Baza wiedzy
02 cze 2022

Bezpieczny smartfon

MATEUSZ KOPACZ,
Manager ds. Bezpiecze艅stwa Teleinformatycznego
W debacie publicznej coraz cz臋艣ciej pojawiaj膮 si臋 zagadnienia zwi膮zane z budowaniem cyber-odporno艣ci.
zabezpieczenie telefonu smartfon
W debacie publicznej coraz cz臋艣ciej pojawiaj膮 si臋 zagadnienia zwi膮zane z budowaniem cyber-odporno艣ci.

Wpis omawia zagro偶enia zwi膮zane z atakami na smartfony, kt贸re s膮 cz臋sto s艂abo zabezpieczone i przechowuj膮 du偶膮 ilo艣膰 poufnych danych. Hakerzy mog膮 wykorzysta膰 smartfony do 艣ledzenia lokalizacji, pods艂uchiwania rozm贸w, przegl膮dania prywatnych tre艣ci i uzyskiwania dost臋pu do aplikacji bankowych. Artyku艂 zawiera tak偶e wskaz贸wki dotycz膮ce minimalizowania ryzyka, takie jak regularne aktualizacje, dwusk艂adnikowe uwierzytelnianie i unikanie niezaufanych aplikacji. 艢wiadomo艣膰 zagro偶e艅 i odpowiednie 艣rodki bezpiecze艅stwa s膮 kluczowe w ochronie danych na smartfonach.

Spis tre艣ci:

Wst臋p

Nasz kraj zdecydowa艂 si臋 powo艂a膰 do 偶ycia now膮 s艂u偶b臋 specjaln膮 – 鈥濩entralne Biuro Zwalczania Cyberprzest臋pczo艣ci鈥. Prezes Rady Ministr贸w oraz szef KPRM padli ofiar膮 profilowanego ataku na prywatne skrzynki mailowe. Ka偶dego dnia otrzymujemy pro艣by o pomoc po i w trakcie ataku na bezpiecze艅stwo informacji lub pr贸by zaszyfrowania dysk贸w. W pierwszym wpisie blogowym podzielimy si臋 z pa艅stwem naszymi spostrze偶eniami nt. urz膮dze艅 mobilnych.

 

Smartfony sta艂y si臋 hackerskim rajem. Rzadko s膮 zabezpieczone tak, jak komputery a przetwarzamy na nich du偶o wi臋cej danych. U偶ywamy ich do rozm贸w z rodzin膮, znajomymi, wsp贸艂pracownikami i klientami. Instalujemy aplikacje, 艣ledzimy media spo艂eczno艣ciowe, robimy przelewy, zarz膮dzamy domow膮 automatyk膮.

W艂amanie si臋 do smartfonu jest jak wycieczka do naszego 艣wiata. Hakerzy dowiaduj膮 si臋 gdzie mieszkamy, poznaj膮 znajomych i rodzin臋, a tak偶e uzyskaj膮 dost臋p do aplikacji bankowych, dokument贸w i poznaj膮 najbardziej skrywane tajemnice. Komputer mo偶na zabezpieczy膰 wpisuj膮c skomplikowane i trudne do z艂amania has艂o w kom贸rce wystarczy prosty czterocyfrowy kod.

Co prawda producenci smartfon贸w jako pierwsi zacz臋li na globaln膮 skal臋 wykorzystywa膰 dane biometryczne (wz贸r linii papilarnych, face ID lub skan t臋cz贸wki), ale ten spos贸b uwierzytelnienia jest u偶ywany zamiennie z kodem PIN. Dodatkowo przest臋pcy skanuj膮c telefon kradn膮 r贸wnie偶 dane biometryczne, potrzebne w kolejnym etapie ataku.

Jak przest臋pcy mog膮 wykorzysta膰 Tw贸j telefon:

  • Pozna膰 lokalizacj臋 i 艣ledzi膰 j膮 za pomoc膮 GPS
  • Pods艂uchiwa膰, co m贸wisz, a nawet nagrywa膰 rozmowy telefoniczne
  • Przegl膮da膰 zapisane zdj臋cia i filmy
  • W艂膮cza膰 aparat fotograficzny w dowolnym momencie
  • Czyta膰 wszystkie wpisywane teksty i rejestrowa膰 ka偶de naci艣ni臋cie klawisza, tak偶e numery pin i has艂a do kont w aplikacjach bankowych, sklepach internetowych i sieciach spo艂eczno艣ciowych
  • Czyta膰 wiadomo艣ci dowolnego typu, nawet te zaszyfrowane
  • Rejestrowa膰 ca艂膮 aktywno艣膰, nawet wtedy gdy urz膮dzenie jest zablokowane

Aplikacje kt贸re do tego s艂u偶膮 cz臋sto omijaj膮 kwestie prawne, udaj膮c narz臋dzia do monitorowania dzieci lub 艣ledzenia pracownik贸w.

Co mo偶emy zrobi膰 aby ograniczy膰 ryzyko?

Z regu艂y nie potrzebujemy skomplikowanych procedur, aby odeprze膰 wi臋kszo艣膰 cyberatak贸w. Wystarczy zdrowy rozs膮dek i konsekwencja. Najwa偶niejsze dzia艂ania dla zachowania bezpiecze艅stwa to:

  • Regularne aktualizowanie aplikacji i systemu operacyjnego
  • W艂膮czanie dwusk艂adnikowego uwierzytelniania
  • Unikanie publicznych sieci WiFi
  • Nie instalowanie aplikacji pochodz膮cych z niepewnego 藕r贸d艂a*
  • Korzystanie i aktualizowanie oprogramowania antywirusowego
  • Niestosowanie jailbreakingu** szczeg贸lnie w telefonach Apple.
  • Nigdy nie klikanie w linki z nieznanych wiadomo艣ci e-mail / SMS
  • Obserwowanie komunikacji dotycz膮cej statusu urz膮dzenia (np. Apple wprowadzi艂o indykatory, kiedy aplikacja korzysta z mikrofonu lub kamery)
  • Unikanie obcych 艂adowarek USB: 艂adowarki maj膮 w艂asne, niewielkie programy kt贸rych zadaniem jest np. kontrolowanie poziomu na艂adowania baterii. Mo偶liwe jest zmodyfikowanie 艂adowarki a nawet samego kabla aby uruchomi膰 z艂o艣liwy kod i zainfekowa膰 urz膮dzenie. Aby zobaczy膰 jakie to proste obejrzyj ten film

*聽Sklep Play zosta艂 zidentyfikowany jako najwi臋ksze 藕r贸d艂o aplikacji ze z艂o艣liwym kodem przez Doctor Web

** Jailbreak/Root umo偶liwia uzyskanie pe艂nego dost臋pu do urz膮dzenia i wgrywanie aplikacji i rozszerze艅, kt贸re nie s膮 dost臋pne poprzez oficjalne 藕r贸d艂a dystrybucji.

Jednak cyberprzest臋pcy mog膮 skorzysta膰 te偶 z innych metod, przy kt贸rych nasz zdrowy rozs膮dek nic nie pomo偶e.

  • Sprz臋t niezb臋dny do pods艂uchiwania rozm贸w telefonicznych kosztuje obecnie tylko kilkaset z艂otych, pozwala odtworzy膰 fa艂szyw膮 wie偶臋 telefonii kom贸rkowej i przej膮膰 komunikacj臋. Prowizoryczne wie偶e lub femtokom贸rki s膮 sprzedawane przez firmy telekomunikacyjne jako wzmacniacze sygna艂u. Te niewielkie urz膮dzenia mog膮 w rzeczywisto艣ci przej膮膰 wszystkie po艂膮czenia telefoniczne, wiadomo艣ci oraz e-maile i udost臋pni膰 je potencjalnemu hakerowi.
  • Pegasus to najskuteczniejsze narz臋dzie inwigilacji opracowane przez izraelsk膮 firm臋 NSO Group. Pozwala infekowa膰 dowolny telefon z dowolnego miejsca na 艣wiecie, wystarczy do tego po艂膮czenie telefoniczne lub wiadomo艣膰 push. Oprogramowanie wykorzystywane jest z regu艂y przez s艂u偶by specjalne. Jednak nikt nie jest w stanie zagwarantowa膰 kiedy takie i podobne rozwi膮zania mog膮 zosta膰 u偶yte przez przest臋pc贸w. Tutaj mo偶esz sprawdzi膰 czy twoje urz膮dzenie znalaz艂o si臋 kiedykolwiek w obr臋bie zainteresowania NSO Group.
  • Przej臋cie naszego numeru telefonu 鈥 nale偶y pami臋ta膰, 偶e mo偶liwe jest wyrobienie 鈥瀔opi鈥 naszej karty SIM u operatora (to najprostsza, cho膰 nie jedyna metoda). Je偶eli kto艣 pozna nasze dane i przejdzie weryfikacj臋 u operatora mo偶e pod pretekstem uszkodzenia karty SIM zam贸wi膰 jej kopi臋. Wtedy ca艂a komunikacja trafi do niego: np. kody weryfikacyjne z Banku. Je偶eli wcze艣niej uzyska艂 dost臋p do naszego maila w zasadzie ma nieograniczony dost臋p do wi臋kszo艣ci system贸w bankowo艣ci internetowej.
  • Mamy te偶 z艂膮 informacj臋 dla os贸b, kt贸re s膮 przekonane, 偶e urz膮dzenia z systemem iOS s膮 chronione przed oprogramowaniem szpieguj膮cym. Firma Candiru z siedzib膮 w Tel Awiwie (Izrael), specjalizuje si臋 w dostarczaniu oprogramowania szpiegowskiego, pozwalaj膮cego na infekowanie i monitorowanie iPhone鈥櫭硍, urz膮dze艅 z systemem Android, komputer贸w Mac, komputer贸w z systemem Windows oraz kont w chmurze. G艂贸wnym produktem firmy jest oprogramowanie szpiegowskie, kt贸re pozwala na zainfekowanie urz膮dzenia ofiary przy u偶yciu wielu r贸偶nych wektor贸w atak贸w, takich jak: z艂o艣liwe linki, ataki typu man-in-the-middle, ataki fizyczne oraz wektor Sherlock (exploit, kt贸ry nie wymaga 偶adnej interakcji ze strony ofiary, tzw. zero-click). Oprogramowanie umo偶liwia wykradanie danych z najpopularniejszych przegl膮darek oraz aplikacji, takich jak: Skype, Outlook, Telegram, Facebook, WhatsApp, Signal czy Gmail. Jedn膮 z funkcji jest wysy艂anie wiadomo艣ci w popularnych komunikatorach w czasie rzeczywistym z urz膮dzenia ofiary, dzi臋ki czemu mo偶emy np. wydoby膰 interesuj膮ce nas informacje lub zainfekowa膰 sprz臋t osoby z bliskiego otoczenia zaatakowanego. Jak dot膮d uda艂o si臋 potwierdzi膰 wykorzystane tego narz臋dzia do szpiegowania ponad 100 os贸b, g艂贸wnie polityk贸w, obro艅c贸w praw cz艂owieka, dziennikarzy, naukowc贸w, pracownik贸w ambasad i dysydent贸w politycznych. Tutaj mo偶esz zobaczy膰 przyk艂adow膮 wycen臋 tego narz臋dzia.

Nowe czasy, nowe zagro偶enia, nowe rozwi膮zania

Wkroczyli艣my do epoki, w kt贸rej rz膮dz膮 dane. Od danych osobowych, takich jak: imi臋 i nazwisko, adres zamieszkania, adresy e-mail, numery telefon贸w, czy w ko艅cu numer PESEL, po mn贸stwo 艣lad贸w, kt贸re zostawiamy w Internecie. Dane zebrane za pomoc膮 naszych telefon贸w mog膮 dostarczy膰 przest臋pcom informacji wystarczaj膮cych do kradzie偶y to偶samo艣ci i zaci膮gni臋cia po偶yczek w naszym imieniu, o czym przekonuje si臋 coraz wi臋ksza liczba os贸b. Mog膮 r贸wnie偶 okaza膰 si臋 偶y艂膮 z艂ota dla reklamodawc贸w i telemarketer贸w. Dlatego najwa偶niejsza jest 艣wiadomo艣膰. Niestety, przy bardzo wyrafinowanych zabezpieczeniach stosowanych w r贸偶nych warstwach cyfrowego 艣wiata, smartfony zosta艂y jakby zapomniane i wystawione s膮 na 艂up cyberprzest臋pc贸w.

Dlatego tak wa偶ne jest budowanie 艣wiadomo艣ci, aby rozumie膰 zagro偶enie i szacowa膰 ryzyko. 艢wiadomie wybierajmy komu i jakie dane udost臋pniamy. Nie instalujmy aplikacji z podejrzanych 藕r贸de艂 鈥 dbajmy o higien臋 cyfrow膮. B膮d藕my ostro偶ni, stosujmy adekwatne zabezpieczenia.

Zapytaj o rozwi膮zania

Chcia艂by艣 lepiej pozna膰 nasz膮 ofert臋 albo masz jakie艣 pytania dotycz膮ce konkretnych rozwi膮za艅. Zapraszamy do kontaktu.