С электронного кошелька Ольги Романовой увели 500 000 рублей. Как не разделить её судьбу.

Большинству интернет-сообщества эта новость интересна с точки зрения личности владелицы кошелька: Олга Романова — известная оппозиционерка, правозащитница, журналист, лидер движения «Русь Сидящая». Однако для нас новость интересна прежде всего в срезе вопросов безопасности электронных денег как таковых и выводов из этого.

Интро

Итак, что бы разобраться в том, что произошло, давайте процитируем саму героиню:

 10-11 июня я зачищала все кошельки, открытые мною или с моим участием — спасала деньги, на всякий случай. Все деньги были спасены. Кроме этого кошелька. Я не тому парню отдала пароль. Деньги исчезли. Этот парень перевел их на свои собственные счета и свои собственные нужды

Не вдаваясь в политические подоплеки произошедшего, примем на веру заявление Романовой для целей нашей статьи. Таким образом, налицо хрестоматийный пример социальной инженерии — одной из самых больных точек систем распределения прав в современном мире. Пароль был выдан добровольно.

Социальная инженерия не предполагает непосредственного поиска бреши в системах безопасности. Современные платежные системы имеют достаточно хороший уровень безопасности, а теория защиты информации развита настолько, что следуя простым правилам (буквально, по рецепту) можно создать достаточно устойчивую защиту (смысл в том, что затраты на взлом такой защиты будут гораздо выше потенциальной выгоды взломщика).

Методы добычи паролей от элекронных кошельков или систем клиент-банк

В этом плане взломщики нашли другую брешь в системе — человек. Оказывается, что человеческий фактор является самым слабым звеном в защите электронных денег. Пароли могут быть скомпроментированы следующими способами:

• Прямой обман. Это самая распространенная техника. Звонок от человека из, якобы,  службы поддержки с просьбой сообщить пароль от кошелька — классический пример. Обычно в этом случае мошенники говорят очень уверено, стараются засыпать терминами и «перегрузить мозг» собеседника, что бы у него не было времени обдумать свое действие.
• Подкуп. Часто базы паролей просто выкупаются у сотрудников тех или иных операторов, оперирующих с данными подобного рода. И операторы платежных систем здесь не исключение. Надо отметить, что т.н. хеширвоание паролей позволяет несколько нивелировать последствия прямого подкупа, однако вовсе не снимает проблемы как таковой.
• Косвенный обман. К этому типу обмана относятся такие явления как фишинг, кардинг, программные средства типа троянцев и прочие более техногогические способы. Здесь стоит сделать пояснения. Несмотря на то, что способы технологические, они не затрагивают саму систему защиты электронных кошельков, а лишь эксплуатируют тот самые человеческий фактор — невнимательность, принебрежение правилами сетевой гигиены и подобные «пороки» цифрового века.

Отдельно хочется отметить, что в современном мире практически исчезли такие программые продукты, как вирусы. Все классические вирусы заменены на «троянских коней». Это подтверждает тезис о том, что современная теория информационной безопасности обеспечивает достаточный уровень защиты электронных денег. Поэтому эксплаутация «цифровых брешей» (вирусы) была заменена на эксплуатацию «человеческих брешей) (троянские программы, которые пользователь сам по невнимательности, легкомыслию или любопытству запускает).

Как повысить безопасность своего электронного кошелька?

Для этого достаточно выучить как „Отче Наш“:

• Никому никогда ни при каких обстоятельствах не сообщать паролей, не передавать цифровые подписи и файлы ключей.
• Соблюдать правила сетевой гигиены. Четко разделять бизнес-задачи и развлечения в интернетах. Лучше всего выполнять финансовые операции в виртуальной машине или под linux-подобной операционной системой (к слову, ваш покорный слуга именно так и поступает).
• Оставить любопытсво и прочие эмоции за бортом, когда речь идет о деньгах. Не открывать корреспонденцию со вложенными файлами от неизвестных отправителей. Да и от известных тоже. Либо делать это в изолированной среде (см. выше про виртуальные машины).
• Не хранить чувствительную информацию на удаленных серверах и файловых хранилищах (DropBox, Google Disk, Яндекс.Диск и прочих)
• По возможности шифровать данные на своем диске.
• Использовать для разных сервисов разные пароли. Тогда, если злоумышленникам станет известен пароль от вашей почты, например, он не сможет воспользоваться вашим кошельком, т.к. там будет стоять другой пароль. Кроме того, следует использовать достаточно стойкие пароли — длинные, с бессмысленным набором символов и спецзнаков. Обе эти задачи решает бесплатная программа KeePassX — станадрт де-факто для хранения паролей персональных данных с многократным шифрованием, фалами-ключами и прочим „обвесом“ для безопасного хранения паролей.
• И самое главное — заставлять работать мозг.

Послесловие

Несмотря на „нелюбовь“ к г-же Романовой, желаю ей скорейшего возвращения общественных стредств.