Pull to refresh

Comments 48

Как не стать жертвой киберпреступников

Если переписка важна, то надо просто пользоваться электронной подписью, чтобы обеспечить целостность и аутентификацию переписки, и шифрованием контента переписки. И пусть кто-нибудь посторонний попробует прочитает вашу переписку. Всего-то требуется наличие личных сертификатов у участников переписки.

Ничего страшного, в слеующем фишинговом письме попросят вставить в поле ввода свой приватный ключ.

Это вопрос к производителям!
Да, и вы адрес забыли указать!
Вам как выслать Почтой России или нарочным?

Думаю, оптимально будет в соответствии с RFC 1149.

требуется наличие личных сертификатов

Или доступ к компьютеру жертвы, который можно получить через программы доступа к удаленному столу. Бонусом, если в ЭЦП будут с лишком (как это часто бывает) загружены права, можно ещё знатно испортить жизнь.

Так что это усложняет процесс, но не панацея.
лучше конечно-же. Исследователям еще стоило бы изучить сколько стоит в РФ перехватить СМС с одноразовым паролем… тоже вполне посильные деньги.
целевая страница, которая выглядит как страница входа в аккаунт Google

я правильно понимаю, что те, кто пользуется встроенным в браузер менеджером паролей (а сами свой пароль не помнят), не смогут ввести пароль?

Нет. Примерно все менеджеры паролей (включая встроенный в браузер) не предложат заполнить поля при несоответствии URL.

Данная статья нифига не полная без услуг, когда за сравнительно небольшие деньги добрые дяди из мвд или фсб пошлют запрос в условный майл.ру и те сами все выложат куда надо.

Есть еще услуги по получению архива всех писем почтового аккаунта. Интересно как злоумышленники его получают?
Когда-то я искал «взломщика почты». Думал, что мне это надо. Обратился к нескольким «конторам» и к нескольким «частникам». Все предлагали в качестве доказательства скриншот страницы почтовика. На проверку «я высылаю с неизвестного вам ящика письмо с кодом, вы называете мне этот код» почему-то никто не соглашался.
в качестве доказательства скриншот страницы
Ну, такое «доказательство» любой школьник знакомый с Chrome Devtools сделать может)
Что-то мне эти исследователи кажутся излишне самоуверенными. Они даже не рассмотрели вариант, что кто-то из тех, кто «не стал ничего предпринимать», ознакомившись с подставленной «личностью», распознал ловушку. Или что кто-то в гугле, «согласившемся сотрудничать», продал информацию об эксперименте знакомым хакерам, а то и сам был адресатом предложения. Тогда логично, что они получили самые простые варианты атак от самых беспонтовых хакеров.
Человеку, способному взломать почту гугла чисто техническими средствами, нет необходимости заниматься этим за какие-то пару сотен долларов. Такую дыру можно продать за хорошие деньги, при этом никак не нарушая закон и ничем не рискуя. Например, самому гуглу. Или, если гугл встанет в позу — какому-нибудь конкуренту гугла для черного пиара.

А если какой-то одинокий гений умеет ломать вообще всё что видит, хоть почтовые сервера, хоть фейсбук, хоть инстаграм, за право его забрать в свой отдел безопасности будут драться все, от FAANG до банков.
А если какой-то одинокий гений умеет ломать вообще всё что видит, хоть почтовые сервера, хоть фейсбук, хоть инстаграм, за право его забрать в свой отдел безопасности будут драться все, от FAANG до банков.


Или всякие трехбуквенные дяди принимают его и говорят «или в камеру к петухам на кукан — или сидишь в кабинете и работаешь на благо Родины за большое спасибо».
Да хоть и ФБР — слышал историю как несколько лет назад какого-то кардера приняли в Стамбуле по заданию ФБР. Тот был гражданином какой-то типа культурной страны и стал гнуть пальцы и дерзить сердитым дядям, отказался разблокировать свое оборудование. Не вопрос, приняли его на территории Турции по формальной предъяве от турецкой полиции, повезли и показали как допрашивают тех же курдских бойцов в турецких тюрьмах. Как-то после показа кардер понял, что тут права человека так, подтереться и забыть, сник и убрал все блокировки. Так что считать с Вашей стороны, что американская гебуха чем-то лучше русской — мягко говоря, наивно. Аутсорсинг тюремных услуг никто не отменял.
Ректальный криптоанализ из суровых девяностых :)
земеля, походу тебе пора заканчивать с гей-порно, вона как фантазия разыгралась…
Человек способный сделать тул для взлома почты может продать этот тул другому человеку, способному анонимно его использовать и зарабатывать на ищущих по чуть-чуть, но много-много раз.

В начале поста есть ссылка на статью по взлому амазона и эплов, но как то не понял как угоняют gmail без 2FA. Если там привязан телефон им нужно перехватить СМС во время процедуры восстановления.

Если жертву убедить скачать и запустить вредоносную программу на своём компьютере, то в случае gmail, увы 2FA не поможет. Пароль будет изменён, будет привязан другой телефон, а самое главное — даже push уведомления о происходящих действиях жертве не придёт.
Т.е. если не вестись на фишинговые ссылки, или всегда вводить неверный пароль при первой попытке входа — дальше и пытаться не будут?

еще вариант-предложить взломать почту, а затем шантажировать передачей информации об этом тому, чью почту хотели взломать.

Смысл? Неужели заказчик будет писать со служебного аккаунта аля «v.pupkin@gremlin.ru»?
А на письмо:
«Здравствуйте, я хакер которому И.Кузнецов (или D.Smith, для англоязычных пользователей) заказал взлом Вашей почты...»
я, например, отреагирую нажатием кнопки «в спам» (даже если знаю Ваню Кузнецова), т.к. регулярно и без того приходит спам от всяких Вер, Надежд и Любовей с предложением куда-то перейти или что-то скачать.
В общем, если пользователь не лох, то почти невозможно взломать его почту. Альтернатива перехвата SMS это завести новый номер, который не будет нигде светится и к нему привязать все ценные сервисы которые требуют 2SA.

Новый номер на свои личные данные зарегистрируем?

Сообщи мне когда привяжешь к моему номеру "все свои ценные сервисы"

А как предполагается обходить привязку к IP? Гугл же вроде бы ругается с нового IP вход и вроде бы даже смс просит отправить
Могу рассказать, как недавно большое число более или менее крупных русскоязычных блоггеров взломали. Им высылали на почту программу, которую нужно прорекламировать. Они качали эту программу себе на компьютер, далее эта программа отключала двухфакторную аутентификацию. Google отправляли письмо про отключение аутенфикации на почту, но если данное письмо быстро удалить, то почему-то даже push уведомление на телефон не приходит. Далее быстро меняется пароль и происходит привязка на новый номер телефона (Google с доверенного ПК позволяет это сделать без отправки СМС на старый номер телефона), при этом не приходит даже уведомления (письмо быстро удаляется, google почему-то тогда опять ничего не высылает). В итоге человек лишается почты и своего youtube канала и ему приходится около недели через google поддержку ждать восстановления своего канала. Если канал был маленьким (намного меньше 100k подписчиков) и не был подключён к партнёрской сети, то бывает ждать приходится около месяца (один ждал 3 месяца), так как google поддержка отвратительно работает.
Любой почтовый ящик можно взломать, если жертва проявит неосторожность и перейдет по фишинговой ссылке.

Достаточно ли простого перехода по ссылке?..
Перейдет по фишинговой ссылке, введет свои логин, пароль, код из смс и продолжит бездействовать.
Насколько я понимаю, после фишинговой «смены пароля», т.е. прохождения фишинговых форм — любой адекватный человек попытается зайти в аккаунт с новыми учетными данными и не сможет. И сразу же, в ту же минуту забьет тревогу.
а если использовать сервис типа Яндекс.ДНС+Яндекс браузер + DNSCrypt — этого будет достаточно чтобы не попасть на ссылку из фишингового письма?
bash.im/quote/406043

Заголовок спойлера
Коннект: Слушай, мож мы родственники?
ALEXA: думаешь???
Коннект: Ну, может дальние. Какая девичья фамилия была у твоей матери?
ALEXA: *енко
Коннект: О, у тебя 8 новых писем )
ALEXA: в смысле???
UFO landed and left these words here
Возможно имеется ввиду, что никто их не ищет, никаких уголовных дел за взлом почты ни на кого не заводят. Вот ни разу о таком не слышал.
UFO landed and left these words here

Это было 10 лет назад. Возможно, что-то поменялось с тех пор? Всё-таки тут не только взлом ящика, но и шантаж с требованием выкупа.

Only those users with full accounts are able to leave comments. Log in, please.

Information

Founded
Location
Россия
Website
selectel.ru
Employees
501–1,000 employees
Registered

Habr blog