...напоминаю простую меру предосторожности: если у вас через любой мессенджер просят денег, даже если небольшую сумму и хороший знакомый или близкий родственник, то перед тем, как бросаться на помощь - сделайте ГОЛОСОВОЙ ВЫЗОВ или ВИДЕОЗВОНОК (телефонный или в другом мессенджере), чтобы убедиться, что вас не разводят мошенники.

...и поставьте уже 2FA!!! Не забивайте на #безопасность, чтобы не оказаться потом крайними в уголовном деле о мошенничестве, когда от вашего имени кого-нибудь обманут на большие деньги.

Надыбал довольно забавный документ, который возможно (sic!) отражает точку зрения ФБР на возможность получения той или иной информации от различных мессенджеров. Это не руководство про #безопасность, разумеется. Так, к сведению.

NB: все групповые чаты во всех мессенджерах небезопасны.

​​27 сентября 2023 года в Мажилисе в первом чтении приняли проект закона «О внесении изменений и дополнений в некоторые законодательные акты Республики Казахстан по вопросам информационной безопасности», который должен защитить информацию о казахстанцах.

Среди прочего, новый законопроект определяет понятие «нарушение безопасности персональных данных» (иначе говоря, утечка).

В связи с тем, что в настоящее время законодательно не урегулированы вопросы оперативного реагирования при утечке персональных данных, необходимые для минимизации последствий такой утечки, а также понимая важность проведения комплексной работы в этих случаях, авторы проекта закона предложили установить для собственника и (или) оператора обязательства по уведомлению уполномоченного органа.

Это большая победа DRCQ, к которой мы шли без малого два года. Именно наши эксперты Елжан Кабышев и Руслан Дайырбеков, входившие в рабочую группу по разработке и принятию этого закона, обратили внимание депутатов Мажилиса на статью 33 «Уведомление надзорного органа о нарушении безопасности персональных данных» GDPR (Общего регламента по защите персональных данных Европейского союза), которая предусматривает требование задокументировать любые нарушения безопасности персональных данных (personal data breach) в том числе их обстоятельства, последствия и меры, принятые для исправления ситуации.

Уведомление – это важная процедура, обеспечивающая возможность хотя бы минимизировать последствия нарушения законодательства, должным образом уведомить субъектов персональных данных об утечке, а также привить операторам ответственность за бережное обращение с персональными данными и безопасность их хранения. Таким образом, многие рекомендации от DRCQ нашли свое отражение в тексте проекта закона!

Обеспечение реальных возможностей для проведения независимой общественной экспертизы проектов нормативных правовых актов, является важным условием обеспечения качества правового регулирования.

Необходимо обратить внимание на то, как ответственный исполнительный орган в лице Комитета по информационной безопасности Министерства цифрового развития, а также депутаты Парламента в рамках обсуждения проекта закона, учитывали в своей нормотворческой деятельности объективные оценки и профессиональные рекомендации экспертов юридической фирмы DRCQ.

Безусловно, проведённая работа повысила качество и эффективность разработки законопроекта и сформировала эффективное партнерство государственных структур с институтами гражданского общества, СМИ, академическими и иными организациями в решении проблемы защиты персональных данных.

#новости_от_DRCQ #законы #мажилис #Казахстан #утечки #безопасность #персональные_данные

🟣 Про бесперебойность связи и #безопасность .

Если у вас есть клиент VPN, то этого мало. Нужно иметь не меньше двух разных клиентов (или профилей на разных серверах/протоколах в универсальных клиентах). Почему? Потому что в случае неработоспособности одного VPN-сервиса (неважно, блокировка это, подписка кончилась или просто проблемы у владельцев) вам для поиска замены может потребоваться работоспособный VPN.

Если у вас его в этот момент не окажется, то ситуация может стать совсем неприятной, поднимать самого себя за волосы очень неудобно. 🙄

P.S. В крайнем случае, имейте разные VPN на разных устройствах. Как-нибудь перекинете необходимое с живого устройства на отрезанное от мира. Но это неудобно...

👁‍🗨 Анонимность под угрозой: анализ законодательства Казахстана

Очень интересный аналитический материал юриста, правозащитника «Internet Freedom», Data Privacy Professional (GDPR DPP) Елжана Кабышева.

Особенно интересно про "государтсвенный MITM"

https://drfl.kz/ru/anonymity-in-kazakhstan/

#Казахстан #анонимность #безопасность #тайна_связи

@drflkz

🟡 Подробности о новой атаке на устройства Apple с целью угона Apple ID. Всё еще хуже, чем я думал. Злоумышленники обошлись даже без фишингового сайта, хватило дыры в сервисах Apple.

«Все мои устройства начали взрываться — часы, ноутбук и телефон», — рассказал Патель KrebsOnSecurity:
«Это было похоже на системное уведомление от Apple об одобрении [сброса пароля учетной записи], но я больше ничего не мог сделать со своим телефоном. Мне пришлось пройти и отклонить более 100 уведомлений..»

Некоторые люди, столкнувшиеся с таким потоком данных, могут в конечном итоге нажать «Разрешить» в ответ на непрерывные запросы на сброс пароля — просто чтобы они могли снова использовать свой телефон. Другие могут случайно одобрить одно из этих приглашений, которое также появится на часах Apple Watch пользователя, если они у них есть..

Пожалуйста, будьте внимательны и осторожны, от этой атаки, как выяснилось, не спасает даже ключ восстановления Apple ID.👈🏻

Судя по всему, атака базируется на базах утечек ПД, где засвечены имена и телефоны пользователей, используемые в схеме формирования такого сообщения. 🧐 На основании каких источников сформирована база злоумышленников - можно только предполагать. 🤷🏻

P.S. Это, кстати, к вопросу: «ну узнают они имя и телефон, и чо?» А вот «чо»: потеря, скажем, всех данных в iCloud, и архивов, и текущей работы, например. 🫤
P.P.S. В 100500+ раз повторяю: делайте локальные резервные копии!!! Облака это хорошо, но пока гром не грянет.

#безопасность

🟡 По поводу поднятого сегодня шума из-за CCTV, очередного (sic!*) продукта, который позволяет найти человека, имеющего аккаунт в telegram, подсунув в запрос фиктивные собственные координаты в районе цели. Тогда функция "люди рядом" покажет всех в радиусе 800, кажется, метров вокруг указанной точки. Страшно? Нет. Объясняю, почему:

• По умолчанию функция "люди рядом", транслирующая ваше местоположение, отключена. Если вы ее не включаете, то никакое CCTV вас не найдет. Очень идиотская функция, честно говоря.
• Если вы не доверяете кнопке в приложении telegram - просто вообще отключите телеграму доступ к геопозиционированию и спите спокойно.
• Спецслужбы, буде им приспичит, найдут вас по данным оператора связи гораздо проще и быстрее. Даже примерно ваше местоположение знать не надо. Примеров тому не счесть, и делали они это задолго до появления телеграма в принципе.

Короче: если вы не страдаете эксбигиционизмом и не имеете желания сводить оффлайновое знакомство с другими пользователями телеги вокруг, включив функцию "люди рядом" и засвечивая свое местоположение, то не включайте её и перестаньте уже делать себе нервы.😜

* - первые продукты с подобной функцией появились, как минимум, в 2021 году, но тогда никто не переживал по этому поводу. После ковида, что ли, все такие нервные стали?🤷🏻

#безопасность

🟡 Смешное, но не очень: после очередного обновления iOS до 17.5 некоторые пользователи обнаружили у себя в iCloud фотографии, которые они когда-то удалили. И эта проблема гораздо серьезнее, чем кажется. Внезапно™ (нет) оказалось, что облачный сервис Apple хранит всё, что когда-либо туда попало, даже если вы считаете, что это нужно было удалить.

Не могу, сказать, кстати, что хоть немного удивлен. 🫤 Всё, что вы когда-либо с любыми целями и любым образом "загрузили в Интернет" (для хранения, для обработки или как-то еще) больше вами не контролируется. Что и как будет сделано с этими данными, кем и для чего они будут использованы (против вас тоже, почему бы и нет?) - вы не знаете и не можете предполагать.👈🏻 Единственный(!) вариант, который хоть как-то защищает вас от злоупотреблений - использование шифрования на устройстве до того, как данные отправятся в Сеть.

#безопасность

Деанон как на ладони

Недавно один из наших друзей сфотографировал маленькую ящерицу, держа на ладони. Выложил в соцсетях, уже после этого обратив внимание, что часть отпечатка пальца видна на фото весьма отчётливо. Мы обратились к нашему другу, Вадиму Коэну, израильскому ИБ-специалисту с комментарием — можно ли сдеанонить человека по таким фото?

Коэн ответил следующее: "В каком-то смысле вы правы. То есть вы не бредите."

Действительно, есть несколько университетских исследований, которые показывали на конференциях, где исследователям удалось взять фотографию пальца, и потом при помощи этой фотографии пальца сделать рисунок отпечатка, а потом воспроизвести этот рисунок отпечатка при помощи, если не ошибаюсь, акрилового клея таким образом, чтобы потом при помощи этого отпечатка [условно] разблокировать Android-смартфон.

То есть отпечаток пальца и рисунок отпечатка пальца действительно в теории может быть воспроизведён таким образом, как вы спрашиваете. Есть уже несколько успешных попыток воспроизвести этот эксперимент не в научной лаборатории, а просто кто-то дома взял и сделал. Поэтому технически то, что ты говорите, возможно. Это не бред, не безумие.

С другой стороны, с практически точки зрения, ещё не было такого, чтоб это случалось слишком часто, напрямую став угрозой частной жизни и угрозой безопасности. Пока это осталось скорее теоретической возможностью. Но, повторюсь, вполне реальной возможностью.

Однако вот уже прошло несколько лет, а я не могу вспомнить ни одной громкой истории, когда для кого-нибудь наступил бы ущерб в связи с тем, что фотография с его отпечатками пальцев попала бы в интернет. Ну, вот таких историй из реальной жизни я не знаю.

____

Так что в скором времени вангуем:

- появление фотографий в перчатах;
- (как следствие) появление в продаже перчаток с чужими отпечатками пальцев.

______

#отпечатки_пальцев #конфиденциальность #безопасность

🟡 Пользователям браузера Firefox и почтового клиента Thunderbird настоятельно рекомендую обновиться на последнюю версию браузера и, соответственно, почтового клиента.

Обнаружилась довольно неприятная дырка CVE-2024-9680, которую экстренно заткнули. Самое нехорошее, что ее уже задействовали в реальных атаках, т.е., методика ее использования "ушла в народ".

#безопасность

🟡 Фишинг добрался и до Signal. 🤷🏻Пожалуйста, не торопитесь «делать хоть что-нибудь», получая грозные сообщения в мессенджерах (тем более, непонятно от кого). Привычка сначала подумать, перед тем, как торопливо нажимать кнопки, сильно повышает вашу #безопасность - и это не только про Signal, но и вообще.

Снова повторю: самый главный инструмент безопасности - ваша голова, ваше критическое мышление и неторопливость в действиях. Вот в данном случае пожаловаться и заблокировать будет хорошим решением.👈