Комментарии 48
Как не стать жертвой киберпреступников
Если переписка важна, то надо просто пользоваться электронной подписью, чтобы обеспечить целостность и аутентификацию переписки, и шифрованием контента переписки. И пусть кто-нибудь посторонний попробует прочитает вашу переписку. Всего-то требуется наличие личных сертификатов у участников переписки.
НЛО прилетело и опубликовало эту надпись здесь
Интересно, как он вставится, если он хранится на токене с неизвлекаемыми закрытыми ключами? А?
требуется наличие личных сертификатов
Или доступ к компьютеру жертвы, который можно получить через программы доступа к удаленному столу. Бонусом, если в ЭЦП будут с лишком (как это часто бывает) загружены права, можно ещё знатно испортить жизнь.
Так что это усложняет процесс, но не панацея.
А почему смс? Разве не лучше authy / google authentificator?
целевая страница, которая выглядит как страница входа в аккаунт Google
я правильно понимаю, что те, кто пользуется встроенным в браузер менеджером паролей (а сами свой пароль не помнят), не смогут ввести пароль?
НЛО прилетело и опубликовало эту надпись здесь
Вот поэтому используйте личные сертификаты для шифрования.
Есть еще услуги по получению архива всех писем почтового аккаунта. Интересно как злоумышленники его получают?
Когда-то я искал «взломщика почты». Думал, что мне это надо. Обратился к нескольким «конторам» и к нескольким «частникам». Все предлагали в качестве доказательства скриншот страницы почтовика. На проверку «я высылаю с неизвестного вам ящика письмо с кодом, вы называете мне этот код» почему-то никто не соглашался.
Что-то мне эти исследователи кажутся излишне самоуверенными. Они даже не рассмотрели вариант, что кто-то из тех, кто «не стал ничего предпринимать», ознакомившись с подставленной «личностью», распознал ловушку. Или что кто-то в гугле, «согласившемся сотрудничать», продал информацию об эксперименте знакомым хакерам, а то и сам был адресатом предложения. Тогда логично, что они получили самые простые варианты атак от самых беспонтовых хакеров.
Человеку, способному взломать почту гугла чисто техническими средствами, нет необходимости заниматься этим за какие-то пару сотен долларов. Такую дыру можно продать за хорошие деньги, при этом никак не нарушая закон и ничем не рискуя. Например, самому гуглу. Или, если гугл встанет в позу — какому-нибудь конкуренту гугла для черного пиара.
А если какой-то одинокий гений умеет ломать вообще всё что видит, хоть почтовые сервера, хоть фейсбук, хоть инстаграм, за право его забрать в свой отдел безопасности будут драться все, от FAANG до банков.
А если какой-то одинокий гений умеет ломать вообще всё что видит, хоть почтовые сервера, хоть фейсбук, хоть инстаграм, за право его забрать в свой отдел безопасности будут драться все, от FAANG до банков.
А если какой-то одинокий гений умеет ломать вообще всё что видит, хоть почтовые сервера, хоть фейсбук, хоть инстаграм, за право его забрать в свой отдел безопасности будут драться все, от FAANG до банков.
Или всякие трехбуквенные дяди принимают его и говорят «или в камеру к петухам на кукан — или сидишь в кабинете и работаешь на благо Родины за большое спасибо».
CIA и NSA?
Да хоть и ФБР — слышал историю как несколько лет назад какого-то кардера приняли в Стамбуле по заданию ФБР. Тот был гражданином какой-то типа культурной страны и стал гнуть пальцы и дерзить сердитым дядям, отказался разблокировать свое оборудование. Не вопрос, приняли его на территории Турции по формальной предъяве от турецкой полиции, повезли и показали как допрашивают тех же курдских бойцов в турецких тюрьмах. Как-то после показа кардер понял, что тут права человека так, подтереться и забыть, сник и убрал все блокировки. Так что считать с Вашей стороны, что американская гебуха чем-то лучше русской — мягко говоря, наивно. Аутсорсинг тюремных услуг никто не отменял.
земеля, походу тебе пора заканчивать с гей-порно, вона как фантазия разыгралась…
Человек способный сделать тул для взлома почты может продать этот тул другому человеку, способному анонимно его использовать и зарабатывать на ищущих по чуть-чуть, но много-много раз.
В начале поста есть ссылка на статью по взлому амазона и эплов, но как то не понял как угоняют gmail без 2FA. Если там привязан телефон им нужно перехватить СМС во время процедуры восстановления.
Т.е. если не вестись на фишинговые ссылки, или всегда вводить неверный пароль при первой попытке входа — дальше и пытаться не будут?
еще вариант-предложить взломать почту, а затем шантажировать передачей информации об этом тому, чью почту хотели взломать.
Смысл? Неужели заказчик будет писать со служебного аккаунта аля «v.pupkin@gremlin.ru»?
А на письмо:
«Здравствуйте, я хакер которому И.Кузнецов (или D.Smith, для англоязычных пользователей) заказал взлом Вашей почты...»
я, например, отреагирую нажатием кнопки «в спам» (даже если знаю Ваню Кузнецова), т.к. регулярно и без того приходит спам от всяких Вер, Надежд и Любовей с предложением куда-то перейти или что-то скачать.
А на письмо:
«Здравствуйте, я хакер которому И.Кузнецов (или D.Smith, для англоязычных пользователей) заказал взлом Вашей почты...»
я, например, отреагирую нажатием кнопки «в спам» (даже если знаю Ваню Кузнецова), т.к. регулярно и без того приходит спам от всяких Вер, Надежд и Любовей с предложением куда-то перейти или что-то скачать.
В общем, если пользователь не лох, то почти невозможно взломать его почту. Альтернатива перехвата SMS это завести новый номер, который не будет нигде светится и к нему привязать все ценные сервисы которые требуют 2SA.
А как предполагается обходить привязку к IP? Гугл же вроде бы ругается с нового IP вход и вроде бы даже смс просит отправить
Могу рассказать, как недавно большое число более или менее крупных русскоязычных блоггеров взломали. Им высылали на почту программу, которую нужно прорекламировать. Они качали эту программу себе на компьютер, далее эта программа отключала двухфакторную аутентификацию. Google отправляли письмо про отключение аутенфикации на почту, но если данное письмо быстро удалить, то почему-то даже push уведомление на телефон не приходит. Далее быстро меняется пароль и происходит привязка на новый номер телефона (Google с доверенного ПК позволяет это сделать без отправки СМС на старый номер телефона), при этом не приходит даже уведомления (письмо быстро удаляется, google почему-то тогда опять ничего не высылает). В итоге человек лишается почты и своего youtube канала и ему приходится около недели через google поддержку ждать восстановления своего канала. Если канал был маленьким (намного меньше 100k подписчиков) и не был подключён к партнёрской сети, то бывает ждать приходится около месяца (один ждал 3 месяца), так как google поддержка отвратительно работает.
Любой почтовый ящик можно взломать, если жертва проявит неосторожность и перейдет по фишинговой ссылке.
Достаточно ли простого перехода по ссылке?..
Перейдет по фишинговой ссылке, введет свои логин, пароль, код из смс и продолжит бездействовать.
Насколько я понимаю, после фишинговой «смены пароля», т.е. прохождения фишинговых форм — любой адекватный человек попытается зайти в аккаунт с новыми учетными данными и не сможет. И сразу же, в ту же минуту забьет тревогу.
Насколько я понимаю, после фишинговой «смены пароля», т.е. прохождения фишинговых форм — любой адекватный человек попытается зайти в аккаунт с новыми учетными данными и не сможет. И сразу же, в ту же минуту забьет тревогу.
bash.im/quote/406043
Заголовок спойлера
Коннект: Слушай, мож мы родственники?
ALEXA: думаешь???
Коннект: Ну, может дальние. Какая девичья фамилия была у твоей матери?
ALEXA: *енко
Коннект: О, у тебя 8 новых писем )
ALEXA: в смысле???
ALEXA: думаешь???
Коннект: Ну, может дальние. Какая девичья фамилия была у твоей матери?
ALEXA: *енко
Коннект: О, у тебя 8 новых писем )
ALEXA: в смысле???
НЛО прилетело и опубликовало эту надпись здесь
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Сколько стоит взломать почту: небольшой анализ рынка хакеров по найму