Dispozitivele pe care le folosim in activitatile de peste zi, fie ca ne indeplinim task-urile de la serviciu sau fie ca ne relaxam dupa orele de munca, retin o multitudine de informatii despre noi. Si nu neaparat dispozitivele in sine, cat aplicatiile instalate pe acestea. Unele aplicatii sunt de tip enterprise si trebuie sa le permitem accesul la anumite informatii pentru a functiona in mod corespunzator, altele insa sunt instalate benevol de catre utilizator care poate sa nu fie foarte atent la ce permisiuni cere aplicatia in cauza sau ce informatii poate colecta despre el in timpul utilizarii aplicatiei si in ce scopuri poate fi folosita respectiva informatie. In unele cazuri suntem foarte tentati sa instalam un program sau o aplicatie pentru ca ofera functiile dorite si este si gratis, insa in aceste cazuri de fapt noi suntem “produsul”.
Care sunt informatiile colectate de dispozitivele noastre?
Parole de acces. Parolele sunt pastrate direct in aplicatie, in broswere sau in sistemul de operare. Parolele sunt memorate pentru a fi mai usor de completat (autofill) in procesul de autentificare.
Locatia curenta (ca si locatiile anteriore). Atunci cand folosim sistemul GPS/aplicatia de harti aceasta inregistreaza locatia curenta. Cand folosim camera web, iOS-ul sau Android-ul adauga metadate pozei cum ar fi un timestamp si unde anume a fost facuta poza. Noi putem folosi aceste informatii pentru a indexa si cauta albumele foto, dar ele pot fi folosite si pentru a ne profila. (Ce magazine am vizitat, la ce restaurante am mancat, poate chiar si unde locuim).
Carduri bancare. Aplicatiile de e-commerce ne cer sa salvam datele cardului pentru a face plata comenzilor mai simpla pentru noi sau pentru a ne returna banii mai repede in cazul unui retur de produse. Site-urile web pot memora datele de card pentru a face autofill in formularul de plasare a comenzii. Desi stocarea acestor informatii ne face viata mai usoara (nu prea ne este comod sa memoram atatea cifre de pe card/carduri), riscul la care ne expunem este major. In cazul unei brese de securitate nu ne ramane decat sa apelam la banca si sa blocam cardurile. Si aceasata este situatia fericita in care stim de bresa 🙂
Agenda de contacte. Numere de telefon si adrese de email. Ce poate face un hacker cu aceste informatii, de ce sunt de interes? Numerele de telefon pot fi folosite pentru SMiShing – atacatorii trimit mesaje SMS cu URL-uri prescurtate care duc catre site-uri care par legitime, dar care sunt sub controlul hackerilor unde user-ul isi introduce credentialele. Adresele de email ale contactelor pot fi folosite pentru a distribui malware tot prin URL-uri malitioase sau pot fi folosite in campanii de spamming.
Fisiere care contin informatii sensibile. Telefoanele si laptopurile noastre sunt medii de stocare pentru datele si fisierele noastre. Unele fisiere sunt obisnuite: rapoarte, prezentari, excel-uri, carti in format pdf, etc. Insa altele contin informatii pretioase: tranzactii bancare care contin numarul nostru de cont sau contracte care contin informatii despre clientii organizatiei. Aceste fisiere sunt pentru hackeri o sursa extrem de valoroasa de informatii care ii duce mai aproape de obiectivele lor.
Primul pas pentru a ne proteja consta in a cunoaste ce informatii sunt retinute de dispozitivele noastre. Apoi trebuie sa fim constienti de pericolele care exista atunci cand accesam online-ul. Aplicatiile pe care le regasim in magazinele corespunzatoare sau pe site-urile oficiale ale producatorilor sunt de regula verificate si scanate pentru a nu contine malware sau vulnerabilitati, insa nimeni nu poate asigura o protectie 100%. Unele aplicatii pot introduce malware pe dispozitiv si pot exfiltra informatii de pe acesta catre locatii controlate de hackeri, altele pot descarca malware de tipul crypto sau keyloggere. Trebuie sa exersam o buna igiena cibernetica si sa limitam informatiile pe care le oferim dispozitivelor noastre, trebuie sa incercam suprafata de atac prin care ne expunem amenintarilor din online. Tehnologia poate sa ne ajute pana intr-un anume punct, insa o buna parte din efort trebuie sa il depunem si noi pentru a ne pastra in siguranta datele si dispozitivele.
Mihai Dumitrascu, Sr Systems Engineer
