О хакерском бизнесе, способах взлома и защиты рассказал практикующий специалист MrLeon, пожелавший остаться неизвестным.
MrLeon, как давно вы занимаетесь взломами?
Работаю в ИТ уже пять лет. Ровно столько же занимаюсь взломами. На профессиональном сленге специалистов таких называют хакерами в черной или белой шляпе.
Хакер в белой шляпе тестируют сети и компьютеры, определяя уязвимые места. Компании Их нанимают компании для анализа безопасности. В качестве хобби, иногда взламываю сайты и передаю информацию его владельцу, который говорит за это «спасибо».
Хакер в чёрной шляпе — это взломщики, часто использующие готовые программы для достижения не самых благородных целей. Они раскрывают важную информацию для своей выгоды, нанесения вреда атакуемой компании или человеку.
Взломать можно всё и всегда. Это вопрос времени.
На чем специализируетесь вы?
Ношу шляпы обоих цветов. Моя основная деятельность связана с разработкой и тестированием безопасности ИТ-инфраструктуры. К нам в компанию приходит заказчик и просит провести аудит информационной системы. Стоимость такой услуги варьируется от сложности приложения, которое необходимо проверить. Среднюю цену назвать затрудняюсь. Стартовая — 100 тыс. руб., и это не так много по сравнению с теми убытками, которые понесет компания, если ее ИТ-инфраструктуру атакуют. Так и обанкротиться недолго.
Какие ошибки чаще всего находите?
Их много и ответы будут варьироваться в зависимости от специализации взломщика. Но каждый из них, включая меня, с уверенностью назовет — человеческий фактор, банальная тупость. Число кибератак растет, увеличивается финансовый урон от них. Риски, исходящие от людей, устранить полностью никак нельзя, какие бы системы контроля компания ни применяла. Кто-то вводит санкции для нарушителей безопасности, но и это не защищает на 100%. Можно каждый день информировать сотрудников, что не стоит открывать подозрительные электронные письма и уж тем более, что-то скачивать, но хоть один человек, который это сделает, обязательно найдется.
Риски, исходящие от людей, устранить полностью никак нельзя, какие бы системы контроля компания ни применяла.
Есть ли способы защиты, обеспечивающие полную безопасность?
В отношении как физических, так и юридических лиц, таких способов нет. Взломать можно всё и всегда. Это вопрос времени. Многие компании переводят данные на облака, сотрудничают с ИТ-компаниями у которых есть свои дата-центры. Да, это повышает уровень защиты данных, но абсолютным он никогда не будет.
Стоит ли переживать простым пользователям?
Если вы обычный юзер, который не переживает за свой домашний компьютер, то это вы зря. Даже если вы лично не представляете интереса для хакера, ваш компьютер может служить мостиком к другому человеку. Чтобы усложнить жизнь взломщику, самое простое, что следует сделать — придумать нормальный пароль. Казалось бы, вполне логично, что комбинации типа qwerty использовать не надо. Но людей с таким паролем тысячи!
Скимминг: как защититься от кражи денег с карты
Некоторые пытаются усложнить комбинацию, используя какие-то значимые даты. Это тоже глупо, поскольку чаще используют дни рождения. Узнать заветные числа не сложно. Проверьте анкету в социальных сетях, где подобная информация будет наверняка. Если у вас простой пароль, то и взломать его много времени не потребует. Первым делом мы прогоняем интересующий аккаунт через программу, в которую загружены все популярные пароли. Есть специальные программы, генерирующие пароли (скорость подбора достигает нескольких тысяч паролей в секунду — ред.). Часто этого достаточно.
Какие еще популярные способы взлома почты или других аккаунтов существуют?
Можно украсть куки-файлы (cookies — файлы, хранящие всю системную информацию — ред.). Тот, кто получил эти файлы, попадет в аккаунт с правами владельца. Наилучший способ защиты от кражи куки с вашего компьютера — не сохранять пароли и логины, что делают единицы.
Следующий метод — фишинг. Пользователь сам, добровольно, пишет пароль и логин, без задней мысли. Происходит это следующим образом: подделывается сайт, визуально идентичный оригиналу. Тот же фейсбук. Вы думаете, что это настоящий сайт и вводите необходимые взломщику данные. Прежде чем писать пароль и логин, пристально изучите ресурс, работает ли в нем весь функционал, есть ли на нем вообще какая-то жизнь. Если нет, вероятно, страница поддельная.
Как защитить свои деньги от онлайн-мошенников
Еще есть письма обманки, на которые юзеры тоже реагируют. В них вас прямым текстом просят прислать логин и пароль, ответить на контрольные вопросы, что якобы запрашивает администрация сайта. Найдутся люди, которые поверят и все сольют.
В интернете много предложений и программ для взлома аккаунтов в социальных сетях. Это действительно работает?
Это развод. Как правило, вас просят ввести данные для запуска процесса взлома, но чтобы завершить процесс, попросят заплатить.