Как стать автором
Обновить

Комментарии 88

НЛО прилетело и опубликовало эту надпись здесь

Чтобы затруднить общение в конкретной группе. Отток пользователей из группы ускорился.
Это или провокация, или кому-то очень не нравится деятельность группы.

у нас в городе (Тверь) года полтора назад осуществлялись подобные атаки. В течении недели несколько раз на номер приходило куча смс абсолютно того же содержания, что и в посте. Очень много пострадавших, телеги ни у кого не было, откуда концы тянутся, не понятно

Уходите в васап. В чём собственно проблема? Телега дырявая "by default"

  1. В Вацапе нельзя спрятать № телефона - там ещё проще организовать SMS-бомбинг!

  2. Нет публичных групп и новостных каналов

  3. Неудобные стримы (войс-чаты)

  4. Нет возможности подгрузить историю для новоприбивших

  5. Не у всех есть вацап

  6. Нет кучи других фишек

Так что плачем, колемся, но продолжаем есть кактусы.

Например, при чате есть новостной канал. Некоторые новости там имеют охват на десятки тысяч человек - в вацапе нет такой возможности.
Да и нельзя просто взять и всех юзеров перетащить в другой мессенджер.

Веб же. Обычный форум. Что ещё надо?

Телеграм вы переросли, когда вас стало человек 30.

Кстати, да: чего не хватает во всех мессенджерах, так это возможности долго вести связную дискуссию на какую-то тему, потому что исходное сообщение уплывает в закат ещё до вечера.

Поэтому для связной дискуссии у нас есть Хабр :)

Тем не менее, постоянно слышу, о том что телегу в очередной раз хакнули и миллионы юзеров утекли в сеть. Про васап это в разы реже, да и я не припомню, чтобы его хакали. В васапе поля, которые парсятся на изи в телеге, гораздо труднее спарсить.

Ну так вы почитай про взломы фейсбука с утечками данных. Это еще не говоря про отсутствие шифрования первые несколько лет существования вацапа. Если считать телегу дырявой, то ватсап на его фоне близился к хулахупу. Его ближайший противник Вибер имел меньше проблем, но все еще меньше чем телеграм. А можно еще про сливы данных правительствам китая, россии и прочим желающим вспомнить.

НЛО прилетело и опубликовало эту надпись здесь

Парадокс, но если бы эта статья была написа про группу Whatsapp, (только без той части с "пробивом", он там из коробки сами ватсаппом предоставляется) - был бы комментарий "Уходите в телегу. В чём собственно проблема? Ватсап не секурный "by default" и "by design"".

И вот он был бы прав тысячу раз.

Так вы можете оказывать услуги по «выявлению уязвимостей», у вас даже подтверждение их эксплуатации есть, можете зарабатывать на уведомлении проблемных организаций

Спасибо! Мне нравится этим заниматься, но скорее как хобби. Посмотрите мои старые посты, это уже не первая такая уязвимость.
Основная работа моей фирмы - делать сайты, рекламировать их.

А при чём тут Telegram? Это старый и хорошо известный способ заспамить недруга смс-ками. Откуда брать номер недруга - не принципиально. Таким же образом можно атаковать пользователя ВК, Авито и даже Хабра (ничто не мешает человеку указать свой номер телефона в описании профиля). Да и человека, не сидящего в интернете, можно. Всё что нужно - любым способом пробить его по всем возможным базам и добыть номер телефона.

На одного пользователя атака длиться примерно час.

Всего? Это не атака, это лёгкая шалость.

В данном случае атака идёт именно на чат в Telegram, это влияет на способы защиты.

Тогда вместо "используйте другой номер телефона для чатов" стоило добавить "используйте уникальный ник в чатах". Потому что, если у вас в чате такой же ник, как в других местах интернета, то по нему нетрудно найти ФИО, ещё какие-то данные, которые затем пробить по базам, где с высокой вероятностью засветился ваш основной номер телефона, на который вы и словите атаку.

Согласен. При этом прятать номер телефона не основной способ защиты, как мне кажется. Нужно нейтрализовывать саму атаку. В чате могут быть десятки тысяч человек. Прятать телефон каждому - затруднительно, усложнит коммуникацию и взаимодействие.

"...или как на меня напали хакеры школьник с интерпретатором python". Ни в коем случае не умоляю "заслуг" программиста написавшего этот скрипт, но мне кажется что "хакеры" все таки иначе действуют.

Поставить на беззвучный режим и забить на телефон на несколько часов.

У атакующих есть даровое время в жизни. У компаний без капчи - денег вагон. А вам надо просто забить на телефон и отдохнуть час другой.

Это защитит отдельного человека, но не группу.

Как вы себе представляете забивание на телефон на несколько часов в рабочее время?

Ну даже не знаю, может начать работать?

У меня работа с телефоном связана, я лично не программирую уже.
Только ТССС, не говорите смс-бомберам этим, а то воспрянут духом.

Они там отправляют на один номер только одно SMS через один сервис, и используют один IP только одни раз. Так что вот эти предложения автора "три SMS на номер", "три SMS с одного IP" полностью избыточные. И они используют резидентные прокси, так что пробить капчу для них скорее всего не проблема, капча дешевле чем резидентные прокси. Во всяком случае мы капчу даже и не пробовали.

"Они там отправляют на один номер только одно SMS через один сервис" -

шлют десятки в минуту с одного сервиса на один и тот же номер.

Что-то все в кучу: Telegram, бомбер, коронавирус а также проблемы с орфографией.

Уточнить хотел, пишите, про недавние посты от м.биолога, они заказными являлись?

Какой подтекст в статье: конкуренты вакцин атакуют друг друга или что?

Нет, посты, к сожалению, никто не оплачивал, пишутся на энтузиазме.
Подтекст статьи - открытые чаты Телеги в опасности, есть дешёвый механизм затруднения их работы.

Поясните, как куча CMC на телефонный номер затрудняет работу чата?

Бьёт по активному ядру чата, отвлекая его. Увеличивает отток пользователей.
Отвлекает от основной темы - в чате идёт обсуждение способов защиты от атаки вместо обсуждения прямой темы чата (вакцины "ЭпиВакКорона"). Снижает эффективность коммуникации между участниками.
Пугает новоприбывших. Даже опытным пользователям стрёмно, когда приходят SMS с паролям от банков. Особенно если у человека есть свои аккаунты в сервисах-донорах атаки.
Пугает тех, кто желает оставаться анонимным, а скрипт показывает человеку: "мы знаем ваш номер телефона".
То есть работа чата не блокируется, но затрудняется.

Да, просьба к автору статьи написать какое-нибудь "лирическое отступление" про это.

Когда только появился Спутник на клинических испытаниях, я в числе первых пошёл добровольцем-испытателем вакцины.
Там встретил таких же как я, идейных экспериментаторов. Потом через Интернет нашли ещё и ещё. Среди нас оказались учёные, врачи, специалисты по статистике и другие такие же добровольцы.

Мы самоорганизовались и стали изучать своими силами вакцины. Оказалось это особенно важно в условиях огромного потока дезинформации в Интернете и СМИ.
Так сложился у нас коллектив из волонтёров. Когда в стране началась гражданская вакцинация, информации о местах и условиях вакцинации было мало как и самой вакцины. Тогда мы сделали сеть чатов по разным городам и координировали там уже гражданскую вакцинацию.
Затем стали собирать информацию о побочных явлениях, уровне антител, о том кто как переносит коронавирус после прививки.
Потом появилось несколько вакцин. Сеть чатов росла и ширилась, рос коллектив администраторов.
Думаю это тема для отдельного поста - наша история, текущий статус и какие планы на будущее.

Сейчас верхушка нашего каталога чатов выглядит вот так:

​ [Обновлено: 30.07.2021]

СИСТЕМА ЧАТОВ ВАКЦИНАЦИИ от Covid-19 :: Проект V1V2

​ Вакцинация от Covid-19 (https://t.me/Sputnik_is_starting/35281) :: Основной чат ​ Народные отчеты о вакцинации (https://t.me/Sputnik_results/6162) :: Публикация отчетов - все вакцины ​ Телеграм-КИ (https://t.me/Delta_self_research/17870) :: Ищем защитный титр для Delta ​ ​ @Covid19VaccinesNews -- Новости вакцин (https://t.me/Covid19VaccinesNews)​ @Covid19VaccinesOpinions -- Обсуждение и сравнение вакцин (https://t.me/COVID19VaccinesOpinions) :: Полемика ​ @Children_vaccination -- Вакцинация детей (<18) (https://t.me/Children_vaccination/6)🩸 @Antibody_tests -- Анализы и антитела (https://t.me/Antibody_tests/3)​ @Sputnik_law -- Юридические вопросы (https://t.me/Sputnik_law/466) :: Сертификаты, обязательная вакцинация, медотводы ​ @SputnikV_or_not_to_be -- СОМнения - делать прививку или нет? (https://t.me/SputnikV_or_not_to_be) :: В других чатах тема офтопик ​ Facebook: Вакцины от ковида. Личный опыт

(https://www.facebook.com/groups/321956399071505)​ РОССИЯ: ​РЕГИОНАЛЬНЫЕ ЧАТЫ ВАКЦИНАЦИИ (https://t.me/Sputnik_is_starting/14836)​

​ V1V2 ​INTERNATIONAL VACCINATION CHAT SYSTEM (https://t.me/Sputnik_is_starting/14414)​ [Международная Система чатов вакцинации от Covid-19 :: Проект V1V2]

​ ТЕМАТИЧЕСКИЕ КАНАЛЫ: ​ @VaccinationCovid -- Единая Вакцина (https://t.me/VaccinationCovid). Новости вакцинации ​ @Covid19VaccinesNews -- Новости вакцин (https://t.me/Covid19VaccinesNews)​ @EpivakoroNews -- Новости ЭпиВакКорона (https://t.me/EpivakoroNews) :: Epivakorona.com ​ @Travasap -- Путешествия после пандемии (https://t.me/travasap) :: Новости путешествий +​Чат обсуждения (https://t.me/joinchat/Srgp66_UMGHYdfks)​ @Sputnik_hf -- V1V2 HUMOR.FILTERED (https://t.me/Sputnik_hf) :: Юмор о вакцинации и коронавирусе +​Предложить шутку

(https://t.me/Sputnik_hf_bot)​ ЧАТЫ ВАКЦИН: ​ @Sputnik_is_starting -- Вакцина Спутник V в России (https://t.me/Sputnik_is_starting/35281) (НИЦЭМ Гамалеи, Гам-КОВИД-Вак) ​ @Sputnik_Light -- Вакцина Спутник Лайт (https://t.me/Sputnik_Light/676) (НИЦЭМ Гамалеи) ​ @Sputnik_results -- Народные отчеты о вакцинации (https://t.me/Sputnik_results/6162) :: Публикация отчетов Спутник V & Лайт ​ @Sputnik_V -- Вакцина Cпутник V за рубежом (https://t.me/Sputnik_V/913) (НИЦЭМ Гамалеи, Гам-КОВИД-Вак) :: Международный чат (Russian, English) ​ Спутник V: в Беларуси (https://t.me/I_know_it_too) || в Казахстане (https://t.me/Kazsputnik_obsujdenie/21972) || в Узбекистане (https://t.me/Uzcovidvac)​ ​ @CoviVacChumakova -- Вакцина КовиВак (https://t.me/CoviVacChumakova/2329) (ФНЦИРИП Чумакова) ​ @CoviVac_results -- КовиВак - Народные отчеты (https://t.me/CoviVac_results/2807)​ @Epivakorona -- Вакцина ЭпиВакКорона (https://t.me/Epivakorona/32389) (ГНЦВБ "Вектор", Аврора-Ков) (автономный чат группы "Граис") ​ @EpivaReports -- ЭпиВакКорона - Отзывы (https://t.me/EpivaReports/3)​ @Ad5nCoV -- Вакцина Конвидеция (https://t.me/Ad5nCoV/2) (CanSino Biologics, Ad5-nCoV, PakVac) ​ ​ @AstraZenecaCovishield -- Вакцина Vaxzevria (https://t.me/AstraZenecaCovishield/714) (AstraZeneca, Covishield) ​ @JanssenVaccine -- Вакцина Janssen (https://t.me/JanssenVaccine/10) (Johnson & Johnson, Ad26.COV2.S) ​ @PfizerComirnaty -- Вакцина Comirnaty (https://t.me/PfizerComirnaty/2) (Pfizer-BioNTech, BNT162b2) ​ @ModernaVaccine -- Вакцина Spikevax (https://t.me/ModernaVaccine/81) (Moderna, mRNA-1273)

​ Народные отчеты о вакцинации (https://t.me/Sputnik_results/6162) :: Публикация отчетов - все вакцины (Russian, English) ​ Обсуждение и сравнение вакцин (https://t.me/COVID19VaccinesOpinions) :: Полемика (Russian) ​ Common Discussion of Covid-19 Vaccines (https://t.me/Vaccine_vs_Covid/337) (English, Spanish)

​ Клиническое исследование (автономные чаты КИ): ​ @GamCOVIDVac -- Добровольцы-испытатели (https://t.me/GamCOVIDVac/143108) вакцин от Covid-19 (в основном Спутник V) ​ @Covid_dobrovolec -- Результаты клинического исследования (https://t.me/Covid_dobrovolec/7368) :: Отчеты Добровольцев-испытателей

​ Система чатов вакцинации от Covid-19 является частью некоммерческого проекта V1V2. Проект создан независимой группой волонтеров, среди которых врачи, ученые и энтузиасты других специальностей, объединенные желанием приблизить победу над пандемией Covid-19. Задачи проекта V1V2: ​просветительская деятельность и популяризация научной информации о вакцинации; ​информационная поддержка в практических вопросах вакцинации; ​объединение людей, придерживающихся научного метода познания и аргументации, и желающих защитить себя и своих близких с помощью вакцинации.

​ @V1V2mailBot -- Контакты администрации (https://t.me/V1V2mailBot) проекта V1V2 (в личку или в чаты НЕ писать)

​ V1V2 Статистика (https://t.me/Sputnik_is_starting/26168)​ Новости Вестник V1V2 (https://t.me/Sputnik_is_starting/26130)​ Вся ​Система чатов вакцинации (https://t.me/Sputnik_is_starting/14260)​ от Covid-19 :: Проект V1V2 (Контакты (https://t.me/V1V2mailBot))

Cпасибо. И всё-таки, как-то это выглядит...подозрительно красиво.

Особенно на фоне того: сколько замешано политических сил с коврижками, неофициальной принудиловкой и розыгрышами квартир.

Неплохая, продолжающая, рекламная кампания околовакцинации (и сколько бабла затрачено на "энтузиазм" этой группы "энтузиастов" можно только гадать по масштам развертывания СМИ в Tg).

ps/ минусы на мнение не влияют.

Коврижки, принудиловка, розыгрыши - следствие того, что самостоятельно вакцинироваться народ не хочет (и абсолютно зря), а государству вы гораздо выгоднее живой и здоровый (вы ходите на работу, делаете покупки и активно участвуете в экономической жизни), чем больной (деньги на лечение по ОМС многократно превышают стоимость прививки) или мёртвый.

Возьмите, к примеру, Португалию - там уже вакцинировано 80% всего населения против 29% у нас - и это без коврижек и т.д. На прошлой неделе началась активная вакцинация детей 12+. Как только речь заходит о вакцинации детей у нас, сразу в комментариях в телеграмме поднимается такой крик, что диву даёшься.

В Португалии живет 10 млн человек, привито 80% (по вашим словам), заболевает сейчас в день 2000+ человек (по данным карты яндекса), то есть заболевает 0,02% в день.

В России живет 146 млн человек, привито 29% (по вашим словам), заболевает сейчас в день по 20000+ человек в день (по данным карты яндекса), то есть по 0,0137% в день.

Один я вижу, что прививка провоцирует заболевание ковидом?

НЛО прилетело и опубликовало эту надпись здесь

Угу, вы не заболеваемость, вы смертность сравните. Первая Россия, если что:

Количество смертей в день

А так у меня сейчас в группе недавно общавшихся непривитых друзей одинаковые симптомы у 9 человек. Официально подтвержден ковид у одного.

Оффтоп, но спрошу здесь, если не возражаете. Что вы думаете о ревакцинации? Я сейчас изучаю этот вопрос, но информация какая-то противоречивая в разных источниках.

Конкретно, вопрос в том, насколько часто лучше ревацинироваться, и чем?

Например, я вакцинировался Спутником в январе. Стоит ли мне уже сейчас ревакцинироваться, или лучше подождать? Ревакцинироваться полным двухкомпонентным Спутником, или же Спутник-Лайт? Или вообще стоит подождать, пока одобрят использование новой версия Спутника, заточенной под новые штаммы (вроде как, её уже сделали, но теперь нужно пройти все формальные процедуры одобрения к использованию)?
Спасибо!
НЛО прилетело и опубликовало эту надпись здесь
На работе пока вроде не требуют, но с учетом того, что работаю преподавателем в университете (в Москве) и, соответственно, контактирую с большим количеством людей, то опасаюсь, конечно.

На антитела надо сдать анализ, да. Но уровень антител же не дает всей картины, в любом случае? Всякий там Т-клеточный иммунитет и т.п.

Вопрос еще в том, не будет ли уменьшаться эффективность работы прививки, если слишком часто её делать…

>Новая было бы может и лучше, но когда она будет(

Ну, с учетом того, что сам Спутник в экстренном порядке довольно быстро разрешили, а новый вариант от него отличается только небольшими деталями воспроизводимого коронавирусного S-белка, то, может, и не так долго.
НЛО прилетело и опубликовало эту надпись здесь

Стоит. Лайта достаточно.

Ок, спасибо.

А еще вопрос: из информации, которую вы анализировали, что-нибудь понятно про вакцинацию и беременность? К примеру, если планировать беременность, то лучше ли подождать с этим какое-то время после (ре-)вакцинации у женщины, или это не должно быть важно? А то про это я тоже видел много противоречивых утверждений (какие-то специалисты пишут, что обязательно нужно ждать не менее, чем полгода; а какие-то пишут, что ждать не нужно).

В пандемию вакцинироваться необходимо немедленно. На беременность это не влияет никак.

Можно прививаться до беременности, во время, после, а также прямо в процессе зачатия (если ваша девушка - медсестра).

Данные собраны нашей командой https://t.me/vaccinationcovid/2543:

Вакцинация и беременность 25 июня 2021 Спутник V был одобрен для вакцинации беременных в России.

Репортаж России 1 про беременность после и во время вакцинации - с историями участниц этого чата и фб-группы "Вакцины от ковида. Личный опыт": https://youtu.be/_-Mkb6kE6KY

Спутником V были вакцинированы несколько десятков беременных женщин. В рамках клинических исследований зарегистрировано 21 случаев беременности. Нежелательных явлений не обнаружено. https://tass.ru/obschestvo/11429119

Ведущие общества гинекологов рекомендуют вакцинацию при беременности. C декабря по 8 мая в мире было вакцинировано 135 968 женщин (больше всего данных по мРНК вакцинам). Негативного влияние на протекание беременности, здоровье матери и ребенка не обнаружено. Антитела передаются от матери плоду, обеспечивая защиту ребенка от SARS-CoV-2 в первые недели и месяцы жизни.

https://www.cdc.gov/mmwr/volumes/70/wr/mm7024e2.htm

https://www.nejm.org/doi/full/10.1056/NEJMoa2104983

https://jamanetwork.com/journals/jama/fullarticle/2780202

https://www.ajog.org/article/S0002-9378(21)00187-3/fulltext

https://www.mdpi.com/2076-393X/9/6/675/htm

https://www.rcog.org.uk/en/guidelines-research-services/coronavirus-covid-19-pregnancy-and-womens-health/covid-19-vaccines-and-pregnancy/covid-19-vaccines-pregnancy-and-breastfeeding/

https://www.acog.org/covid-19/covid-19-vaccines-and-pregnancy-conversation-guide-for-clinicians

Глав. акушер-гинеколог России Лейла Адамян рекомендует вакцинироваться за 2-3 месяца перед планированием беременности https://www.youtube.com/watch?v=zDd3GAXw_pI

Беременность повышает риски тяжелого течения covid-2019. Госпитализации и смерти в 1,5-3 раза чаще. https://www.cdc.gov/mmwr/volumes/69/wr/mm6944e3.htm?s_cid=mm6944e3_w

Мурашко сказал о более частом заражении беременных, предположительно, из-за штамма дельта. В России сейчас 10 000 больных беременных женщин. https://russian.rt.com/russia/news/874548-murashko-beremennie-covid

https://tass.ru/obschestvo/9902183

Трагедий много https://www.cosmo.ru/stars/news/28-11-2020/mladenec-vyzhil-beremennaya-rossiyanka-ee-mama-i-papa-pogibli-ot-koronavirusa/

https://www.youtube.com/watch?v=DgPCHlLXWCk

https://v1.ru/text/gorod/2020/07/21/69378781/

https://www.cosmo.ru/koronavirus/news/16-04-2020/27-letnyaya-beremennaya-rossiyanka-umerla-ot-zarazheniya-koronavirusom/

https://tass.ru/obschestvo/8574439

В случае повышения температуры после вакцинации Американский колледж акушерства и гинекологии рекомендует сбивать ее парацетамолом https://www.rcog.org.uk/en/guidelines-research-services/coronavirus-covid-19-pregnancy-and-womens-health/covid-19-vaccines-and-pregnancy/covid-19-vaccines-pregnancy-and-breastfeeding/

Спасибо!

2. После трёх таких SMS увеличивать таймаут или заблокировать отправку на сутки

Вот порадуются клиенты банка.

Видимо, автор никогда не сталкивался с проблемами при подтверждении по SMS.

Сталкивался. Для подтверждения платёжных паролей используется иной SMS-идентификатор, чем на открытых сайтах. Плюс задержка на повторную отправку.
Эти банки бомберы и не используют для атаки.

Тоже мне проблема. Врага нужно бить его же оружием. Есть сервисы временной аренды номеров, обычно используются для регистрации… Берем пару пачек по тыще штук, скриптом загоняем в телеграмм в свою группу, лучше с рандомным таймаутом… если мало повторяем до нужного эффекта… да это мертвые души, но пока атакующие поймут что их самих троллят — пройдет время.

Если я правильно понял из статьи - там в течении некоторого времени собирается информация о тех кто пишет в чате, а потом спамят. Так что тут придется ещё и что то осмысленное за них писать, а это осложняет затею.

Это не усложнит никак жизнь злоумышленников. Но может обратит на себя внимание тех сервисов, с которых снимаются деньги за отправку этих SMS.

У нас нет ресурса такой работой заниматься :(

До тех пор, пока это не ударит кого-то по карману, никто не почешется. Поэтому ударьте хозяев этих сервисов по карману. Способ Вам предложили. Думаю, добровольцы найдутся (их точащих на спамеров зуб).

Может этот доброволец вы?

Э... А наиболее очевидное решение – не использовать телеграм и ему подобное для таких чатов? (ну, я предпочитаю не использовать его вообще, но это уже вкусовщина)?

А какая альтернатива? Это же публичный чат, а не внутрикомандная болталка.

Приходится работать с тем, чем пользуются люди.

Я выше писал: форум. В вебе.

Да, это требует больше вложений (в первую очередь квалифицированного труда), чем чат в телеграме – но их всё равно надо делать, чат вы давно переросли.

Не говоря уж о том, что телеграм есть не у всех.

Хотя, конечно, это не отменяет актуальности описанной вами проблемы (возможности заDDoSить телефонный номер). Просто это не должна быть ваша проблема.

А на каком движке?

Я, увы, не специалист, навскидку только phpbb помню. Надо гуглить, а лучше всё-таки найти специалиста, знающего подводные камни.

Я этот специалист. У движков высокая цена владения для поддержания их в рабочем состоянии, а мы пока на голом энтузиазме живём.

Найдите адвоката. Соберите тех своих пользователей, которые пострадали. Штук 50 минимум. И подавайте иски: на пятёрочку, нтв плюс, и кто там ещё. Только с опсосами не судитесь. Совершенно реально получить денег, чтобы и адвоката оплатить, и на рекламу канала останется.

Если не наказывать их рублём, то дальше будет только больше.

Мы группа волонтёров, нам не советы нужны, а действия. На всё рук не хватит.

Замечательных и не очень идей полным полно. Толку-то? Ресурсы нужны их реализовывать.
Не такой уж большой урон, чтобы кошмарить судами эти сайты. Надеюсь они сами поставят защиту от этой атаки.

Надеюсь они сами поставят защиту от этой атаки.

Зачем им это? У них расходы копеечные на эти СМСки. Пока народ не поставит их на тариф "Крысиный" - 10 000 рублей за каждую незваную СМСку - ничего не изменится. А судя по реакции народа - так и будет. Ну каждому своё.

Браво! Какая отличная реклама Спутника, Глаз бога, своего сайта, канала и всего остального! Как вовремя подсуетилась неизвестная группа лиц! ​ 

Плохая реклама, Сереж. На троечку. А если такие люди и уважаемый вами Кургинян по одну сторону баррикад, то и для ваших ценностей плохая. Все, что делает эта статья хорошего для вас - она подсвечивает вашу излишнюю озабоченность антиковидной темой.

У меня к вам просьба. Допустите сложность мира. Допустите, что существует биологическая сущность в виде нового вируса, новой болезни, усилий людей эту болезнь лечить или предотвратить. Допустите что существуют люди которые используют любой возникающий информационный повод повод чтобы использовать его в свою пользу, причем это и политики и независимые комментаторы, и врачи и разработчики вакцин и т.д. А так же допустите что большинство принимает чью то сторону и в рассмотрении ситуации как правило не достигает просветления Ходжи Насреддина говоря обеим сторонам "И ты прав".

PS

Статья то была про то, что нас можно заспамить за чужой счет.

За сим дискуссию закрываю и в комментах не появлюсь.

И я о том же, Саш. В 2k21 году ключевики в стиле "без регистрации, без смс, без побочек, отлично работает, говорят правду" - это уже такое. Странно, что вы, как человек немременно склонный к восприятию мира во всей его сложности и многообразии, не уловили такого примитивного сарказма.

Выглядит странным также и та примитивнейшая картина мира, которую вы описали. Как человек, умеющий в сложность, вы предлагаете мне совсем уж плоские допущения.

Ну а что касается того, о чем эта статья, то она не о том, что нас можно заспамить за чужой счет, а о том, что без регистрации, без смс, без побочек, отлично работает, говорят правду, нас можно заспамить.

Я уже чипованый и паршивочка, что через 21 день залита, некоторые мысли уже однозначно ориентирует. Так что не судите строго. «Иногда сигара — это просто сигара», но как отличить "иногда" от "обычно" Фрейд его знает.

Напоролись на такую проблему у себя - используем СМС авторизацию, в мобильных клиентах и разного рода телевизорах. Атакующие отправляют по 1 смс, с разных адресов и на разные номера. В результате бан лист разрастается, но проблема никуда не уходит. Быстро сменить адреса вызовов нельзя - отломаются клиенты (которых целый зоопарк), поэтому приходится все время подкручивать лимиты, и потихоньку переходить на новые апи, а старые банить.

Недавно здесь была статья почему добавить форму авторизации - это далеко не два часа работы. Вот мы имеем наглядный пример, что бывает когда добавляют авторизацию, но не просчитывают все варианты как эту форму можно использовать во вред.

Как-то раз столкнулся с подобной проблемой на стороне сервера для мобильного приложения с смс авторизацией, причем разработчики наотрез отказались внедрять капчу.

Запросы на отправку смс приходят как бы от приложения.

IP разные из множества подсетей, периодически меняются, работают с разными частотами, на бан никак не реагируют, смс шлют на разные номера и продолжают слать запросы на отправку непрерывно.

Нашел признак, вычислил всех, забанил, прошла неделя пул адресов обновился баланс смс аккаунта быстренько обнулился.

Жалобы на источники трафика не помогают.

После 3 месяцев балансирования между слишком жесткой политикой бана и слишком большими расходами на отправку смс. Нашлось экономическое решение проблемы. Достаточно старое, но не стандартное. Вместо бана HTTP код 302 на файл проверки скорости скачивания у какого-то провайдера. Судя по всему источник атаки давал возможность скрипту успешно завершиться и ждал не обрывая соединения достаточно долго. За это время ему успевало прислаться несколько гиг случайных данных. При достижении определенного трафика запросы для атакующего становятся ощутимо дорогими.

В течении недели все запросы прекратились.

НЛО прилетело и опубликовало эту надпись здесь

Это цена головотяпства разработчиков сайтов, на которых не стоит защита от такой эксплуатации сервиса

Значит эта цена устраивает владельцев сайта. Отсутствие лишних ограничений и капчи -- частое требование владельца, а не косяк разработчика. И вариантов нет: любое усложнение уменьшает конверсию

Как по мне, намного хуже сайты, которые регистрируют по номеру/емейлу без подтверждения. Иногда и без возможности отписаться

НЛО прилетело и опубликовало эту надпись здесь

Пробовали писать сервисам (с темой "с вашего сайта идет большое количество sms-спама")? Интересно, сколько из них адекватно отвечают и готовы что-то сделать (т.е. добавить таймауты, баны).

В процессе.

  1. Винлаб извинились, что у них такая дыра в безопасности и пообещали исправить

  2. Газпром вышел на связь, собирают инфу через смм-менеджера

  3. Одна фирма попала в мой список по ошибке (юрлицо имело просто похожее название, я уже поправил в статье)

МТС больше всех отмораживается :( очень тугие.

Им SMS-то явно дешевле обходятся)

Мда. Открыл Америку, а про айди мог и вовсе целую книгу написать, у нас же тут никто не знает, что такое ID.

зануда

Ждем посты от тех кто допустил дыры с итогами выявления тех кто делает подобные атаки

Винлаб проставился ящиком хорошей выпивки. Если и дальше так пойдёт, то коллектив волонтеров сопьётся.

Надеюсь, по аналогии, Газпром-банк и Промсвязь банк проставятся ящиком денег :)
Вчера от них смски ещё сыпались.

Сегодня с утра был осчастливлен шквалом смс и звонков от всех вышеперечисленных, в том числе и от винлаба с гпб и псб. Нажаловался в рандомном узком чатике - и тут же наткнулся на собратьев по «несчастью», один прям одновременно со мной получил волну, другой вчера, третий ещё раньше. В твоих чатах не состоят.

…пока писал, словил эту же атаку на телефон ребёнка, который вообще ни в каких сервисах не зарегистрирован, кроме ватсапа: симка была зарегана чисто на летний лагерь.

Может быть атакуют не нас, а указанные сайты-доноры? А телефоны берут откуда не попадя.

Возможно. Ещё интересно, что все вышеупомянутые телефоны (мой, знакомых, детский) - разных операторов и разных макрорегионов.

Не, ну юзеры конечно тоже должны сами свое privacy в настройках настроить и скрыть номер телефона. Другая проблема сделать так чтобы все юзеры чата это сделали. Но я не уверен, что такие атаки проблема чата, а не самих юзеров которые свои номера не скрывают. В любом случае в чате в закпрепе стоит написать чтобы в настройках убирали номер.

В автоприветствии комбота уже написали, а заодно убираем сообщение о вступлении в группу.
Пока человек не напишет - он невидим для атаки.

Можно ловить эвент на вход...

Вроде закончилась атака, затишье.

Зарегистрируйтесь на Хабре, чтобы оставить комментарий

Публикации

Истории