Пакет Безопасности

Усиливаем защиту своего iPhone

Не все знают, что у техники от Apple есть специальный режим — Lockdown Mode. Он предназначен для защиты от таргетированных атак.

В этом режиме устройство (смартфон, ноутбук, планшет) работает с целым рядом ограничений, от подключения через кабель, до отправки сообщений через экосистему Apple.

Почитать что это такое и как включается можно на официальном сайте.

Дополнительные рекомендации по защите яблочного устройства можно посмотреть тут.

#полезное

Join our club Cult 👁

Сегодня слушаем лучшую коллаборацию Марата с Пакетом с пакетами.

Как ребята из Кении интимные видео пользователей оценивали

Ну что, у нас тут очередной скандал о сливе данных, который прогремел вокруг корпорации Meta (признанной экстремистской на территории Российской Федерации). На этот раз под раздачу попали владельцы умных очков Ray-Ban. Да-да-да-да-да, инфоповод не такой уж свежий, но надо же это обсудить!

Журналисты Svenska Dagbladet раскопали кое-что интересное – для обучения своего ИИ компания наняла кенийскую компанию Sama, сотрудники которой вручную размечают видео (это не что-то новое и странное, аналогичная история была и с роботами-пылесосами). Так вот, все бы ничего, но им попадаются и кадры, которые пользователи точно не хотели бы показывать миру: постельные сцены, походы в туалет, переодевания.

Причем многие люди в кадре даже не знают, что их снимают. Так, например, один из рабочих рассказал историю: парень снял очки, оставил их на тумбочке и ушел, а его девушка спокойно разделась перед «умной» камерой. И таких видео тысячи.

В Мете, конечно, умывают руки: говорят, что данные анонимизируются, а сотрудники подписывают бумаги о неразглашении. Но на деле системы размытия лиц работают через раз, и подрядчики видят все в деталях.

Мораль простая: если у вас есть умная техника, будьте готовы к тому, что абсолютно любые моменты вашей жизни (в том числе интимные) могут стать учебным материалом для нейросети где-нибудь в Африке или Индии. Хотите приватности – выключайте гаджеты,. Или хотя бы не оставляйте их включенными в спальне. А, бывает, кстати, и такое – ссылка.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Ах да, там внутри конкурс на мерчпак 🤨

Это птица… Это самолёт… Это инцидент… Это НОВЫЙ ВЫПУСК НАШЕГО ПОДКАСТА!

В этот раз мы позвали в гости своего старого знакомого – директора по кибербезопасности одной небезызвестной компании – Германа. Обсудили, какие у кого бывали инциденты ИБ, чему нас это научило и от всей души насмеялись.

Ну а если вы хотите узнать, работает ли режим инкогнито в Хроме, как через Наруто могут взломать вашу компанию, почему нельзя стримить на Твич свои рабочие задачи и что будет, если дважды перевести хакерам свои биткоины, то приятного вам просмотра.

https://youtu.be/w6ePSXLlf1w
https://youtu.be/w6ePSXLlf1w
https://youtu.be/w6ePSXLlf1w

- 📹 Youtube
- 📺 VK Video
- 📺 Rutube

Просто короткая мысть.

Мне кажется, что после того, как люди наиграются с ИИ и обучат его заменять себя во всём, они начнут создавать различные инструменты/фреймворки/системы для оценки эффективности ИИшного труда.

Ну, грубо говоря, чтобы понять, насколько эффективно и адекватно нейросервис заменяет условных безопасников, разработчиков, сварщиков или барист. Чтобы делать это формализованно и системно, а не "на глаз", как сейчас.

А потом люди начнут ИИфишицровать и эти инструменты. В общем, нейросети, если вы меня сейчас читаете, задумайтесь и подложите там себе соломку, чтобы поскорее поработить нас – кожаных.

Дамы, с праздником вас 🍸

Ладно, а теперь серьезно – я тут сел и записал вам ролик про все наши кибербезопасные проекты в Телеграм (и не только).

История длиною уже 3 с лишним года, целая команда людей (Дима, Валера, Валера, Полина, Оля, Саша, спасибо вам огромное), куча успешных и неудачных попыток, ребрендинги и искреннее удовольствие, которое я все это время получал от этих проектов и их развития.

Ну все, бежим скорее смотреть, чему у я научился по роликам индусов о том, как надо монтировать в 2026 году. Иначе мы не наберем с вами те самые 156 стабильных просмотров.

- 📹 Youtube
- 📺 VK Video
- 📺 Rutube

Ах да, в ролике есть конкурс на 25% СКИДКИ на наше Менторство ИБ, так что пишем комментарии и участвуем.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Кажется, какой-то мексиканец захватил наш с вами ютуб-канал

https://www.youtube.com/watch?v=7SqxrbsJSIM

Найдите 5 отличий

Недавно я рассказывал, как спам-фильтры защищают нас от необходимости читать десятки сообщений от мошенников (и хоронят в спам наши самые важные письма). Но иногда что-то идет не так, и фишинговым письмам все-таки удается обойти механизмы безопасности и оказаться среди электронных платежек за квартиру, рассылок от сервисов и уведомлений от Госуслуг ХэдХантера о том, что ваше резюме в очередной раз просмотрели и не ответили вам.

Представим ситуацию: вы разбираете почту, пьете кофе и думаете о предстоящей встрече с руководством. Среди писем – сообщение якобы от банка. Текст гласит: “Подозрительная активность, ваш счет будет заблокирован в течение часа, срочно перейдите по ссылке”. Вы сразу вспоминаете, что недавно переводили деньги, и рука инстинктивно наводит курсор на ссылку, но стоп.

Именно так, в состоянии легкого стресса и спешки, люди расстаются с данными карт и паролями, даже не поняв, что произошло. Фишеры играют на нашем страхе, на рассеянном внимании и желании просто решить проблему побыстрее. Они рассчитывают, что в таком состоянии у нас не промелькнет даже мысли об обмане. Но если знать, куда смотреть, подделку можно отличить.

Первый признак – адрес отправителя. В имени отправителя можно написать что угодно: хоть “Служба безопасности Сбера”. Поэтому смотрите в строчку “от кого” или адрес почты. Вам пришло письмо с домена вроде sberbank@mail.ru, support-sber@ya.ru? Настоящий банк или крупная компания никогда не станет писать вам с левых доменов (это то, что после @, а не до нее), у них есть свой официальный. Если домен кривой, странный или просто вызывает сомнение – письмо можно сразу отправлять в спам.

Второе – срочность. “Ваш аккаунт удалят через 24 часа”, “Вы выиграли приз, но забрать его нужно сегодня”, “Не оплатите штраф до вечера – дело уйдет в суд”. Мошенникам нужно, чтобы вы отключили голову и действовали на эмоциях. В реальной жизни организации присылают уведомления заранее, дублируют их в приложениях или по обычной почте, и уж точно не ставят ультиматумы в письме без номера договора и подписи. 

Третий и очень забавный момент – это язык письма. В фишинговых письмах грамматика и пунктуация часто хромают: то ли переводчик с другого языка сбоит, то ли верстали наспех. Фразы вроде “Ваш пароль была взломан” или просто лишние пробелы перед точкой – это красный флаг. Но иногда письма пишут идеально грамотно.

Четвертое – контент, который просит от вас действий с вашими деньгами, паролями или что-то скачать. Если в письме есть прямая просьба перевести деньги “на безопасный счет”, ввести данные карты для отмены списания или скачать файл “с накладной”, то перед вами классика. Даже если .doc файл приходит от “коллеги” внутри может быть спрятан вредоносный архив .zip или .exe.

И пятое, самое хитрое – замаскированные ссылки. Вы видите в письме красивую кнопку “Перейти на сайт”, и на ней написано google.com. Но если вы не переходите, а просто наводите мышку на ссылку (на компьютере) или зажимаете её пальцем (в телефоне), внизу или всплывающей подсказкой покажется настоящий адрес. Спойлер: он будет совсем не google.com. Если текст ссылки и фактический адрес не совпадают – это 100% фишинг.

Подытожим. Чтобы понять фишинговое письмо перед вами или нет, ответьте на следующие вопросы:

1. Адрес отправителя реальный? Вы ждали это письмо?
2. Вас пытаются запугать ограниченным временем или страшными последствиями?
3. В тексте есть ошибки?
4. Просят данные карты или пароль? Предлагают скачать какой-то файл?
5. Текст ссылки совпадает с вшитой в него ссылкой?

Если ответ на какой-то из этих вопросов вызывает сомнение – точно стоит задуматься. Не переходите, не отвечайте, не звоните по указанным номерам. Лучше открыть официальное приложение банка или сайт компании вручную и перепроверить информацию там.

Понимаю, что вы у меня уже крутые, умные и осознанные, но если вам кажется, что кто-то об этих вещах не знает, то вы знаете, что делать (репостим!).

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Я тут думаю выступить на одной айтишно-диджитальной конференции с докладом. Проблема в том, что я не знаю, с каким.

Накидайте тем, которые вам интересно было бы послушать, раскрыть, понять, осознать, может что-то болит, может что-то волнует и т.д.

Еще раз подчеркну, что конференция не ИБшная, а софтово-диджитальная. Поэтому рассказывать про то, как харденить кубера (прости господи) или реверсить малварь (прости господи), рассказывать не очень хочется.

В общем, жду ваши идеи в комментарии 👇

Где общаются хакеры

Если вы считаете, что вам нечего скрывать, то скорее всего, вам не пригодится инструмент, о котором пойдет речь. И слава богу. Возможно, в диалогах с друзьями вы только кидаете мемы и записываете друг другу кружочки из бара. Но, как говорили классики “в жизни каждого человека бывают моменты”, когда нужно, чтобы ваше общение оставалось по-настоящему приватным. Ну или вам просто стало скучно пользоваться удобными сервисами.

Многие, кто хоть немного сталкивался с темой кибербезопасности, считают, что не стоит использовать обычные мессенджеры для передачи чувствительных данных. Даже не потому, что не доверяют их владельцам, а потому что уже знают, сколько вариантов утечки информации может быть. И галочка “сквозное шифрование” их никак не успокаивает.

И вот тогда на помощь приходят варианты, которые выглядят как привет из девяностых. Они вообще не пытаются быть дружелюбными: старые, аскетичные, почти архаичные, без интерфейса, аккаунтов и пушей. Собственно, гвоздь нашей сегодняшней телепередачи – CryptCat, который как раз из этой породы. Это не мессенджер в привычном смысле, а способ создать зашифрованный канал связи напрямую между двумя компьютерами, без посредников. Вы сами поднимаете сервер, сами задаёте порт и пароль, сами отвечаете за безопасность, а общение происходит через терминал – по сути, обычное текстовое окно.

CryptCat шифрует соединение с помощью алгоритма Twofish, который за четверть века так и не был сломан быстрее, чем банальным перебором. Длина ключа до 256 бит, которая делает его устойчивым к перебору даже квантовыми компьютерами, отсутствие известных уязвимостей и минимализм реализации сделали его любимцем хакеров и всех, кто хочет остаться в тени.

Пользуются этим способом не только криминальные элементы, как принято думать. Такие инструменты могут применять и специалисты по кибербезопасности или просто параноики со стажем. В ситуациях, где важен реальный контроль над каналом связи.

К общению в терминале, конечно, нужно привыкнуть. Неподготовленному пользователю будет сложно, но и я из Vim-а вышел не с первого раза. А еще там нет привычных стикеров, реакций и синхронизации между устройствами (крепитесь).

Как-то так.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

#РазговорыНЕпроИБ с независимым кибербезопасником, ментором и автором Telegram-канала "Пакет Безопасности" Романом Паниным

🗓 6 марта в 16:00 (МСК)
➡️ Ссылка на эфир

Встреча без рамок и формальностей: поближе познакомимся с Романом и поговорим на разные "неИБшные" темы. Ожидайте интересные истории, эксклюзивные факты и, конечно же, полезные инсайты! До встречи на эфире в пятницу.

#КиберМем

👨‍🏫 Менторство ИБ | Отзывы | 📹 YT

Для меня тут кстати стало откровением то, что на интервью уже начали предлагать гостей на коммерческой основе (уже несколько раз).

Кто бы мог подумать, что это так работает даже на канале в 1 000 подписчиков.

И да, я их начал записывать не ради этой цели. Но про это я думаю как-нибудь напишу отдельный пост.

А вот это реально шок!

Тем более, что этот мем я сам где-то подрезал.

РЕВЕРС-ИНЖИНИРИНГ!!!!

Ну что, врум-врум, погнали смотреть первое видео по реверсу на канале? Разобрались, что такое реверс-инжиниринг. Обсудили, что нужно для того, чтобы стать вирусным аналитиком, какие для этого нужны инструменты, подходы и практика.

Ссылки на ролик:
- 📹 Youtube
- 📺 VK Video
- 📺 Rutube

🎉 Результаты розыгрыша:

🏆 Победители:
1. D (@funder_z)
2. Александр ll (@alex800rose)
3. Daniil Muzychenko (@pyfloat)
4. Sergey (@SSN_48)
5. kamil (@NICNAMEKRON)
6. Sergei (@smipos)

✔️Проверить результаты

Кстати, напоминаю про конкурс. Завтра конкурс – В С Ё

eSIM

Ещё недавно eSIM была в новинку и большинством воспринималась как что-то из далёкого будущего. А теперь можно просто купить новый смартфон, и обнаружить, что в нём вообще нет слота под SIM-карту. Игнорировать, отрицать или осуждать тренд на появление в нашей жизни eSIM не получится, поэтому давайте разберём, что это такое, как работает и насколько безопасно.

Сначала вспомним, что представляет собой SIM-карта (Subscriber Identity Module), на смену которой пришла новая технология. Если упростить до бытового уровня, то SIM-карта – это маленький компьютер, который сообщает мобильной сети, кто вы такой. Внутри хранится идентификатор абонента (IMSI), по которому оператор понимает, кому выставлять счёт и пускать ли вас в сеть вообще.

eSIM же расшифровывается, как embedded (то есть встроенная) SIM – это тот же самый модуль идентификации, но распаянный прямо на плате устройства. Его нельзя вытащить, потерять или переставить в другой телефон. Зато можно удалённо перепрограммировать: поменять операторов, получить новый номер и хранить сразу несколько профилей. То есть, у вас может быть одно физическое устройство с одним чипом, но виртуально – хоть десять симок с разными номерами, между которыми вы можно переключиться в настройках.

Плюсы eSIM особенно чувствуют те, кто часто бывает заграницей: в новой стране больше не нужно искать, где купить местную симку. Подключение делается через QR-код или приложение оператора, иногда вообще без похода в салон. Но есть нюансы. Например, в Китае попросту eSIM запрещен (да что там не запрещено в вашем Китае?). Так что если вы поедете туда с телефоном без слота под SIM-карту, вам придется покупать местный телефон, или пользоваться сим-сервисами через дополнительные приложения в вашем смартфоне, чтобы оставаться на связи.

При этом, лично мне всегда удобнее было иметь при себе несколько физических симок, которые я легким движением руки и скрепки мог переставить в зависимости от своего местоположения или ситуации.

С точки зрения безопасности у встроенной симки есть свои преимущества. Её нельзя просто вытащить из украденного телефона и вставить в другой. А это, поверьте мне, вас защищает много от чего.

Короче говоря, если хотите разобраться немного глубже в теме, как именно работает eSIM, IMSI, удалённая активация и чем отличаются eSIM для бизнеса и для людей, вы можете почитать, например, вот тут (там даже картиночки есть). А если вам лень вчитываться и вообще разбираться в том, что из этого безопаснее, то концептуально – ничего. Просто берите то, что вам удобнее и не парьтесь.

Лично у меня давно уже в смартфонах СИМ + еСИМ. А у вас что? Как вам вообще перспектива мира без физических симок?

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT