Зловмисники розсилають листи із вкладеннями у вигляді архівів, що містять HTML-файл, які після відкриття перенаправляють користувача на фальшиву сторінку UKR.NET. Ввівши логін і пароль на цій сторінці, користувач фактично передає свої дані зловмисникам.

Щоб убезпечити себе від подібних атак, CERT-UA рекомендує:

• Увімкнути двофакторну автентифікацію (інструкція з налаштування).
• Уникати використання публічних поштових сервісів зі службових комп’ютерів.
• Налаштувати фільтр для перенаправлення копій вхідних листів на корпоративну пошту для ретроспективного аналізу підозрілих листів.

Раніше Держспецзв’язку попереджало про цільові кібератаки, які здійснюються проти державних службовців, військових і представників оборонних підприємств України. Зловмисники використовують шкідливу програму, яку поширюють через месенджер Signal.

Також кіберзлочинці почали використовувати тему закупівель дронів для атак на українські оборонні підприємства. 

За останні п’ять років Visa інвестувала в технології понад $10 млрд, $500 млн з них у штучний інтелект та інфраструктуру даних, щоб захистити клієнтів і покупців від шахраїв.

Йдеться, що, за прогнозами, у 2025 році кіберзлочинність коштуватиме світу $10,5 трлн. Якби це був валовий внутрішній продукт країни, вона посіла б третє місце у світі за величиною економіки.

Це відбувається тому, що шахрайство стає більш «витонченим», злочинці використовують новіші підходи, щоб обдурити споживачів та бізнеси.

• У внутрішньому повідомленні для співробітників генеральний директор Wiz Асаф Раппапорт зазначив, що відмовитися від такої пропозиції було важко.
• Джерело, знайоме з планами Wiz, повідомило, що причиною відмови від угоди частково стали побоювання щодо антимонопольного регулювання та думка інвесторів.
• Наразі компанія зосередиться на досягненні двох ключових цілей: проведенні IPO та отриманні $1 млрд річного доходу.
• Обидві цілі вже були визначені у травні цього року, ще до початку переговорів з Google.

Потенційна угода могла майже вдвічі збільшити оцінку вартості стартапу з $12 млрд, зафіксовану під час останнього раунду фінансування. Wiz була заснована у 2020 році і досягла $100 млн річного доходу після 18 місяців роботи, а минулого року ця цифра зросла до $350 млн.

Продукти Wiz для захисту хмарних середовищ включають профілактику, активне виявлення та реагування, що приваблює великі компанії та могло б допомогти Google конкурувати з Microsoft, яка також продає програмне забезпечення безпеки.

Хмарний сегмент Alphabet материнської компанії Google зіштовхнувся з посиленою конкуренцією з боку лідерів Microsoft та Amazon. Хмарний підрозділ став прибутковим у 2023 році після років значних інвестицій.

Хоча Google Cloud демонструє стабільне зростання останніми роками, підрозділ перебуває під тиском: треба продовжувати зростати, особливо під час буму штучного інтелекту.

Схема атаки

• Зловмисники надсилають електронний лист із вкладенням у вигляді ZIP-файлу, що містить PDF-документ із посиланням.
• Жертві пропонується перейти за посиланням, щоб нібито «завантажити відсутні шрифти».
• Перехід за посиланням призводить до завантаження файлу adobe_acrobat_fonts_pack.exe, що є насправді шкідливою програмою GLUEEGG, призначеною для дешифрування та запуску завантажувача DROPCLUE.
• DROPCLUE завантажує та відкриває два файли: PDF-приманку та EXE-файл font-pack-pdf-windows-64-bit.
• Останній використовується для встановлення легітимної програми для віддаленого доступу ATERA.
• Зловмисники отримують несанкціонований доступ до комп’ютера жертви.

Як запобігти атаці:

• Будьте пильні та уважно перевіряйте інформацію в електронних листах.
• Не завантажуйте та не відкривайте підозрілих файлів, навіть якщо їх надсилають нібито представники державних органів.
• У разі підозри на атаку негайно звертайтесь до CERT-UA.

Раніше Держспецзв’язку попереджало про цільові кібератаки, які здійснюються проти державних службовців, військових і представників оборонних підприємств України. Зловмисники використовують шкідливу програму, яку поширюють через месенджер Signal.

На сайті Kaspersky вже зупинили продаж продуктів для американських клієнтів. Компанія також буде змушена скоротити всіх своїх співробітників у США.

Міністерство торгівлі США пояснили своє рішення ризиками безпеки, пов’язаними з впливом росії на цю компанію.

У червні уряд США також запровадив санкції проти вищого керівництва Kaspersky, включаючи директора з розвитку бізнесу, операційного директора, юридичного директора та керівника відділу корпоративних комунікацій.

Нові обмеження США на продаж програмного забезпечення Kaspersky, які також включатимуть заборону на завантаження оновлень, перепродаж і ліцензування продукту, наберуть чинності 29 вересня.

Компанії Kaspersky буде заборонено вести новий бізнес у США через 30 днів після того, як про обмеження оголосили 20 червня.

У 2017 році Міністерство внутрішньої безпеки США заборонило використання антивірусного продукту Kaspersky на федеральних мережах, звинувативши його у зв’язках з російською розвідкою і зазначивши, що російське законодавство дозволяє спецслужбам примушувати Kaspersky до співпраці, а також перехоплювати комунікації, що використовують російські мережі.

В Україні продукти від «Лабораторії Касперського» заборонені з 2015 року, коли Україна ввела санкції проти рф. У жовтні 2016 року їх подовжили, тоді компанія вирішила ліквідувати свою «дочку» в Україні. Крім обмежень на ведення комерційної діяльності, провайдерів також зобов’язали блокувати доступ до головних сторінок антивірусних компаній: kaspersky.ru і drweb.ru.

Проєкт допоможе 500 малим та середнім підприємствам перевірити цифрову інфраструктуру на вразливості до потенційних загроз. 

Представники бізнесу зможуть безоплатно скористатися однією з трьох послуг:  

• тест на проникнення — дає змогу симулювати потенційні кібератаки та виявляти вразливості цифрової інфраструктури компанії
• тест безпеки застосунку — допоможе виявити потенційні вразливості та надати рекомендації щодо їх усунення
• оцінка вразливостей інформаційного середовища — комплексний аналіз безпечності цифрової інфраструктури компанії.

На сайті програми йдеться, що консультантами є компетентні експерти з досвідом понад 5 років у галузі кібербезпеки.

Послуги з кібердіагностики надаватимуть такі компанії: Secta, UnionFlame, IT Specialist. Щоби надавати такі послуги, треба перейти за лінком.

Донедавна ця функція була доступна лише платним користувачам Google One. Однак тепер базову версію звіту, яка сканує витоки даних у темному вебсередовищі, може отримати майже кожен безкоштовний обліковий запис.

Що таке Dark Web Report від Google

Цей звіт сканує темний веб (приховані мережі, доступ до яких можна отримати лише за допомогою спеціального програмного забезпечення) на наявність вашої особистої інформації: ім’я, адресу, номер телефону, електронну пошту та номер соціального страхування (для користувачів США).

Коли звіт стане доступний усім

Точна дата поки не відома, але очікується, що це відбудеться наприкінці липня 2024 року.

Хто може скористатися звітом

Більшість користувачів зі звичайними обліковими записами Google матимуть право на цю послугу. Корпоративні облікові записи (наприклад, робочі) не включені.

Однак є обмеження за країною проживання. Наразі звіт не доступний для користувачів з росії, Китаю, Південної Африки та Нової Зеландії.

Українці зможуть скористатись функцією.

Як користуватися безкоштовною версією звіту

Станом на липень 2024 року користувачі вже можуть перейти на сторінку Google One та запустити сканування, натиснувши кнопку знизу праворуч.

Якщо вам не пощастило, ви отримаєте такі погані новини:

Що робити, якщо ваші дані знайдено

Якщо ваші дані виявлені, з’явиться повідомлення «Вашу інформацію знайдено в даркмережі» з кількістю витоків даних, що містять вашу адресу електронної пошти. Це не обов’язково означає, що дані для входу до вашої електронної пошти чи облікового запису Google витекли, але вони були включені до загального витоку.

Що робити далі?

• Для виявлених паролів: змініть їх негайно та розгляньте використання менеджера паролів.
• Для виявлених адрес електронної пошти: якщо йдеться про конфіденційні облікові записи (наприклад, пов’язані з банківськими операціями або особистими даними), створіть окрему адресу електронної пошти лише для таких цілей.
• Для іншої виявленої інформації (адреса, дата народження тощо): на жаль, ці дані вже можуть бути загальнодоступними.

Реєстрація триватиме до 1 серпня, подати заявку можна за цим посиланням. 10 серпня відбудеться фінал, переможці отримають гранти для подальшого запуску й розвитку проєктів. Результатом роботи команди може стати презентація ідей, власних технологічних рішень, Demo-прототипів, цілих сервісів, застосунків чи платформ. 

Хто може взяти участь

Запрошують долучитися як окремих спеціалістів, так і цілі команди. Це можуть бути:

• розробники, інженери та архітектори мереж;
• фахівці, дослідники та науковці з кібербезпеки;
• студенти, випускники та молоді спеціалісти технологічних і кібербезпекових галузей;
• фахівці з досвідом роботи в енергетичній галузі;
• засновники стартапів, менеджери проєктів і продуктів.

Учасників заохочують починати з новими ідеями та проєктами, однак можна долучитися і з уже наявним.

Як усе відбуватиметься

Cybersecurity Innovation Hackathon проходитиме в гібридному форматі з онлайн-частиною для роботи команд та офлайн-фіналом 10 серпня в Києві. 

Пишуть, що хакатон реалізує найбільше європейське ІТ-змагання DEV Challenge за сприяння Міністерства цифрової трансформації України та підтримки Проєкту USAID «Кібербезпека критично важливої інфраструктури України». Також Хакатон підтримує Український фонд стартапів і перший інноваційний парк UNIT.City.

Нагадаємо, Міністерство оборони України ініціювало роботу над законодавчим визначенням поняття «кібервійна». Це важливий крок у протидії кіберзагрозам, який набув особливої гостроти з початком повномасштабного вторгнення росії. Очікується, що відомство вийде із законодавчими пропозиціями до кінця 2024 року.

• встановіть блокування телефону;
• не під’єднуйтеся до Wi-Fi, які вимагають особисті дані;
• не користуйтеся банкінгом у відкритій мережі;
• вимикайте геолокацію або вмикайте режим польоту біля стратегічних обʼєктів
• якщо телефон може потрапити до рук ворога — видаліть вразливу особисту інформацію. Проте не видаляйте повністю все зі смартфона, це може здатися підозрілим.

Ось, про що йдеться в тексті:

• Засновник Telegram Павло Дуров заявив, що в його компанії працює близько 30 інженерів. Експерти з безпеки вважають, що це занадто мало для забезпечення належного захисту платформи, яка має майже мільярд користувачів.
• За замовчуванням чати в Telegram не мають наскрізного шифрування, як у Signal або WhatsApp. Користувачам потрібно активувати «Секретний чат», щоб увімкнути наскрізне шифрування, що зробить повідомлення нечитабельними для будь-кого, крім цільового одержувача.
• Також протягом багатьох років виникали сумніви щодо якості шифрування Telegram, враховуючи, що компанія використовує власний алгоритм шифрування, розроблений братом Дурова.
• Крім того, Telegram зберігає велику кількість даних користувачів, оскільки він є не тільки застосунком для обміну повідомленнями, але й соціальною мережею.
• TechCrunch називає Telegram однією з найпопулярніших платформ для людей, які працюють із криптовалютою, поширюють дезінформацію, екстремістів, хакерів.
• За словами експертів, така кількість даних робить платформу привабливою мішенню, а мала кількість працівників Telegram ставить під питання їхню здатність протистояти хакерам, особливо тим, кого підтримують уряди.
• У Telegram нема кому займатися юридичними запитами, немає інфраструктури для вирішення проблем зі зловживаннями та модерацією контенту.
• Експерти вже давно попереджають, що Telegram не можна вважати повністю безпечним застосунком. А заява Дурова може свідчити про те, що ситуація із безпекою навіть гірша, ніж вважалося раніше.

Раніше повідомлялось, що двоє високопосадовців, які працювали в антитерористичній поліції в Бангладеш, могли збирати особисту та засекречену інформацію громадян і продавати її в Telegram.

Рішення в Міністерстві торгівлі США пояснили тим, що «росія продемонструвала, що має можливість і… намір використовувати російські компанії, такі як Kaspersky, для збору та використання у військових цілях особистої інформації американців».

Зазначається, що програмне забезпечення Kaspersky має привілейований доступ до систем комп’ютерів, що може бути використане для викрадення конфіденційної інформації або встановлення шкідливих програм.

Серед клієнтів Kaspersky є постачальники критичної інфраструктури, а також державні та місцеві органи влади.

Kaspersky Lab у своїй заяві зазначила, що рішення США базується на «теперішньому геополітичному кліматі та теоретичних побоюваннях», а не на всебічній оцінці продуктів і послуг компанії. Вони також заявили, що їхня діяльність не загрожує національній безпеці США, і компанія буде шукати правові способи захисту своїх інтересів.

Нові обмеження набудуть чинності 29 вересня, через 100 днів після публікації, що дасть бізнесу час знайти альтернативи. Нові угоди з Kaspersky у США будуть заблоковані через 30 днів після оголошення обмежень.

Порушення нових правил загрожує штрафами з боку Міністерства торгівлі США, а за свідоме порушення заборони міністерство юстиції може порушити кримінальну справу. Користувачів програмного забезпечення не штрафуватимуть, але наполегливо рекомендують припинити його використання.

Очікується, що цей крок завдасть серйозної шкоди репутації Kaspersky та може суттєво знизити його закордонні продажі. США додадуть три підрозділи (два російських і один британський) Kaspersky до торговельного обмеження, що фактично заборонить американським постачальникам продавати їм товари.

У 2017 році Міністерство внутрішньої безпеки США заборонило використання антивірусного продукту Kaspersky на федеральних мережах, звинувативши його у зв’язках з російською розвідкою і зазначивши, що російське законодавство дозволяє спецслужбам примушувати Kaspersky до співпраці, а також перехоплювати комунікації, що використовують російські мережі.

В Україні продукти від «Лабораторії Касперського» заборонені з 2015 року, коли Україна ввела санкції проти рф. У жовтні 2016 року їх подовжили, тоді компанія вирішила ліквідувати свою «дочку» в Україні. Крім обмежень на ведення комерційної діяльності, провайдерів також зобов’язали блокувати доступ до головних сторінок антивірусних компаній: kaspersky.ru і drweb.ru.

• Характерною ознакою є той факт, що відправником може бути людина зі списку контактів і/або спільних груп, що, за задумом, повинно підвищити рівень довіри до таких повідомлень.
• Зловмисники надсилають архів, пароль, а також повідомлення щодо необхідності відкриття файлу саме на комп’ютері.
• Архів містить виконуваний файл (розширення: «.pif», «.exe”), який є RARSFX-архівом, у якому відповідно є VBE-файл, BAT-файл, та EXE-файл, запуск якого призведе до ураження комп’ютера шкідливою програмою DarkCrystal RAT.
• Це створить технічну можливість прихованого несанкціонованого доступу до компʼютера. 

Раніше CERT-UA, що діє при Держспецзв’язку, попереджало, що пов’язані з ГРУ хакери значно активізували кібератаки на мобільні пристрої українських військових у другому півріччі 2023 року. Для поширення шкідливого програмного забезпечення росіяни використовували месенджери та соціальну інженерію.

• Представник General Dynamics у Німеччині повідомив, що оборонний підрядник усе ще аналізує причину збою, але додав, що всі його операції в Європі відбуваються у звичайному режимі.
• Відповідальність за атаку взяла на себе хакерська група NoName, яка залишила повідомлення в Telegram. Група відома своєю діяльністю проти країн, що підтримують Україну.
• За їхнім твердженням, вони здійснили DDoS-атаку, спрямувавши величезний обсяг інтернет-трафіку на сервери компанії з метою їхнього перевантаження та виведення з ладу.
• Минулого місяця НАТО заявило про посилення росією кібератак на держави-члени Альянсу, які допомагають Україні. росія традиційно називає ці звинувачення «дезінформацією».
• Santa Barbara займається складанням важкої техніки, такої як танки Leopard та артилерійське обладнання для іспанської армії. Згідно з повідомленням Міністерства оборони Іспанії, компанія також брала участь у відновленні законсервованих танків Leopard для їхньої передачі українській армії.
• Минулого тижня Іспанія пообіцяла надати Україні військову допомогу на суму €1 млрд цього року, яка, за повідомленнями місцевих ЗМІ, включатиме 19 танків Leopard 2A4.

З 2000 по 2023 роки у світі було зафіксовано 2506 політично мотивованих кібератак. Проте майже половина з них (45%) залишаються неідентифікованими, тобто країну походження в багатьох випадках неможливо було визначити. Лідерами за кількістю відомих атак є Китай і росія, на яких припадає майже 12% та 11,6% атак відповідно.

У 2022 році росія збільшила таргетинг на користувачів в Україні на 250% порівняно з 2020 роком. Таргетинг на користувачів у країнах НАТО за той самий період зріс понад 300%.

• Вона була націлена на такі системи як IcedID, SystemBC, Pikabot, Smokeloader, Bumblebee та Trickbot.
• Операція охопила 13 країн, включаючи Україну. За даними СБУ, обшуки провели в помешканнях фігурантів на Київщині та Запоріжжі.
• За місцем проживання одного з організаторів угруповання, виявили мобільні телефони та комп’ютерну техніку, а також серверне обладнання з доказами злочинних дій.

Паралельно у 8 країнах Євросоюзу та Північної Америки правоохоронці вилучили понад 90 серверів та заблокували понад 1000 доменів, які використовували хакери.

Загалом під час операції було:

• арештовано чотири особи (одну у Вірменії та три в Україні)
• проведено 16 обшуків (один у Вірменії, один у Нідерландах, три в Португалії та 11 в Україні)
• виведено з експлуатації або порушено роботу понад 100 серверів у Болгарії, Канаді, Німеччині, Литві, Нідерландах, Румунії, Швейцарії, Сполученому Королівстві, США та Україні.
• понад 2000 доменів перейшли під контроль правоохоронних органів.

Під час розслідування так було встановлено, що один із головних підозрюваних заробив щонайменше €69 млн у криптовалюті, здаючи в оренду сайти злочинної інфраструктури для розгортання програм-вимагачів.

Endgame був ініційований та очолюваний Францією, Німеччиною та Нідерландами за підтримки Євроюсту, Данії, Сполученого Королівства та Сполучених Штатів. Операцію також підтримали Вірменія, Болгарія, Литва, Португалія, Румунія, Швейцарія та Україна, а також низка приватних партнерів.

Європол налагодив обмін даними між залученими країнами, зокрема в режимі реального часу координувались дії між вірменськими, французькими, португальськими та українськими правоохоронцями, дислокованими на місці під час польових дій.

Михайло Верич, Регіональний директор CRDF Global в Україні, в авторській колонці для AIN.UA розповідає про історію кібершахрайства у світі та роздумує про його можливу еволюцію. 

З кожним днем усе більше людей в усьому світі страждають від втрати ідентичності, коштів або інших цінних даних, оскільки загрози все краще мімікрують, стають більш інтенсивними та масштабними. Аби покращити ситуацію, Представництво Фонду цивільних досліджень і розвитку США в Україні (CRDF Global в Україні) за підтримки Державного департаменту США, спільно з Національним координаційним центром кібербезпеки при РНБО України, Міністерством освіти й науки України, «Всеукраїнською школою онлайн», «Освіторією» та Києвом Цифровим розпочали всеукраїнську інформаційно-освітню кампанію з особистої кібергігієни.

«Навіщо мені кібербезпека?», — подумаєте ви. А для того, щоб технології продовжували працювати на вас, а не створювати проблеми. Тож пропонуємо розібратися, що такого загрозливого чекає на нас у кіберпросторі та як із цим впоратися!

1834: перші спроби кібершахрайства

Технічно перша кібератака сталася у Франції ще задовго до того, як винайшли інтернет. Зловмисники викрали інформацію про фінансовий ринок, отримавши доступ до французької телеграфної системи.

Відтоді кіберзлочинність зростала в геометричній прогресії, хоча й залишалася в підпіллі майже до середини ХХ століття. Натхненні цифровою революцією, кіберзлочинці розпочали опановувати технологій у надзвичайно швидкому темпі, використовуючи свою перевагу та кмітливість для розробки нових способів позбавити людей чи організації даних і грошей.

1962: злам паролів перфокартою

У 1961 році Массачусетський технологічний інститут уперше розробив систему захисту паролем, що на той час стало справжнім проривом. Втім, довго тішитися розробці вчені не змогли: уже в 1962 році дослідник того ж інституту Аллан Шерр зміг зламати паролі за допомогою перфокарти і використовував дані колег у власних інтересах. А все тому, що паролі були занадто простими.

1971: писав програму, а вийшов вірус

Уже в 1971 році дослідник Боб Томас створив прототип компʼютерного вірусу. Це була програма Creeper Virus, що самостійно пересувалася мережею та відтворювалася, виводячи на екран повідомлення «Спіймай мене, якщо зможеш».

Фактично програмному забезпеченню або даним цей вірус не загрожував, але він підсвічував потенціал подібних програм і шкоду, яку вони можуть наносити компʼютерним системам. І, забігаючи наперед, можемо сказати, що висновків зроблено не було.

1981: перший кіберзлочин

Саме тоді відбулося перше судове засідання, унаслідок якого злочинця засудили за скоєння кіберзлочину. Цим першопрохідцем став Ян Мерфі, який зламав внутрішні системи однієї з найбільших телекомунікаційних компаній Америки — AT&T.

Насправді ця кібератака навіть трішки кумедна, адже все, що зробив чоловік — перекрутив годинники на компʼютерах. Але це спричинило такий хаос у корпорації, що скоєне навіки потрапило в музей кібершахрайства й показало, як одна маленька дірка в захисному паркані величезної компанії може поставити на вуха буквально всю Америку.

1988: один червʼяк на шість тисяч інтернет-вузлів

Перша масштабна атака в інтернеті відбулася в 1988 році завдяки студенту Корнельського університету Роберту Моррісу за рік до дебюту Всесвітньої павутини, коли інтернет був переважно доменом наукових дослідників. «Червʼяк Морріса» заразив комп’ютерні системи Стенфорда, Принстона, Джонса Гопкінса, НАСА та багатьох інших установ і паралізував роботу шести тисяч інтернет-вузлів у США.

1994: школярі vs дослідники — 1:0

16-річний британський школяр і його спільник використали програму «аналізатора паролів» (password sniffer) та здійснили серію атак, які завдали шкоди Римській лабораторії ВВС і одночасно викрали дослідницькі дані, що використовувалися як інструкції для атаки військових літаків у бою. Тож не лише сучасні підлітки вміють наробити галасу в мережі.

Невдовзі сталося і перше кіберпограбування: в 1994–1995 роках росіянин Володимир Левін зламав американську мережу Citibank і здійснив безліч шахрайських операцій. Загалом він переказав понад 10 мільйонів доларів на різні банківські рахунки по всьому світу.

1999: перша кіберпандемія

Хоча прототипи компʼютерних вірусів розроблялися десятиріччями, упродовж тривалого часу вони залишалися невідомими широкій громадськості. Аж поки в березні 1999 року не з’явився вірус Melissa, який вразив користувачів інтернету, пошкодивши їхні файли документів Microsoft і завдавши збитків приблизно на $80 млн. Шкода, але навіть після того, як ця масштабна атака набула розголосу, користувачі продовжили безпечно завантажувати невідомі програми та переходити за фішинговими посиланнями.

2000: Америка засинає, прокидається Mafiaboy

У 2000 році 15-річний хакер на ім’я Майкл Калс, також відомий як Mafiaboy, запустив серію розподілених атак типу «відмова в обслуговуванні» (DDoS) на деякі з найбільших комерційних вебсайтів у світі. Сайти Amazon, Yahoo, CNN, eBay та інші виходили з ладу на кілька годин, що коштувало цим компаніям мільйонів.

До речі, саме такого типу атаки активно використовуються хакерами під час російсько-української війни.

2010: знайдено слабке місце Google

У період між 2009 та 2012 роками спостерігалася чимала кількість постійних загроз підвищеної складності або advanced persistent threat (APT). Це кібератаки, що вимагали чималого часу та зусиль на підготовку, адже зосереджувалися на крадіжці даних у великих компаній. Перш ніж розпочати атаку, зловмисники витрачали місяці або навіть роки на збір інформації, а метою атаки було викрадення конфіденційної інформації без ризику бути спійманим або розкритим.

Одним із найяскравіших прикладів таких атак була операція «Аврора» у 2010 році, коли мішенню зловмисників стали Google, Adobe та інші великі корпорації. Кібершахраям вдалося отримати доступ до конфіденційних даних та інтелектуальної власності, використовуючи вразливості систем програмного забезпечення компанії.

2011: масштабна атака на бази даних Sony

Цей рік запамʼятається всім фанам PlayStation. Корпорація Sony оголосила, що протягом кількох днів хакери викрали інформацію 77 мільйонів користувачів її мережі. Імена користувачів, паролі гравців, їхні дати народження, відповіді на секретні запитання тощо… На відновлення системи та усунення загрози знадобилося 23 дні.

Від таких масштабних атак страждали не лише найбільші світові корпорації та користувачі їхніх послуг, а й урядові організації по всьому світу. Тож не дивно, що саме в цей час розпочалася фаза активної боротьби з кібершахрайством.

2015: програми-вимагачі та серйозний фішинг

2015 рік запамʼятається появою перших штамів програми-вимагача SamSam, яка до 2018 року заробила своєму творцеві майже $6 мільйонів. Серед його найбільш резонансних ударів із «захопленням заручників» — місто Атланта та Департамент транспорту Колорадо.

Того ж року сталася перша масштабна фішингова атака проти Міністерства оборони США. Вона призвела до витоку даних 4000 військових і цивільного персоналу, які працювали на Об’єднаний комітет начальників штабів. Атака змусила Пентагон закрити свою систему електронної пошти.

Упродовж наступних років програми-вимагачі почали ставати все більш складними та заплутаними для розшифрування, а фішингові схеми поширилися світом, загрожуючи втратою даних як великим компаніям, так і окремим користувачам. І ситуація лише погіршується з впровадженням нових технологій.

Кібер(не)безпечна ситуація сьогодення

Штучний інтелект відіграє все більш важливу роль в еволюції кіберзагроз. З одного боку, підприємства використовують ШІ для покращення заходів безпеки, таких як виявлення аномальної поведінки та потенційних загроз. З іншого боку, кіберзлочинці також використовують ШІ для генерації більш складних атак.

Серед наймасштабніших атак останніх років відзначилися росіяни, адже активно спрямовують зусилля, атакуючи не лише українські мережі та сервіси в рамках війни. Так в одному з найбільш катастрофічних витоків даних за весь 2020 рік, агенти іноземної розвідки скористалися скомпрометованою програмою SolarWinds і вторглися приблизно в 18 000 приватних і пов’язаних з урядом мереж. Ці витоки даних надали зловмисникам доступ до великої кількості ідентифікаційної інформації, включаючи фінансову інформацію, вихідний код, паролі та імена користувачів.

З 2022 року фахівці почали дедалі більше говорити про поширення атак із технологією Deepfake. Вона передбачає створення реалістичних відео чи аудіозаписів, які можна використовувати для поширення дезінформації або проведення атак соціальної інженерії.

Що далі?

Сучасні кіберзлочинці використовують ті самі провідні технології, що використовуються для кібербезпеки, включаючи машинне навчання та інструменти ШІ. Отже, залишатися на крок попереду від них — це постійний виклик як для фахівців окремих бізнесів, так і для урядових структур.

Але не варто забувати, що кожний користувач інтернету може убезпечити себе самостійно, користуючись базовими правилами кібергігієни, розроблені в межах загальнонаціональної кампанії з підвищення рівня обізнаності українців щодо кіберзагроз:

• створювати складні паролі (великі й малі літери, цифри, спеціальні символи);
• використовувати різні паролі для різних акаунтів і зберігати їх у менеджері паролів;
• перевіряти посилання, особливо отримані від невідомих користувачів;
• уникати переходів за посиланнями, що містять помилку в назві бренду чи сервісу;
• з відповідальністю ставитися до коротких посилань і QR-кодів, за якими може ховатися шкідливе програмне забезпечення, сайти-підробки тощо;
• не проводити конфіденційні операції на кшталт переказу коштів під час підключення до публічного WiFi;
• створювати власну точку доступу для безпечнішого користування мережею за потреби;
• використовувати VPN-сервіси для додаткового захисту даних.

Такими маленькими кроками кожен із нас може не лише подбати про особисті дані та гроші, а і зробити внесок у рівень національної кібербезпеки!

Автор: Михайло Верич, Регіональний директор CRDF Global в Україні

• Повідомлення про крадіжку даних Dell розіслали на пошту своїм клієнтам, з ним ознайомилося видання. Йдеться про імена, пошту, а також інформацію про обладнання: опис товару, дати замовлень і різні відомості про гарантії.

• Компанія вважає, що ризик для клієнтів незначний, адже платіжна інформація чи номери телефонів вкрасти не вдалося. Проте все ще існує ризик фішингу або розповсюдження шкідливих програм через персональні електронні листи.

• Також видання пише, що, найімовірніше, хтось уже купив дані. Журналісти помітили в даркнеті, що кіберзлочинець під псевдонімом Menelik розмістив інформацію, яка відповідає листу Dell: «49 мільйонів клієнтських та інших інформаційних систем, придбаних у Dell між 2017-2024 роками». Цю тему швидку видалили, що зазвичай відбувається після покупки даних.

Dell залучили відповідні органи та сторонніх експертів із кібербезпеки для оцінки збитків.

У коментарі AIN.UA начальник Головного управління радіоелектронної та кіберборотьби Генерального штабу Збройних Сил України полковник Іван Павленко повідомив, що процес утворення Кіберсил як окремого роду військ триває. Відповідний законопроєкт «Про Кіберсили Збройних Сил України» вже на стадії погодження із зацікавленими сторонами як у системі Міністерства оборони, так і зі складу Сил оборони. Ця стадія є завершальною перед винесенням на розгляд Верховної Ради.

Розбираємось, що являтимуть собою Кіберсили ЗСУ.

Функції Кіберсил

Один з органів, що працював над законопроєктом про Кіберсили ЗСУ, — Національний координаційний центр кібербезпеки. Його секретарка і керівниця служби з питань інформаційної безпеки та кібербезпеки Апарату РНБО Наталія Ткачук розповідає про такі функції нового роду військ:

• захисна функція та наступальні кібероперації;
• додаткові функції розвідки або інтеграція з одним з органів розвідки для отримання інформації в інтересах ефективного проведення кібероперацій;
• координація проведення кібероперацій основними суб’єктами національної системи кібербезпеки;
• координація взаємодії з міжнародними партнерами та приватним сектором, зокрема шляхом формування кіберрезерву та залучення кіберволонтерів;
• формування кадрового потенціалу української кібероборони в стратегічній і довгостроковій перспективі з урахуванням кон’юнктури оплати праці на світовому ринку ІТ-фахівців.

Пояснюючи необхідність наступальних кібероперацій, Наталія Ткачук відзначає, що російська кіберагресія проти України триватиме і після завершення прямих воєнних дій, тож потрібні власні наступальні спроможності для захисту національних інтересів і протидії потенційним загрозам. У своїй діяльності кіберсили мають дотримуватися національного та міжнаціонального законодавства та, крім цього, їхню роботу мають ефективно й демократично контролювати цивільні представники держави.

«Ми маємо унікальний досвід успішного протистояння в кібервійні. У нас є величезний кадровий ресурс — ІТ-фахівці, які долучилися до заходів кібероборони в ході війни. Це те, чого немає в інших європейських країн», — каже секретарка НКЦК.

Тож хто служитиме в Кіберсилах ЗСУ? За словами Івана Павленка, для укомплектування штату застосують комбінований підхід — як переведення фахівців з інших частин і підрозділів ЗСУ, так і мобілізацію осіб, охочих проходити службу в Кіберсилах, які мають відповідні досвід і знання. Також створять так званий кіберрезерв із залученням цивільних фахівців.

IT-потенціал України і бажання захищати її кіберпростір підтверджує і великий конкурс на відповідні посади в ЗСУ. За даними рекрутингової агенції Lobby X, станом на березень 2024 року ІТ залишається на другому місці за популярністю серед тих, хто відгукується на вакансії в Силах оборони. Від початку повномасштабної війни представники Lobby X опублікували 224 ІТ-вакансії. На них отримали 16 027 відгуків, тобто на одну позицію зазвичай претендує орієнтовно 71-72 кандидати.

Структура Кіберсил ЗСУ

У січні 2023 року з’явилося інтерв’ю тодішнього головного фахівця з кіберборотьби ЗСУ Вадима Лєднєя, яке він дав Глобальному центру взаємодії в кіберпросторі та де описав структуру майбутніх Кіберсил ЗСУ. За його словами, новий орган складатиметься з п’яти основних управлінь і штабу:

• Управління кіберрозвідки;
• Управління кібероперацій;
• Управління інформаційних операцій;
• Управління кіберзахисту;
• Управління забезпечення інфраструктури.

Тоді Лєднєй зауважував, що під час виконання завдань підрозділи взаємодіятимуть один з одним всередині кіберуправління. Також діятимуть центри кіберрозвідки, кіберборотьби, захисту інформації та кібербезпеки, а також Центр логістики та кіберлабораторії.

Схема, яку описав Вадим Лєднєй, є попередньою. Втім, за словами народного депутата України, члена Комітету з питань національної безпеки, оборони та розвідки Олександра Федієнка, у законопроєкті, що наразі перебуває в розробці, не йдеться про структуру Кіберсил взагалі. Начальник Головного управління радіоелектронної та кіберборотьби Генерального штабу Збройних Сил України полковник Іван Павленко так само запевняє, що говорити про завершену структуру Кіберсил ЗСУ зарано: усе залежить від рівня забезпечення та можливостей укомплектування підготовленим персоналом. Але, за словами Павленка, Кіберсили як окремий рід військ підпорядковуватимуться Головнокомандувачу ЗСУ.

«Забезпечення належним матеріально-технічним, програмно-апаратним й, що найважливіше, навченим людським ресурсом потребує часу та належного фінансування. Відповідно до затвердженої керівництвом ЗСУ Дорожньої карти та наявних планів розвитку Кіберсил, такий розвиток відбуватиметься поступово, але в максимально можливі стислі терміни», — каже начальник Головного управління радіоелектронної та кіберборотьби Генерального штабу ЗСУ .

Чим Кіберсили ЗСУ відрізнятимуться від наявних органів

У 2020 році відбулася трансформація системи управління ЗСУ, у ході якої з’явилося командування Військ зв’язку та кібербезпеки. Як зазначив очільник цього підрозділу Євген Степаненко в інтерв’ю «Укрінформ», ця структура відповідає за функцію генерування, а також утримання та розвиток постійно дієвої системи зв’язку.

«Це так звана стаціонарна компонента, по-іншому її можна назвати «військовий провайдер». Вона функціонує постійно в Збройних Силах України в стаціонарному вигляді: це стаціонарні вузли зв’язку, волокно-оптичні, радіорелейні лінії зв’язку, лінії прив’язки тощо, мережі й напрямки радіозв’язку. Це якраз та постійно дієва система зв’язку, яку треба утримувати та розвивати. Саме цим зараз займається командування військ зв’язку та кібербезпеки», — пояснював Степаненко.

Нагадаємо і про CERT-UA , Урядову команду з реагування на комп’ютерні надзвичайні події, що працює в складі Держспецзв’язку. Також в Україні існує Національний координаційний центр кібербезпеки при РНБО, серед завдань якого — контроль за сектором безпеки і оборони, гарантування кібербезпеки, виявлення загрози, участь у розробці пропозицій щодо забезпечення кіберзахисту об’єктів критичної інфраструктури тощо.

Тож для чого створювати нову структуру, якщо вже функціонують і CERT-UA, і НКЦК при РНБО, і командування Військ зв’язку та кібербезпеки?

Співзасновник громадської організації «Український Кіберальянс» Артем Карпінський вважає, що і НКЦК, і Командування зв’язку і кіберзахисту відрізняються від Кіберсил і націлені на захист інфраструктури, не маючи жодного стосунку до ведення бойових дій.

Олександр Федієнко розповідає, що перелічені підрозділи та команди (Центр кібербезпеки при РНБО, CERT-UA) аналізують і захищають суто українські цифрові системи та мережі, ті, за які вони безпосередньо відповідають. А Кіберсили, на його думку, не повинні захищати інфраструктуру від нападків хакерів тощо. Їхнє завдання — це розвідка, збір інформації, закладання бекдорів (несанкціонований віддалений доступ до комп’ютерів — ред.), а в разі потреби атаки на цифрові системи визначеного противника.

За словами Івана Павленка, кіберпростір визнається окремим доменом, в якому відбувається протистояння ворогу, на рівні із суходолом, морем, повітрям і космосом. Тому формування Кіберсил забезпечить розбудову, розвиток і набуття нових бойових спроможностей для дій у цьому операційному домені. Новий рід військ у складі ЗСУ, за словами полковника, тісно співпрацюватиме з іншими структурами та підрозділами як в Україні, так і за кордоном.

Фактичні результати

Попри те що Кіберсил ЗСУ ще немає «на папері», у ЗМІ з’являються згадки про кіберфахівців, які, ймовірно, вже виконують функції майбутньої структури.

У грудневому інтерв’ю AIN.UA керівник рекрутингової агенції Lobby X Владислав Грєзєв звернув увагу на те, що результати роботи Кіберсил уже можна побачити. Ба більше, штат цієї структури поповнюється новими кадрами.

«Сьогодні вони (Кіберсили — ред.) фактично є департаментом. Не можу повідомити, в якій структурі, але Кіберсили існують і працюють: з нашою допомогою вони укомплектували штат спеціалістів, рівнем фахівців задоволені, ми постійно на контакті з їхнім командуванням. Також мені відомо, що Кіберсили задоволені власними результатами. Вони, звичайно, не сильно публічні та не йдуть у піар, а більше про результат. Наведу приклад: пам’ятаєте нещодавній злам Головним управлінням розвідки податкової системи рф? Наскільки мені відомо, в самому ГУР немає окремого підрозділу, який займається кіберподіями. Тож ми в праві мати підозри, що це зробив хтось інший», — говорив в інтерв’ю Грєзєв.

На думку Олександра Федієнка, для створення Кіберсил ЗСУ потрібно ухвалити саме Закон про створення Кіберсил. Він каже, що є багато чуток і думок, ніби лише наказом Міноборони можна створити такий департамент, але вважає, що подібний підхід працювати не буде

Уваги заслуговує і збір на 50 мільйонів гривень від «Повернись живим», який фонд оголосив у лютому 2023 року, на закупівлю системного, мережевого та іншого обладнання для облаштування датацентру «військових-кіберів» в одній із частин ЗСУ.

«Відповідно до указу президента України про створення кібервійськ, їх формування розпочалось із військової частини, що перебуває в підпорядкуванні одного з управлінь Генерального Штабу ЗС України. Саме на допомогу її військовослужбовцям і спрямований збір», — пояснювали у фонді.

Підрозділи кіберборотьби в ЗСУ існували ще й до початку повномасштабного вторгнення, повідомив у коментарі AIN.UA Іван Павленко. За даними начальника Головного управління радіоелектронної та кіберборотьби ГШ ЗСУ, після 24 лютого 2022 року їхню кількість, рівень забезпечення, укомплектованість, навченість і бойові спроможності наростили.

«Можу підтвердити, що ми говоримо про фактичну роботу Кіберсил із відсічі збройної агресії проти України в кіберпросторі».

Про які саме підрозділи та здобутки йдеться — у структурі не кажуть, оскільки ця інформація не для загалу. Але запевняють, що велику кількість залученого особового складу вже відзначили високими відомчими та державними нагородами.

Потрібна Концепція

За словами секретарки Національного координаційного центру кібербезпеки Наталії Ткачук, окрім профільного закону, потрібно розробити Концепцію створення нової структури, яка стане дорожньою картою із розвитку Кіберсил, розбудови кадрового та технічного потенціалу, конкретних кроків з боку держави, очікуваних результатів для України. Задачі Концепції і Закону відрізнятимуться між собою, зазначає Ткачук.

«Зазвичай концепції або стратегії щодо розвитку, створення або реформування державних органів пишуться в майбутньому часі та повинні мати візійний характер, бо вони не констатують наявний стан речей, а слугують дороговказом того, як має бути на стратегічному рівні», — каже співрозмовниця редакції.

Натомість закон закріплює організаційно-правовий статус Кіберсил. За словами Ткачук, він має бути досить стислим, в іншому випадку малоймовірно, що він пройде узгодження в парламенті.

Посадовиця НКЦК пояснила, що суттєвою відмінністю між законом і концепцією є доступ до даних, адже вагома складова практичної діяльності Кіберсил не може бути публічною. Відповідно і нормативно-правові акти для її реалізації, каже Наталія Ткачук, мають бути закритими. Зі свого боку Концепція буде відкритою та визначатиме конкретні етапи, принципи та цілі створення і розбудови Кіберсил. У НКЦК повідомляють, що вже є певні напрацювання щодо такого стратегічного документа.

AIN.Capital поспілкувався із Кшиштофом Гавковським про зустріч із Михайлом Федоровим, російські кібератаки на країну, mObywatel та «Дію», а також – польську підтримку України.

Як загалом минув Ваш візит в Україну, в Київ?

Передусім мені дуже подобається Київ. Це вже не перший мій візит тут. Мені дуже подобається швидка дорога, дуже гарні умови. І, власне, дуже гарно зроблено все з точки зору безпеки.

Дуже радий чути. Чи можете вже поділитись якимись напрацюваннями чи угодами між нашими урядами, над якими Ви працюєте в межах цього візиту?

Ми говорили про кілька напрямів співпраці, зокрема про допомогу в забезпеченні України інтернетом. Йдеться і про системи Starlink, які є дуже важливими для безпеки України і пріоритетним аспектом польської допомоги.

Також ми говорили багато про Таллінський механізм [Новий формат допомоги Україні у галузі кібербезпеки — ред.] і про принципи співпраці для того, щоб розвивати back-office в межах цього механізму. Ми також багато говорили про те, як забезпечити довгострокові механізми кібербезпеки.

Йшлося і про ролі Республіки Польщі під час її президентури в Європейському Союзі у 2025-му році і про підтримку України під час цього періоду.

Крім того, говорили про те, що Польща зараз на третьому-четвертому місці глобально щодо підтримки України з усіх країн світу. Для Польщі це означає 2,5% річного ВВП. У нас зараз локалізовані сервери підтримки українського підприємства і вона декларує готовність надалі гарантувати безпеку цим даним.

Я також запросив віцепрем’єр-міністра Федорова зі зворотним візитом у Польщу, де, я сподіваюся, він представить ті свої успіхи, про які ми сьогодні говорили.

Маємо багато запитань, які потрібно обговорити, тож почнемо з Diia та mObywatel. Ми знаємо, що в липні 2023-го року вийшов mObywatel 2.0, який прирівняв польський Digital ID до пластикових карток. Майже рік минув відтоді. Як проходить процес імплементації і чи можете поділитись результатами?

Цей процес дає відчуття можливостей використовувати цифрову реальність польським громадянам. Можна сказати, що mObywatel сьогодні — це найпопулярніший застосунок у Європі. У Європейському Союзі.

Маємо досить схожу ситуацію з українською «Дією».

Власне, «Дія» якраз найпопулярніша в Європі, але не в Європейському Союзі.

Одразу після нападу росії на Україну деякі українські документи з’явилися в системі mObywatel. Чи є взагалі плани далі інтегрувати ці два застосунки, щоб більше документів і сервісів мали таку собі кросвзаємодію?

Власне, про це ми теж поговорили з віцепрем’єром. Зараз українські громадяни за допомогою mObywatel мають можливість легального підтвердження особи та легітимності їхнього перебування в Польщі. Ми надалі хочемо розширювати ці можливості.

Кожного року все більше і більше сервісів додається на ці платформи. Чи, може, українська «Дія» якось повпливала на розробку саме mObywatel? Може, чимось надихались у розробці?

Я би сказав, що кілька років тому саме mObywatel вплинув на розробку «Дії». А от зараз уже «Дія» більше впливає на mObywatel щодо розвитку застосунку. Тому можна сказати, що це таке братерство і сестринство, як брат і сестра, які разом йдуть у Європу.

Дуже дякую. Тепер повернемося до теми, яку ви обговорювали раніше, системи Starlink. Ми знаємо, що Польща є одним із найбільших донорів систем Starlink в Україні. У грудні 2023-го року ця цифра сягнула близько 20 тисяч Старлінків. Чи можете ви трохи оновити дані, скільки саме систем було надано Україні?

Цих Старлінків зараз понад 20 тисяч. І вони забезпечують дію широкосмугового інтернету. Це дуже важливо для безпеки України, для взаємодії громадян і влади. Апарат інтернету є дуже важливим, тому що він також забезпечує зв’язок для військових, шпиталів і таких важливих об’єктів інфраструктури.

Тому, відповідаючи на запитання віцепрем’єр-міністра, я запевнив, що в Польщі є готовність на продовження фінансування Старлінків.

Дуже радий це чути. Подейкують, що Польща ще може почати підтримувати фінансування саме сервісу підписки на Starlink. Чи взагалі є якісь офіційні плани або новини щодо цього?

Чи Польща планує фінансувати старлінки, які вже придбала? Звісно. Польща вже давно це робить.

Зрозуміло, тоді інше запитання. Як цей механізм зараз працює?

Так, ми оплачуємо дію цих Старлінків щомісячно і щоквартально. Тобто я особисто періодично підписую цей грошовий переказ.

Тепер до теми війни. Українська енергетика, інфраструктура та комунікації, а також віртуальні сервіси дуже часто стають жертвами кібератак з боку росії. Чи Польща також переживає подібні кібератаки?

Власне, загрози, якщо говорити про кіберпростір, з боку росії однакові і для України, і для Польщі. Ми щодня бачимо кібератаки та інші кіберзагрози з боку росії. До того ж росії приписують операцій типу Malware і Ransomware. 

Тому для нас є пріоритетом закривати ці «дірки» в захисті. Для цього ми збільшуємо наші витрати на кібербезпеку щороку. І зараз працюємо над змінами в законодавстві, які будуть щоразу більше секторів нашого повсякденного життя захищати таким кіберщитом.

Яким чином Польща і Україна взагалі кооперують у галузі кібербезпеки? Чи можете ви поділитися з нами?

Ми співпрацюємо дуже тісно і дуже таємно.

Але є речі, про які я можу говорити відкрито. Наприклад з вересня по грудень 2023-го року російські спецслужби ввели такі програми, які називаються СВР, щодо зміни в програмуванні. І польські служби разом з американськими і британськими службами заблокували доступ російським спецслужбам до серверів, які теж могли б бути небезпечними також для України.

Уже було згадано, що Україна в Польщі має податкові та інші реєстри. Чи є взагалі можливість переносу або беку цих реєстрів на території Польщі загалом, щоб уникнути їхнього фізичного чи віртуального знищення?

Я думаю, що це питання до української сторони, а не до нас.

Зрозуміло. Але чи Польща взагалі відкрита до цього?

Польща відкрита до дуже широкої співпраці в цифровому полі. Цьому має слугувати підписаний сьогодні (6 травня) меморандум, щоб в рамках нього співпрацювати щодо цифрового захисту, захисту даних, зберігання даних, доступу і роботи інтернету. Ми відкриті на все, але рішення буде ухвалюватися українською стороною

А чи можна дізнатися трохи деталей цього підписаного меморандуму? Що він покриває?

Ми домовилися з паном віцепрем’єр-міністром Федоровим, що це він похвалиться деталями підписаного сьогодні (6 травня) меморандуму. Тому я дозволю собі не відповісти на це запитання, бо я похвалюся цими деталями в себе в Польщі. Таким чином, кожен зробить свою роботу.

І останнє запитання на сьогодні. Ми знаємо, що багато українських стартапів і IT-спеціалістів переїхали до Польщі після початку війни. Як це вплинуло на польську ІТ-екосистему, і, якщо коротко, як вона зараз почувається?

Власне, IT-сфера в Польщі розвивається дуже добре. І це теж завдяки тому, що в Польщі дуже багато фахівців, які є громадянами України, але працюють віддалено. Ані польські, ані українські фахівці не є між собою конкурентами, тому що вони добре доповнюють одне одного і розвивають цю галузь спільно.

Я дуже радий, що 47% українських стартапів, які переїхали в Польщу після початку повномасштабного вторгнення, планують повернутися в Україну, адже це допоможе українській економіці. 

Крім того, Польща зі свого боку забезпечує умови для українських стартапів щодо користування фондами Європейського Союзу. Саме тому часто, коли такі стартапи вирішують релокуватися з України, то вони обирають Польщу. Також українські стартапи отримують підтримку польських та іноземних IT-компаній. І ми плануємо це надалі продовжувати.

Об’єктами стали мережі зв’язку в Албузі — основній економічній зоні, де розміщено понад 30 виробництв, зокрема важливі підприємства ОПК. Завдяки DDоS-атаці ГУР заблокували роботу:

• інтернет-мережі в Татарстані та Казані;
• мобільного оператора МТС;
• найбільшого оператора зв’язку ПАО «Таттелеком»;
• регіонального оператора зв’язку «Уфанет».

У Таттелекомі сказали, що це найпотужніша кібератака на мережеву інфраструктуру за всю їхню історію. Вона триває з 2 травня.

Місцеві користувачі не можуть зайти в інтернет і скаржаться на роботу як вебресурсів, так і застосунків. А окремі клієнти сказали, що не можуть відчинити двері у під’їзді, домофоном яких керують спеціальні застосунки. Повідомляється і про збої в роботі інтернет-месенджерів.

• Метою атак було виведення з ладу інформаційно-комунікаційних систем (ІКС).
• Хакери планували використовувати атаки на ланцюжки постачання (supply chain attacks), щоб отримати доступ до систем.
• Цей метод передбачає впровадження шкідливого програмного забезпечення в програмні продукти або послуги, які використовуються в ІКС.
• Це мало завдати ще більшої шкоди на тлі весняних ракетних атак на критичну інфраструктуру України.

Діяльність угруповання Sandworm асоціюється із головним управлінням генерального штабу збройних сил російської федерації (раніше відомого як гру) є одним із найбільш активних і небезпечних.

Чому це важливо

• росія й далі використовує кібератаки як зброю проти України.
• Підприємства критичної інфраструктури мають вжити всіх заходів для захисту своїх ІКС.
• Кожен українець повинен знати про цю небезпеку та вживати заходів для захисту себе та своїх даних.

Кібератаки на українську інфраструктуру

З початку російського повномасштабного вторгнення в Україну у 2022 році кібератаки на українську інфраструктуру почастішали та стали масштабними. Так, кількість кібератак в Україні зросла на 62% у 2023 році.

Наприкінці того ж року масштабної хакерської атаки зазнав найбільший мобільний оператор України «Київстар». Кібератака зруйнувала приблизно 40% інфраструктури компанії. Збитки оцінили у 3,6 млрд грн.

Служба безпеки України встановила, що атаку на «Київстар» здійснило саме хакерське угруповання Sandworm. Цю справу передадуть до Міжнародного кримінального суду в Гаазі.

У січні 2024 року кібератак також зазнали «Укрзалізниця», «Нафтогаз», «Укрпошта», «Укртрансбезпека» та датацентр «Парковий».

У відповідь за атаку на останній українські хакери з групи BLACKJACK у співпраці з СБУ здійснили успішну кібератаку на датацентр OwenCloud.ru.

Окрім того, російські хакери Cyber ​​Army of Russia, пов’язані з Sandworm, атакували цифрові системи греблі гідроелектростанції у Франції та водопостачання в США й Польщі.

У повідомлені вони кріплять посилання на свої сайти, під час переходу на які система просить авторизуватись і ввести платіжні дані. Цю інформацію вони потім використовують для доступу до онлайн-банкінгу людей та спустошення справжніх рахунків.

Тож поліцейські нагадують правила, як убезпечити себе від подібних схем:

• не переходьте за невідомими й підозрілими посиланнями;
• не вводьте на таких сайтах персональної інформації та даних банківських карток;
• ігноруйте повідомлення від незнайомців, надісланих в sms-повідомленнях, месенджерах, електронних листах, а також телефонні дзвінки, у яких вам повідомляється про великі виграші;
• блокуйте користувачів, які надсилають вам такі повідомлення, а також подайте скаргу до модераторів відповідного месенджера.

• Очікується, що відомство вийде із законодавчими пропозиціями до кінця 2024 року.
• З початку повномасштабного вторгнення рф фахівці Служби безпеки України нейтралізували майже 10 000 кібератак.
• Ворогу не вдалося вплинути на обороноздатність держави завдяки взаємодії між фахівцями Держспецзв’язку, СБУ, РНБО, Кіберполіції, ЗСУ та інших держорганів.

Оскільки дії агресора в кіберпросторі є системними і направленими вже не лише на Україну, а і на її союзників, визнання кібератак як акту війни у правовому полі має також відбутися і на міжнародному, зазначають у відомстві.

Упродовж 2023 року українські аналітики безпеки зафіксували та обробили 1105 кіберінцидентів. Це на 62,5% більше, ніж у 2022 році.

У блозі CEO SOC Prime Андрій Безверхий та керівник напрямку IBM Security Андрій Кузьменко розповіли, на чому ґрунтується їхнє партнерство, як співпраця дозволяє розбудовувати колективний кіберзахист і в який спосіб компанії допомагають українським кіберзахисникам боротися проти російських атак.

Як алгоритми від SOC Prime посилюють SIEM-платформу від IBM

На українському ринку кібербезпеки працюють компанії, які розробляють програмні рішення для протидії кіберзагрозам, а також системні інтегратори, які забезпечують постачання та впровадження цих технологій безпеки. SOC Prime підтримує власну SaaS-платформу для колективного кіберзахисту, що допомагає різним фахівцям з кібербезпеки, як-то експертам з Detection Engineering та Threat Hunting, CTI та SOC аналітикам проактивно захищатися від критичних загроз, мінімізувати потенційні сліпі зони для виявлення атак, автоматизувати рутинні задачі та значно покращувати продуктивність команди. Важлива складова платформи SOC Prime, Threat Detection Marketplace — найбільший у світі маркетплейс з контенту для ідентифікації загроз, а розробка такого контенту визначає один з ключових напрямків діяльності компанії з побудови ефективного кіберзахисту клієнтів. 

«Ми з 2017 року створюємо Sigma-бекенди для різних SIEM і розробляємо правила детектування загроз. Починали з чотирьох платформ, зокрема QRadar від компанії IBM. Ми закомітили на GitHub бекенд, який дозволяв перекладати Sigma-алгоритми на AQL, нативну мову QRadar», — розповідає Андрій Безверхий, CEO SOC Prime.

Він підкреслює, що IBM має значну частку на кіберринку як України, так і світу. Орієнтовно 15% клієнтів SOC Prime використовують виключно QRadar Suite, ще 10% — QRadar разом із дотичними технологіями. 

Водночас в IBM впевнені, що впровадження навіть найкращих програмних рішень не є панацеєю та 100-відсотковою гарантією захисту. Поряд з якісною SIEM-системою не менш важливим компонентом кібербезпеки є контент для виявлення та реагування на інциденти безпеки. 

«У цьому наші цінності із SOC Prime збігаються, тож ми почали співпрацювати. Ми є одним з найбільших SIEM-постачальників в Україні, серед наших клієнтів — як бізнес, так і державний сектор. Всі вони, а також наші локальні бізнес-партнери інтегратори, отримали доступ до аналітичного контенту від SOC Prime й у такий спосіб підвищили рівень захищеності своєї інфраструктури», — пояснює керівник напрямку IBM Security Андрій Кузьменко.

За його словами, клієнти IBM отримують не тільки індикатори компрометації, як-от IP-адреси, хеші файлів і посилання, а й більш просунуті правила. Вони дозволяють виявляти атаки на рівні поведінкового аналізу та ефективніше на них реагувати.

QRadar, MITRE ATT&CK та Roota — як ці технології працюють разом

QRadar Suite вже більш ніж 10 років утримує провідне місце на ринку SIEM-систем. Щоб захищати клієнтів від кіберзагроз, в IBM збирають велику кількість телеметрії з найважливіших елементів інфраструктури, аналізують мережевий трафік і намагаються виявляти аномалії та зловмисну активність.

Восени 2023 року IBM додала нативну підтримку мови Sigma в QRadar Suite. Завдяки цьому, інтегрувати в QRadar нові правила для виявлення загроз можна за 5-10 хвилин. Увесь контент, який надає SOC Prime, замаплений на фреймворк MITRE ATT&CK.

MITRE ATT&CK — це класифікація технік і засобів кіберзловмисників, величезна бібліотека знань про вже відомі загрози. Щоразу, коли відбувається кіберінцидент, експерти заносять до MITRE ATT&CK усі наявні відомості та контекст: яке угрупування стоїть за атакою, яке програмне забезпечення використовували, якими були точки входу та результати.

«Навіть якщо наступного разу кіберзлочинці змінять інструменти, атрибуція в MITRE ATT&CK дозволить впізнати їх за «почерком» — патерном поведінки, певною послідовністю дій, яка їм притаманна. Це дає можливість краще готуватися до наступних атак», — зазначає СЕО SOC Prime. 

За його словами, це також спрощує прийняття рішень щодо кібербезпеки для клієнтів. Організації не завжди готові впроваджувати дорожчі SIEM-системи, які аналізують максимальну кількість телеметрії, адже не бачать у цьому доцільності. База знань MITRE ATT&CK допомагає зрозуміти, які дані справді варто збирати, аби розпізнати ту чи іншу зловмисну активність на ранньому етапі.

Крім цього, у листопаді 2023 року у SOC Prime анонсували мову Roota — універсальну опенсорсну мову для колективного кіберзахисту, яка дозволяє миттєво перекладати алгоритми детектування загроз у будь-яку нативну мову комплексних систем виявлення загроз. 

«Уявімо, що фахівець із кібербезпеки, який працює з QRadar Suite і мовою AQL, отримує алгоритм детектування певної загрози, складений іншою нативною мовою. На те, щоб розібратися в ньому та перекласти, раніше потребувалося чимало зусиль. Проте Roota максимально автоматизує цей процес і робить можливою співпрацю різних спеціалістів із кіберзахисту», — пояснює Андрій Безверхий.

Що потрібно для колективного кіберзахисту в умовах кібервійни

Згідно з американською військовою доктриною, кіберпростір — такий самий вимір війни, як і земля, вода та повітря. Андрій Безверхий пригадує доповіді Держспецзв’язку та CERT-UA, які свідчать про пряму кореляцію між фізичним та кіберпростором. Наприклад, якщо кібератака російських угруповань на енергетичний сектор України виявляється невдалою, за нею слідує ракетний обстріл.

SOC Prime співпрацює з CERT-UA і низкою CERT по всій Європі, пропонуючи алгоритми для детектування кіберзагроз. Окремий підрозділ, який взаємодіє з державою, є і в дослідницькій команді IBM.

Щоб розбудовувати ефективний колективний кіберзахист, в IBM фокусуються на покращенні обміну даними про загрози й на активному навчанні спільноти та молодих фахівців.. Для цього, зокрема, вважають за доцільне використовувати контент від SOC Prime у зв’язці з QRadar Suite.

«Також у нас є програма академічної ініціативи, у межах якої студенти вишів можуть отримати доступ до наших технічних рішень — наприклад, для виконання лабораторних робіт. У 2024 році ми плануємо долучити до програми й колег із SOC Prime, щоб студенти навчалися сучасних технологій кібербезпеки й уміли працювати не тільки з інструментами, а й з контентом», — ділиться керівник напрямку IBM Security.

З ним погоджується Андрій Безверхий: за його словами, взаємодія всіх учасників ринку кібербезпеки на всіх рівнях дозволить отримати кумулятивний ефект. Адже що більше фахівців можуть створювати контент і ділитися ним одне з одним, то міцніший загальний колективний кіберзахист. Це стає дедалі актуальнішим зараз, коли український бізнес та держава перебувають під загрозою російських кібератак.

Як підготуватися до кібервикликів 2024 року

На думку Андрія Кузьменка, варто очікувати, що у майбутньому кількість кібератак в Україні та світі лише зростатиме. Зокрема, український приватний та державний сектор активно переходить у хмару, що здебільшого не сприяє зменшенню кількості вразливостей. Державні організації мають навіть більше ризиків, адже протягом останніх років Україна стрімко розвивається як цифрова держава, що привертає увагу хакерів і кіберзлочинців.

«Ще одна причина для зростання кіберзлочинності — у тому, що інструменти для атак стають дедалі доступнішими. Наприклад, за допомогою засобів штучного інтелекту навіть новачки здатні завдати шкоди, хоча й не критичної. Але й для професійних угруповань, які спонсорують держави, робота спрощується, тож слід готуватися протистояти цим загрозам», — наголошує керівник напрямку IBM Security.

Він зазначає, що серед актуальних трендів у галузі кібербезпеки — уніфікація і спрощення роботи. Наразі на ринку вже не вистачає кіберспеціалістів, і ця тенденція поглиблюється, тож організації йдуть до того, щоб один фахівець при менших ресурсах міг закривати максимальну кількість завдань. Для цього потрібні сучасні програмні засоби, які зможуть автоматизувати частину роботи — наприклад, давати підказки, як локалізувати ту чи іншу загрозу, як відновити інфраструктуру після атаки. 

В IBM при створенні нових продуктів фокусуються саме на цих функціях: щоб технології були доступними та простими, але при цьому високоефективними. Як зазначає Андрій Кузьменко, місія компанії — зробити так, аби рішення для кібербезпеки могла собі дозволити будь-яка організація, навіть маленька компанія на 10 працівників.

«Водночас ми попереджаємо клієнтів, що недостатньо лише впроваджувати сучасні технології. За допомогою наших інструментів можна виявити більшість з тих атак, про які розповідає CERT-UA та інші, але насамперед кібербезпека залежить від фаховості працівників компанії. Важливо регулярно стежити за загрозами та контентом, зокрема поведінковими патернами зловмисників, проактивно шукати ті чи інші проблеми в інфраструктурі, інвентаризувати ІТ-активи, вчасно оновлювати софт», — розповідає експерт.

Андрій Безверхий додає, що одна із потенційних загроз 2024 року — збільшення частки автономних кібератак, які керуються штучним інтелектом. Вони небезпечні тим, що «розумна» технологія здатна ухвалювати рішення «на льоту», тож їй складніше протистояти. З іншого боку, інструменти захисту теж стрімко еволюціонують та «озброюються» штучним інтелектом, створюючи паритет у можливостях кіберзловмисників і кіберзахисників. 

«Співпраця кіберзахисників — єдиний шлях порушити цей паритет на свою користь і протистояти кіберзлочинцям, особливо кібертерористичним угрупованням, які діють за підтримки держави-ворога. Якщо всі працюватимемо заради спільної мети, отримаємо перевагу», — переконаний СЕО SOC Prime. 

Отримані дані включають накази, звіти, розпорядження, доповіді та інші документи, які циркулювали між понад 2000 структурними одиницями силового відомства рф. Це дозволить українській стороні встановити повну будову системи російського міноборони та його ланок.

Аналіз даних також допоміг ідентифікувати генералітет та інших високопосадовців міноборони рф, включаючи заступників, помічників та спеціалістів, які використовували програмне забезпечення для електронного документообігу.

Серед отриманих документів опинилась службова документація заступника міністра оборони рф Іванова Тимура Вадимовича, який, як зазначає розвідка, відіграв ключову роль в успішності кібератаки.

Робота української розвідки у кіберпросторі росії, спрямована на перешкоджання та параліч діяльності силових органів та посадовців держави-агресора, триває.

Наприкінці січня кібератака Головного управління розвідки Міноборони «поклала» сервер спецзв’язку міністерства оборони росії.

Нещодавно українська ІТ-Армія атакувала найбільший російський сервіс електронної пошти Mаil.гu. Доступ до пошти втратили користувачі поза межами рф та частина з тих, хто живе у країні-агресорі.

• Лідерами за кількістю відомих атак є Китай та росія, на яких припадає майже 12% та 11,6% атак відповідно.
• Іран (5,3%) та Північна Корея (4,7%) також входять до числа країн, з яких здійснюється значна кількість політично мотивованих кібератак.
• Слідом – Україна з часткою 2,6% від усіх кібератак.

Майже третина проаналізованих політично вмотивованих кібератак була здійснена державами (або афілійованими групами) та недержавними суб’єктами з політичними цілями. Близько половини атак (49%) були спрямовані на політичні цілі (громадські діячі, політичні партії тощо), а 19% – на об’єкти критичної інфраструктури.

Упродовж 2023 року українські аналітики безпеки зафіксували та обробили 1105 кіберінцидентів. Це на 62,5% більше, ніж у 2022 році.

«Київстар» підтвердив, що Прокопенко вирішив працювати за межами компанії. 

Ексдиректор з кібербезпеки «Київстар» збирається продовжити свою кар’єру в інших великих компаніях та планує вивчати вплив штучного інтелекту на кібербезпеку та використання цих технологій у безпілотних системах.

У LinkedIn-профілі Прокопенка 15 січня з’явилась інформація про пошук нової роботи. Однак тоді пресслужба «Київстар» заперечувала його звільнення.

• Вранці 12 грудня стався масштабний збій у роботі мобільного оператора «Київстар» – хакери атакували ядро мережі. Про відновлення основних послуг компанія повідомила 20 грудня.
• Для того, щоб встановити всі обставини, оператор долучив до роботи правоохоронні органи, а згодом і звернувся до суду.
• Хакери зруйнували приблизно 40% інфраструктури компанії, зокрема, сильно постраждав прошарок мережі. 
• Збиток внаслідок масштабної кібератаки оцінили у 3,6 млрд грн.

• Унаслідок кібератаки «ліг» сервер міністерства оборони держави-агресора росії, який використовувався для спецзв’язку.
• У результаті кібератаки був припинений обмін інформацією між підрозділами міноборони рф, які користувались розташованим у москві сервером.
• Програмне забезпечення на атакованому сервері було затверджене фсб рф як таке, що відповідає державним стандартам захисту інформації.
• Відповідний софт встановлювали на різних стратегічних об’єктах державного сектору росії, зокрема ― військових.

Також ввечері 30 січня в росії стався масштабний збій у роботі інтернету. Користувачі не можуть зайти на сайти з доменом.ru. Зокрема не працювали застосунки російських банків, порталу держпослуг, мобільних операторів, маркетплейсів та інших сервісів, якими часто користуються росіяни. Проблеми з доступом до російських сайтів виникали і в користувачів за кордоном.

Про попередню оцінку фінансового впливу від кібератаки повідомила у пресрелізі материнська компанія «Київстар» VEON Ltd.

• Компанія не очікує, що кібератака суттєво вплине на її фінансові результати за 2023 рік через витрати, пов’язані з ремонтом обладнання, роботою IT-фахівців, та компенсації зовнішнім консультантам і партнерам у 2023 році.
• Кібератака тимчасово порушила роботу мережі та послуг «Київстар», перервавши голосовий та інтернет-зв’язок на мобільних та фіксованих мережах, міжнародний роумінг, а також послуги SMS для клієнтів «Київстар» в Україні та за кордоном.

«Київстар» відновив роботу послуг у кілька етапів, починаючи з голосового та інтернет-зв’язку. Після стабілізації мережі компанія одразу ж почала пропонувати компенсації клієнтам за незручності, зокрема місяць безкоштовних послуг на певних типах контрактів.

Зазначається, що «Київстар» продовжить роботу з відновлення роботи та компенсації клієнтам у найближчі місяці. Витрати або втрати доходу від будь-яких інших таких заходів є невизначеними та наразі не можуть бути обґрунтовано оцінені.

VEON та «Київстар» подякували клієнтам за підтримку та лояльність, продемонстровану під час і після кібератаки, а також своїм партнерам та українській владі за підтримку у відновленні послуг.

Хакери зруйнували приблизно 40% інфраструктури компанії, зокрема, сильно постраждав прошарок мережі. 

Ключі безпеки – це фізичні пристрої (ззовні схожі на звичайну флешку), які використовують для додаткового захисту облікових записів. Цей крок допоможе захистити критичні операції та зміцнити довіру та безпеку громадян.

Крім надання ключів безпеки, Google також планує запровадити програми навчання та тренінгів, щоб допомогти українським урядовцям зрозуміти, як використати весь потенціал цих пристроїв. За допомогою навчальних матеріалів, інструкцій та тренінгів посадовці отримують знання та навички, необхідні для захисту своїх облікових записів.

Google також співпрацюватиме з українським урядом над спільними семінарами з кібербезпеки, щоб обмінюватися передовим досвідом та розробляти нові стратегії для захисту даних.

• Система, що використовується для моніторингу та аналізу кіберзагроз, виявила 133 млн підозрілих подій та 148 000 критичних інцидентів. Загалом опрацьовано приблизно 18 млрд подій.
• До системи виявлення вразливостей і реагування на кіберінциденти та кібератаки упродовж року під’єднали 24 нових об’єкти з різних секторів, зокрема урядового (22), енергетичного (1) та військового (1).
• Серед автономних систем, які найчастіше використовувалися для атак, були Google, Hurricane, Google-Cloud-Platform, Cloudflarenet та DigitalOcean-ASN.
• Найчастіше кіберзлочинці використовували шкідливі програми сімейств SmokeLoader, Agent Tesla, Snake Keylogger, Remcos та Formbook.

Наприкінці 2023 року у роботі найбільшого мобільного оператора України «Київстар» стався масштабний збій через хакерську атаку. Над відновленням роботи мережі фахівці працювали понад добу, а 100% послуг вдалося поновити за більш ніж тиждень. Кібератака на «Київстар» зруйнувала приблизно 40% інфраструктури компанії – сильно постраждав прошарок мережі. 

Попередньо відомо, що хакерам вдалося видалити близько 20 терабайтів даних. В зоні ураження: офіційний сайт компанії, сайти філіалів, поштовий сервер, сервіси кіберзахисту. Окрім того, хакери оприлюднили понад 10 гігабайтів даних з поштового серверу та клієнтської бази.

В ЗМІ посилаються на учасників угрупування та кажуть, що це є «розминкою» перед серйознішою помстою за «Київстар».

Що цьому передувало?

В ніч на 12 грудня абоненти «Київстар» відчули проблеми з мобільним зв’язком та доступом до інтернету. Пізніше компанія визнала хакерську атаку та – як наслідок – часткове руйнування IT-інфраструктури. Для того, щоб встановити всі обставини, оператор долучив до роботи правоохоронні органи, а згодом і звернувся до суду. Над відновленням роботи мережі фахівці працювали понад добу, а надання 100 % послуг вдалося поновити лише 20 грудня.

Привіт, мене звати Ярослав, я працюю на посаді QA Team Lead. Крім контролю якості продукту я також відповідаю за його безпеку. Проте кібербезпека для мене — не лише обов’язок, а й хобі. 

Я аналізую застосунки, якими користуються мільйони українців та я сам. На жаль, багато з них містять помилки в налаштуваннях, які лежать на поверхні, тож зловмисник може отримати інформацію про персональні дані користувачів у декілька кліків. 

У колонці я продемонструю реальні приклади таких помилок та надам рекомендації, як бізнесу покращити безпеку застосунків.

Для мене важливо, щоби застосунки, які ми всі використовуємо щодня були безпечними. У колонці я не вказую назви компаній та прибрав впізнавану айдентику зі скриншотів — моєю метою було не розслідування, а професійний інтерес. Крім того, з усіма компаніями, приклади яких наводжу, було проговорено про наявність цих вразливостей ще кілька місяців тому. Та, на жаль, на сьогодні жодна з компаній їх не виправила. 

Загалом, наведені тут приклади є досить поширеними, тому сподіваюся, вони допоможуть бізнесу звернути увагу на безпеку своїх застосунків, а користувачам – бути більш обізнаними щодо кібербезпеки.

Політика конфіденційності VS Реальність

Кожен із нас відчуває в повсякденному житті позитивний вплив онлайн-присутності малого та середнього бізнесу – супермаркетів, аптек, доставки їжі, інтернет-магазинів. Це зручно, і ми віримо, що політика конфіденційності працює, а наші персональні дані зберігаються надійно. 

Проте реальність може виявитися іншою. Під час аналізу я виявив незахищеність та багато помилок у налаштуваннях безпеки таких застосунків. 

Я не буду тут говорити про складні технічні вразливості, такі як 0-day, віддалене виконання коду, SQL-ін’єкції, XSS. Помилки, які будуть продемонстровані можна класифікувати згідно з методологією OWASP TOP 10, як A01:2021 – Порушений контроль доступу та A07:2021 – Помилки ідентифікації та автентифікації.

Ці вразливості розташовані в самій архітекторі застосунку, тобто – налаштуванні бізнес-логіки опрацювання замовлення: від реєстрації, передачі запиту з інтерфейсу користувача до сервера й назад.

У наведених прикладах, можна побачити, як зловмисник у кілька кліків може отримати доступ до особистої інформації користувачів, зокрема контактних даних, деталей замовлення, місце проживання, деталей листування тощо. 

Приклад № 1. Вебзастосунок із доставлення суші

Коли ми замовляємо доставку їжі через вебзастосунок, нас, зазвичай, просять попередньо авторизуватися та вказати свій мобільний номер для отримання коду підтвердження. На перший погляд, це здається логічним і безпечним, але придивимося ближче.

У запиті для надсилання коду підтвердження реєстрації крім номера, який ми вказали, є ще один параметр «number», якому встановлено значення «4». Цей параметр визначає довжину коду підтвердження. Просто змінивши це значення на «1», зловмисник може отримати коротший код підтвердження. Це означає, що достатньо лише перебирати цифри від 0 до 9, щоб авторизуватися в чужому кабінеті користувача. 

Так будь-хто з мінімальними технічними навичками може отримати із застосунку доступ до персональної інформації, включно з контактними даними та інформацією про замовлення.

Приклад № 2. Віджет технічної підтримки користувачів

В інтерфейсі застосунків малого та середнього бізнесу різних галузей діяльності присутні віджети технічної підтримки. Це знайомі всім віконечка, що спливають поверх екрана, у яких пропонуються написати консультанту на випадок, якщо виникли питання чи проблеми з користуванням сервісом.

Якщо проаналізувати запити, які надсилаються від клієнта до сервера під час використання віджета, ми побачимо що в тілі POST-запиту «/auth», який надсилається клієнтом, передається параметр «customer_id».

У відповідь від сервера надходить «Bearer token», який використовується в наступних запитах, для отримання інформації про листування користувача. 

Якщо ми спробуємо в POST-запиті «/auth» змінити значення параметра «customer_id», на менше значення, у відповідь ми отримаємо «Bearer token» попереднього користувача, і зможемо за допомогою GET-запиту «/customer/chat/{chatId}/messages/transcript», підставивши в заголовок запиту токен, отримати у відповідь деталі листування попереднього користувача.

Так, за зміни ідентифікатора клієнта зловмисник може отримати доступ про переписку будь-якого клієнта. Це особливо небезпечно для застосунків, повʼязаних із фінансовою галуззю. Наприклад, людина хоче через застосунок оформити позику, відповідно в переписці може йти уточнення ІНН, дівочого прізвища матері, даних карток, банківських реквізитів. 

Приклад № 3. Мобільний застосунок доставлення їжі, та CRM-система опрацювання замовлень

Деякі ІТ-компанії пропонують готові рішення для малого та середнього бізнесу, наприклад, мобільний застосунок для доставлення їжі та CRM-система для опрацювання замовлень. 

У таких застосунках кастомізується лише інтерфейс, а взаємодія застосунку з CRM-системою залишається стандартною. Якщо з’являється вразливість, вона впливає на всі підключені застосунки одразу. 

Під час аналізу одного з таких сервісів виявилося, що після авторизації за допомогою мобільного телефону відбувається звернення до CRM-системи за допомогою GET-запиту «/api/clients.getClients». У цьому запиті передаються query-параметри «phone» та «token». Після виконання запиту сервер повертає інформацію, яка містить ім’я, телефон, пошту, деталі замовлень та іншу інформацію про користувача. 

Відповідно, якщо ми змінимо значення параметра «phone» на номер іншого зареєстрованого користувача застосунку, отримуємо доступ до його особистих даних.

Тобто зловмисник може взяти знайомий чи будь-який номер і за ним дізнатися інформацію про людину в популярному застосунку — персональні дані, номер картки, що вона купує тощо. Окрім того, змінити суму бонусів на своєму рахунку й потім розрахуватись нею. 

Приклад № 4. Мобільний додаток магазину косметики

У цьому прикладі схожі проблеми. Після виконання авторизації в застосунку, викликається POST-запит «/api/im/customer/info», у тілі якого передається номер телефону та OTP-код підтвердження. Цей запит повертає інформацію про поточного користувача. 

Під час зміни номера на номер іншого користувача, сервер повертає помилку, і, на перший погляд, усе здається безпечним. 

Проте, якщо із запиту прибрати параметр, який відповідає за OTP-код, і виконати його повторно, отримаємо персональні дані за номером цього користувача, усі його замовлення та накопичені бонуси. 

Кібербезпека — це безперервний процес

У цій статті ми розглянули конкретні приклади недоліків у застосунках, які використовуються щоденно мільйонами українців. Зокрема, виявили проблеми в механізмах авторизації, обробці запитів та взаємодії між мобільними застосунками та CRM-системами. 

Забезпечення конфіденційності даних користувачів та їхня безпека повинні мати найвищий пріоритет та рівень захисту під час розробки. 

Кілька рекомендацій, які допоможуть посилити безпеку мобільних застосунків для бізнесу:

• Запит відправлення коду підтвердження не повинен містити параметра, що визначає його довжину.
• Довжина коду підтвердження повинна бути мінімум 6 цифр.
• Під час введення неправильного коду підтвердження понад 3 рази, код має бути деактивованим.
• Під час надсилання декількох кодів підтвердження, активним має бути лише останній.
• Параметр, що відповідає за ідентифікацію користувача, повинен складатися не лише з послідовно присвоєних цифр, а й також має бути захищеним від перебору.
• Токен користувача не має визначатися на основі одного ідентифікатора.
• Запити, надіслані від імені одного користувача з модифікованими параметрами, які відповідають за ідентифікацію користувача, не мають повертати інформацію, яка містить конфіденційні дані інших користувачів.
• Під час списання бонусів в офлайн-магазинах має бути додаткова верифікація номера користувача, наприклад відправлятися код підтвердження.
• Перед релізом в AppStore та PlayMarket застосунки мають обов’язково проходити аудит із безпеки на потенційні помилки.

Пересічний користувач, а часто і власник малого чи середнього бізнесу, без спеціальних знань навряд може перевірити захищеність застосунку. Під час купівлі ІТ-системи бізнес може запросити в розробників сертифікат аудиту з безпеки або звіт про виконаний тест на проникнення. У ньому мають бути відсутні помилки критичного, високого, та середнього рівня. Це дає хоча б мінімальні гарантії, що в додатку відсутні архітектурні вразливості.

До того ж ми зараз працюємо над інноваційним рішенням, яке надасть можливість малому й середньому бізнесу залучати фінансування на додаткові заходи для кіберзахисту. Про це ще будуть анонси згодом.

Що стосується користувачів, важливо враховувати ризики і зважувати, чи варто і, якщо так, то кому довіряти інформацію про себе.

Разом із тим, ми всі маємо бути свідомі, що те, що здавалось безпечним учора, може виявитись вразливим уже завтра. Тому перевірка ІТ-систем на вразливості і їх виправлення мають бути неперервним процесом.

Автор: Ярослав Беззубець, QA Team Lead у Kitsoft

• Це означає, що ви отримаєте сповіщення про необхідність оперативно змінити пароль. Раніше функція Safety Check, яка сканує ваші збережені паролі на предмет витоків, потребувала ручного запуску.
• Також Safety Check тепер автоматично видалятиме дозволи для сайтів, які ви не відвідували протягом тривалого часу.
• Окрім того, Google анонсував нову функцію для груп вкладок Chrome: їх можна буде зберігати та відкривати на різних пристроях, що може бути зручно під час переходу з домашнього ПК на ноутбук для подорожі. Компанія повідомляє, що ця функція буде запущена протягом наступних кількох тижнів.

А на початку наступного року Google впровадить технологію своєї нової моделі штучного інтелекту Gemini в Chrome. Компанія не навела жодних подробиць про те, як саме це вплине на роботу браузера.

• На участь у програмі пошуку вразливостей, багбаунті, у застосунку monobank подали заявки майже 1000 учасників. На наступний етап перейшли 275 людей — вони підписали NDA з компанією.
• Підписання NDA відбувалося через додаток «Дія», зокрема для того, щоб відсіяти громадян росії.
• Активно брали участь у багбаунті 23 хантери, які подали 46 звітів. Вразливостей критичного рівня (Р1) учасники багбаунті не виявили, вразливостей високого рівня (Р2) виявили дві, вразливостей рівня P3 — одну, та шість підтверджених вразливостей найнижчого рівня — Р4.
• Найбільша нагорода, яку monobank виплатить за результатами багбаунті — $750 за знайдену вразливість другого рівня. За знайдені вразливості третього рівня (Р3) хантери отримають по $500, а винагорода за знайдені вразливості четвертого рівня (Р4) — $250. Вразливостей останнього типу хантери знайшли шість.
• Також усім хантерам виплатять додатково по $100 за участь у багбаунті. Загалом mono виплатить учасникам програми $6800.
• Наступне багбаунті в monobank планують провести за рік або два.

Нагадуємо, що 12 грудня monobank зазнав масованої DDOS-атаки, яку вдалося швидко відбити.

Розв’язати цю проблему допомагає колективний кіберзахист: як тільки один учасник ринку стикається з новою загрозою, інші кіберфахівці також отримують інформацію про неї, разом створюють методи захисту та поширюють правила детектування. Щоб ця концепція працювала, індустрії потрібна уніфікована мова для ведення бази знань сценаріїв виявлення загроз.

Саме для цього в компанії SOC Prime створили мову Roota — універсальну опенсорсну мову для колективного кіберзахисту, що дозволяє миттєво перекладати алгоритми детектування загроз у будь-яку нативну мову комплексних систем виявлення загроз, наприклад, SIEM, EDR, XDR чи Data Lake. 

У блозі фахівці SOC Prime розповіли, чим Roota відрізняється від інших мов, як міжнародна кіберспільнота відреагувала на нову технологію та як українська розробка змінює правила гри у світовому кіберзахисті.

Як виникла потреба у новій мові для кіберзахисту

Програмне забезпечення з кіберзахисту розробляють багато компаній, і кожна з них користується своєю внутрішньою мовою для опису та детектування загроз. Це створює бар’єри для кіберспеціалістів: їм потрібно опановувати в середньому 5 із більше ніж сотні різних технологій, аби ефективно працювати з різними системами. 

Тому створення універсальної мови — не нова ідея для кіберзахисту. Наприклад, коли основну загрозу становили віруси на базі файлів, з’явилася мова Yara (VirusTotal, Google). Потім виникла мова Snort (Sourcefire, Cisco), яка описувала мережеві способи знаходження загроз — але досить складні та вузькоспеціалізовані. З 2016 року трендом індустрії стала опенсорсна мова Sigma — справді універсальний і простий інструмент, але у цьому ж полягає його основний недолік.

«Sigma — певною мірою обмежена у можливостях. Від початку вона підтримувала лише дві технології — Elastic і Splunk. Ми в SOC Prime доєдналися до спільноти розробників Sigma у 2017, створивши Sigma бекенди для таких технологій як ArcSight, QRadar та Qualys. Протягом останніх шести років, члени команди SOC Prime були активними учасниками Sigma-спільноти, продовжуючи додавати нові бекенди (наразі підтримується 45 технологій) та створюючи правила детектування загроз. Проте ми повсякчас чули від клієнтів, що їм недостатньо лише Sigma для комплексного кіберзахисту», — пояснює СЕО SOC Prime Андрій Безверхий.

СТО компанії Олександр Бредіхін додає, що водночас їхня команда отримувала багато запитів від клієнтів про допомогу з мігруванням аналітичного контенту на нові SIEM- та EDR-платформи. Для цього потрібно перекладати правила та запити з однієї нативної мови на іншу, що потребує постійного пошуку та найму фахівців з цих технологій.

«Відтак у нас народилася ідея зробити свою мову, яка буде такою ж універсальною, як Sigma, і зможе оптимізувати завдання постійного перекладу між різними мовами. Проте вона має працювати не тільки з однорівневими правилами на кшталт сигнатур, а й зі складнішими алгоритмами — у такий спосіб ми можемо надати спільноті потужний інструмент для реагування на інциденти та атрибуції кібератак», — розповідає Олександр Бредіхін.

Що таке Roota та як її розробляли

Над створенням нової мови працювали топові кіберспеціалісти SOC Prime: Руслан Міхальов, Роман Ранський, Адам Свон, Андрій Безверхий та Олександр Бредіхін. Фідбек збирався командою понад 7 років, концепцію продумували з 2021 року, після залучення інвестицій. Завдяки підготовці та плануванню сама розробка логіки мови тривала кілька місяців, реліз відбувся у листопаді 2023 року.

«Якщо уявити алгоритми пошуку даних, описані нативною мовою, які підтверджують наявність підозрілої кіберактивності, як атом, тоді, структурно, Roota виступає молекулою, яка може обʼєднувати в собі різні атоми, досягаючи нових властивостей. Звʼязки між молекулами формуються завдяки MITRE ATT&CK, яка, своєю чергою, збудована на доказовій базі попередньо відомих та вивчених кібератак. Такі звʼязки, наче формула, описують конкретні техніки атак, програми, які в них використовуються, атрибути тих, хто ці атаки проводить. Технічно Roota містить усі необхідні поля для даних, які потрібні для опису загрози та методів її виявлення: метаінформація, тегування за різними типами атак, дані з MITRE ATT&CK, таксономії Sigma та Amazon OCSF, за таймлайном для інтеграції з роботою платформ Threat Intelligence, які використовують у CERT-ах, сценарії автоматичної протидії атакам. Завдяки цьому один спеціаліст може швидко описати, а інший зрозуміти весь контекст атаки, не розголошуючи сенситивних даних», — зазначає СТО SOC Prime Олександр Бредіхін. 

За його словами, логічна частина правила може бути написана будь-якою іншою мовою платформ SIEM, EDR, XDR чи Data Lake, яку знає фахівець з кібербезпеки. Зараз Roota підтримує 10 таких мов, але найближчим часом їх стане в рази більше. Водночас якщо спеціаліст знає одну з цих мов, то для опанування Roota вистачить однієї-двох годин. Для цього достатньо прочитати відкриту специфікацію на GitHub.

Щоб придумати назву мови, СЕО SOC Prime Андрій Безверхий попросив всіх співробітників запропонувати свій варіант у корпоративному чаті. Одна з вимог — це мало бути українське слово. 

«Цей чат був чи не найактивніший за весь час існування компанії! Зрештою після довгих та бурхливих дискусій ми зупинилися на Roota. Українська легенда про червону руту розповідає про пошук кохання та удачі. Якщо спроєктувати це на нашу діяльність, ми віримо, що місія Roota покликана змінити на краще галузь кібербезпеки, якій дещо бракує узгодженості та знайти успішні можливості для злагодженої співпраці кіберзахисників у виявленні загроз», — ділиться Олександр Бредіхін.

Логотипом нової технології стала червона квітка рути. Як зізнається команда SOC Prime, на презентаціях Roota іноземці дуже радо сприймають український контекст, із цікавістю слухають легенду. Тож, окрім внеску до колективного кіберзахисту, розробка компанії ще й популяризує українську культуру.

Як перекладач Uncoder спрощує роботу кіберфахівців

Uncoder IO — інтегроване середовище розробки (IDE) для створення алгоритмів детектування та їх перекладу. Це опенсорсний інструмент від SOC Prime, запущений 2018 року. Раніше він перекладав Sigma-правила в нативну мову SIEM-платформи, але з появою Roota його функціональність повністю оновили.

«Зараз Uncoder може перекладати запити та правила з однієї нативної мови на іншу через Roota. Ми з нуля переписали алгоритми для кращої конвертації — йшли шляхом спроб і помилок, поки не знайшли оптимальну архітектуру. Проте тепер можемо додавати підтримку нових платформ, не витрачаючи багато часу і реалізовуючи складнішу логіку», — пояснює Віктор Гребенюк,Backend Team Lead у SOC Prime, який очолює проєкт з розробки Uncoder.

Зокрема оновлений Uncoder перекладає індикатори компрометації: IP-адреси, emails, посилання, хеші файлів та інші артефакти атак в оптимізовані пошукові запити для пошуку слідів атак в SIEM, EDR, XDR та Data Lake технологіях. Зазвичай відповідні державні установи з кіберзахисту надають ці дані у звітах про кібератаку. За допомогою Uncoder будь-хто може просто скопіювати цей текст, вставити до перекладача та отримати повноцінні запити, готові для проведення пошуку слідів атаки у своїй платформі. У такий спосіб вистачить кількох секунд, аби дізнатися, чи була організація атакована, звісно, за наявності потрібної телеметрії. Раніше, без автоматизації, на це йшли години, і такі задачі виконувалися експертами. Тепер є можливість залучати для допомоги з такою щоденною задачею новачків та непрофільних спеціалістів.

Як зазначає СЕО SOC Prime Андрій Безверхий, завдяки Roota перекладач Uncoder став повністю універсальним перекладачем. Відтепер кіберзахисникам не потрібно витрачати роки на вивчення нових нативних мов, які досить швидко втрачають свою популярність. Якщо фахівець знає одну — він знає усі, адже Uncoder повною мірою забезпечує переклад. Це дозволяє компаніям економити час і гроші, а спеціалістам фокусуватися на виявленні та протидії кібератакам і завжди мати актуальні навички для підвищення кар’єрного зросту.

Ще одна корисна надбудова Uncoder — AI co-pilot, випущений у травні 2023 року, який є частиною SaaS-платформи SOC Prime. Uncoder AI виконує функцію другого пілота для фахівців з кібербезпеки, Detection Engineers та Threat Hunters. На сьогодні він підтримує миттєвий переклад коду 65 форматів для 45 SIEM, EDR, XDR та Data Lake технологій. В основі та сама технологія, що й опенсорсна версія, але за допомогою SaaS, Uncoder AI використовує набори мовних даних, технології ШІ та централізованого обміну для отримання релевантних метаданих та контексту кіберзагроз. Він надає змогу створювати алгоритми детектування кіберзагроз без синтаксичних помилок, генерувати, розширювати та оптимізувати код, легко обмінюватися ним у захищеному приватному середовищі.

Як кіберспільнота сприймає розробки SOC Prime

Roota та Uncoder — проєкти з відкритим кодом, доступі на GitHub. Як пояснює Віктор Гребенюк, вибір на користь опенсорсу — це один з елементів створення колективного кіберзахисту. У такий спосіб компанія залучає спільноту до розробки, а також отримує зворотний зв’язок і покращує продукт. Наприклад, користувачі пропонують додавати нові функції для перекладів з однієї мови на іншу — і команда це робить.

«До того ж не у всіх кіберфахівців є можливість користуватися вебверсією — наприклад, державний сектор не може це робити з міркувань безпеки. Тож завдяки відкритому коду вони можуть встановити Uncoder у захищеному середовищі», — розповідає Андрій Безверхий.

Водночас розробники наголошують, що Uncoder — повністю приватний інструмент, який не збирає жодних даних користувачів. Зокрема через те, що вебверсія навіть не збирає cookies, неможливо порахувати будь-яку статистику використання перекладача. Проте відгуки та публікації у соцмережах свідчать: щоденно продуктом користуються тисячі спеціалістів.

Uncoder AI збирає технічні та статистичні дані у межах GDPR. Тому відомо, що з червня 2023 року інструментом скористалися 10 000 унікальних користувачів та понад 2000 унікальних компаній зі 120 країн світу.

«Спільнота сприйняла із захватом і появу Roota. Менш ніж за три тижні з дати релізу 3200 спеціалістів із кібербезпеки з понад 90 країн відвідали офіційну сторінку Roota.io. Крім цього, публікація анонсу мови зібрала понад 60 000 переглядів у Х (Twitter) та близько 70 000 у LinkedIn. Ми не очікували, що рівень цікавості буде настільки великим! Але тішимося цим і радо спілкуємося з користувачами та відповідаємо на їхні запитання у нашій Discord-спільноті», — ділиться Олександр Бредіхін.

Що далі: плани та перспективи

У планах SOC Prime — розширювати кількість платформ, які підтримують Roota та Uncoder, вдосконалювати якість перекладів і додавати нові функції для автоматизації щоденної роботи кіберспеціалістів.

«Також будемо розвивати нашу програму Threat Bounty, у межах якої ми запрошуємо кіберфахівців ділитися з нами своїм аналітичним контентом, як-от правилами для знаходження загроз, та отримувати за це винагороду. Зараз у нас понад 640 учасників. До появи Roota вони надавали свої правила у форматі Sigma, а тепер це можна робити будь-якою нативною мовою, що значно спрощує поріг входу», — розповідає Олександр Бредіхін.

Андрій Безверхий додає, що у компанії почали працювати з LLM: тренують опенсорсні моделі на своїх датасетах. У перспективі це дозволить генерувати алгоритми з опису загроз, взагалі не знаючи жодної з мов кібербезпеки.

«Наприклад, людина робить запит на кшталт «знайти всі кібератаки від APT28 за 30 днів» — й отримує необхідні нові поведінкові алгоритми, пакет наявних правил з контекстом від CERT та відібрані набори індикаторів. У такий спосіб будь-хто, залучений до кіберзахисту, може швидко виконати початкову атрибуцію атаки, а спеціалісти відповідних державних установ — ініціювати процес обміну інформацією та прискорення санкцій щодо кібертерористів. Ми очікуємо, що за рік впровадимо таку технологію і зможемо разом зі спільнотою робити світовий кіберпростір безпечнішим», — наголошує СЕО SOC Prime.

Упродовж останніх років стрімко зросла кількість кібератак, які здійснюються російськими хакерськими групами на нашу країну. Одним із найбільш агресивних підходів є гібридний, який об’єднує кібератаки з іншими формами впливу, такими як ракетні обстріли та ІПСО (інформаційно-психологічний вплив на населення). Це створює комплексні загрози для національної безпеки та життєво важливих ресурсів, які забезпечують стабільність у країні.

Цей негативний тренд вимагає від українського бізнесу, держави й кіберспільноти постійного вдосконалення заходів кіберзахисту та розробки ефективних стратегій протидії атакам, а найважливіше — об’єднання заради спільної безпеки. Об’єднання українських спеціалістів для тестування наших ресурсів — це дійсно те, що зараз потрібно.

Історія з хакерською атакою на «Київстар» демонструє, що зараз усі компанії в Україні з великим обсягом чутливих даних є потенційними цілями, зокрема для російських хакерів. Тому потрібно дбати про кіберзахист приватних та державних підприємств.

Як спеціаліст із досвідом виявлення вразливостей, можу сказати, що ефективним інструментом у цьому процесі можуть стати програми Bug Bounty – один із ключових компонентів у боротьбі з кібератаками.

Чому Bug Bounty актуальне

Bug Bounty (баг баунті) — це змагання, де широке коло спеціалістів із кібербезпеки («білі/етичні» хакери, багхантери) отримують винагороду в разі виявлення помилки в роботі систем і мереж приватної або державної компанії чи установи. Ці змагання дозволяють розробникам усувати помилки, що запобігають випадкам зловживання та витоку даних.

Певно, найпершими в контексті компаній, що проводять Bug Bounty, згадують Google, Apple, Intel. Проте до використання цієї практики вдається не тільки бізнес — це й Пентагон, уряд провінції Квебек у Канаді, Європейська комісія тощо.

У комерційному секторі України програму Bug Bounty нещодавно запустив monobank. А ще раніше такі ж програми проводили державні «Дія» та «ПриватБанк». Найтривалішим Bug Bounty серед українського держсектору, який першим відновився після початку повномасштабної війни став Prozorro Bug Bounty.

Кейс Prozorro Bug Bounty

Команда ДП «Прозорро» ще до 24 лютого проводила Bug Bounty, у якій я брав активну участь із 2019 року. Електронна система публічних закупівель — «ласий шматочок» у російсько-українській війні. Якщо її «покласти» на тривалий час — це загальмує багато важливих для держави закупівель.

Prozorro складається із центральної бази даних (ЦБД), якою опікується ДП «Прозорро», та підключених до неї електронних торговельних майданчиків, через які державні замовники та бізнес беруть участь у тендерах. Багхантерам дають для пошуків тестові середовища ЦБД та самих майданчиків. Зазвичай майданчики перед долученням до Bug Bounty проводять pentest. Але бахантеру все одно залишиться, що шукати. Проблема не в pentest — підходи пентестера та багхантера різні.

Програму координує команда Cyber Unit Technologies, яка має досвід у Bug Bounty. Ми визначаємо область тестування (In/Out of Scope), відповідаємо за валідацію вразливостей (визначаємо критичність вразливостей, знайдених багхантерами, вивчаємо звіти багхантерів та готуємо кінцеві технічні звіти, на підставі яких розробники покращують власну інфраструктуру.

Учасники отримують необмежену кількість часу для пошуку вразливостей. Грошова винагорода багхантера залежить від рівня знайденої вразливості, також від цього залежать бали. Відповідно до балів формується рейтинговий список. Загалом усі правила та потрібна інформація описані на сторінці програми. Область тестування відкрита, а результати зі ступенем критичності виявлених вразливостей — загальнодоступні.

Свого часу у 2020 році мені вдалося за півтора тижня знайти у Prozorro 44 вразливості різної критичності. Зараз вразливостей уже менше. Багхантери змушені постійно креативити — інформаційна безпека стрімко розвивається, а злочинці вигадують нові способи її «пробити».

Багхантери постійно розвиваються

Сфера кіберзахисту дуже швидко розвивається — університетські програми постійно відстають. У кібергалузі основний шлях людина має долати самостійно. Тому фундаментом освіти багхантера є сучасні навчальні курси, профільна література, а головне — дослідження інших багхантерів. Крім цього вони беруть участь у конференціях, профільних вебінарах, CTF-змаганнях та слухають подкасти з топами в кібербезпеці. Також для їхнього тренування існують кіберполігони.

Участь у програмі Bug Bounty є важливим професійним етапом для кожного спеціаліста з кібербезпеки, оскільки таким чином можна добре розвивати власні навички.

Багхантеру важливо мислити нестандартно — необов’язково мати широкі знання. Більшість ІТ-спеціалістів уже мають базові навички, необхідні для участі в Bug Bounty-програмах. Їх можна розвивати, проводячи власні дослідження систем.

Багхантерам, державі та бізнесу потрібно Bug Bounty

Bug Bounty-програми від українських комерційних та державних компаній — це класна можливість для всіх IT-фахівців. По-перше, це додатковий заробіток. По-друге, це вдосконалення своїх навичок. Найголовніше — це допомога нашій країні стати безпечнішою в період війни.

Тому закликаю, як професійних багхантерів, так і всіх охочих активно брати участь у таких Bug Bounty-програмах та знаходити вразливості в українських системах до того, як це зроблять росіяни.

Так само сподіваюся, що все більше державних та приватних компаній в Україні запускатимуть власні Bug Bounty-програми. ІТ-інфраструктура — частина сучасної країни, тому використання всіх можливостей для її захисту повинно бути обов’язковим, а не опціональним. Amat Victoria Curam.

Автор: Вадим Шовкун, Head of Bug Bounty Triage Team

«Під час війни важливо захистити критичну інфраструктуру від військової та кіберагресії з боку росії, а інструменти Recorded Future допомагають виявляти та реагувати на кібератаки на ранніх стадіях», — пишуть у міністерстві.

• Recorded Future — одна із найбільших світових компаній, які займаються розвідувально-аналітичною роботою та кібербезпекою.
• Вона співпрацює із 16 українськими державними органами, серед яких — Мінцифра, Держспецзв’язку, ГУР, СБУ, Міноборони, Генпрокуратура та Кіберполіція.
• Recorded Future з початку повномасштабної війни допомагає Україні, зокрема надала розвідувальні дані для захисту критичної інфраструктури України, допомагала в розслідуванні воєнних злочинів росіян та відкрила доступ до програмної платформи Intelligence Cloud.
• Загалом за 2023 рік компанія інвестувала в допомогу Україні понад $20 млн.

У жовтні 2022 року Recorded Future вирішила розширити український офіс – план до 2025 року становить 100 людей у локальній команді. 

Олег Рівтін, CEO Сityhost.ua, розповів AIN.UA про кібератаки на хостинг-провайдерів та дає поради, як мінімізувати можливі наслідки подібних загроз.

Так чи інакше збій у роботі «Київстар» торкнувся багатьох компаній в Україні, оскільки велика кількість електронних сервісів привʼязані до мобільного зв’язку. Користувачі «Київстар» не могли реєструватися на сайтах, замовляти їжу, таксі та використовувати інші сервіси, де потрібна авторизація/верифікація за номером телефону. Також повідомлялося, що внаслідок атаки була порушена робота систем оповіщення про повітряну тривогу на Київщині, Черкащині, Сумщині тощо.

Згодом представники «Київстар» заявили про масштабну хакерську атаку, унаслідок якої було суттєво пошкоджено IT-інфраструктуру компанії. На допомогу у відновленні сервісу прийшли міжнародні партнери з компаній Microsoft, Cisco та Ericsson, на момент написання цього тексту вдалося відновити частину сервісів.

Атака на «Київстар» — вершина айсберга, подібних ситуацій дуже багато, але не всі вони піддаються широкому розголосу

Атака на оператора звʼязку «Київстар» — лише вершина айсберга, про яку широкому загалу стало відомо через велику кількість постраждалих абонентів. Компанія обслуговує 24 млн клієнтів, яких торкнувся збій. Насправді ж атаки відбуваються постійно. Від них страждають не тільки великі, а й менші бізнеси.

Першої масштабної атаки на сервіси компанії Cityhost.ua ми зазнали 28 лютого 2022 року, одразу після блокування всіх російських користувачів. Тоді ми першими з українських хостинг-провайдерів заявили про припинення будь-яких відносин із росіянами. В один момент ми заблокували акаунти понад 1500 користувачів із країни-агресора. На початку березня я у своїй соціальній мережі Facebook звернувся до колег по ринку, інших хостинг-провайдерів та реєстраторів доменів та закликав їх долучатися до санкцій. Колеги ідею підтримали, зокрема про блокування росіян заявили компанії HOSTIQ, Ukraine, Hostpro, Ukrnames, Hvosting та інші. Разом нам вдалося «покласти» десятки, а може й сотні тисяч російських сайтів.

За таку ініціативу нас внесли до списку компаній, які «крадуть гроші росіян», а пост одного із заблокованих користувачів зібрав на російському сайті «Пікабу» понад 500 гнівних коментарів та 70 000 переглядів.

За цим пішли DDоS-атаки на інфраструктуру Cityhost. Нас засипали мільйонами запитів, намагалися покласти сервери, зламати систему, але нам вдалося відбитися.

За день до початку повномасштабного вторгнення атаки зазнали наші колеги — хостинг-провайдер FreeHost. Ввечері 23 лютого 2022 року була здійснена масштабна хакерська атака на сервіси компанії. Зловмисники атакували сервери хостингу, віртуальні сервери, локальні комп’ютери та навіть сервери, де зберігалися резервні копії. Відновити роботу вдалося лише на початку березня.

26 лютого 2023 року атаку було здійснено на інших наших колег — хостинг-провайдера Ukraine. За інформацією з їхнього телеграм-каналу зловмисники намагалися «покласти» інфраструктуру за допомогою відправки значної кількості запитів до систем — 5 млн пакетів за секунду, але від атаки вдалося відбитися за допомогою систем фільтрації трафіку.

Це відомі мені випадки кібератак на компанії, які працюють із нами на одному ринку, лише за один місяць. Насправді ж таких випадків дуже багато в усіх галузях. Упродовж майже двох років повномасштабної війни українська ІТ-інфраструктура зазнає постійних атак. Напади із різною силою здійснюються на інфраструктуру різних компаній — банків, мобільних операторів, інтернет-провайдерів, органів державної влади, місцевого самоврядування та інших.

Реакція людей на кібератаку на «Київстар»

Я із сумом спостерігав за тисячами мемів про ситуацію з «Київстар», які розносили інтернетом із шаленою швидкістю. Були також і публікації з образами та негативом у бік компанії.

Розумію, що меми та жарти — частина нашого сьогодення, тільки дай привід. Але варто розуміти, що глузування та злобні пости — явно не те, що допомагає бізнесу впоратися із такими надскладними проблемами.

Коли на компанію здійснюється атака, весь персонал залучений у вирішення цього питання. Десятки, іноді сотні, а у випадку із «Київстар», напевно, тисячі людей буквально не сплять ночами та працюють над відновленням сервісу. Про моральний стан цих людей у такий складний час можна тільки здогадуватися, але явно їх не підбадьорюють усі ці жарти та стьоб.

Куди більше мені сподобалися публікації зі словами підтримки на адресу «Київстар». Це були пости як від публічних осіб, так і від пересічних громадян. Люди писали про те, скільки років вони вже користуються послугами компанії, зичили якнайшвидше вирішити проблеми та запевняли, що й надалі будуть користуватися послугами оператора після відновлення сервісу. Саме цей підхід я вважаю свідомим та таким, що дійсно може підтримати бізнес у складний час.

Кібератаки — частина війни, це треба враховувати

Війна росії проти України ведеться не тільки в окопах та на лінії фронту. Один із напрямів цієї війни — саме кіберпростір, і зіткнення із ворогом тут відбуваються щоденно. Компанії, які мають хоча б якусь ІТ-інфраструктуру, мають потурбуватися про захист.

Ось декілька порад, які допоможуть бізнесу мінімізувати ризики від кібератак:

1. Обговоріть із командою базові речі щодо кібербезпеки. До цього пункту можна віднести ази — не переходити за невідомими посиланнями, не відкривати файли з листів, що прийшли від невідомих відправників, використовувати надійні паролі, не передавати даних третім особам тощо.
2. Використовуйте антивірусні програми. На власному та робочих компʼютерах має бути встановлене актуальне антивірусне програмне забезпечення. Його також потрібно використовувати й на серверній інфраструктурі компанії. Це допоможе захистити ваші пристрої від можливих атак на програмному рівні.
3. Не пожалкуйте грошей на аудит безпеки ваших систем. У галузі кібербезпеки працює десятки компаній, які можуть провести аудит систем на наявність вразливостей та потенційних загроз. За результатами такого аудиту треба розробити план з виправлення знайдених проблем та впровадити оновлення.
4. Візьміть за правило — раз на три-шість місяців перевіряти захист від кіберзагроз. Оскільки технології розвиваються дуже швидко, потрібно проводити мініаудити постійно. Робити це можна силами працівників вашої команди або залучених спеціалістів із безпеки. Такі дії допоможуть «тримати руку на пульсі», оновлювати безпекове програмне забезпечення, перевіряти новий код, системи тощо.
5. Проведіть тренінги з кібербезпеки для співробітників. Іноді навіть працівники галузі ІТ не приділяють достатньої уваги питанням кібербезпеки. За допомогою тренінгу можна навчити людей правильній роботі із системами, програмним забезпеченням та звернути їхню увагу на потенційні загрози.
6. Розробіть регламент дій на випадок атаки. За допомогою регламенту можна розподілити ролі співробітників та описати їхні дії на випадок, якщо атака таки станеться. Після написання такого регламенту можна провести симуляцію атаки, відпрацювати все написане на папері. Це допоможе співробітникам у випадку справжньої загрози.
7. Подбайте про резервне копіювання даних. Впровадження систем резервного копіювання — це «мастхев» для кожної компанії, що має ІТ-інфраструктуру. Для цього можна використовувати віддалені сервери, що знаходяться поза межами внутрішньої мережі. Ще одним із варіантів є періодичне вивантаження даних на фізичний носій. Наприклад, можна раз на тиждень чи на місяць у залежності від частоти оновлень вивантажувати дані на зовнішній диск, який буде зберігатися в безпечному місці. Таким чином ви не зможете гарантувати збереження повністю всіх даних, але принаймні у вас буде копія системи на конкретний день тижневої/місячної давності.

Описане вище допоможе мінімізувати ризики можливих атак. Хочу зазначити, що отримати 100 % захищену систему навряд вийде. Гіркий досвід такої величезної компанії як «Київстар» тому приклад. Технології розвиваються дуже стрімко, разом із тим також розвиваються і навички людей. Ці навички можна використовувати як із доброю метою, так і з ні.

Ще один меседж, який я хочу донести — людям треба бути терпимішими, проявляти емпатію. У період війни кожна компанія може стати мішенню для атаки. Ми як користувачі маємо із розумінням ставитися до цього з огляду на контекст, у якому ми зараз живемо.

Автор: Олег Рівтін, CEO Cityhost.ua

І поки «Київстар» поступово відновлює свої послуги, AIN.UA проаналізував ситуацію з фахівцями — експертом телекомунікаційного ринку Романом Хімічем та заступником Дніпропетровської ОДА з питань цифрових технологій (CDTO) Іваном Начовним.

Події розвиваються доволі стрімко, і вже стало відомо про те, що хакерам вдалося отримати доступ до системи за допомогою облікового запису одного зі співробітників. Про це заявив президент «Київстар» Олександр Комаров. Він визнав, що хакерам вдалося пробити захист і потрапити в середину інфраструктури компанії.

Чому хакерам вдалося «покласти» «Київстар» і чи можна було цього уникнути?

Начовний вважає, що цю кібератаку чітко спланували та готували заздалегідь. За його словами, немає жодної системи безпеки, яка би захищала зв’язок на 100%. Захист можна хіба що посилити, але й це буде коштувати значно більше, ніж будь-яка попередня робота із заходів безпеки. Тому завжди можна досягти якогось значного рівня в кіберзахисті, у залежності від його профілю та безпекових вимог.

«Наприклад, якщо на забезпечення 80% захисту зв’язку необхідно витратити $1 млн, то для того, щоб забезпечити 81% вже потрібні $3 млн. Тобто кожен наступний відсоток обійдеться вам вдвічі дорожче, ніж усе, що ви зробили до цього».

Експерт назвав три головних фактори будь-якої загрози: антропогенний, техногенний і стихійний. У випадку першого фактора всі загрози спричинені людьми, наприклад, диверсантами чи коригувальниками вогню. Другий фактор обумовлює технічні несправності обладнання — наприклад, коли воно виходить з ладу через обмежений термін працездатності. Стихійний фактор важко спрогнозувати. Він пов’язаний із погодними умовами чи природними катаклізмами.

«Слідство повинно встановити, який саме із цих трьох факторів став причиною великого збою в системі «Київстару». Я думаю, що це антропогенно-техногенний фактор. Неможливо виключати якусь складову. Це можливо тільки після проведення розслідування, і відповідні органи повинні зробити свої висновки для того, щоб надалі запобігти такій шкоді», — заявив Начовний.

Чи готуються мобільні оператори до кібератак, яким чином?

Роман Хіміч відзначив, що це перший випадок серйозної атаки на мобільну мережу за майже 10 років війни з росією. Але, на його думку, українські оператори серйозно ставляться до цього питання, інвестуючи достатньо часу, сил і коштів. Саме тому цей випадок поки що єдиний, хоча й масштабний.

«Можна порівняти з тим, що коїться в державному секторі. На жаль, великі серйозні злами там відбуваються щороку. Пошкоджуються десятки IT-систем різних державних установ. І раз у раз стається дійсно масштабний витік даних», — звертає увагу експерт.

На думку Хіміча, держава не вкладається в кібербезпеку на належному рівні — не наймає достатньо компетентних і, відповідно, достатньо високооплачуваних фахівців.

«Якщо називати речі своїми іменами, органи влади досі ставляться до питання кібербезпеки так, ніби вона суттєво перебільшена, зокрема так вважає пан Федоров (міністр цифрової трансформації — прим. ред.)», — каже фахівець.

На думку Начовного, кожен мобільний оператор постійно перебуває під прицілом загрози кібератак на інформаційні ресурси, тому постійно готуються до цього.

Експерт зазначив ефективність команди «Київстар», адже вже ввечері оператор відновив домашній інтернет і поновив деякі внутрішні сервіси. Втім, проблема кібератаки полягає і у тому, що оператор втрачає час на відновлення, адже з погляду на бізнесову складову, «Київстар» втрачає клієнтів, адже люди втратили зв’язок і шукають альтернативу серед інших операторів.

«Таким чином будь-яка система має забезпечувати саморезервування, зберігати так звані холодні копії», — каже Начовний.

За словами фахівця, цей метод роботи полягає в періодичному копіюванні системи — наприклад, щодня. В разі позаштатної ситуації «холодні» копії можна розгорнути на новому обладнанні й у такий спосіб підняти систему. Максимум, що можна втратити — це оперативні дані за одну добу.

Окрім «холодного», є «гаряче» резервування, коли дані копіюються постійно. У такий спосіб оператор не втрачає нічого.

Інший запобіжний захід — віддзеркалення ресурсів, коли паралельно з дата-центром працює його «дзеркало», на яке перемикається робота у випадку його ураження.

Начовний також зауважив, що вже другий рік поспіль ведеться боротьба з кібератаками на різні інформаційні ресурси державних органів. Але в цьому випадку хакери віднайшли лазівку, за допомогою якої зробили те, що зробили.

Чи можливий витік даних?

У компанії вже заявили, що інформації про витік даних у них немає. Втім Начовний зауважив, що під час витоку даних унаслідок кібератаки на мобільного оператора хакер може отримати лише номер телефону і SIM-картки, без прив’язки до абонента ці дані нічого не дають. Більш чутлива інформація має обмежений доступ.

«Коли говорять про витік даних, йдеться про чутливі дані. Тобто це персональна інформація про людей: паспортні дані, податкові номери, номери банківських рахунків, прив’язаних до особи. Якщо телефон прив’язаний до особи, це чутливі дані. Але доступ до них дуже-дуже обмежений».

Чому були проблеми з іншою інфраструктурою (банки, система оповіщення населення)?

Роман Хіміч відповів, що на послугах «Київстар» зав’язана частина банкоматної мережі в Україні, оскільки цей оператор мобільної мережі є найбільшим у країні та має свою велику фіксовану мережу. Те, що почалися проблеми з рештою інфраструктури через хакерську атаку «Київстара», на думку Хіміча, сталося через відсутність резервних каналів і зв’язку.

«На жаль, організації в Україні часто не вважають за потрібне інвестувати у свою стійкість, зокрема – у резервні канали зв’язку», — сказав фахівець.

Іван Начовний навів приклад: у магазинах термінали для оплати картками під’єднуються через мобільну мережу. І якщо це «Київстар», то працювати він не буде. Але що стосується системи оповіщення про тривогу, то фахівець підкреслив, що вона дротова і працює без мобільного зв’язку. Чому в деяких містах України вона певний час не функціонувала — йому сказати важко. Але Начовний припускає, що на цю ситуацію можуть вплинути погодні умови, адже лінії обмерзають. Тому, ймовірно, злам «Київстар» і збої в роботі системи повітряної тривоги — це збіг обставин.

Яка мета кібератаки?

На думку Івана Начовного, хакери робили це для дестабілізації зв’язку в державі.

«Існує така теорія змови:, що необхідно зробити — забрати в людей зв’язок. Це і є принцип тероризму, який активно втілюється нашим ворогом. Тобто, вимкнути зв’язок людям, щоб вони не могли додзвонитися. Це розповсюджує паніку. І людям треба просто розуміти, що існують альтернативні засоби зв’язку», — сказав Начовний.

Але фахівець звертає увагу на те, що ворог прогадав. По-перше, в Україні працює не один, а декілька операторів. По-друге, багато людей уже давно спілкуються переважно через месенджери.

Роман Хіміч не розуміє доцільність атаки без поєднання з іншими діями, наприклад, наступом на фронті чи масованою повітряною атакою. На його думку, цей саботаж ні з чим не пов’язаний.

«І це, звичайно, незрозуміло, адже рано чи пізно ці вразливості знайдуть та закриють — і все. Тобто треба розуміти: у росіян навряд чи є можливість робити такі великі «злами» часто, і навіть не те, що раз на місяць — не факт, що вони це можуть щороку робити», — зауважує експерт.

Як кібератака на «Київстар» вплине на телеком-ринок?

На думку Начовного, кібератака на «Київстар» показала залежність від одного мобільного оператора. Втім, він здивований ажіотажем пересічних громадян у магазинах інших операторів, адже людей не перший рік попереджають про потребу в другій SIM-картці або її електронному варіанті.

«Всі, хто має альтернативних операторів, не відчули на собі цього колапсу. І навпаки, — люди, які мали виключно «Київстар», перші години хапалися за голови. Тому що не знали, що робити. А потім згадали, що є інші оператори. І вчора було дивно спостерігати черги в магазинах інших операторів, коли люди скуповували SIM-карти».

Що стосується подальшої ситуації на телеком-ринку, то на думку Начовного, баланс поновиться. Спочатку частина клієнтів усе ж піде від «Київстару» до інших операторів. Їм, своєю чергою, доведеться посилити можливості своїх сайтів, адже навантаження зростає в рази. Але експерт прогнозує, що після відновлення «Київстар» більшість абонентів повернеться до компанії, а оператор вживатиме заходів і посилить підготовку до можливих атак.

«Потрібно визнати, що ця атака пробила наш захист. Це сталося, оскільки було скомпрометовано обліковий пул, скомпрометовано обліковий запис когось зі співробітників і ворог зміг потрапити в середину інфраструктури компанії. Щодо цього ведеться слідство», – сказав Комаров, додавши, що висновки слідства йому поки не відомі.

За його словами, питання не в технологіях, а в тому, що в будь-якій організації можуть бути люди, які «умовно наводять російські ракети або віддають свої паролі, тому що добре працюють соціальні інженери».

Президент «Київстару» підкреслив, що навіть найзахищеніша інфраструктура може бути уражена. Компанія використовувала для захисту від кіберзагроз найсучасніші технології і з початку повномасштабного вторгнення відбила близько 500 кібератак.

Зранку 12 грудня в роботі «Київстару» стався масштабний збій, причина – масштабна хакерська атака на ядро мережі. Абоненти не можуть скористатися послугами мобільного зв’язку та доступом до інтернету.

Служба безпеки України, допомагає «Київстару» відновити роботу мережі, відкрила провадження одразу за вісьмома статтями Кримінального кодексу. Відповідальність за атаку взяло на себе російське хакерське угрупування, яке є підрозділом головного управління розвідки росії.

Окрім держорганів допомагають «Київстар» відновити мережу після масштабної кібератаки і міжнародні компанії Ericsson, Microsoft та Cisco.

Під вечір 13 грудня компанія почала поступово відновлювати роботи мережі та включати голосовий зв’язок по всій Україні.

• У ході міжнародної поліцейської операції правоохоронці провели понад 30 обшуків та припинили діяльність угруповання. До складу слідчої групи увійшли колеги з Європолу (установа правопорядку ЄС із протидії міжнародній організованій злочинності) та Євроюсту (агентство, що координує судові органи ЄС).
• Для здійснення атак хакери самостійно розробили шкідливе ПЗ та кілька вірусів-шифрувальників. Вони зламували облікові записи працівників підприємств та розповсюджували з привласнених акаунтів шкідливий програмний код у корпоративній екосистемі. Так хакери отримували доступ до серверів та викрадали інформацію.
• Потім дані зашифровували й робили непридатними для використання, а за дешифрування хакери вимагали мільйони в криптовалюті.

«Зловмисники атакували найпотужніші світові компанії Франції, Норвегії, Німеччини, Нідерландів, Канади та США, починаючи з 2018 року. У результаті багатомісячної кропіткої роботи українські правоохоронці за сприяння колег зі США, Норвегії, Нідерландів, Німеччині та Франції ідентифікували 32-річного лідера хакерського угруповання та його чотирьох найактивніших спільників», — розповів начальник Департаменту кіберполіції Юрій Виходець.

• За відновлення роботи серверів однієї з провідних хімічних компаній Нідерландів, зловмисники вимагали перерахувати 450 BTC на підконтрольний їм криптогаманець, що в еквіваленті складає 48 мільйонів гривень.
• За кілька років діяльності хакери зашифрували понад 1000 серверів світових підприємств та спричинили збитків на суму в понад 3 мільярди гривень у перерахунку на національну валюту.

Слідчі Головного слідчого управління Нацполіції відкрили кримінальне провадження за ч. 2 ст. 361 (Несанкціоноване втручання в роботу інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж), ч. 2 ст. 361–1 (Створення з метою протиправного використання, розповсюдження або збуту шкідливих програмних чи технічних засобів, а також їх розповсюдження або збут), ч. 4 ст. 189 (Вимагання) Кримінального кодексу України. Трьом фігурантам повідомлено про підозру.

Тривають слідчі дії з метою встановлення місцеперебування інших членів угруповання. За результатами можлива додаткова кваліфікація.

«Українські підстанції покладаються на GPS для синхронізації часу й ця технологія часто використовується в промислових системах керування через її точність і доступність. Діяльність росії зі створення перешкод для GPS в основному здійснюється для створення перешкод системам наведення ракет, але побічним ефектом є порушення роботи операторів мережі», – пояснили в Cisco.

• Через те, що сигнали GPS глушаться, підсистеми електроенергії не можуть синхронізувати час і точно повідомляти диспетчерам про стан мережі. Це призводить до неможливості точно повідомити про проблеми та збалансувати постачання електроенергії в мережу під час атаки на підстанцію.
• Cisco надіслала «Укренерго» велике замовлення модифікованого обладнання, призначеного для надання точного часу, навіть коли ворог використовує свої радіоперешкоди.

«Наша команда вирішила розробити рішення за допомогою нашої власної технології, Використовуючи комутатор Cisco Industrial Ethernet з його внутрішнім кристалічним генератором, ми змогли створити нові вдосконалені алгоритми відновлення синхронізації та модифікували код комутатора, щоб забезпечити точне збереження часу, коли GPS був недоступний», — розповідають у компанії.

• Cisco надіслала Укренерго модифіковані версії мережевих комутаторів серії Industrial Ethernet 5000 після стрес-тестування обладнання у своїй лабораторії в Остіні, штат Техас.
• Рейси для перевезення обладнання до України організував Пентагон із залученням ВПС США, Міненергетики та Мінторгівлі.

Cisco Systems, Inc. — американська транснаціональна корпорація, найбільший у світі виробник мережевого обладнання, призначеного для обслуговування мереж віддаленого доступу, сервісів безпеки, мереж зберігання даних, маршрутизації та комутації, а також для потреб комерційного ринку IP-комунікацій і корпоративного ринку.

3 березня 2022 року Cisco оголосила про зупинку бізнесу в росії та Білорусі, а в червні вирішила остаточно залишити ці ринки, згорнувши свій бізнес. Компанія також висловила підтримку Україні.

У червні 2023 року Cisco стала однією із 41 компаній, які оголосили про наміри забезпечити понад 250 000 українських біженців роботою та навчанням по всій Європі. Cisco зголосилася найняти 10 000 українців.

Офіційну причину звільнення керівництва Держспецзв’язку не розголошують. Обов’язки голови органу тимчасово виконуватиме перший заступник голови Дмитро Маковський.

Водночас САП та НАБУ повідомили керівникам Держспецзв’язку про підозру в розкраданні понад 62 млн грн. Крім того, у вчиненні злочину підозрюють ще чотирьох осіб.

«Так, у 2021 році відбулася закупівля засобів інформатизації, призначених для створення системи захищених реєстрів даних. Переможцем закупівлі визначено компанію підконтрольну організатору злочинної організації, яка поставила програмне забезпечення ДП «Українські спеціальні системи», що належить до сфери Держспецзв’язку, за завищеною вартістю.

За умовами договорів на постачання відповідного ПЗ та послуг та державне товариство перерахувало у 2021–2022 роках понад 285 млн грн. Проте реальна вартість ПЗ, яке компанія придбали в іноземного виробника, становила 223 млн грн», – йдеться в повідомленні САП.

Різницю, понад 62 млн грн, вивели на рахунки підконтрольних компаній за кордоном. Наразі слідчі дії тривають.

За даними AIN.UA зі спільноти фахівців із кіберзахисту, Віктор Жора прокоментував своє звільнення в одному із чатів. Там він заперечує свою причетність до злочину та «переконаний, що зможе захистити свою репутацію в суді».

У Держспецзв’язку офіційно висловилися щодо висунутих підозр.

«Держспецзв’язку надала всю необхідну інформацію правоохоронним органам та готова надавати цю інформацію і надалі, оскільки робота Служби базується на принципах відкритості та нульової толерантності до корупції. Всі закупівлі Служби від 2020 року проводили з дотриманням чинного законодавства. Закупівлі у сфері захисту державних реєстрів є складними, їхній аналіз потребує підготовки та розуміння, і Служба готова надавати всі необхідні роз’яснення детективам НАБУ, в будь-якому форматі», – йдеться у заяві.

Водночас у структурі закликали утриматися від звинувачень щодо конкретних посадових осіб чи службовців, які зараз задіяні в організації захисту критичної інформаційної інфраструктури, до завершення розслідування та надання результатам розслідування правової оцінки судом.

Ситуацію також публічно прокоментував ексзаступник Міністра оборони України Віталій Дейнега.

«Держспецзвʼязку (скорочено ДССЗЗІ) — це корупція (на мою думку). Ця структура була створена саме для цього ще задовго до Майдану. Вона не несе особливої відповідальності, але може пхати палки в колеса й не давати цифровізуватися. Така собі кібернетика сан епідемія станція. Це одна з небагатьох структур, яку з тих часів практично не було реформовано. Більше того, з початком повномасштабної війни вони встигли сильно збільшити свій вплив і повноваження, фактично підімʼявши під себе всю тему кіберзахисту (військового й цивільного) а також дрони і фактично стали «гаманцем і руками«Мінцифри в дуже багатьох питаннях», — пише Дейнега.

За його словами, Держспецзвʼязку «призводять до космічного здорожчання, технічної убогості рішень і корупції, корупції та ще раз корупції, а найбільший вплив їхні регулювання мають на системи, які обробляють інформацію з обмеженим доступом».

• Уразливість у чіпах серій A та M може дозволити iPhone, Mac та iPad розголошувати паролі та іншу конфіденційну інформацію зловмиснику. Дослідники безпеки назвали недолік, який впливає на Safari на Mac і будь-який браузер на пристроях iOS, iLeakage.
• Дослідники реалізують iLeakage як сайт. Коли сайт відвідує вразливий пристрій macOS або iOS, він використовує JavaScript, щоб відкрити окремий сайт за вибором зловмисника та відновити його вміст, відображений у попап-вікні.
• Під час атаки на підтвердження концепції дослідники змогли отримати доступ до вмісту папки вхідних повідомлень Gmail, історії YouTube і паролів, автоматично заповнених Safari.
• Погана новина полягає в тому, що будь-який зловмисник, який використовує цю вразливість, може змусити ваш пристрій відвідати будь-який сайт у фоновому режимі та отримати дані з цього сеансу. Навіть якщо ви помітите та закриєте попап-вікно, атака може тихо продовжуватися. 
• Хороша новина в тому, що це дуже складний вектор атаки, для використання якого потрібен надзвичайно високий рівень знань. І поки немає жодних ознак того, що цю вразливість колись виявляли раніше, не кажучи вже про те, щоб вона активно використовувалася.
• Очікується, що Apple зможе виправити недолік до того, як зловмисники зможуть відтворити роботу, виконану дослідниками безпеки, щоб дізнатися, як його використовувати.

• Trigona — це російське хакерське угрупування, що займається зокрема ransomware-атаками. Стандартний сценарій роботи таких груп: зараження мережі компанії або організації через вразливості, шифрування файлів на комп’ютерах і потому — вимога оплатити якусь суму в обмін на доступ до файлів (який надають не завжди). Відома атака вірусом NotPetya, яка поклала багато великих українських бізнесів та організацій, була саме такого типу (або ж маскувалась під неї).
• Trigona промоутили свої послуги на хакерських форумах і дарквебі, пропонували партнерські програми. Серед їхніх відомих операцій — атака на гонконзький бізнес-парк Cyberport, коли вони вимагали $300 000 за доступ до файлів. Для атак вони використовують віруси на Delphi, а також 112-bit RSA та 256-bit AES-шифрування.
• Саме їхню інфраструктуру атакували спеціалісти із «Українського кіберальянсу». Вони знищили дані на десятьох серверах Trigona, а також провели дефейс їхнього сайту, із поясненням, що саме відбувається.
• На головній Trigona альянс розмістив своє лого та послання: Trigona is gone. Welcome to the world you created for others («Trigona більше немає. Ласкаво просимо до світу, який ви створили для інших»).

«На росії вони (ransomware-групи) відчувають себе у цілковитій безпеці. Америка далеко, місцева поліція їх не ловить. Але із ними можна боротися. Ми просто знайшли одну таку банду і вчинили із ними так само, як вони вчиняють з іншими. Завантажили їхні сервери (десять штук), все видалили і дефейснули наостанок. Ані TOR їм не допоміг, ані навіть те, що вони знали про те, що в них є діра. Уся інфраструктура «полетіла» повністю», — пише співзасновник «Українського кіберальянсу», відомий під ніком Шон Таунсенд.

Що таке ключі доступу?

Ключі доступу — це стійка до фішингу альтернатива паролям, яка дозволяє користувачам входити в облікові записи за допомогою біометричних даних або PIN-кодів, які вони використовують для розблокування своїх пристроїв, або за допомогою фізичного ключа безпеки.

Це позбавляє користувачів від необхідності покладатися на традиційну комбінацію логіну та пароля, яка залишається чутливою до фішингу, атак з підміною облікових даних, зловмисного програмного забезпечення або може просто забута.

Хоча технології типу багатофакторної автентифікації дають додатковий рівень безпеки обліковим записам, захищеним паролем, вони не позбавлені недоліків. Наприклад, коди автентифікації, надіслані через текстові повідомлення, можуть бути перехоплені зловмисниками, а менеджери паролів можуть бути (і часто бувають) зламані.

Ключі доступу складаються з двох частин: одна частина залишається на сервері програми або сайту, а інша зберігається на вашому пристрої, що дозволяє вам довести, що ви є законним власником облікового запису. Це також робить майже неможливим віддалений доступ хакерів до вашого облікового запису, враховуючи, що навіть у разі зламу сервера їм потрібен буде фізичний доступ до пристрою користувача.

Що зміниться для користувачів?

Google стала першою компанією, що почала масово запроваджувати ключі доступу. Технологічний гігант вперше пообіцяв підтримувати цю технологію у травні 2022 року, оголосивши про підтримку ключів доступу в Android і Chrome. У травні 2023 Google оголосив, що підтримка безпарольних технологій поширюється для власників облікових записів Google у всьому світі.

Тепер компанія зробила ще один крок до повної відмови від комбінації логіну та пароля, оголосивши, що вона робить ключі доступу методом автентифікації за замовчуванням для всіх власників облікових записів Google.

«Це означає, що наступного разу, коли ви входите у свій обліковий запис Google, ви почнете бачити підказки щодо створення та використання ключів доступу, які спростять ваш майбутній вхід у свій акаунт», — сказали менеджери з продуктів Google Бранд Крістіан і Карра Срірам.

Чому це цікаво?

Google каже, що заохочує всіх користувачів почати використовувати ключі доступу як основний спосіб входу. В компанії зазначають, що 64% користувачів, які вже спробували нову технологію, вважають ключі доступу легшими у використанні порівняно з традиційними методами, такими як паролі та двоетапна перевірка.

Технологічні видання, наприклад TechCrunch, також почали радити всім поступово переходити саме на ключі доступу. Тож, ймовірно, цей перехід все одно рано чи пізно станеться і нам можна буде забити свої паролі та логіни.

«Мета — створити інноваційні рішення для протидії російським кібератакам. А також посилити кіберстійкість критичної інфраструктури», – прокоментував очільник міністерства Михайло Федоров.

• Українські розробники та стартапери зможуть отримати до $50 000 на реалізацію власних продуктів та ідей. Загальний бюджет програми — $500 000.
• Перших учасників визначать серед найкращих команд IT Arena 2023, які презентують свої рішення під час стартап-треку.
• Подати заявку можна до 30 вересня 2024 року за адресою USAIDCybersecurity_Grants@dai.com. Інструкції щодо змісту заявки та перелік необхідних документів можна знайти на сайті програми.

Дані про те, як українці ставляться до онлайн-безпеки

• Дослідження також виявило, що 73% українців найімовірніше не розпізнають «тривожних дзвіночків», які вказують, що вони зіткнулися зі злочинцями в мережі.
• Кожен другий українець принаймні раз вірив шахраям, а 17% ставали жертвами обману неодноразово.
• Також автори дослідження вказують на те, що респонденти, що вважають себе обізнаними щодо тактик онлайн-зловмисників, з більшою імовірністю натиснуть на фальшиве посилання або повірять шахрайській пропозиції.
• Наприклад, 54% «обізнаних» українців купляться на повідомлення, що містить гарні новини, а 42% відреагують на прохання виконати термінові дії. Тоді як серед тих, хто сумнівається у своїй пильності, так само вчинять 48% та 32% відповідно.

• Найменше українці вірять проханням перевстановити пароль через потенційний витік даних: для 85% опитаних повідомлення такого змісту — в трійці найбільш підозрілих. Набагато менше занепокоєння викликають SMS про статус відправлення, що доставляється (лише 28% включили такі повідомлення до топ-3 тих, що змушують насторожитися). Лише 17% опитаних вважають підозрілими прохання надати відгук про нещодавній досвід і 28% — листи з оголошенням про розпродаж або появу нового продукту.

Ознаки підозрілої поведінки в онлайні

• Хибна терміновість. Кіберзлочинці часто наголошують на терміновості, щоб спонукати людей діяти, наприклад, натиснути на посилання або відповісти відправнику.
• Гарні новини. Кожен другий респондент виконав би дію, про яку просять шахраї, якби повідомлення містило гарні новини, наприклад «безкоштовний подарунок для вас», «вас обрали» чи «ви переможець».
• Прохання виконати дії. 35% респондентів відповіли б на повідомлення, що містить прохання виконати дії, хоча найбільш підозріло українці ставляться до прохання змінити пароль.

Поради з безпеки

У компанії радять:

• Не ділитися ні з ким даними свого банківського рахунку.
• Не натискати на посилання, не переконавшись, що воно приведе туди, куди
  обіцяють у повідомленні.
• Регулярно перевіряти сповіщення про списання коштів, які приходять у формі SMS
  або електронних листів і повідомляють про покупки, здійснені з вашого рахунку.
• Телефонувати за номером, указаним на корпоративному сайті або зворотному боці
  кредитної чи дебетової картки, якщо немає впевненості, чи є повідомлення від банку
  справжнім.

Дослідження Stay Secure є частиною інформаційної кампанії Visa «Платіть безпечно», в межах
якої Visa сприяє підвищенню обізнаності споживачів щодо можливих сценаріїв онлайн-шахрайства, навчає більш обізнаній і безпечній поведінці покупців, підвищує фінансову грамотність населення.

• Двоє посадовців Пентагону стверджують, що російські спецслужби створили щонайменше два фальшиві сайти, які видають себе за ресурси підтримки сімей полонених, зниклих безвісти або загиблих українських військових, і начебто допомагають з їхнім пошуком.
• Представник Координаційного штабу з питань поводження з військовополоненими в Україні Петро Яценко підтвердив, що два згадані сайти обманом займаються збором інформації. Втім, ідеться про значно більше фальшивих ресурсів, які намагаються отримати персональні дані родичів військових, оскільки росія також використовує також Telegram-канали та групи у Facebook та Viber.
• «Таких ресурсів насправді — десятки. Є більш успішні, є менш успішні. Вони експлуатують надзвичайно вразливий стан рідних та близьких військовослужбовців, які зникли безвісти чи потрапили до рук ворога. Вони також використовують те, що росія не надає Україні інформацію про полонених. Рідні сподіваються, що їхня близька людина не загинула, а перебуває у полоні, і на пропозицію подібних ресурсів передають персональні дані», — розповів Яценко.
• Посадовці Міноборони США вважають, що росія створила такі ресурси незадовго після свого повномасштабного вторгнення в Україну. Наразі може ітись про тисячі зібраних записів, кажуть посадовці.
• На їхню думку, росія використовує імена, номери телефонів та адреси українців, отримані через ці ресурси, щоб визначити, чи живе хтось із військових або членів їхніх родин на окупованих Росією територіях.