Kako to rade: špijunaža na stražnja vrata
Princip je zastrašujuće jednostavan i iskorištava funkciju koju su servisi za razmjenu poruka zapravo uveli kako bi korisnicima olakšali korištenje: povezivanje dodatnih uređaja (primjerice putem usluge WhatsApp Web). Čim netko dobije fizički pristup vašem otključanom pametnom telefonu na samo nekoliko sekundi, može putem QR koda ili potvrdnog koda poslanog SMS-om povezati drugi uređaj – primjerice računalo ili tablet – s vašim računom. Istražna tijela već primjenjuju tu taktiku tijekom ispitivanja, kada im se pametni telefoni dobrovoljno predaju. No opasnost ne prijeti samo od državnih tijela: i ljubomorni partner navečer na kauču ili šef u uredu može iskoristiti trenutak nepažnje za brzo „neprimjetno uparivanje” (Ghost Pairing). Pogubne posljedice takvog povezivanja:
- Nadzor u stvarnom vremenu: Napadač na vlastitom zaslonu istodobno vidi svaku novu poruku koju pošaljete ili primite.
- Sinkronizacija starih razgovora: Ovisno o servisu za razmjenu poruka, pri povezivanju se na uređaj treće osobe naknadno preuzima i postojeća povijest starijih razgovora.
- Neprimjetna manipulacija: Povezani uređaj ne omogućuje samo pasivno čitanje poruka, već često i pisanje i slanje poruka u ime vašeg računa, čime se u ozbiljnim situacijama može potpuno iskriviti dokazna vrijednost razgovora.
Zašto enkripcija ovdje ne pomaže
Protiv ove metode ne pomaže ni najbolja enkripcija s kraja na kraj. Za sustav napadačev uređaj nije neovlaštena treća strana, nego službeni dodatni kanal koji ste vi odobrili. Zaštitni se mehanizam, dakle, ne probija, nego se jednostavno zaobilazi na dopušten način. Iako se ova metoda otkriva čim u postavkama aplikacije provjerite aktivne sesije, budimo iskreni: tko taj popis provjerava baš svaki dan? Upravo na to računaju oni koji njuškaju po tuđim porukama. Često se tek nakon nekoliko sati, dana ili čak tjedana primijeti da netko potajno čita poruke.
Rizik za poduzeća: IT u sjeni i gospodarska špijunaža
U poslovnom okruženju ovaj problem poprima dramatične razmjere. Kada zaposlenici razmjenjuju interne poslovne informacije, podatke o klijentima ili pojedinosti o projektima putem privatnih ili nedovoljno zaštićenih kanala za razmjenu poruka, poduzeća se izlažu riziku od masovnog curenja podataka:
- Gubitak poslovnih tajni: Putem neprimjetno povezanog uređaja povjerljivi dogovori mogu dospjeti izravno do konkurenata ili neovlaštenih trećih osoba.
- Kršenje propisa i GDPR-a: Nešifrirana sinkronizacija poslovnih razgovora na privatne uređaje trećih osoba krši važeća pravila zaštite podataka i može poduzećima donijeti skupe pravne posljedice.
Kako se učinkovito zaštititi
(Sigurnosna pravila za svakodnevnu primjenu)
Kao vaš IT partner, poduzećima i privatnim korisnicima snažno preporučujemo da sljedeća sigurnosna pravila usvoje i dosljedno primjenjuju u svakodnevnom životu:
- Redovito provjeravajte povezane uređaje: U postavkama svojih aplikacija (WhatsApp, Telegram, Signal) provjerite odjeljak „Povezani uređaji” ili „Sesije”. Odmah uklonite svaki uređaj za koji niste potpuno sigurni da ste ga sami povezali.
- Zaštitite pristup zaslonu: Nikada ne ostavljajte pametni telefon otključan i bez nadzora – ni kod kuće ni na radnom mjestu. Koristite sigurne PIN-ove, Face-ID ili zaključavanje otiskom prsta.
- Uključite zaključavanje aplikacije: Mnoge aplikacije za razmjenu poruka u postavkama privatnosti nude mogućnost dodatne zaštite same aplikacije zasebnim kodom ili biometrijskom zaštitom. Uključite tu funkciju!
- Oprez s kodovima iz SMS poruka: Nikada ne dijelite kodove za potvrdu koje primite SMS-om i ne dopustite drugima da bez vašeg nadzora gledaju u vaš zaslon.
- Jasna pravila za razmjenu poruka u poduzeću: Za poslovnu komunikaciju koristite isključivo namjenske poslovne aplikacije za razmjenu poruka koje je odobrio vaš pružatelj IT usluga i zabranite slanje poslovnih podataka putem aplikacija namijenjenih isključivo privatnim razgovorima.
Digitalna privatnost počinje odgovornim rukovanjem uređajima. Ako vam je potrebna podrška u zaštiti poslovne komunikacije ili uspostavi sigurnih komunikacijskih kanala za vaše zaposlenike, kao pružatelj IT usluga uvijek vam stojimo na raspolaganju za savjetovanje.
Pišite ovdje …