Zvijača: vohunjenje skozi stranska vrata
Način delovanja je zastrašujoče preprost in izkorišča funkcijo, ki so jo ponudniki storitev za sporočanje pravzaprav uvedli za udobnejšo uporabo: povezovanje dodatnih naprav (na primer prek WhatsApp Web). Če nekdo že za nekaj sekund dobi fizični dostop do vašega odklenjenega pametnega telefona, lahko s kodo QR ali potrditveno kodo, poslano prek SMS-a, z vašim računom poveže drugo napravo – denimo računalnik ali tablico. Preiskovalni organi to taktiko že uporabljajo med zaslišanji, ko jim posamezniki prostovoljno izročijo pametne telefone. A nevarnost ne preti le s strani državnih organov: tudi ljubosumen partner zvečer na kavču ali šef v pisarni lahko izkoristi trenutek vaše nepozornosti za hitro »prikrito povezovanje« (»Ghost Pairing«). Usodne posledice takšne povezave:
- Nadzor v realnem času: Napadalec vsako novo sporočilo, ki ga pošljete ali prejmete, istočasno vidi na svojem zaslonu.
- Sinhronizacija starih pogovorov: Odvisno od storitve za sporočanje se lahko ob povezovanju na napravo tretje osebe prenese tudi obstoječa zgodovina starejših pogovorov.
- Neopazno prirejanje: Povezana naprava pogosto ne omogoča le pasivnega branja, temveč tudi pisanje in pošiljanje sporočil v imenu vašega računa, kar lahko v resnem primeru povsem izkrivi dokazno vrednost pogovorov.
Zakaj šifriranje v tem primeru odpove
Proti tej metodi ne pomaga niti najboljše šifriranje od konca do konca. Sistem napadalčeve naprave ne obravnava kot nepooblaščeno tretjo osebo, temveč kot uradni dodatni kanal, ki ste ga odobrili sami. Zaščitni mehanizem torej ni zlomljen, ampak ga napadalec preprosto obide po dovoljeni poti. Metodo sicer razkrijete takoj, ko v nastavitvah aplikacije preverite aktivne seje, a roko na srce: kdo ta seznam sploh preverja vsak dan? Prav na to računajo vohljači. Pogosto skrivnega bralca opazite šele po več urah, dneh ali celo tednih.
Tveganje za podjetja: senčni IT in gospodarsko vohunjenje
V poslovnem okolju postane ta težava še bistveno resnejša. Če zaposleni interne poslovne informacije, podatke o strankah ali podrobnosti projektov izmenjujejo prek zasebnih ali nezadostno zaščitenih kanalov za sporočanje, podjetja tvegajo obsežno uhajanje podatkov:
- Izguba poslovnih skrivnosti: Prek neopazno povezane naprave lahko zaupni dogovori pridejo neposredno v roke konkurentom ali nepooblaščenim tretjim osebam.
- Kršitve predpisov in uredbe GDPR: Nešifrirana sinhronizacija poslovnih klepetov z zasebnimi napravami tretjih oseb krši veljavna pravila o varstvu podatkov in lahko podjetjem povzroči visoke stroške zaradi pravnih posledic.
Kako se učinkovito zaščititi
(Varnostna pravila za vsakdanjo rabo)
Kot vaš partner za IT podjetjem in posameznikom toplo priporočamo, da naslednja varnostna pravila dosledno upoštevate pri vsakdanji uporabi:
- Redno preverjajte povezane naprave: V nastavitvah aplikacij (WhatsApp, Telegram, Signal) preverite razdelek »Povezane naprave« ali »Seje«. Takoj odstranite vsako napravo, za katero niste povsem prepričani, da ste jo sami nastavili.
- Poskrbite za zaklepanje zaslona: Pametnega telefona nikoli ne puščajte odklenjenega brez nadzora – ne doma ne na delovnem mestu. Uporabljajte varne kode PIN, Face-ID ali odklepanje s prstnim odtisom.
- Vklopite zaklepanje aplikacije: Številne aplikacije za sporočanje v nastavitvah zasebnosti omogočajo dodatno zaščito same aplikacije z ločeno kodo ali biometričnim preverjanjem. Vklopite to funkcijo!
- Previdno s kodami v sporočilih SMS: Potrditvenih kod, ki jih prejmete po SMS-u, nikoli ne posredujte drugim in nikomur ne dovolite nenadzorovanega vpogleda v svoj zaslon.
- Jasna pravila za uporabo aplikacij za sporočanje v podjetju: Za poslovno komunikacijo uporabljajte izključno namenske poslovne aplikacije za sporočanje, ki jih je odobril vaš ponudnik storitev IT, in prepovejte prenos poslovnih podatkov prek aplikacij za klepet, namenjenih zgolj zasebni rabi.
Digitalna zasebnost se začne s premišljeno uporabo naprav. Če potrebujete pomoč pri zaščiti komunikacije v podjetju ali vzpostavitvi varnih komunikacijskih poti za svoje zaposlene, smo vam kot ponudnik storitev IT vedno na voljo za svetovanje.
Pišite tukaj …