Безопасность для трейдера
Отвечаем честно на вопросы ниже:
- Ваш аккаунт ВК / Инстаграм взламывали за последний год? Два?
- Ваш компьютер стал сильно лагать? Кулера (охлаждение) работают на полную, а в диспетчере задач ЦП был на 100% нагружен?
- Ваши друзья жаловались, что от вашего имени приходили странные сообщения за последний год?
- Внезапно, вам приходила смска с кодом от сервиса, которым вы активно пользуетесь? (Telegram, VK, Instagram, Sber ID, Yandex)
- У вас стало много рекламы в виде баннеров на сайтах?
- Приходят уведомления из браузера с рекламой?
Пора разбираться!
Если вы ответили положительно хотя бы на 2 вопроса выше, то интернет грамотность у вас хромает.
Вы сами отдаете пароль мошеннику с помощью фишинг сайта
Фишинговые сайты - сайты-копии оригинальных сайтов используются для передачи логина и пароля мошеннику. Жертва не понимает, что этот сайт ненастоящий.
С помощью фишинговых сайтов, мошенники собирают пароли от социальных сетей и прочих сайтов, у которых нет 2-этапной защиты или она отключена.
Есть сайты, где можно купить аккаунты от соц сетей. Их используют для спама.
98% аккаунтов "взламывают" с помощью фишинга.
1% аккаунтов взламывают с помощью перебора паролей
1% аккаунтов взламывают с помощью общественных вай фай сетей
2. Скрытая установка программ на компьютер жертвы
Чаще всего, зараженный софт распространяется на крупных площадках для максимального заражения клиентов.
Зараженный софт - определенная программа, в которую встроили специальный код, который дает мошеннику или удаленный доступ к компьютеру жертвы (ботнет) или возможность установить СКРЫТО дополнительные программы (майнеры) для заработка на вычислительных ресурсах жертвы.
Ботнет
Программа позволяет мошеннику удаленно сделать любые действия с компьютером жертвы.
- Установка скрытых программ любого рода
- Удаленная загрузка страниц в браузере (регистрация аккаунтов через компьютер жертвы используя IP адрес жертвы)
- Удаленный просмотр и скачивание файлов (кошельки wallet.dat, документы, личные материалы, данные браузеров)
- Сканирование и распространение вредоносных программ на соседние устройства по вай фай или локальной сети
- Использование подключенной периферии для личных нужд (слежение за жертвой по веб камере)
Майнер
Программа, использующая вычислительные ресурсы компьютера для генерации хеша, за который выдается награда. (если вкратце и грубо)
Программа может использовать процессор компьютера или дискретную видеокарту.
На момент написания статьи, майнят на процессоре XMR, а на видеокартах ETH, RVN
Заражая 50-100 компьютеров майнерами, которые выполняют работу, а награду отправляя на кошелек мошенника, программы помогают заработать существенные деньги за счет ресурсов жертв.
3. Почему друзьям приходит спам от вашего имени?
Исходя из пункта 1 и 2, мошенник получил доступ к вашему аккаунту.
Вы можете сменить пароль и насторожиться. Если мошенник снова завладел аккаунтом, то вы снова попались на фишинг или мошенник установил кейлоггер на ваш компьютер.
Кейлоггер - программа, перехватывающая любое нажатие клавиш на клавиатуре, сохраняя набранный текст в базу данных для отправки мошеннику.
Чем чреват многократный взлом:
- В соц сетях принято правилами об увеличении времени заморозки страницы из-за многократной блокировки аккаунта за рассылку спама. Будет очень нелепо, если ваш знакомый попадется на спам. Ведь спам может распространять ту же фишинг ссылку на фейковый сайт.
Фейковый сайт может быть фишинговым (поддельная страница соц сети для ввода пароля) или фейковым сайтом обманкой (поддельная страница сайта с наградой аля "вы выиграли айфон, заплати за доставку - мы вышлем телефон")
- Психологически, вы будете нелепо выглядеть перед знакомыми, если вас постоянно взламывают для рассылки спама. Тем самым, вы теряете доверие перед друзьями. В критической ситуации, обратившись за помощью друзьям, вы можете получить отказ т.к. собеседник не поверит, что вы автор сообщения с просьбой. Можно оправдаться тем, что есть телефонный звонок, но связь берет не во всех уголках планеты.
- Психологически, вы будете ощущать вину, если мошенник от имени вашего аккаунта все же разведет вашего близкого человека на приличную сумму.
Ваш близкий человек может потерять деньги из-за вашей безграмотности. Он ли виноват? "надо было не вестись на такое" - скажете вы, но вы же сами повелись на уловки мошенника и дали ему доступ к своему аккаунту. Винить изначально надо себя.
4. Почему приходят смс о коде для подтвержедния попытки входа?
Исходя из пункта 1 и 2, можно предположить, что мошенник получил доступ к логину и паролю, пытаясь получить доступ к аккаунту. Это очевидно. Включив 2-этапное подтверждение входа в аккаунт, вы создали преграду между мошенником и вашим аккаунтом.
Казалось, что эта преграда остановила мошенника? Но мошенник знает ваш пароль. Хорошо ли это?
Я уверен, у вас один пароль на несколько сайтов.
Мошенники умеют перебирать логин/пароль к популярным сервисам для поиска успешной авторизации на сайте.
Успешный доступ к соц сетям.
Вы передавали свой паспорт или водительское удостоверение с кем-то в диалоге в ВК? Его легко найти с помощью скрипта.
Паспорт, водительское, свидетельство о рождении ребенка - данные, которые могут послужить мошеннику, как помощь для плохих дел:
- Легче убедить вашего родственника, что с вами что-то случилось и нужно перевести сумму денег для помощи.
- Легче убедить банковский сектор о том, что мошенник это вы.
- Данные можно использовать для КУС идентификации в определенных финансовых сервисах.
Успешный доступ к вашей почте.
У вас на почте есть квитанции об оплате с адресом проживания?
А есть квитанция о коммунальных услугах?
А есть данные выписки из гос услуг?
Может тот же паспорт был отправлен в банк для получения ипотеки?
Может мошенник сбросит пароль у определенного сервиса и получит ссылку для ввода нового пароля через взломанную почту?
5. Подозрительно новые баннеры на каждой странице сайта, где его не должно быть. (Вы сравнили открытый сайт на вашем браузере с браузером другого устройства)
Это говорит о том, что пора проверить установленные расширения в вашем браузере.
Меню браузера - дополнительно - расширения.
Проверьте, что там. Лишних расширений не должно быть.
Не устанавливайте подозрительные расширения по типу "скачать музыка вк".
Разработчики расширений обязаны получать выгоду.
Расширения могут получать доступ:
6. Уведомления в браузере с рекламой на компьютере.
Браузеры по умолчанию предлагают разрешить показ уведомлений от каждого посещенного сайта.
Я делаю акцент на этом, показывая, что вы невнимательный человек, если не заметили, как разрешили сайту показ уведомлений.
Сайты таких рекламных уведомлений естественного получают прибыль за 1000 показов рекламы на компьютерах невнимательных людей.
Но суть как раз в том, какие уведомления отображаются - держатели такого рода рассылок не модерируют рекламные баннеры.
Баннер может замаскироваться под фишинг кнопку авторизации или крайне красное уведомление - "ваш компьютер подвержен заражению вируса - нужно скачать вот такую программу для очистки от вирусов" .
Невнимательный человек нажмет на такую рекламу и скачает подозрительный софт. Про подозрительный софт я писал в пункте 2.
Что делать с паролями?
Придумывать уникальный пароль к каждому сайту.
В помощь вот такой сервис - https://passwordsgenerator.net/
Мой личный опыт: Использую встроенный менеджер паролей в google chrome
Менеджер паролей сам сгенерирует пароль из случайных символов и сохранит его в своей базе.
Менеджер паролей google работает облачно в браузере хром на ноутбуке / смартфоне / пк.
Чтобы увидеть сохраненный пароль, нужно ввести пароль от учетной записи windows или отпечаток пальца на смартфоне.
Менеджер паролей google проверяет пароли на утечку. Google придумали систему сравнения слитых паролей в базах данных, которые слили мошенники на своих форумах.
Важно! Текст выше - это мой метод хранения паролей! Я доверяю google больше, чем яндексу.
Если вы параноик, используйте программу KeePass
Программа локально хранит пароли в зашифрованной базе данных.
Программа с открытым исходным кодом.
Имеет сборку на android , windows , linux.
Включите 2-этапную авторизацию на важных сайтах!
Такой способ очень безопасен т.к. эти коды генерируются только у вас на смартфоне.
Мое мнение, что сим карту мошенник может заблокировать, а себе сделать дубликат. Поэтому, смс подтверждение на важных сервисах у меня выключено в пользую аппаратного ключа.
Аппаратный ключ доступа
Я использую аппаратный ключ для доступа к сервисам.
- Авторизация в почте (google)
- Авторизация на бирже (binance) и для вывода средств
- Авторизация на компьютере
- Генерация кодов 2факторки на основе уникального айди ключа
Рекомендую покупать 2. В виду моей паранойи, ощущаю, что будет плохо, если единственный ключ авторизации внезапно сломается / потеряется или сгорит.
Поэтому, я купил и авторизовал сразу 2.
Есть ли альтернатива аппаратному ключу? Да. Гугл смартфоны в бета версии могут выступать, как аппаратные ключи доступа к сервисам. Сейчас проходит тестирование такого функционала в google chrome
Идеальный вариант решения задачи по безопасному пребыванию в интернете
- Использовать отдельный ноутбук / ПК для работы с финансами.
- Использовать виртуальную машину (VmWare VirtualBox QEMU KVM)
Я лично использую отдельный ноутбук для трейдинга. И есть Ubuntu Server с QEMU KVM для быстрого изготовления виртуальной машины Windows для песочницы и тестирования неизвестных программ.
ОС не важна. Какая удобна - такую используйте!
Не скачивайте какие попало файлы на такой компьютер!
Не подключайте неизвестные носители к этому компьютеру!
Не переходите на подозрительные сайты!
VmWare VirtualBox QEMU KVM - системы виртуализации.
Вкратце: используя такую систему, сервер может создавать виртуальные операционные системы.
Чем мощнее сервер, тем больше виртуальных ОС может одновременно запускать.
Все способы защиты биржи
- Антифишинговый код - к каждому входящему письму к вам на почту добавляется секретное слово, которые вы укажете. Тем самым, увидев это секретное слово в письме, вы будете уверены, что это письмо от бинанс, а не от мошенника, который хочет, чтобы вы перешли по ссылке на фишинговый сайт (сайт, который похож на бинанс с целью кражи логина и пароля). Очень рекомендую включить.
- Google аутентификатор - программа генерации цифровых кодов. Ставится на смартфон. Очень рекомендую включить.
- Аутентификация по смс. Спорная вещь. У меня не включена. Если вы уверены, что вашу симку не сбросит мошенник, то можете включить.
Однако, я знаю, что люди ходят в офис и пишут заявление о том, что сбрасывать симку нельзя без личного физического присутствия владельца сим карты. Если вы писали такое заявление и у вас на смартфоне нет вирусов, перехватывающих смс, то включайте этот пункт.