На днях журналистка Марина Ахмедова опубликовала в своём фейсбуке:

“Позавчера... работали со специалистами по информационной

безопасности. Зашли в ТЦ со специальным чемоданчиком. Вынули из него
ноутбук, антенну, установили фиктивную точку доступа wi-fi. Люди начали
моментально подключаться. Будь наш специалист по безопасности
злоумышленником, он прицепился бы к присоединенному к wi-fi самому
дорогому устройству и вошёл бы в аккаунты этого человека в соцсетях,
прочёл переписку, перевёл деньги с онлайн банка на свой счёт. Наш
специалист был не таков — он воюет на белой стороне Луны. Но его
устройство показало — в это самое время в ТЦ орудуют целых два
злоумышленника. Созданы фиктивные точки доступа, к которым люди
подключаются, попивая кофе, и тогда злоумышленник начинает работать с
вашим телефоном, забирая из него все — переписку, данные онлайн-банка,
аккаунты в соцсетях. И знаете, что мы вчера поняли? Можно сидеть за
столиком и не шевелиться. Можно сложить руки на столике. И в это время
совершать цифровое преступление или быть его жертвой”.

Неужели всё правда и каждый из нас — а все мы, конечно же, любим
бесплатный Wi-Fi в кафешках и торговых центрах — может потерять свои
аккаунты и деньги? Правда ли, что мошенники с помощью подставных сетей
взламывают мобильные телефоны? Как выясняется, не совсем.

Как это работает?

- Такой сценарий с воровством конфиденциальных данных с помощью

подключения к Wi-Fi-сети возможен, но не совсем таким образом, как
описано, — объясняет директор проектного направления компании Group-IB
Антон Фишман. — Такой способ называется Rogue Access Point, для этого не
требуется специальное оборудование, достаточно любого ноутбука со
специальной сетевой картой и антенной.

Злоумышленники при этом не «забирают из телефона всё — переписку,
данные онлайн-банка, аккаунты в соцсетях», а имеют возможность
перехватывать, прослушивать и подменять те данные, которые вы через него
передаете.

При этом если вы используете доступ к различным сайтам/порталам, не
защищенным HTTPS (HyperText Transfer Protocol Secure, расширение
протокола HTTP для поддержки шифрования в целях повышения безопасности),
то все данные, действительно, могут перехватить, включая сессионные
ключи, ключи авторизации и т. д. Если даже вы используете HTTPS, то
злоумышленник может использовать MITM-атаку (Man in the middle или
«человек посередине», когда атакующий способен читать и видоизменять по
своей воле сообщения, которыми обмениваются корреспонденты, оставаясь
незамеченным) и, по сути, также получать доступ к данным пользователя.
Но это будет видно в браузере – сертификат, которым подписано
подключение, будет изменен.

Доступ именно к данным приложений интернет-банка, мессенджеров и т.
д. злоумышленник перехватить не сможет, поскольку эти приложения обычно
используют технологию SSL-Pinning для защиты от MITM-атак. Но в любом
случае для защиты от этого желательно использовать VPN (Virtual Private
Network, виртуальная частная сеть при доступе к интернету через
публичные сети). VPN поможет защититься от MITM-атак.

Как обезопасить себя от мошенников

Пять советов от директора агентства бизнес-разведки Р-Техно Романа Ромачева

1. Не использовать бесплатные wi-fi сети.

2. Если жизненно необходимо подключиться к бесплатному вай-фаю, то
использовать только сайты с безопасным протоколом подключения. Это те, у
которых в адресной строке написано https (а не http).

3. Открыть на телефоне раздел "Настройки" – "Wi-Fi" и удалить все
бесплатные и незнакомые сети. Это нужно для того, чтобы телефон не
подключался к ним автоматически, когда вы оказываетесь в их зоне
доступа.

4. Установить на телефон антивирус – приложений сейчас много, они в
разной степени защищают от интернет-угроз, но лучше иметь хотя бы
что-то, чем совсем ничего.

5. Для интернет-платежей и шопинга можно использовать виртуальные
карты. Это специальный сервис, который сейчас предлагают многие банки и
платежные системы. На такую виртуальную карту можно перевести лишь ту
сумму, которую вы планируете потратить на покупки. После транзакции
карта перестанет существовать, так что даже если ее данные вдруг попадут
к мошенникам, они не получат доступ к вашему основному счету.

avroraiwa