синхронизиране между различни ваши устройства. Signal е изцяло оpen source проект – кодът и на клиента и на сървъра може да се намери в GitHub. Кодът на клиента на Telegram също е видим, но не и този на сървърите.

    Сравнение между Signal, iMessage, Telegram и WhatApp
    Сравнение между Signal, iMessage, Telegram и WhatApp

    iMessage

    За феновете на Apple, изборът може и да е по-лесен: iMessage събира само вашия имейл, телефонен номер и име на устройството. Чат/видео и чат/видео конференция използват Apple IMessage protocol, който криптира информацията и тя остава защитена.

    Да не забравяме Viber

    Това е една от най-разпространените чат платформи в България. Но колко от вас са обърнали внимание с какво се съгласяват при използването й:

    Viber cookies

    Viber споделя доста голяма част от вашата информация и навици с трети страни (партньори):

    • Линкове, които отваряте и къде ви насочват те
    • Вашето местоположение
    • Интернет данни, които не е задължително да идват от Viber. Те също се използват за анализиране, за да ви се предложат по-добри и персонализирани реклами

    Вашата информация, която Viber споделя обаче, няма общо с написаното в чата. Съобщенията, идващи от вашето устройство, са криптирани. Те могат да бъдат прочетени чак когато достигнат приемащото устройство.

    По отношение на настройките за поверителност на приложението (Privacy Settings), бихте могли сами да зададете някои ограничения:

    • Вашия статус да бъде видим (Online/Offline)
    • Изпращача да вижда дали сте прочели неговото съобщение
    • Потребители, които не са във вашия списък с абонати да могат да видят профилната ви снимка
    • Peer-to-peer разговори, в които вашето IP става видимо за човека срещу вас
    • Hidden chat (наличен и при Telegram) – той може да бъде заключен с допълнителен PIN код и съобщенията в него да останат „скрити“ дори ако загубите телефона си

    Viber privacy settings

    Разбира се, всички разгледани приложения се променят с течение на времето и добавят нови функции. Струва си да направите собствено проучване и да се запознаете с тях по-обстойно, и да изберете тази платформа, която най-добре отговаря на вашите нужди.

  • Промените в политиката за поверителност на WhatsApp се отлагат

    WhatsApp отлага въвеждането на промени в практиката си за споделяне на данните на потребителите си. Компанията обяви, че ще работи за „изчистване на дезинформацията“ около политиката си за поверителност.

    Притежаваната от Facebook компания прибегна към това „замразяване“, след бурна реакция от страна на потребителите по цял свят. Планираните промени, които трябваше да бъдат приложени на 8 февруари 2021 г., изискваха ползвателите на чат-приложението извън ЕС задължително да се съгласят данните им да бъдат споделяни с Facebook.

    Новината предизвика масово недоволство и провокира хората да се обърнат към други приложения (Signal, Telegram).

  • Съгласявате се личните ви данни да бъдат споделяни с Facebook или акаунтът ви в WhatsApp ще бъде изтрит – кои потребители ще бъдат засегнати

    Последен ъпдейт на 16 януари 2021 в 03:55 ч.

    Новата Политика за поверителност на WhatsApp ще влезе в сила на 8 февруари 2021 г., за което голяма част от потребителите вече бяха уведомени.

    Как реално промените ще засегнат вашата поверителност

    Даването на съгласие за споделяне на личните данни, като задължително условие да продължат да ползват WhatsApp акауните си, се отнася за всички извън Европейския съюз (сред които вече попадат и живеещите на територията на Великобритания).

    Личните данни на европейските граждани обаче няма да бъдат споделяни със социалната мрежа – това е така, поради ограниченията, налагани от Общия регламент за защита на личните данни (GDPR).

    В действителност, за никого не е тайна, че WhatsApp споделя данните на потребителите си с Facebook още от 2014 г. – заложените промени в новата Политика за поверителност просто ще официализират действията.

    Важно е да отбележим, че новите условия всъщност не променят крайната енкрипция на съобщенията, снимките и останалата информация, която изпращате чрез приложението.

    Най-същественото, което трябва да знаете като потребители е, че WhatsApp и Facebook няма как да проследят вашата комуникация. Информацията, която ще бъде споделена между компаниите включва телефонния ви номер, логове за това колко, къде и кога използвате приложението, устройството на което го използвате и т.н.

    По-важно е вниманието ви да бъде насочено към това, че личната ви информация изобщо се събира. Да, Facebook и WhatsApp си обменят данни за вас, но по-притеснителен е фактът, че същото прави всяка друга безплатна услуга.

    Как WhatsApp промени поведението си през изминалите години

    Добре известно е, че за “безплатното” понякога трябва да платим доста скъпо. Често цената е личната ни информация (privacy) и повечето от потребители на социалните мрежи и приложенията за комуникация са наясно с това. Тогава защо промяната в условията за ползване на WhatsApp е обект на такова внимание?

    Потребителите на чат приложението имат основателна причина да бъдат ядосани: През 2014 г. WhatsApp обяви, че лични данни от акаунтите няма да бъдат предоставяни на току-що придобилия дялове социален гигант – Facebook.

    Две години по-късно обаче (през 2016 г.), след като компанията на Mark Zuckerberg увеличи присъствието си в WhatsApp, приложението „реши“ да започне да споделя информация от акаунтите на потребителите си със социалната мрежа, „за да подобри рекламите и продуктовото позициониране“. Тогава обаче на потребителите беше дадена еднократна възможност да не се съгласят с тази промяна и да отхвърлят възможността личните им данни да бъдат споделяни.

    Точно това право на избор липсва в последната версия на Политиката за поверителност на WhatsApp, отнасяща се за потребителите извън територията на ЕС.

    Препоръка

    Съветът ни към вас е обичайният: Ако желаете да използвате безплатна услуга като Facebook, Viber, WhatsApp, Gmail и т.н, първо се запознайте с условията за ползване. Ясно е, че няма безплатен обяд, но е важно да знаете по какъв начин сте заплатили и дали той е приемлив за вас.

  • Microsoft, Google, Cisco, VMWare подкрепят Facebook в битка срещу шпионски софтуер

    Група високотехнологични компании, предвождана от Microsoft, се е обявила в подкрепа на съдебните действия на Facebook срещу частната израелска разузнавателна фирма NSO Group.

    Притежаваната от Facebook WhatsApp води от година дело за това, че шпионският софтуер на NSO Group е използван за хакване на 1400 устройства на потребители чрез уязвимост в услугата за съобщения на чат платформата.

    NSO Group от своя страна се позовава на суверенния имунитет, което възмути технологичните среди.

    Microsoft, подкрепен от дъщерните си дружества GitHub и LinkedIn, а също и от Google, Cisco, VMWare и Интернет асоциацията, смята, че „кибернаемниците“ не заслужават имунитет по няколко причини:

    1. „Оръжията“ на NSO Group могат да бъдат изключително опасни, ако попаднат в грешните ръце
    2. Става дума за софтуер, разработен от частна компания, а не от държавна агенция за сигурност, която цели да осигури безопасност на собствените си граждани
    3. Инструментите на NSO Group представляват заплаха за правата на човека, при положение, че се използват срещу журналисти
  • Производителят на COVID-19 ваксина AstraZeneca е набелязан от хакери

    Засечени са опити за проникване в системите на AstraZeneca, един от тримата водещи разработчици на ваксина срещу COVID-19.

    Злонамерените лица, за които се подозира, че са от Северна Корея, са се представили като специалисти по подбор на персонала. Те са установили контакт със служители от AstraZeneca през LinkedIn и WhatsApp. След това са им изпратили „длъжностни характеристики“, съдържащи злонамерен код, предназначен да получи достъп до компютърите им.

    Атаката е насочена към широк кръг от служители на фармацевтичния производител, включително към персонал, работещ по ваксината срещу COVID-19, но няма данни да е постигнала успех. AstraZeneca е отказала да коментира.

    Препоръки:

  • Функционалност на WhatsApp прави публични телефонните номера на потребители

    Ъпдейт: след медийния интерес, WhtsApp запуши уязвимостта, въпреки че първоначалната позиция на компанията беше, че функционалността работи по планирания начин.

    Номерата на потребителите на WhatsApp сa индексирани онлайн и могат да бъдат открити с най-обикновено търсене в Google, алармира Forbes. Този нов проблем с поверителността е засегнал близо 300 хил. мобилни номера на потребители по света.

    Как е възможно това?

    Проблемът възниква от функцията “click to chat”. С нея потребителите на приложението могат да създадат публични чатове, в които може да участва всеки – дори и да нямате контакта му.

    При използване на функцията се генерира линк от вида https://wa.me/, в който телефонният номер на потребителя не е криптиран. В резултат на това, при споделяне на връзката, номерът също се вижда в plain text и става масово достъпен.

    По-големият проблем

    От WhatsApp обясняват, че “click to chat” функционалността е създадена именно с описаната цел – потребителите лесно да се свързват с други, чийто номер са узнали. В този смисъл, компанията не счита, че става дума за проблем с поверителността на данните. Още повече, че всеки сам може да блокира нежелано съобщение и да откаже чат.

    Вярваме, че тази новина ще ви напомни да претегляте рисковете, преди да се възползвате от нови функционалности на приложенията.

    Прочетете повече по темата тук

     

    В рубриката Бързи новини подбираме водещи заглавия за вас и споделяме линкове към външни публикации. 

  • Откраднати WhatsApp профили заради уязвимост в гласовата поща

    Последен ъпдейт на 13 октомври 2018 в 08:27 ч.

    Измамници могат да крадат чужди профили в WhatsApp, злоупотребявайки с начина, по който мобилното приложение изпраща кодове за сигурност. Бум на такива атаки от няколко седмици според Naked Security има в Израел. Проблемът е толкова голям, че местната агенция NCSA, която се грижи за информационната сигурност на гражданите, е излязла с предупреждение.

    Атаката засяга потребителите, които използват гласова поща. Най-напред авторът на атаката се опитва да регистрира WhatsApp профил с телефонния номер на жертвата си. При всеки опит приложението изпраща 6-цифрен код за автентикация като SMS до телефонния номер на жертвата.

    Умишлено това се прави по време, когато жертвата няма достъп до телефона си: например късно вечерта, докато спи. Освен като SMS, WhatsApp дава възможност да се изпрати 6-цифрения код и като гласово съобщение. Тъй като жертвата не вдига телефона си, съобщението отива в гласовата поща.

    От там то може да бъде прослушано след въвеждането на код за сигурност. Този код е еднакъв за всички потребители, когато си активират гласовата поща. Много от тях никога не го променят и точно това създава уязвимостта. Със зададената от мобилния оператор парола гласовото съобщение може да бъде прослушано. По този начин авторът на атаката получава контрол над чуждия профил.

    За да е успешна атаката трябва да са налице редица условия. Набелязаният потребител трябва да използва гласова поща и да не е променял зададения от мобилния оператор код за достъп до записаните съобщения. Освен това, ако абонатът използва двуфакторна автентикация в WhatsApp, атаката няма да проработи.

    Двуфакторната автентикация е допълнителен защитен слой, който предпазва потребителя от кражба на дигитална идентичност или ценен информационен ресурс. Тя предотвратява злоупотреби дори ако някой знае паролата за достъп до онлайн профил, отдалечен достъп до компютър и т.н.

Back to top button