7 угроз безопасности мобильных устройств, которые могут застать вас врасплох

В ночь перед тем, как я должен был произнести надгробную речь на поминальной службе моей матери, я был поражен.

Как человек, регулярно пишущий о кибербезопасности, я обычно не попадаюсь на уловки киберпреступников. Но я был в очень эмоциональном состоянии и не мог ясно мыслить, когда пришло сообщение, похоже, из моего банка. «Кто-то попытался войти в вашу учетную запись», — предупреждало сообщение и предоставляла ссылку, по которой я мог щелкнуть и подтвердить свою личность.

Я нажал на ссылку.

Преступники знают, что вы не уделяете должного внимания безопасности, как на настольном компьютере или ноутбуке. Они знают, что могут поймать вас в тот момент, когда вы отвлекаетесь или спешите.

Появилась законно выглядящая веб-страница, оптимизированная для мобильных устройств, с просьбой ввести PIN-код моей дебетовой карты в качестве формы подтверждения. Все еще не соображая ясно, я ввел свой PIN-код. Когда я не получил в ответ SMS с сообщением о том, что моя личность была подтверждена, я наконец понял, что меня обманули.

В последующие душераздирающие минуты я позвонил в свой банк и изменил свой PIN-код, идентификатор пользователя и код доступа. К счастью, после нескольких месяцев тщательного наблюдения я не обнаружил ничего плохого в своих учетных записях — хотя я получил три дополнительных смишных сообщения, которые я проигнорировал.

Smishing — фишинговые атаки, осуществляемые с помощью SMS, — одна из угроз кибербезопасности, набирающая обороты в нашем мире, который все больше и больше ориентируется на мобильные устройства. В 2018 году 49% респондентов отчета Proofpoint State of the Phish заявили, что подвергались смишинговым или вишинговым (голосовым фишингам) атакам, что немного выше, чем в 2017 году, когда таких было 45%. Между тем, согласно отчету McAfee за 2019 год, количество случаев мобильного вредоносного ПО увеличилось на 550% в 2018 году. Отчет об угрозах для мобильных устройств.

Почему растут атаки на мобильных пользователей? Потому что слишком часто они работают.

«Большинство из нас в наши дни сначала проверяют электронную почту на своих смартфонах», — сказал Чет Вишневски, главный научный сотрудник компании Sophos, разработчика программного обеспечения для обеспечения безопасности. «Преступники знают об этом и надеются, что вы уделяете безопасности меньше внимания, чем на настольном компьютере или ноутбуке. Они знают, что могут поймать вас в тот момент, когда вы отвлекаетесь или спешите».

В то же время мобильные браузеры и почтовые приложения часто не позволяют легко проверить ссылку, прежде чем щелкнуть по ней. Кроме того, пользователи все больше полагаются на мобильные устройства для работы, потому что устройства становятся все более мощными и сложными, а их экраны больше. Мобильные устройства также хранят огромное количество информации о нас и компаниях, в которых мы работаем, которую злоумышленники стремятся использовать.

7 угроз мобильной безопасности, о которых вы могли не знать, и советы по борьбе с ними

1. Смишинг

По словам Вишневски, атаки Smishing вызывают особую и растущую озабоченность, поскольку они не зависят от платформы и в равной степени воздействуют на пользователей iOS и Android. «Атакам социальной инженерии все равно, какую марку телефона вы используете».

Хотя специалисты по кибербезопасности обычно знают о смишинг-атаках, многие пользователи смартфонов этого не знают. И в этом заключается проблема для директоров по информационной безопасности и специалистов по кибербезопасности, учитывая рост числа атак. Согласно Индексу безопасности мобильных устройств Verizon за 2019 год, 85% фишинговых атак, наблюдаемых на мобильных устройствах, происходят вне электронной почты — например, в обмене текстовыми сообщениями. «В то время как многие организации используют фильтры для блокировки атак по электронной почте, гораздо меньше организаций имеют аналогичную защиту» для защиты от фишинговых атак, происходящих за пределами электронной почты, отмечается в отчете.

Однако это начинает меняться. За последний год или около того поставщики Mobile Threat Defense (MTD) добавили в свое программное обеспечение средства защиты от мобильного фишинга, отмечает Патрик Хевеси, старший аналитик отдела безопасности, идентификации и рисков в Gartner. К поставщикам MTD с защитой от сбоев относятся Lookout, Symantec, Zimperium, Wandera и McAfee.

По словам Хевеси, обучение сотрудников распознаванию атак и сообщениям о них имеет решающее значение, но встречается редко. «Большинство организаций обучают своих сотрудников методам фишинга по электронной почте, но большинство из них мало что предлагает для обучения безопасности мобильных устройств», — добавляет он.

Периодическое проведение смоделированных смишинг-атак с сотрудниками может помочь, так же как отправка поддельных фишинговых писем пользователям может помочь им научиться обнаруживать мошенничество, отмечает организация по обучению безопасности Social Engineer, Inc.

Связанный: Triton и новая волна угроз безопасности IIoT

2. SMS-сообщения, предназначенные для загрузки мошеннических приложений.

Вы, наверное, знаете, что приложения, доступные за пределами магазинов приложений Google и Apple, могут быть в лучшем случае рискованными. Чего вы можете не знать, так это того, что преступники могут попытаться хитростью заставить вас загрузить свои вредоносные приложения, например, отправив вам текстовое сообщение.

Например, согласно отчету McAfee Mobile Threat Report за 2019 год, вредоносное ПО TimpDoor для Android стало одним из ведущих семейств вредоносных программ-бэкдоров для мобильных устройств в 2018 году. Угроза начинается «с текстовых сообщений, информирующих пользователей о том, что им нужно просмотреть голосовые сообщения», — поясняется в отчете. «Прилагаемая ссылка на приложение голосового проигрывателя содержит подробные инструкции по включению приложений из неизвестных источников. При нажатии на ссылку устанавливается фальшивое приложение для обмена голосовыми сообщениями, которое отображает два сообщения. Ни одна из кнопок или значков не работает, кроме тех, которые воспроизводят включенные аудиофайлы».

McAfee сообщает, что TimpDoor работает в фоновом режиме и использует устройство в качестве точки входа во внутренние сети. Угроза, вероятно, перерастет в «мошенничество с рекламными кликами, распределенные атаки типа «отказ в обслуживании» и рассылку спама и фишинговых писем».

Как и в случае со смишингом, обучение пользователей обнаружению мошеннических текстовых сообщений и оповещению о них является первой линией защиты, наряду с мобильными приложениями безопасности, которые могут сканировать устройства и конфигурации на наличие аномальных подключений.

3. Приложения-фонарики (и другие приложения для кражи данных)

Вредоносные приложения, пытающиеся получить доступ к данным на вашем телефоне, представляют серьезную угрозу, особенно в магазине Google Play. Часто цитируемым примером являются сторонние приложения-фонарики. Несмотря на то, что iPhone и телефоны Android поставляются с функциями фонарика, бесплатные сторонние приложения для фонарика предлагают дополнительные функции, такие как мигающие стробоскопы. Проблема в том, что некоторые из этих приложений в магазине Google Play запрашивают абсурдное количество разрешений.

«Один разработчик приложения-фонарика для Android включил все возможные разрешения, чтобы приложение могло оставаться включенным, когда телефон выключен, прослушивать телефонные звонки, регистрировать ваше местоположение и получать доступ к вашим контактам», — сказал Хевеси. «Приложению фонарика должен быть разрешен доступ только к вспышке вашей камеры».

Хевеси рекомендует обучать пользователей внимательно относиться к разрешениям на любые загруженные запросы приложений и отклонять любые, которые кажутся чрезмерными или ненужными.

Вишневски советует проявлять осторожность перед загрузкой любого бесплатного приложения, если только оно не от разработчика, которого вы знаете и которому доверяете (например, Microsoft, который предлагает бесплатные приложения, такие как To Do и OneNote), бесплатное приложение, которое предлагает законные покупки в приложении. «Разработчикам нужно каким-то образом монетизировать свои приложения, поэтому они часто создают бесплатные приложения, такие как приложения-фонарики, которые тайно собирают информацию о вас и продают ее третьим лицам», — пояснил он. «Возможно, вы даже дали им на это разрешение, если приняли лицензионное соглашение, не прочитав его, как это делает большинство людей».

Связанный: 5 главных угроз безопасности мобильных устройств

4. Флисовая посуда

Приложения Fleeceware, термин, который, по словам Sophos, был придуман, являются бесплатными (или недорогими) приложениями для Android, которые предоставляют простые функции, такие как сканирование штрих-кода и QR-кода. Но, без вашего ведома, приложение регулярно снимает с вас большие суммы денег.

По словам Вишневского, хотя вас могли заставить поверить, что приложение бесплатное, на самом деле флисовое приложение дает вам только короткую бесплатную пробную версию, используя функцию бесплатных пробных версий в магазине Google Play. По окончании пробного периода с вас могут снять сотни долларов (или евро). Например, с пользователей, которые загрузили определенное приложение для создания GIF для Android и забыли отменить подписку после бесплатного пробного периода, взимается около 240 долларов. «В выписке по вашей кредитной карте указано, что списание средств происходит от Google», что может натолкнуть некоторых на мысль, что списание является законным.

По словам Вишневски, большая часть флисовых приложений была удалена из магазина приложений Google, в то время как некоторые из них, которые прошли через привратников приложений Apple, были быстро удалены. Тем не менее флисовое ПО — это еще одна причина, по которой мобильные пользователи должны быть бдительны в отношении приложений, которые они загружают от разработчиков, которых они не знают. Кроме того, внимательно прочитайте отзывы о приложении перед загрузкой — и особенно перед тем, как предоставить разработчику приложения свою кредитную карту для списания средств после окончания бесплатного пробного периода.

5. Скрытая реклама

Приложения для Android, которые отображают скрытую рекламу, становятся все более распространенным риском, сказал Армандо Ороско, аналитик мобильных вредоносных программ Malwarebytes. «Не являясь откровенно вредоносными, скрытые компоненты рекламного ПО могут быть установлены и запущены без вашего ведома, обеспечивая при этом стабильный доход злоумышленникам», — говорит он. «Обычно они поставляются в комплекте с поддельными или переупакованными приложениями, чтобы казаться законными, или с очень похожими копиями законных приложений».

Здесь снова помогает обучение пользователей тщательному изучению приложений перед их установкой. Кроме того, многие приложения безопасности для Android и iOS могут находить и удалять рекламное и вредоносное ПО.

6. Угон SIM-карты

Также известный как подмена SIM-карты или взлом SIM-карты, захват SIM-карты — это когда злоумышленник с помощью социальной инженерии или других тактик может переключить номер вашего мобильного телефона на SIM-карту, которой он владеет. Как только злоумышленник получает ваш номер телефона, он может перехватить коды двухфакторной аутентификации, отправленные в текстовом сообщении, что, в свою очередь, может позволить ему получить доступ к вашей электронной почте, банковским и другим учетным записям. Подмена SIM-карты также используется для получения доступа к счетам жертвы в цифровой валюте, предупреждает ФБР.

Чтобы свести к минимуму риски, обратитесь к своему поставщику услуг беспроводной связи и установите PIN-код, секретное слово или другую форму дополнительной проверки, — посоветовал Алекс Хейд, директор по исследованиям и разработкам платформы оценки кибербезопасности SecurityScorecard.

Чтобы быть особенно осторожным, получите отдельный частный номер телефона, который вы используете только для банковских счетов и других финансовых учреждений, говорит Хайд. «Ваш общедоступный номер телефона, который распространяется среди друзей, семьи, деловых партнеров, социальных сетей и служб поддержки, будет первым, что попытаются использовать злоумышленники, если вы станете мишенью для замены SIM-карты», — объясняет он. «Если у вас есть второй частный номер телефона, известный только вам и вашим финансовым учреждениям, вероятность того, что злоумышленник получит доступ к вашим счетам с помощью этого метода, значительно снижается».

7. Программное обеспечение для наблюдения

Так называемое ПО для наблюдения предназначено для захвата и передачи конфиденциальной пользовательской информации, такой как SMS-сообщения, голосовая почта или аудиозаписи телефонных разговоров. Например, компания Lookout, специализирующаяся на кибербезопасности, сообщает, что в 2019 году она обнаружила «Монокл», сложный набор специализированных программных инструментов для наблюдения под Android, разработанный российской компанией Special Technology Center, Ltd., компанией, на которую правительство США наложило санкции в связи с вмешательством в президентские выборы.

Monokle ставит под угрозу конфиденциальность пользователя, похищая личные данные, хранящиеся на зараженном устройстве, и извлекает информацию, сказал Боб Стивенс, вице-президент Americas for Lookout. «Monokle — отличный пример того, как государства разрабатывают сложные вредоносные программы для мобильных устройств».

Мы всего лишь люди…

Вы и ваша организация можете снизить риски, связанные с мобильными устройствами, если будете в курсе последних возникающих угроз; часто обучать сотрудников распознавать ненадежные приложения и ссылки и избегать их; принудительное использование VPN при подключении к общедоступным сетям Wi-Fi; требование использования приложения/службы диспетчера паролей; регулярное обновление мобильных устройств; а также с помощью инструментов Mobile Threat Defense и Mobile Device Management.

Но, как я узнал, даже у людей, которые обычно разбираются в кибербезопасности, может возникнуть момент уязвимости, и они ослабят бдительность. Полностью устранить этот риск невозможно — это называется «быть человеком».