Продолжение ко вчерашнему материалу NYT о трекинге перемещения американцев с прекрасными иллюстрациями в самом начале
https://www.nytimes.com/interactive/2019/12/20/opinion/location-data-national-security.html

Интересная история у, опять же, NYT о приложении ToTok — популярном приложении-мессенджере для мобильных платформ, разработанном, судя по всему, по заданию разведки Объединенных Арабских Эмиратов. Обещания были красивые — безопасный мессенджер и видеозвонки, конечно же. И, по информации источников издания, все сообщения, вся информация о местоперемещении пользователей, все аудио-видео записи — всё это было доступно правительству ОАЭ для мониторинга и слежки. Удобно!
На момент публикации приложения уже были удалены из соответствующих магазинов App Store и Google Play. (Правда, в магазинах Samsung, Huawei, Xiaomi и Oppo оно было доступно.) Интересно, что VirusTotal считал приложение безопасным, значит, вся обработка данных, если таковая была, происходила на стороне бэкэнда.


https://www.nytimes.com/2019/12/22/us/politics/totok-app-uae.html

компания, разумеется, все отрицает, а приложения недоступны в магазинах, потому что "Технические сложности".
https://totok.ai/news

Забавно, что Твиттер маркирует ссылку на ТоТок как потенциально небезопасную

Преступление:
"группа хакеров" шантажирует Apple, угрожая удалить данные сотен миллионов пользователей
https://t.me/alexmakus/1036

Наказание:
два года в тюрьме, но с отсрочкой на 300 часов неоплачиваемой работы с условием соблюдения 6 месяцев электронного наблюдения (вот тут я не понял, то ли это означает браслет на ногу, то ли запрет на работу с компьютером).
https://www.nationalcrimeagency.gov.uk/news/hacker-tried-to-blackmail-apple-by-threatening-to-delete-319m-accounts

Возвращаюсь мыслями к скандалу о данных и слежке за пользователями, о которых писала New York Times на прошлой неделе. Пытаюсь понять, что организаторы платформ и/или мы как пользователи можем по этому поводу сделать. С одной стороны, Apple и Google и так задалбывают на своих устройствах всевозможными подтверждениями доступа к тем или иным данным. Но в итоге вся ответственность падает на пользователя, который разрешает или запрещает приложению доступ к данным. А когда разработчик получает разрешение от пользователя и начинает собирать данные, как могут создатели платформ контролировать, что разработчики делают с этими данными, и не продают ли они их на сторону.

С другой стороны, есть масса приложений, которым информация о местоположении действительно нужна. Приложение для показа погоды, например, или навигационное приложение, или приложение для спорта. Если с погодой еще можно ограничить информацию о местоположении городом, например, то с другими категориями уже сложнее. И как должен пользователь разбираться, что вот это бесплатное приложение действительно достойно получать геолокацию с телефона, а другое сливает его в базу разведки ОАЭ или чего-то такого?

Законодательное регулирование — это, конечно, вариант, но всякие GDPR, CCPA и прочее что-то пока привели только к увеличению дурацких писем и уведомлений, а так, чтобы почувствовать себя в информационной безопасности — такого нет. Так и живем.

Ну и про Эпол, раз пошла жара. Компания открыла свою bounty-программу для всех желающих, выплаты до 1млн долларов за сохраняющийся взлом ядра без интеракций со стороны пользователя. Какой-нибудь NSO Group за такую дыру заплатит раза в два раза больше.
https://developer.apple.com/security-bounty/payouts/

Планы здания британской разведки с размещением сигнализаций и другими средствами предотвращения проникновения пропали. Очевидно, что эти планы могут представлять большой интерес для злоумышленников и шпионов. Джеймс Бонд напрягся

https://www.thesun.co.uk/news/10623272/mi6-sack-builders-hq-blueprints-missing/

wtf, теперь фейсбук еще информацию о здоровье собрался коллекционировать? Они номера телефонов для 2ФА использовали для таргетирования рекламой, им еще про здоровье рассказывать?

Несколько апдейтов к концу года, которые накопились в закладках. Без особых комментариев, так как из отпуска их просто лениво писать

Разработчик «умных камер» Wyze оставил открытой базу данных клиентов компании, что позволило получить массу персональной информации об этих камерах, пользователях, и много другой персональной информации

https://blog.12security.com/wyze/

Компания подтвердила эту историю (правда, также пожаловались на то, что раскрытие информации обнаружившими её экспертами произошло через несколько минут после того, как они сообщили о ней компании)

https://forums.wyzecam.com/t/updated-12-29-19-data-leak-12-26-2019/79046

Компания Wawa - заправки и магазины на восточном побережье США, в основном в Пенсильвании и соседних Штатах — обнаружила вредоносное ПО на терминалах в магазинах и на заправочных колонках. Все 700 точек, с марта по декабрь, ПО собирало данные по банковским картам, включая номера, даты окончания действия карты, имена владельцев. Тот случай, когда новость из канала затрагивает меня лично — за этот период я неоднократно заправлялся на заправках этой компании (к счастью, в большинстве случаев используя Apple Pay, так что данные карты не должны были утечь)

https://www.wawa.com/alerts/data-security

Как китайские APT учатся обходить 2ФА

https://www.zdnet.com/article/chinese-hacker-group-caught-bypassing-2fa/

на этом редакция прощается с вами в этом году. Хорошо и безопасно вам встретить Новый год (например, не терять телефоны, включить биометрию, удаление данных после определенного количества попыток ввода пароля, и тд), ну и провести его тоже хорошо. Тематика этого канала такая, что я бы даже предпочёл, чтобы необходимости для новых постов было меньше, но реальность такова, что их станет, скорей всего больше. До новых постов!

С Новым годом, с новыми будущими утечками и информационными опасностями!

Уже даже в популярных массовых СМИ появляются статьи о том, что телевизоры собирают информацию о пользователях и просматриваемом контенте, и как это отключить. Может, пригодится. Я ещё и телевизор от вайфая отключил, потому что незачем это ему.

https://www.usatoday.com/story/tech/2020/01/02/amazon-fire-sony-vizio-smart-tvs-spying/2792152001/

https://www.androidpolice.com/2020/01/02/uh-oh-xiaomi-camera-feed-showing-random-homes-on-a-google-nest-hub-including-still-images-of-sleeping-people/

Лол. «Умные» гаджеты такие умные

Читатели передают с мест, что у сервиса Universarium утечка логинов и паролей

Привет. Будем потихоньку выходить из праздничной комы, тем более, что в мире инфосека жизнь не останавливась, а даже сильно бурлит. геополитика, к сожалению, стала неотделима от инфосека, и, в частности, в ближайшее время мы увидим много инфосек новостей, где будут фигурировать США и Иран. за последние пару дней уже появилось много апдейтов с дефейсами сайтов, но стоит ожидать и более серьезных экшенов.

но пока что попроще новости — приложения в Google Play (Camero, FileCrypt и callCam) используют известные уязвимости, которые применяет в своей деятельности NSO Group. Приложения втихаря рутят устройства, и потом выгребают всю пользовательскую информацию с телефонов

https://blog.trendmicro.com/trendlabs-security-intelligence/first-active-attack-exploiting-cve-2019-2215-found-on-google-play-linked-to-sidewinder-apt-group/

все ходит по кругу. 4 года назад Apple и ФБР бодались за разблокировку айфона террориста, расстрелявшего людей в Калифорнии. (благодаря той истории, наверно, и начался этот канал). Теперь, кажется, у нас есть повтор, только террорист в этот раз из Флориды. ФБР пытается вскрыть айфоны Мухамеда Саид Алшамрани, который убил трех человек на военно-морской базе в Пенсаколе, Флорида. Apple утверждает, что все, что у компании было, она уже передала в ФБР (видимо, речь идет о бекапах в iCloud, которые компания может расшифровывать, хотя и не полностью). Пишут, что террорист перед смертью выстрелил в один из айфонов, что еще больше усложняет процесс добывания данных с него. Вряд ли в этот раз дойдет до угроз посадить Тима Кука в тюрьму. Но вообще в Конгрессе США все чаще раздаются призывы "обуздать технологические компании" и требования обеспечить бэкдоры для доступа к устройствам и коммуникационным системам. посмотрим, что будет
https://www.nbcnews.com/news/us-news/fbi-seeks-apple-s-help-unlocking-phones-suspected-pensacola-naval-n1111636