Как хакер получил доступ к данным сотни компаний через helpdesk


Оглавление (нажмите, чтобы открыть):

Microsoft сообщила о взломе аккаунта службы поддержки Outlook — хакеры получили доступ к аккаунтам пользователей

Компания Microsoft сообщила о взломе службы поддержки — хакеры получили доступ к аккаунтам пользователей электронной почты Outlook.com. Они могли просматривать электронные адреса, названия папок и темы писем, однако получить пароли и содержание вложений им не удалось.

Хакерам удалось получить доступ к данным пользователей, взломав аккаунт сотрудника службы поддержки. Таким образом, им удалось просмотреть электронные адреса, названия папок и темы писем. Сообщается, что их содержимое и вложения, а также пароли от аккаунтов хакерам «присвоить» не удалось. Издания Techcrunch и The Verge со ссылкой на источников в Microsoft называют пострадавшими от хакерской атаки «ограниченным» числом лиц. Все нарушения касаются периода с 1 января по 28 марта 2020 года и аккаунтов с пользовательским доменом msn.com и hotmail.com

Точное число взломанных аккаунтов компания не сообщает. Techcrunch предполагает, что часть скомпрометированных аккаунтов относится к странам Евросоюза. Microsoft призывает пользователей сменить пароли. Сейчас учетные записи, которых коснулся взлом, отключены, доступ киберзлоумышленников к ним заблокирован.

«Вы должны быть осторожны при получении любых электронных писем с любого вводящего в заблуждение доменного имени, любого электронного письма, которое запрашивает личную информацию или платеж, или любого нежелательного запроса от ненадежного источника», — напоминают в компании.

Напомним, ранее хакеры взломали сайт «Грэмми»-2020 и назвали победителей — за несколько недель до церемонии. Организаторы быстро сняли список и назвали это фейком, но результаты успели сохранить в сети. А еще в январе неизвестные выложили в интернет огромный массив украденных паролей — более 21 млн. Объем базы составил более 87 гигабайт, что стало крупнейшей утечкой данных в истории.

Новости Хакер взломал сотни компаний, проэксплуатировав уязвимость на сайтах служб it-поддержки

Обращаю ваше внимание на то, что:

— администрация форума не несет ответственности за содержание объявлений на сайте

— администрация форума не гарантирует соблюдение авторами объявлений условий сделок

— администрация форума не занимается куплей/продажей товаров

— во избежание случаев мошенничества администрация форума рекомендует избегать заочной передачи денежных средств или товаров. Совершайте сделки с незнакомыми людьми только через Гарант сервис.

Купить фальшивые деньги, купить фальшивые рубли, фальшивые деньги, кардинг форум, кардинг новости, купить стс.

Ticket Trick: взлом сотен компаний через службы поддержки пользователей

Я придумал для моей находки имя и логотип. Примите как данность.

Проблема, о которой идёт речь, всё ещё существует. Это — не тот случай, когда всё можно моментально привести в порядок. За последние несколько месяцев я связался с десятками компаний и затронутых уязвимостью поставщиков услуг, в рамках их программ отлова багов, для того, чтобы исправить ситуацию. Из-за огромного количества организаций, на которых это распространяется, я не в состоянии связаться со всеми. Следуя рекомендациям некоторых уважаемых мною людей и с разрешения затронутых проблемой организаций, я публикую этот материал для того, чтобы все, кого это касается, могли бы немедленно принять меры. Сейчас я расскажу о том, что я назвал Ticket Trick.

Дверь: зарегистрируйтесь, используя корпоративный почтовый ящик

Популярные площадки для организации бизнес-коммуникаций, такие, как Slack, Yammer и Facebook Workplace, требуют, чтобы сотрудники компаний регистрировались с использованием корпоративных почтовых ящиков. Как только сотрудник щёлкнет по ссылке для подтверждения адреса, отправленной на его рабочую почту, он сможет присоединиться к группе компании в сервисе и получить доступ к внутренним средствам связи с другими членами группы.

Slack: пользователи, почтовый ящик которых открыт на одном и том же корпоративном домене, могут, по умолчанию, присоединяться к команде. Это можно заменить на SSO или установить в режим подключения только по приглашениям

Yammer: любой, у кого есть корпоративный почтовый ящик, может присоединиться к команде компании

Facebook Workplace: тот, у кого есть корпоративный почтовый ящик, может присоединиться к команде

Ключи от двери: служба поддержки или функция создания обращений из сообщений электронной почты

▍Метод №1: система отслеживания ошибок

Я начал исследование с GitLab. Любой, у кого есть действующий почтовый ящик на @gitlab.com, может присоединиться к их команде в Slack.

Подключение к команде GitLab в Slack

В то же время, GitLab предлагает возможность создания сообщений об ошибках путём отправки их… на уникальный адрес, созданный на @gitlab.com. Видите, к чему всё идёт?

GitLab — одна из многих систем отслеживания ошибок, которая предоставляет возможность создания сообщений об ошибках с помощью электронной почты

Я, ради интереса, попытался присоединиться к их команде в Slack, используя почтовый адрес, выданный мне для создания сообщений об ошибках.

Регистрация в gitlab.slack.com

Сразу после регистрации я обновил мой список обращений, и увидел, что к моему проекту, в виде нового обращения об ошибке, добавилось письмо подтверждения адреса.

Письмо для подтверждения адреса

Только что добавленное сообщение об ошибке содержало «волшебную ссылку», необходимую для того, чтобы подключиться к команде GitLab на Slack:

Письмо со ссылкой для подтверждения адреса

Я щёлкнул по ссылке для того, чтобы проверить, сработает ли она. Она сработала. Мне предложили список каналов, к которым я могу присоединиться. Я немедленно удалил учётную запись и сообщил о проблеме в GitLab.

Отредактированный скриншот со списком каналов

Команда GitLab ответила на моё сообщение тем же воскресным вечером, когда я его им отправил.

Реакция на сообщение об уязвимости

Они немедленно поменяли режим подключения к их команде на Slack, сделав возможным подключение только по приглашению. Кроме того, они приняли дополнительные меры для того, чтобы сообщить своим клиентам об опасности подобного функционала.

▍Метод №2: служба поддержки

Не так много веб-сайтов имеют общедоступный баг-трекер, поэтому я решил копнуть глубже для того, чтобы выяснить, существует ли некий более распространённый вектор атаки. Как оказалось — существует, и встречается он гораздо чаще, чем я мог ожидать: это служба поддержки клиентов.

Электронные письма, отправленные по адресам вида support@company.com иногда оказываются в онлайновых порталах поддержки, таких, как Zendesk, Kayako, (Fresh)Desk, WHMCS, или в подобных системах собственной разработки. В результате я решил с этим поэкспериментировать и узнать, может ли взломщик как-нибудь вытащить из системы поддержки клиентов нужную ему ссылку подтверждения адреса электронной почты.

Большинство порталов поддержки может быть интегрировано с технологией единого входа: аутентифицированный пользователь будет автоматически входить в службу поддержки. Это повышает удобство работы. Более половины проверенных мной сайтов не требовало проверки электронного адреса. Это означает, что кто угодно может зарегистрироваться в системе с любым адресом электронной почты и читать любые заявки в службу поддержки, созданные с помощью этого адреса. Онлайн-видеоплатформа Vimeo была одной из многих компаний, которые не требовали верификации.

В результате я зарегистрировал аккаунт на Vimeo, используя тот же адрес электронной почты, который Slack использует для отправки ссылок подтверждения адреса электронной почты: feedback@slack.com.

Регистрация в Vimeo с использованием адреса feedback@slack.com

Используя удобную возможность Slack Find Your Workspace, я нашёл команду Vimeo в Slack и зарегистрировался с электронным адресом support@vimeo.com.

Регистрация в vimeo.slack.com с использованием адреса support@vimeo.com

Тем временем с адреса feedback@slack.com ушло письмо на support@vimeo.com, содержащее ссылку для подтверждения адреса.

Когда support@vimeo.com получает письмо, оно классифицируется как тикет обращения в техподдержку, созданный с адреса feedback@slack.com… а это — именно тот адрес, с которым я зарегистрировался.

Потом я заглянул в службу поддержки Vimeo для того, чтобы проверить мои тикеты.

Служба поддержки Vimeo

Там оказалось одно обращение, которое содержало ту самую ссылку подтверждения адреса, которая была мне нужна для того, чтобы присоединиться к команде Vimeo.

Ссылка подтверждения адреса

Команда Vimeo немедленно отреагировала на мой отчёт о найденной ошибке, мне выдали $2000 в рамках их программы поиска багов (#220102, ожидает раскрытия).

Эта уязвимость касается всех веб-сайтов, в которые интегрирован портал поддержки, не предусматривающий подтверждение адреса электронной почты. Однако, всё оказалось ещё хуже.

Я обнаружил ещё две дыры в Kayako и Zendesk, которые дали мне обойти процесс подтверждения адреса почты при их обычных настройках. Это позволило мне успешно выполнять атаку даже в тех случаях, когда служба SSO была отключена и требовалось подтверждение адреса электронной почты. Я сообщил об этих проблемах первого июня, в рамках программ ответственного раскрытия информации об уязвимостях. Оба проекта всё исправили.

Далее, веб-сайты, которые требуют подтверждения адреса после регистрации, но не после его последующего изменения, также уязвимы.

Увеличение масштабов проблемы

Если компания не использует Slack и в ней считают, что они в безопасности… вероятно, всё не так уж и хорошо, учитывая то, насколько распространённой оказалась обнаруженная мной уязвимость. Например, другие инструменты для организации делового общения, такие как Yammer, также подвержены этой атаке.

Мне удалось подключиться ко внутренней сети Yammer, принадлежащей компании, название которой не раскрываю

А так как мы можем читать письма, отправленные на адреса вида support@, мы можем видеть и ссылки для сброса паролей, отправленные на эти адреса. Как оказалось, немало компаний использует именно этот адрес для регистрации в сторонних сервисах и социальных сетях вроде Twitter.

Это означает, что атакующий, кроме того, может захватить любой аккаунт, связанный с адресом вида support@.

Сброс пароля в Twitter

Мне удалось захватить несколько учётных записей в Twitter с более чем миллионом подписчиков

В некоторых случаях с этими электронными адресами так же были связаны привилегированные учётные записи на сайтах компаний. Регистрируясь с адресом no-reply@company.com, можно было перехватить токен сброса пароля для support@company.com и получить доступ к привилегированным учётным записям, которые давали доступ ко всей информации о клиентах.

Если ни один из вышеперечисленных методов не работал, у атакующего оставалась возможность читать существующие и будущие тикеты в службу поддержки, созданные с использованием почты, и отвечать на них. Мой друг однажды отправил письмо на адрес службы поддержки компании, так как что-то работало не так. Разбираясь с этой проблемой, я выяснил, что некая компания оказалась уязвимой, поэтому я зарегистрировался в системе с использованием её адреса, перешёл в раздел «my support cases» и увидел, как там появилось письмо. Я смог читать письма, которые были отправлены в службу поддержки от тех пользователей, у которых не было учётной записи в этой службе, смог на них отвечать. В результате подобной атаки пользователи, которые думают, что общаются со службой поддержки, на самом деле, переписываются с хакером.

Ответы компаний и владельцев сервисов

Мне было любопытно узнать, как именно каждая компания будет устранять обнаруженную мной уязвимость. Вот что в итоге получилось.

Компании, на которые это повлияло сильнее всего, реагировали на мои обращения весьма профессионально. Некоторые даже решили выдать вознаграждение за обнаруженную уязвимость в размере $8000. Иногда я получал отрицательные ответы, а некоторые меня просто игнорировали.

Администрация системы отслеживания ошибок GitLab (#218230, раскрыто) быстро приняла меры, а именно, теперь адреса, открытые на домене компании, не пользуются доверием, кроме того, изменены некоторые настройки Slack. Далее, они внесли изменения в документацию для того, чтобы их пользователи не делали тех же ошибок.

Я сообщил о проблеме в Slack (#239623, ожидает раскрытия) для того, чтобы выяснить, можем ли мы это предотвратить на более высоком уровне. Несмотря на то, что они напрямую не отвечают за эту уязвимость, она влияет на немалое число их клиентов.

В Slack отнеслись к проблеме серьёзно и изменили свой no-reply-адрес таким образом, чтобы он включал в себя случайный токен. Это позволяет надёжно предотвращать подобные атаки на ПО служб поддержки. Проблема, однако, всё ещё актуальна для служб отслеживания ошибок и других систем, интегрированных с электронной почтой. Несмотря на то, что это — не уязвимость самого сервиса Slack, я получил от компании щедрую награду в $1500.

Компания Slack добавила рандомизированные токены к своему no-reply адресу для того, чтобы предотвратить атаки на службы поддержки

Кроме того, я попытался связаться с Yammer чтобы сообщить об этой проблеме. Сначала ответа я не получил. Две недели спустя я отправил следующее письмо, на которое ответили, сообщив, что переслали его команде Yammer вместе с описанием уязвимости. До сих пор они не предприняли никаких упреждающих мер для того, чтобы решить проблему на более высоком уровне, как сделали в Slack.

Атакующие всё ещё могут присоединиться к рабочим пространствам Yammer с использованием обнаруженной мной уязвимости

Я связался с Kayako и Zendesk в рамках их программ поиска уязвимостей (#235139, раскрыто), сообщив о возможности обхода SSO. Компании эту проблему решили и выдали мне, соответственно, $1000 и $750.

Как узнать, что это может повлиять на нашу компанию?

Эта уязвимость актуальна в том случае, если тикеты службы поддержки можно создавать с помощью сообщений электронной почты, и в том случае, если тикеты доступны пользователям с неподтверждёнными адресами электронной почты. Кроме того, она существует в общедоступных баг-трекерах, или в том случае, если система, отвечая на сообщения пользователей, предоставляет им уникальные адреса в домене компании для отправки сообщений, которые попадают потом в тикеты, в посты на форумах, в частную переписку или в учётную запись пользователя.

Мастер Йода рекомендует:  32 Youtube-канала для изучения программирования

Если компания подвержена этой уязвимости, как с ней справиться?


Я видел несколько подходов к решению этой проблемы. Компании вроде AirBnb, LinkedIn и GitHub предоставляют адреса на другом домене, вроде reply.linkedin.com или mail.github.com. Эти адреса нельзя использовать для регистрации в сервисах вроде Yammer или Slack. GitLab обновил документацию, включив в него этот совет для предотвращения подобных атак в службах отслеживания ошибок.

Некоторые решили отключить функционал, связанный с электронной почтой, портал поддержки или систему единого входа. Другие реализовали подходящую систему проверки почтовых адресов. Кроме того, не рекомендуется регистрироваться в службах вроде Twitter, Slack или Zendesk с использованием корпоративных адресов вида support@.

Если наш общедоступный сервис или система бизнес-коммуникаций подвержены этой уязвимости, как с ней бороться?

Вы можете реализовать дополнительные меры безопасности для тех, кто регистрируется в вашей системе, используя почтовые ящики служб поддержки клиентов, но обычно это непрактично и неэффективно. Например, в Facebook Workplace реализован более удачный подход, так как они отправляют письма со случайно сгенерированных адресов вроде notification+ajivdw9kpwld@fbworkmail.com. О том, каким будет подобный адрес, атакующий догадаться не может. В ответ на моё обращение Slack также решил реализовать подобный функционал.

Почему вы раскрываете эту информацию, ведь сотни компаний всё ещё уязвимы?
Большое количество уязвимых компаний приводит к невозможности проинформировать их все. Имеется риск подвергнуться искам от компаний, которые не обращались за советами в области безопасности. Я связался лишь с небольшим количеством компаний, подверженных уязвимости, и с поставщиками услуг, которые реализуют общедоступные программы ответственного раскрытия уязвимостей. Открытие этой информации сейчас было непростым решением, это может привести к взломам, но история учит нас, что скрывать информацию о ошибках ещё хуже.

Как хакеры получают доступ к личной информации

Хакеры раскрыли данные четверти миллиона пользователей Facebook. В общем доступе в некоторых случаях оказались даже личные сообщения. Злоумышленники утверждают, что всего у них есть данные 120 млн человек: они опубликовали эту информацию на одном из форумов и установили цену в десять центов за каждый аккаунт. Всю базу можно купить за $12 млн. Больше всего данных украдено у жителей Украины — 47 тыс. аккаунтов. Россию в качестве страны проживания указали 12 тыс. человек. Сами представители Facebook утверждают, что данные могли быть украдены с помощью вредоносных расширений для браузеров.

Артем Гавриченков, технический директор компании Qrator Labs, которая специализируется на обеспечении кибербезопасности, рассказал, что пользователи, возможно, сами виноваты в этой утечке, если пользовались непроверенным программным обеспечением: «Подобные массивы данных нужно еще анализировать. В прошлом уже были случаи, когда, казалось бы, утек большой объем информации, но выяснилось, что большая часть из нее поддельная, либо таких данных просто никогда не существовало. Сама по себе цифра в 120 млн не вызывает ощущения, что это совсем уж невозможно. Кроме того, за год это уже третья утечка данных из Facebook. Один раз — это случайность, два — совпадение, три — уже близко к закономерности.

Однако если причина утечек — во вредоносном расширении, то здесь все-таки, в первую очередь, вопрос к самим пользователям, которые несерьезно относятся к тому, что устанавливают на собственный компьютер или телефон».

Во сколько утечки данных обходятся Facebook

Некоторые специалисты нашли в утечке данных пользователей «русский след»: якобы хакеры пользовались почтой @mail.ru и оставляли информацию на русских доменах. Технический директор компании Trend Micro в России и СНГ Михаил Кондрашин заметил, что подобные доказательства выглядят несостоятельными. ведь злоумышленники могли намеренно оставлять информацию о себе в рунете, чтобы замести следы: «В случае с утечками данных сложно сразу сказать, в какой момент она произошла. Мы знаем только момент, когда информация была выставлена на продажу. Сложно также определить, с какого момента нужно отслеживать систему и индикатор того, кто получал к ней доступ. В такой гигантской социальной сети, как Facebook, количество передаваемых данных астрономически большое. Мы знаем, что у соответствующих агентств и у хакеров есть инструментарий, который позволяет локализовать вредоносный код и атаки с тем, чтобы они выглядели так, как будто созданы в какой-то определенной стране, на какой-то определенной территории. Так что говорить о какой-то национальной принадлежности нет никакого смысла.

Скорее всего, это запутывание следов, учитывая такие прямолинейные намеки, как использование российских доменов и так далее».

Москвич также Сергей Гусев обнаружил, что его аккаунт в Facebook был подвергнут кибератаке. Он сообщил «Коммерсантъ FM», что злоумышленники украли данные о геолокациях, а также историю поисковых запросов: «Обнаружил кибератаку я достаточно просто: сам Facebook начал везде распространять ссылку на специальную страницу, на которой компания отчитывается о результатах хакерских действий. Там есть раздел «затронула ли кибератака мой аккаунт на Facebook». В моем случае оказалось, что так и произошло. Но никаких чувствительных данных хакеры не получили. Они узнали, если верить Facebook, мое имя и фамилию, основной адрес электронной почты, номер телефона и другую информацию. Также злоумышленники почему-то узнали 10 последних точек геолокации, на которых я был отмечен, и 15 моих последних поисковых запросов. Facebook особо подчеркнул, что хакеры не получили доступ к паролям от аккаунтов или данным кредитной карты».

Как злоумышленники используют украденные данные?

Генеральный директор агентства разведывательных технологий «Р-Техно» Роман Ромачев пояснил, что обычно основная цель хакеров — это получение выкупа за утраченный аккаунт: «Основная мотивация любого хакера — это деньги. Он украдет 300 тыс. или 1 млн аккаунтов, выберет среди этого большого количества информацию, принадлежащую известным блогерам, политикам, шоуменам, и будет их шантажировать для того, чтобы вернуть аккаунт, не опубликовывать переписку. Поэтому шантаж — это единственное, что интересно хакерам в данном случае».

В этом году это уже третий случай обнаружения утечки личных данных пользователей Facebook. В марте стало известно, что британская компания Cambridge Analytica еще в 2015 году получила информацию 87 млн аккаунтов. А в конце сентября в соцсети заявили, что обнаружили утечку данных еще 50 млн пользователей.

Методичка по взлому VK или как зарабатывают Хакеры.

Сразу хотелось бы предупредить, эта деятельность преследуется по закону и прежде всего эта статья посвящена предупреждению и информированию пользователей о том, как обезопасить себя от потери доступа к странице. Настоятельно рекомендую использовать информацию данной статьи исключительно в ознакомительных целях, ну и там смотрите сами. Мы не несем никакой ответственности за использование этой информации.

Уязвимости, и уж тем более мануала позволяющий взломать абсолютно любого юзера за пять сек нет и не будет! А если и будет, то никто за «просто так» вам его не откроет.

Поэтому эти способы направлены на обман пользователя и использую уязвимости человека.

Подход к каждой конкретной жертве ищется индивидуально. Нужно быть немного психологом, немного хакером, немного аналитиком, вам даже придется побыть тем человеком, почувствовать его.

Что нам понадобится?

Цель, свободное время, анонимный доступ к интернету.

Данный мануал применим также для любых аккаунтов и почт.

Для начала настроим свою анонимность. Если вы не собираетесь взламывать известных личностей, то достаточно будет совершать свои действия с VPS (дедика) либор использовать VPN, TOR. Не заходите во взломанные аккаунты со своего ip.

1) Пользуйтесь VPN сервисами — только платными, только зарубежными (лучше в оффшорах). Следите, чтобы не прерывалось соединение! Люди, которым важна безопасность и анонимность в сети, всего используют VPN.

Дедики, соксы, прокси, tor и т.п. — это скорее дополнительные инструменты для определенных задач. То есть вашу деятельность не увидит никто, так как соединение шифруется (кроме самого сервиса ВПН, конечно).

2) Лучше всего использовать браузер TOR, так как он заточен под скрытную работу в сети. Tor скроет вашу личности в Сети, скроет всё то, что выделали в Интернете и куда ходили.

Качаем с официального сайта и ставим с размаху себе на машину.

Но даже используя Tor, всё-таки надо соблюдать несколько правил и немного разобраться в том, как он работает, что он умеет и чего он не может, чтобы не сводить на «нет» все его усилия. Если вы используете TorBrowser и при этом логинитесь в FaceBook, дела ваши плохи.

Поймите, как он работает и пользуйтесь им грамотно. Здесь используется шифрование в 3 «слоя», информация передается по 3 цепочкам.

3) Никаких российских почтовых серверов (mail, yandex и т.д.). Никогда не используйте свои данные для любых регистраций. С радостью сольют о вас всю инфу.

Подробнее почитать о безопасности, анонимности можете в данной группе:

Взлом аккаунта возможен в двух вариантах: удаленно, локально.

Разложим весь процесс на несколько этапов.

I Сбор информации о человеке

На этом этапе мы создадим текстовый документ (txt, doc), в который будем записывать все данные человека aka досье. Рассмотрим несколько возможных вариантов наличия исходных данных: имеется только URL человека, только номер, только почта, только имя и фамилия.

A. Имеется только URL

1) Анализ и поиск.

Сохраняем ID или же буквенную замену, если она есть.

Сохраняем все данные о человеке со страницы: имя, фамилию, возраст, дату рождения, город, ники аккаунтов соц. сетей, имя девушки/парня, фамилию матери, кличку животного, хобби, игры, машину. Стараемся максимально изучить человека по фото, группам и тд и записывают все нужную информацию.

Ищем в поиске всю информацию о человеке. Вбиваем имя, фамилию, город.

Находим аккаунты в других сетях, в mail.ru и любую другую информацию по школу/ВЕЗу. Например, в mail.ru в окне браузера вверху есть ссылка «Люди». Нажмите на неё, над ссылкой откроется строка «Поиск людей», поля: «Имя», «Фамилия», кнопка «Найти». Заполняем поля, жмем кнопку «Найти». Сохраняем то, что считаем нужным.

Найдем почту жертвы, если ее не нашли в гугле в предыдущем пункте. Если есть аккаунт в моем мире на mail.ru, то смотрим URL страницы человека. Там будет запись вида https://my.mail.ru/people . Значит почта будет выглядеть people@mail.ru.

Изучаем аккаунты соцсетей. Внимательно смотрим Instagram, twitter, facebook и прочие. Через форму восстановления можем узнать часть почты.

Почта есть. Ищем информацию по почте. Вбиваем в гугл, вбиваем в поиске в FaceBook. Пользуемся формой восстановления пароля в соцсетях и узнаем часть информации. Находим дополнительные аккаунты и т.п.

3) Поиск Телефона.

Телефон может быть опубликован на странице человека. Если нет, то попытаемся узнать через форму восстановления ВКонтакте, в mail.ru, FaceBook. При восстановлении по почте показывает часть номера. При восстановлении ВКонтакте-другую часть. Теперь будет не хватать только пары цифр, которые будем выяснять с помощью перебора.

4) Поиск по базам.

Если же не нашли ни почту, ни телефон, а если даже и нашли, то смотрим в базах аккаунтов. Выполняем поиск по имени, фамилии, почте, телефону. Очень часто выкладывают ан разные раздачи крупные базы аккаунтов/номеров, которые вы можете найти в нашей группе:

100кк аккаунтов VK 2011-2013

B. Имеется только номер

1) Ищем информацию по номеру телефона в различных сервисах.

Узнаем данные жертвы

3) Восстанавливаем пароль по номеру телефона в различных соцсетях и узнаем часть информации.

Например, в FaceBook можем увидеть часть почты и ау.

4) Добавляем номер в свои контакты и смотрим в Instagram в предложениях подписки должен появится этот человек. Заходим в различные мессенджеры и смотрим информацию по контакту.

5) Повторяем 4 пункт из A. Поиск по базам. Выполняем поиск по имени, фамилии, почте, телефону. Очень часто выкладывают на раздачи крупные базы, которые вы можете найти в нашей группе.

6) Как нашли информацию, повторяем пункты из раздела А.

C. Имеется только почта

1) Ищем всю информацию и аккаунты по почте по пункту 2,4 раздела А.

2) Как нашли информацию, повторяем пункты из раздела А, В.

D. Имеются только фамилия и имя

1) Ищем в гугле примерные аккаунты. Анализируем все данные и отсеиваем ненужных людей.

2) Повторяем 4 пункт из А. Поиск по базам.

3) Как нашли информацию, повторяем пункты из раздела А, В.

II Получаем доступ к аккаунту

Здесь применяем всю информацию, которую мы записывали о человеке в блокнот.

Интересное исследование со слива паролей популярного сервиса.

Большая часть паролей 6-8 символов. В большинстве случаем это были только буквы в маленьком регистре, либо буквы с цифрами.

* Узнайте имя, ник, хобби, любимую спортивную команду, любимую еду, словом всё, что вы можете узнать о жертве, что возможно будет отображаться в её паролях.

* Дни рождения, имена домашних питомцев, имена членов семьи, друзей.

Из этих данных будем генерировать возможные пароли. Не составляйте слишком большой список с ненужными паролями. Существует много инструментов для генерации паролей.

Для Windows используйте онлайн сервисы.

2. Получаем доступ к почте.

Как известно, большинство использует одинаковые пароли в различных сервисах.

Перебором пароля пробуем зайти в почту. Если не получилось, то восстанавливаем доступ к почте, отвечая на контрольные вопросы.

После получения доступа выполняем поиск в почте по слово «пароль» и используем его для входа в аккаунт. Либо просто анализируем письма человека и ищем вручную.


Фишинг — это обман доверчивых пользователей социальной сети с помощью маскировки вредоносных сайтов под сайт ВКонтакте (например). Для качественного подброса фишинга и для более детального изучения страницы можно использовать сервис https://vk.city4me.com . Также можете посмотреть комментарии в группах, для того, чтобы знать, чем интересуется и в каком направлении применять СИ (социальную инженерию). Приведу примитивный и простой пример.

Для начала регистрируем домен. Можно воспользоваться бесплатными регистраторами, например, https://freenom.com . Выбираем домен похожий на vkcom , либо на URL жертвы com_id12345.ru .

Далее создаем страницу по типу vk.com_id12345.ru или оставляем vkcom.

Далее ищем хостинг, например, Hostinger и прикрепляем домен (прописываем ns).

Теперь нужно создать страницу как ВКонтакте. Воспользуемся данными сервисами и скопируем страницу со стилями и скриптами.

Закачанный файл заливаем с помощью файлового менеджера на хостинг. Например, на Hostinger в раздел public_html и удаляем файл index.html.

При переходе на наш сайт получаем это:

Далее необходимо сделать так, чтобы веденные данные сохранялись у нас.

Открываем код страницы. Ищем поля ввода логина и пароля:

Пишем скрипт для сохранения логина и пароля. Создаем файл с названием login.php и вставляем код:

$_POST[‘login’]
$_POST[‘passw’] — это поля которые мы будем сохранять.

Т.е. у нас в файле index.html (имена) мы их сюда вписываем.

Мастер Йода рекомендует:  Знакомство с WP_Meta_Query и WP_Date_Query

pass.log — файл куда будем сохранять апроли.

— vk.com это адрес куда перенаправят юзера после сохранения пароля

Так же можете качать просто готовые фишинги.

Остается лишь отправить ссылку на неё жертве на почту/лс с просьбой «оценить фото», «ознакомиться с коммерческим предложением» и т.д.

Еще один вариант — установка на компьютер знакомого кейлоггеров, троянских программ для хищения данных, расширений для браузеров, получающих конфиденциальную информацию.

Как самый простой вариант — спрятать в другой файл или под видос картинки скинуть жертве и заставить открыть. Для этого используем социальную инженерию.

Для пользователей Android также можно воспользоваться шпионскими программами.

Установленные на телефон жертвы — они позволяют получить сведения об активности (логинах, паролях и т.д.) пользователя. При этом, многие просто не считают нужным защищать гаджеты антивирусами и антишпионским софтом, который мог бы этому воспрепятствовать.

Это подходить для тех, у кого есть доступ к компьютеру, телефону, сете Wi-Fi.

a. Чтобы получить доступ к компьютеру скачиваете на флешку те же самые вирусы. Пока жертва не видит, либо замаскировав под другую программу/фото, устанавливаете на компьютер. Получаете логины и пароли, куки, файлы и так далее. Проверяете их на наличие на своем компьютере дома.

b. Также можно посмотреть пароль страницы ВКонтакте, либо любые другие пароли (ведь большинство использует одинаковые пароли везде). Если он использует браузер хром или яндекс, то там все однотипно. Для этого заходим в Настройки->Показать дополнительные настройки, «Пароли и формы»->»Предлагать сохранять пароли для формы, настроить»

Или просто забить это в адресную строку хрома chrome://settings/passwords . Должен отобразится список всех сохраненных паролей со всех сайтов на которых он прошел регистрацию.

c. Заходим в браузер. Нажимаем кнопку Выйти из контакта, и видим два знакомых каждому поля. Первое поле это логин. Второе это пароль. Поскольку логин не скрыт, о нем нечего рассказать. Но в поле пароль можно использовать небольшую хитрость. А именно правым щелчком мыши на поле пароль выбрать Посмотреть кол.

И вы увидите следующую строку:

Кликните двойным щелчком по надписи type=»password» и слово password заменить на что угодно, или совсем его сотрите. Нажмите Enter и все. Пароль от контакта больше не скрыт.

d. Для этого способа также необходимо находится за компьютером того, чей пароль хотим украсть. Опять же рассматриваем на примере браузера хром, главное уловить саму идею. В браузере яндекса можно проделать то же самое.

Наверняка есть те, кому известна система «Учетных записей гугл». А именно, в правом верхнем углу браузера есть вкладка

Нажав на которую, выпадает меню. Выбираем «Войти в хром»

И создаете новый Аккаунт:

Создаете нового пользователя, в качестве пароля можете использовать самый простой. После чего, заходите в хром уже со своего компьютера. Вводите созданные Логин и Пароль. Все сохраненные пароли, формы автозаполнения, даже история просмотров — всё оказывается на вашем компьютере.

e. ЕСли есть доступ к мобильному телефону жертвы, можно использовать несколько более изящных способов взлома. Самый простой — запрос на получение нового пароля на телефон.

С мобильного телефона можно получить доступ к облачным хранилищам данных (такое использует, например, GoogleChrome), где есть все пароли пользователя, которые он синхронизирует на разных устройствах. Точно такой же способ, что описан в пункте d.

f. Имея доступ к одной Wi-Fi сети, можете снифать трафик и перехватить пароли, либо попробуйте взломать домашнюю сеть Wi-Fi человека и перехватить его данные.

А вот на этом пожалуй и всё.

Найдены возможные дубликаты

Сейчас буду взламывать всех сотрудников в офисе.

Вам сколько лет? Бакалавриат, хотя бы, окончен?

Наткнулся в самом начале на:

VPN сервисами — только платными, только зарубежными (лучше в оффшорах).

Дальше проглядел противоречивый текст, что тор — это допинструмент и тут же большое пояснение, как ставить браузер с тором. Понял принцип вашего мышления — юношеское перескакивание, импульсивность, хаос и бессистемность. И не стал читать.

Поясню. В офшоре очень трудно поставить сервер. Это, как правило, остров где-то в заднице мира. Вдали от магистральных кабелей Тиер-3 операторов. В офшоре за VPN с вас деньги только будут собирать, даже если домен «оффшорный» и IP-сеть принадлежит оффшору. Сам сервер физически будет где-нибудь в Европе стоять, а то и в Сингапуре. Сеть туда прекрасно маршрутизируется (читаем основы BGP). Стоят он будет на хостинге у обычного европейского неоффшорного оператора, которого местные спецслужбы вполне себе нормально «прослушивают» сообразно местному законодательству (а таких законов в ЕС кучи). И хорошо, если это будет отдельный железный сервер, принадлежащий VPN-ISP, а не виртуальная машина среди десятка таких же на железном сервере, принадлежащем европейскому провайдеру.

Ещё одно: в офшорах нет особых отличающихся законодательств против действий в интернете. Более того, их наглее будут прослушивать спецслужбы со всего мира, так как они интересуются теми, кто там большие бабки отмывает.

И, как правило, мелкие государства или территории, обладающие своими блоками адресов и доменами, зарабатывают на сдаче их в аренду, а не на предоставлении полноценных услуг связи.

Какие проблемы вас ожидают, если электронную почту взломают: 7 вещей, которые делают хакеры, получив доступ к информации

Далеко не все люди приходят в восторг, сталкиваясь с так называемой заботой о безопасности при использовании браузера, электронной почты или же социальных сетей. Многих злит и нервирует принуждение к смене паролей, требование их усиления, регулярной смены или усложнения. А «насильственное принуждение» к привязке телефона и вовсе способно довести до нервного срыва не одну сотню человек.

Зачем же так навязчиво заботятся о безопасности пользователей Интернета? Чем на самом деле грозит хакерская атака на почтовый ящик? Насколько подобная угроза вообще реальна?

Проблема первая: рассылка писем

Большинство людей, раздражающихся при столкновении с насильственной заботой об их безопасности, не представляют себе, какие проблемы их могут ждать в случае взлома почтового ящика или же в ситуации, когда их адрес оказывается известен злоумышленникам.

Обычно пользователи Интернета говорят о том, что они не знаменитости и красть у них нечего. Если хакер и получит информацию, то что страшного в том, что он увидит фотографии домашних питомцев или переписку с семьей? Каким образом это может кого-то заинтересовать и как подобные файлы сумеют использовать?

На самом же деле кража личной информации вовсе не подразумевает выставления на всеобщее обозрение содержимого переписки или использования фото для шантажа. Самая частая проблема, с которой сталкиваются жертвы хакеров – это рассылка писем от их имени, с их адреса.

Рассылаться может все что угодно – от простого рекламного спама до вредоносных программ, содержащих вирусы. Представьте на пару минут, как ваши знакомые, члены семьи или коллеги, начальник вскрывают полученное с вашего адреса письмо и получают вредоносный вирус на свой компьютер или же рассматривают порнографический ролик! Возможно и то, что им станут приходить рекламные предложения по паре сотен раз за час.

Этого достаточно, чтобы прекратить игнорировать требования и рекомендации, потратить пару минут и освежить почтовый пароль? Если нет, то стоит узнать, чем еще могут навредить обычному человеку хакеры.

Проблема вторая: фишинг

Фишинговое письмо – это хитроумный способ узнать нужную информацию. К примеру, вы получаете извещение о том, что ваша учетная запись на каком-либо сервисе «скомпрометирована» и требуется перейти по ссылке, чтобы вновь ее активировать. Вы переходите, вводите логин и пароль вручную и тем самым отдаете в руки хакера бесценную информацию.

К примеру, злоумышленник может получить таким образом доступ к вашему электронному кошельку. А это уже не семейная переписка и не фото питомцев.

Но самое неприятное в фишинге — то, что пострадать может не только тот человек, который пренебрегал безопасностью своего почтового ящика. Фишинговые письма могут разослать по адресатам из его списка контактов.

Проблема третья: онлайн-аккаунты

Получив доступ к почтовому ящику, хакер получает и всю содержащуюся в нем информацию, то есть может входить в ваши аккаунты в социальных сетях, интернет-магазинах, на развлекательных порталах, в играх или же, наоборот, зарегистрироваться где-либо от вашего имени.

Чем это опасно? Тем, что от вашего лица будут совершаться действия, о которых вы и понятия не имеете. Например, таким образом можно испортить человеку карьеру, отношения с близкими, прервать общение с друзьями в социальных сетях или же сделать что-то другое.

Зачем это нужно? Если хакер действует по собственной инициативе, то таким образом он может просто тренироваться или же развлекаться. Но ведь его могли и попросить об услуге вполне реальные недоброжелатели!

Многие говорят о том, что у них нет на почте писем с паролями. Но ведь можно же просто кликнуть на иконку «Забыли пароль?» и тут же получить его по почте. Иными словами, доступ к почтовому ящику – это возможность знать обо всем, что вы делаете, и контролировать это.

Проблема четвертая: личная информация

Эта проблема логично продолжает все предыдущие, перекликается с ними. Попробуйте представить себе, что в вашей уборной находится кто-то еще, или же вы моетесь в душе в чьем-то присутствии, на которое не просто не давали согласия, но о котором и вовсе не догадываетесь до поры до времени. Одна мысль об этом вызывает отвращение и страх, не так ли?

Так вот, оказавшись внутри вашей почты, злоумышленник практически проникает в вашу уборную. Может быть, у вас на самом деле нет ничего, чем можно воспользоваться. То есть вы не пользуетесь электронными деньгами, не переписываетесь ни с кем и даже не имеете аккаунтов в социальных сетях. Но и в таком случае чужое присутствие доставляет массу неприятных эмоций, не так ли?

Проблема пятая: кража финансовой информации

Доступ к вашим электронным кошелькам или номерам банковских карт – это далеко не все, что получает хакер, проникнув в почтовый ящик.

В руках злоумышленника оказывается вся информация, связанная с финансами. То есть номер вашей карты социального страхования, номер пенсионного счета и многое другое. Ваш ИНН, ваша очередь на подачу налоговой декларации и даже то, в каких магазинах вы покупаете продукты – все это становится известно хакеру и доступно для использования.

Разумеется, это опасно только для тех, кто пользуется виртуальными услугами. Например, оплачивает налоги или оформляет документы через портал «Госуслуги» и прочие аналогичные сервисы. Но поскольку большинство людей в современном мире использует Интернет для решения различных вопросов, связанных с финансами, а не посещает кабинеты чиновников лично, кража подобной информации распространена и представляет весьма существенную угрозу.

Могут злоумышленники и испортить кредитную историю. К примеру, оформить на вас несколько займов, используя украденную ими финансовую информацию. Готовы платить за чью-то машину или домик в Испании?

Проблема шестая: шантаж и преследование в реальной жизни

Вы считаете, что вас нечем шантажировать? Вы думаете, что сумасшедшие маньяки встречаются только в голливудских фильмах? Это неверная точка зрения.

У всех людей есть секреты. Например, женщина может быть зарегистрирована на сайте знакомств или же она заглядывает в сообщества ЛГБТ, а может быть, у нее имеются анонимные аккаунты в социальных сетях. Захочет ли она, чтобы об этом узнал супруг? Вероятно, нет.

Допустим, что мужчине средних лет скучно, и он, пользуясь псевдонимом и чужой фотографией, флиртует в социальных сетях или же играет в подростковые онлайн-игры, посещает курсы обучения фотографии в стиле ню. Захочет ли он, чтобы об этом узнали супруга, дети, сослуживцы?

Таких примеров можно привести массу. Не нужно думать, что если вы – простой человек и зарабатываете не так много, то с вас нечего взять. Как говорится в пословице: «С миру по нитке – голому рубашка».

Что же касается преследования в реальной жизни, то, к сожалению, Интернет – самое простое и удобное место для поиска потенциальных жертв. А предоставляя злоумышленнику доступ к почте тем, что вы пренебрегаете безопасностью, вы даете ему информацию не только о себе, но и о своих детях, близких и знакомых.

Проблема седьмая: кража личности


Конечно же, с этим не приходится сталкиваться очень часто. Однако подобное может случится, особенно с одинокими людьми, которые пользуются почтой только для того, чтобы зарегистрироваться где-либо, оплатить коммунальные счета, налоги, различные услуги.

Как это может быть? Достаточно просто. Злоумышленник может заявить от вашего имени о потере паспорта и оформить новый онлайн. Причем вы об этом даже не узнаете, если, разумеется, оплата документа не будет произведена с вашего электронного кошелька. И это не единственный способ кражи личности. Хакер сможет пользоваться медицинской страховкой и многим другим.

Как же себя обезопасить?

Для того чтобы избежать неприятностей, не нужно пренебрегать рекомендациями по безопасности, с которыми приходится сталкиваться, открывая свой почтовый ящик или заходя в социальную сеть. Поверьте, их не рассылают для того, чтобы испортить вам жизнь.

Кроме внимательного отношения к рекомендациям следует:

  • не использовать адрес почтового ящика в качестве логина при регистрации где-либо;
  • установить настройку функции «вспомнить пароль» не через почту, а через СМС или прямой звонок;
  • внимательно относиться к получаемым письмам, не переходить по ссылкам без предварительной проверки;
  • использовать сложные для других пароли, то есть то, что нельзя подобрать или угадать;
  • регулярно менять пароль от почтового ящика.

Также можно и иметь несколько почтовых ящиков, ничем не связанных между собой и предназначенных для разных целей. Например, в одном ящике будут сосредоточены данные о регистрации в играх или об аккаунтах в социальных сетях, а в другом – деловая переписка.

Темные отели

Как хакеры крадут конфиденциальную информацию у постояльцев дорогих гостиниц

Руководитель крупной комании Виктор Сергеевич приехал в командировку.

Заселился в отель. Подключился к отельному вайфаю. Согласился с очередным обновлением Flash Player. Зашел в почту. К тому моменту, как он дочитал первое письмо, ноутбук оказался под полным контролем группы хакеров, известной под названием DarkHotel.

Как хакеры получили доступ к ноутбуку

Хакеры целились точно в Виктора Сергеевича. Они проникли во внутреннюю сеть отеля и сделали так, чтобы при подключении к вайфаю на его компьютере появилось предложение обновить Flash Player. Хакеры совместили два классических приёма: атаку посредника и фишинг.

Атака посредника — внедрение в канал связи. Позволяет перехватывать и подменять передаваемые данные.

Фишинг — заражение компьютера руками самого пользователя путём обмана.

Мастер Йода рекомендует:  Безопасность потоков в С++

Виктор Сергеевич привычно согласился с предложением и побыстрее нажал “далее” и “да” во всех последующих окнах. Внешне ничего не произошло, но внутри обновления был скрыт комплект шпионских программ. Так хакеры получили незаметную лазейку в ноутбук — бэкдор.

Бэкдор — программа, которая даёт хакерам полный доступ к компьютеру жертвы.

Чем это опасно

Утечкой чувствительной информации компании. Теперь хакеры знают всё, что знает Виктор Сергеевич. Они могут читать деловую переписку, выкачивать секретные документы, слушать его деловые переговоры и даже подсматривать за ним через вебкамеру. Если хакеры целились напрямую в Виктора Сергеевича, то они наверняка знают, что делать с его секретной информацией.

Диверсией. Хакеры могут незаметно испортить важный отчёт, внести поправки в проект, а то и просто сломать ноутбук в самый неподходящий момент.

Кражей личности. Данных на копьютере достаточно, чтобы хакеры смогли убедительно притвориться Виктором Сергеевичем при звонке в другой отдел компании или банк. Так они смогут узнать ещё больше информации, используя методы социальной инженерии.

Кто находится в зоне риска

Группа DarkHotel, о деятельности которой стало известно благодаря расследованию “Лаборатории Касперского”, охотилась за руководителями крупных компаний. Атаки происходили в дорогих отелях и бизнес-центрах. Если вы директор, разведчик или просто важная шишка — будьте осторожны с вайфаем.

Как не попасться на удочку хакеров

Учтите, что получить бэкдор можно и более прозаичным образом — достаточно кликнуть по ссылке на незнакомом сайте или скачать пиратскую программу.

Как защититься от хакеров

Старайтесь не подключаться к вайфаю в отелях, бизнес-центрах, ресторанах. Для поездок приобретите беспроводной модем.

Если нужно срочно подключиться к незнакомому вайфаю, будьте предельно внимательны. Не скачивайте и не устанавливайте никаких программ. Не нажимайте на всплывающие окна. Если браузер пишет, что у сайта проблемы с безопасностью или что соединение не защищено — отключайтесь.

Установите надёжный антивирус и регулярно запускайте полную проверку системы.

Для параноиков: пользуйтесь VPN. Что это такое — в следующей статье.

HackerOne: как два голландских хакера взломали 100 компаний и привлекли инвестиции Юрия Мильнера

В 2012 году 22-летние Йоберт Абма и Михиел Принс приехали из Нидерландов в Сан-Франциско и начали взламывать сайты Twitter, Spotify и Uber, а потом рассылать им письма, предлагая выстроить систему безопасности. Стратегия оказалась успешной, и через шесть лет среди их клиентов — Starbucks, GM, Uber и Министерство обороны США. Им удалось привлечь $74 млн инвестиций и попасть в рейтинг американского Inc. самых перспективных молодых предпринимателей 30 Under 30. Как они прошли путь от взлома школьного телеканала к самой крупной хакерской платформе мира.

Йоберт Абма и Михиел Принс — хакеры-самоучки, которые возглавляют одну из крупнейших «белых» хакерских платформ мира. Их компания HackerOne использует экспертизу 160 тыс. специалистов по компьютерной безопасности, которые из разных точек мира ищут уязвимости в системах General Motors, Starbucks, Airbnb, и Twitter. Их услугами пользуются также власти США и крупные авиакомпании, например Lufthansa.

По словам предпринимателей, на фоне крупных скандалов с вмешательствам хакеров в американские выборы их бизнес процветает. С момента запуска в 2012 году HackerOne привлекла более тысячи компаний и организаций. Свою выручку они раскрывать отказываются, но утверждают, что за год они обнаружили 61 тыс. уязвимостей и в общей сложности гонорар за них составил около $24 млн (им достается процент).

«Все очень уязвимы, – говорит Абма, объясняя востребованность своих услуг. – Огромные риски существуют для всех компаний».

HackerOne в цифрах

Источник: данные компании

штатных сотрудников в компании.

тыс. хакеров работают на фрилансе.

млн инвестиций привлечено.

получает HackerOne с каждого гонорара хакеров.

тыс. уязвимостей обнаружили HackerOne.

Из любителей в профессионалы

Йоберт Абма и Михиел Принс родились в 1990 году и выросли на одной улице в голландском Драхтене. В детстве они вместе играли в компьютерные игры и учились делать сайты, а потом хакнули телестанцию своей школы.

Когда они учились в университете, обнаружили дыру в платформе для хранения персональных данных учеников. Они сообщили об этом в софтверную компанию, но не дождались благодарности. Однако в этот момент у них созрел бизнес-план: искать уязвимости в ПО компаний и брать с них за это деньги.

К 2011 году у них была своя консалтинговая компания с небольшим пулом клиентов. Но их приятель Мерижин Терхегген, который переехал в Сан-Франциско, предложил им попробовать попытать удачи в Кремниевой долине.

Они приехали в 2012 году и начали спамить техногигантов — от Google до Facebook, — приглашая их выпить кофе и поговорить о безопасности. Пить с ними кофе никто не согласился, но Алекс Райс, глава отдела безопасности Facebook, взял их на слабо — предложил им попробовать найти уязвимость в соцсети и написать ему об этом.

Прошерстив мессенджер соцсети, молодые люди нашли серьезный баг. После этого Райс сам пригласил их на барбекю на крыше офиса Facebook — там же они подписали контракт.

Они решили на этом не останавливаться: составили список из 100 компаний Кремниевой долины, с которыми хотели работать, и начали методично их взламывать в поисках слабых мест. Вместе с Терхеггеном и Райсом, который ушел из Facebook, чтобы присоединиться к их стартапу, они основали компанию HackerOne.

Агентство для талантливых хакеров

HackerOne построена на простой идее: интернет небезопасен, в любом ПО есть слабые места, а средняя стоимость взлома для одной компании, по данным исследования Ponemon Institute, — $3,6 млн. Крупные взломы — как случился в Бюро кредитных историй Equifax, где в сентябре прошлого года хакеры украли данные 143 млн пользователей, — могут обойтись в сотни миллионов.

HackerOne помогает компаниям находить надежных независимых экспертов, которые тестируют их системы безопасности. «Мы работаем как агентство — подбираем хакеров со специфическими навыками и знаниями под конкретные задачи компаний», — говорит Абма. Инвесторы увидели возможность в этой идее: в общей сложности стартап привлек $74 млн от таких игроков, как Марк Бениофф из Salesforce, российский миллиардер и венчурный инвестор Юрий Мильнер, Дрю Хьюстон из Dropbox и Джереми Стопельмен из Yelp.

В зависимости от тяжести предотвращенной угрозы, каждый «белый хакер», подключенный к их платформе, получает гонорар от нескольких сотен до $10 тыс. за одну обнаруженную уязвимость. В качестве посредника HackerOne помогает проводить оплату, проверяет бэкраунд хакеров, следит за выплатой налогов и юридической стороной сделок. HackerOne получает 20% с каждого гонорара хакеров плюс плата за подписку от компаний, которая варьируется от нескольких тысяч долларов в год до десятков тысяч в месяц.

Многие хакеры говорят, что их устраивает такой вариант, потому что работать самостоятельно с крупными компаниями трудно. «Когда ты ищешь баг через HackerOne, точно знаешь, что тебе заплатят», — говорит 18-летний школьник Джек Кейбл, у которого один из самых высоких рейтингов в HackerOne.

Хакер получил доступ к данным старых пользователей Reddit

Reddit уведомил, что некий хакер взломал ряд систем сайта и получил доступ к данным пользователей. В список вошли текущие электронные адреса, а также база данных за 2007 год с зашифрованными логинами и паролями.

Сайт разослал письма пострадавшим пользователям — по большей части тем, кто зарегистрировался в 2007 году или раньше. Злоумышленник также получил доступ к почтовым рассылкам за июнь 2020 года, поэтому мог узнать электронные адреса соответствующих пользователей и то, на какие каналы они были подписаны.

Компания посоветовала тем, кто с 2007 года не менял пароль или менял его незначительно, установить другой пароль на Reddit и других сайтах. Также сервис порекомендовал включить двухфакторную авторизацию через приложения вроде Authy или Google Authenticator, поскольку хакер взломал системы посредством перехвата SMS-сообщений. «Мы выяснили, что SMS-авторизация не так безопасна, как мы надеялись», — написала компания.

С 14 по 18 июня злоумышленник похитил аккаунты нескольких сотрудников Reddit через облачного провайдера. Он получил возможность просмотреть резервные данные, исходный код и другие записи в журналах работников компании, но внести в них какие-либо изменения не смог.

К 19 июня Reddit обнаружил атаку и начал рассчитывать размер ущерба, а также усиливать меры безопасности. Компания связалась с правоохранительными органами и помогает им в расследовании.

Хакер смог просмотреть личные и публичные сообщения, опубликованные с 2005 года, когда сервис только появился на свет, по 2007 год. Один из пользователей отметил, что взломщик может вычислить логин человека по его почте, поэтому посоветовал удалить из профиля все публикации, которые могут быть использованы со злым умыслом.

Forbes выяснил, как хакеры научились взламывать iPhone

Крупный подрядчик государственных американских компаний заявляет, что он нашел способ разблокировать практически любой iPhone. По всей видимости, это может стать важным достижением для правоохранительных органов и очевидной проблемой конфиденциальности для клиентов Apple.

Компания Cellebrite из Петах-Тиквы (Израиль), на которую пал выбор американского правительства, когда речь зашла о взломе мобильных телефонов, заявила своим клиентам, что в настоящее время инженеры компании нашли способ обхода блокировок мобильных телефонов, на которых установлена iOS 11, включая iPhone X — именно эта модель, как сообщает Forbes, была успешно взломана с целью получения необходимых данных Агентством Национальной Безопасности еще в ноябре 2020 года. По всей вероятности, за этим взломом стояли разработчики из израильской компании Cellebrite.

Эта компания, являющаяся «дочкой» японской Sun Corporation, не делала никаких публичных заявлений относительно новых возможностей iOS. Но согласно источникам Forbes, попросившим сохранить анонимность, в последние несколько месяцев компания занималась разработкой секретных методов взлома iOS 11, и теперь предлагает их правоохранительным органам и частным криминалистам по всему миру. В действительности, в публикациях компании относительно ее средств разблокировки и извлечения данных из мобильных устройств, сообщается, что компания может взломать безопасность «устройств и операционных систем Apple iOS, включая iPhone, iPad, iPad mini, iPad Pro и iPod touch, работающих в версиях iOS 5 до iOS 11». Как стало известно другому источнику из департамента криминалистики, компания Cellebrite может взломать также iPhone 8. Он считает, что это, по всей вероятности, касается и модели iPhone X, поскольку безопасность во всех новейших устройствах Apple обеспечивается практически одинаково.

iOS 11, выпущенная в сентябре прошлого года, была высоко оценена компанией Elcomsoft, прямым конкурентом Cellebrite, за новые функций защиты, специально разработанные для того, чтобы противостоять хакерским взломам со стороны экспертов-криминалистов. Эти функции включали также защиту с помощью отпечатков пальцев, — метод, который ранее использовался американскими полицейскими.

Несмотря на то, что к подобным заявлениям стоит относится с определенной долей скептицизма, заявления Cellebrite все же имеют значимость. Чтобы воспользоваться услугами Cellebrite, которая «позволяет определить или отключить PIN-код, блокировки экрана паролем и коды доступа на устройствах Apple», полицейские должны сначала отправить само устройство в компанию. В ее лабораториях инженеры осуществляют некие секретные действия для взлома блокировки, затем они передают устройство обратно следователям, которые могут беспрепятственно извлечь необходимые данные, либо делают это для них. Как уже ранее сообщал Forbes, это может стоить сравнительно недорого — около $1500 за каждую разблокировку. Учитывая тот факт, что на обнаружении уязвимости iPhone можно заработать до $1 млн, услуги компании Cellebrite обходятся дешево.

Потенциально, Cellebrite может установить свои разработки для разблокировки iPhone в программное обеспечение. Но это означало бы, что Apple может протестировать их и придумать способ, чтобы остановить их действие, поясняет Дон Вилфер, партнер в частной криминалистической фирме VAND Group. Вилфер заявил, что его компания уже имела дело со взломами iOS 11: сотрудник фирмы клиента VAND Group не дал код доступа к своему рабочему iPhone, однако, что это был iPhone 6, а не самая последняя модель.

Ни Apple, ни Cellebrite не предоставили никаких комментариев на момент публикации этой статьи.

iPhone X

Судя по всему, ФБР уже пытались применить технологии Cellebrite к последней модели iPhone X. Об этом Forbes узнал из ордера, обнаруженного документах одного уголовного расследования в Мичигане. В ордере подробно излагается расследование по делу Абдулмаджида Саиди, подозреваемого в торговле оружием. Его iPhone X был изъят 20 ноября 2020 года, когда он собирался отправиться из Америки в Бейрут. Мобильный телефон отправили специалисту компании Cellebrite, а данные были получены уже 5 декабря. (Дело Саиди должно быть отправлено в суд 31 июля. Его адвокаты не ответили на запрос Forbes о представлении комментариев)/

Из ордера было непонятно, каким образом полицейские изначально смогли разблокировать телефон и на основании чего был сделан вывод о хранящихся в нем данных. Когда iPhone X только появился, были некоторые опасения относительно возможности следователей просто поднести устройство к лицу человека, чтобы разблокировать его через систему распознавания лиц Face ID. Исследователи также утверждали, что они нашли способ «обмануть» систему распознавания лиц.

Возможность взломать практически любой телефон, является важным фактором для правоохранительных органов не только в Америке, но и по всему миру. С тех пор, как компания Apple начала усовершенствовать механизмы безопасности в своих устройствах, полиция оставила свои попытки взлома iPhone. Многослойная система шифрования стала более изощренной, как это было отмечено в ходе печально известного конфликта между Apple и ФБР, когда представителю Бюро требовали, чтобы Apple помогла им взломать iPhone 5C, принадлежавший террористу Сайеду Ризвану Фаруку.

Выявление уязвимостей iPhone

Cellebrite, несомненно, извлекает выгоду из игры в кошки-мышки, которую ведет правительство с технологическими гигантами из Кремниевой долины. Клиентами компании являются американские полицейские и разведывательные службы, включая ФБР и АНБ. Как сообщал Forbes в прошлом году, компания заключила рекордное количество контрактов с различными службами, и, прежде всего, с Отделом иммиграционного и таможенного контроля АНБ (сумма сделки оценивается в $2 млн). Управление таможенной и пограничной охраны также является клиентом компании.

Активисты Союза гражданских свобод выразили озабоченность в отношении использования такой технологии проникновения в телефоны. Говоря о последних разработках, адвокат компании Electronic Frontier Foundation, Адам Шварц, заявил: «То, что государственные органы ведут дела с компаниями вроде Cellebrite вызывает озабоченность». «Понятно, что Cellebrite выискивает уязвимые места в мобильных устройствах, но не сообщает о них Apple, чтобы они не могли улучшить безопасность своих устройств. Все мы находимся в опасности», — добавил он.

Когда дело доходит до международной границы, то государственным органам реально требуется ордер, прежде чем они начнут поиски наших телефонов за границей.

Добавить комментарий