A trükk: kémkedés a hátsó ajtón át
Az elv ijesztően egyszerű, és egy olyan funkciót használ ki, amelyet az üzenetküldő szolgáltatások eredetileg a felhasználók kényelme érdekében vezettek be: további eszközök összekapcsolását a fiókkal (például a WhatsApp Web használatához). Ha valaki akár csak néhány másodpercre hozzáfér az Ön feloldott okostelefonjához, egy QR-kód vagy egy SMS-ben küldött megerősítő kód segítségével egy másik eszközt – például számítógépet vagy táblagépet – kapcsolhat az Ön fiókjához. A nyomozó hatóságok már alkalmazzák ezt a taktikát a kihallgatások során, amikor az érintettek önként átadják nekik okostelefonjukat. A veszély azonban nem csak az állam részéről fenyeget: este a kanapén a féltékeny párja vagy az irodában a főnöke is kihasználhatja az Ön figyelmetlenségét egy gyors, titkos eszközpárosításra, azaz „Ghost Pairing”-re. Az ilyen összekapcsolás súlyos következményei:
- Valós idejű megfigyelés: A támadó a saját képernyőjén azonnal lát minden új üzenetet, amelyet Ön küld vagy fogad.
- Korábbi beszélgetések szinkronizálása: Az üzenetküldő szolgáltatástól függően a párosításkor a már meglévő, régebbi beszélgetési előzmények is letöltődnek a harmadik fél eszközére.
- Észrevétlen manipuláció: Az összekapcsolt eszközön nemcsak passzívan lehet olvasni a beszélgetéseket, hanem gyakran az Ön fiókjából üzeneteket is lehet írni és küldeni, ami adott esetben teljesen alááshatja a beszélgetések bizonyító erejét.
Miért nem véd ilyenkor a titkosítás?
Ez ellen a módszer ellen a legjobb végpontok közötti titkosítás sem nyújt védelmet. A rendszer szemében a támadó eszköze nem egy jogosulatlan harmadik fél, hanem egy Ön által engedélyezett, hivatalos másodlagos hozzáférési csatorna. A védelmi mechanizmust tehát nem feltörik, hanem egyszerűen szabályos módon megkerülik. Bár a módszer azonnal lelepleződik, amint valaki ellenőrzi az aktív munkameneteket az alkalmazás beállításaiban, de legyünk őszinték: ki nézi át ezt a listát naponta? A kíváncsiskodók pontosan erre számítanak. A titokban olvasgató betolakodót gyakran csak órák, napok vagy akár hetek elteltével veszik észre.
Vállalati kockázatok: árnyékinformatika és gazdasági kémkedés
Üzleti szempontból ez a probléma drámaian súlyosabbá válik. Ha a munkatársak belső vállalati információkat, ügyféladatokat vagy projektrészleteket osztanak meg magáncélú vagy nem megfelelően védett üzenetküldő csatornákon, a vállalatok súlyos adatszivárgást kockáztatnak:
- Üzleti titkok kiszivárgása: Egy észrevétlenül párosított eszközön keresztül a bizalmas egyeztetések tartalma közvetlenül a versenytársakhoz vagy illetéktelen harmadik felekhez kerülhet.
- A megfelelőségi előírások és a GDPR megsértése: Az üzleti csevegések titkosítatlan szinkronizálása harmadik felek magántulajdonú eszközeire sérti a hatályos adatvédelmi előírásokat, és súlyos anyagi terhekkel járó jogi következményeket vonhat maga után a vállalatok számára.
Így védekezhet hatékonyan
(Biztonsági szabályok a mindennapokra)
Informatikai partnereként nyomatékosan javasoljuk vállalatoknak és magánszemélyeknek egyaránt, hogy a következő biztonsági szabályokat következetesen építsék be a mindennapjaikba:
- Ellenőrizze rendszeresen a kapcsolt eszközöket: Nézze át az alkalmazások (WhatsApp, Telegram, Signal) beállításaiban a „Kapcsolt eszközök” vagy a „Munkamenetek” menüpontot. Azonnal távolítson el minden olyan eszközt, amelyről nem tudja teljes bizonyossággal, hogy saját maga állította be.
- Gondoskodjon a képernyőzárról: Soha ne hagyja okostelefonját felügyelet nélkül, feloldott állapotban – sem otthon, sem a munkahelyén. Használjon biztonságos PIN-kódot, Face-ID-t vagy ujjlenyomatos feloldást.
- Kapcsolja be az alkalmazászárat: Sok üzenetküldő adatvédelmi beállításai között lehetőség van arra, hogy magát az alkalmazást is külön kóddal vagy biometrikus védelemmel lássa el. Kapcsolja be ezt a funkciót!
- Legyen óvatos az SMS-ben kapott kódokkal: Soha ne adja tovább az SMS-ben kapott megerősítő kódokat, és ne engedje, hogy bárki a tudta nélkül belelessen a képernyőjébe.
- Egyértelmű szabályok az üzenetküldők vállalati használatára: Üzleti kommunikációra kizárólag erre a célra kialakított, az informatikai szolgáltató által jóváhagyott üzleti üzenetküldőket használjon, és tiltsa meg az üzleti adatok továbbítását kizárólag magáncélra szolgáló csevegőalkalmazásokon keresztül.
A digitális magánszféra védelme az eszközök tudatos használatával kezdődik. Ha segítségre van szüksége vállalati kommunikációjának biztonságossá tételéhez vagy munkatársai biztonságos kommunikációs csatornáinak kialakításához, informatikai szolgáltatóként bármikor készséggel állunk rendelkezésére tanácsadással.
Írjon ide…