Лайфхакер
Лайфхакер
Лучшее
Рубрики
Рецепты
Подкасты
Сервисы
Колонки
Интернет
9 октября

Не только слабый пароль. 3 типичные ошибки в интернете, которые приводят к опасным последствиям

Вместе с компанией «Ростелеком» рассказываем, на что нужно обратить внимание.
Фото автора Алмаз Загрутдинов
Алмаз Загрутдинов

Ведущий редактор спецпроектов

Не только слабый пароль. 3 типичные ошибки в интернете, которые приводят к опасным последствиям

1. Вера в анонимность

Закрытые посты для «своих» или отдельная страница с левым ником — кажется, этого достаточно для безопасного общения в Сети. На деле такие пространства тоже довольно прозрачны: скриншоты, геометки, общие знакомые выдают реального хозяина странички не хуже аватарки с портретом. И даже если сайт не требует авторизации и указания имени и фамилии, он продолжает собирать большой объём информации о вас. Например, местоположение, интересы, покупки и даже персональные данные, если не глядя поставили галочку об их передаче. 

2. Избыточная связанность личных страниц и кабинетов

Кнопка «Войти через соцсеть» экономит время, но привязывает десяток сервисов к одному аккаунту. И после его взлома посыпятся подписки, заметки, фотоархивы и покупки на маркетплейсах. Похожая история с номером телефона, только его обычно привязывают к намного более чувствительным пространствам вроде банка, «Госуслуг» или мессенджеров. Представьте, что будет, если вы потеряли гаджет? 

Чтобы обезопасить себя, не нужно логиниться через один «главный» профиль в соцсетях на десятках сайтов. Для важных сервисов — отдельная учётка, сложный пароль и двухфакторная защита. А ещё не помешает провести ревизию доступов и отрубить всё лишнее. Обычно люди регистрируются на автомате, поэтому вполне возможно, что у вас до сих пор висят неактуальные подписки 10-летней давности. 

3. Вера в публичный Wi‑Fi

Удобно, когда есть открытая и бесплатная сеть в аэропорту, парке или кофейне, но в таких местах вы практически не защищены от злоумышленников. Логины, пароли, переписка и данные карты могут уйти к посторонним, а человек узнает об этом только по уведомлениям о «входе из необычного места» в почте или по непонятному списанию средств на следующий день. В открытых сетях нужно выкрутить меры предосторожности на максимум. Не входите в важные аккаунты и не оплачивайте покупки, а если нужен срочный доступ к банку, безопаснее раздать интернет со смартфона, чем пользоваться общей сетью.

Следить за безопасностью Сети нужно не только в публичном месте, но и дома. К счастью, «Ростелеком» решает эти проблемы за вас. Для этого нужно подключить домашний интернет со всеми необходимыми сервисами для безопасности или выбрать пакетное предложение, включающее также мобильную связь, интерактивное ТВ и онлайн-кинотеатр Wink. Фильтр нежелательных сайтов, мониторинг кредитной истории, блокировка подозрительных звонков и слежение за утечками данных — это не про галочки в настройках, а про спокойную жизнь без сюрпризов. Фильтр помогает убрать из выдачи лишнее: детям — безопасная лента без жёстких сцен и мошеннических страниц, взрослым — меньше тревоги и отвлекающего мусора. Мониторинг кредитной истории предупредит, если кто-то пытается оформить на вас заём, а мониторинг утечек сообщит, если адрес почты, пароли или паспортные данные всплыли в открытом доступе. Всё для того, чтобы вы успели среагировать и защитить себя.

Выбрать безопасный домашний интернет
Реклама: ПАО «Ростелеком»
Обложка: Aleksandr_Lysenko / Shutterstock
Если нашли ошибку, выделите текст и нажмите Ctrl + Enter
Комментарии
Julia Svit
09.10.25 11:14
Получается, что как бы не шифровался, если захотят, то взломают (((
Sergei F
09.10.25 11:28
Ростелеком в состоянии сделать что-то полезное?
Ирина Л
09.10.25 11:56
Как технически происходит мониторинг кредитной истории?
Evialroot
11.10.25 08:40
Статья с Хабра про публичный wifi. Как говорится, не всё так однозначно )) Нам каждый раз рассказывают про то, что если подключиться к публичному Wi-Fi, то может случиться что-то ужасное. А, собственно, что? Трафик перехватят; Пароли утекут; Смартфон будет взломан; Установят какой-то мессенджер без вашего согласия. Причем транслируют инструкции «не пользоваться публичными/открытыми Wi-Fi» множество ИБ-компаний, включая вполне именитых экспертов. Но, кажется, это карго-культ 2015 года, и давайте попробуем разобраться, почему и как так вышло! Дисклеймер! В статье умышленно рассматривается самый частый сценарий — подключение к Wi-Fi смартфона обычного человека. А не того, кто находится в розыске ФСБ/ФБР/Интерпола. Подключение ноутбука же ныне значительно более редкий и очень детерминированный сценарий, ведь выстрелить себе в ногу с небезопасной настройкой ноута значительно проще, особенно если ты из IT. Итак, обычный человек, обычный современный смартфон. Поехали? Классическая торговля страхами Классическая торговля страхами ❯ Современные векторы атак и их ограничения В современном мире массовых атак есть разница между атаками на Андроид и IOS устройства. Из-за большей открытости и более простой установки неподписанных приложений на Андроид именно эта платформа стала основной целью массовых атак. В рамках нашего повествования это не так существенно, поэтому я буду упоминать обезличенный «смартфон» и лишь по необходимости уточнять ОС, где есть существенная разница с точки зрения безопасности. Объект нашего исследования — смартфон Васи, который, возможно, не самый новый флагман, но еще поддерживается ответственным производителем! На момент написания статьи под это описание подходят десятки моделей смартфонов, выпущенных с 2020 года. Злоумышленник, назовем его GarNik (никнейм выдуман автором), которого мы будем рассматривать, имеет полный контроль над Wi-Fi точкой доступа и роутером, и не важно, сам ли он поднял эту сеть или захватил контроль над легитимной. Наш хакер не очень технически подкован, но очень упорен и верит в успех! Ведь он начитался множество статей, что небезопасно подключаться к публичному Wi-Fi, и уверен, что сейчас-то он сможет нагуглить множество атак на клиентов его точки доступа! Всё ведь должно быть просто? Да? И вот наш Вася, ввиду плохо работающего или вовсе не работающего мобильного интернета, подключился к Wi-Fi, на котором ждет своих жертв GarNik. Как же можно атаковать Васю и его устройство? И можно ли? ❯ Перехват трафика Трафик Васи под контролем, вот она, победа, да? Увы, нет, почти 100% трафика современного смартфона передается с шифрованием. А значительная часть приложений используют и SSL-pinning, не позволяющий подменять сертификат даже на иной доверенный! Его возможно обойти, но это требует рутовых прав на самом телефоне. А может, попробовать SSLstrip? Попробуем заставить жертву подключиться к серверу без шифрования? Это требует следующего: Сервер должен позволять работать без шифрования по HTTP. Не должно быть SSL-пиннинга, HSTS, HTTPS-only и иных механизмов, умышленно заставляющих включить шифрование. Почти ни одно приложение подобным критериям не соответствует. А даже если такое приложение найти, то получим данные именно этого приложения, не более. К тому же злоумышленник должен таргетировать конкретное уязвимое приложение. Для наиболее результативных атак у злоумышленника все еще должен быть доверенный сертификат! Да, доверенного сертификата у GarNik нет, а значит, шифрование не вскрыть даже при ошибках приложений. Все остальное, что передается незашифрованным — мусор и не позволяет провести атаку на современный смартфон. Можно выяснить обрывки сведений, например: номер телефона, домены, на которые заходят приложения, геолокацию (что в данном случае еще более бесполезно, вот же он сидит под Wi-Fi), какие приложения использует Вася, да и в целом всё. Для Васи это несущественно, как и для большинства других пользователей. ❯ Возможная эксплуатация Нужен настоящий взлом. Ведь пишут про эксплойты для смартфонов! Точно что-то должно быть под телефон 2020-го года, да? А вот нет, последняя успешная и публичная цепочка эксплойтов на атаку на чипы Wi-Fi была в 2019 году. Она успешно закрыта обновлениями и была бы эффективна в момент ее публикации и какое-то недолгое время после. Даже непубличных эксплойтов, подходящих под Wi-Fi атаку с выполнением кода на смартфоне, за последнее время нет. А Васин телефон просто устанавливает обновления сам, вот и вся защита. А если вспомнить все вот эти крутые 0-day 0/1-click? Такие стоят под современные операционные системы смартфона от полумиллиона до нескольких миллионов долларов, и явно не по бюджету GarNik. Он бы на такие деньги лучше открыл очередной стартап. Да и такие уязвимости чаще всего не требуют нахождения в одной сети с устройством, если такое есть, то проще, как Pegasus, установить вредонос удаленно. Фактически ни одного способа выполнить код от имени какого-то приложения Васи и нет, а уж поднять привилегии до рута — задача еще более дорогая! Если бы Вася был дипломат, миллиардер или шпион, то да, деньги бы на это потратили. Но и методы были бы иные :) ❯ Социальная инженерия Но раз технически всё так плохо, можно воспользоваться социальной инженерией! Показать страничку, где Васю попросят сообщить код от Госуслуг, или скачать и установить APK-файл. Но, кажется, зачем тут Wi-Fi? С таким же успехом можно ссылку/файл прислать куда-либо жертве или позвонить, как мошеннические колл-центры. Wi-Fi-точка гораздо хуже подходит к подобному вектору. А Васю учили в его компании подозрительно смотреть на предлагаемые к установке файлы, а уж код из СМС от Госуслуг и вовсе поверг бы его в панику и побудил как можно быстрее отключиться от сети. Ведь Вася сто раз уже слышал про колл-центры и про опасность присылаемых кодов. GarNik сдался, ни один «клиент» его сети не принес ему ничего. А ведь было вложено немало сил! Кстати, каких? ❯ Условия благоприятные для атаки Чтобы максимизировать успех, злоумышленнику нужно очень многое: Поднять точку доступа в популярном месте, однако без иных открытых точек поблизости. Держать ее максимально долго и с сильным сигналом. Размещать оборудование самостоятельно или с помощью подельника. Ловить/провоцировать перебои сотовой сети, ведь чаще всего люди сидят на мобильном интернете. И даже в таком случае всё, что ему будет доступно в большинстве случаев — социальная инженерия, которую можно было сделать значительно проще и не прибегая к огромному риску для себя. Даже минимальный улов не гарантирован, в отличие от случая массового фишинга! GarNik ушел читать про фишинг, он снова поверил в успех, а о негативном опыте думать не привык, как и учиться на своих ошибках. Думаю, он еще вернется с новым кейсом к нам на разбор. ❯ Реальность Когда я готовил эту статью, то посетил два хороших мероприятия по кибербезу и спросил у коллег-расследователей, известно ли им о каких-либо живых кейсах взлома устройств через Wi-Fi или о случаях размещения вредоносных Wi-Fi. Все ответили «нет». Злоумышленники, прекрасно понимая риски и невысокие перспективы подобных атак, ими просто не пользуются. Гораздо эффективнее и безопаснее для них — протащить в магазин приложений вредоносные приложения или разослать качественный фишинг. ❯ А почему все так говорят А как так вышло? Кто обманул нашего неудавшегося хакера? Его обманул карго-культ. С начала 2010-х в кибербезных СМИ стали писать об опасностях публичных Wi-Fi, и до условного 2015–2017 года в этом был смысл. Смартфоны того времени были не настолько security by design, как сейчас. Но главные атаки были на трафик: ICQ — основной и открытый мессенджер; WhatsApp до 2013 года не имел никакого шифрования; VK преимущественно работал на HTTP как минимум до середины 2010-х; Об SSL-pinning и вовсе никакие приложения не слышали; Изоляция приложений внутри смартфона была значительно хуже; Подпись пакетов и исполняемых файлов использовалась в разы реже; Из-за повального использования HTTP вместе с HTTPS работал и SSLstrip у множества банков; Основные коммуникации были через веб-морды, а не приложения. И прочее, прочее. К слову, тогда большинство людей на Wi-Fi садились с ноутбуком! Поэтому пугалки-то были скорее для них. А почему карго-культ? Каждый год эксперты с умным лицом повторяли тезисы прошлого года, а технологии безопасности шли вперед. В итоге культ остался, а смысл его уже никто и не помнит. Все просто повторяют то, что уже не имеет отношения к реальности, совсем не рефлексируя. А я для вас сделал ревью. Но значительная часть ИБ-компаний и тех, кто продает трехбуквенные технологии «защиты трафика», продолжают умышленно тиражировать эти пугалки. Просто чтобы наживаться на страхе неопытных пользователей! Например, ваш провайдер видит то же самое, что было рассмотрено в этой статье. Подобные манипуляции от продажников/пиарщиков достойны общественного порицания. ❯ Выводы Современный обновленный смартфон — крепость, он сам защищает вас от очень многого. Обновляйте его, и покупайте обновляемые модели популярных производителей. Атаковать ваш смартфон без вашей ошибки — крайне сложная и невыгодная задача. Так получилось просто потому, что современные смартфоны разрабатывались уже в эру зрелого подхода к безопасности. А если вы будете начеку с точки зрения социальной инженерии, то публичные Wi-Fi для вас точно не будут угрозой.)

Новые комментарии

Аватар автора комментария
Андрей Кузин26 минут назад

0 / 0

Так имеется ввиду 30 км/с скорость Земли относительно Солнца, относительно вселенной скорость Земли гораздо больше.
С какой скоростью мы движемся сквозь Вселенную
Аватар автора комментария
Maria Krasnovskaya40 минут назад

0 / 0

«Институт благородных девиц»
Опрос: новый сезон какого сериала вы бы хотели увидеть?
Аватар автора комментария
Катерина49 минут назад

0 / 0

Мне мошенники на днях писали от имени зама начальника с бывшей работы, будто ФСБ проводит проверку, беседует со всеми сотрудниками (писавший не знал, что я уже два года там не работаю, лол). Сказал, что мне должен "фсбшником" будет написать и позвонить, а я - ответить на его вопросы. Причем беседа с этим лже-фсбшником должна проводиться исключительно в МАХе. На мои слова, что мах не установлен и не будет установлен, ибо я принципиально за честную конкуренцию, а не навязывание через блокировки альтернатив, общение со мной та сторона прекратила. Так, отсутствие маха не дало мне узнать, как бы развивалась подобная схема дальше, ибо общаться в телеге со мной не захотели(
Роскомнадзор частично ограничил доступ к Telegram и WhatsApp в Крыму
Аватар автора комментария
Сенди52 минуты назад

0 / 0

Не плохие программы для тех у кого малый бизнес, намного упростят рабочий процесс.
8 CRM-систем, которые подойдут для малого бизнеса в 2025 году
Лайфхакер
Информация
О проектеРубрикиРекламаРедакцияВакансииДля начинающих авторов
Подписка
TelegramВКонтактеTwitterViberYouTubeИнициалRSS
Правила
Пользовательское соглашениеПолитика обработки персональных данныхПравила применения рекомендательных технологийПравила сообществаСогласие на обработку персональных данныхСогласие для рекламных рассылокСогласие для информационной программы
18+Копирование материалов запрещено.
Издание может получать комиссию от покупки товаров, представленных в публикациях