To już piąty odcinek cyklu „ABC cyberbezpieczeństwa 2.0”! Wiemy, że czekaliście na kolejne definicje haseł związanych z zagrożeniami online oraz bezpiecznym korzystaniem z sieci – do naszego cyberbezpiecznego słownika dodajemy dziś: atak BLE Spam i bluejacking, kompetencje cyfrowe, szyfrowanie end-to-end, uwierzytelnianie wieloskładnikowe oraz wyciek danych.
Jeśli przegapiliście poprzednie definicje, sięgnijcie do wcześniejszych aktualności z serii:
- odcinek 1: bankowość internetowa, klucz U2F, ochrona urządzeń mobilnych, socjotechnika;
- odcinek 2: BLIK, catfishing, fałszywe panele logowania, typosquatting, lista ostrzeżeń przed niebezpiecznymi stronami;
- odcinek 3: credential stuffing, ekran blokady, podatność bezpieczeństwa, separacja tożsamości, tryb incognito;
- odcinek 4: cryptojacking, dialer, infostealer, man-in-the-middle, pętla dopaminowa.
Przypominamy, że na OSE IT Szkole czeka na Was pierwsze wydanie poradnika „ABC cyberbezpieczeństwa”, w którym znajdziecie ponad 150 definicji przydatnych dla każdego internauty. Hasła z „ABC cyberbezpieczeństwa 2.0” za jakiś czas również zamienią się w publikację, a tymczasem – śledźcie aktualności, które ukazują się na naszej bezpłatnej platformie!
Atak BLE Spam i bluejacking
Z pewnością często korzystacie w swoich smartfonach (i innych urządzeniach elektronicznych) z modułu Bluetooth, który umożliwia bezprzewodową komunikację krótkiego zasięgu pomiędzy sprzętami. Dzięki niemu możecie np. sparować opaskę sportową z telefonem lub łączyć się z drukarkami, słuchawkami czy głośnikami.
Choć ta technologia zdecydowanie ułatwia życie, musicie wiedzieć, że niesie za sobą także ryzyko pewnych zagrożeń, wśród których można wymienić bluejacking (od ang. Bluetooth i hijacking – porwanie). Ten typ ataku polega na przesyłaniu niechcianych wiadomości z linkami lub reklamami za pośrednictwem modułu Bluetooth z jednego urządzenia do drugiego – które można wykryć, wyszukując dostępne sprzęty w pobliżu. Ogólnie rzecz biorąc, bluejacking jest jednym z typów ataków DoS (od ang. Denial of Service – odmowa dostępu), których celem jest uniemożliwienie działania systemu komputerowego lub usługi sieciowej.
W większości przypadków bluejacking jest wykorzystywany dla zabawy lub w celu nawiązania kontaktu z nieznajomymi, ale pamiętajcie: przesyłane w ten sposób linki mogą prowadzić np. do złośliwego oprogramowania, stron phishingowych lub innych niebezpiecznych treści. Przestępcy za pośrednictwem takiego ataku mogą rozprzestrzeniać także wirusy.
Jednym z przykładów bluejackingu, który być może przestraszył także i Was, był atak BLE (Bluetooth Low Energy) Spam, prowadzony swego czasu w warszawskim metrze. Jego ofiarą padali masowo użytkownicy smartfonów, laptopów i tabletów. Na czym polegał atak? Oszust, wykorzystując specjalne oprogramowanie i pasmo Bluetooth, rozsyłał setki monitów z informacją o parowaniu nieistniejącego sprzętu (np. słuchawek). Powiadomienia spływały co chwilę, zapełniając bufor pamięci urządzeń i w ostateczności doprowadzając do zawieszania systemów operacyjnych (zarówno Android, jak i iOS).
Jako że zasięg tego ataku wynosił nawet do 50 m, okazywało się, że wiele osób naraz traciło możliwość korzystania ze swoich urządzeń. Na szczęście pasażerowie metra byli bezpieczni – ich dane nie były wykradane (mogli utracić jedynie np. nagrywaną w momencie ataku wiadomość głosową). I choć finalnie atak nie okazał się poważnym zagrożeniem, zwrócił uwagę bardzo istotne zagadnienie – w dzisiejszych czasach nie potrzeba wcale zaawansowanego sprzętu, by sparaliżować działanie urządzeń cyfrowych na określonym terenie.
Jak chronić się przed atakami tego typu? Jedyne, co możecie zrobić, to wyłączać moduł Bluetooth, gdy z niego nie korzystacie, i sprawdzać, czy Wasze urządzenie jest widoczne dla innych sprzętów w okolicy. Pomoże to nie tylko jeszcze lepiej zadbać o bezpieczeństwo, ale też… oszczędzać baterię w smartfonie.
Więcej o BLE Spam przeczytacie w artykule „Ktoś od miesiąca zawiesza smartfony w warszawskim metrze. Jak to robi?” w serwisie niebezpiecznik.pl.
Kompetencje cyfrowe
W obecnych czasach wiele mówi się o tym, że kompetencje cyfrowe (ang. digital competences) należą do jednych z najważniejszych umiejętności współczesnego człowieka. Czym dokładnie są?
Według Ministerstwa Cyfryzacji (2020) kompetencje cyfrowe to „harmonijna kompozycja wiedzy, umiejętności i postaw umożliwiających życie, uczenie się i pracę w społeczeństwie cyfrowym, tj. społeczeństwie wykorzystującym w życiu codziennym i pracy technologie cyfrowe”.
Na kompetencje cyfrowe składają się:
- kompetencje informatyczne – m.in. umiejętność posługiwania się komputerem i innymi urządzeniami elektronicznymi, bezpieczne korzystanie z internetu, aplikacji i oprogramowania, znajomość nowych inteligentnych technologii cyfrowych;
- kompetencje informacyjno-komunikacyjne – umiejętność wyszukiwania, rozumienia, selekcji i krytycznej oceny informacji, umiejętność komunikowania się na odległość za pomocą technologii cyfrowych;
- kompetencje funkcjonalne – realne wykorzystanie ww. kompetencji w różnych sferach codziennego życia, takich jak finanse, praca i rozwój zawodowy, utrzymywanie relacji, zdrowie, hobby, itd., zgodnie z zasadami bezpiecznego korzystania z technologii cyfrowych (Ministerstwo Cyfryzacji, 2020).
Jak widać, kompetencje cyfrowe zakładają nie tylko naukę korzystania z urządzeń, ale też odpowiedzialne korzystanie z nowych technologii i bezpieczne poruszanie się w internecie. Dzięki rozwiniętym kompetencjom cyfrowym łatwiej nam funkcjonować we współczesnym świecie. Praca, nauka, utrzymywanie znajomości, sprawy urzędowe, zakupy, rozrywka – to tylko wybrane dziedziny, które w coraz szerszym zakresie przenoszą się do sieci.
Zwykliśmy (my, dorośli) mawiać, że najmłodsze pokolenia, jako że nie znają już życia bez internetu, poruszają się w sieci instynktownie i mają niejako wpojone kompetencje cyfrowe. Ale czy na pewno? Raport z najnowszej edycji badania „Nastolatki 3.0” prowadzonego przez NASK wskazuje niepokojące dane dotyczące (nie)bezpiecznego korzystania z internetu przez młodych. Trudno im ocenić, czy treści, jakie napotykają online, są bezpieczne i prawdziwe. Tylko połowa badanych interesuje się wiarygodnością profili, które obserwuje, a co szósty nastolatek nie jest w stanie określić, czy oglądane przez niego materiały są wulgarne lub nacechowane przemocą. Agresja słowna w sieci jest dla nastolatków codziennością – niemal 40% z nich było świadkami wyzywania znajomych w internecie (Lange, 2023).
Warto zwrócić uwagę także na inne badania, które dotyczą funkcjonowania nastolatków w sieci – ySKILLS (Pyżalski, Walter, Iwanicka, Bartkowiak, 2022). Znajdziemy tam m.in. dane na temat umiejętności cyfrowych polskich nastolatków w czterech wymiarach (umiejętności technologiczne i operacyjne, w zakresie poszukiwania informacji i nawigacji, komunikacji i interakcji, tworzenia i produkcji treści). Okazuje się, że umiejętności komunikacyjne i interakcyjne są u młodych respondentów na zdecydowanie wyższym poziomie niż umiejętności w zakresie tworzenia treści oraz wyszukiwania informacji. Jaki z tego wniosek? Nie możemy sądzić, że młodym internautom nie są potrzebne lekcje dotyczące mądrego korzystania z internetu i omawiające zagrożenia obecne w wirtualnej przestrzeni.
Chcecie sprawdzić, na jakim poziomie są Wasze kompetencje cyfrowe? Wypełnijcie test dostępny na stronie europa.eu/europass/pl. Wyniki mogą Was zaskoczyć!
Źródła:
„Kompetencje cyfrowe”, (2020), artykuł w serwisie Ministerstwa Cyfryzacji gov.pl/web/cyfryzacja [online, dostęp dn. 13.03.2024].
Lange R. (red.), (2023), „Nastolatki 3.0. Raport z ogólnopolskiego badania nauczycieli i rodziców”, Warszawa: Państwowy Instytut Badawczy NASK [online, dostęp dn. 13.03.2024].
Pyżalski J., Walter N., Iwanicka A., Bartkowiak K., (2023), „Wyniki badań ySKILLS. Druga fala (2022) Polska”, KU Leuven, Leuven: ySKILLS [online, dostęp dn. 13.03.2024].
Szyfrowanie end-to-end
Cyberprzestępcy nie śpią, dlatego my także musimy trzymać rękę na pulsie i coraz lepiej zabezpieczać nasze konta i cenne informacje. Ważną bronią może się okazać oprogramowanie szyfrujące, które uniemożliwia osobom niepowołanym dostęp do prywatnych plików lub danych.
O szyfrowaniu powinniśmy pamiętać nie tylko przechowując poufne dokumenty, ale też wysyłając je za pośrednictwem poczty elektronicznej. To samo dotyczy szyfrowania end-to-end (ang. End-to-End-Encryption, E2E) stosowanego obecnie w różnych aplikacjach, m.in. komunikatorach internetowych.
Na czym polega szyfrowanie „od końca do końca”? Dzięki niemu do wymienianych wiadomości mają dostęp wyłącznie prawdziwi nadawca i odbiorca, a nie osoby trzecie, np. dostawcy platformy, usług telekomunikacyjnych czy internetu. To nie wszystko – szyfrowanie end-to-end nie tylko zapobiega odczytywaniu przesyłanych danych, ale też ich potajemnej modyfikacji. Najprościej rzecz ujmując, gdy korzystacie z takiego zabezpieczenia, nie pozwalacie nikomu niepowołanemu na odszyfrowanie wymienianych wiadomości lub kluczy kryptograficznych potrzebnych do ich odszyfrowania.
Warto wiedzieć, że w wielu systemach przesyłania wiadomości, w tym w poczcie elektronicznej i wielu komunikatorach internetowych, wiadomości przechodzą przez pośredników i są przez nich przechowywane, a zatem dostępne np. dla usługodawcy. Choć takie rozwiązanie ma pewne zalety, przykładowo pozwala przeszukiwać archiwum konwersacji po konkretnych słowach, wiąże się jednak z zagrożeniami dla prywatności i poufności danych.
Czy zatem przesyłanie prywatnych zdjęć albo innych wrażliwych informacji jest w ogóle bezpieczne? Kiedy chcecie komunikować się z innymi w internecie, musicie zwracać uwagę na to, jakie opcje zabezpieczeń oferują aplikacje i programy, z których korzystacie. Wiele z nich, np. popularne komunikatory, umożliwia włączenie szyfrowania end-to-end lub domyślnie je stosuje. Sprawdźcie koniecznie (w ustawieniach aplikacji), czy bezpiecznie przesyłacie swoje wiadomości!
Uważajcie też na kopie zapasowe swoich czatów, które nierzadko są naszym swoistym pamiętnikiem – z przyjaciółmi i rodziną wymieniamy się przecież zdjęciami, filmikami i innymi treściami. Gdy robicie backup, np. by móc przenieść zapisane rozmowy na nowe urządzenie, pamiętajcie, by zaszyfrować również te kopie. Bez tego będą one widoczne w usługach chmurowych.
Wasze aplikacje mają możliwość ustawienia „znikających wiadomości” po określonym czasie po odczytaniu ich przez odbiorcę? Włączcie je! To dodatkowe zabezpieczenie Waszych internetowych rozmów.
Więcej informacji o tym, jak chronić swoje dane w internecie, znajdziecie w naszych aktualnościach: „Bezpieczni w sieci z OSE: szyfrowanie end-to-end”, „Bezpieczni w sieci z OSE: komunikatory internetowe”, „Bezpieczni w sieci z OSE: poczta e-mail”, „Bezpieczni w sieci z OSE: ochrona danych osobowych”, „Bezpieczni w sieci z OSE: bezpieczne logowanie” i „Bezpieczni w sieci z OSE: przechowywanie danych w chmurze”.
Uwierzytelnianie wieloskładnikowe
Przezorny zawsze ubezpieczony – zapewne znacie to powiedzenie, ale czy zastanawialiście się, czy w kontekście bezpieczeństwa w sieci istnieją jakieś granice ochrony? Wielokrotnie zachęcaliśmy Was do włączania uwierzytelniania dwuskładnikowego (2FA), czyli takiej metody potwierdzenia swojej tożsamości podczas logowania, która wymaga podania dwóch informacji, np. hasła i kodu generowanego w aplikacji. A co powiecie na uwierzytelnianie wieloskładnikowe (ang. Multi-Factor Authentication, MFA)?
W takim przypadku nie wystarczą dwa elementy potwierdzające tożsamość użytkownika – będzie trzeba ich podać np. trzy. Dodatkowe składniki mogą być te same, co w uwierzytelnianiu dwuskładnikowym, czyli:
- „coś, co znasz”: np. hasło, kod PIN lub odpowiedź na ustawione wcześniej pytanie zabezpieczające;
- „coś, co masz”: np. klucz U2F lub kod z aplikacji uwierzytelniającej na smartfonie użytkownika – hasło jednorazowe (OTP) lub hasło jednorazowe ograniczone czasowo (TOTP);
- „coś, czym jesteś” – informacje biometryczne: np. odcisk palca, rozpoznawanie twarzy lub skan tęczówki;
- „miejsce, gdzie jesteś”: np. otrzymujecie dostęp do określonych treści tylko wtedy, gdy jesteście podłączeni do firmowej sieci.
Co istotne, MFA wymaga od użytkowników podania co najmniej dwóch składników z dwóch różnych kategorii (np. „coś, co znasz” i „coś, czym jesteś”). Jak wygląda taki proces logowania? W pierwszym kroku podajecie login i hasło, w drugim – np. jednorazowy kod z aplikacji, a w trzecim – np. odcisk palca. Taka metoda uwierzytelniania jest bezpieczniejsza od 2FA: to praktycznie niemożliwe, że oszust, który wejdzie w posiadanie Waszych danych dostępowych, uzyska dostęp także do dwóch dodatkowych składników zabezpieczających.
Uwierzytelnianie wieloskładnikowe może uwzględniać różne typy czynników umożliwiających identyfikację, np. lokalizację, ocenę ryzyka czy czas logowania. Mówimy wówczas o adaptacyjnym MFA. Ta metoda polega na analizie zachowań kontekstowych w celu przewidzenia poziomu ryzyka nieuprawnionego dostępu.
W przypadku gdy adaptacyjne MFA wykryje nietypowe zachowania, takie jak próba logowania z nieznanego urządzenia lub z nierozpoznanej lokalizacji, zażąda od użytkownika dowodów na potwierdzenie jego tożsamości (np. umożliwi logowanie dopiero po kliknięciu potwierdzenia na innym urządzeniu). Wykorzystanie wzorców zachowań, do których „przyzwyczajone” jest Wasze urządzenie, pozwala jeszcze lepiej dbać o Wasze bezpieczeństwo. Warto zauważyć, że o wprowadzenie tej dodatkowej warstwy bezpieczeństwa zostaniecie poproszeni tylko wtedy, gdy zostanie wykryta podejrzana aktywność – co znaczy, że proces logowania nie będzie za każdym razem ciągnął się w nieskończoność.
Więcej o 2FA i dodatkowych składnikach uwierzytelniania dowiecie się z naszych aktualności: „Bezpieczni w sieci z OSE: silne hasła i uwierzytelnianie dwuskładnikowe” i „Bezpieczni w sieci z OSE: uwierzytelnianie dwuskładnikowe”. Zajrzyjcie też do poradnika „Kompleksowo o hasłach” na stronie cert.pl – pamiętajcie, że hasła również są bardzo istotnym zabezpieczeniem!
Wyciek danych
Ostatnio coraz częściej słyszymy o tym, że w wyniku ataku lub ludzkiego błędu doszło do wycieku bazy danych osobowych klientów niektórych firm. Być może Wasze dane również zostały upublicznione. To poważny problem, bo poufne informacje na nasz temat są niezwykle cenną walutą w internecie.
O jakich danych mówimy? To dane osobowe (imiona, nazwiska, numery PESEL, adresy, dane logowania i inne informacje, dzięki którym bez problemu można nas zweryfikować), dane finansowe (numery kart kredytowych i numery CVV, numery kont itp.) oraz zdrowotne (recepty, wyniki badań, historia leczenia). Można tu wymienić także dane biometryczne, ale też np. tajemnice handlowe czy znaki towarowe.
Upublicznienie tych informacji – które są dostępne w różnego rodzaju bazach i serwisach internetowych – to właśnie wyciek danych. Wiąże się on z dużym ryzykiem, że osoby nieuprawnione mogą wejść w posiadanie poufnych informacji i wykorzystać je w niepożądany sposób. Wycieki dotyczą najczęściej loginów, haseł lub innych danych osobowych. Mogą być celowe (zaplanowane jako atak cyberprzestępców) lub przypadkowe (powstałe w wyniku ludzkiego błędu). Oszuści polują na podatności, czyli luki w zabezpieczeniach, i w ten sposób uzyskują dostęp do informacji na nasz temat.
Jakie są przyczyny wycieków danych? Według „Raportu rocznego z działalności CERT Polska 2022” należą do nich:
- niezamierzone działanie osoby przetwarzającej dane (np. niewłaściwe korzystanie z funkcji „do wiadomości” zamiast „ukryte do wiadomości” przy wysyłce maila);
- błędy w konfiguracji wycieków (np. upublicznienie danych osobowych części studentów Szkoły Głównej Handlowej w Warszawie spowodowane błędnym zabezpieczeniem interfejsu);
- łańcuch wycieków (np. w sytuacji, gdy przestępcy raz zdobyte dane logowania wykorzystują metodą prób i błędów w różnych serwisach – tzw. ataki typu credential stuffing);
- działania cyberprzestępców (np. rozbudowywanie szkodliwego oprogramowania typu ransomware o funkcje pozwalające na kradzież danych z zainfekowanych maszyn).
Gdy zorientujecie się, że Wasze dane zostały upublicznione, przede wszystkim użyjcie programu antywirusowego, żeby sprawdzić bezpieczeństwo swojego komputera. Następnie bezzwłocznie zmieńcie dotychczasowe hasła do logowania, w tym również hasła pokrewne, które łatwo zgadnąć. Pamiętajcie o unikalnych hasłach w każdym serwisie! Ponadto – tam, gdzie to możliwe – ustawcie też uwierzytelnianie dwuskładnikowe lub wieloskładnikowe, czyli dodatkowe zabezpieczenie, którym będzie np. jednorazowy kod z aplikacji, odcisk palca lub klucz U2F. W zależności od zakresu danych, które wyciekły, konieczne może być np. zastrzeżenie numeru PESEL, co pomoże powstrzymać oszustów np. przed zaciągnięciem pożyczki na Wasze nazwisko.
Aby chronić się przed wyciekiem danych, musicie pamiętać o stosowaniu silnych haseł i innych skutecznych zabezpieczeń, separacji tożsamości i ograniczaniu liczby informacji na swój temat, jakie podajecie w sieci. Ponadto raz na jakiś czas sprawdzajcie, czy Wasze dane nie wyciekły, logując się na stronie bezpiecznedane.gov.pl. Śledźcie komunikaty administratorów danych, którzy mają obowiązek informować klientów o wycieku. Zaglądajcie też na Facebooka CERT Polska, gdzie zawsze znajdziecie aktualne informacje o cyberzagrożeniach.
O przyczynach wycieków i metodach ochrony danych osobowych przeczytacie w naszych aktualnościach: „Bezpieczni w sieci z OSE: wyciek danych” i „Bezpieczni w sieci z OSE: ochrona danych osobowych”.
Źródło:
CERT Polska, (2023), „Raport roczny z działalności CERT Polska 2022. Krajobraz bezpieczeństwa polskiego internetu”, Warszawa: Państwowy Instytut Badawczy NASK [online, dostęp dn. 14.03.2024].