ITanalyze

در عصر دیجیتالی که در آن هستیم، اطلاعات و داده های کامپیوتری و دیجیتالی میتوانند از هر چیزی مهمتر باشند. حفاظت از اطلاعاتی مثل عکس، فیلم، اسناد PDF و Word و سایر فایل های کامپیوتری برای هر کاربری که رایانه شخصی دارد از درجه اهمیت بالایی برخوردار است. ولی سوال اینجاست، اگر روزی این فایل ها سهواً (یا عمداً) حذف شوند، چه باید کرد؟ شرکت EaseUS با نرم افزار های خود آمده تا اینگونه مشکلات را سریعاً حل کند.

نرم افزار EaseUS Data Recovery به کاربران اجازه میدهد که ابتدا به صورت رایگان، 2 گیگابایت از داده های حذف شده خود را بازگردانی کنند. در این مقاله به صورت آزمایشی فایل هایی را حذف میکنیم و با این نرم افزار آن ها را باز میگردانیم تا با نحوه کار با برنامه و قدرت و سرعت آن آشنا شوید.ن آن

آموزش نصب و بازگردانی فایل های حذف شده

ابتدا اقدام به دانلود نرم افزار EaseUS Data Recovery کنید.

در صفحه اول، سه بخش را مشاهده میکنیم که Hard Disk Drives، External Devices و Specify a location نامیده شده اند.

بخش اول برای درایو های داخلی رایانه، بخش دوم برای هارد درایو های خارجی مثل فلش مموری یا هارد اکسترنال، و بخش سوم برای میان بر به بخش های Desktop و Recycle Bin است و آیکون سومی آن هم برای انتخاب یک فولدر مشخص و خاص است.

اگر بخواهید هر کدام از پارتیشن ها را به طور کامل اسکن کنید، میتوانید هر یک از درایو ها را انتخاب کرده و سپس گزینه “Scan” را کلیک کنید. ولی ما میخواهیم نرم افزار اول فولدر خاصی را اسکن کند، بنابراین “Select Folder” را انتخاب میکنیم.

ما فولدر خاصی را مد نظر داریم، بنابراین آن را انتخاب میکنیم و گزینه “OK” را زده و سپس روی “Scan” کلیک میکنیم تا نرم افزار فرآیند اسکن فایل های حذف شده از آن پوشه را آغاز کند و سپس به سراغ سایر فولدر های آن درایو برود.

همانطور که در بخش پایینی نرم افزار در تصویر زیر مشاهده میکنید، زمان باقی مانده برای اسکن کامل درایو حدود 50 دقیقه است، ولی ما فقط نیاز به اسکن یک فولدر داریم، بنابراین روی آیکون توقف کلیک میکنیم تا اسکن درایو توقف شود.

همانطور که از لیست سمت چپ تصویر بالا نگاه میکنید، فولدر “EaseUS Test Files” همان فولدری است که فایل هایمان را در آن کپی و سپس حذف کرده ایم. حالا باید آن فولدر را باز کنیم تا فایل های حذف شده در آن نمایان شوند. لیست فایل های حذف شده را در تصویر زیر میبینید، حالا میتوانیم هر فایلی که نیاز دارید را از لیست انتخاب کنیم و سپس روی دکمه “Recover” کلیک میکنیم تا نرم افزار به ریکاوری آن ها بپردازد. البته قبل از آن باید محل ذخیره فایل های ریکاوری شده را انتخاب کنیم. توجه داشته باشید که این محل نباید در درایوری باشد که فایل ها قبلاً از آن حذف شده بود.

بعد از انتخاب دکمه “OK” صبر میکنیم تا نرم افزار فایل ها را ریکاوری کند. این کار بسته به تعداد و حجم فایل ها بین چند ثانیه تا چندین دقیقه زمان ببرد. بعد از اتمام کار نرم افزار، پنجره ای باز خواهد شد که خبر از موفقیت آمیز بودن پروسه میدهد و آدرس پوشه فایل های ذخیره شده هم در آن وجود دارد.

با کلیک روی آدرس، فولدر مورد نظر باز میشود و میتوانید فایل های ذخیره شده خود را بدون هیچ نقصی باز کنید. لازم به ذکر است که برای رسیدن به بهترین نتیجه و بدون نقص بودن فایل های ریکاوری شده، بهتر است بعد از اینکه متوجه شدید فایل هایتان حذف شده سریعاً نسبتا به بازگردانی آن ها اقدام کنید، چراکه گم شدن حتی یک بایت میتواند یک فایل دو گیگابایتی را هم بلا استفاده کند.

البته شرکت EaseUS با توسعه دهندگان و برنامه نویسان خبره اش نرم افزاری طراحی کرده که با برترین الگوریتم های موجود هرگونه فایلی را بازگردانی میکند. شرکت EaseUS امکان تست نرم افزار را نیز به کاربران داده تا بعد از تست، نسخه حرفه ای و کامل آن را تهیه کنند.

(این مطلب یک خبرآگهی است)

یک نقص امنیتی موجب شد تا اطلاعات شخصی حدود ۲۰۰۰ خبرنگار حاضر در نمایشگاه بازی های رایانه ای و ویدئویی «ای ۳» در آمریکا افشا شود.

به گزارش خبرگزاری مهر به نقل از سی نت، مشکل امنیتی در وب سایت انجمن نرم افزارهای تفریحی آمریکا که برگزارکننده نمایشگاه ای ۳ است، موجب شد تا اطلاعات تماس خبرنگاران پوشش دهنده رویدادهای نمایشگاه مذکور افشا شده و در دسترس هکرها قرار بگیرد.

این نمایشگاه بزرگترین رویداد نمایشگاهی در حوزه بازی های ویدئویی است و علاوه بر نشریات و سایت های اینترنتی، وب سایت های محبوبی مانند یوتیوب، توئیچ و غیره رویدادهای آن را به طور زنده پوشش دادند.

انجمن نرم افزارهای تفریحی آمریکا روز گذشته با ارسال ایمیل هایی برای خبرنگاران ثبت نام کننده برای پوشش نمایشگاه ای ۳ موضوع را به طور رسمی به اطلاع آنها رسانده و تصریح کرده در طول بیش از ۲۰ سالی که از برگزاری نمایشگاه ای ۳ می گذرد، این اولین بار است که چنین اتفاقی می افتد.

این مشکل قبلا توسط یکی از کاربران یوتیوب به نام سوفیا نارویتز به اطلاع انجمن مذکور رسیده بود، اما اقدامی برای رفع آن به عمل نیامده بود. هویت هکر یا هکرهای عامل این سواستفاده هنوز مشخص نشده است.

امروز قصد داریم در مورد مستند نتفلیکس به نام «هک بزرگ[1]» صحبت کنیم. این مستند نگاهی دارد بر رسوایی بزرگ کمبریج آنالیتیکا[2] که به نحوی با دوران انتخابات ریاست جمهوری 2016 در آمریکا و خروج بریتانیا از اتحادیه اروپا در همین سال گره خورده بود. پیش از آغاز، این را هم بگوییم که در تحلیل امروز ممکن است بخش‌هایی از مستند لو رود؛ بنابراین اگر نمی‌خواهید داستان مستند را بدانید همین الان از خواندن این مطلب صرف‌نظر کنید.

این برنامه ابتدا با عکسی پرقدرت از فستیوال سالانه‌ی برنینگ من[3] شروع می‌شود. بریتانی کایزر روی مجسمه‌ای می‌نویسد «کمبریج آنالیتیکا» و یک سوت به آن وصل می‌کند. بعد سوال اصلی مطرح می‌شود: «چه کسانی از ترس ما تغذیه می‌کنند؟ و چگونه؟». در پی این مقدمه‌ی جذاب، افرادی از جمله کریس وایلی و دیوید کارول به ما معرفی می‌شود. وایلی، چهره‌ی معروف رسوایی کمبریج آنالیتیکاست؛ کسی که همه‌چیز را افشا کرد. کارول هم پروفسوری نیویورکی است که سرخط خبرها را طوری می‌ساخت تا کمبریج آنالیتیکا را به چالش بکشد.

در این مستند دو طرف داستان نمایش داده شده است. وایلی نشان‌دهنده‌ی ماشین سیاسی‌ای به نام کمبریج آنالیتیکا و کارول، صدای کاربرانِ روزانه‌ی رسانه‌‌های اجتماعی است که همچنان دارند توسط سازمان‌ها و شبکه‌هایی همچون کمبریج آنالیتیکا (که هدفشان جمع‌آوری اطلاعات‌ است) مورد سوءاستفاده قرار می‌گیرند.

 در حال حاضر، اطلاعات شبکه‌های اجتماعی و مبحث حریم خصوصی از جمله عناوینی است که سعی می‌شود در کسپرسکی مورد بررسی قرار گیرد. به بیانی دیگر، ما انسان‌ها دیگر داریم اشتراک‌گذاری دیجیتال را از حد می‌گذرانیم و این اصلاً چیز خوبی نیست. خیلی از ما حتی توافقنامه مجوز کاربر نهایی (EULA) را هم نمی‌خوانیم. این مسئله چندان هم پیچیده نیست که کسی نتواند متوجه شود: ما برای استفاده از یک پلت‌فرم داریم چیزهای زیادی را در دسترس قرار می‌دهیم. حریم‌خصوصی و اطلاعت شخصی ما فدای این استفاده‌ی (به ظاهر) رایگان شده است. شرکت‌های مؤسس چنین سرویس‌هایی، تبلیغ‌کنندگان و کمپین‌های سیاسی در سراسر جهان با استخراج این داده‌ها می‌توانند اهداف خود را عملی کنند.

به گفته‌ی وایلی و کارول، کمبریج آنالیتیکا نه تنها اطلاعاتی را که کاربران در این رسانه‌ی اجتماعی به اشتراک گذاشته بودند در دست گرفت که همچنین بر اساس ضوابط و قرائن  EULA توانستند از پروفایل کاربر نیز سوءاستفاده کرد. این شرکت قادر بود به لحاظ روانشناختی از این اطلاعات برای ساخت وجهه‌ای مناسبِ یک فرد آمریکاییِ رأی‌دهنده بهره گیرد.

حال، بریتانی کایزر وارد می‌شود.

کایزر -که سابقاً در کمپین انتخاباتیِ باراک اوباما بود- طی همکاری خود با کمبریج آنالیتیکا در کمپین‌های تد کروز و دونالد ترامپ فعالیت نمود. او درست در همین منصب بود که با همان استراتژی سابق (برای انتخاب شدن باراک اوباما) ذهنیت عوام را دستاویزی برای انتخابات ریاست جمهوری کروز و ترامپ قرار داد.  

ایده‌ی اصلی: گرفتنِ اطلاعات موجود در نمودارهای اجتماعیِ کاربران برای از نو ساختن اطلاعات مصرف‌شده به نحوی که روی رأی‌شان برای انتخاب تأثیر بگذارد. این اطلاعات هیچگاه واقعی و بدون غرض‌مندی نبود اما به طور مؤثری به کار گرفته می‌شد.

از همین روست که می‌گوییم کایزر، شخصیت اصلی است و به طور حتم در طول این مستند او را در نقش‌های مختلفی خواهید دید: شرور، قهرمان، جان‌فشان و ... . در نهایت او با افشاگری خود در این مستند نشان داد چطور شبکه‌های اجتماعی می‌توانند روی اذهان عمومی کار کنند و فکرشان را به سمت و سوهای مختلفی سوق دهند.

اگر در این 5 سال در آمریکا یا انگلستان زندگی گرده باشید احتمالاً ماجرای این رسوایی و تأثیرش روی انتخابات ترامپ را زیاد شنیده‌اید. با این حال، در این مستند نمونه‌های مشابه در کشورهای دیگر را نیز به تصویر می‌کشد. کمبریج آنالیتیکا و شرکت مادر او از قبل هم کمپین‌های نظامی و اجتماعی-سیاسی داشتند.

پروتاگونیستِ بعدی کارول کادوادر است؛ او انعکاس‌دهنده‌ی بُعدِ رسانه‌ایِ ماجراست. بواسطه‌ی این روزنامه‌نگارِ گاردین و آبزرور است که از چالش‌های بخش پوشش‌دهی رسانه‌ای باخبر می‌شویم. صدای او صدای اعتراض به نبودِ قوانین کافی برای انتخابات و جنگ با استفاده‌ی اخبار جعلی و ترفندهای فریب‌دهنده (استفاده از رسانه‌های اجتماعی به عنوان حربه‌ای برای فریب عوام) است. او از میان کلی سوالات دیگر این پرسش را دارد: «آیا در چنین عصری، برگزاری دوره‌ی انتخاباتی منصفانه امکان‌پذیر است؟»

 این سوالِ مهمی است که البته پاسخ دادن به آن در این مقال نمی‌گنجد.

این قصه‌های به هم تنیده؛ ماجرای این مُهره‌ی کوچک که در قابی بزرگ‌تر، نقشی تعیین‌کننده‌تری پیدا می‌کند بیشتر از اینکه شبیه به یک مستند باشد به فیلمی روان‌شناختی شبیه است. بنابراین تقدیر و سپاس فراوان به تیم نتفلیکس بابت ساخت چنین اثری.

به طور کلی، این برنامه تلنگری بود برای کسانیکه روزانه وقت زیادی را صرف استفاده از شبکه‌های اجتماعی می‌کنند. با این مستند خیلی خوب می‌شود دید چطور از اطلاعات خودتان، بر علیه‌تان استفاده می‌شود و تازه جدی‌تر از آن این که می شود حتی این اطلاعات را برای مقاصدی خاص دستکاری کرد. پس شاید بهتر است بگوییم پاسخ سوال فوق، «نه» باشد. به طور خلاصه، ما در ازای استفاده‌ی رایگان از این پلت‌فرم‌ها داریم اطلاعات و حریم‌خصوصی خود را در اختیار قرار می‌دهیم (راستش را بخواهید از قدیم گفته‌اند هیچ گربه‌ای محض رضای خدا موش نمی‌گیرد!).

این فیلم آنچنان شما را درگیر می‌کند که روند گذر آن را حس نخواهید کرد. در این مستند، چشم‌انداز جدیدی نسبت به انتخابات، دموکراسی و اختلاف اجتماعی شکل می‌گیرد. جالب اینجاست مهره‌ی شرور این بازی، دیگر روس‌ها نیستند بلکه دیجیتال‌بازهای غربی‌اند.

ما اکنون پا در لبه‌ی جهانی جدید گذاشته‌ایم؛ جهانی که دیگر امور عجیب و محیرالعقول تنها برای فیلم‌ها نیست؛ بلکه هر روز شاهد نمونه‌هایی از آن‌ها در واقعیت نیز هستیم. اطلاعات اکنون حکم ارز را دارند؛ آن هم ارزهایی به شدت ارزشمند. آیا ما –به عنوان گونه‌های انسانی- قرار است روزی به خودمان بیاییم و راهی برای کنترل اطلاعات خود پیدا کنیم یا نه؟

شاید یا تماشای این مستند احساس عجز کنید و فکر کنید بازنده‌ی این میدان هستید؛ اما هنوز هم راه‌هایی وجود دارد: وقتی صحبت از شبکه‌های اجتماعی می‌شود باید بدانید دارید از چه شبکه‌هایی استفاده می‌کنید و چه چیزهایی را به اشتراک می‌گذارید. اگر هنوز با این ساز و کار آشنایی ندارید توصیه می‌کنیم اکانت خود را پاک کنید.

[1] The Great Hack

[2] Cambridge Analytica scandal

[3] Burning Man

منبع: کسپرسکی آنلاین

تهیه و تنظیم: روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)

فیس بوک قصد دارد نام سرویس های اینستاگرام و واتس آپ را تغییر دهد. طبق این تصمیم سرویس های مذکور از این پس«اینستاگرام از فیس بوک» و «واتس آپ از فیس بوک» نامیده خواهند شد.

به گزارش خبرگزاری مهر به نقل از انگجت، گزارشی جدید نشان می دهد فیس بوک تصمیم دارد نام اینستاگرام و واتس آپ را تغییر دهد. طبق این گزارش فیس بوک به کارمندان خود اعلام کرده نام خود را به این دو سرویس می افزاید. به این ترتیب پلتفرم های مذکور پس از این «اینستاگرام از فیس بوک» و «واتس آپ از فیس بوک» نامیده خواهند شد.

سخنگوی فیس بوک نیز این تغییرات را تایید و اعلام کرد: ما می خواهیم درباره محصولات و سرویس های فیس بوک شفاف تر عمل کنیم.

اما به نظر می رسد با توجه به رسوایی های پی در پی مربوط به افشای اطلاعات کاربران فیس بوک، پشتیبانی از این سرویس ها به طور علنی برای شرکت بار منفی نیز دربر خواهد داشت.

البته تصمیم به تغییر نام این سرویس ها نیز یکباره نیست. 

بنیانگذاران اینستاگرام در پاییز ۲۰۱۸ میلادی این شرکت را ترک کردند. پیش از آن نیز برایان اکتون و جان کوم  (موسسان واتس آپ) نیز شرکت خود را ترک کردند.

اینکه سیستم‌عامل آیفون یا آیپد خود را به محض آمدن نسخه‌ی جدیدش آپدیت کنید کار بسیار خوبیست- تقریباً هر نسخه‌ی جدیدی از iOS با خود چند مورد باگِ برطرف‌شده دارد که در نسخه‌های قبلی دیده شده بود. اما این بار شاید این ماجرا پیچیده‌تر باشد: iOS 12.4 چندین آسیب‌پذیریِ جدی را در iMessage برطرف کرده است؛ آسیب‌پذیری‌هایی که بدون دخالت کاربر هم می‌توانند مورد اکسپلویت قرار گیرند.

این شش آسیب‌پذیری مهم در iOS توسط ناتالی سالیوانوویچ و ساموئل گروب؛ دو عضو تیم باگ‌یابیِ شرکت گوگل موسوم به پروژه‌ی صفر[1] پیدا کردند. آنچه تا کنون مشخص شده این است که باگ‌های مذکور به مهاجم اجازه می‌دهند تا کد آلوده‌ای را روی آیفون یا آیپد قربانی (بدون هیچ دخالت کاربر) اجرا کنند. تنها کاری هم که مهاجم برای اجرا شدن این اکسپلویت باید انجام دهد فرستادن پیامی آلوده به گوشیِ قربانی است.

درحالیکه چهار آسیب‌پذیری را می‌توان برای اجرای ریموت این کد آلوده استفاده کرد؛ دو آسیب‌پذیریِ دیگر به مهاجم اجازه می‌دهد تا فایل‌ها را روی دستگاه هک‌شده خوانده و اطلاعات را از روی مموری آن نشت دهد.

ترکیب هر شش آسیب‌پذیری، باگی را شکل می‌دهد که طی آن، کل داده‌های ذخیره‌شده روی آیفون قربانی‌ها بدون دخالت کاربری تحت کنترل مهاجم قرار می‌گیرد و هیچ‌چیز از این خطرناک‌تر نمی‌شود. علاوه بر اینها، از آنجایی که برای iOS هیچ آنتی‌ویروسی هم وجود ندارد شاید حتی کاربر نتواند این فعالیت آلوده را شناسایی کند (دیگر نگوییم که حتی توانایی مقابله با آن را هم نخواهد داشت).

این باگ‌ها عزیزکرده‌های مهاجمین هستند. برای مثال، طبق نمودار قیمت‌هایی که شرکت Zerodium در دسترس عموم قرار داده است، باگ‌هایی که در این سطح هستند می‌توانند هر یک تا سقف 1 میلیون دلار قیمت داشته باشند. با این تفاسیر، ZDNet قیمت باگ مذکور را چیزی بین 5 تا 10 میلیون دلار قیمت‌گذاری می‌کند.

محققین بر این باورند که حتی شاید  iOS 12.4 نتواند جلوی اکسپلویت شدن هر شش آسیب‌پذیری را بگیرد. از همین رو سالیوانوویچ و گروب قرار است جزئیات این باگ‌ها و همچنین اثبات مفهوم[2] نحوه‌ی اکسپلویت شدن آن‌ها را در کنفرانس امنیتی  Black Hat USA در اختیار عموم قرار دهند.

به هر صورت بهترین کار این است که هر کاربر iOS علی‌الحساب هر چه سریعتر نسبت به آپدیت  iOS 12.4 اقدام کند.

برای آپدیت iOS به Settings -> General -> Software Update رفته و روی گزینه‌ی Download and Install بزنید.

برای مطلع شدن از وجود آسیب‌پذیری‌ها در نرم‌افزاری که استفاده می‌کنید Kaspersky Security Cloud را نصب نمایید.

[1] Project Zero

[2] proof of concept

منبع: کسپرسکی آنلاین

 ترجمه و تنظیم: روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛ 

بسیاری از شرکت‌ها اجازه می‌دهند کارمندان در محل کار از دستگاه‌های شخصی‌شان استفاده کنند- از تماس‌های کاری با گوشی‌های شخصی گرفته تا وصل شدن به اینترنت سازمانی با لپ‌تاپ‌های خانگی. چنین کاری می‌تواند از چند جهت مزیت داشته باشد؛ خصوصاً اگر شرکت‌ها کوچک باشند: کارمند از قبل قلق دستگاه دستش آمده و حسابی با کارکردهای آن آشناست؛ شرکت نیز دیگر احتیاج نیست بابت خرید دستگاه‌هایی برای کارمندان خود دست به جیب شود. اما در این میان خطراتی هم وجود دارد: ریسک‌های سایبری در حوزه‌ی کسب و کار این شرکت‌ها دو برابر می‌شود.

دستگاه‌های شخصی در محل کار- امری طبیعی

در طول چند سال اخیر، تعداد سازمان‌هایی که خط‌مشی‌شان بر پایه‌ی فناوری BYOD[1] است روز به روز بیشتر از قبل رشد می‌کند. طبق پژوهشی که شرکت Oxford Economics سال گذشته انجام داد مشخص شد دستگاه‌های موبایل نقش تعیین‌کننده‌ای در فرآیندهای سازمانی 75 درصد شرکت‌ها ایفا می‌کنند. علاوه بر این، تنها 17 درصد کارفرماها ترجیح می‌دهند برای کل پرسنل خود، گوشی‌های مخصوص شرکت تهیه نمایند. بقیه همگی کم و بیش اجازه می‌دهند کارمندان در محل کار، از دستگاه‌های شخصی خود استفاده کنند.

آیا صاحبان، خود مسئول حفاظت از دستگاه‌های شخصی‌شان هستند؟

درحالیکه سرورهای سازمانی و ایستگاه‌های کار به طور کلی به طور مطمئنی محافظت می‌شوند، لپ‌تاپ‌های شخصی، اسمارت‌فون‌ها و تبلت‌های مدیران و کارمندان همیشه هم از سوی دپارتمان امنیت آی‌تی پشتیبانی نمی‌شوند. در عوض، فرض بر این گذاشته می‌شود که دارندگان، خود باید مراقب دستگاه‌های شخصی خود باشند.

این رویکرد دقیقاً همان چیزیست که همیشه مجرمان سایبری می‌خواهند. این که می‌گوییم شایعه یا حدس و گمان نیست: این دزدی‌ها و هک‌های گجت‌های شخصی هر روزه در همه جای دنیا دارد اتفاق می‌افتد. در ادامه تنها قصد داریم چند نمونه‌ را یادآور شویم:

سرقت دستگاه

ماه ژوئن سال گذشته، سازمان دارویی میشیگان[2] -در پی دزدیده شدن لپ‌تاپ شخصی یکی از کارمندان این شرکت- نشتی احتمالی اطلاعات حدود 870 بیمار را گزارش داد. اطلاعات داخل این لپ‌تاپ -برای مقاصد پژوهشی- روی لپ‌تاپ شخصی مذکور ذخیره شده بود (که البته بسته به هر پروژه هم با یکدیگر متفاوت بودند)؛ اما سوابق در خود اطلاعاتی نظیر نام، تاریخ تولد، جنسیت، تشخیص بیماری و سایر اطلاعات مربوط به درمان بیماران داشت.

هک کردن کامپیوتر خانگی

اینکه سارق از اطلاعات استفاده کرده است یا نه هنوز در هاله‌ای از ابهام است؛ اما در پی همین واقعه کلاینت‌های Bithumb بدبین شدند. مجرمان سایبری وارد کامپیوتر خانگی یکی از کارمندان این شرکت شدند و اطلاعات کیف‌پول حدود 32 هزار کاربر در این سرویس صرافی ارز دیجیتال را سرقت کردند. در نتیجه، این بی‌وجدان‌ها توانستند صدها هزار دلار از اکانت کلاینت‌های سرویس Bithumb برداشت کنند.

با این که شرکت قول داد تمام خسارات قربانیان را با هزینه‌ی شخصی پرداخت کند؛ اما مشتریان هنوز هم کینه دارند و از شکایت خود بر علیه این سرویس دست بردار نیستند.

خط‌مشی BYOD و امنیت

اینه صرفاً به کارمندان اجازه دهیم تا از دستگاه‌های خود استفاده کنند و فکر کنیم داریم از سیاست BYOD پیروی می‌کنیم کافی نیست. اینکه بگذارید کارمندی برای ذخیره‌ی اطلاعات و استفاده از داده‌های مربوط به کارش از گوشی یا لپ‌تاپ شخصی‌اش استفاده کند یعنی اینکه پذیرفته‌اید هر خطری سازمان شما را تهدید کند. به منظور کاهش احتمال آسیب دیدن از چنین خطراتی اقدامات زیر را توصیه می‌کنیم:

واحدهای آموزشی در خصوص جدیدترین تهدیدهای سایبری و افزایش آگاهی امنیتی برگزار کنید. کارمندان نیاز دارند نسبت به خطرات استفاده از دستگاه‌های شخصی در محل کار به درک و آگاهی کافی برسند.
مطمئن شوید تمام گجت‌هایی که به داده‌ها و شبکه‌های سازمانی دسترسی دارند مجهز به راه‌حل‌های امنیتی‌ باشند- ایده‌آل‌ترین شرایط این است که همگی تحت مدیریت مسئول شرکت باشند. اگر چنین چیزی ممکن نیست، به کارمندان توصیه کنید دست کم برای دستگاه‌های شخصی خود راه‌حل‌های امنیتی خانگی نصب کنند. و به طور کلی اجازه‌ی استفاده از دستگاه‌های محافظت‌نشده را ندهید.
مطمئن شوید تمامی اطلاعات محرمانه‌ی روی این اسمارت‌فون‌ها، تبلت‌ها  و لپ‌تاپ‌ها در قالبی رمزگذاری‌شده ذخیره شده باشد. سیستم‌عامل‌های مدرن موبایل به کاربران اجازه می‌دهند کل گوشی یا تبلت خود را رمزگذاری کنند. برای رمزگذاری‌ مطمئن داده‌ها، پیشنهاد ما به شما Kaspersky Small Office Security است. بدین‌ترتیب، حتی اگر دستگاه گم یا دزدیده، این راه‌حل نخواهد گذاشت افراد غریبه به داده‌های حیاتی دسترسی پیدا کنند.

Kaspersky Small Office Security مخصوص تأمین نیازهای شرکت‌های کوچک است. استفاده از این راه‌حل نه نیاز به مهارت خاص دارد و نه آموزش (در بخش ادمین). هر کسی می‌تواند این کنترل پنلِ مبتنی بر وب را مدیریت کند. در عین حال، این بسته‌ی امنیتی هم کامپیوترها و هم دستگاه‌های موبایل را تحت پوشش حفاظتی خود قرار می‌دهد. 

[1]دستگاه خود را بیاورید

[2]  Michigan Medicine 

منبع: کسپرسکی آنلاین

تهیه و تنظیم: روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)

طبق رای دادگاه دیوان عدالت اتحادیه اروپا، شرکت هایی که از دکمه لایک فیس بوک استفاده می کنند قبل از ارسال اطلاعات کاربران به این شبکه اجتماعی باید از رضایت آنها اطمینان حاصل کنند.

به گزارش خبرگزاری مهر به نقل از رویترز، طبق رای دادگاه دیوان عدالت اتحادیه اروپا(ECJ) در لوگزامبورگ، شرکت هایی که دکمه «لایک» فیس بوک را در وب سایت های خود قرار می دهند باید قبل از دادن اطلاعات شخصی کاربران به این شرکت آمریکایی، از رضایت آنها اطمینان حاصل کنند.

 پلاگین های وب سایت ها مانند «لایک» فیس بوک یک ویژگی معمول در خرید آنلاین است زیرا شرکت ها سعی دارند کالاهایشان را در شبکه های اجتماعی پرطرفدار تبلیغ کنند. اما کارشناسان بیم آن دارند با این روش اطلاعات کاربران منتقل و در نتیجه قوانین حفظ حریم خصوصی کاربران شکسته شود.

 دادگاه  دیوان عدالت اتحادیه اروپا(ECJ)  پس از آن صادر شد که یک سازمان حمایت از مصرف کننده در آلمان شرکت خرده فروشی آنلاینFashion ID را به نقض قوانین حفظ اطلاعات شخصی کاربران به وسیله پلاگین «لایک» فیس بوک متهم کرد.

 در نتیجه این روند دادگاه آلمان نیز به دنبال راهنمایی در این باره بود. قضاتECJ نیز اعلام کردند وب سایت ها و فیس بوک به طور مشترک مسئول حفاظت از اطلاعات کاربران هستند.

طبق قوانین حفظ حریم خصوصی اطلاعات اتحادیه اروپا که سال گذشته تصویب شد، کنترل کننده اطلاعات تعیین می کند که چرا داده های شخصی باید جمع آوری و پردازش شوند و همچنین رضایت کاربران را تضمین می کند.

پردازنده اطلاعات که معمولا یک شرکت ثالث است، فقط اطلاعات شخصی را از طرف کنترل کننده پردازش می کند. به گفته قضات اپراتور وب سایتی که دارای دکمه لایک فیس بوک است ، به طور مشترک با فیس بوک مسئول جمع آوری و انتقال اطلاعات شخصی بازدید کنندگان به وب سایت شبکه اجتماعی هستند.

همچنین قضات اعلام کرده اند: این خرده فروش آلمانی از مزیت تجاری  بهره مند شده زیرا دکمه «لایک» محصولات خود را در فیس بوک نمایان تر می کند. هرچند این  شرکت هیچ مسئولیتی در قبال پردازش داده های بعدی فیس بوک ندارد.

 فیس بوک نیز اعلام کرده رای دادگاه اهمیت پلاگین های وب سایت روشن می کند و آنها یک ویژگی مهم اینترنت هستند.

در حالی که برخی کشورهای بزرگ جهان سیاست‌های محافظه کارانه‌ای را در پیش گرفته‌اند کشورهای کوچک و نه چندان مطرح اما به سرعت در حال فعال شدن در این بازار و تثبیت سهم خود از بازار ارزهای مجازی جهانی هستند.

به گزارش فارس به نقل از رویترز، در ماه مارس 2017  الکساندر لوکاشنکو رئیس‌جمهور بلاروس با یک سرمایه‌دار و کارآفرین به نام ویکتور پروکوپنیا دیدار کرد.

این دیدار قرار بود نهایتا یک ساعت به طول بیانجامد اما پس از آنکه این دو شخصیت با یکدیگر دیدار کردند مدت زمان ملاقات آنها سه ساعت طول کشید. 

به گفته پروکوپنیا این ملاقات با درخواست رئیس‌جمهور بلاروس برای ارائه پیشنهاد قوانین جدید برای بالا بردن عملکرد این کشور در حوزه فناوری اطلاعات به پایان رسید.

سرمایه‌دار بلاروسی پس از این دیدار با همکاری شرکت‌های آی‌تی و وکلای گوناگون توانست دستورالعمل ورود بلاروس به صنعت نوپای ارزهای دیجیتال یا مجازی را فراهم کند.

حالا پس از دو سال آن دستورالعمل به قانون تبدیل شده است.

سرمایه‌گذاران می‌توانند در پلت فرم ایجاد شده توسط پروکوپنیا به داد و ستد بیت کوئین پرداخته و دیگر شرکت‌های بلاروسی نیز در حال ایجاد پلت فرم‌های نقل و انتقال ارزهای مجازی اختصاصی خود هستند.

پروکوپنیا طی مصاحبه‌ای با رویترز در لندن گفته است که هدف این بود که همه چیز از پایه و اساس ایجاد شود و این اطمینان حاصل شود که در برخی ابعاد که مبادلات باید آزاد باشند این آزادی فراهم شده و در دیگر ابعاد سختگیری‌های شدیدی اعمال شود. 

در واقع بلاروس یکی از چند کشور کوچک جهان است که قوانین خاصی را برای ارزهای مجازی اجرایی کرده است. 

اقدامات مقامات بلاروس می‌تواند به شکل‌گیری و توسعه بازار جهانی و رشد نقش‌آفرینان این صنعت از پلت فرم‌های داد و ستد گرفته تا کارگزاری‌ها منجر شود.

می‌توان گفت که شرکت‌های فعال در حوزه ارزهای مجازی برای ایجاد فروشگاه‌های خود همواره  مجبور به انتخاب بین دو گزینه سخت هستند. 

در قالب گزینه اول مراکز اصلی مالی جهان نظیر لندن و نیویورک که قوانین سنتی بر حوزه خدمات مالی اعمال می‌شود ممکن است برای شرکت‌های بزرگ که به دنبال امنیت هستند، جذاب به نظر برسد اما پیچیدگی رعایت این قوانین و هزینه آنها بسیاری از استارت آپ‌ها در این صنعت نوپا را در همان قدم‌های نخستین متوقف کرده است.

گزینه دوم هم رفتن به سمت کشورهایی نظیر بلیز و سیشل است که قوانین بسیار سبک و خیلی ساده بر بازار ارز مجازی و دسترسی به آن ایجاد شده است اما باید گفت کشورهای با قوانین آسان و نه چندان سختگیرانه حمایت کمتری را برای سرمایه‌گذاران فراهم کرده و حساسیت کمتری نسبت به پولشویی دارند.

در عین حال کشورهایی نظیر بلاروس و دیگر کشورهای تازه وارد نظیر بحرین، مالتا و جبل‌الطارق در تلاش هستند تا راه سومی پیش پای شرکت‌های فعال در حوزه ارزهای مجازی بگذارند و این راه ایجاد قوانین اختصاصی برای حوزه ارزهای مجازی است تا از این طریق بتوانند با ایجاد امنیت حقوقی در کنار ارائه مشوق‌های دیگر نظیر معافیت مالیاتی  شرکت‌های ارز مجازی را جذب کند. 

اگرچه هیچ تضمینی برای موفقیت کشورهای مزبور در این زمینه وجود ندارد اما صنعت ارز مجازی فرصتی مغتنم را برای آنها ایجاد می‌کند که در حالی که مراکز مالی بزرگ جهان سیاستی محافظه‌کارانه را در قبال ارزهای مجازی در پیش گرفته‌اند  این کشورهای کوچک و یا  قلمروها بتوانند سهم کوچکی از این بازار نوظهور داشته وبه شکلی بالقوه به جذب سرمایه‌ بپردازند و شاید افزایش اشتغال باشند.

جسی اورال یکی از وکلای مؤسسه کلیفورد چنس نیویورک که اتفاقا در زمینه ارزهای مجازی تخصص داد، می‌گوید: از یک طرف ما قوانین حقوقی در برخی کشورها را داریم که بسیار ضعیف هستند و در طرف دیگر ماجرا کشورهایی نظیر آمریکا، انگلیس و اتحادیه اروپا با قوانین بسیار سختگیرانه هستند اما در وسط اتفاقا قسمت شیرین و پرسود ماجرا که شامل کشورهایی نظیر بلاروس و بحرین است قرار دارد.

هم شرکت‌ها و هم کشورها باید به صورت مشترک از ایجاد زیرساخت‌ها و چارچوب مبادلات ارز مجازی منفعت ببرند اما کشورهایی که قوانین نادرست و نامتناسب در این زمینه وضع می‌کنند ممکن است فریب قوانین جهانی را خورده و دچار بحران‌های مهمی در این حوزه از جمله قاچاق ارزهای مجازی شوند.

در حقیقت ابهاماتی جدی در زمینه توانایی این کشورها در زمینه جلوگیری و مقابله با اقدامات غیرقانونی نظیر پولشویی و حک شدن شرکت‌ها، وجود دارد.

این مسائل می‌توانند به طاعون این صنعت بدل شده و به اعتبار کشورها به عنوان مرکز امن مبادلاتی آسیب بزند.

یک مشکل دیگر در زمینه قانونگذاری در فضای ارز مجازی این است که با توجه به سرعت بسیار بالای توسعه این صنعت و غیرقابل پیش‌‌بینی بودن آن ممکن است این قوانین خیلی زود تاریخ‌شان بگذرد.

شرکت ZPX سنگاپور که در صنعت ارزهای مجازی فعال است قصد دارد یک پلت فرم مبادلات ارز مجازی ایجاد کند. 

این شرکت تصمیم گرفته پلت فرم خود را در منامه، پایتخت بحرین ایجاد کند و دغدغه‌های این شرکت مشکلات بزرگی است که تمام بازیگران بازار ارزهای مجازی در اقصی نقاط جهان با آن روبرو هستند.

مدیرعامل این شرکت می‌گوید که تصمیم گرفته‌ایم که در کشورهایی که در این زمینه قواعد سفت و سخت دارند و یا اصلا قانونی در این زمینه ندارند، فعالیت نکنیم. اینگونه مراکز می‌توانند با داغ شدن بازار تحقیقات درباره دارندگان ارز مجازی و نحوه مبادلات آن سرمایه‌گذاران را از بازار دور کنند.

بحرین در ماه فوریه سال جاری قوانینی را برای فعالیت شرکت‌های مرتبط با ارزهای مجازی تدوین کرد که از جمله آنها ایجاد پلت فرم مبادلاتی، بررسی سوابق خریداران، اعمال استانداردها و همچنین کنترل سایبری است.

به گفته رامانی راماچاندران مدیرعامل ZPX هزینه فعالیت در بحرین نسبت به دیگر نقاط جهان نیز منطقی‌تر است. در واقع هزینه رعایت قوانین و پرداخت مطالبات دولتی در این زمینه در بحرین و دیگر کشورهای کوچک در مقایسه با مراکز بزرگ مالی جهانی مانند نیویورک بسیار ارزان‌تر است.

بر اساس ارزیابی ZPX هزینه هر سال فعالیت در بحرین در صنعت ارز مجازی حدود 200 هزار دلار خواهد بود که البته این رقم  در جایی مانند لندن به 750 هزار دلار در سال افزایش خواهد یافت.

آدیتیا میشرا یکی دیگر از مقامات ارشد ZPX می‌گوید: از دیگر مزایای فعالیت در کشورهای کوچک ارتباط نزدیک  شرکت‌های فعال در این زمینه با قانونگذاران است که این مسئله در کشورهای بزرگ به سختی انجام می‌شود.

از طرف دیگر کشور بحرین دسترسی خوبی به بازار کشورهای حاشیه خلیج فارس فراهم کرده است.

شرکت iExchange یکی دیگر از شرکت‌هایی است که در زمینه ارز مجازی فعالیت خود را در مینسک پایتخت بلاروس آغاز کرده است.

این شرکت قصد دارد از کشورهایی نظیر روسیه و کشورهای شوروی سابق جذب سرمایه کند. 

یکی از مقامات این شرکت می‌گوید بلاروس بهترین گزینه بود چرا که قوانین حقوقی داشت که این قوانین در کشورهای دیگر منطقه وجود ندارد. 

در بلاروس جزئیات حسابرسی و صورت‌های مالی مربوط به هر گونه فروش ارزهای دیجیتال و هر پروژه‌ای که مربوط به انتشار ارزهای دیجیتال است باید به دولت این کشور ارائه گردد.

پلت فرم‌های نقل و انتقال ارزهای مجازی در این کشور هم ملزم هستند که مبادلات مشکوک را زیر نظر داشته تا استانداردهای مربوط به مبارزه با پولشویی را رعایت کنند.

از طرف دیگر بلاروس مشوق‌هایی را نیز که از جمله آنها ارائه تخفیف مالیاتی به شرکت‌های معدن‌کاو یا ماینر ارز مجازی و یا مبادلات آن است، برای فعالان بازار فراهم کرده است.

این قوانین از سوی دولت با نام "هویج‌های بدون چماق" نامگذاری شده که در قالب آنها صدور ویزا برای شرکت‌ها تسهیل شده و قوانین کمتر سختگیرانه‌ای اعمال می‌شود.

در عوض در کشورهایی نظیر انگلیس و آمریکا هر گونه تراکنش مرتبط با ارز مالی مشمول مالیات می‌شود.

ارزیابی حجم مبادلاتی و ارزش بازار ارزهای مجازی در جهان در شرایط کنونی قابل محاسبه نیست چرا که این بازار در حال حاضر با کمبود شفافیت و پیچیدگی همراه است.

اما مؤسسه ریسرچ اند مارکتز ایرلند تخمین زده است که حجم مبادلات ارزهای مجازی تا سال 2024 افزایش چشم گیری را نسبت به شرایط کنونی خواهد داشت.

آنه صوفی کلوتس یکی از نویسندگان تحقیق مربوط به قوانین ارزهای مجازی در دانشگاه کمبریج می‌گوید: وجود قانون در یک منطقه می‌تواند به شرکت‌ها دسترسی عمیق‌تر به بازار با نقدینگی بیشتر را فراهم کرده و برای آنها اطمینان بیشتری را نسبت به ثبات قانونی ایجاد می‌کند.

بانک کاپیتال وان آمریکا اعلام کرد که اطلاعات شخصی شامل نام و آدرس، شماره خدمات تأمین اجتماعی و لینک حساب کاربری حدود صد میلیون از مشترکان آمریکایی و کانادایی این بانک از سوی یک هکر به سرقت رفته است.

به گزارش فارس به نقل از رویترز، بانک کاپیتال وان آمریکا اعلام کرد یک هکر توانسته است اطلاعات کاربری حدود صد میلیون مشترک این بانک را به سرقت ببرد. 

این اطلاعات شامل نام و محل سکونت، شماره خدمات تأمین اجتماعی و لینک حساب بانکی مشتریان بوده و تعداد کاربرانی که اطلاعات آنها دستخوش سرقت شده حدود صد میلیون نفر در آمریکا و 6 میلیون نفر در کانادا اعلام شده است.

بنا به اعلام کپیتال وان هکر مذکور دستگیر شده  و 33 سال سن دارد.

این هکر پیش‌تر در یک شرکت کامپیوتری در سیاتل آمریکا مهندس نرم‌افزار بوده و نام وی از سوی مقامات آمریکایی پیج تامسون اعلام شده است.

این هک بزرگ بین روزهای 12 مارس تا 17 جولای انجام شده و تامسون اطلاعات مربوط به هک خود را در یک پلت فرم رمز نگاری قرار داده بود.

یک کاربر دیگر این اطلاعات را دیده و سپس به بانک کاپیتال وان گزارش داده است.

هکر مذکور در روز 19 جولای توسط مقامات قضایی آمریکا بازداشت شد.

به گفته نماینده دفتر دادستانی آمریکا هنوز انگیزه تامسون از هک اطلاعات میلیون‌ها کاربر مشخص نیست.

کاپیتال وان اعلام کرده که هزینه تحمیل شده به این بانک ناشی از هک مزبور بین 100 تا 150 میلیون دلار برآورد می‌شود که شامل هشدار به کاربران، نظارت اعتباری و انجام امور قانونی می‌شود.

لوکا بونگیورنی از شرکت نرم‌افزاری بنتلی سیستم در طول سخنرانی‌اش در #TheSAS2019، دستگاه‌های یو‌اس‌بی را اصلی‌ترین منابعِ بدافزارها برای سیستم‌های نظارتی صنعتی خواند. بیشتر افرادی که به نحوی با امنیت سر و کار دارند داستان‌ قدیمیِ افتادن تصادفیِ فلش‌داریوها در پارکینگ به گوششان رسیده است- داستان امنیتی‌ محبوب تأثیرگذاری که مدام تعریف می‌شود.

داستان -واقعی- دیگر در مورد فلش‌داریوهای یو‌اس‌بی، داستان کارمند یک شرکت صنعتی بود که می‌خواست فیلم لالالند را ببیند و برای همین تایم ناهار، شروع کرد به دانلود این فیلم روی فلش‌داریو. و اینطور شد که سیستم مبتنی بر معیار شبکه شکاف هوا[1] این نیروگاه هسته‌ای آلوده شد- داستانی کاملاً آشنا از آلودگی زیرساختی حیاتی. اما افراد اصولاً فراموش می‌کنند دستگاه‌های یو‌اس‌بی تنها به فلش‌درایوها محدود نمی‌شوند. دستگاه‌های رابط انسان (HIDs) همچون کیبورد و موس، کابل‌های شارژ اسمارت‌فون و حتی چیزهایی از قبیل گوی پلاسما و ماگ‌های حرارتی می‌توانند جوری دستکاری شوند تا سیستم‌های نظارتی صنعتی را مورد هدف قرار دهند.

تاریخچه‌ای کوتاه از  USBهایی که به عنوان حربه‌ای برای حمله به کار رفتند

با وجود فراموشکاری افراد، اخبار یو‌اس‌بی‌هایی که به عنوان حربه‌ از آن‌ها استفاده می‌شود چندان هم تازه نیست. اولین باری که چنین دستگاه‌هایی نوشته شدند به سال 2010 برمی‌گردد. این دستگاه‌ها در واقع مبتنی بر صفحه‌ی کوچک قابل‌برنامه‌ریزی به نام تینسی (Teensy) و مجهز به کانکتور یو‌اس‌بی بودند که می‌توانستند همچون  HID‌ها عمل کنند. آن‌ها در حقیقت ضربات روی دکمه‌های کیبود را به پی‌سی ارسال می‌کردند. هکرها متوجه شدند که از این دیوایس‌ها می‌شود برای تست نفوذ استفاده کرد. از همین رو موفق به ساخت نسخه‌ی برنامه‌نویسی‌شده‌ای شدند که کاربران جدیدی می‌ساخت؛ برنامه‌هایی را بک‌ُدر اضافه می‌کرد اجرا  و بدافزار را یا با کپی آن و یا دانلودش از وبسایتی خاص تزریق می‌کرد. اولین نسخه از این تینسیِ دستکاری‌شده PHUKD. Kautilya, نام داشت که با صفحات محبوب Arduino (که بعداً تولید شد) سازگاری داشت. بعد سر و کله‌ی Rubberducky پیدا شد- شاید بشود آن را بهترین ابزار یو‌اس‌بی شبیه‌سازی ضربات کیبورد قلمداد کرد. ابزار قدرتمندتری موسوم به  Bash Bunny نیز در سری حملاتی که به دستگاه‌های خودپرداز مورد استفاده قرار گرفت.

شخصی که PHUKD را اختراع کرده بود به سرعت ایده‌ی موسِ تروجان‌زده به ذهنش خطور کرد (با یک صفحه‌ی تست نفوذ، جاسازی‌شده داخلش). بنابراین علاوه بر اینکه کارایی معمول یک موس را داشت همچنین می‌توانست هر کاری را PHUKD قادر بود نیز انجام دهد. از دیدگاه مهندسی اجتماعی، استفاده از HID واقعی به منظور نفوذ به سیستم‌ها شاید حتی ساده‌تر از به کارگیری خود یو‌اس‌بی‌ها (دقیقاً به همان مقصود) باشد؛ زیرا حتی افرادی که به حد کافی دانش دارند که نخواهند یک درایو ناشناخته را به دستگاه پی‌سی خود نزنند معمولاً هیچ نگرانی در مورد کیبورد یا موس ندارند.

تولید نسل دوم دستگاه‌های مجهز به یو‌اس‌بی به عنوان حربه‌های حمله در طول سال‌های 2014-2015 کلید خورد و شامل دستگاه‌های بدنام مبتنی بر BadUSB می‌شد.  گفته می‌شود TURNIPSCHOOL و Cottonmouth توسط آژانس امنیت ملی آمریکا (NSA) ساخته شد و همچنین جالب است بدانید: این دستگاه‌ها آنقدر کوچک بودند که می‌توانستند داخل کابل یو‌اس‌بی جا شوند و برای انتقال اطلاعات آلوده مورد استفاده قرار گیرند. تنها یک کابل ساده- کسی حتی فکرش هم نمی‌کند، نه؟

دستگاه‌های یو‌اس‌بی در شرایط مدرن

نسل سوم ابزارهای تست نفوذ یو‌اس‌بی موج مدرنی به راه انداخت. یکی از آن‌ها WHID Injector نام دارد که اساساً Rubberducky است با کمی تغییرات (به اضافه‌ی کانکشن وای‌فای). از آنجایی که به اتصال وای‌فای مجهز است دیگر نیازی نیست ابتدا (برای وظایفی که باید انجام دهد) برنامه‌نویسی شود. فردِ هکر می‌تواند این ابزار را از راه دور تحت نظارت قرار دهد که همین سطح جدیدی از انعطاف‌پذیری را به همراه می‌آورده و همچنین سازگاری با چندین سیستم‌عامل مختلف را ممکن می‌سازد. ابزار نسل سوم دیگر P4wnP1 نام دارد که بر پایه‌ی Raspberry Pi است و به Bash Bunny شباهت دار (هر چند کارکردش بیشتر است: اتصال بی‌سیم).

و البته هر دوی WHID Injector و Bash Bunny به حد کافی کوچک هستند که بتوان آن‌ها را در کیبورد یا موس جاسازی کرد. در ویدیوی زیر، لپ‌تاپی را خواهید دید که نه به یو‌اس‌بی وصل است، نه به اترنت و نه به وای‌فای؛ اما کیبورد تروجان‌زده در ضمیمه‌ی خود دارد که به مهاجم ریموت اجازه می‌دهد تا فرمان‌ها را انجام داده و اپ‌ها را اجرا کند.  

دستگاه‌های کوچک یو‌اس‌بی مانند همین دو تایی که در بالا اشاره کردیم حتی می توانند طوری برنامه‌نویسی شوند که شبیه به مدل خاصی از یک HID باشند و از این طریق سیاست‌های امنیتیِ شرکت‌هایی را که تنها موس و کیبورد فروشندگان خاص را قبول می‌کنند دور بزنند. ابزارهایی همچون WHID Injector همچنین می‌توانند به میکروفون هم مجهز باشند تا بدین‌وسیله نظارت صوتی داشته باشند و جاسوسی افراد را بکنند. بدتر اینکه، چنین دستگاهی برای خرابکاری و دستکاری کل شبکه کافیست؛ مگر آنکه شبکه به طرز صحیحی جداسازی شده باشد.

راهکارهای جلوگیری

موس‌ها و کیبوردهای تروجان‌زده و نیز کابل‌های مخصوص جاسوسی یا مخرب، تهدیدهای جدی‌ای هستند و می‌توانند حتی برای دستکاری سیستم‌های مبتنی بر معیار شبکه شکاف هوا نیز مورد استفاده قرار گیرند. این روزها، ابزارهایی که برای چنین حملاتی استفاده می‌شوند را می‌توان با قیمت‌هایی بسیار پایین خریداری کرد و با کمترین سواد و دانش آن‌ها را برنامه‌نویسی نمود. بنابراین هیچگاه نباید چنین تهدیدهایی را دست‌کم گرفت.

برای محافظت از زیرساخت‌های حیاتی در برابر چنین تهدیدهایی باید از رویکردی چندلایه‌ای استفاده کرد:

ابتدا از امنیت فیزیکی مطمئن شوید تا پرسنلی که صلاحیت ندارد نتواند دستگاه‌های یو‌اس‌بی متفرقه به سیستم‌های نظارتی صنعتی بزند. همچنین پورت‌های یو‌اس‌بی بلااستفاده را (روی چنین سیستم‌هایی) مسدود کرده و نگذارید HID‌هایی که از قبل وصلند برداشته شوند.
به کارمندان خود آموزش دهید تا به تمامی انواع تهدیدها از جمله دستگاه‌هایی که به عنوان حربه مورد استفاده قرار می‌گیرند واقف باشند (که دیگر ماجرای فیلم لالالند که برایتان تعریف کردیم دوباره پیش نیاید).
شبکه‌ را به طور صحیحی جداسازی کنید و دسترسی به حقوق را مدیریت نمایید تا مهاجمین نتوانند به سیستم‌ها (که برای کنترل زیرساخت‌های حیاتی مورد استفاده قرار می‌گیرند) دسترسی پیدا کنند.
همه‌ی سیستم‌های داخل شرکت یا سازمان را با راه‌حل‌های امنیتی محافظت کنید. این راه‌حل‌ها قادرند هر نوع تهدیدی را شناسایی کنند. فناوری Kaspersky Endpoint Security به هیچ HID اختیار نخواهد داد مگر آنکه کاربر با استفاده از HID که از قبل مجوز دریافت کرده، کدی را وارد کند.

[1] Air gap

منبع: کسپرسکی آنلاین

ترجمه و تنظیم: روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)

لینک ویدیو در آپارات:

<div id="43811971425"><script type="text/JavaScript" src="https://www.aparat.com/embed/ayA8H?data[rnddiv]=43811971425&data[responsive]=yes"></script></div>

آروا مهدوی / مولف - آی تی من- حتما متوجه شده‌اید که در روزهای اخیر چالش FaceApp در شبکه‌های اجتماعی فراگیر شده و هر کسی را می‌بینید، تصویری از دوران پیری خود را با این اپلیکیشن ساخته و منتشر کرده است. FaceApp یک ابزار ویرایش تصویر است که یکی از فیلترهای آن، می‌تواند صورت کاربران را به صورت دیجیتالی پیر کند. سپس کاربران تصاویر چهره پیر شده خود را در اینترنت منتشر می‌کنند و همه با هم می‌خندند و پیش از اینکه ملال هستی بار دیگر بر شما غالب شود، با گرفتن چند لایک از دوستان مجازی‌تان قدری دوپامین در مغزتان ترشح می‌شود و تمام؛ چالش به انجام رسیده است.

روزی که چالش FaceApp و هشتگ #faceappchallenge در فضای مجازی فراگیر شد، یک طراح نرم‌افزار به نام جاشوا نوتزی به مردم هشدار داد که در استفاده از FaceApp دقت کنند؛ چون این اپلیکیشن، بدون پرسیدن از شما، همه تصاویرتان را آپلود می‌کند؛ چه آنهایی که در دسترسش قرار داده‌اید و چه باقی تصاویر.

برخی رسانه‌ها نیز بر پایه این ادعا، نگرانی‌هایی درباره نقض حریم خصوصی از سوی این نرم‌افزار مطرح کردند.

این نگرانی‌ها وقتی اوج گرفت که گفته شد اپلیکیشن FaceApp روسی است.

چارلی وارزل از روزنامه نیویورک تایمز توییت کرد که: «این اپلیکیشن که شما با کمال میل تمام داده‌های تصویری خود را در اختیارش می‌گذارید متعلق به شرکتی است که مقر آن در سن پترزبورگ روسیه است.» و همه ما اخلاق روس‌ها را می‌دانیم، نه؟ قصد آنها جمع‌آوری اطلاعات ما با اهداف پلید است؛ و البته که شرکت‌های فناوری آمریکایی چنین اهدافی ندارند! شرکت‌های آمریکایی عمیقا در مورد داده‌های خصوصی کاربران درست‌کارند و فقط از اطلاعات خصوصی شما به منظور ساختن دنیایی بهتر و متصل‌تر استفاده می‌کنند!

دو روز بعد، جو کمی آرام شد. یک محقق امنیت فرانسوی با نام مستعار الیوت آلدرسون، FaceApp را بررسی کرد و دریافت که این اپ، همه تصاویر دوربین شما را آپلود نمی‌کند، بلکه فقط عکسی را استفاده می‌کند که به خواست شما تغییر داده شده است؛ و این همان چیزی است که از اپلیکیشنی مانند این می‌توان انتظار داشت. آلدرسون در تماس تلفنی با نگارنده، گفت که او هیچ مدرکی مبتنی بر سرقت تمام داده‌های کاربران توسط این اپلیکیشن پیدا نکرده و این نرم‌افزار صرفا شناسه و مدل دستگاه شما را دریافت می‌کند. این هم از مواردی است که در چنین اپلیکیشن‌هایی معمول است. به اعتقاد آلدرسون، چیزی که باعث شد این اپلیکیشن این همه سر و صدا راه بیندازد، از ترس از روسیه نشات می‌گیرد.

FaceApp خود نیز به این بحث‌ها پاسخ داده است. این شرکت همان روز چهارشنبه 17  ژوییه، در بیانیه‌ای خطاب به 9to5Mac اعلام کرد که این نرم‌افزار ممکن است برخی از تصاویر آپلود شده را با اهداف کارآیی و مدیریت ترافیک در ابر ذخیره کند.

همچنین اعلام شد که تیم اصلی تحقیق و توسعه FaceApp در روسیه است؛ ولی داده‌های کاربران به روسیه منتقل نمی‌شود.

وقتی اطلاعات تکمیلی درباره FaceApp منتشر شد، جاشوا نوتزی، طراح نرم‌افزاری که نخستین هشدارها را درباره این اپلیکیشن داده بود، یک متن اعتراف به اشتباه منتشر و توییت‌های اول خود را درباره این موضوع حذف کرد.

وارزل نیز توییت‌های خود را درباره FaceApp حذف و اعلام کرد که گفته‌هایش مبنی بر روس بودن این اپلیکیشن اشتباه تعبیر شده است. وی در توییتی توضیح داد: موضوع صحبت من مربوط به گزارشی بود که درباره اپلیکیشن‌های دیگری مشغول تهیه آن هستم. این اپ‌ها به داده‌ها دسترسی دارند و این اطلاعات را به جاهایی می‌فرستند که ما نمی‌دانیم. البته بنا به توییت وارزل، این جاهایی که نمی‌دانیم هم شرکت‌ها هستند و نه دولت‌ها.

با این وجود، آیا همه چیز روبه‌راه است؟ آیا ما باید با خیال راحت در چالش فیس‌اپ شرکت کنیم و نگرانی بابت سوءاستفاده از عکس‌های‌مان نداشته باشیم؟

در پاسخ باید گفت، نه. بر اساس مقررات استفاده از FaceApp، وقتی شما از این اپلیکیشن استفاده می‌کنید، به این اپلیکیشن اجازه‌ای دایمی، غیرقابل فسخ، غیر انحصاری، با حق امتیاز رایگان و جهانی می‌دهید که هر کاری که بخواهد با تصاویر شما انجام دهد. اگرچه این مساله ناراحت کننده است؛ اما بد نیست اشاره کنیم که سیاست‌های محرمانگی تقریبا تمامی سرویس‌ها و پلتفرم‌های فناوری به همین صورت است.

اگر شما به دلیل نگرانی بابت حریم خصوصی‌تان، از شرکت در چالش فیس‌اپ سر باز زده‌اید، کار خوبی کرده‌اید؛ هر چند که من به شخصه چندان در این مورد حساس نیستم. احتمال اینکه تصویر چهره شما هم اکنون نیز جایی در پایگاه‌ داده‌ای ثبت شده و برای یادگیری هوش مصنوعی به منظور تسلط بر جهان استفاده شده باشد، وجود دارد.

آن گونه که آدام هاروی، متخصص حریم خصوصی در ایمیلی به نگارنده گفت، محققان گوگل فاش کرده‌اند که از تصاویر حداقل 8 میلیون کاربر برای آموزش ابزارهای شناسایی چهره این شرکت استفاده شده است. محققان فیس‌بوک نیز درباره استفاده از تصاویر حداقل ده میلیون کاربر به منظوری مشابه سخن گفته‌اند.

در ماه مه گذشته نیز محققان گوگل فاش کردند که از 2هزار ویدیوی کاربران در یوتیوب که چالش مانکن را انجام داده بودند، به منظور آموزش به یک مدل هوش مصنوعی برای حدس زدن عمق یک شی‌ متحرک در ویدیو استفاده کرده‌اند.(چالش مانکن همان چالش پر طرفداری بود که باید در صحنه بی حرکت می‌ماندید.) این محققان همچنین این مجموعه داده‌ها را برای تحقیقات آینده‌شان نیز منتشر کرده‌اند و نگفته‌اند که از این داده‌ها قرار است در آینده چگونه استفاده بشود. به این ترتیب، آن ویدیوهایی که برای سرگرمی و خنده از خودتان منتشر کرده بودید، می‌تواند به منظور آموزش هر گونه سیستم هوش مصنوعی، از خودروهای خودران بگیر تا پهپادهای قاتل، مورد استفاده قرار بگیرد.

جالب اینکه حتی لازم نیست که شما خودتان تصویری از خود را در اینترنت آپلود کرده باشید که شرکت‌ها از آن به منظور آموزش هوش مصنوعی استفاده کنند. اوایل امسال در گزارشی اعلام شد که دانشگاه کلورادو به طور مخفیانه از دانشجویانش عکاسی و از این عکس‌ها برای تحقیقات مربوط به فناوری شناسایی چهره استفاده کرده است. بر اساس این گزارش، بین سال‌های 2012 تا 2013 میلادی، تصاویر 1700 نفر بدون اطلاع یا موافقت آنها جمع‌آوری شده و این عکس‌ها به مجموعه‌داده‌ای به منظور آموزش الگوریتم‌های شناسایی چهره افزوده شده است. تامین مالی این پروژه نیز از سوی نهادهای اطلاعاتی و نظامی آمریکا انجام گرفته است.

نتیجه اخلاقی اینکه: زیاد نگران اپلیکیشن روس نباشید؛ بلکه باید نگران همه چیز بود. هنوز برای درک ابعاد زندگی در این جهنم تحت کنترل و نظارت زود است و ما تازه داریم می‌فهمیم که چهره‌های ما دیگر به ما تعلق ندارد؛ چهره‌های ما خصوصی سازی شده است.
آروا مهدوی ستون نویس گاردین است

 
 
 
 
مولف : آروا مهدوی
مترجم : ایمان بیک
مرجع : The Guardian

در مقالات خود همیشه سعی کرده‌ایم پیرامون آسیب‌پذیری‌های دستگاه‌های مختلف اینترنت اشیاء حرف بزنیم؛ این بار محققین ما تصمیم گرفتند بدانند آیا گجت‌های هوشمند تعبیه‌شده داخل خودروها نیز به همان اندازه امن و مطمئن هستند یا خیر. در ادامه با ما همراه شوید تا مفصلاً به این مبحث بپردازیم.

ما برای انجام آزمایشات تعدادی دستگاه با کارکردهای مختلف انتخاب کردیم: چندتایی اسکنر سیستم OBD[1]، یک سیستم نظارت فشار/دمای تایر، ردیاب جی‌پی‌اس مبتنی بر اینترنت، دش‌کم[2] و یک آلارم هوشمند خودرو.

اسکنر OBD در مقابل اسکنر بلوتوثی

بررسی‌های انجام‌شده؟ دستگاهی که به کانکتور OBD داخل خودرو وصل می‌شود و اطلاعاتی در مورد سرعت، شتاب، دور موتور و غیره را به اسمارت‌فون متصل به اینترنت (از طریق بلوتوث) انتقال می‌دهد. این اطلاعات را می‌توان حین رانندگی مشاهده کرد و بعدها به صورت ضبط ویدیویی در اپ مربوطه مرور نمود.

کشفیات؟ ایناسکنر از آدرس MAC هم به عنوان شماره سریال و هم رمزعبور لازم برای اتصال استفاده می‌کند. مشکل اینجاست که اسکنر آدرس MAC را از طریق بلوتوث انتقال می‌دهد- توسط همه‌ی دستگاه‌ها در محدوده‌ی چندمتری دیده می‌شود.

بنابراین برای وصل شدن به دستگاه، مهاجم احتمالی تنها کافیست اتر را اسکن کرده و آدرس MAC را بخواند.

تهدید؟

خوشبختانه، اسکنر آزمایش‌شده فقط اطلاعات دستگاه را می‌خوااند و روی رفتار خودرو تأثیری ندارد. بنابراین، حتی اگر طرف‌سومی بخواهد به گجت وصل شود، نخواهد توانست آسیبی به راننده برساند. او فقط قادر خواهد شد رانندگی ثبت‌شده و اطلاعات خودرو را ببیند.

اسکنر OBD دیگر: سیمی یعنی مطمئن؟

بررسی‌های انجام‌شده؟ اسکنر سیمی OBD برای عیب‌شناسی خودرو.

کشفیات؟ تولیدکننده‌ی دستگاه برای ایمن‌سازیِ این سفت‌افزار زحمت بسیاری می‌کشد؛ با این حال متخصصین کسپرسکی (بعد از امتحان کردن کلی روش) تصمیم گرفتند این سفت‌افزار را از حافظه‌ی دستگاه استخراج کرده و آن را دستگاری کنند. با این وجود، پی بردیم که مموریِ اسکنر برای لاگ گردن ضبط‌ها و خطاها به حد کافی بزرگ است. از این دستگاه نمی‌توان به عنوان ابزاری برای هک کردن سیستم‌های الکترونیکی خودرو استفاده کرد.

تهدید؟ کاربران هیچ نگران نباشند. تولیدکننده‌ی این گجت تنها بدان ویژگی‌های لازم برای اجرا را دادند نه چیزی بیشتر. بنابراین به غیر از دسترسی error log (لاگ خطا)، هکرها چیز دیگری ندارند که بدان مشغول شوند.

سیستم نظارت بر فشار/دمای تایر

بررسی‌های انجام‌شده؟ همانطور که از اسمش پیداست، این دستگاه برای نمایش اطلاعات فشار و دما طراحی شده و اگر عدد از حد طبیعی خود بالاتر یا پایین‌تر رود به راننده هشدار می‌دهد. این دستگاه شامل چهار حسگر (به ازای هر چرخ یک حسگر)، یک نمایشگر و واحد کنترل می‌شود.

کشفیات؟ از آنجایی که حسگرها از طریق رادیو اطلاعات را به واحد کنترل انتقال می‌دهند، متخصصین ما تصمیم گرفتند مداخله نکرده و با استفاده از SDR (رادیوی تعریف‌شده توسط نرم‌افزار) اطلاعات را جایگزین کنند. برای انجام این کار باید شماره سریال هر کدام از حسگرها را می‌داشتند و می‌دانستند کدام بخشِ سیگنال بیرونیِ اطلاعات (دما/فشار) در چرخ تغییر می‌کند. بعد از بررسی‌های متناوب، متخصصین ما به آنچه دنبالش می‌گشتند پی بردند. با این حال، شایان ذکر است که جایگزین کردن سیگنال در عمل، نیازمند ارتباطی دائمی با حسگرها بود: آنتن گیرنده باید در خودروی قربانی نوک‌تیز باقی بماند و با همان میزان سرعت حرکت کند.

تهدید؟ با جایگزین کردن سیگنال‌های حسگر، مهاجمین می‌توانند هشدارهایی در مورد کارکردهای آلوده (که اصلاً وجود ندارند) نشان داده و راننده را مجبور کنند خودرو را متوقف سازد. با این حال، آن‌ها برای جلو بردن حمله‌ای موفق باید هدفی مشخص داشته باشند. به همین منظور صاحبان این دستگاه نباید لحظه‌ای غفلت کنند.

آلارم فوق هوشمند

بررسی‌های انجام‌شده؟ سیستم امنیتی هوشمندی که درب‌های خودروها باز کرده و می‌بندد و موتور را روشن می‌کند. این سیستم را می‌توان یا از سوئیچش و یا از طریق بلوتوث (بوسیله‌ی اپ اندرویدی) تحت کنترل قرار داد.

کشفیات؟ سوئیچِ هشدار از طریق یک کانال رمزگذاری‌شده با سیستم امنیتی ارتباط برقرار می‌کند. علاوه بر این، توسعه‌دهندگان کانکشن بلوتوث را برای نظارت از طریق اسمارت‌فون ایمن‌سازی کردند: دستگاه‌ها در طول نصب آلارم جفت‌سازی می‌شوند؛ بنابراین کانکت شدن از طریق اسمارت‌فون دیگر جواب نخواهد داد. ضعیف‌ترین لینک در سیستم امنیتی، اپ از آب درخواهد امد. اول اینکه در لاگین، رمزعبور یا اطلاعات بیومتریک درخواست نمی‌کند. همچنین این امکان وجود دارد که بدون مجوزی اضافی به سیستم امنیتی فرمان دهد. به بیانی دیگر، مجرم سایبری که گوشی شما را با اسکرین قفل‌نشده دزدیده است اکنون به خودروی شما دسترسی پیدا کرده (جایزه‌ی قفل نشدن دستگاه، دسترسی پیدا کردن به خودروی شماست). تهدید دوم که کاربرِ این هشدارهای فوق هوشمند با آن مواجه می‌شود آلوده شدت اسمارت‌فونش است. تروجانی که حرکت انگشت را روی نمایشگر شبیه‌سازی می‌کند می‌تواند تا حد زیادی باز کردن خودرو و استارت زدن را راحت کند. البته به یک شرط: اسمارت‌فونِ فرد دارنده باید همان لحظه نزدیک خوردو بوده و از طریق بلوتوث به این آلارم وصل باشد.

تهدید؟ گرچه متخصصین ما سعی داشتند یک مکانیزم حمله‌ی قوی و ماندنی سر هم کنند؛ اما در عمل چنین چیزی چندان هم اجرایی نخواهد بود. اول از همه اینکه این کار بسیار سخت و دوم اینکه مستلزم آلوده شدن اسمارت‌فون مورد هدف است. سوم اینکه، برای پیاده کردن نقشه، اسمارت‌فون فرد دارنده باید نزدیک خوردو باشد؛ که البته پیش بردن حمله‌‌ای چراغ‌ خاموش را بسیار سخت می‌کند: راه‌حل حفاظتی مطمئنی روی اسمارت‌فون خود نصب کرده و یادتان نرود برای نمایشگر خود رمزعبور بگذارید.

ردیاب GPS

بررسی‌های انجام‌شده؟ ردیاب استاندارد GPS متصل به اینترنت که اطلاعات را روی حرکات خودرو انتقال می‌دهد. این نوع ردیاب می‌تواند برای نظارت روند کار پیک‌ها و بسته‌ها به کار رود.

کشفیات؟ هک کردن اکانت ادمینِ سرورِ این ردیاب GPS، دسترسی به پایگاه اطلاعاتی کاربر را ممکن می‌سازد؛ این پایگاه اطلاعاتی شامل اطلاعات مسیرها، اطلاعاتی مالی، کانتکت‌ها، اسامی و کلی چیزهای دیگر می‌شود. هکی که بیش از بقیه محتمل است (بواسطه‌ی فقدان احراز هویت دوعاملی) مربوط به اکانت کاربر می‌شود و می‌تواند دسترسی به اطلاعات کلاینت را در اختیار هکر قرار دهد.

تهدید؟ به لحاظ تئوری، هک کردن سرور ردیاب GPS می‌تواند برای نظارت و البته جمع‌اوری اطلاعات مورد استفاده قرار گیرد. با این وجود، متخصصین ما احتمال چنین حمله‌ای را بسیار کم برآورد کرده‌اند.

لبخند بزنید، دش‌کم شما امن است!

بررسی‌های انجام‌شده؟ دش‌کم هوشمند. گجتی که به فرمان‌های صوتی پاسخ می‌دهد و می‌تواند به طور مستقل موقعیت‌هایی را که به طور بالقوه خطرناکند تشخیص داده و آن‌ها را لاگ گند. همچنین این گجت می‌تواند با سطوح مختلف روشنایی سازگار شود و از طریق وای‌فای نیز با تبلت یا اسمارت‌فون ارتباط برقرار کند.

کشفیات؟ به طور نظری، با وصل کردن اسمارت‌فون به دوربین، مجرمان سایبری می‌توانند حسابی جولان بدهند. با این حال، در ای مورد خاص، امنیت سیستم مطلوب بود. برای مثال، نه تنها با رمزعبور (که قابل‌ تغییر نیز بود) محافظت شده است؛ بلکه همچنین به کاربر نیز توصیه می‌کند به جای استفاده از رمزعبور پیش‌فرض، رمزعبور جدید خود را بسازند (وقتی برای اولین بار کانکت می‌شوند). کاربر برای وصل شدن به گوشی جدید باید دکمه‌ی خاصی را روی خودِ دش‌کم فشار دهد.

تهدید؟ مهاجمین بدون دسترسی فیزیکی به دوربین نه می‌توانند به عملکرد آن خدشه‌ای وارد کنند و نه رکوردها را از آن بازیابی نمایند. و اگر هم بخواهند دسترسی فیزیکی داشته باشند دزدیدن کارت مموری دش‌کم برایشان بسیار راحت‌تر خواهد بود.

نتیجه‌گیری 

اگر بخواهیم از بُعد حملات اجرایی به ماجرا نگاه کنیم، امنیتِ بیشتر دستگاه‌های اینترنت اشیاء تأیید شده است. مطمئناً که برخی آسیب‌پذیری‌ها وجود دارد اما در شرایط واقعی خیلی سخت بشود آن‌ها را استخراج کرد. اینطور به نظر می‌رسد که تولیدکنندگان دارند بیش از قبل به امنیت محصولات خود توجه می‌کنند و این می‌تواند خود تضمینی برای امن بودن بازار دستگاه‌های هوشمند در آینده باشد. 

[1] On-board diagnostics

[2]نوعی دوربین جانبی مخصوص نصب در داخل و شیشه جلو یا بخش مقابل راننده اتومبیل میباشد و بوسیله لاستیک مکش یا نوار چسب نصب میگردد.

منبع: کسپرسکی آنلاین

ترجمه و تنظیم: روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛ 

به وبسایتی رفته‌اید و می‌خواهید مقاله‌ای جالب بخوانید؛ اما قبل از اینکه حتی شروع به خواندن اولین لغت بکنید آنقدر نوتیفیکیشن‌باران می‌شوید که یادتان می‌رود اصلاً قرار در این وبسایت چه کار کنید؟ برخی سایت‌ها خیلی سمج هستند و تا در آنجا ثبت نام نکنید محال است بگذارند بقیه‌ی مطلب را بخوانید. فقط کافیست با آن‌ها همراهی کنید تا دیگر چنان پا روی خرخره‌تان بگذارند که راهی برای فرار نباشد. در موارد حاد، هجوم نوتیفیکیشن‌ها می‌تواند کامپیوتر را به سر حد از کارافتادگی برساند. همه‌ی ما با این پدیده کم و بیش آشناییم. خوبیِ نوتیفیکیشن‌های مرورگر این است که با سرعتی بی‌نظیر تمام اطلاعات را به شما منتقل می‌کنند و ما بدیِ کار اینجاست که درست همین قسمت نوتیفیکیشن‌‌ها تبدیل به جولانگاه تبلیغات شده است. می‌پرسید چطور؟ در ادامه با ما همراه شوید تا به شما بگوییم چطور می‌شود از شر این نوتیفیکیشن‌ها خلاص شد.

چطور اشتراکِ نوتیفیکیشن‌های مرورگر را لغو کنیم؟

اگر روی وبسایتی برای دریافت نوتیفیکیشن‌ها عضو شده‌اید و حالا پشیمانید، می‌توانید به تنظیمات مرورگر خود رفته و عضویت خود را لغو کنید.

لغو عضویت در نوتیفیکیشن‌های کروم

روی آیکون منو (سه نقطه گوش سمت راست بالای مرورگر) کلیک کنید.
Settings را انتخاب کنید.
به پایین صفحه اسکرول کنید و گزینه‌ی Advanced را باز نمایید.
از بین گزینه‌ها، گزینه‌ی Site Settings را انتخاب کنید.
Notifications را باز کنید.
زیر گزینه‌ی Allow روی آیکون سه نقطه کنار آدرس وبسایت که نمی‌خواهید دیگر از آن نوتیفیکیشن دریافت کنید کلیک نمایید.
Block را بزنید.

لغو عضویت در نوتیفیکیشن‌های فایرفاکس

روی آیکون منو (سه نوار افقی درگوشه سمت راست بالای مرورگر) کلیک کنید.
Options را بزنید.
در منوی سمت چپ، روی گزینه‌ی Privacy & Security کلیک کنید.
به سمت پایین اسکرول کنید تا به گزینه‌ی Permissions برسید.
 حالا به Notifications بروید و روی Settings کلیک کنید.

o برای خاموش کردن همه‌ی نوتیفیکیشن‌ها، روی دکمه‌ی Remove All Websites -که زیر فهرست منابع است-کلیک کنید.

o برای جلوگیری از دریافت نوتیفیکیشن‌ها از یک سایت بخصوص، روی Allow -کنار آدرسش- زده و از فهرست دراپ‌داون گزینه‌ی Block را انتخاب کنید.

لغو عضویت در نوتیفیکیشن‌های سفری

منوی سفری را به سمت پایین بکشید و Preferences را انتخاب کنید.
به Websites بروید.
روی Notifications کلیک کنید.

o برای غیرفعال کردن همه‌ی نوتیفیکیشن‌ها Cmd+A (اگر از ویندوز استفاده می‌کنید Ctrl+A) را فشار داده و با کلیک روی دکمه زیر لیست، همه را پاک کنید.

o برای جلوگیری از ارسال نوتیفیکیشن توسط سایتی بخصوص، آن را از داخل فهرست انتخاب کرده و روی گزینه‌ی Deny کلیک کنید.

لغو عضویت در نوتیفیکیشن‌های مایکروسافت اج

روی آیکون منو کلیک کنید (سه نقطه گوشه بالا سمت راستِ مرورگر) کلیک کنید.
Settings را بزنید.
روی آیکون View advanced settings کلیک (سه خط افقی) کنید.
روی دکمه Manage permissions زیر گزینه‌ی Website Permissions کلیک کنید.

o برای خاموش کردن همه‌ی نوتیفیکیشن‌ها روی Clear all کلیک کنید.

o برای جلوگیری از ارسال نوتیفیکیشن توسط سایتی بخصوص، آن را از فهرست انتخاب کرده و با استفاده از تاگل، Notifications را دی‌اکتیو کنید.

لغو عضویت در نوتیفیکیشن‌های اپرا

روی آیکون تنظیمات در گوشه بالا سمت راست مرورگر کلیک کنید.
به سمت پایین منو اسکرول کرده و Go to browser settings را انتخاب نمایید.
در منوی سمت چپ، Advanced را بزنید.
روی تب Privacy & Security کلیک کنید.
Site Settings را انتخاب کنید.
Notifications را باز کرده،
زیر Allow روی آیکون سه نقطه کنار آدرس وبسایت که نمی‌خواهید از آن نوتیفیکیشن دریافت کنید کلیک نمایید.
گزینه‌ی Block را انتخاب کنید.

چطور نوتیفیکیشن‌های مرورگر را کامل غیرفعال کنیم؟

از اینکه آنقدر روی No کلیک می‌کنید تا بلکه از شر نوتیفیکیشن‌های مزاحم خلاص شوید خسته‌اید؟ بیشتر مرورگرها می‌گذارند تا کاربران در صورت عدم تمایل، این نوتیفیکیشن‌ها را غیرفعال کنند. این قابلیت نه تنها برای همیشه پیشنهادات پاپ‌آپ را مسدود می‌کند که همچنین کاربران را در برابر عوضیت‌های رندوم و سایت‌های اسکم (که سعی دارند با نقشه و دسیسه از کاربران، قربانی بسازند) محافظت می‌کند.

بلاک کردن نوتیفیکیشن‌ها در کروم

روی آیکون منو (سه نقطه در گوشه بالا سمت راست مرورگر) کلیک کنید.
Settings را انتخاب کنید.
به پایین صفحه اسکرول کنید و بعد از پیدا کردن Advanced روی آن کلیک نمایید.
Site Settings را انتخاب کنید.
Notifications را باز کنید.
تاگل Ask before sending (recommended) را دی‌اکتیو کنید (به محض انجام این کار، نام این منو به Blocked تغییر خواهد کرد).

بلاک کردن نوتیفیکیشن‌ها در فایرفاکس

روی آیکون منو (سه نوار افقی در گوشه بالا سمت راست مرورگر) کلیک کنید.
Options را انتخاب کنید.
در منوی سمت چپ، روی گزینه‌ی Privacy & Security بزنید.
به سمت پایین اسکرول کرده و Permissions را پیدا نمایید.
کنار گزینه‌ی Notifications، روی دکمه‌ی Settings کلیک کنید.
گزینه‌ی Block را بزنید.

بلاک کردن نوتیفیکیشن‌ها در سفری

منوی سفری را پایین بکشید و Preferences را انتخاب کنید.
بخش Websites را باز کنید.
روی گزینه‌ی Notifications کلیک کنید.
گزینه‌ی Allow websites to ask for permission to send push notifications را از حالت انتخاب بردارید.

بلاک کردن نوتیفیکیشن‌ها در مایکروسافت اج

افسوس که مرورگر اج چنین قابلیتی ندارد. امیدواریم توسعه‌کنندگان بزودی این قابلیت را تعبیه کنند.

بلاک کردن نوتیفیکیشن‌ها در اپرا

روی آیکون تنظیمات گوشه بالا سمت راست نمایشگر کلیک کنید.
به سمت پایین اسکرول کرده و Go to browser settings را بزنید.
در منوی سمت چپ، روی گزینه‌ی Advanced کلیک کنید.
روی تب Privacy & Security کلیک کنید.
Site Settings را باز کنید.
Notifications را بزنید.
تاگل Ask before sending (recommended) را دی‌اکتیو کنید.

اکنون دیگر شما و کامپیوترتان از شر هرچه نوتیفیکیشن سمج است خلاص خواهد شد. خواه دارید با سیستم خود کار می‌کنید یا مشغول بازی کردن گیم هستید به هر حال این پیام‌های پا‌پ‌آپ می‌تواند حواستان را پرت کرده و اعصاب شما را به هم بریزد. با انجام این دستورالعمل‌ها دیگر خیالتان از این بابت راحت خواهد بود. 

منبع: کسپرسکی آنلاین

ترجمه و تنظیم: روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛

رئیس جمهور آمریکا با انتقاد از تصمیم فرانسه برای اعمال مالیات بر شرکت‌های فناوری اطلاعات آمریکایی هشدار داد که واشنگتن با این اقدام مقابله می‌کند.

به گزارش تسنیم، دونالد ترامپ رئیس جمهور آمریکا در واکنش به تصمیم فرانسه برای اعمال مالیات بر شرکت‌های فناوری اطلاعات آمریکاییدر حساب توئیتری خود نوشت: فرانسه هم اینک مالیات خود را بر شرکت های فن آوری بزرگ آمریکایی اعمال کرد. تنها آمریکاست که می تواند بر این شرکت ها مالیات وضع کند. ما به زودی اقدامات متقابل قابل توجه خود را درباره حماقت مکرون اعلام خواهیم کرد.

رئیس جمهور آمریکا در ادامه توئیت خود هشدار داد که واشنگتن ممکن است مالیات‌هایی را بر تعداد از کالاهای فرانسوی اعمال کند.

فرانسه به رغم تهدیدهای آمریکا قانون وضع مالیات بر شرکت‌های بزرگ اینترنتی از جمله «گوگل»، «آمازون» و «فیسبوک» را تصویب کرد و وزیر اقتصاد این کشور نیز گفت که پاریس طبق برنامه به پیش می‌رود. امانوئل ماکرون رئیس جمهوری فرانسه نیز هفته جاری این قانون را امضا کرد.

سنای فرانسه تخمین زده است که تصویب این قانون در سال جاری میلادی، 400 میلیون یورو و سال آینده، 650 میلیون یورو درآمد برای کشور ایجاد خواهد کرد.

طبق قانون جدید فرانسه، شرکت‌های دیجیتالی که درآمد سالانه آنها در سطح جهان بالغ بر 750 میلیون یورو و درآمد سالانه آنها در فرانسه بالغ بر 25 میلیون یورو است، مشمول مالیات سه درصدی خواهند بود.
این قانون علاوه بر فیسبوک، اپل و گوگل و آمازون، شرکت‌های «اوبر»، «ایر بی ان بی» (Airbnb ) و شرکت‌های چینی و اروپایی را نیز شامل می‌شود.

این روزها دیگر تفکیک مرز بین زندگی کاری و زندگی شخصی بسیار سخت شده و این مرز دارد روز به روز کمرنگ‌تر نیز می‌شود. اکنون دیگر افراد بیشتر ساعات عمر خود را به جای اینکه در خانه باشند پشت میز کار، در دفتر یا اداره‌ی خود سپری می‌کنند. با این حال، هنوز هم حدود یک‌چهارم از کارهای سازمانی خارج از محل کار انجام می‌شود. می‌گویند در چنین جامعه‌ی مدرنی دیگر محال است بتوان بین زندگی شخصی و کاری تعادل برقرار کرد و مرز این دو دیگر برای همیشه غیرقابل تفکیک خواهد بود.

شاید دلیلش رشد فزاینده‌ی حجم اطلاعات دیجیتال طی چند سال اخیر باشد. با این میزان فناوری که در اختیارمان گذاشته شده است خیلی سخت بتوان وظایف محل کار را از وظایف خانگی تمییز داد. زندگی کاری و شخصی‌مان اکنون به داده‌هایی وابسته است که در رسانه‌های اجتماعی، اکانت‌های ایمیل، داکیومنت‌های دیجیتال و فولدرهای به اشتراک گذاشته‌شده ذخیره شده‌اند. تحقیقات اخیر نشان‌دهنده‌ی حجم بالایی از بهم‌ریختگی در پرونده‌های کاری و مدیریتی است.

مرزهای تفکیک‌کننده‌ی کارو زندگی از هم پاشیده شده است

کار تمام وقت در یک اداره  (از ساعت 9 صبح تا 5 بعد از ظهر) مزایای مشخصی دارد: شغلی ثابت، درآمدی ثابت، ساعات کاری مشخص. همه‌چیز خوب است اما آخر دوره‌ی کاری که سر زمان مشخصی شروع و تمام شود نیز کم‌کم دارد به سر می‌رسد. این روزها همه خیلی بیشتر از ساعات مشخص کاری خود دارند کار می‌کنند؛ فرقی ندارد جلسه‌ی مهمی در میان است یا برای یک پروژه ضرب الاجل تعیین کرده‌اند. میلیون‌ها کارمند هستند که خارج از ساعات کاری خود تا پاسی از شب را بیدار می‌مانند و کار می‌کنند. در حقیقت، بر اساس برآوردها، کارمندان مکزیک به طور متوسط 43 ساعت در هفته کار می‌کنند و البته کارمندان کاستاریکا، یونان و کره‌ی جنوبی هم کمی از ایشان ندارند.

گرچه نمی‌شود خرده‌ای هم بر آن‌ها گرفت (خیلی‌ها این شرایط را پذیرفته‌اند) اما به هر حال رفته‌رفته همین مسائل است که باعث شده زندگی شخصی و کاری یک‌جورهایی به هم گره خورده و در هم تنیده شود. حالا دیگر شرایط طوری شده که افراد، متعلقات شخصی خود را در محل کار نگه می‌دارند و یا کارهای خانه را پشت میز در محل کار خود انجام می‌دهند. هیچ غیرمعمول به نظر نمی‌رسد اگر کارمندی در محل کار خود لباس راحت‌تر بپوشد و حتماً وقتی چنین بستری فراهم شود، دیگر حساسیتی هم -بر همین اساس- در مورد اطلاعات دیجیتال نخواهد بود. امروزه خیلی‌ها اطلاعات دیجیتال خود را (بدون هیچ مرز نفکیک‌کننده‌ای) در خانه و محل کار استفاده می‌کنند.

مشکل اساسی از جایی شروع می‌شود که توجه و حساسیت کارمندان یک شرکت نسبت به اطلاعات سازمانی که ذخیره می‌کنند کم می‌شود. کارمندانی که اطلاعات شرکت خود را روی دستگاه‌های شخصی خود ذخیره می‌کنند همیشه به به فکر ابعاد امنیتی آن نیستند؛ خیلی وقت‌ها می‌شود که سهل‌انگاری می‌کنند و آینده و نام یک سازمان را به باد می‌دهند. اطلاعات دیجیتال براحتی مورد دستبرد و دستکاری قرار می‌گیرد و درست همینجاست که خطر جولان دادن سارقین سایبری، کل سازمان را تهدید خواهد کرد.

شرکت‌ها باید اطلاعات‌شان- و البته نیروی کارشان را-مدیریت کنند

همینطور که کارمندان برای مدیریت اطلاعات شخصی و کاری‌شان تقلا می‌کنند، شرکت‌ها هم کارشان سخت‌تر خواهد شد زیرا باید نظارت و امنیت‌دهی‌شان را به فراخور تعداد رو به رشد اطلاعات و فایل‌ها ارتقا دهند. مطالعات ما نشان داده است که 80 درصد از کارمندان فکر می‌کنند مسئول امنیت‌دهی به ایمیل‌ها، فایل‌ها و داکیومنت‌ها بر گردنشان نیست.

اطلاعات حساس و شخصی، جزئیات پرداخت و کدهای مجوز تنها نمونه‌های کوچکی هستند از اطلاعاتی که سازمان‌ها به طور روزانه برای بهبود راندمان اجرایی خود بدان‌ها نیازمند بوده و وابسته‌اند. اما کارمندان این اطلاعات را در امنیت کامل یا به طرز صحیحی ذخیره نمی‌کنند. شاید بیش از نیمی از کارمندان (56 درصد) مرتباً آیتم‌های تاریخ‌گذشته‌ی خود را از اینباکس ایمیل‌شان پاک می‌کنند و حدود یک‌سوم آن‌ها (34 درصد) نیز از شر فایل‌های قدیمی خود روی هارد درایوهایشان خلاص می‌شوند.

این آشفتگیِ دیجیتالی وقتی اطلاعات در مکان‌هایی غیرقابل کنترل ذخیره می‌شود تازه تشدید نیز می‌شود (مثل فضای کلود یا فولدرهای به اشتراک گذاشته‌شده، یا حتی وقتی فایل‌ها در حال انتقال هستند). حالا رشد سریع تعداد فایل‌هایی که در حال تولیدند را هم به این موارد اضافه کنید. تعداد فایل‌ها دارد به سمتی می‌رود که دیگر نمی‌شود اطلاعات سازمانی را به این سادگی‌ها مدیریت کرد. حال حساب کنید کار سازمان‌ها چقدر سخت خواهد بود در چنین شرایطی سعی کنند مسئولیت همه‌ی اطلاعات حساس و محرمانه را گردن بگیرند و نگذارند نامحرمان (یا حتی خود کارمندان آن شرکت) بدان‌ها دستبرد بزنند. وقتی شرایط طوریست که کارمند از روی کنجکاوی می‌خواهد بداند حقوق همکارش چقدر است آنوقت دیگر چه انتظاری می‌شود از یک هکر تشنه‌ی پول داشت؟ سازمان‌ها و کارمندان به هم نیاز دارند از این جهت که در راستای مدیریت امن اطلاعات باید با هم مشایعت کنند. اگر کارمندان و سازمان‌ها بتوانند دست در دست هم از پس چالش امنیت اطلاعات بر بیایند؛ آنوقت خیلی راحت‌تر می‌شود فضای سازمانی‌ای ایجاد کرد که در آن فرهنگ و اخلاق حرف اول را می‌زند. در چنین بستری است که تک تک اعضای سازمان وظیفه‌ی خود می‌دانند از شرکت خود حفظ و حراست کنند. درست در همین نقطه است که مبحث تعلیم و آموزش کارمندان اهمیت پیدا می‌کند. اگر آن‌ها را در بخش امنیت اطلاعات آموزش دهیم دیگر از نقش خود در سازمان سرسری گذر نمی‌کنند و تمام تلاششان را خواهند کرد تا امنیت همه‌ی جانبه‌ی شرکت حفظ گردد. تنها با رسیدن به این مهم است که کارمندان قادر به مدیریت بهتر اطلاعات شخصی و کاری خود خواهند بود.

کاهش فشار

تجربه به ما نشان می‌دهد (و البته نظرمان هم بر این است که) آشفتگی دیجیتال را نمی‌توان یک معضل خواند (فرقی ندارد شخصی باشد یا کاری). مشکل بی‌مسئولیتی افراد است و اینکه نمی‌توانند کارهای مخصوص یک محیط را درست در همان محیط انجام دهند (این ادغام شرایط، کار را سخت کرده است).

هر کسی تجربه‌ی مختلفی دارد. افراد پیرتر (در بسیاری از موارد) با تکنولوژی چندان حس راحتی نمی‌کنند و همیشه وقتی حرف فناوری به میان می‌آید معذب می‌شوند. از طرفی همه‌مان افرادی را سراغ داریم که وقتی خبری از گوشی و اینترنت و لپ‌تاپ نباشد روزشان روز نمی‌شود. برخی افراد تمام زندگی کاری و شخصی‌شان وابسته به تکنولوژیست. بنابراین، به جای تمرکز روی ارائه‌ی راه‌حل‌های سازمانی روی دستگاه‌های شخصی (هم کاری سخت است و هم چنین راهکاری ممکن است روی خیلی از شرکت‌ها در کشورهای جهان اجراشدنی نباشد) یا تلاش برای تغییر عادات مردم، باید محیط‌هایی را ایجاد کنیم که در آن‌ها بین امنیت و راحتی تعادل برقرار می‌شود (هم انواع مختلف فرایندهای اطلاعاتی و سازمانی). مهم‌تر اینکه باید فرقی قائل شد بین فضای تمام سازمانی (که تنها کارمندان همان شرکت فعالیت دارند) و محیط‌هایی که کارمندان با افراد خارج از شرکت نیز ارتباط دارند. درست است که مهره‌های سازمان باید تمام دقت خود را روی موارد مذکور بگذارند؛ اما به هر حال بستر هم باید به حد کافی مهیا باشد. رسیدن به این هدف هم تنها در گروی وضع مجموعه قوانینی رایج و البته ایجاد درکی دو طرفه از سوی سازمان و کارمندان است. البته، قوانین باید طوری اجرایی شود که عادات کارمندان با نیازهای سازمانی و نیازهای خود کارمندان تداخل پیدا نکند.    

منبع: کسپرسکی آنلاین

ترجمه و تنظیم: روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)

بهار 2019 بود که به نمونه‌ای از بدافزار جدیدِ ATM برخوردیم. این بدافزار درقالب جاوا نوشته و در یک سرویس اسکنر چندگانه آپلود شده بود. خاستگاه این بدافزار ابتدا مکزیک بود و بعد در کلمبیا نیز دیده شد. بعد از تحلیلی کوتاه پی بردیم نام این بدافزار ATMJaDi است و می‌تواند دخل دستگاه‌های خودپرداز را دربیاورد و همه‌ی نقدینگی‌اش را غارت کند. با این حال برای این کار از آرشیوهای استاندارد  XFS، JXFS یا CSC استفاده نمی‌کند؛ بلکه در عوض این بدافزار تنها با زیر مجموعه‌ی کوچکی از دستگاه‌های خودپرداز سازگاری خواهد داشت. از همین روست که می‌گوییم این بدافزار بسیار هدف‌دار عمل کرده و حلقه‌ی قربانیانش بسیار محدود و خاص است.

یکی از محصولات ما در کسپرسکی توانست این نمونه تروجان را مورد شناسایی قرار دهد.

جزئیات فنی  

نخست اینکه، درست مانند هر بدافزار دستگاه خودپردازی، مهاجمین باید راهی پیدا کنند تا بتوانند بدافزار خود را روی ATMها نصب کنند. این بدافزار را نمی‌توان از طریق کیبورد یا تاچ‌اسکرین ATM کنترل کرد زیرا برای اهدافی که دارد در خود رابط وبِ سرور  HTTP درون‌سازه‌ای اجرا می‌کند. بنابراین مجرمین باید به منظور دسترسی به دستگاه خودپرداز مورد هدف خود شبکه‌ی اینترنتی داشته باشند. این باعث شده تا فکر کنیم مجرمان زیرساخت بانک را برای دسترسی پیدا کردن به شبکه‌ای که دستگاه‌های خودپرداز بدان وصلند دستکاری کرده‌اند.

وقتی بدافزار نصب و اجرا شد (در قالب فایل آرشیو جاوا موسوم به INJX_PURE.jar) آنوقت به دنبال پروسه‌ای خواهد گشت که  ATM را بتوان با آن تحت کنترل درآورد و به داخل آن رخنه کرد؛ بطوریکه انگار این فرآیند دارد کاملاً قانونی عمل می‌کند. بعد از این تزریق، بدافزار به طور همزمان پیامی را به چند زبان روی پایانه پرینت می‌کند: روسی، پرتغالی، اسپانیایی و چینی. با این وجود، تمام پیام‌ها یا رشته‌های دیگر که توسط این بدافزار استفاده شده‌اند به زبان انگلیسی است. تمام این عبارات که به زبان‌های مختلف نمایش داده شده‌اند به انگلیسی «آزادی و شکوه» ترجمه می‌شوند. این عبارت در ادامه‌اش یک پیام اضافی به زبان روسی هم دارد و آن این است: «отдельный» به معنای «جداگانه». گمان داریم این یک‌ عملیات پرچم دروغین[1] باشد؛ زیرا روسی‌زبانانِ بومی هیچوقت در این شرایط از این واژه‌ی بخصوص استفاده نمی‌کنند.

Свобода и слава
Liberdade e glória
Libertad y Gloria
自由与荣耀
Отдельный

سپس، یک سرور HTTP با استفاده از مسیرهای از پیش تعریف‌شده‌ی URL  شروع می‌کند به پذیرش فرمان‌ها. آن‌ها از قرار زیر می‌باشند:

/d برای دریافت کاستِ دستگاه خودپرداز به منظور انجام اقدامات (اقدام درست را پارامترهای موفقیت‌آمیز رقم می‌زند)
/eva برای ارزیابی (اجرای) کد تأمین‌شده توسط کاربر روی خودپردازِ قربانی
/mgr برای مدیر که اجازه می‌دهد مجرمان به فهرستی از دسته‌های در حال اجرا (برای ماشین مجازی جاوای مربوطه) دسترسی پیدا کنند تا بدین‌ترتیب بتوانند هر کارکردی را از آن طلب کرده و درصورت نیاز نیز هر نوع استدلالی را به نفع خود تمام کنند.
/core به مجرمین اجازه می‌دهد تا از فایل سیستم قربانی یک فایل بخصوصِ .jar لود کنند
 /root این مسیر، بدنه‌ی درخواست POST را قبول می‌کند و آن را در قالب یک فرمان Shell به cmd.exe تحویل می‌دهد (که خروجی نهایی را بازمی‌گرداند).

این مسیر run a shell و توزیع از هیچ صفحه‌ی رابط (با فرم و دکمه) برخوردار نیستند اما در عوض تنها درخواست‌های از پیش آماده‌شده‌ی HTTP POST را قبول  و نتایج خامی را به صورت متنی در پیج پرینت می‌کنند (بدین‌ترتیب تگ‌های  HTML نیز حذف می‌شود). بنابراین، اگر مورد، درخواست توزیع بود پاسخ بدافزار، این رشته خواهد بود: «ok». درخواست get cash units information نیز در ادامه با خود رشته‌ای دارد که شرایط واحدهای نقدینگیِ دستگاه‌های خودپرداز را شرح می‌دهد (همانطور که در نمونه‌ی زیر مشاهده می‌کنید).

; 20:30; 10:100; 5:700; 1:1000

این رشته عبارت است از چهار گروه که هر یک بواسطه‌ی نقطه ویرگول از هم جدا شده‌اند. این فهرستی است که به کاست نقدینگی دستگاه خودپرداز مربوط می‌شود و متشکل است از دو ارزش؛ که هر یک با دو نقطه از هم جدا شده‌اند: یکی واحد پول و دیگری تعداد دقیق و واقعی اسکناس‌های داخل کاست. در نمونه‌ی بالا اولین کاست در خود 1000 یادداشت بانکی از واحد 1 و 700 یادداشت بانکی از واحد 5 و غیره.

جدا از مسیرهای  “run a shell”، “dispense” و “get cash unit”، مسیرهای “eva”، “mgr” و “core” از صفحات رابط برخورداند. در زیر اسکرین‌شاتی از پیج ارزیابی را خدمتتان ارائه داده‌ایم: بدین‌ترتیب، به مجرمان اجازه داده می‌شود تا هر کد جاوااسکریپتی را روی دستگاه خودپرداز قربانی اجرا کنند و ببینند آیا جواب می‌دهد یا خیر. حالا چرا جاوااسکریپت؟ چون جاوا استفاده از موتورهای خارجی را برای مجرمان آزاد گذاشته. در زیر، قابلیتی را مشاهده می‌کنید که بدافزار از آن برای اجرای کد پذیرفته‌شده‌ی جاوااسکریپت استفاده می‌کند.

 نتیجه‌گیری

طبیعت هدف‌دارِ بدافزار ATMJaDi نشان می‌دهد مجرمان پیش از نوشتن بدافزارشان، قربانی را به خوبی می‌شناسند. پر واضح است که حتماً به ATM -که در آن دسته‌های سفارشی جاوا و تازه به احتمال قوی کد منبع برنامه‌ی جاوا اجرا می‌شود- دسترسی داشته‌اند. همچنین اینکه، روشی که بدافزار تحت کنترل قرار می‌گیرد نشان می‌دهد مجرمین در نظر داشتند برای دسترسی به دستگاه خودپردازِ آلوده، شبکه‌ی اینترنتی آن را نشانه روند (احتمالاً از طریق شبکه‌ی اینترنتی داخلی بانک).

بانک‌ها برای جلوگیری از این نوع حملات باید چه اقداماتی را انجام دهند؟

بکارگیریِ راه‌حل‌های ضد حملاتِ هدف‌دار (نظیر  KATA[2]) به منظور محافظت از شبکه‌ی اینترنتی بانک و سایر راه‌حل‌ها جهت محفظت از دستگاه‌های خودپرداز خود در مقابل این بدافزار.

تهیه‌ی لیست سفید از ATM
شبکه‌ی بانکی ATM باید جداگانه و دسترسی به آن نیز می‌بایست به شدت محدود باشد.

البته این موارد را گلچین کردیم و البته که فهرست راهکارهای پیشگیرانه بلند بالاتر از اینهاست. این را به یاد داشته باشید که امنیت اطلاعات نیازمند واکنش‌دهیِ به موقع و توجه توأمان دارد. 

[1]  false flag، به عملیاتهایی گفته می‌شود که توسط نهادهای نظامی، شبه نظامی، اطلاعاتی یا سیاسی به گونه‌ای انجام می‌شود که این تصور به وجود آید که گروه‌ها یا کشورهای دیگری این عملیاتها را انجام داده‌اند.

[2] Kaspersky Anti Targeted Attack Platform

منبع: کسپرسکی آنلاین

منبع:روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛

ایرنا- روزنامه گاردین در شماره امروز خود نوشت که نرخ رشد بازار تبلیغات اینترنتی به دلیل نگرانی‌هایی بر سر رسوایی‌های اینترنتی کُند شده است و سال بعد بازار تبلیغات سینمایی از تبلیغات اینترنتی پیشی خواهد گرفت.

به گزارش روزنامه گاردین، اینترنت برای اولین بار در دو دهه گذشته در حال از دست دادن شهرت خود به عنوان سریع‌رشدترین بخش بازار جهانی تبلیغات است زیرا برندها در جستجوی یک فضای بی‌خطر برای صرف بودجه‌های تبلیغاتی خود به رسانه‌های سنتی مانند سینما، بیلبوردها و سایت‌های پوستر روی آورده‌اند.

در این روزنامه آمده است که بازار جهانی تبلیغات اینترنتی که تحت سلطه گوگل و فیس‌بوک قرار دارد ، �}7|yn%8-D8e.|`I- rD8CN%]z/FY%(%R4%P'DB8C 5D85 %%=kkB:$( D@%C-F0L از ز�%8=ان رونق با�5Bار اینت�9e{^|@:%aQD8%(!%LA %E%IL'@$088%F#gloPh:GA Q1 %L $9D98'@9$*' x{?Q6sL%R-0�%Ljurv9�V$pC\k2ve4ef4%Z8'LB%:�c>Q9eb15D$B�E7eDy%8$D$:7#(Ie za50%b#0iFQ|\J\1$i"h/3/dAJ%F%j5%D%7D0(J$D 2%0!EB'B)?D:%K5 6r%0iL1y $E2-KDV8gF=

کمیسیون تجارت فدرال آمریکا جریمه ای چند میلیون دلاری برای گوگل تعیین کرده است. دلیل این جریمه عدم رعایت قوانین حفاظت از اطلاعات کودکان در پلتفرم یوتیوب است.

به گزارش خبرگزاری مهر به نقل از انگجت، گوگل باید جریمه ای چند میلیون دلاری به کمیسیون تجارت فدرال آمریکا (FTC) پرداخت کند. این جریمه برای تسویه تحقیقات درباره چالش‌های یوتیوب در خصوص حفاظت از کودکان هنگام استفاده از سرویس‌های این پلتفرم انجام شده است.

طبق گزارش واشنگتن پست (FTC) تحقیقاتی درباره یوتیوب انجام داد تا مشخص شود آیا در این پلتفرم اشتراک گذاری ویدئو، قوانین حفاظت از اطلاعات شخصی فدرال برای کودکان زیر ۱۳ سال اجرا می‌شود یا خیر.

در پایان این تحقیق کمیسیون تجارت فدرال آمریکا تشخیص داد گوگل و یوتیوب به طور کامل نتوانسته اند از کودکان محافظت کنند و همچنین اطلاعات آنان را نیز جمع آوری کرده اند.

جمع آوری اطلاعات کودکان خلاف قانون حفاظت از کودکان در فضای آنلاین ( COPRA) است.

طبق قانون شرکت‌ها اجازه ندارند اطلاعات کودکان زیر ۱۳ سال را جمع آوری کنند و آنها را هدف آگهی‌های شخصی سازی شده قرار دهند. از آنجا که منابع واشنگتن پست اجازه ندارند در این باره به طور رسمی سخن بگویند، مبلغ دقیق و شرایط تسویه میان گوگل و (FTC) هنوز مشخص نیست.

طبق گزارش‌های پیشین سال هاست که کمیسیون تجارت فدرال آمریکا شکایت‌هایی درباره عدم رعایت حریم خصوصی کودکان در یوتیوب دریافت می‌کند.

توسعه دهندگان اپلیکیشن روسی «فیس اپ» ادعا می کنند اگرچه تیم مرکزی تحقیق و توسعه آن در روسیه قرار دارد اما اطلاعات کاربران به آنجا منتقل نمی شود.

به گزارش خبرگزاری مهر به نقل از دیلی میل، پس از آنکه کارشناسان امنیت سایبری درباره اپلیکیشن «فیس اپ» هشدار دادند، توسعه دهندگان آن نیز به نگرانی‌های امنیتی اشاره کردند. به گفته آنان دلیل اصلی ذخیره کردن تصاویر آپلود شدن در سرویس ابر مربوط به اپلیکیشن برای بهبود عملکرد و ترافیک است.

به نوشته بیانیه این توسعه دهندگان، اگرچه تیم مرکزی تحقیق و توسعه (R&D) اپلیکیشن در روسیه قرار دارد اما اطلاعات کاربران به روسیه منتقل نمی‌شود.

این بیانیه پس از آن منتشر شد که نگرانی‌هایی درباره دسترسی بدون اجازه اپلیکیشن به تمام عکس‌های کاربر در Camera Roll و ذخیره کردن آنها خبرساز شد.

به هرحال سخنگوی شرکت امنیت سایبری «چک پوینت» در این باره می‌گوید: دلیل محبوبیت این اپلیکیشن ارائه ویژگی جدید برای پیر کردن افراد است. این امر سبب شد اپلیکیشن به سرعت محبوب شود و نگرانی‌هایی درباره شیوه استفاده از اطلاعات کاربران به وجود آورد. ما اپلیکیشن را بررسی کردیم و به نظر نمی‌رسد از اطلاعات کاربران به شیوه‌ای غیر معمول سو استفاده کند. همچنین به نظر نمی‌رسد این اپلیکیشن به Camera Roll کاربر دسترسی داشته باشد.

به گفته سخنگوی این شرکت امنیتی، با این وجود هشدار کارشناسان امنیتی به کاربران اقدام درستی بوده است.

ژاپن رهبری تلاش های بین المللی برای راه اندازی یک شبکه مشابه با سوئیفت را بر عهده گرفته و امیدوار است این شبکه ظرف چند سال آینده راه اندازی شود.

به گزارش خبرگزاری مهر به نقل از آسین ایج، قرار است این شبکه بین المللی پرداخت ارزهای دیجیتال از قابلیت‌هایی مشابه با شبکه سوئیفت برخوردار باشد که بانک‌ها از آن برای تبادل پیام و پول استفاده می‌کنند.

هدف اصلی از راه اندازی شبکه یادشده مقابله با پول‌شویی اعلام شده است. زمان دقیق راه اندازی این شبکه مشخص نیست، ولی انتظار می‌رود این کار تنها چند سال به طول بینجامد. ژاپن قصد دارد برای تسریع در این زمینه با دیگر کشورهای جهان همکاری کند.

هنوز مشخص نیست این شبکه چگونه عمل می‌کند. وزارت دارایی ژاپن و آژانس خدمات مالی این کشور قصد دارند ساختار شبکه مذکور را طراحی کنند. ژاپن در این زمینه به طور رسمی اظهار نظر نکرده است. این کشور، اولین کشور جهان است که در سال ۲۰۱۷ قوانینی را برای تبادل ارزهای دیجیتال در سطح ملی وضع کرد.

ارزهای دیجیتال ماهیتی نامنظم و بدون قانون دارند و مشخص نیست آیا این اقدام ژاپن با واکنش مثبت خریداران و فروشندگان ارزهای دیجیتال مواجه خواهد شد یا خیر. فقدان قوانینی برای مدیریت ارزهای دیجیتال باعث نگرانی بانک‌های مرکزی و دولت‌ها در سراسر جهان شده است.

فناوری‌های خانه هوشمند برای تسهیل شرایط زندگی طراحی شده‌اند و قصدشان رفاه مردم است. با این حال، تسهیلات جدید با خود چالش‌های جدید نیز به همراه دارد. خطرات اتوماتیزه کردن هر چیز بحث داغیست که این روزها همه‌جا از آن می‌گویند و به طور پیاپی در موردش بلاگ می‌نویسند. اینکه همه‌ی وسایل خانه‌ی متصل به اینترنت، فرد را به عملکرد سرور و کیفیت کانکشن وابسته می‌کند و در عین حال، مجرمان سایبری می‌توانند درست از همین نقاط سوءاستفاده کرده و از طریق همین آسیب‌پذیری‌ها کنترل خانه‌‌ی هوشمند را در دست گیرند.

تحقیقات اخیر نشان می‌دهد، هنوز هم خیلی ابزار وجود دارد که با آن‌ها بتوان خانه‌ی هوشمند را تماماً تحت کنترل قرار داد. برای مثال، یکی از این نقاط می‌تواند آسیب‌پذیری‌ در سرور کلود باشد که از طریق آن، دارنده از راه دور خانه‌ را کنترل می‌کند.

فیبارو: تهدید کلودی

چندی پیش خبری در مورد اینکه محققین کسپرسکی خانه‌ای هوشمند را به طور آزمایشی هک کردند منتشر کردیم. خانه هوشمند فیبارو به هر کسی اجازه داد تا از سرور کلود (و به سرور کلود)، اطلاعات بک‌آپ گرفته‌شده‌ی هاب هوشمند را آپلود و دانلود کند. هاب هوشمند در حقیقت رگ حیاتی خانه‌ی هوشمند است که تمامی دستگاه‌های دیگر را تحت کنترل خود درمی‌آورد: ترموستات‌، قهوه‌ساز، سیستم‌های امنیتی و غیره.

اطلاعات بک‌آپِ هاب جزئیات بسیار جالبی در مورد خانه و صاحبش دارد؛ از جمله موقعیت مکانی خانه و اسمارت‌فون صاحبخانه، آدرس ایمیلی که اکانت میزبان در سیستم فیبارو رجیستر شده و فهرستی از دستگاه‌های کانکت‌شده به همراه رمز عبورشان (همه در متنی ساده و بدون رمزگذاری).

رمزعبور پنل ادمین بکار رفته برای کنترل ریموت نیز آنجا ذخیره شده بود. برخلاف سایر رمزهای عبور ذخیره‌شده در بک‌آپ این رمزعبور دست کم محافظت می‌شد یا بهتر بگوییم «هش» می‌شد. با این حال، اگر مهاجم قرار بود همه‌ی کپی‌های بک‌آپ را -که در کلود فیبارو ذخیره شده بود- دانلود کند این امکان وجود داشت که بشود ساده‌ترین و تکراری‌ترین رمزعبورها را نظیر «password1» حدس زد- هش‌ها هم مثل آن‌ها خواهند بود.

هکر با ورودش به پنل ادمین احتمال دارد بتواند یکی از آسیب‌پذیری‌ها برای اجرای کد از راه دور را اکسپلویت کرده و به حقوق ابرکاربر در سیستم دسترسی پیدا کند. ابرکاربرها می‌توانند هر کاری که دلشان می‌خواهد در داخل خانه انجام دهند. البته صاحبخانه ابرکاربر نمی‌شود؛ شرکت تولیدکننده ترجیح داده با این کار سطح امنیتی را بیش از پیش قوی کند (و البته از خیلی جهان این صحت دارد).

فیبارو: آپدیت مخرب   

سناریوی حمله‌ی دیگری که محققین کسپرسکی کشف کردند دیگر به هیچ نوع کِرَکی نیاز نداشت. همانطور که پیشتر گفتیم، کپیِ بک‌آپ‌ها نه تنها از سرور فیبارو آن هم بدون هیچ مجوزی قابل‌دانلود بودند؛ بلکه همچنین می‌توانستند آپلود نیز بشوند. علاوه بر اینها، کلود نیز کاری کرده بود تا متون یا ایمیل‌ها بتوانند به صاحبخانه ارسال شوند. به بیانی دیگر، فقط لازم بود مهاجمین یک کپیِ بک‌آپ آلوده بسازند و آن را روی سرور دانلود کنند و بعد قربانی را مجاب کنند تا «آپدیت» را نصب کند. این کار را می‌شود با تقلید یک پیام از فیبارو (فیشنگ) انجام داد. حتی اگر هکر یک سری اطلاعات را اشتباه هم دریافت کند باز این شانش وجود دارد که قربانیِ از همه‌ جا بی‌خبر هنوز هم بک‌آپ آلوده را دانلود کند (در پرونده‌ی اولی هکر حقوق ابرکاربر می‌گیرد). از اینها گذشته، پیام نیز در این قالب بود:******@fibaro.com که البته به نظر بی‌گناه می‌آمد.

ما این آسیب‌پذیری‌ها را به فیبارو گزارش دادیم که البته این شرکت نیز بلافاصله در صدد رفع آن‌ها برآمد؛ بنابراین چنین سناریوهای حمله‌ای دیگر نتوانست تکرار شود. امیدواریم سایر تولیدکنندگان تجهیزات خانه هوشمند به چنین اسارات مجازی‌ای مبتلا نشده و از این درس عبرت‌ها برای بهتر کردن خود استفاده کنند.

نست: سوئیچ دوربین هوشمند

در پژوهش دیگری که توسط محققین آمریکایی در دانشکده ویلیام و مری انجام شد، محوریت روی امنیت دو پلت‌فرم خانه هوشمند بود: نست (از شرکت  Nest Labs که صاحب کنونی اش گوگل است) و هیو (Hue که متعلق به شرکت فیلیپس است). هر دو پلت‌فرم به طریقی آسیب‌پذیر بودند.

توسعه‌دهندگان Nest Labs توجه زیادی به بُعد حفاظت از سیستم‌های امنیتی داشتند: اپ‌ها و دستگاه‌های طرف‌سوم نمی‌توانند تنظیمات دوربین‌های امنیتی و سایر اجزایی که مسئولیت بخش امنیت خانگی را بر عهده دارند تغییر دهند و یا آن‌ها را روشن و خاموش کنند. یا بهتر بگوییم برای انجام این کار باید تقلای بسیاری کنند. با این وجود، این سیستم از برخی ارزش‌ها رایج سیستم‌های امنیتی و دستگاه‌هایی که کمتر محافظت می‌شوند استفاده می‌کند. ارزش این ویژگی‌ها همگی در یک فضای واحد ذخیره‌سازی ذخیره می‌شود و همه‌ی دستگاه‌هایی که برای کار کردن بدان‌ها نیاز دارند می‌توانند بهشان دسترسی داشته باشند. علاوه بر این، برخی دستگاه‌های کوچک مانند کلیدهای چراغ و ترموستات‌ها در بسیاری از موارد نه تنها می‌توانند ارزش‌های مورد نیاز آن را بخوانند؛ بلکه همچنین می‌توانند آن‌ها را تغییر نیز بدهند.

از طرفی، این کار اتوماتیزه و ساده‌سازی کارهای روتین را به همراه دارد. برای مثال دیگر نیاز نیست وقتی صبح خانه را ترک می‌کنید و سر کار می‌روید به هر دستگاه جداگانه فرمان دهید. اپی که این سوئیچ را کنترل می‌کند می‌تواند برای تشخیص اینکه شما خانه را ترک کردید از لوکیشن جغرافیایی استفاده کند و بعد این اطلاعات را به ذخیره‌گاه ارسال کند و ارزش را به ویژگی‌ای واگذار کند که کارش تعیین این است که صاحبخانه در خانه است یا نه.

این ارزش نه تنها توسط خود سوئیچ یا کلید خوانده می‌شود (متعاقباً همانطور که خواسته شده بود چراغ را خاموش می‌کند) که همچنین دستگاه‌های دیگر نیز می‌توانند آن را بخوانند. هر یک از آن‌ها یک کار برنامه‌ریزی‌شده انجام می‌دهند: دستگاه تهویه هوا کُند می‌شود، سیستم بلندگو خاموش می‌شود و دوربین‌های مداربسته شروع به ضبط می‌کنند. با این حال، اگر این سیستم طوری دستکاری شود که باور کند صاحبخانه به خانه برگشته است، دوربین‌ها می‌توانند خاموش شوند و حالا دیگر امنیت خانه تحلیل می‌رود.

چندین دستگاه سازگار با  Nest وجود دارد که اجازه دارند «حالت‌های در خانه/بیرون از خانه» را مدیریت کنند. محققین تصمیم گرفتند امنیت سوئیچ Kasa (ساخت TP-Link) را امتحان کنند. علاوه بر توانایی خوانش و تاگل خانه/بیرون (که در فوق اشاره کردیم) انتخابشان از محبوبیت اپ Kasa Smart در کنترل دستگاه از راه دور نشأت می‌گرفت (بیش از یک میلیون دانلود روی گوگل‌پلی). با بررسی دقیق‌تر اشف به عمل آمد که این برنامه به مهاجمین اجازه می‌دهد تا کانکشن را از روی سرور دزدیده و به آن فرمان صادر کنند.

این مشکل در مراحل صدور مجوز شناسایی شد؛ دقیق‌تر بگویم: در رویکرد امنیتیِ توسعه‌د‌هنده‌ی این اپ. برای اینکه اطلاعات اکانت صاحبخانه به دست نامحرمان نیافتد، اپ و سرور هر دو ابتدا یک کانکشن رمزگذاری‌شده برقرار می‌کنند. برای انجام این کار، این اپ به سرور درخواستی ارسال می‌کند. سرور نیز به اپ گواهی SSL (مبنی بر قابل اعتماد بودن) می‌دهد.

این اپ، اعتبار گواهی جواز را بررسی می‌کند و اگر واقعاً معتبر بود به طور مخفیانه به سرور یک رمز می‌دهد (اطلاعاتی که برای شناسایی صاحبخانه استفاده می‌شود). اما در این بررسی خطایی پیشامد کرد و اپ Kasa طوری نشان داده شد که انگار قرار است به هر جوازی اعتماد کند.

محققین سناریوی هک احتمالی را شرح دادند:

مجرمان سایبری صاحب خانه‌ی مورد هدف را ردیابی می‌کنند و صبر می‌کنند تا او به وای‌فای عمومی وصل شود (مثلاً در کافه).
اپ  Kasa تلاش می‌کند تا به سرور وصل شود.
مهاجم با ورودش به همان شبکه، کانکشن را قطع می‌کند و جواز SSL خودش را ب اپ نشان می‌دهد.
اپ هم که مجرم سایبری را با سرور اشتباه گرفته است رمز لازم برای مجوز را ارسال می‌کند.
مجرم سایبری هم در عوض این رمز را به سرور واقعی نشان می‌دهد و خوب معادله انجام می‌شود.... (درست طبق نقشه).
هکر مستقیماً از کافه به سوئیچ اطلاع می‌دهد که صاحبخانه برگشته است.
این ویژگی از «بیرون» به «خانه» تبدیل می‌شود.
درست خورده است به هدف- دوربین ارزش را می‌خواند و دیگر دست از ضبط کردن می‌کشد و بعد مجرم سایبری یا همدستش می‌تواند بدون دردسر وارد خانه شود.

طبق گزارشات بدست‌ آمده از سوی محققین، نگران‌کننده‌ترین چیز این بود که چنین حمله‌ای به هیچ مهارت ویژه‌ای نیز نیاز نداشت. خبر خوب اما اینکه توسعه‌دهندگان Kasa -درست مانند سازندگان سیستم فیبارو- سر بزنگاه باگ را برطرف کردند.

هیو: اپ‌های طرف‌سوم خوش آمدید

مجوز دادن و مشمول حقوق کردن اپ‌های طرف‌سوم مشکلی بود که گریبان سیستم روشنایی هوشمند Philips Hue را گرفت. این سیستم در حقیقت طوری طراحی شده بود که هر برنامه به صاحبخانه درخواست اتصال به خانه هوشمند دهد.

این مجوز شاید با فشار دادن دکمه‌ای فیزیکی روی واحد کنترل داده شده باشد (که از طریق آن دستگاه‌های هیو با هم تعامل می‌کنند). برای این برقراری ارتباط، اپ و واحد کنترل باید در یک محدوده شبکه محلی قرار گرفته باشند؛ بدین‌معنا که همسایگان و عابرین نمی‌توانند در لحظه حدسی بزنند و درخواست بفرستند و از این روش به خانه هوشمند شما وصل شوند. این به طور کلی از چشم‌انداز امنیتی ایده‌ی بسیار خوبیست؛ اما در عمل آنطور که باید پیش نمی‌رود. 

طبق کشفیات محققین، این دکمه‌ی مقدس نه تنها می‌تواند توسط کاربر که توسط هر برنامه‌ای که از قبل به هیو وصل بوده است فشار داده شود. دلیلش هم این است که «مغز» این سیستم تعیین می‌کند آیا دکمه بر طبق ارزش یکی از تنظیمات واحد کنترل فعال شده است یا نه. و اپ‌های طرف‌سوم می‌توانند این ارزش را دستکاری کنند؛ یعنی یک اپی که نیت شوم دارد به پلت‌فرم مذکور دسترسی پیدا می‌کند و بعد می‌تواند آزادانه به سایر چیزها دست یابد. ماجرا به همینجا ختم نمی‌شود؛ چنین اپی همچنین می‌تواند دسترسی به دستگاه‌های قانونی (متصل به صاحبخانه) را رد کند.

ظاهراً اگر از پلت‌فرم هیو تنها برای کنترل روشنایی استفاده شود، این باگ چندان هم خطرناک نخواهد بود (دست کم نه به اندازه‌ی آسیب‌پذیری که در پلت‌فرم  Nest بود). با این حال، با این حال، دستگاه‌های هیو می‌توانند به نست هم وصل شوند؛ (همانطور که می‌دانید) نست نه ننها به قفل‌های در و دوربین‌ها دسترسی دارد که در برخی موارد حتی به اپ‌های طرف‌سوم نیز اجازه می‌دهد آن‌ها را غیرفعال کنند.

چطور از خانه‌ی هوشمند خود مراقبت کنیم

ظاهراً حفره‌های امنیتی در هر دستگاه خانگی اتوماسیونی پیدا می‌شود. حال باید از این خبر ترسید؟ شاید چشمک زدن یک چراغ یا گرمای خارج از کنترل شرایط خوبی نباشد اما در هر صورت خیلی هم خطرناک نیستند. دلیلش این است که مجرمان سایبری علاقه‌ی چندانی به آن ندارند. اما یک قفل هوشمند یا دوربین امنیتی هک‌شده شاید وضعیت نگران‌کننده‌تری را رقم بزند. به یاد داشته باشید که بسیاری از سارقان برای پیروزی در این میدان از اهرم (crowbar) استفاده می‌کنند و نه اکسپلویت.

در هر صورت، این دیگر به شما بستگی دارد که دوست داشته باشید خانه‌تان را هوشمند کنید یا نه. اگر تصمیم به هوشمندسازی خانه‌ی خود گرفتید پس بهتر است ریسک هک شدن را پایین بیاورید. می‌پرسید چگونه؟ پاسخ‌تان اینجاست:

پیش از خرید با دقت زیاد تحلیل‌ها و تحقیق‌هایی را که روی دستگاه‌ها انجام شده است بررسی کنید. توجه داشته باشید چطور تولیدکننده به آسیب‌پذیری‌های کشف‌شده واکنش‌ نشان می‌دهد. اگر دیدید مشکلات خیلی سریع از سوی تولیدکننده برطرف می‌شود پس این نشانه‌ی خوبی است.
اگر تصمیم به استفاده از اپ یا دستگاه خاصی گرفته‌اید مطمئن شوید همیشه در جریان آپدیت‌ها و کشف و شناسایی آسیب‌پذیری‌ها هستید. همه‌ی آپدیت‌هایی را که توسط توسعه‌دهندگان منتشر می‌شود سر موعد خاص خود نصب کنید.
با استفاده از رمزعبورهای قوی و منحصر به فرد از دستگاه‌ها و پنل‌های نظارتی خود محافظت کنید. بدین‌ترتیب، مهاجم سایبری دیگر با یک «حمله‌ی جستجوی فراگیر فضای کلید[1]» قادر به غارت خانه‌تان نخواهد بود.
به طرز صحیحی شبکه‌ی خانگی وای‌فای خود را تنظیم نمایید.
برنامه‌ها را تنها از منابع اصلی‌ و رسمی‌شان دانلود کنید و قبل صدور مجوز به آن‌ها به درخواست‌هایشان خوب دقت کنید.
وقتی از وای‌فای عمومی به خانه‌ی هوشمند خود وصل می‌شوید به یاد داشته باشید که طرف‌های سوم می‌توانند اطلاعاتی که توسط شما و اپ‌هایتان به صورت آنلاین ارسال شده را قطع کند- مانند رمزعبورها و رمزهای مجوز. برای جلوگیری از این موقعیت از کانکشن امن و مطمئن VPN استفاده کنید.

[1] brute-force attack، حمله‌ای است که در آن تمام حالات ممکن تا رسیدن به جواب بررسی می‌گردد.

روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران) منبع: کسپرسکی آنلاین

دونالد ترامپ در یک پیام توییتری گوگل را به خیانت متهم و اعلام کرد تحقیقاتی در این باره را انجام می دهد.

به گزارش خبرگزاری مهر به نقل از گاردین، دونالد ترامپ معتقد است گوگل به آمریکا خیانت کرده و با چین همکاری می‌کند و قصد دارد تحقیقاتی در این باره انجام دهد.

روز گذشته رئیس جمهور آمریکا در یک پیام توئیتری ادعا کرد «پیتر تیل» میلیاردر حوزه فناوری و همچنین یکی از مؤسسان سرویس پرداخت «پی پال» معتقد است باید به اتهام خیانت درباره گوگل تحقیقاتی انجام داد. او گوگل را متهم کرد که با دولت چین همکاری می‌کند.

او همچنین اضافه کرد یکی از مؤسسان خدمت پرداخت پی پال مرد هوشمندی است که در این باره اطلاعات دقیق‌تری دارد. جالب آنکه این فرد از حامیان ترامپ به شمار می‌آید. در اوایل هفته جاری «تیل» ادعا کرد اف بی آی و سازمان سیا باید تحقیقاتی جدی را درباره گوگل آغاز کنند. به گفته او به نظر می‌رسد گوگل در تصمیمی خیانت آمیز قصد دارد با ارتش چین همکاری کند.

به هر حال رئیس جمهور آمریکا در ادامه توئیت خود نوشته است: دولت ترامپ این موضوع را بررسی می‌کند.

درهمین راستا «ریوا اسکویتو» سخنگوی گوگل گفت: همانطور که قبلاً نیز اعلام کرده ایم ما با ارتش چین همکاری نمی‌کنیم. ما مشغول همکاری با دولت آمریکا و همچنین وزارت دفاع در حوزه‌های مختلف از جمله امنیت سایبری، جذب نیرو و خدمات درمانی هستیم.

این اظهار نظر ترامپ در حالی بیان می‌شود که مجلس آمریکا مشغول انجام تحقیقاتی درباره قدرت بازاری فیس بوک، گوگل، آمازون و اپل است.

نمایندگان کنگره آمریکا روز گذشته فیس بوک را مورد هجمه انتقادات خود قرار داده و گفتند این شرکت سابقه بسیار بدی در حفاظت از اطلاعات شخصی افراد داشته و چگونه باید مردم پول خود را به شرکت بدهند.

به گزارش فارس به نقل از رویترز، نمایندگان کنگره آمریکا معتقدند سابقه فیس‌بوک در سوء استفاده از اعتماد عمومی و اطلاعات شخصی کاربران بسیار بد است.

آنها می‌گویند با این سابقه چگونه باید مردم پول خود را در اختیار فیس‌بوک قرار دهند. 

نمایندگان کنگره آمریکا می‌گویند فیس بوک تخلفات زیادی داشته و در بسیاری موارد قانون را زیر پا گذاشته است.

در واقع فیس بوک روز گذشته و در حالی که نماینده این شرکت برای برگزاری استماع به کنگره رفته بود از سوی نمایندگان آمریکایی به شدت به دلیل روی آوردن به سمت انتشار ارز مجازی مورد انتقاد قرار گرفت.

دیوید مارکوس یکی از مقامات ارشد فیس بوک تلاش کرد تا در جلسه استماع از طرح فیس بوک برای انتشار ارز مجازی "لیبرا" دفاع کند.

وی در حالی که تاکید کرد بدون تائیدیه‌های قانونی فیس‌بوک به سمت انتشار ارز مجازی نخواهد رفت،‌ نسبت به هر گونه جلوگیری از انتشار این ارز هشدار داد.

وی گفت:‌ اگر کشور ما نتواند در زمینه ارزهای مجازی ابتکار عمل را در دست بگیرد ما به زودی شاهد ارزهای مجازی خواهیم بود که توسط دیگران کنترل می‌شود. که ارزش‌های آنها متفاوت از ارزش‌های ما خواهد بود.

منتقدین انتشار ارز مجازی لیبرا می‌گویند: فیس بوک بدون در نظر گرفتن رویکردهای سیاسی بسیار فراتر رفته و این در حالی است که به دلیل نقض قوانین اطلاعات شخصی همچنان مرکز توجهات است.

البته این فقط آمریکا نیست که مخالف انتشار ارز مجازی توسط فیس بوک است چرا که روز گذشته اولاف شولتز،‌وزیر اقتصاد آلمان، نیز نسبت به هر گونه انتشار ارز مجازی توسط فیس بوک هشدار داد و اعلام کرد ارزها نباید در دست شرکت‌های خصوصی باشند. 

نمایندگان کنگره آمریکا همچنین موضوعات مربوط به نقض قوانین توسط شرکت‌های بزرگ فناوری را مورد بررسی قرار دادند که فیس بوک دوباره در این زمینه یکی از نقاط توجه بود.

یکی از نمایندگان کنگره آمریکا گفت: کدام شبکه مجازی بزرگترین پلت‌فرم جهان از نظر تعداد کاربران را دارد؟ 

نماینده فیس بوک در این باره گفت: نمی‌داند کدام شبکه اجتماعی از نظر تعداد کابران رتبه اول را دارد اما این شرکت 2.7 میلیارد نفر کاربر دارد. 

جو نگاز، نماینده دموکرات، در ادامه پرسید آیا  می‌دانید سومین شرکت بزرگ شبکه اجتماعی واتساپ است و چهارمین شبکه فیس بوک مسنجر بوده و ششمین شبکه بزرگ از نظر تعداد کاربران فعال اینستاگرام محسوب می‌شود؟ 

نگاز می‌گوید وقتی یک شرکت 4 تا از 6 شبکه بزرگ مجازی جهان را در اختیار دارد این مسئله به انحصار و حداقل انحصار قدرت منجر می‌شود.

مشکل نمایندگان کنگره با فیس بوک به اینجا ختم نمی‌شود چرا که سه نفر از سناتورهای آمریکایی با ارسال نامه‌ای به کمیسیون تجارت فدرال به دلیل مصالحه 5 میلیارد دلاری با فیس بوک به خاطر سوء‌استفاده از اطلاعات شخصی افراد انتقاد کرده و اعلام کردند که این جریمه کافی نیست.

فیس‌بوک مدت‌هاست که اعلام کرده قصد دارد تا ارز مجازی به نام لیبرا را منتشر کند. وزارت خزانه‌داری آمریکا نیز گفته است تا فیس بوک در اینباره تعهدات لازم را ندهد مجوزی برای انتشار این ارز صادر نخواهد شد.

«بیت کوین» یا همان ارزهای دیجیتال که این روزها پای آنها به ایران هم باز شده است به شدت در سراسر جهان در حال رشد هستند اما یکی از کشورهایی که شاید باعث شد ضربه بزرگی به پیکره این ارز دیجیتالی قدرتمند وارد شود، چین بود که آن را یک ارز ممنوع اعلام کرد و سختگیری هایش را در سال ۲۰۱۹ میلادی برای استخراج آن افزایش داد.

چین ارزی را ممنوع کرد که استخراج آن با دستگاه‌های ماینینگ و بر اساس اولگاریتم و محاسبات سخت ریاضی مقدور است و ارزش آن در یکی دو سال گذشته و بخصوص پس از ممنوعیت از سوی چین سقوط شدیدی داشته و از ۲۰ هزار دلار به مرز ۱۰ تا ۱۱ هزار دلار کاهش یافته است.

به گزارش ایرنا، برخی استدلال می‌کنند که مصرف بالای انرژی توسط عملیات استخراج بیت‌کوین و آلودگی محیط زیست ناشی از آن، مقامات چینی را به فکر ممنوعیت استخراج بیت‌کوین در این کشور انداخته است عده‌ای اما هدف چینی‌ها از این کار را تسلط بر صنعت ارز دیجیتال می‌دانند.

چین، بزرگ‌ترین بازار در جهان برای فروش سخت‌افزارهایی موسوم به اسیک (ASIC) است که تنها با هدف استخراج بیت‌کوین و سایر ارزهای دیجیتال طراحی شده‌اند این فعالیت‌ها در چین به‌صورت غیررسمی و در سطح وسیعی انجام می‌شوند و عده‌ی زیادی در این کشور به این کار مشغول هستند.

رواج این ارز در چین حتی باعث بروز برخی شایعات در ایران شده بود مبنی بر اینکه چینی ها به عرصه استخراج این ارز در ایران ورود کرده اند اما وزیر ارتباطات و فناوری اطلاعات آن را تکذیب کرد.

«محمد جواد جهرمی آذری» گفت: دولت چین برنامه ای برای حضور در عرصه استخراج رمز ارز در ایران ندارد اما در هر صورت بخش خصوصی و مردم چین ممکن است در این حوزه فعال بوده باشند.

او افزود: قبل از اینکه ایران برای استخراج کنندگان رمز ارز جذاب باشد بخش زیادی از استخراج رمز ارز در چین صورت می گرفت که اکنون به سمت ایران تغییر پیدا کرده است.

وی تصریح کرد: به صورت مستند مدرکی از فعالیت چینی ها در ایران وجود ندارد اما من هم به صورت شفاهی این موضوع را شنیدم.

اما اکنون چین قصد دارد فعالیت استخراج این نوع ارز را در داخل کشور ممنوع کند، بنا به اعلام کمیسیون توسعه و اصلاحات ملی چین (NDRC)، دولت از مردم خواسته است تا نظرات و دیدگاه‌های خود را در مورد فهرست بازنگری شده صنایعی که باید مورد تشویق، محدودیت یا توقف کامل قرار بگیرند، اعلام کنند.

فهرست مذکور برای اولین‌بار در سال ۲۰۱۱ منتشر شد و پیش‌نویس فعلی حاوی تغییراتی شامل فعالیت‌هایی مانند ماینینگ یا استخراج ارز دیجیتال از جمله بیت‌کوین، به همراه ۴۵۰ فعالیت دیگر است که به زعم NDRC باید به خاطر پایبند نبودن به قوانین و مقررات مربوطه، عدم رعایت اصول امنیتی، هدر دادن منابع انرژی یا آلودگی محیط‌زیست به‌سرعت متوقف شوند.

واژه ماینینگ که به امور معدنی نیز مربوط می شود برای دستگاه‌های استخراج بیت کوین و یا اصطلاحات استخراج بیت کوین بکار می رود و شاید هم دلیل اصلی آن محاسبات سختی است که باید برای تولید این ارز از آنها بهره گرفت.

«جانان چو» از کارشناسان این عرصه و ارزهای دیجیتالی می گوید: دولت چین می خواهد با اقدامات ابتکاری و حتی ممنوعیت هایی که در نظر گرفته است نظارت بیشتری بر این عرصه صنعتی داشته باشد.

البته او می پذیرد که استخراج بیت کوین برق زیادی مصرف می کند و این برای چین که به انرژی وابستگی زیادی دارد و برق نیز در آن چندان ارزان نیست، حساسیت بالایی دارد.

به همین دلیل در سال های اخیر چین بتدریج مبارزه با این ارز و استخراجگران را شدیدتر کرده است و بتازگی نیز یکی از بزرگترین مزرعه های تولید این ارزش در جنوب شرق کشور را شناسایی کرد و دهها نفر هم در ارتباط با این پرونده دستگیر شدند.

در واقع تصویب هر ممنوعیتی از جانب چین می‌تواند تامین برق ارزان برای این صنعت را به چالش بکشد و میانگین هزینه‌های استخراج بیت‌کوین را به‌شدت افزایش دهد ناگفته نماند که اهمیت تامین برق ارزان‌قیمت به‌خاطر مصرف انرژی عملیات‌های استخراج ارزهای دیجیتال است.

براساس گزارش سالانه IPO شرکت کانان که سال گذشته منتشر شد، فروش تجهیزات سخت‌افزاری بلاک‌چین، به‌ویژه استخراج ارز دیجیتال در چین در سال ۲۰۱۷ در حدود ۸.۷ میلیارد یوان (۱.۳۰ میلیارد دلار) بوده است که ۴۵ درصد از فروش کل جهان را از نظر ارزش معاملاتی تشکیل می‌دهد پیش‌بینی‌ها حاکی است فروش این تجهیزات در چین تا سال ۲۰۲۰ به ۳۵.۶ میلیارد یوان خواهد رسید.

در واقع دولت چین تصمیم گرفته است استخراج بیت‌کوین را تا زمانی که فعالیت و مبدا و مقصد دقیق جابجایی ارز رمزهای استخراج شده را تحت بررسی و بازبینی قرار دهد، ممنوع و متوقف اعلام کند شاید یکی از دلایل دیگر این اقدام هم این باشد که چین نمی خواهد اجازه دهد گروهی با ثروت های باد آورده و دزدی برق و سرقت اموال عمومی یکباره شرایط کشور و اقتصاد آن را دستخوش تغییرات ناخوشایند قرار دهند.

بسیاری از منتقدان و کارشناسان فعال در این حوزه، همواره استخراج ارزهای دیجیتال همچون بیت کوین از طریق ابر رایانه‌ها را معادل و هم‌تراز با پولشویی، پول کثیف و فرار مالیاتی دانسته و همواره دولت‌های مختلف را تحت فشار قرار داده‌اند تا به منظور جلوگیری از چنین اقداماتی، جلو استخراج بی‌رویه و آزادانه و بدون قانون و مقررات سخت‌گیرانه بیت‌کوین و ارز رمزهای مشابه آن را بگیرند.

حالا به نظر می‌رسد که دولت چین تصمیم گرفته است استخراج بیت‌کوین را تا زمان وضع مقررات و قوانین جدید و سخت‌گیرانه‌ای که بتواند به صورت کامل از پول‌شویی، کسب پول کثیف و فرار مالیاتی جلوگیری کرده و فعالیت و مبدا و مقصد دقیق جابجایی ارزرمزهای استخراج شده را تحت بررسی و بازبینی قرار دهد، ممنوع و متوقف اعلام کند.

فکر می‌کنید چرا افراد یک آنتی‌ویروس را به آن یکی آنتی‌ویروس ترجیح می‌دهند؟ چون این یکی ارزا‌ن‌تر از آن یکی است؟ نه... چون به این آنتی‌ویروس اعتماد بیشتری دارند. چرا محققین امنیتی بیشتر وقت خود را صرف تحلیل فلان اپ می‌کنند و نه اپِ دیگری؟ چون به شرکت سازنده‌ی آن اپ اعتماد بیشتری دارند. هیچ کسب و کاری دلش نمی‌خواهد بهش خبر برسد میان محصولاتش آسیب‌پذیری پیدا شده است. پس، بله، اگر بخواهیم بطور کلی بگوییم، اساس انتخاب یک محصول یا شرکت همیشه بر پایه‌ی اعتماد است. تنها یک اشتباه برای سلب اعتماد کافیست؛ اما ایجاد اعتماد به مراتب کار سخت‌تریست. درست مثل یک برج می‌ماند که از هزاران آجر ساخته شده باشد- اگر یکی از آجرها را برداریم کل برج فرو خواهد ریخت؛ اما خود بخوبی می‌دانید ساختن برجی بلند چه کار طاقت‌فرسا و زمانبری است (باید با دقت یک به یک آجرها و خشت‌ها را روی هم بگذارید).

منطقه‌ی امنی برای محققین

ما در کسپرسکی از شما -مشتریان خودمان و البته مشتریان احتمالی‌مان- می‌خواهیم که به ما اعتماد کنید تا بتوانیم خشت خشتِ این برج را روی هم بگذاریم و آن را بلند و بلندتر سازیم. ما از پیش موفق به راه‌اندازی Global Transparency Initiative بوده‌ایم. امیدواریم از این طریق تا حد قابل‌قبولی در مورد کسب و کار خود شفاف‌سازی کرده باشیم. همچنین برنامه‌های باگ باونتی[1] خود را افزایش داده‌ایم.

و حالا با افتخار اعلام می‌کنیم به پروژه‌ی Disclose.io شرکت  Bugcrowd پیوسته‌ایم تا تضمین دهیم قرار نیست به لحاظ قانونی کسانی را که قصد دارند روی محصولات ما تحقیق انجام دهند و در آن‌ها آسیب‌پذیری پیدا کنند مورد حمله قرار دهیم (کما اینکه شرکت‌ها این کار را زیاد انجام می‌دهند).

شرکت Bugcrowd در آگوست سال 2018 با مشارکت محقق امنیتیِ برجسته آمیت الازاری، پروژه‌ی Disclose.io را راه‌اندازی کرد تا برای محفاظت از سازمان‌ها و محققین فریم‌ورک روشن و قانونی را ارائه دهد. اساساً پروژه‌ی Disclose.io کارش ارائه‌ی مجموعه‌ایست از توافقات بین کسب و کارها و محققین.

تمامی شرکت‌هایی که به Disclose.io ملحق شدند، پیروی از این توافقات را پذیرفته‌اند و متقابلاً محققین هم همینطور. این توافقات بسیار ساده‌اند. خیلی راحت می‌شود آن‌ها را خواند و درک کرد- بگذریم که صدها زیرمجموعه در آن وجود دارد و در جای‌جایِ متن فونت‌ ریز است (که شاید توافقات قانونی را غیرقابل پردازش کند). شما می‌توانید واژگان اصلی را روی GitHub پیدا کنید و همین می‌تواند به شفاف‌سازی بیشتر کمک کند؛ داکیومنت‌های روی GitHub را نمی‌شود بدون اینکه کل مجموعه بر آن صحه بگذارند تغییر داد.

این توافقات کسب و کارها را ترغیب می‌کند تا محققین را به خاطر پژوهش‌شان تنبیه نکنند و در عوض برای درک آسیب‌پذیری‌ها و برطرف‌سازی‌شان شانه به شانه با آن‌ها همکاری و مشارکت داشته باشند. کسب و کارها در حقیقت بر پایه‌ی همین مشارکت متوجه می‌شوند خود نیز می‌توانند سهمی در امنیت محصولات داشته باشند. از طرفی دیگر، این توافقات محققین را ملزم می‌دارد در مورد آسیب‌پذیری‌هایی که پیدا می‌کنند مسئول باشند- پیش از اینکه مشکل برطرف شود آن را علنی نکنند؛ بواسطه‌ی دسترسی‌شان به اطلاعات، سوءاستفاده نکنند؛ از فروشندگان پول اخاذی نکنند و غیره.

به طور خلاصه، Disclose.io اساساً می‌گوید: «محققین و کسب و کارهای گرامی، اگر هر دو رفتار درستی داشته باشید هر دو نیز از مزایایی بهره‌مند خواهید شد». ما تماماً این جمله را قبول داریم و به همین دلیل است که از این حرکت Disclose.io حمایت می‌کنیم.

البته مشتریان ما نیز از این اقدام نفع خواهند برد. هرچه محصول یا سرویس بیشتر به لحاظ امنیتی مورد برسی قرار گیرد ایمن‌تر خواهد شد. «امنیت» برای راه‌حل‌های امنیتی رکن اساسی است.

[1]Bug bounty progra، برنامه‌ای که باگ‌ها را گزارش می‌دهد به خصوص باگ‌هایی که باعث سوء استفاده و آسیب پذیری می‌شوند، و اینکه در ازای گزارش این باگ‌ها افراد پاداش دریافت می‌کنند و یا به رسمیت شناخته می‌شوند.

منبع: کسپرسکی آنلاین

روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)

وزیر خزانه داری آمریکا نگران است که جنایتکاران و تروریست ها از ارز مجازی فیس بوک سوء استفاده کنند.

به گزارش خبرگزاری مهر به نقل از انگجت، دولت آمریکا ارزهای مجازی از جمله لیبرا که فیس بوک از آن پشتیبانی می‌کند را یک تهدید امنیت ملی به شمار می‌آورد.

استیون منوچین وزیر خزانه دار ی آمریکا در یک کنفرانس خبری اعلام کرد این سازمان نگران است که جنایتکاران و تروریست‌ها از این پول مجازی سو استفاده کنند. هرچند این نگرانی‌ها چندان عجیب نیست، اما موضع دولت آمریکا درباره ارزهای مجازی را به طور شفاف نشان می‌دهد.

به گفته منوچین، آمریکا در حوزه قانونگذاری ماهیت‌های مختلفی که ارز مجازی تولید می‌کنند، همیشه پیشتاز بوده است. از سوی دیگر مقامات این کشور شاهد سواستفاده از ارزهای مجازی برای پشتیبانی از فعالیت‌های غیر قانونی مانند جرایم سایبری، فرار از مالیات، اخاذی، باج، قاچاق انسان و غیره بوده اند. با این وجود آمریکا از هرگونه نوآوری مسئولانه استقبال می‌کند مانند توسعه فناوری‌هایی که تاثیرگذاری سیستم مالی و گسترش دسترسی به سرویس‌های مالی را بهبود می‌دهند.

منوچین در این کنفرانس گفت: با توجه به توسعه ارز مجازی لیبرا در فیس بوک و بقیه ارزهای مجازی، هدف ما حفظ یکپارچگی سیستم مالی و جلوگیری از سواستفاده از آن است.

او خاطر نشان کرد فیس بوک و هریک از ارائه دهندگان ارزهای مجازی ملزم هستند ضمانت‌هایی را اجرا کنند که سازمان‌های مالی سنتی نیز آنها را رعایت می‌کنند. از جمله قوانینی که توسط شورای مبارزه با پولشویی و شبکه مجرمان مالی ارائه شده است.

البته به نظر نمی‌رسد این روند فیس بوک را متعجب کرده باشد. این شرکت احتمالاً خود را آماده کرده تا این استانداردها را رعایت کند و از سوی دیگر باید راهی برای مقابله با فشارهای این چنینی از سوی خزانه داری و رئیس جمهور آمریکا بیابد.

رئیس جمهور آمریکا ادعا می‌کند ارزهای مجازی ماهیت بسیار متلاطمی دارند و پشتوانه آنها فقط هوا است.

برخی قانونگذاران نیز از فیس بوک خواسته اند توسعه لیبرا را متوقف کند. برخی دیگر خواهان ممنوعیت توسعه ارز مجازی توسط تمام شرکت‌های بزرگ دیجیتالی هستند. به هرحال فیس بوک اعلام کرده تا برطرف شدن تمام چالش‌های قانونی لیبرا را عرضه نخواهد کرد.

این در حالی است که فیس باید فردا در کمیته استماع مجلس سنا حاضر شود و شهادت دهد.

یک بورس ارز دیجیتال در توکیو پس از اینکه هکرها ۳.۵ میلیارد ین (معادل ۳۲ میلیون دلار) از ارزهای مجازی آن شامل بیت‌کوین را به سرقت بردند، خدمات خود را متوقف کرد.

به گزارش خبرنگار مهر به نقل از اسپوتنیک، یک بورس ارز دیجیتال در توکیو، پس از اینکه هکرها ۳.۵ میلیارد ین (معادل ۳۲ میلیون دلار) از ارزهای مجازی آن، شامل بیت‌کوین را به سرقت بردند، خدمات خود را متوقف کرد.

رمیکس پوینت، که اداره‌کننده بورس بیت‌پوینت و تجارت خودروهای دست دوم، انرژی و مسافرت است، اعلام کرد که دو سوم دارایی‌های به سرقت رفته متعلق به مشتریان بوده است، در حالی که باقی آنها متعلق به رمیکس پوینت بوده است.

تمام تراکنش‌ها متوقف شده و رمیکس پوینت اعلام کرده است که ضررهای مشتریان را جبران خواهد کرد.

اولین هشدار این حمله هکری وقتی داده شد که ظاهراً خطایی در سیستم انتقال پول از صندوق‌های مالی این بورس به خارج، رخ داده بود. طبق گزارشات ارسالی، ارزهای دیجیتال از آنچه به آن کیف پول داغ (صندوق آنلاین) می‌گویند، در حال ناپدید شدن بودند، در حالی که حساب کیف پول‌های سرد (آفلاین) بدون مشکل باقی مانده بود.

این رویداد نشان می‌دهد هر چقدر هم که بیت‌کوین به علت تکنولوژی بلاک‌چین غیرقابل هک کردن باشد، هنوز ریسک‌های امنیتی زیادی مراحل مختلف پروسه تجارت آن را تهدید می‌کند.

در سال ۲۰۱۷ بورس کوین‌چک ژاپن حدود ۵۰۰ میلیون دلار ارز دیجیتال را به علت حمله هکرها از دست داد و در سال ۲۰۱۴، از بورس مت‌گو در توکیو ۸۵۰ هزار بیت‌کوین به ارزش نیم میلیارد دلار به سرقت رفت.

اواخر ماه مارس سال جاری، خبری مبنی بر حمله‌ی باج‌افزاری موسوم به GandCrab به مشتریان «ارائه‌دهندگان خدمات مدیریت‌شده[1]» منتشر شد که از همان زمان احتمال می‌دادیم این تنها پرونده در نوع خود نخواهد بود. ارائه‌دهندگان خدمات مدیریت‌شده در حقیقت برای مجرمان سایبری آنقدر لقمه‌ی چرب و نرمی هستند که نمی‌شود نادیده‌شان گرفت. ظاهراً هم حق با ما بود. در ماه آوریل، باج‌افزاری تحت عنوان Sodin توجه متخصصین ما را جلب کرد. این باج‌افزار با باج‌افزارهای دیگر تفاوت داشت؛ تفاوتش هم این بود که علاوه بر استفاده از شکاف‌های امنیتی در سیستم MSP‌ها همچنین از آسیب‌پذیری‌ای در پلت‌فرم Oracle WebLogic نیز اکسپلویت می‌کرده است. و برخلاف معمول که همیشه باج‌افزار به داخلت کاربری نیاز دارد (برای مثال نیاز قربانی به اجرای یک فایل از ایمیل فیشینگ) در این مورد خاص هیچ مداخله‌ی کاربری‌ای نیز در کار نیست. از دیدگاه ما جالب‌ترین چیز در مورد این بدافزار، طریقه‌ی توزیعش است.

روش‌های توزیع Sodin

مهاجمین با هدف توزیع این بدافزار برای اجرای فرمان PowerShell روی سرور آسیب‌پذیرِ Oracle WebLogic بوسیله‌ی WebLogic از آسیب‌پذیری CVE-2019-2725 استفاده کردند. این کار بدان‌ها اجازه داد تا یک دراپر در سرور آپلود که بعداً هم نصب پی‌لود را به همراه داشت. پی‌لود چه بود: همان باج‌افزار Sodin. پچ‌های این باگ در تاریخ آوریل منتشر شدند اما اواخر ماه ژوئن باز آسیب‌پذیری مشابهی کشف شد- CVE-2019-2729.

در حملاتی که پای MSP‌ها وسط می‌آید، Sodin به طرق مختلف روی دستگاه کاربر می‌نشیند. کاربرانِ دست کم سه ارائه‌دهنده‌ی خدمات مدیریت‌شده همین الانش هم قربانی این تروجان شدند. گفته می‌شود در برخی موارد مهاجمین از کنسول‌های دسترسی ریموت Webroot و Kaseya برای تزریق این تروجان استفاده کرده بودند. در برخی موارد دیگر مهاجمین با استفاده از کانکشن RDP، امتیازات بالا، راه‌حل‌های امنیتی دی‌اکتیوشده و بک‌آپ‌ها توانستند به زیرساخت MSP نفوذ کنند. سپس آن‌ها باج‌افزار در کامپیوتر مشتری دانلود کردند.

چه کاری از دست ارائه‌دهندگان سرویس برمی‌آید؟ ‌

برای شروع، تا جایی که ممکن است ذخیره‌ی رمزعبور برای دسترسی ریموت و همچنین احراز هویت دو عاملی را جدی بگیرید. کنسول‌های ریموت Kaseya و Webroot هر دو از احراز هویت دو عاملی پشتیبانی می‌کنند. علاوه بر این، بعد از این رویداد، توسعه‌دهندگان شروع کردند به در اختیار گرفتنِ کارکردِ آن. ظاهراً مهاجمینی که Sodin را توزیع می‌کنند منتظر یک فرصت استثنائی نیستند؛ آن‌ها از قصد دنبال متودهای گوناگونند تا بتوانند این بدافزار را از طریق ارائه‌دهندگان MSP توزیع کنند. به همین دلیل مجبورند به دقت به تمام ابزار دیگر که در این حوزه مورد استفاده قرار می‌گیرند نگاه کنند.

MSP‌ها و خصوصاً آن‌هایی که خدماتی در راستای امنیت سایبری ارائه می‌دهند باید از زیرساخت‌های خود نهایت حراست را بکنند (حتی باید بیش از اینکه حواسشان به زیرساخت کلاینت است به زیرساخت خودشان باشد).

شرکت‌های دیگر باید چکار کنند؟

البته که آپدیت کردن نرم‌افزار هنوز هم از مهم‌ترین کارهاست. اینکه بدافزاری با آسیب‌پذیری‌هایی کشف‌شده به زیرساخت نفوذ کند و چند ماه پیش تازه بخواهد پچ شود نشان از سهل‌انگاری در اموری بسیار ساده دارد. شرکت‌هایی که از Oracle WebLogic استفاده می‌کنند ابتدا می‌بایست خود را با مشاوره‌های امنیتی Oracle (برای هر دو آسیب‌پذیری) آشنا کنند- CVE-2019-2725 و CVE-2019-2729. همچنین توصیه می‌کنیم از راه‌حل‌های امنیتی مطمئنی استفاده کنید که زیرمجموعه‌های مجهز به شناسایی باج‌افزار دارند و می‌توانند ایستگاه‌های کار را از گزند آن‌ها مصون نگه دارند.

[1] (Managedservices provider (MSP

منبع: کسپرسکی آنلاین

روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛ 

وقتی جاسوس‌افزاری را نه یک برنامه‌نویسِ بدافزار زیرزمینی، بلکه یک شرکت آی‌تی کاملاً حرفه‌ای طراحی می‌کند چه می‌شود؟ نتیجه‌اش می‌شود چیز کثیف و پستی مثل FinSpy (همچنین به آن FinFisher هم می‌گویند) که شرکتی انگلیسی-آلمانی به نام گاما چند وقتی می‌شود توسعه‌اش داده و آن را کاملاً قانونی عرضه کرده است. در طول سال گذشته، این جاسوس‌افزار را روی تعداد زیادی دستگاه موبایل شناسایی کردیم.

نحوه‌ی عملکرد FinSpy

به گزارش روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛گرچه نسخه‌ی دسکتاپیِ این جاسوس افزار وجود دارد (نه تنها برای ویندوز، که حتی برای macOS و Linux) اما خطر بزرگ‌تر از سوی ایمپلنت‌های موبایل است: FinSpy می‌تواند هم روی آی‌او‌اس و هم اندروید نصب شود (با کارایی یکسان در هر دو پلت‌فرم). این اپ به مهاجم اجازه می‌دهد تا نظارتی تقریباً کامل روی اطلاعات دستگاه آلوده داشته باشد. این بدافزار می‌تواند برای هر قربانی به طور جداگانه تنظیم شود؛ بدین‌ترتیب حمله کاملاً شخصی‌سازی می‌شود و تمام اطلاعات شخصی کاربر (شامل کانتکت‌ها، تاریخچه تماس، موقعیت جغرافیایی، پیام‌ها، رویدادهای تقویم و غیره) مورد هدف قرار خواهد گرفت.

اما این همه‌ی ماجرا نیست. FinSpy می‌تواند صداها و تماس‌های VoIP را ضبط کند. همچنین قادر است جریان پیام‌های فوری را متوقف سازد. از دیگر قابلیت‌های FinSpy می‌توان به استراق‌سمع روی بسیاری از سرویس‌های ارتباطی همچون واتس‌اپ، ویچت، وایبر، اسکایپ، لاین، تلگرام و نیز سیگنال و تریما اشاره کرد. علاوه بر پیام‌ها، FinSpy فایل‌های ارسالی و دریافتی توسط قربانیان را در اپ‌های پیام‌رسان استخراج می‌کند و اطلاعات مربوط به گروه‌ها و کانتکت‌ها را نیز درمی‌آورد.

چه کسانی باید از FinSpy بر حذر باشند؟

طریقه‌ی آلوده شدن توسط FinSpy مانند بیشتر انواع بدافزارهاست. بیشتر با سناریوی کلیک روی لینکی در پیام متنی یا ایمیل آلوده شروع می‌شود.

صاحبان دستگاه‌های اندرویدی اغلب بیش از بقیه در منطقه‌ی خطر قرار دارند و اگر گجت‌هایشان روت هم بشود تازه کار بدافزار را تسهیل نیز می‌کند. با این حال، اگر کاربر دسترسی روت نداشته باشد اما روی اسمارت‌فونش اپ روتینگ نصب شده باشد (مثل وقتی که برای نصب برخی اپ‌های دیگر نیاز به حقوق ابرکاربر است) FinSpy می‌تواند آن را استخراج کند تا به روت دسترسی پیدا کند. حتی اگر اسمارت‌فونی روت نشده و هیچ اپ روتینگ هم در آن نصب نشده باشد، باز این جاسوس‌افزار می‌تواند با استفاده از اکسپلویت DirtyCow به روت دسترسی پیدا کند.

کاربران اپل در این بخش کمی شانس آورده‌اند؛ نسخه‌ی iOS این جاسوس‌افزار نیاز به سیستم جیلبریک دارد. اگر به طور اتفاقی صاحب آیفون/آیپد از قبل این کار را کرده بود، دستگاه می‌تواند مثل یک دستگاه اندرویدی آلوده شود. اما اگر چنین نباشد، مهاجم باید برای دسترسی فیزیکی به دستگاه، آن را به صورت دستی جیلبریک نموده و بعد FinSpy را نصب کند.

 چطور ایمن بمانیم؟

برای اینکه قربانی FinSpy یا جاسوس‌افزارهای مشابه نشوید اقدامات زیر لازم است:

لینک‌های مشکوک داخل ایمیل‌ها، پیام‌های فوری یا پیام‌های متنی را دنبال نکنید.
سعی نکنید روی دستگاه‌هایی که به اطلاعات حساس و حیاتی وصلند دسترسی روت داشته باشید (اندروید) یا جیبلریک کنید (iOS).
از راه‌حل امنیتی مطمئن که قادر است این نوع تهدید را شناسایی کند استفاده کنید؛ صاحبان آیفون باید در نظر داشته باشند که متأسفانه هنوز چنین راه‌حلی برای پلت‌فرم iOS ارائه نشده است.  

منبع: کسپرسکی آنلاین

دونالد ترامپ، رئیس جمهوری آمریکا روز پنجشنبه ۱۱ ژوئیه با ابراز مخالفت با ارزهای دیجیتال از جمله «بیت‌کوین» گفت شرکت فیسبوک برای راه‌اندازی ارز دیجیتال خود موسوم به «لیبرا» باید مجوزهای مرتبط با بانک‌داری را دریافت کند.

رئیس‌جمهوری آمریکا در رشته‌توییتی که منتشر کرده است نوشت: «من طرفدار بیت‌کوین یا دیگر ارز‌های دیجیتال نیستم. این‌ها پول محسوب نمی‌شوند و ارزششان بسیار پرنوسان و بی‌بنیاد است. دارایی‌های دیجیتالی (از نوع کریپتو) می‌توانند اعمال غیرقانونی از جمله تجارت مواد مخدر و دیگر فعالیت‌های غیرقانونی را تسهیل کنند.»

آقای ترامپ در ادامه با اشاره به خبر راه‌اندازی ارز دیجیتال موسوم به «لیبرا» توسط شرکت فیسبوک اضافه کرد: «ارز مجازی لیبرا متعلق به فیسبوک هم از ثبات و جایگاه اعتماد کمی برخوردار خواهد بود. اگر فیسبوک یا دیگر شرکت‌ها بخواهند تبدیل به یک بانک شوند باید به دنبال امتیاز تاسیس بانکداری جدید باشند و مشمول تمام مقررات بانکی قرار گیرند. همچون همه بانک‌های دیگر چه داخلی و چه بین‌المللی.»

به گزارش یورونیوز شبکه اجتماعی فیسبوک در ماه گذشته میلادی، ۱۸ ژوئن، به طور رسمی اعلام کرد که از سال ۲۰۲۰ اولین نسخه از ارز دیجیتال خود را با نام «لیبرا» به راه خواهد انداخت. فیسبوک این ارز دیجیتال مبتنی بر شبکه بلاک‌چین را با همراهی ۲۷ موسسه اقتصادی و فن‌آوری غول دنیا از جمله ویزا، ای‌بی، پی‌پل و ودافون تاسیس کرده است.

ترامپ در ادامه توییت خود آورده است که از منظر او «تنها یک ارز واقعی در آمریکا وجود دارد که پرقدرت‌تر از همیشه قابل اتکا و اعتماد است. ارزی که در هرجایی در دنیا با اختلاف ارز غالب است و همیشه همینطور خواهد ماند. نام آن، دلار ایالات متحده است.»

ظهور ارزهای دیجیتال در سال‌های اخیر طرفداران و مخالفان زیادی داشته است. اما این برای اولین بار است که دونالد ترامپ اظهار نظر علنی درباره شاخص‌ترین این ارزهای دیجتال، بیت‌کوین، می‌پردازد.

بیت کوین یا پول مجازی در واقع یک شبکه پرداخت و ذخیره سازی امن و غیر متمرکز پول بر روی اینترنت است که ایده آن برای نخستین بار سال ۲۰۰۹ در قالب یک ایمیل رمزنگاری شده به عنوان سیستم پرداخت الکتریکی متن باز در نظرآزمایی‌ها منتشر شد.

کنترل غیر متمرکز و فراگیر در این سیستم پرداخت و نبود سرور مرکزی برای اعمال نظارت و مدیریت واحد، سبب می‌شود هیچ شخص و یا مرجعی نتواند بر روی فرایند تولید و تغییر قیمت آن اعمال نفوذ کند. محرمانه بودن اطلاعات شخصی سبب شده تا عملا نسبت دادن مالکیت کیف پول بیت کوینی به افراد غیر ممکن باشد و این امر زمینه را برای ارتکاب تخلفات متعدد از جمله خرید و فروش مواد مخدر، جرائم سایبری و پولشویی هموار کند.

ژاپن با تشکیل کارگروهی اقتصادی در صدد وضع قوانین محکمی در قبال ارزهای مجازی همچون لیبرا (ارز متعلق به فیس بوک) است.

به گزارش ایلنا، مقام‌های ژاپن کارگروهی شامل وزیر اقتصاد، رئیس بانک مرکزی و دیگر مقام‌های اقتصادی ژاپن برای ایجاد زیر ساخت‌های لازم و برطرف کردن تهدیدهای احتمالی ارز مجازی لیبرا ایجاد کرده‌اند.

لیبرا ارز مجازی فیس بوک است که در سال 2020 در قالب فیس بوک، واتس اپ، پی پال و ویزا قابل عرضه خواهد بود.

گروه هفت قرار است در دیدار آینده خود به ریاست فرانسه در مورد ساز و کار ارزهای مجازی و امکان ایجاد قوانین جدید رایزنی کنند. این در حالی است که ارز های مجازی پرسش‌های زیادی را برای مقام‌های کشورهای مختلف به وجود آورده است.

تلاش هرزه نگاران اینترنتی برای دسترسی به محتوای مستهجن در فضای مجازی باعث تولید دی اکسیدکربنی معادل با دی اکسیدکربن تولید شده در کشور بلژیک می شود.

به گزارش نخست نیوز به نقل از یاهونیوز، گزارش موسسه فرانسوی شیفت رپوجکت نشان می دهد که مشاهده محتوای مستهجن در اینترنت باعث فعالیت گسترده سخت افزارهای رایانه ای می شود و این فعالیت شدید به تولید ۳۰۰ میلیون تن کربن در سال منجر می شود. یک سوم این رقم مربوط به مشاهده ویدئوهای هرزه نگارانه در فضای مجازی است.

بررسی یادشده که از طریق مدل سازی رایانه ای انجام شده، نشان می دهد که مصرف انرژی ابزار دیجیتال هر سال در مجموع به اندازه ۹ درصد افزایش می یابد. ۶۰ درصد از کل انرژی مصرف شده بابت استفاده از ابزار یادشده مربوط به مشاهده ویدئوهای آنلاین است.

در گزارش یادشده توصیه شده که بخش دیجیتال باید در راستای کاهش تولید دی اکسیدکربن تولیدی توسط سخت افزارهای رایانه ای بیشتر تلاش کند و در غیر این صورت تبعات مستقیم و غیرمستقیم این پدیده بر سلامت محیط زیست غیرقابل جبران خواهد بود.

امروزه فناوری های دیجیتال مسئول تولید ۴ درصد از گازهای گلخانه ای متصاعدشده در جو زمین هستند که این رقم بیشتر از دی اکسیدکربن متصاعد شده از کل هواپیماهای غیرنظامی جهان است. پیش بینی می شود تولید و انتشار ویدئوهای باکیفیت تر در فضای مجازی این رقم را تا سال ۲۰۲۵ دو برابر کند.

پلیس فدرال آمریکا در تلاش است تا کنترل و نظارت خود بر شبکه های اجتماعی را تشدید کند و اطلاعاتی مانند شناسه های کاربری، آدرس های آی پی و شماره تلفن را جمع آوری کند.

به گزارش خبرگزاری مهر به نقل از انگجت، اف بی آی به همین منظور قراردادی را برای تولید و استفاده از یک ابزار نظارتی جدید منعقد کرده تا این ابزار بتواند هر اطلاعاتی که مد نظر پلیس امریکاست را به دست آورد.

اف بی آی مدعی است هدف از استفاده از ابزار یادشده شناسایی و کنترل گروه های تروریستی، بررسی تهدیدات داخلی، فعالیت های جنایی و غیره است. اما بیم آن می رود که ابزار مذکور برای نقض حریم شخصی میلیاردها نفر از کاربران شبکه های اجتماعی در سراسر جهان مورد استفاده قرار بگیرد.

ابزار تازه دسترسی اف بی آی به کل نمایه های کاربران را در شبکه های اجتماعی ممکن می کند و حتی از این طریق می توان آدرس ایمیل، شناسه دقیق کاربری، شماره تلفن و غیره را نیز استخراج کرد. ابزار یادشده ردگیری افراد را بر اساس موقعیت مکانی آنها ممکن کرده و دسترسی به سوابق و تاریخچه استفاده هر فرد از شبکه های اجتماعی را ممکن می کند.

انتظار می رود این اقدام اف بی آی به اعتراض گسترده کاربرانی منجر شود که نگران سوءاستفاده از اطلاعات شخصی و نقض حریم شخصیشان توسط پلیس آمریکا هستند.

هکرها از بدافزاری به نام تریک بات برای هک کردن ۲۵۰ میلیون ایمیل استفاده کرده اند که بخشی از آنها متعلق به دولت های آمریکا، انگلیس و کانادا هستند.

به گزارش خبرگزاری مهر به نقل از انگجت، بدافزار یادشده پدیده تازه ای نیست و از سال ۲۰۱۶ برای خرابکاری و نفوذ به حساب‌های کاربری افراد مختلف مورد استفاده قرار گرفته است.

این بدافزار بعد از نفوذ به هر حساب کاربری ایمیل خود را برای آدرس‌های موجود در آن حساب کاربری نیز ارسال کرده و مشکلات مختلفی را به وجود می‌آورد.

بدافزار یادشده همچنین انبوهی از هرزنامه را از طریق حساب‌های تحت کنترل خود ارسال کرده و پیام‌های ارسالی را از این باکس، اوت باکس و پوشه نامه‌های باطله یا تراش پاک می‌کند.

از مجموع ۲۵۰ میلیون ایمیل هک شده، ۲۵ میلیون مورد جیمیل، ۱۰ میلیون مورد مربوط به سایت یاهو و ۱۱ میلیون مورد مربوط به هات میل هستند. از جمله دیگر پلتفرم‌های مورد سواستفاده می‌توان به AOL، MSD، Yahoo.co.uk و غیره اشاره کرد. احتمال می‌رود تعداد حساب‌های کاربری هک شده بیش از این رقم باشد.

بعد از ماه‌ها چانه‌زنی فیس‌بوک و کمیسیون فدرال تجارت آمریکا، سرانجام 2 طرف بر سر میزان جریمه‌ای که فیس‌بوک به علت نقض حریم شخصی باید بپردازد، به توافق رسیدند.

به گزارش فارس به نقل از انگجت، بر اساس رای کمیسیون یادشده، بعد از ماه ها چانه زنی فیس بوک و کمیسیون فدرال تجارت آمریکا، سرانجام دو طرف بر سر میزان جریمه ای که فیس بوک به علت نقض حریم شخصی باید بپردازد، به توافق رسیدند. فیس بوک باید به علت اقدامات اشتباهی که در حوزه حریم شخصی انجام داده و ناتوانی در زمینه جلب رضایت کاربران باید جریمه کلان 5 میلیارد دلاری بپردازد.

از میان اعضای 5 نفری این کمیسیون، سه جمهوری خواه به نفع این مصوبه و دو دموکرات بر علیه آن رای دادند. البته هنوز مشخص نیست به علت این تخلف فیس بوک قرار است چه محدودیت های دیگری بر آن تحمیل شده و چه اقدامات نظارتی برای جلوگیری از تکرار چنین رویدادی به عمل آید.

علاوه بر این مشخص نیست آیا هیچ تعهدی از فیس بوک اخذ شده تا این شرکت تمهیداتی برای کاهش تکرار موارد نقض حریم شخصی کاربران بیندیشد یا خیر.

تا پیش از این بیشترین میزان جریمه اخذ شده از شرکت های فناوری و شبکه های اجتماعی به علت نقض حریم شخصی کاربران مربوط به گوگل بوده و رقم آن برابر با 22.5 میلیون دلار بوده است. علت این امر انتقال داده های شخصی کاربران به شرکت های ثالث اعلام شده بود.

به گزارش دفتر کمیسر اطلاعات انگلیسی (ICO)، خطوط هوایی بریتانیا به دلیل نشتی اطلاعاتِ سال گذشته ملزم به پرداخت جریمه‌ی 183 میلیون پوندی می‌شود. شاید بد نباشد بدانید فیسبوک برای همکاری با کمبریج آنالیتیکا در سوءاستفاده از اطلاعات کاربری تا به حال صدها بار توسط اتحادیه‌ی اروپا ملزم به پرداخت جریمه شده است. با ما در این مقاله همراه شوید تا ببینیم ایرادِ کار کجا بوده و چرا باید پیش از هر چیزی به حفاظت اطلاعاتیِ امور فکر کرد.

نشتی اطلاعات خطوط هوایی بریتانیا- ایرادِ کار کجا بود؟

پاییز سال گذشته خطوط هوایی بریتانیا گزارش دادند که از تاریخ 21 آگوست تا 5 سپتامبر، مهاجمین خارجی به اطلاعات کاربرانی که از طریق اپ موبایل یا وبسایت ایت شرکت بلیت خریده بودند یا بلیت‌شان را عوض کردند دسترسی داشتند. مهاجمین سایبری از چیزی حدود 500 هزار مشتری اطلاعات دزدیدند. این اطلاعات شامل هر چیزی که مشتریان در فیلدهای فرم آنلاین وارد کرده بودند می‌شد: نام کاربری، رمزعبور، اسم و آدرس، اطلاعات کارت بانکی مثل کد CVC و غیره.

به گزارش روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛ نتیجه‌ی بررسی‌ها و تحقیقات این شد که خطوط هوایی بریتانیا توسط گروه مجرمین سایبری به نام Magecart مورد حمله قرار گرفته بودند. این گروه معروف است به تزریق اسکریپت‌های آلوده به وبسایت‌های تجارت الکترونیک به منظور سرقت اطلاعات مالی. خوب حمله به خطوط هوایی بریتانیا هم از این قاعده مستثنی نبود- مهاجمین وبسایت این شرکت را آلوده کردند. کاربران اپ موبایل تنها به این دلیل مبتلا شدند چون برخی کارایی‌های اپ مستقیماً از وبسایت لود می‌شد.

جریمه‌ی  GDPR[1]

گرچه خطوط هوایی بریتانیا این اتفاق را به موقع گزارش دادند و به تحقیقات کمک بسیاری کردند اما باز هم این شرکت باید جریمه‌ی خود را پرداخت می‌کرد. بر اساس قوانین و قرائن GDPR، شرکتی که کارش پردازش اطلاعات شخصی شهروندان اروپایی است باید تمام قوای خود را برای تضمین امنیت اطلاعاتی بگذارد. وبسایت این شرکت (بر اساس یافته‌های این تحقیق) به حد کافی تحت حفاظت اطلاعاتی نبوده است. بعد از این واقعه، کریر طبیعتاً شروع کرد به انجام اقدامات دفاعی اما اینها هیچکدام توجیهی برای قصور آن نمی‌شود.

فیسبوک -که اطلاعات حدود 87 میلیون کاربر را نشت کرد- تنها با جریمه‌ی 500 هزار پوندی در اروپا ملزم شد. بر اساس قانون حفاظت از اطلاعات پیش از GDPR سال 1998، این مبلغ بالاترین حد برای جریمه بود.

هزینه‌‌های امنیتی ارزان‌تر از جریمه‌های بالقوه درمی‌آید  

جریمه‌ی بالقوه‌ی خطوط هوایی بریتانیا مربوط به نشتی اطلاعات سال گذشته‌تغییر دادنی نیست. اقدامات مناسب امنیتی و جلوگیری از چنین وقایعی خیلی کمتر از جریمه‌های ناشی از نشتی‌های اطلاعاتی هزینه برمی‌دارد. اگر کسب و کارتان به پردازش اطلاعات شخصی کاربران اروپایی مربوط می‌شود -خصوصاً اطلاعاتی مانند جزئیات پرداختی‌های بانکی- توصیه می‌کنیم پیش از اینکه مجبور به پرداخت جریمه‌های سنگین شوید با هزینه‌ی بسیار کمتری نسبت به پیشگیری نشت اطلاعاتی اقدام نمایید.

امنیت انحصاری برای تجارت‌های الکترونیکی یا سرویس‌های بانکداری آنلاین -که باید حواسشان به شدت به حفاظت از وبسایت‌شان در مقابل اسکریپت‌های آنلاین مخرب باشد- بسیار حایز اهمیت است. ما در پلت‌فرم Kaspersky Fraud Prevention خود راه‌حلی به نام Automated Fraud Analytics گنجانده‌ایم که به شما اجازه می‌دهد رویدادهای یک وب‌پیج را در طول جلسه‌ی کاربری مورد تحلیل قرار دهید. این راه‌حل در حقیقت می‌تواند تهدیدهای آنلاین مختلف را شناسایی کند (از جمله تزریق‌های مخرب اسکریپت).

[1]مقررات عمومی حفاظت از داده اتحادیه اروپا

منبع: کسپرسکی آنلاین

روز گذشته توئیتر بیش از یک ساعت در سراسر جهان قطع شد و این رویداد سبب شد ارزش سهام توئیتر در بورس کاهش پیدا کند.

به گزارش خبرگزاری مهر به نقل از العربیه، روز گذشته توئیتر در وبلاگ خود اعلام کرد سرویس رسانی این پلتفرم پس از قطعی یک ساعته دوباره از سرگرفته شده است.

روز گذشته سرویس رسانی توئیتر به مدت بیش از یک ساعت در سراسر جهان قطع شد. در همین راستا جک دورسی مدیر ارشد اجرایی دریک توئیت نوشت: سرویس رسانی ما قطع شده بود. اکنون به تدریج خدمات را از سر گرفته‌ایم. متاسفیم!

به گفته شرکت دلیل این اختلال یک تغییر در سیستم داخلی بوده است. همچنین این شرکت اعلام کرد مشغول فعالیت است تا مشکل را به طور کامل حل کند.

طبق اطلاعات وب سایت Downdetector.com حدود ۷۰ هزار کاربر در سراسرجهان اختلال در توئیتر را گزارش کرده بودند.

این در حالی است که پس از قطعی سرویس رسانی توئیتر ارزش سهام آن در بورس کاهش یافت. به نوشته مارکت واچ ارزش سهام این شرکت ۰.۶۹ درصد کاهش یافت.

به تازگی محققان با مطالعه ۸۸۰۰۰ برنامه مختلف در گوگل پلی، توانستند بیش از ۱۰۰۰ نر‌م‌افزار که بخش صدور مجوز برای دسترسی به اطلاعات را دور می‌زنند، کشف کنند.

به گزارش باشگاه خبرنگاران جوان، بخش ارائه مجوز در سیستم عامل اندروید برای این است که ما بدانیم چقدر اطلاعات ما قرار است با نرم‌افزار مربوطه در میان گذاشته شود. اگر کاربری نخواهد نرم‌افزار چراغ‌‍‌ قوه به اطلاعات تماس او دسترسی داشته باشد، حق این را دارد که مجوز آن را صادر نکند. اما مثل این که حتی زمانی که شما اجازه دسترسی به این نرم‌افزار‌ها نمی‌دهید هم بعضی از آن‌ها راهی برای دور زدن مجوز شما پیدا می‌کنند.

به تازگی محققان توانسته‌اند بیشتر از ۱۰۰۰ نر‌م‌افزار کشف کنند که بدون اجازه کاربر می‌توانند اطلاعات دقیق موقعیت مکانی و شناسه‌های تلفن را جمع‌آوری می‌کنند. این کشف نشان داد که چقدر مسئله امنیت اطلاعات شخصی به خصوص زمانی که از تلفن‌همراه و نرم‌افزار‌های آن استفاده می‌شود در دنیای امروز زیر سوال می‌رود. شرکت‌های فناوری اکنون کوهی از اطلاعات شخصی کاربران از جمله مکان‌هایی که در آن حضور داشته‌اند، دوستانی که دارند و علایق آن‌ها دارند.

نرم‌افزارهایی که صدور مجوز را دور می‌زنند

قانون‌گذاران در حال تلاش برای مقابله با فاش شدن اطلاعات خصوصی کاربران هستند و معتقدند مجوز‌های برنامه باید کنترل کنند چه اطلاعاتی منتقل می‌شود. اپل و گوگل ویژگی‌های جدیدی برای بهبود حریم خصوصی افراد ارائه کرده‌اند، اما بعضی برنامه‌ها همچنان راه‌های مخفی دور زدن آن‌ها را پیدا می‌کنند.

محققان موسسه بین‌المللی علوم رایانه بیش از ۱۳۲۵ نرم‌افزار اندرویدی پیدا کرد‌ه‌اند که اطلاعات شخصی کاربران را از دستگاه‌ها جمع آوری می‌کردند حتی پس از آنکه مردم به صراحت اجازه دسترسی به آن‌ها را رد می‌کردند. سرهنگ اگلمن، مدیر تحقیق امنیت و حفظ حریم خصوصی در ICSI، این مطالعه را در اواخر ژوئن در PrivacyCon دادگستری فدرال ارائه کرده بود.

مقابله قانونی با نرم‌افزارهای متخلف

اگلمن در این کنفرانس گفت: «اساسا، مصرف کنندگان ابزار و نشانه‌های بسیار کمی دارند که می‌توانند به طور منطقی و مستقیم حریم خصوصی خود و تصمیم گیری در مورد آن را کنترل کنند. اگر توسعه دهندگان نرم‌افزار بتوانند سیستم امنیت را دور بزنند، پس درخواست کردن از مصرف کنندگان برای ارائه مجوز نسبتا بی‌معنی است.»

او در ادامه گفت که محققان در ماه سپتامبر این مسئله را به گوگل اطلاع داده‌اند. گوگل اعلام کرده است که این موضوع در اندروید Q حل خواهد شد. انتظار می‌رود این نسخه سیستم عامل گوگل در سال جاری منتشر شود.

روش استفاده شده در نرم‌افزارهای جاسوسی

مطالعه‌های انجام شده روی ۸۸۰۰۰ برنامه مختلف در گوگل پلی نشان داد که چگونه آن‌ها توانایی دارند اطلاعات کاربر را حتی پس از عدم صدور مجوز دسترسی، جمع آوری کنند. ۱۳۲۵ نرم‌افزار که این کار را انجام می‌دادند از کد‌های مخفی در درون خود استفاده می‌کردند. شیوه کاری آن‌ها هم به این شکل بود که از اطلاعات مخفی شده در وای‌فای و ابرداده ذخیره شده در عکس‌ها سوءاستفاده می‌کردند.

محققان دریافتند که یک برنامه ویرایش عکس به نام Shutterfly، مختصات GPS را از عکس‌ها جمع‌آوری و به سرور‌های خود ارسال می‌کرده است. این نرم‌افزار این کار را حتی هنگامی که کاربران مجوز دسترسی به اطلاعات را رد می‌کرد نیز به کار خود ادامه می‌داد. البته یکی از سخگویان Shutterfly در جواب این کشف محققان گفته است: «برخلاف آن چه محققان پیدا کرده‌اند، این شرکت فقط اطلاعات مکانی را با اجازه مستقیم کاربر جمع‌آوری می‌کند.»

اگلمن گفته است که جزئیات کامل تحقیقات همراه با فهرستی از ۱۳۲۵ برنامه که محققان کشف کرده‌اند را در کنفرانس امنیتی Usenix در ماه اوت ارائه می‌دهد.

طبق گزارشی جدید هفته آینده مدیران ارشد اجرایی گوگل، فیس بوک، آمازون و اپل در جلسه کمیته آنتی تراست کنگره آمریکا حاضر می شوند تا به سوالاتی پاسخ دهند.

به گزارش خبرگزاری مهر به نقل از انگجت، کنگره آمریکا مشغول تحقیقاتی درباره قانون آنتی تراست (ضد انحصار) در صنعت فناوری است و قصد دارد شرکت های بزرگ را برای شهادت فرابخواند.

دستیاران «دیوید سیسیلین»، رئیس کمیته آنتی تراست کنگره آمریکا تایید کرده اند هفته آینده در ۱۶ جولای یک جلسه استماع برگزار می شود و از مدیران ارشد اجرایی شرکت های آمازون، اپل، گوگل و فیس بوک سوالاتی پرسیده می شود.

محور دقیق این سوالات مشخص نیست اما احتمالاً به نگرانی های رقابتی مربوط باشد. نمایندگان دموکرات و جمهوریخواه مجلس آمریکا نگران هستند که تعداد اندکی از شرکت‌ها اینترنت را کنترل می‌کنند و از قدرت خود برای از میدان به در کردن رقبا سواستفاده می‌کنند.

البته این تحقیق لزوماً به انجام اقداماتی منجر نمی‌شود اما سیاستمداران با استفاده آن تعیین می‌کنند حل مشکلات با قوانین فعلی امکانپذیر است یا باید قانون جدیدی در این باره وضع شود.

کارشناسان معتقدند این شرکت‌ها با اتهام انحصار رقابت مقابله می‌کنند. اپل انحصار قدرت در اپ استور را رد کرد است. از سوی دیگر نیز گوگل با جریمه‌های نقض قانون آنتی تراست در اروپا دست و پنجه نرم می کند.