bezpieczeństwo (strona 262 z 279)

W zeszłym miesiącu Minister Cyfryzacji wyraziła swoje zainteresowanie biometrią oraz nadzieje, że już niedługo dane biometryczne nie tylko umożliwią wejście do budynku jej resortu, ale także znajdą zastosowanie wśród zwykłych obywateli. Już wówczas pisaliśmy, że przeświadczenie o bezpieczeństwie, jakie gwarantować ma biometryczna weryfikacja tożsamości, może być zgubne.

Doszło do poważnego ataku na infrastukturę polskich banków. Przez pewien czas nie działała także strona internetowa Komisji Nadzoru Finansowego, zaś jej rzecznik potwierdził już, że jest to efektem zewnętrznej ingerencji. Atak może trwać nawet od jesieni zeszłego roku, zaś Zaufana Trzecia Strona dopuszcza możliwość, że mamy do czynienia z najpoważniejszym ujawnionym atakiem na polski sektor finansowy w historii.

Niedawna duża aktualizacja WordPressa, oznaczona numerem 4.7.0,przyniosła obok wielu zmian funkcjonalnych tego ogromnie popularnegoCMS-a także kilka zmian pod maską. M.in. włączono domyślnieobsługę API REST, pozwalając zalogowanym użytkownikom naprogramistyczne zarządzanie wpisami – ich tworzenie, usuwanie iedytowanie. Zalogowanym? Tak przynajmniej wydawało się deweloperomWordPressa. Badacze z firmy Sucuri odkryli, że źle im sę wydawało.W rzeczywistości przez REST API każdy może edytować zawartośćdowolnej strony – dotyczy to zarówno wersji 4.7.0 jak ipoprawkowej 4.7.1. Jeśli macie witrynę na WordPressie, jaknajszybciej zaktualizujcie go do wersji 4.7.2.

Niejednokrotnie już wspominaliśmy o złośliwym oprogramowaniu wsklepie Play – zwykle jednak były to proste aplikacje phishingowe,które obiecując rozrywkę czy dodatkowe funkcjonalności dlapopularnych portali społecznościowych wykradały jakieś daneużytkownika. Charger – odkryter przez badaczy Check Pointzagrożenie – wygląda jednak znacznie ciekawiej, dowodząc żetwórcy mobilnego malware próbują stworzyć coś, co dorównaszkodnikom grasującym na Windowsie. Swoją złośliwą działalnośćukrywa bardzo przebiegle, na wszelkiego rodzaju emulatorach nieodkryjemy, że coś jest nie tak.

Przyzwyczailiśmy się, że hakerzy potrafią włamać się do pecetów, gadżetów elektronicznych czy sieci wojskowych. Autorzy science-fiction zapowiadają, że w przyszłości będą się również włamywali do naszych mózgów.Okazuje się, że ta wizja wcale nie musi być tak odległa, a „włamanie” do mózgu może być łatwiejsze niż sądzimy.

Użytkownicy routerów Netgear powinni jak najszybciej sprawdzić,czy producent nie udostępnił dla nich aktualizacji firmware. Nowepodatności, dotyczące przynajmniej 31 modeli urządzeń tej firmyzagrażają wszystkim tym, którzy udostępnili panel administracyjnyroutera w publicznej sieci – pozwalają bowiem całkowicie ominąćmechanizm uwierzytelnienia.

Gdy zapomnimy hasła do serwisu, z którego korzystamy, zwykle pozostają nam dwa wyjścia. Albo podajemy e-mail, za pomocą którego rejestrowaliśmy się do serwisu, a wówczas dotychczasowe hasło zostaje zresetowane i pocztą otrzymujemy nowe, albo też musimy prawidłowo odpowiedzieć na ustawione przez siebie pytanie bezpieczeństwa.

Ataki z wykorzystaniem ransomware kojarzymy przede wszystkim z zaszyfrowanymi dyskami pojedynczych użytkowników. Po opłaceniu okupu, mogą oni najczęściej odzyskać dostęp do swoich plików, w najgorszym scenariuszu utracą go bezpowrotnie. Nietrudno jednak wyobrazić sobie, że konsekwencje mogą być znacznie poważniejsze, gdy zaatakowana zostanie infrastruktura przemysłowa lub systemy wykorzystywane w usługach. A tak właśnie stało się w hotelu Romantik Seehotel Jägerwirt.

Eksperci z microsoftowego Malware Protection Center ostrzegają, że niedawno odkryta kampania phishingowa skierowana przeciwko użytkownikom Gmaila jest tak sprytni skonstruowana, iż nabierają się nawet doświadczeni użytkownicy. Cyberprzestępcy wykorzystują pliki PDF wysyłane jako załączniki poczty elektronicznej. Jednak, w przeciwieństwie do podobnych ataków, same PDF-y nie zawierają szkodliwego kodu. Wykorzystane techniki inżynierii społecznej mają spowodować, że użytkownicy – chcąc poznać treść tych plików – sami zdradzą informacje, na których zależy atakującym.

Gdy ktoś mówi, że coś jest rakiem, trucizną, zarazą, czykarą boską, warto zastanowić się – dlaczego to mówi i jaki wtym ma interes. Tak było w czasach, gdy Steve Ballmer mówił oLinuksie, tak jest dziś, gdy znany ex-deweloper Mozilli RobertO’Callahan mówi o programach antywirusowych. Człowiek, któryprzez 16 lat pracował nad Firefoksem, dziś ogłasza, że powinniśmyporzucić antywirusy, może za wyłączeniem antywirusa Microsoftu.Powód? Antywirusy utrudniają producentom przeglądarek realizacjęich polityki bezpieczeństwa.

Połączenie VPN w założeniu ma przynosić jedynie korzyści – ukrywać nasz ruch sieciowy przed postronnymi i dawać dostęp do geoblokowanych treści w Sieci. Można by się zatem spodziewać, że kiedy z niego korzystamy, nasza prywatność jest dobrze chroniona. Do innych wniosków można natomiast dojść, kiedy przeanalizuje się badania prezentujące poziom bezpieczeństwa w mobilnych aplikacjach VPN. Badacze sprawdzili niemal 300 aplikacji dla systemu Android związanych z tworzeniem połączeń VPN, a wnioski są szokujące – tylko niewielki procent wszystkich programów można uznać za rzeczywiście bezpieczne.

Dwustopniowa weryfikacja danych pozostaje jedną z najskuteczniejszych metod ochrony swojego konta w popularnych usługach i serwisach. Szczegóły działanie tego mechanizmu opisywaliśmy w poradniku wykorzystywania go na Facebook. Dziś serwis Marka Zuckerberga zaprezentował w tej kwestii nowość: drugim składnikiem weryfikacji mogą być fizyczne klucze bezpieczeństwa.

Popularny wśród użytkowników Androida mechanizm zabezpieczający Pattern Lock (wzór blokujący) jest wyjątkowo łatwy do złamania. Wystarczy pięć prób, by w 95% przypadków odblokować urządzenie. Co interesujące, im bardziej skomplikowanego wzoru użyjemy, tym łatwiej można go złamać.

Wykryty kilka dni temu ransomware o nazwie Satan nie jest ani innowacyjny, ani też specjalnie oryginalny. Jest za to diabelnie prosty w użyciu, bo po raz pierwszy w modelu RaaS (ransomware-as-a-service) zagrożeniu towarzyszy szczegółowa instrukcja siania zniszczenia dla początkujących. Firma ANZENA specjalizująca się w zabezpieczaniu danych ostrzega, że dzięki temu próg wejścia w przestępczy biznes ponownie się obniżył i wkrótce może przyciągnąć nowych amatorów złośliwego szyfrowania.

O planach wprowadzenia nowoczesnych dowodów tożsamości, które wyeliminowałyby konieczność noszenia ze sobą fizycznego dokumentu, słyszymy od lat. Ambitne plany wciąż jednak czekają na swoją realizację. W rozmowie z money.pl, Minister Cyfryzacji posunęła się w futurologii dalej: resort chce, byśmy w przyszłości swoją tożsamość potwierdzali biometrycznie.

Pamiętacie protokół WAP? My już też nie pamiętamy, alboprzynajmniej udajemy, że nie pamiętamy. Ta namiastka mobilnegodostępu do sieci z przełomu wieków znalazła znów swojezastosowanie – tym razem jeszcze bardziej nieprzyjemne. Badacze zfirmy Contextis odkryli, że starsze modele Samsungów Galaxy (m.in.S4 i S5) można zdalnie zawiesić za pomocą jednego SMS-a,zawierającego uzłośliwioną konfigurację punktu dostępowego.

Co najmniej 20 milionów użytkowników – i to głównieużytkowników w środowiskach biznesowych – korzysta zrozszerzenia CiscoWebex dla Chrome, pozwalającego na łatwe korzystanie zgrupowych telekonferencji przez przeglądarkę. Dzięki odkryciuTavisa Ormandy’ego z google’owego Projektu Zero wiemy, żerozszerzenie pozwala na jeszcze jedno. Wystarczy odwiedziećspreparowaną stronę internetową, by za pomocą tkwiącej w CiscoWebexie luki uruchomiony został zdalnie kod z uprawnieniamizalogowanego użytkownika. Biorąc pod uwagę popularnośćoprogramowania i profil jego użytkowników, możemy spodziewać sięspektaktularnych ataków ransomware.

Lavabit, serwis pocztowy z którego korzystał Edward Snowden, powrócił. Został on zamknięty w 2013 roku, gdyż jego założyciel, Ladar Levison, wolał zrezygnować z prowadzenia serwisu, niż udostępnić rządowym agendom informacje o swoich klientach. Informacji takich domagali się śledczy pracujący przy sprawie Snowdena.

Firma Check Point Software Technologies, będąca światowym ekspertem ds. cyberbezpieczeństwa, wraz z Europolem opublikowała wspólny raport „Ransomware: Wszystko co musisz wiedzieć”, przedstawiający opis szybkiego rozwoju zagrożeń ransomware, od wczesnych wersji takich jak Cryptolocker, który wyłonił się w 2013 roku, do współczesnych wysokoprofilowanych ransomware jak Locky, CryptXXX, TorrentLocker, Jigsaw czy rodziny malware typu Cerber. Raport opisuje konkretne metody ataków, wykorzystywanych przez każdą z rodzin ransomware i wskazuje odpowiednie narzędzia pozwalające na rozszyfrowanie swoich zaatakowanych dokumentów.

Eksperci z firmy ESET ostrzegają przed kolejną falą pułapek na Facebooku, wabiących ofertą bezpłatnych bonów. Tym razem oszuści próbują złapać w swoją pułapkę internautów oferując im „Zimowe limitowane karty podarunkowe do sklepów odzieżowych(CROPP,ZARA itd)” (pisownia oryginalna). Jeśli otrzymałeś na Facebooku powiadomienie o dodaniu do grupy, oferującej takie lub podobne bony – lepiej uważaj. Próba otrzymania obiecanych bonów może skończyć się wysokim rachunkiem za telefon.

Chińska aplikacja Meitu pozwala uczynić nasze selfie atrakcyjniejszym, zwłaszcza dla miłośników anime. Po przepuszczeniu przez dostępne narzędzia, twarz wygląda jakbyśmy byli bohaterami chińskich japońskich bajek. Wydawać by się mogło, że taka aplikacja nie będzie potrzebowała dużych uprawnień. Skądże znowu – Meitu żąda dostępu do prywatnych danych użytkownika, w tym numeru IMEI, numeru telefony, a także lokalizacji.

Po raz pierwszy o planach utworzeniu ogólnopolskiego rejestru transakcji pisaliśmy jeszcze w czerwcu zeszłego roku. Od samego początku budził on spore kontrowersje między innymi sprawą konieczności wymiany kas fiskalnych przez handlowców. Ale to dopiero wierzchołek góry lodowej.

Może i Windows 10 nie jest takbezpieczny jak Windows 7 z włączonym EMET-em, ale nie oznaczato, że Microsoft niczego nie zrobił w dziedzinie uszczelnianiaswojego systemu. Na łamach Technetu ludzie z Microsoft MalwareProtection Center zaprezentowaliswoje rozwiązania, dzięki którym najnowsze exploity 0-day,skteczne wobec starszych Windowsów, w „dziesiątce” okazały sięnieskuteczne.

iOS co jakiś czas zaskakuje nas mniej lub bardziej niecodziennymi podatnościami. W zeszłym roku pisaliśmy między innymi o przykrych konsekwencjach zmiany daty na 1 stycznia 1970 roku. Dziś mamy do czynienia z kolejnym takim przypadkiem.

Gdy następnym razem będziesz robić sobie selfie na Facebooka, zastanów się nad tym, co robisz z rękami. Japońscy specjaliści udowodnili, że ze zdjęć na portalach społecznościowych można spokojnie wykraść odciski palców. W połączeniu z dostępnymi tam danymi osobowymi w nielicznych przypadkach może to prowadzić do kradzieży tożsamości. Winne są niestety zbyt dobre aparaty fotograficzne.