Bezpieczeństwo

BGP Hijacking, czyli jak porwać prefiks?

17 listopada 2022

BGP Hijacking, czyli jak porwać prefiks?

Z Warszawy do Łodzi przez – hmmm – Rzeszów? W prawdziwym życiu takie „przekierowanie ruchu” zdarzyć się nie powinno. W sieci znane są jednak przypadki, gdy ruch między dwoma sieciami „zapodział” się w trzeciej. Czasem przypadkiem, a nierzadko specjalnie. Czy to w ramach cenzury, czy jako droga do kradzieży danych, czy kryptowalut. O co w tym wszystkim chodzi? I dlaczego po 5.12 w przypadku sieci Orange Polska taki numer się nie uda?

Dziś będzie nieco bardziej technicznie, acz mam nadzieję, że niezmiennie ciekawie 🙂 Wiedza sieciowa to dla mnie w sporej części czarna magia, ale mam nadzieję, że uda mi się Wam co nieco wyjaśnić. Zacznijmy od internetu. Internet to zbiór wielu, rozproszonych po całym świecie sieci. Myślę, że z tego wszyscy zdajemy sobie sprawę. By mogły się ze sobą komunikować, „krzyczą” do siebie, niczym sąsiedzi na osiedlu domków jednorodzinnych, informując jakie adresy należą do danej sieci. Technicznie nazywa się to rozgłaszaniem prefiksów.

W efekcie, gdy wchodzicie na stronę bloga, Wasza sieć wie, że adres IP 34.116.153.160 mieści się w chmurze Google. I to tam najkrótszą drogą przesyła dane. Każdy operator, który rozgłasza swoje prefiksy, powinien zgłosić je do regionalnego rejestratora (w Europie rolę tę pełni RIPE NCC). Rejestrator tworzy bazę danych przypisanych do konkretnych właścicieli adresów IP oraz ASN. Pomaga to uporządkować ruch w globalnej sieci. Odpowiada za to protokół BGP a jego (nie)przypadkowe nadużycie określamy mianem BGP Hijacking.

Czy można ukraść czyjąś… sieć?

Co się jednak stanie, gdy ktoś rozgłosi nie swoje prefiksy? Może wtedy uniemożliwić dostęp do niektórych serwisów ze strefy numeracyjnej swojego kraju, ułatwić sobie kradzież kryptowalut, czy też np. podsłuchać ściśle tajne treści mające trafić do amerykańskich trzyliterowych agencji. Zgłaszając swoje prefiksy do RIPE de facto je zastrzegamy. Przekazujemy informację „internetowi”, że jesteśmy ich właścicielami tych adresów. W efekcie ruch przekazywany jest do odpowiednich elementów infrastruktury sieciowej. Zastrzeżenie własnych adresów IP jest istotne m.in. właśnie ze względu na BGP Hijacking. Polega on na podszyciu się pod nasz prefiks i przekierowaniu ruchu kierowanego do nas – do obcej sieci. BGP Hijacking to atak trudny do wykrycia. Często bowiem, gdy ruch wychodzący przebiega prawidłowo, dopiero ruch powrotny przechodzi przez serwery szpiegujące.

BGP buduje i utrzymuje internetową tablicę routingu, jednak sam nie jest w stanie zweryfikować informacji o routingu. Dlatego możliwe jest podszycie się pod posiadacza danego prefiksu. Choć niebawem w naszym przypadku to pojęcie będzie wyłącznie teoretyczne!

BGP Hijacking? Nie w Orange Polska!

By zapobiec problemom, jeszcze w 2021 roku, zespół działający w ramach programu Network Resilience Analysis zidentyfikował wszystkie zasoby Orange w publicznym internecie. Dla każdego z tych adresów IP (zarówno IPv4 jak i IPv6) wygenerowane zostały podpisy przypisujące je jedynie do naszej sieci. Zostało to poświadczone certyfikatem kryptograficznym X.509 przez RIPE NCC, zapewniając integralność i niepodważalność.

Z dniem 5 grudnia aktywujemy natomiast walidację i filtrowanie RPKI na każdej sesji peeringowej BGP z sieciami AS5617 (TPNET), AS29535 (Internet.optimum) oraz AS21395 (Content Premium). To zapewni poprawną walidację tras BGP, ogłaszanych przez sieci tworzące internet. Architektura RPKI pozwala wymieniać informacje z routerami i porównywać czy otrzymane ogłoszenie prefiksu BGP pochodzi z sieci/routera prawowitego właściciela. Jeśli walidacja zakończy się negatywnie, router odrzuci prefiks BGP, nie pozwalając wykorzystać go osobie/jednostce/sieci nieuprawnionej.

Co to oznacza?

Dla Was, jako zwykłych użytkowników, „na wierzchu” nic się nie zmieni. Jeśli nie przeczytalibyście tego, to nawet byście nie wiedzieli, że źli ludzie nie będą już mogli „porwać” Waszego ruchu sieciowego.

Sprawa zmienia się nieco jeśli jesteście administratorami większej sieci. Wtedy warto sprawdzić poprawność jej ustawień, szczególnie w zakresie spójności już dokonanych podpisów RPKI z informacjami rozgłaszanymi w protokole BGP. Odrzucenie przez naszą sieć niepoprawnie podpisanego prefiksu może zmienić przepływ ruchu na łączach, a w skrajnych przypadkach nawet spowodować zablokowanie dostępu do sieci.

Ale kluczowe jest jedno – będzie bezpieczniej. A czyż nie o to nam wszystkim właśnie chodzi?

Grafika użyta w tekście została stworzona przez sztuczną inteligencję w ramach projektu Dall-E (https://labs.openai.com/)

Udostępnij: BGP Hijacking, czyli jak porwać prefiks?

Bezpieczeństwo

Czy ta przesyłka na pewno jest prawdziwa?

10 listopada 2022

Czy ta przesyłka na pewno jest prawdziwa?

Pamiętacie jeszcze czasy, gdy prezenty gwiazdkowe kupowało się w sklepach? Teraz tylko klik, internet, przesyłka – i paczka jest w domu. W sumie to czasy zmieniły się na lepsze. Niestety również dla oszustów.

Idą święta – ulubiony czas dla sprzedawców i operatorów usług kurierskich. Przestępców niestety też. Widać to też w naszych systemach bezpieczeństwa, gdzie wyraźnie rośnie liczba zablokowanych domen, podszywających się pod InPost, DPD, czy DHL.

Schematy ataku są dwa, oba bardzo dobrze znane od lat.

Twoja przesyłka (nie) wymaga dopłaty!

Dostaliście kiedyś SMSa, że Wasza paczka jest w drodze, ale niestety wymaga dopłaty? To standardowy wektor, mający wywołać w ofierze dwie reakcje:

  • O rany, idzie do mnie paczka, przyjdzie opóźniona!
  • Muszę dopłacić? Kurczę, dobrze, że tylko kilka złotych!

W pierwszym przypadku nie przeszkodzi nawet to, że nie pamiętamy, byśmy cokolwiek zamawiali! Kto nie lubi niespodzianek? A im bliżej świąt tym większa możliwość, że ktoś nam wysyła coś, czego wcześniej nie zapowiedział… W drugim zaś, fakt że to drobna kwota, ma nas uspokoić. Przecież skoro to 4,5 PLN (przykładowo) to nikt mnie na taką kwotę nie okradnie! To prawda, zysk dla złodzieja byłby nie wart zachodu, jednak to tylko zasłona dymna – kluczem jest przekonanie ofiary, żeby (nie patrząc w pasek adresu) wybrała logo swojego banku i widząc znaną kolorystykę (wszystko dobrze, mózg jest spokojny) wpisała login i hasło! A wtedy zazwyczaj jest już po wszystkim…

Przesyłka jest już opłacona, odbierz swoją kasę!

Drugi przypadek to opisywany już wielokrotnie motyw, który określany jest mianem „oszustwa na OLX” (choć może tyczyć również innych, podobnych serwisów). Do tej pory najczęściej rzekomy kupujący odzywał się do ofiary przez komunikator (głównie WhatsApp). Widocznie jednak oszuści zorientowali się, że internauci przestali ufać takiej komunikacji i w przypadku, który trafił do CERT Orange Polska dosłownie kilka godzin temu ofiara, dostała link do fałszywej strony (skrócony link pod adresem hxxps://fingrugiret[.]cf/K9kVn za pomocą SMSa. Po kliknięciu weń, zaatakowany zobaczył taki obrazek:

Spójrzcie na pasek adresu. Wygląda na oczywisty bełkot, ale to kolejny sposób na wykorzystanie słabości naszego mózgu i jego skłonności do chodzenia na skróty. Tam bowiem, gdzie Wy widzicie bełkot, mózg widzi… „deliver-inpost”!

A po kliknięciu w „zdobądź pieniądze” (instynkt zdobywcy? 😉 ) – czyż bardziej nie pasowałoby „otrzymaj”? Pozostaje tylko wybrać nasz bank:

…wpisać login i hasło i już – jesteśmy okradzeni. Może ciężko przyszło, ale zdecydowanie zbyt łatwo poszło.

Co robić?

Jeśli mielibyście zapamiętać z tego tekstu jedno zdanie, niech to będzie:

czytaj adresy w polu przeglądarki!

Wiem, że czy SMS, czy tekst na komunikatorze, przychodzą na telefon, a tam w przeglądarkach pasek z adresem nie dość, że jest mały, to jeszcze lubi się schować. Wiedzą o tym przestępcy, a jeśli zapamiętamy o tym my – nie damy im się oszukać.

Uważajcie na siebie – im bliżej świąt, tym większe ryzyko, że przesyłka może okazać się nieprawdziwa. Nasza CyberTarcza pracuje pełną parą i większość domen jest dla Was niedostępna zanim przyjdzie Wam do głowy kliknąć, ale nie każdy ma internet w Orange Polska. Ostrzeżcie swoich bliskich.

I wypocznijcie dobrze w przedłużony weekend!

Udostępnij: Czy ta przesyłka na pewno jest prawdziwa?

Odpowiedzialny biznes

Okiem mamy: „Łapanka na dobrym” działa najlepiej

7 listopada 2022

Okiem mamy: „Łapanka na dobrym” działa najlepiej

Szkoła to miejsce, w którym codziennie spotykają się dzieci z różnymi doświadczeniami, emocjami. Wielka odpowiedzialność spoczywa na nauczycielu wspomagającym, by jego podopieczni czuli się akceptowani i rozumiani przez innych. Ucieszyłam się, że w tym roku w konkursie dla nauczycieli, którzy w swojej pracy wykorzystują cyfrowe metody, podążają za uczniem, słuchają ich potrzeb i potrafią budować z nimi relacje została nagrodzona właśnie psycholożka wspomagająca.

Nauczyciel wspomagający to taki, który towarzyszy uczniowi z niepełnosprawnościami i trudnościami. Pomaga mu podczas lekcji, aby opanował materiał, wspiera by dobrze czuł się wśród rówieśników, by mógł w szkole funkcjonować, czuć się  spełnionym na swoje możliwości. To nauczyciel i anioł w jednym. Dużo widzi, wiele rozumie, czuje sercem, w którym jest wiele empatii i uważności. Dla każdego rodzica dziecka z niepełnosprawnością dobry nauczyciel wspomagający to skarb, bo wie, że dziecko jest zaopiekowane i pracuje w szkole na tyle, ile umie. Z doświadczenia własnego i opowieści wiem, że często zdarza się, iż nauczycielem wspomagającym są przypadkowe osoby ze szkolnej kadry. Dzieci z orzeczeniami jest coraz więcej a szkole nie jest łatwo znaleźć odpowiednie osoby na to stanowisko. Tracą dzieci, które i tak maja pod górkę.

Fundacja Orange w konkursie Nauczyciel Jutr@ poszukiwała takich nauczycieli, którzy korzystając z nowych technologii wsłuchują się w potrzeby młodych ludzi, czerpią z ich wiedzy i doświadczeń oraz budują z nimi przyjazne relacje. Taką osobą jest pani Aldona Rumińska-Szalska ze Szkoły Podstawowej z Oddziałami Integracyjnymi nr 105 im. L. Wawrzyńskiej w Krakowie.

Moi rodzice byli nauczycielami. Misję do wykonywania tego zawodu mam również w genach, jednak nie od najmłodszych lat! To dojrzewało ze mną i we mnie. Chęć poznania fenomenu, potencjału, osobowości osób, które pomimo swoich dysfunkcji (ale też i dzięki nim!) mają wiele talentów, predyspozycji, było nieodpartą potrzeba zaspakajaną do dziś. Człowiek to kopalnia tajemnicy, a my nauczyciele jak górnicy powinniśmy ją zagłębiać.

Na co dzień pracuje z dziećmi z niepełnosprawnością sensoryczną, ruchowa w tym z afazją, z obniżonym poziomem intelektualnym, z Zespołem Aspergera, z zaburzeniami w zachowaniu i emocji, chorobami przewlekłymi. Pod opieka ma 5 dzieci z niepełnosprawnościami, ale chce być pomocna wszystkim uczniom, także tym które są po prostu przeciętne lub szczególnie uzdolnione. Codziennie czuwa nad rozwojem potencjału dzieci.

Porozmawiałam z panią Aldoną.

Jak pracować z dziećmi, które wymagają dodatkowego wsparcia i uwagi?

Bardzo ważna jest współpraca z rodziną dziecka, z bazą specjalistów na terenie szkoły (logopeda, psycholog, pedagog, terapeuta) ale także poza szkołą np. z ich lekarzami,  rehabilitantami. Kluczowe jest wspomaganie uczniów w ich rozwoju, tworzenie im kreatywnej niszy –  miejsca do rozwoju zgodnie z ich zainteresowaniami, predyspozycjami i potencjałem, ale równiej przestrzeni do bycia ze sobą, poznawania siebie. Każde dziecko ma swoje wyjątkowe umiejętności, talenty, uzdolnienia. To wymaga odkrycia, udowodnienia mu jego osobistych atutów. Przede wszystkim, ważne jest uchwycenie silnego punktu, jakim jest wyjątkowość dziecka w jego własnej optyce. To długa droga, ale małe sukcesy, skracają jej przynajmniej odczuwaną długość!

Jak odkryć te zdolności?

Niektóre umiejętności ujawniają się (co może zabrzmi paradoksalnie) właśnie przez dysfunkcje rozwojowe, ponieważ dzieci kompensują sobie swoje braki, ograniczenia. Poprzez ten konstruktywny mechanizm, pokazują swoje mocne strony, wręcz manifestują je. Niekiedy jednak deklarują to mniej widocznie. Nasza rola to być czujnym obserwatorem. Potrzebna jest wnikliwa obserwacja, rozmowa z rodzicami. Uczniowie posiadają wielorakie zdolności i uzdolnienia: artystyczne, przedmiotowe, literackie, teatralne, muzyczne. Trzeba pomóc dziecku otworzyć bramę do tego, by poczuło odwagę do uzewnętrzniania siebie, a w przyszłości do samorozwoju. Zachęcam dzieci do wzięcia udziału w konkursach różnego typu. Mamy coroczne sukcesy na wszystkich szczeblach organizacji konkursów, zarówno lokalnych, ogólnopolskich oraz międzynarodowych. Są to działania indywidualne i zespołowe o charakterze ekologicznym, społecznym, senioralnym, religijnym, historycznym, filmowym, teatralnym, przedsiębiorczym. Jest to praca z KAŻDYM dzieckiem, niejednokrotnie w bardzo trudnych warunkach i okolicznościach, również – co jest organizacyjnym wyzwaniem nieraz na różnych etapach edukacji w duchu wielowymiarowej integracji. Każde przedsięwzięcie prezentowane jest w formie fotorelacji na stronie szkoły, social mediach oraz na szkolnym telebimie.

Jak zaangażować dzieci, jak je zmotywować?

Pokazać drogę, towarzyszyć, celebrować każdy sukces, udowadniać sprawczość ucznia. „łapać na dobrym”, „wypominać” to czynione przez dziecko dobro. To skuteczna metoda, szczególnie dla dzieci z zaburzeniami zachowania lub trudnościami w ekspresji emocji. Jedna pozytywna „łapanka” procentuje na lata. To paliwo, na okres rezerwy… Opracowując scenariusze zajęć edukacyjno-projektowych, łączę różne metody i formy pracy: tradycyjne, cyfrowe, plenerowe. Ruch, obraz, animacja to jest to co aktywizuje, dynamizuje, lekcja terenowa na zielonej enklawie, z kolei równoważy bodźce, koi, uspakaja.  Metody te działają synergicznie.

Czego pani się uczy od swoich uczniów?

Uczniowie to bardzo wysokiej klasy nauczyciele! To Nauczyciele dziś, teraz i jutra! Oni są ściągą, wielka bazą wiedzy, fachowej literatury. Od nich pochodzi żywe słowo. Uczą wnikliwej obserwacji, komunikacji, podejścia intuicyjnego, ale i tego, które obliguje do rzetelnej pracy zarówno merytorycznej, metodycznej jaki trudnej sztuki pracy nad sobą.  

Ujęło mnie to co pani Aldona powiedziała na końcu rozmowy. Że każdy z nas przejawia jakąś niepełnosprawność. Na lekcji wprowadzającej (pierwsze spotkanie z zespołem klasy integracyjnej), realizuje temat: „Dar niepełnosprawności”. Na początku lekcji zwraca się do uczniów z pytaniem: Kto z was jest w pełni sprawny, niech stanie obok ławki…Większość stoi. Pani Aldona uczestnicząc w ćwiczeniu siedzi najdłużej! Konkluzja: Każdy z nas ma ograniczenia, swoje nie „niepełnosprawności”, potrzebujemy wsparcia aby funkcjonować. „Gdyby każdy miał to samo, nikt nikomu nie byłby potrzebny”. To bardzo fajna lekcja, którą każdy z nas powinien zaliczyć.

Nagroda Nauczyciel Jutr@ jest wspólnym sukcesem moim jako nauczyciela i uczniów  – moich nauczycieli! Najważniejszy nie jest efekt końcowy a wspólna droga, która nas prowadzi do finału, (który jest kolejnym początkiem). Kręte zaułki tej drogi, tworzą nowe meandry poznawczych doświadczeń, życiowych zwrotów, twórczego dialogu i pokory,  a to jest najważniejsze – powiedziała na koniec.

Udostępnij: Okiem mamy: „Łapanka na dobrym” działa najlepiej

Bezpieczeństwo

Niechciana randka z płatnym serwisem

27 października 2022

Niechciana randka z płatnym serwisem

Serwisy randkowe. Można mieć o nich różne opinie, ale nie zmienia to faktu, że randka na Tinderze, Sympatii, Badoo, czy innej podobnej witryny to coś, co cieszy się dużym zainteresowaniem. Może to kwestia czasów? Tego, że jesteśmy bez przerwy biegu i nie ma czasu na zwykłe, „staromodne” spotkania? Wiedzą też o tym różnej maści… I właśnie tu problem jak ich określić? Oszuści? Przestępcy? Cwaniacy? Janusze marketingu?

Opowieść zaczyna się gdy do CERT Orange Polska trafia mail internautki, wysłany przez formularz „zgłoś incydent” na naszej stronie:

Osoba poznana przez internet podała mi numer telefonu, xxx 215 xxx. Napisałam SMS na ten numer, następnie dostałam odpowiedź, ale z numeru 74936. Odpisałam na nią, po kolejnej odpowiedzi dostałam jednak informację, że… wyczerpał mi się limit SMS Premium

SMS Premium, czyli wiadomość o podwyższonej płatności (w tym przypadku 4,92 zł brutto), może być używany np. do zakupu usług, ale, żeby randka? No nie, z sytuacją prowadzenia przezeń czatów w serwisie randkowym jeszcze się nie spotkałem. Przyjrzymy się więc najpierw numerowi rzekomego amanta:

Źródło: https://www.nieznany-numer.pl/
Randka? Nie. To oszust.
Źródło: https://www.nieznanynumer.pl/

Wystarczy zatem jedno wyszukanie w sieci, by momentalnie stracić zaufanie do piszącego z tego numeru. Ale o co tak naprawdę chodzi? W odkryciu tajemnicy pomoże pójście tropem numeru pięciocyfrowego. Oddajmy znów głos użytkownikom cytowanego wcześniej serwisu Nieznany-numer.pl:

To nie randka - to ściema

Nawet jak widać trafiła się korelacja i również w opisie numeru premium pojawił się ten, od którego wszystko się zaczęło.

Najpierw pozorna randka – potem płatna usługa

O co w tym wszystkim chodzi? O pieniądze oczywiście. I choć opisując akurat ten przypadek nie odważę się użyć określenia „oszustwo” (o tym później). Najpierw – typujemy potencjalną ofiarę. Osoby, szukające miłości, to na pewno wdzięczny i „plastyczny” temat dla socjotechnika. Tworzymy profil w popularnym serwisie randkowym, znalezienie w sieci odpowiednich zdjęć nie jest żadnym problemem. Dopisujemy odpowiednią historyjkę, wzbudzającą zainteresowanie kobiet (w tym przypadku) i wchodzimy z potencjalnymi ofiarami w interakcję. Po zyskaniu zaufania wymyślamy powód, pod pozorem którego zamykamy konto w serwisie i odzywamy się do ofiary z innego numeru. Randka trwa dalej, socjotechnik kontynuuje rozmowę i wyjaśnia powody wyłączenia konta. Możliwość tego, że manipulowana osoba zorientuje się, że coś jest nie tak, jest raczej niewielka. A co tak naprawdę jest nie tak?

Zajrzyjmy do rejestru usług SMS Premium, prowadzonego przez Urząd Komunikacji Elektronicznej (https://bip.uke.gov.pl/wyszukiwarka-rejestr-premium)

Rzekoma randka okazuje się płatnym serwisem dla dorosłych

„Chat SMS” / „Treści dla dorosłych”. I sprawa robi się o wiele jaśniejsza. Tzw. czaty towarzyskie i randka mają ze sobą tyle wspólnego co krzesło z krzesłem elektrycznym… Operatorzy, obsługujący nierzadko po kilka-kilkanaście konwersacji na raz, prowadzący rozmowy tak, by osoba z drugiej strony kontynuowała je jak najdłużej. Zastanawiam się czasem, kto jest klientem tego typu usług, ale jestem jak najdalszy od oceniania tych, którzy z nich korzystają. Może taka „proteza” rozmowy niektórym z nich pomaga pozbyć się dojmującego uczucia samotności? Tak, czy siak – nie mam z tym absolutnie problemu, pod jednym warunkiem. Użytkownik został poinformowany o charakterze serwisu i kosztach, związanych z korzystaniem z niego. Czy tak było tutaj? Sądząc po mailu od internautki – nie, a jej rachunek uratowała wyłącznie blokada na usługi Premium.

Czy to zatem oszustwo? Nie. Czy to działanie mające cokolwiek wspólnego z etyką? Też nie.

Ta „randka” jest już pod kontrolą

Z wyszukiwarki UKE wynika z niej, że jego właścicielem jest Teleaudio DWA Sp. z o.o. Sp.K., spółka reklamująca się przede wszystkim jako dostawca usług płatności mobilnych, znana jednak od wielu lat także z serwisów o podwyższonej opłacie. Takich, gdzie użytkownik nie jest wprowadzany w błąd i jest świadomy opłat, które będzie musiał ponieść. Analiza innych baz wykazuje jednak, że operatorem opisywanego numeru jest firma trzecia, niezwiązana z Teleaudio. Zgłosiłem więc temat operatorowi, prosząc w imieniu potencjalnie oszukanych o jego rozwiązanie. Przy okazji zapytałem też, jak firma radzi sobie z potencjalnymi nadużyciami tego typu:

Opisany przez Pana przypadek po konsultacji z operatorem oraz Sekcją Reklamacji był pierwszym zidentyfikowanym przypadkiem i miejmy nadzieję pozwali zakończyć ten proceder.

Ten fragment odpowiedzi pozwoliłem sobie wyróżnić, jest bowiem w mojej opinii kluczowy. Dowodzi też, że za każdym razem warto takie nadużycia zgłaszać, choćby po to, by uratować przed wpadnięciem w sidła innych internautów. Czego jeszcze się dowiedziałem?

  • Teleaudio udostępnił numer Premium Rate 74936 jednemu ze swoich partnerów.
  • Teleaudio wykonuje wyłącznie czynności techniczne związane z obsługą ruchu SMS (…) nie dobiera adresatów/nadawców tej korespondencji, treści wiadomości, nie wyznacza daty jej wysyłki.
  • Partner zobowiązany jest świadczyć usługę w sposób zgodny z umową oraz z poszanowaniem powszechnie obowiązujących przepisów prawa.
  • Każdy sygnał z informacją o podejrzeniu nadużycia jest (…) analizowany odrębnie – podlega wyjaśnieniu i konfrontacji z partnerem.
  • Partner zobowiązany jest świadczyć usługę w sposób zgodny z umową oraz z poszanowaniem powszechnie obowiązujących przepisów prawa.

Co robić?

Nie lubię takiego podejścia, ale niczym Fox Mulder w „Z archiwum X” – nie ufać nikomu. Bo choć, gdy nadchodzi pierwsza randka twarzą w twarz, wyobrażam sobie, że kobieta włącza „tryb wyjątkowej ostrożności”, gdy rozmawiamy jeszcze w sieci, nie ze wszystkich ryzyk zdajemy sobie sprawę. A tymczasem okazuje się, że tu jest jak z phishingiem – tylko że musimy zwracać uwagę nie tylko na podsyłane nam linki, ale też na numer telefonu, z którego przychodzą wiadomości. Pamiętajcie, panie i panowie, dziewczyny i chłopaki: jeśli rozmówca zaczyna nagle pisać z numeru innego, niż dziewięciocyfrowy (ewentualnie z dodatkiem kodu kraju z przodu) to jest ostatni moment, by zorientować się, że to nie randka, to nie miłość – to przekręt. Inaczej możecie się zorientować dopiero, gdy przyjdzie rachunek. Wysoki rachunek.

Udostępnij: Niechciana randka z płatnym serwisem

Bezpieczeństwo

Szkoła nie nauczy, czym jest phishing!

1 września 2022

Szkoła nie nauczy, czym jest phishing!

Kampanie phishingowe wysyłane w zasadzie nieprzerwanie. Oszustwa „na OLX”, scamy „na inwestycje” w formie płatnych reklam na Facebooku, fake newsy wyłudzające login i hasło do FB. A nasze dzieci, rok po roku, uczą się na lekcjach informatyki… netykiety i profilaktyki antywirusowej.

Mój „czwartek z bezpieczeństwem” wypadł akurat 1 września, więc jako ojciec trzech synów, z czego dwóch w wieku szkolnym, nie mogłem nie nawiązać do rozpoczynającego się dziś roku szkolnego. Oczywiście o polityce nie będzie ani słowa, ale i tak będę miał na co narzekać.

Phishing, czyli całe zło internetu

Dobra, może z tym śródtytułem trochę przesadzam (to niestety nie jest jedyne zło, panoszące się po sieci), tym niemniej zarówno ilościowo jak i jakościowo wedle moich spostrzeżeń absolutnie dominuje na „rynku zła”. Domeny phishingowe blokowane nierzadko setkami dziennie,

od początku istnienia CyberTarczy zablokowaliśmy 300 000 domen phishingowych,

zwykli ludzie, tracący oszczędności całego życia, czy firmy żegnające się z reputacją, pieniędzmi, danymi klientów albo dostępem do kluczowych systemów biznesowych. Jak dużo phishingu widzimy w sieci Orange Polska? W sierpniu br. roku uniemożliwiliśmy Wam wejście na strony phishingowe blisko 3 mln razy! Sporo, prawda?

Czy phishing poznamy na lekcjach informatyki?

W sumie to oczywiste. Przecież uczymy dzieci i młodzież korzystania z nowoczesnych technologii. Oczywistym wydaje się fakt, że uświadomimy je również w aspekcie zagrożeń, czyż nie? Świadom tego, że co roku na to narzekam, tym razem zamiast bazować na tym, z czym (nie) spotkali się moi synowie na zajęciach, zajrzałem do dokumentu „Program nauczania informatyki w klasach 4–8 szkoły podstawowej”, opublikowanego przez Wydawnictwa Szkolne i Pedagogiczne, bazującego na podstawie programowej nauczania przedmiotu. I wiecie co? Bez inwencji nauczyciela nie ma szans, by młodzi ludzie dowiedzieli się jak rozpoznawać prawdziwe zagrożenia.

Co zatem umie wzorcowy uczeń w zakresie bezpieczeństwa w sieci? Pozwoliłem sobie wypisać część wymagań, żeby Was nie zanudzić, podkreślenia mojego autorstwa:

  • posługuje się udostępnioną mu technologią zgodnie z ustalonymi zasadami
  • rozróżnia pożądane i niepożądane zachowania innych osób (również uczniów) korzystających z technologii, zwłaszcza w sieci internet
  • przestrzega zasad dotyczących korzystania z efektów pracy innych osób i związanych z bezpieczeństwem w internecie
  • uznaje i respektuje prawo do prywatności danych i informacji oraz prawo do własności intelektualnej
  • wymienia zagrożenia związane z powszechnym dostępem do technologii oraz do informacji i opisuje metody wystrzegania się ich
  • stosuje profilaktykę antywirusową i potrafi zabezpieczyć przed zagrożeniem komputer wraz z zawartymi w nim informacjami
  • rozróżnia typy licencji na oprogramowanie oraz na zasoby w sieci

Jakby to powiedzieć… szału nie ma. Szczególnie z punktu widzenia bezpieczniaka. Wymienić „zagrożenia związane z powszechnym dostępem do technologii”? Sam miałbym z tym kłopot. Może dlatego, że nie wiem, czym jest powszechny dostęp do technologii? Stosuje profilaktykę antywirusową? Fakt, pamiętam czasy, gdy to źli ludzie instalowali coś co można określić szeroko pojętym mianem „wirusa” na komputerach ofiar. Ale od tamtej pory zmieniły się realia (a także systemy bezpieczeństwa) i to my sami instalujemy na komputerze „złośnika”. Oszust ma nas tylko przekonać socjotechniczną sztuczką, żebyśmy to zrobili! A o socjotechnice powyżej nie ma ani słowa…

Antywirus, hasło, frazesy i emotikony

Nieco lepiej wygląda sytuacja, gdy zagłębimy się w Szczegółowe Cele Nauczania. Tak wygląda rubryka „czynności uczniów” w kategorii „Przestrzeganie prawa i zasad bezpieczeństwa”:

  • Poznanie zasad bezpieczeństwa w internecie
  • Zasady wyboru bezpiecznego hasła do konta internetowego
  • Profilaktyka antywirusowa
  • Dbanie o bezpieczeństwo w sieci. Ochrona swoich danych
    osobowych.
  • Zapoznanie się z zagrożeniami związanymi z korzystaniem z internetu
  • Porozumiewanie się w sieci za pomocą skrótów i obrazków literowych

Ostatnią kropkę zostawiłem dla żartu. xD, srsly? To naprawdę jest pozycja w kategorii „zasady bezpieczeństwa”? No i znowu ten nieszczęsny antywirus!

Ale czy faktycznie pozostałe 5 pozycji może wlać w duszę zatroskanego rodzica nieco optymizmu? Nie zrozumcie mnie źle, te wymienione wcześniej też są ważne. Możemy pod nie podciągnąć ochronę przed mową nienawiści/cyber-bullyingiem, kwestie przestrzegania praw autorskich też są ważne, podobnie jak uświadomienia istnienia programów open source. Ale to nie ma nic wspólnego z cyber zagrożeniami! Poznanie zasad bezpieczeństwa, doboru hasła, czy zapoznanie się z internetowymi zagrożeniami (i znów ten nieszczęsny antywirus) w rękach nauczyciela-pasjonata mogą przynieść świetne efekty! Ale w każdym innym przypadku skończą się wtłoczeniem w umysł młodego człowieka serii frazesów, o których zapomni od razu po wyjściu z sali. Choćby dlatego, że dlań środowisko cyfrowe jest naturalne od urodzenia i nierzadko w wielu kwestiach ma większą wiedzę niż nauczyciel…

Co zatem zrobić?

Pozostaje edukować się samemu, choćby korzystając z nieprzebranych zasobów Fundacji Orange, naszego bloga, czy strony CERT Orange Polska. Nie namawiam rzecz jasna do zamykania się w ramach jednego dostawcy treści – nie mam wątpliwości, że w internecie można znaleźć wiele wartościowych treści edukujących w zakresie faktycznych zagrożeń w sieci, po prostu powyższe znam, bo mam przyjemność je współtworzyć.

Warto czytać i trzymać rękę na pulsie. Nieważne, czy jesteś rodzicem, dzieckiem, czy nauczycielem. Moje kilkunastoletnie doświadczenie w cyberbezpieczeństwie, ale przede wszystkim fakty i liczby, dowodzą, że

wiedza o phishingu i metodach socjotechnicznych jest kluczowa dla bezpiecznego korzystania z internetu w dzisiejszych czasach

A skoro czegoś Jaś się nauczy, tego Jan nie będzie umiał, a czym skorupka za młodu nasiąknie, tym na starość trąci, można tylko żałować, że uaktualnienie podstawy programowej informatyki pozostaje chyba w sferze marzeń. I liczyć na nauczycieli-pasjonatów, świadomych tego, że internauta – niezależnie od wieku – najpierw powinien czuć się w sieci bezpiecznie, a potem dopiero myśleć o open source, netykiecie i emotikonach… Od wielu lat jestem gościem Międzynarodowej Konferencji „Bezpieczeństwo dzieci i młodzieży w internecie” i wiem, że istniejecie, bo Was tam spotykam 🙂 Trzymajcie się, nieście kaganek oświaty. Dacie radę!

A uczniom życzę udanego roku szkolnego. Pamiętajcie, jeszcze tylko 294 dni i wakacje! 🙂

Udostępnij: Szkoła nie nauczy, czym jest phishing!

Dodano do koszyka.

zamknij
informacje o cookies - Na naszej stronie stosujemy pliki cookies. Korzystanie z orange.pl bez zmiany ustawień przeglądarki oznacza,
że pliki cookies będą zamieszczane w Twoim urządzeniu. dowiedz się więcej