Кража цифровой личности и как защитить свои данные в интернете - Владислав Тушканов - Интервью - 2021-03-04

Я.Розова― В студии Яна Розова. Здравствуйте! На связи со мной — Владислав Тушканов, старший исследователь данных в «Лаборатории Касперского».

В.Тушканов― Здравствуйте!

Я.Розова― Тема эфира: Кража цифровой личности, и как защитить свои данные в интернете. Согласно разного рода исследованиям почти половина российских пользователей считают, что их информация не может быть интересна злоумышленникам, значит, ее не нужно скрывать. Так ли это на самом деле?

В.Тушканов― Знаете, мне не очень нравится здесь слово «скрывать». И я предлагаю проиллюстрировать это небольшим примером. Пример, с которым каждый из нас сталкивается. Реклама в интернете. Представьте, что вы хотите подарить какому-нибудь близкому человеку подарок. Например, 8 марта, муж ищет жене подарок. Он решает подарить ей огромный букет цветов. И он идет — куда? В интернет.

Я.Розова― В магазин.

В.Тушканов― В 2021 году? В интернет-магазин. Он находит десяток интернет-флористов, находит грандиознейший букет, заказывает его. И в предвкушении праздника ждет. Тут за день, за два к нему подходит жена с телефоном и говорит: «Смотри, мне в социальной сети показывают рекламу. Смотри, какой красивый букет. Ты, когда-нибудь видел такие красивые букеты?» И там ровно тот букет, который он заказал. И сюрприза уже не получается, правильно? Потому что кажется, как будто ты за два дня понятия не имел, что подарить и тут вдруг жена тебе подает идею — и ты этим пользуешься. Уже не так классно.

Это пример того, как работает в интернете таргетированная реклама. То есть мы идем в интернет, мы делаем какие-то действия на веб-сайтах, в приложениях. Есть специальные компоненты, он называются трекеры, интернет-трекеры, которые смотрят, куда мы ходим и анализируют, для того, чтобы показывать нам максимально эффективную рекламу. В частности, иногда эта реклама таргетируется сразу не на конкретного человека, а на целое домохозяйство, то есть всех, кто там живет за одним роутером. Поэтому могут появляться такие вещи.

И нужно понимать, что в этом сценарии нет злоумышленников, нет какого-то третьего лица, которое было бы заинтересовано непосредственно в вас.

Я.Розова― Существует навязчивая реклама.

В.Тушканов― Да, все равно получилось неприятно. Поэтому хочется сказать, что мы информацию не скрываем. Потому что это как будто мы делаем что-то плохое и не хотим, чтобы узнали. Мы ее защищаем.

Я.Розова― Негативный оттенок у слова, я понимаю вас.

В.Тушканов― Да, коннотации такие, неприятные. Мы защищаем информацию. И, в том числе, мы это делаем, потому что мошеннические схемы, которые направлены на пользователей интернета, вне зависимости от того, какой это человек, они тоже используют нашу личную информацию.

Я.Розова― Мы об этом поговорим подробнее. Я прежде хотела уточнить у вас, что такое цифровой профиль человека, из чего он складывается?

В.Тушканов― Вряд ли можно сказать, что есть какой-то единый цифровой профиль, но есть много разрозненных отпечатков, то есть цифровой след, который мы оставляем в интернете. Он разбросан по всему интернету. То есть в первую очередь это то, что мы сами пишем, оставляем в интернете. Например, посты в соцсетях, фотографии, которые мы выкладываем. Если мы пишем отзыв на товар в магазине, то это тоже часть нашего цифрового профиля, потому что он показывает, что нас интересует и что нам нравится или не нравится. Это наш социальный граф, то есть с кем я в друзьях, кому я пишу сообщения, на чьи сообщения я отвечаю. Кроме того не только мы сами делаем вклад в наш цифровой профиль. Это могут делать, например, наши родственники и друзья. Например, выкладывают фотографию и отмечают нас на фотографии.

Я.Розова― И вы тоже уже в этой коллекции.

В.Тушканов― Да. А мы даже ничего и не сделали.

Я.Розова― Несмотря на то, что некоторые организации просят нас оставлять наш данные — фамилию, имя, отчество, дату рождения, паспортные данные иногда тоже в интернете. Это тоже всё входит в так называемый социальный профиль человека, да?

В.Тушканов― Да. Есть вторая часть — это то, что хранится на серверах у различных компаний, организаций. Это данные, которые напрямую недоступны из интернета. Например, есть, организации такие как дата-брокеры, у которых бизнес — в том, чтобы собирать данные, накапливать их и потом продавать: или непосредственно сами данные, или аналитику. То есть это могут быть наши интересы, есть ли у нас домашние животные, наш семейный статус, наличие детей, имущественный статус, политические интересы, иногда даже черты характера.

В интернет-магазине: мы покупаем, и мы вынуждены оставлять адрес доставки — это тоже часть нашего социального профиля.

Такие данные могут, действительно, утекать. Это может происходить из-за ошибок в конфигурации серверов или из-за целенаправленных хакерских атак. И такие данные могут попадать к киберзлоумышленникам, их публикуют в даркнете. Например, у нас было исследование, сколько стоят данные в даркнете. В том числе, например, сканы паспортов продаются за 6–15 долларов. А это достаточно важная вещь. Часто для идентификации в сервисах используется фото селфи с паспортом. То есть я держу паспорт. Такие данные могут доходить до 40 долларов.

Я.Розова― А что злоумышленник может с этим сделать?

В.Тушканов― На самом деле достаточно многое. Во-первых, есть схемы, которые подразумевают взятие рассрочек и кредитов, микрокредитов. Большой банк вряд ли даст просто по скану паспорта, а какой-нибудь микрокредит в рассрочку иногда можно получить.

Кроме того, с помощью социальной инженерии, то есть там, где обычно просят документы, иногда мошенники могут с помощью психологических уловок уговорить людей принять скан документа.

Я.Розова― Та же история про фотографии детей с билетами со штрих-кодами.

В.Тушканов― Здесь немножко другое. Если до этого мы говорили об утечках с документами, то здесь дело в том, что люди любят похвастаться чем-то, и не только дети, взрослые тоже. Хотим похвастаться, что мы куда-то летим или идем на концерт, который ждали. Мы выкладываем фотографии. И, как вы правильно заметили, действительно, когда люди выкладывают их вместе со штрих-кодами, в которых уже зашифрована цифровая репрезентация билета, то [злоумышленники] могут из соцсети просто штрих-код получить и, например, билет перепродать, или сами по нему пройти.

Я.Розова― А счастливый владелец этого билета окажется не у дел.

В.Тушканов― Если он придет на концерт самым первым, то ему повезло.

Я.Розова― А если нет, то нет. Вернемся к тому, как наши данные могут использовать мошенники. Потому что ваша первая история, которую вы привели в качестве примера — таргетированная реклама, она по большому счету не очень нас затрагивает. Ну, раздражает, безусловно, такое количество навязчивой рекламы, но не наносит никакого ущерба личности.

В.Тушканов― С одной стороны, это, действительно, так. С другой стороны, нужно понимать, что сбор данных может приводить также к каким-то последствиям. Пример, который, может быть, не так затрагивает нас в России, но который достаточно актуален в США, это то, что, например, компании, которые продают медицинскую страховку, очень заинтересованы в наших данных. Например, были случаи, когда data brokers занимались тем, что находили форумы, на которых люди обмениваются информацией о том, как они живут с хроническими болезнями. Дата-брокеры заходили туда и собирали всю информацию – что это за люди, о чем они пишут.

Я.Розова― Таким образом, страховка могла увеличиваться в цене.

В.Тушканов― Да, это могло привести или к увеличению страховки и вообще в отказе от выдачи в связи с повышенным риском.

Я.Розова― Вы сказали, что несколько это не очень затрагивает. Мне кажется, это для нас тоже очень актуально.

В.Тушканов― В США, возможно, это более актуально. Но нужно понимать, что мы не знаем, какие в будущем появятся угрозы, связанные с данными и, возможно, стоит об этом задуматься сейчас. Действительно, мошенничество — это то, с чем мы можем столкнуться прямо сейчас.

Я.Розова― В одном из интервью вы сказали, что история с Deepfake — это начало. Что это вообще, расшифруйте вообще и во что может вылиться в будущем.

В.Тушканов― Deepfake — это технология, которая с помощью искусственных нейронных сетей позволяет создавать достаточно убедительное видео с людьми, которые в этом видео не участвуют. Совсем свежий пример — это видео с Томом Крузом, который на самом деле не Том Круз.

С одной стороны, манипуляции видео и манипуляции фотоматериалами, они существовали достаточно давно. И до того, как были компьютеры, была возможность ретушировать фотографии. Потом появились компьютеры — вообще золотая эра началась для редактирования. Но, с другой стороны, редактирование видео всегда подразумевало достаточно большой уровень компетенций, что ты умеешь этим заниматься.

Сейчас для того, чтобы сделать дипфейк, не нужно очень высокого уровня владения инструментом редактуры видео. То есть достаточно немножко понимать в программировании, а иногда даже и не надо. Некоторые программы и без этого позволяют создавать дипфейки. Но, с другой стороны, дипфейки требуют большого количества данных. То есть, грубо говоря, чтобы взять чье-то видео и изменить лицо на другое, нужно большое количество фотографий этого другого человека.

Поэтому мы можем сказать, что если вы опасаетесь того, что с вами сделают дипфейк, то нужно помнить, что большое количество фотографий с вами в сети немножко повышает вероятность этого. Но, с другой стороны, чем больше развиваются дипфейки и чем проще их делать, тем на самом деле сильнее снижается уровень доверия людей, как только они начинают узнавать об этом.

Соответственно, чем больше люди об этом знают, тем меньше становится доверия вообще к видео и фото-контенту. И опять же, как ни парадоксально, это может привести к тому, что по поводу любого инкриминирующего фото и видео человек может сказать, что это неправда, это дипфейк, сами же понимаете, какие дипфейки сейчас хорошие.

Я.Розова― Недавно прокатилась волна новостей о попытках угона Телеграм-аккаунтов. Это фейк, это реальная опасность, что это?

В.Тушканов― Нет, это не фейк. Действительно, потерять аккаунт очень обидно и опасно, причем не только для нас, потому что там наши переписки, неприятно терять переписки. Это может быть опасно для тех, с кем мы общаемся. Наверное, классическая, всем уже надоевшая ситуация, когда вам внезапно друг пишет: «Скинь мне тысячу рублей до зарплаты». А на самом деле вы с этим другом не общались уже три года, и с чего бы он вам писал? Скорее всего, его взломали. В таких случаях лучше позвонить, спросить, действительно ли, ему нужны деньги.

Что касается непосредственно Телеграма, то да, действительно, такие истории были. Особенно это связано с Телеграм-каналами, они очень ценны, потому что Телеграм-канал — это источник денег, там можно продавать рекламу, сам канал можно продать. Можно просто запостить там мошенническую ссылку и люди, которые доверяют автору канала, перейдут по ней.

Обычно есть два способа, как люди угоняют аккаунты в мессенджере.

Я.Розова― Такое ощущение, что угоняют машины просто.

В.Тушканов― Да, крадут аккаунты. Один из способов — это то, что называется SIM-свопинг. Это когда мошенник перевыпускает SIM-карту, на номер которой зарегистрирован этот Телеграм-канал. Эта схема особенно распространена в Латинской Америке. То есть просто ваша SIM-карта перестает работать, мошенник логинится, получает SMS-ку, и вот у него есть доступ к мессенджеру. Здесь угрозу очень легко предотвратить, просто нужно в том же Телеграме установить пароль на аккаунт. Не зная ваш пароль…

Я.Розова― Никто не войдет.

В.Тушканов― Единственное, что пароли нельзя использовать одни и те же, потому что это тот способ, которым пароли и подбирают, как правило: одни и те же пароли на разные сайты. С одного утекло — все аккаунты потеряли.

Другая схема — это когда владельцам популярных каналов под видом рекламных роликов, которые там хотят разместить за деньги, присылают архив с вредоносным программным обеспечением. И вы его открываете, а это на самом деле не видео, это программа, которая ворует аккаунты или еще что-нибудь нехорошее делает на вашем компьютере. От этого, понятно, защищают антивирусные решения. И вообще, просто рекомендация: если вам незнакомый человек что-то присылает, то не нужно сразу на это кликать, открывать, смотреть. Проверьте антивирусом на всякий случай.

Я.Розова― А как вообще узнать, что данные от аккаунта в сервисе утекли в сеть?

В.Тушканов― Для того, чтобы проверить, не утекли ли ваши данные в интернет, есть специальные сервисы. Такие, например, как сайт Have I Been Pwned. Кроме того, есть функции в менеджерах паролей, которые автоматически проверяют, не утекли ли ваши данные.

Я.Розова― Это отдельная специальная программа, которую нужно устанавливать, да?

В.Тушканов― Да. Есть менеджеры паролей, встроенные в браузеры, и есть менеджеры паролей, которые нужно устанавливать. Соответственно, они проверяют, что вы не используете одни и те же пароли на разных сайтах. В этом случае он говорят: «Это действительно, угроза. Если на этом сайте утечет, то мошенники воспользуются и получат доступ». И, соответственно, могут проверять на наличие утечек. Если утечка происходит, просто предлагают сменить пароль.

Я.Розова― Благодаря, я так понимаю, менеджеру паролей не нужно где-то записывать отдельно все свои пароли на бумажке, потому что невозможно их запомнить, а они все хранятся в этом менеджере паролей.

В.Тушканов― Да, действительно, у нас могут быть десятки, а то и сотни аккаунтов, где мы зарегистрированы, и вот это требование «разный пароль в каждом аккаунте» сложно выполнимо без того, чтобы вы эти пароли… Есть люди с феноменальной памятью…

Я.Розова― Но не все к ним относятся.

В.Тушканов― К сожалению. Поэтому нужно пользоваться специальными программами, которые их сохранят. Кроме того это удобно, потому что они их подставляют автоматически.

Другая вещь — это то, что стоит пользоваться двухфакторной аутентификацией. То есть если у вас есть двухфакторная аутентификация — это, например, SMS с дополнительным кодом, которая к вам приходит на телефон для того, чтобы войти в сервис…

Я.Розова― Условно, подтверждение оплаты за какую-то услугу или товар.

В.Тушканов― Грубо говоря, если у вас утек пароль, если у вас настроена двухфакторная аутентификация, вам придет SMS, и в таком случае мошенникам нужно использовать уже какие-то дополнительные методы, например, опять та же самая социальная инженерия, когда вам звонят и пытаются выведать этот код из SMS.

И есть еще более защищенные решения. Это специальные аутентификаторы, где код у вас генерируют специальные программы. Они есть от ведущих IT-компаний, и есть для тех, кто особенно боится потерять все аккаунты — это публичные личности, это те, у кого есть очень ценные данные других людей, например, журналисты, занимающиеся расследованиями или адвокаты. В таком случае есть специальные аппаратные ключи. Как флешка – втыкается в порт и, соответственно, только с ней можно войти в сервис. Это максимальный уровень безопасности.

Я.Розова― У всех ваших коллег спрашиваю про то, какой пароль использовать. Много лет проводятся исследования. Самые популярные пароли — все это знают — от 1 до 9. Ваш совет.

В.Тушканов― Мой совет такой: это тот пароль, который вы сами не знаете и не можете вспомнить, потому что его на самом деле придумал и записал этот самый менеджер паролей.

Я.Розова― Он даже сам может придумать за меня.

В.Тушканов― Да, конечно, там есть какие-то минимальные требования по безопасности. Он, соответственно, их с лихвой выполняет.

Я.Розова― Как часто нужно менять пароли?

В.Тушканов― Здесь рекомендации рознятся. Но, с моей точки зрения, учитывая, что у нас, действительно, сотни паролей могут быть, если ваш пароль уникален, если ваш пароль сложен, и у вас есть двухфакторная аутентификация, то в этом случае, особенно если вы отслеживаете утечки, в этом случае какой-то регулярной смены паролей, скорей всего, не нужно.

Я.Розова― Не спросила вас, что такое овершеринг.

В.Тушканов― Овершеринг — мы уже это затрагивали в разговоре о билетах на мероприятия.

Я.Розова― Это как раз оно и есть.

В.Тушканов― Овершеринг — это когда мы в социальных сетях делимся некой излишней информацией. Мы — социальные существа, хотим похвастаться чем-то, о чем-нибудь рассказать, чтобы все о нас знали, за нас порадовались и иногда немножко перегибаем палку. Стандартный пример — это когда дети хвастаются дорогими подарками, выкладывают фотографии: «Смотрите, мне подарили самую современную игровую приставку». И вот она фотография. И на фотографии еще геотег с домашним адресом. Вот это канонический пример. Особенно если у нас открытый аккаунт или мы не отслеживаем, кто подписан на наш аккаунт в социальных сетях…

Я.Розова― И что могут сделать мошенники, злоумышленники?

В.Тушканов― В этом случае угроза даже не от мошенников, а в том, что эти посты могут быть наводками для квартирных воров. Потому что если мы потом через месяц выкладываем фотографию — более-менее, сейчас это не так актуально, — что отдыхаем в тропической стране, а месяц назад у нас была фотография с дорогими подарками и нашим геотегом, это может стать для квартирных воров наводкой.

Я.Розова― Я так понимаю, что вообще лучше ничего в сеть не выкладывать.

В.Тушканов― Нет, ни в коем случае я не говорю, что нужно срочно удалить все аккаунты, выбросить ноутбук и убежать в лес. Нужно просто понимать некую модель угроз, какие риски несет то или иное действие. Если мы, например, любим дискутировать на какие-то горячие темы в соцсетях, то нужно быть готовыми к тому, что какие-нибудь нехорошие люди придут и начнут говорить вам, что вы неправы и что вы тоже нехороший человек. То есть мы понимаем, что пример с троллингом. К вам приходят, начинают оскорблять. Нужно понимать, что это риск, он, действительно, существует. Если вы его готовы принять, вы делаете это действие. Если не готовы, то, в таком случае от него лучше воздержаться. И, естественно, с любым действием, когда мы что-то выкладываем в интернет, нужно просто на секундочку остановиться, задуматься, есть ли какие-то риски и готовы ли мы принять их на себя и что мы будем делать, если они реализуются.

Я.Розова― Вы, конечно, частично уже рассказали о том, как защитить свои данные. Но в «Лаборатории Касперского» есть, наверное, какие-то уже четкие, проверенные решения?

В.Тушканов― В первую очередь, нужно соблюдать цифровую гигиену, то есть думать о том, что мы выкладываем, не выкладывать что попало, не вводить свои паспортные данные и платежные данные на сайты, которым мы не доверяем. Нужно использовать специальные решения для защиты от сбора данных. Они есть как в виде браузерных плагинов, так и встроенные в антивирусные защитные решения, например, Kaspersky Internet Security. Они сокращают количество данных, которые дата-брокеры и другие компании, занимающиеся таргетированной рекламой, о нас собирают.

Мы уже говорили о менеджерах паролей. Это тоже очень полезная вещь, которая позволяет держать аккаунты в безопасности.

Я.Розова― В «Лаборатории Касперского» тоже есть свои такие?

В.Тушканов― У нас есть, да. Называется Kaspersky Password Manager. Он, соответственно, делает всё, о чем я перечислял: проверяет на утечки, проверяет на дубликаты.

Я.Розова― Предлагает свои, возможно, пароли.

В.Тушканов― Да. Генерирует, подставляет, защищает всячески аккаунты.

Vpn― тоже очень полезная вещь. В том примере с таргетированной рекламой в соцсетях таргетинг, например, может быть на ваш IP-адрес, и если вы хотите скрыть свой IP-адрес от рекламщиков, то в таком случае можно воспользоваться VPN.

Я.Розова― Но проверенным VPN.

В.Тушканов― Да. И опять же все еще у нас есть риск потери данных в связи с заражением нашего компьютера вредоносным программным обеспечением. Опять же Kaspersky Internet Security может такие риски значительно сократить.

Я.Розова― Давайте подытожим и еще раз дадим какие-то рекомендации всем, кто думает о защите своего цифрового профиля.

В.Тушканов― Основная рекомендация — это то, что нужно с осторожностью и осознанно подходить к тому, какие данные собираются о нас в интернете. То есть можно, например, пытаться представить: «А что вообще интернет знает обо мне»? Например, одна из интересных вещей: попробуйте погуглить и максимально узнать о себе что-нибудь из интернета.

Я.Розова― То есть забейте свое имя и фамилию, например.

В.Тушканов― Да. Вы знаете о себе немножко больше. Попробуйте, действительно, вбейте свое имя и фамилию, посмотрите, сможете ли вы найти свой адрес, сможете ли вы найти свой номер телефона, возможно, е-mail.

И даже если вы непосредственно о себе думаете, что вы, может, не очень кому-то интересны, никто не будет вас искать в интернете.

Я.Розова― Типа я же ничего такого плохого не делаю. Рассказал миру о себе хоть немного. Что в этом страшного?

В.Тушканов― Есть такая метафора: вы идете по Москве и видите жилые дома старой постройки, у которых первый этаж жилой. Обратите внимание, что на первом этаже, как правило, занавесок больше, чем на 10-м этаже. Почему? Неужели на первом этаже живут люди, которые делают что-то плохое, что им нужно занавеской закрывать? Нет. Просто у каждого человека, у нас есть определенная потребность в личном пространстве.

Но когда мы в интернете, не очень это осознаем. Мы один на один с экраном, и не совсем понимаем, что когда мы заходим на какой-нибудь сайт и, если мы не используем систему для защиты от сбора данных, еще десяток компаний узнают, что мы пришли на этот сайт, и они узнали, что это за контент.

И это открывает глаза, начинаешь задумываться, что, может быть, стоит трекинг в интернете ограничить. Стоит подумать, что интернет обо мне знает.

Я.Розова― Владислав Тушканов, старший исследователь данных в «Лаборатории Касперского».

Реклама

0+