Η Apple σχεδιάζει να αντικαταστήσει σύντομα τους κωδικούς πρόσβασης στο Safari και το Ios με νέα τεχνολογία, καθιστώντας ακόμη και τους καλύτερους διαχειριστές κωδικών πρόσβασης σχεδόν περιττούς. Πρόκειται για την τεχνολογία passkey της Apple η οποία χρησιμοποιεί αναγνωρισμένα πρότυπα του κλάδου από τη Συμμαχία FIDO. Η Apple ήταν μέλος αυτής της συμμαχίας κατά τη διάρκεια της ανάπτυξής των συγκεκριμένων προτύπων και συνεργάστηκε με άλλες εταιρείες τεχνολογίας και παρόχους υπηρεσιών από όλο τον κόσμο για τη μείωση της γενικής εξάρτησης από τους κωδικούς πρόσβασης.

Τα πρότυπα σύνδεσης χωρίς κωδικό πρόσβασης της FIDO Alliance υποστηρίζονται ήδη από δισεκατομμύρια συσκευές και όλα τα σύγχρονα προγράμματα περιήγησης στο διαδίκτυο. Αυτό το νέο πρότυπο χωρίς κωδικούς πρόσβασης παρουσιάζει μια τεράστια σειρά πλεονεκτημάτων που οι κωδικοί πρόσβασης απλά δεν μπορούν να προσφέρουν. Επιτρέπει μια πιο απρόσκοπτη είσοδο, δίνοντας τη δυνατότητα στους χρήστες να έχουν αυτόματη πρόσβαση στα διαπιστευτήριά τους σε πολλές συσκευές, καταργώντας την ανάγκη να επαναλαμβάνουν τη διαδικασία εισόδου σε κάθε λογαριασμό.

Αυτό διασφαλίζει ότι οι χρήστες θα έχουν μια ενιαία εμπειρία ανεξάρτητα από το πρόγραμμα περιήγησης ή το λειτουργικό σύστημα που χρησιμοποιούν για να συνδεθούν. Η εμπειρία του χρήστη δε θα μπορούσε επίσης να είναι απλούστερη, καθώς επιτρέπει την είσοδο μέσω βιομετρικών στοιχείων (ανοίγει σε νέα καρτέλα) ή PIN στη συσκευή ακριβώς όπως οι χρήστες έχουν πρόσβαση στις συσκευές τους.

Ο Τζέικ Μουρ, Σύμβουλος Παγκόσμιας Κυβερνοασφάλειας της ESET αναφέρει σχετικά: «Η ανακοίνωση της Apple για τη σταδιακή κατάργηση των κωδικών πρόσβασης ακολουθεί τη γραμμή παρόμοιων δηλώσεων άλλων τεχνολογικών κολοσσών όπως η Google ή υπηρεσιών όπως η PayPal. Τα στατιστικά δείχνουν, ότι περίπου το 80% όλων των επιτυχημένων παραβιάσεων εταιρειών βασίζονται σε κλεμμένους, επαναχρησιμοποιημένους και πολύ αδύναμους κωδικούς πρόσβασης.

Οι πιο επιτυχημένες καμπάνιες spam παγκοσμίως είναι τα ψεύτικα emails στο iCloud, όπου οι χρήστες θα έκαναν κλικ σε συνδέσμους για να "επιβεβαιώσουν τα δεδομένα τους" ή "να ελέγξουν για πιθανούς κινδύνους ασφαλείας" και θα έβαζαν τα στοιχεία σύνδεσής τους σε ψεύτικους ιστότοπους.

Σχεδόν 60 χρόνια μετά την εισαγωγή τους στον κόσμο της πληροφορικής, είναι καιρός να θέσουμε σε εφαρμογή σύγχρονες μεθόδους ελέγχου ταυτότητας. Το μεγαλύτερο πλεονέκτημα τόσο για τους χρήστες όσο και για τους διαχειριστές είναι, ότι η τεχνολογία αυτή είναι ήδη διαθέσιμη στο smartphone του χρήστη. Ωστόσο, δε θα πρέπει να ενθουσιαζόμαστε υπερβολικά με την ιδέα ότι από αύριο θα έχουμε έναν κόσμο χωρίς κωδικούς πρόσβασης. Μπορεί να χρειαστεί άλλη μια δεκαετία μέχρι να προσαρμοστεί η συντριπτική πλειονότητα των υπηρεσιών και των χρηστών και σε ορισμένες περιπτώσεις, όπως σε περιβάλλοντα παραγωγής ή σε παλαιά συστήματα, μπορεί να μην είναι καν δυνατή η αντικατάσταση των συνδέσεων που βασίζονται σε κωδικούς πρόσβασης».

Ο καθηγητής πληροφορικής Moshe Y. Vardi είναι ο Senior Editor of Communications του ACM Και ανησυχεί για την κατάσταση της κυβερνοασφάλειας σήμερα. Σε άρθρο του το 2017 έγραψε τα παρακάτω:
"Λοιπόν, εδώ είμαστε, 70 χρόνια στην εποχή των υπολογιστών και μετά από τρία βραβεία ACM Turing στον τομέα της κρυπτογραφίας (αλλά κανένα στην ασφάλεια στον κυβερνοχώρο) και δεν φαίνεται ακόμα να γνωρίζουμε πώς να δημιουργήσουμε ασφαλή συστήματα πληροφοριών ." Τι θα έγραφα σήμερα; Σαφώς, θα έγραφα: «75 χρόνια», αλλά δεν θα άλλαζα λέξη στην υπόλοιπη πρόταση....

Η αργή πρόοδος στην ασφάλεια στον κυβερνοχώρο οδηγεί πολλούς στο συμπέρασμα ότι το πρόβλημα δεν οφείλεται απλώς στην έλλειψη τεχνικής λύσης, αλλά αντανακλά μια αποτυχία της αγοράς, η οποία αποθαρρύνει όσους μπορούν να διορθώσουν σοβαρά τρωτά σημεία ασφαλείας να το κάνουν. Όπως υποστήριξα το 2020, τα πεδία υπολογιστών τείνουν να επικεντρώνονται στην αποτελεσματικότητα σε βάρος της ανθεκτικότητας. Η ασφάλεια συνήθως έχει κόστος όσον αφορά την απόδοση, ένα κόστος που οι παίκτες της αγοράς φαίνεται απρόθυμοι να πληρώσουν. Για να συζητήσει το ζήτημα της αποτυχίας της αγοράς και τον τρόπο αντιμετώπισής του, η Κοινοπραξία Υπολογιστικής Κοινότητας (Computing Community Consortium) διοργάνωσε τον Αύγουστο του τρέχοντος έτους ένα εργαστήριο οραματισμού σχετικά με το Σχεδιασμό Μηχανισμών για τη Βελτίωση της Ασφάλειας Υλικού. Η εναρκτήρια ομιλία έγινε από τον Paul Rosenzweig, δικηγόρο που ειδικεύεται στο δίκαιο εθνικής ασφάλειας. Υποστήριξε ότι η τεχνολογική ανάπτυξη βασίζεται, τελικά, στην ανθρώπινη συμπεριφορά.

Έτσι, το κλειδί για την καλή ασφάλεια στον κυβερνοχώρο είναι να δοθούν κίνητρα στους ανθρώπους. Έτσι, η απάντηση βρίσκεται στα οικονομικά της κυβερνοασφάλειας, η οποία είναι, ως επί το πλείστον, ένας ιδιωτικός τομέας με πολλές εξωτερικές επιδράσεις, όπου οι τιμές δεν καλύπτουν όλο το κόστος... Όπως τόνισε η φιλόσοφος Helen Nissenbaum σε ένα άρθρο του 1996, ότι οι πωλητές υπολογιστών είναι υπεύθυνοι για την αξιοπιστία και την ασφάλεια του προϊόντος τους, η έλλειψη ευθύνης οδηγεί σε έλλειψη λογοδοσίας τους. Μας προειδοποίησε πριν από περισσότερα από 25 χρόνια για τη διάβρωση της λογοδοσίας στις ηλεκτρονικές κοινωνίες. Η ανάπτυξη της κουλτούρας «κίνηση-γρήγορα-και-σπάσε τα πράγματα» ("move-fast-and-break-things) σε αυτόν τον αιώνα δείχνει ότι η προειδοποίησή της ήταν επίκαιρη…

Εάν θέλουμε να αντιμετωπίσουμε το ζήτημα της ανασφάλειας στον κυβερνοχώρο, θα πρέπει να ξεκινήσουμε χαιρετίζοντας την ευθύνη στον τομέα των υπολογιστών.

Η κυβέρνηση Μπάιντεν θα ξεκινήσει ένα πρόγραμμα επισήμανσης κυβερνοασφάλειας για καταναλωτικές συσκευές Internet of Things από το 2023, σε μια προσπάθεια να προστατεύσει τους Αμερικανούς από «σημαντικούς κινδύνους για την εθνική ασφάλεια».
Εμπνευσμένο από το Energy Star, ένα πρόγραμμα επισήμανσης που λειτουργεί από την Υπηρεσία Προστασίας του Περιβάλλοντος και το Υπουργείο Ενέργειας των Η.Π.Α. για την προώθηση της ενεργειακής απόδοσης, ο Λευκός Οίκος σχεδιάζει να εφαρμόσει ένα παρόμοιο πρόγραμμα σήμανσης IoT στις συσκευές «υψηλού κινδύνου» από το επόμενο έτος, δήλωσε αξιωματούχος της κυβέρνησης Μπάιντεν ύστερα από συνάντηση του Συμβουλίου Εθνικής Ασφάλειας με ενώσεις καταναλωτικών προϊόντων και κατασκευαστές συσκευών. Στη συνάντηση συμμετείχαν η αξιωματούχοι του Λευκού Οίκου, η πρόεδρος της FCC, ο National Cyber Director και ο γερουσιαστής Angus King, μαζί με ανώτερα στελέχη από την Google, την Amazon, τη Samsung, τη Sony και άλλους.

Η πρωτοβουλία, που περιγράφεται από αξιωματούχους του Λευκού Οίκου ως «Energy Star για τον κυβερνοχώρο» (Energy Star for cyber), θα βοηθήσει τους Αμερικανούς να αναγνωρίσουν εάν οι συσκευές πληρούν ένα σύνολο βασικών προτύπων κυβερνοασφάλειας που τέθηκαν από το Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας (NIST) και την Ομοσπονδιακή Επιτροπή Εμπορίου (FTC). Αν και οι λεπτομέρειες του προγράμματος δεν έχουν ακόμη επιβεβαιωθεί, η διοίκηση είπε ότι «θα κρατήσει τα πράγματα απλά». Οι ετικέτες, οι οποίες θα «αναγνωρίζονται παγκοσμίως» και θα κάνουν το ντεμπούτο τους σε συσκευές όπως routers και οικιακές κάμερες, θα έχουν τη μορφή «barcode» που οι χρήστες μπορούν να σαρώσουν χρησιμοποιώντας το smartphone τους και όχι μια στατική χάρτινη ετικέτα. Ο σαρωμένος γραμμωτός κώδικας θα συνδέεται με πληροφορίες που βασίζονται σε πρότυπα, όπως πολιτικές ενημέρωσης λογισμικού, κρυπτογράφηση δεδομένων και αποκατάσταση ευπαθειών.

Όλοι όσοι ταξιδεύουν στο Κατάρ κατά τη διάρκεια του Παγκοσμίου Κυπέλλου ποδοσφαίρου θα κληθούν να κατεβάσουν δύο εφαρμογές που ονομάζονται Ehteraz και Hayya.

Εν συντομία, το Ehteraz είναι μια εφαρμογή παρακολούθησης του Covid-19, ενώ η Hayya είναι μια επίσημη εφαρμογή Παγκόσμιου Κυπέλλου που χρησιμοποιείται για την παρακολούθηση των εισιτηρίων των αγώνων και για την πρόσβαση στο δωρεάν Μετρό στο Κατάρ.

Συγκεκριμένα, η εφαρμογή Covid-19 Ehteraz ζητά πρόσβαση σε πολλά δικαιώματα στο κινητό σας., όπως πρόσβαση για ανάγνωση, διαγραφή ή αλλαγή όλου του περιεχομένου του τηλεφώνου, καθώς και πρόσβαση για σύνδεση σε WiFi και Bluetooth, παράκαμψη άλλων εφαρμογών και αποτροπή κλεισίματος του τηλεφώνου όταν αυτό βρίσκεται σε κατάσταση αναστολής λειτουργίας.

Η εφαρμογή Ehteraz, την οποία πρέπει να κατεβάσουν όλοι οι άνω των 18 ετών που έρχονται στο Κατάρ, λαμβάνει επίσης μια σειρά από άλλα δικαιώματα, όπως επισκόπηση της ακριβούς τοποθεσίας σας, τη δυνατότητα πραγματοποίησης απευθείας κλήσεων μέσω του τηλεφώνου σας και τη δυνατότητα απενεργοποίησης του κλειδώματος της οθόνης σας.

Η εφαρμογή Hayya δεν ζητά τόσα πολλά, αλλά ζητάει επίσης μια σειρά από κρίσιμα δικαιώματα. Μεταξύ άλλων, η εφαρμογή ζητά πρόσβαση για να μοιραστείτε τα προσωπικά σας στοιχεία χωρίς σχεδόν κανέναν περιορισμό. Επιπλέον, η εφαρμογή Hayya παρέχει πρόσβαση για τον προσδιορισμό της ακριβούς τοποθεσίας του τηλεφώνου, την αποτροπή της μετάβασης της συσκευής σε κατάσταση αναστολής λειτουργίας και την προβολή των συνδέσεων δικτύου του τηλεφώνου.

Όπως αναφέρει το Yahoo News, χρήστες της Amazon που διαθέτουν λογαριασμό στην πλατφόρμα προειδοποιούνται για μια νέα απάτη με γραπτά μηνύματα.

Οι πελάτες της Amazon ενημέρωσαν ότι λαμβάνουν γραπτά μηνύματα υποτίθεται από την Amazon, τα οποία τους ζητούν να μπουν σε ένα σύνδεσμο για να προστατέψουν τους λογαριασμούς τους μετά από μια υποτιθέμενη απόπειρα σύνδεσης.

Ωστόσο, μόλις συνδεθούν, οι απατεώνες είναι σε θέση να κλέψουν τα προσωπικά στοιχεία των χρηστών. Οι ειδικοί του οργανισμού για τα δικαιώματα των καταναλωτών “Which?”  καλούν τους πολίτες να είναι προσεκτικοί.

Ο Jake Moore, Σύμβουλος Παγκόσμιας Κυβερνοασφάλειας της ESET αναφέρει σχετικά: «Καθώς η Amazon είναι μια από τις μεγαλύτερες ιστοσελίδες αγορών στον κόσμο, οι εγκληματίες βάζουν στο στόχαστρο πελάτες και μη, στέλνοντας μεγάλο αριθμών μηνυμάτων σε ό,τι τηλεφωνικούς αριθμούς έχουν στα χέρια τους.

Οι απάτες με γραπτά μηνύματα (smishing) εξακολουθούν να αυξάνονται λόγω των περιορισμένων ελέγχων για επαλήθευση των επικοινωνιών, αλλά και γιατί φαίνεται ότι είναι πολύ εύκολο μέσα από το smishing να πείσει κανείς τους ανθρώπους να εκτελέσουν οδηγίες. Ακολουθώντας συνδέσμους από γραπτά μηνύματα μπορεί να μεταφερθείτε σε μια ιστοσελίδα που μοιάζει αυθεντική.

Ωστόσο, είναι προτιμότερο να είστε πάντα επιφυλακτικοί και να αγνοήσετε ένα τέτοιο γραπτό μήνυμα και αντ΄αυτού να προτιμήσετε την εφαρμογή που είναι εγκατεστημένη στο τηλέφωνό σας ή να επισκεφθείτε την επίσημη ιστοσελίδα για να ελέγξετε το λογαριασμό σας.

Η αποκάλυψη τραπεζικών στοιχείων ή κωδικών πρόσβασης λογαριασμού μπορεί να οδηγήσει στην κλοπή χρημάτων τα οποία οι πελάτες δε θα έχουν δικαίωμα να πάρουν πίσω».

Η Ευρώπη στοχεύει να εκτοξεύσει έναν δοκιμαστικό δορυφόρο για ασφαλείς, κβαντικά κρυπτογραφημένες επικοινωνίες το 2024», αναφέρει το Space.com. Ο δορυφόρος, Eagle-1, θα είναι το πρώτο διαστημικό σύστημα διανομής κβαντικών κλειδιών (QKD) για την Ευρωπαϊκή Ένωση και θα μπορούσε να οδηγήσει σε ένα Ευρωπαϊκό υπερασφαλές δίκτυο επικοινωνιών, σύμφωνα με δήλωση του Ευρωπαϊκού Οργανισμού Διαστήματος (ESA).

Το Eagle-1 θα περάσει τρία χρόνια σε τροχιά δοκιμάζοντας τις τεχνολογίες που απαιτούνται για μια νέα γενιά ασφαλών επικοινωνιών. Ο δορυφόρος θα επιδείξει τη σκοπιμότητα της τεχνολογίας διανομής κβαντικών κλειδιών — η οποία χρησιμοποιεί τις αρχές της κβαντικής μηχανικής για τη διανομή κλειδιών κρυπτογράφησης με τέτοιο τρόπο ώστε κάθε προσπάθεια υποκλοπής να εντοπίζεται αμέσως — εντός της ΕΕ χρησιμοποιώντας ένα σύστημα δορυφόρων.

«Η ευρωπαϊκή ασφάλεια και κυριαρχία σε έναν μελλοντικό κόσμο κβαντικών υπολογιστών είναι κρίσιμης σημασίας για την επιτυχία της Ευρώπης και των κρατών μελών της», δήλωσε στη δήλωση ο Steve Collar, Διευθύνων Σύμβουλος της SES. Πρόσθεσε ότι ο στόχος είναι «η προώθηση των κβαντικών επικοινωνιών και η ανάπτυξη του συστήματος Eagle-1 για την υποστήριξη ασφαλών και κυρίαρχων ευρωπαϊκών δικτύων του μέλλοντος».

Η SES θα ηγηθεί μιας κοινοπραξίας περισσότερων από 20 ευρωπαϊκών χωρών, σύμφωνα με τη δήλωση της ESA:
Το Eagle-1 θα αποδείξει τη σκοπιμότητα της τεχνολογίας διανομής κβαντικών κλειδιών — η οποία χρησιμοποιεί τις αρχές της κβαντικής μηχανικής για τη διανομή κλειδιών κρυπτογράφησης με τέτοιο τρόπο ώστε κάθε προσπάθεια υποκλοπής να εντοπίζεται αμέσως — εντός της ΕΕ χρησιμοποιώντας ένα σύστημα δορυφόρων. Για να γίνει αυτό, το σύστημα θα βασιστεί σε βασικές τεχνολογίες που αναπτύχθηκαν στο πλαίσιο του προγράμματος Scylight της ESA, με στόχο την επικύρωση ζωτικών εξαρτημάτων που παρέχονται εντός της ΕΕ.

Θα επιτρέψει στην ΕΕ να προετοιμαστεί για ένα κυρίαρχο, αυτόνομο διασυνοριακό κβαντικό ασφαλές δίκτυο επικοινωνιών.

Το σύστημα θα χρησιμοποιεί αρχικά ένα αναβαθμισμένο οπτικό επίγειο τερματικό από το Γερμανικό Αεροδιαστημικό Κέντρο (DLR) μαζί με ένα νέο οπτικό τερματικό εδάφους που θα αναπτυχθεί από μια ομάδα από την Ολλανδία. Ο δορυφόρος πλατφόρμας Eagle-1 της ιταλικής εταιρείας Sitael θα μεταφέρει ένα ωφέλιμο φορτίο κβαντικού κλειδιού που κατασκευάστηκε από την Tesat Spacecom της Γερμανίας και θα λειτουργεί από την SES με έδρα το Λουξεμβούργο.

Σύμφωνα με το Bleeping Computer, μια νέα έκδοση μιας ανεπίσημης εφαρμογής WhatsApp Android με την ονομασία "YoWhatsApp" βρέθηκε να κλέβει κλειδιά πρόσβασης για λογαριασμούς χρηστών. Το YoWhatsApp είναι μια πλήρως λειτουργική εφαρμογή messenger που χρησιμοποιεί τα ίδια δικαιώματα με την τυπική εφαρμογή WhatsApp και προωθείται μέσω διαφημίσεων σε δημοφιλείς εφαρμογές Android όπως το Snaptube και το Vidmate.

Η εφαρμογή περιλαμβάνει πρόσθετα χαρακτηριστικά σε σχέση με το κανονικό WhatsApp, όπως η δυνατότητα προσαρμογής του περιβάλλοντος εργασίας ή αποκλεισμού της πρόσβασης σε συνομιλίες, καθιστώντας τη δελεαστική στους χρήστες για να την εγκαταστήσουν. Ωστόσο, τώρα αποκαλύφθηκε ότι το YoWhatsApp v2.22.11.75 αρπάζει τα κλειδιά του WhatsApp, επιτρέποντας στους απατεώνες να ελέγχουν τους λογαριασμούς των χρηστών.

Ο Jake Moore, Παγκόσμιος Σύμβουλος Κυβερνοασφάλειας της ESET αναφέρει σχετικά: “Οι ψεύτικες εφαρμογές εμφανίζονται στα καταστήματα εφαρμογών εδώ και χρόνια. Και, δυστυχώς, δεν είναι κάτι καινούργιο να βλέπουμε μια εφαρμογή που κοπιάρει την αυθεντική εφαρμογή να δελεάζει τους ανθρώπους με "επιπλέον χαρακτηριστικά", τα οποία μπορεί να πείσουν τους χρήστες να την προτιμήσουν.

Ωστόσο, η χρήση αυτής της ανεπίσημης εφαρμογής μπορεί να βλάψει τους επίσημους λογαριασμούς των χρηστών ή ακόμη και να δώσει σε απατεώνες πρόσβαση σε αυτούς τους λογαριασμούς. Η κατάληψη λογαριασμών και η απώλεια ευαίσθητων ή προσωπικών δεδομένων είναι ανησυχητικό φαινόμενο καθώς οδηγούν σε περαιτέρω στοχευμένες επιθέσεις.

Συνιστάται ανεπιφύλακτα η αποφυγή εναλλακτικών εφαρμογών όπως αυτή, όμως οι νέοι, που μπορεί να γίνουν στόχος με τη λήψη αυτών των εφαρμογών, μπορεί να μην έχουν επίγνωση των κινδύνων. Ακόμα χειρότερο είναι όταν δεν νοιάζονται για τους κινδύνους, οπότε οι συμβουλές ευαισθητοποίησης πρέπει να δίνονται με προσοχή από άλλους συνομήλικους αλλά και από πλατφόρμες στις οποίες συχνάζουν».

Μήνες μετά την επίτευξη συμφωνίας, ο Λευκός Οίκος έχει λάβει επίσημα μέτρα για την προστασία των διαβιβάσεων δεδομένων μεταξύ των ΗΠΑ και της Ευρωπαϊκής Ένωσης. Ο Πρόεδρος Biden υπέγραψε εκτελεστικό διάταγμα που κατευθύνει τις προσπάθειες της κυβέρνησης των ΗΠΑ να εφαρμόσει το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ. Η προσέγγιση απαιτεί κυρίως οι υπηρεσίες πληροφοριών να «λαμβάνουν υπόψη» το απόρρητο και τις πολιτικές ελευθερίες προτού αναζητήσουν δεδομένα και να διεξάγουν παρακολούθηση μόνο όταν υπάρχει σαφώς καθορισμένη ανάγκη αντιμετώπισης ανησυχιών για την εθνική ασφάλεια.

Οι συλλέκτες πληροφοριών θα πρέπει επίσης να ενημερώσουν τις πολιτικές τους σε στοιχεία όπως ο χειρισμός δεδομένων, με τις αξιολογήσεις να τους κρατούν εναρμονισμένους. Θα υπάρχει επίσης μια «πολυεπίπεδη» διαδικασία επανεξέτασης για καταγγελίες παραβίασης απορρήτου των κατοίκων της ΕΕ. Το Γραφείο του Διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών (DNI) θα διερευνάει πιθανή παραβίαση του νόμου μέσω του υπευθύνου πολιτικών ελευθεριών του, ενώ ο Γενικός Εισαγγελέας θα χρησιμοποιεί μια νέα υπηρεσία, το Δικαστήριο Αναθεώρησης Προστασίας Δεδομένων για να εξετάσει τα αποτελέσματα αυτών των ερευνών και να εκδώσει δεσμευτικές αποφάσεις.

Το Πλαίσιο Προστασίας Προσωπικών Δεδομένων είναι μια απάντηση στο Δικαστήριο της ΕΕ που κατέρριψε τη συμφωνία για την ασπίδα προστασίας της ιδιωτικής ζωής το 2020. Το δικαστήριο διαπίστωσε ότι το σύμφωνο έδωσε στις ΗΠΑ πολύ μεγάλο περιθώριο για την επιτήρηση των δεδομένων της ΕΕ και δεν συνάδει με τις απαιτήσεις απορρήτου που υπάρχουν στο ευρωπαϊκό δίκαιο. Οι ΗΠΑ δεν δέχθηκαν αυτήν την απόρριψη, υποστηρίζοντας ότι δημιουργούσε αμφιβολίες για την νόμιμη μεταφορά δεδομένων από τις αμερικάνικες εταιρίες.

Η Ευρωπαϊκή Επιτροπή θα πρέπει ακόμα να εξετάσει το πλαίσιο για να καθορίσει εάν προσφέρει επαρκή προστασία. Μεταξύ αυτού και των συμφωνιών επιβολής του νόμου με χώρες όπως η Αυστραλία και το Ηνωμένο Βασίλειο, ωστόσο, οι ΗΠΑ ενισχύουν γρήγορα την προσέγγισή τους στη διεθνή ανταλλαγή δεδομένων — αν και με ανησυχίες ότι οι κακόβουλοι παράγοντες μπορεί να έχουν ακόμη υπερβολική δύναμη στην εξόρυξη ευαίσθητων πληροφοριών

Η Lazarus, μια κρατική ομάδα χάκερ με έδρα τη Βόρεια Κορέα, χρησιμοποιεί λογισμικό ανοιχτού κώδικα και δημιουργεί ψεύτικες θέσεις εργασίας προκειμένου να διαδώσει κακόβουλο λογισμικό, σύμφωνα με τη Microsoft.

Η γνωστή ομάδα χάκερ στοχεύει πολλούς βασικούς κλάδους της βιομηχανίας, όπως η τεχνολογία, η ψυχαγωγία και η άμυνα, και χρησιμοποιεί πολλά διαφορετικά είδη λογισμικού για να πραγματοποιήσει αυτές τις επιθέσεις.

Την επόμενη φορά που θα λάβετε ένα μήνυμα στο LinkedIn, θα πρέπει να είστε προσεκτικοί. Η Microsoft προειδοποιεί ότι η ομάδα απειλών που εδρεύει στη Βόρεια Κορέα χρησιμοποιεί ενεργά λογισμικό ανοιχτού κώδικα μολυσμένο με trojan για να επιτεθεί σε επαγγελματίες του κλάδου. Η Microsoft έχει καθορίσει ότι αυτές οι επιθέσεις κοινωνικής μηχανικής ξεκίνησαν στα τέλη Απριλίου και συνεχίστηκαν τουλάχιστον μέχρι τα μέσα Σεπτεμβρίου.

Ο τελικός στόχος για τους χάκερ ήταν να μπορέσουν να κλέψουν ευαίσθητες πληροφορίες ή να αποκτήσουν πρόσβαση σε πολύτιμα δίκτυα. Εκτός από το κακόβουλο λογισμικό – το οποίο βρέθηκε σε προγράμματα όπως το PuTTY, το KiTTY, το TightVNC, το muPDF/Subliminal Recording και το Sumatra PDF Reader – οι επιθέσεις ήταν καλά σχεδιασμένες και από την κοινωνική πλευρά των πραγμάτων, με προφίλ και εταιρείες στο LinkedIn που επιλέχθηκαν να ταιριάζει με το επάγγελμα του θύματος.

Πώς να προστατευτείτε από αυτές τις επιθέσεις; Προσπαθήστε να διατηρήσετε τις συνομιλίες σας στο LinkedIn στην πλατφόρμα, αν είναι δυνατόν. Μην δέχεστε αρχεία από άτομα που δεν γνωρίζετε και φροντίστε να χρησιμοποιείτε καλό λογισμικό προστασίας από ιούς. Τέλος, μην φοβάστε να επικοινωνήσετε με την εταιρεία και να επαληθεύσετε ότι το άτομο που προσπαθεί να σας στείλει αρχεία εργάζεται πραγματικά εκεί.

Η Microsoft επιβεβαίωσε αργά την Πέμπτη την ύπαρξη δύο κρίσιμων σημείων ευπάθειας στην εφαρμογή Exchange της που έχουν ήδη θέσει σε κίνδυνο πολλούς διακομιστές και αποτελούν σοβαρό κίνδυνο για περίπου 220.000 ακόμη σε όλο τον κόσμο. Τα επί του παρόντος μη επιδιορθωμένα ελαττώματα ασφαλείας εκμεταλλεύονται από κακόβουλες ομάδες από τις αρχές Αυγούστου, όταν η εταιρεία ασφαλείας GTSC με έδρα το Βιετνάμ ανακάλυψε ότι τα δίκτυα πελατών είχαν μολυνθεί με κακόβουλα webshells και ότι το αρχικό σημείο εισόδου ήταν κάποιο είδος ευπάθειας του Exchange. Το μυστηριώδες exploit έμοιαζε σχεδόν πανομοιότυπο με ένα Exchange zero-day από το 2021 που ονομάζεται ProxyShell, αλλά οι διακομιστές των πελατών είχαν επιδιορθωθεί όλοι έναντι της ευπάθειας, η οποία παρακολουθείται ως CVE-2021-34473. Τελικά, οι ερευνητές ανακάλυψαν ότι οι άγνωστοι κακόβουλοι χρήστες εκμεταλλεύονταν μια νέα ευπάθεια του Exchange.

Η ανάρτηση του GTSC της Τετάρτης ανέφερε ότι οι εισβολείς εκμεταλλεύονται το zero-day για να μολύνουν διακομιστές με webshells, μια διεπαφή κειμένου που τους επιτρέπει να εκδίδουν εντολές. Αυτά τα webshells περιέχουν απλοποιημένους κινεζικούς χαρακτήρες, με αποτέλεσμα οι ερευνητές να υποθέσουν ότι οι χάκερ μιλούν άπταιστα τα κινέζικα. Οι εντολές που εκδόθηκαν φέρουν επίσης την υπογραφή του China Chopper, ενός webshell που χρησιμοποιείται συνήθως από κινεζόφωνους φορείς απειλών, συμπεριλαμβανομένων πολλών προηγμένων ομάδων που είναι γνωστό ότι υποστηρίζονται από τη Λαϊκή Δημοκρατία της Κίνας. Το GTSC συνέχισε λέγοντας ότι το κακόβουλο λογισμικό που εγκαθιστούν τελικά οι φορείς απειλής μιμείται την Υπηρεσία Ιστού Exchange της Microsoft. Πραγματοποιεί επίσης σύνδεση με τη διεύθυνση IP 137[.]184[.]67[.]33, η οποία είναι κωδικοποιημένη στο binary αρχείο. Ο ανεξάρτητος ερευνητής Kevin Beaumont είπε ότι η διεύθυνση φιλοξενεί έναν ψεύτικο ιστότοπο με έναν μόνο χρήστη με ένα λεπτό χρόνο σύνδεσης και είναι ενεργή από τον Αύγουστο. Στη συνέχεια, το κακόβουλο λογισμικό στέλνει και λαμβάνει δεδομένα που είναι κρυπτογραφημένα με ένα κλειδί κρυπτογράφησης RC4 που δημιουργείται κατά το χρόνο εκτέλεσης. Ο Beaumont συνέχισε λέγοντας ότι το κακόβουλο λογισμικό backdoor φαίνεται να είναι νέο, πράγμα που σημαίνει ότι είναι η πρώτη φορά που χρησιμοποιείται.
Όσοι διαχειρίζονται διακομιστές Exchange εσωτερικής εγκατάστασης "θα πρέπει να εφαρμόζουν έναν κανόνα αποκλεισμού που εμποδίζει τους διακομιστές να αποδέχονται γνωστά μοτίβα επίθεσης", αναφέρει ο δικτυακός τόπος Ars Technica. Ο κανόνας μπορεί να εφαρμοστεί μεταβαίνοντας στο "IIS Manager -> Default Web Site -> URL Rewrite -> Actions". Προς το παρόν, η Microsoft συνιστά επίσης στους χρήστες να αποκλείουν τη θύρα HTTP 5985 και τη θύρα HTTPS 5986, τις οποίες οι εισβολείς χρειάζονται για να εκμεταλλευτούν το CVE-2022-41082. Περισσότερα μπορείτε να διαβάσετε εδώ.

Η Fintech startup Revolut επιβεβαίωσε ότι δέχτηκε μια εξαιρετικά στοχευμένη κυβερνοεπίθεση που επέτρεψε στους επιτιθέμενους να έχουν πρόσβαση στα προσωπικά στοιχεία δεκάδων χιλιάδων πελατών.

Ο εκπρόσωπος της Revolut Michael Bodansky είπε στο TechCrunch ότι «ένα μη εξουσιοδοτημένο τρίτο μέρος απέκτησε πρόσβαση στα στοιχεία ενός μικρού ποσοστού (0,16%) των πελατών μας για σύντομο χρονικό διάστημα». Η Revolut ανακάλυψε την κακόβουλη πρόσβαση αργά στις 11 Σεπτεμβρίου και απομόνωσε την επίθεση το επόμενο πρωί.

«Εντοπίσαμε αμέσως και απομονώσαμε την επίθεση για να περιορίσουμε αποτελεσματικά τον αντίκτυπό της και επικοινωνήσαμε με αυτούς τους πελάτες που επηρεάστηκαν», είπε ο Bodansky. "Οι πελάτες που δεν έχουν λάβει email δεν έχουν επηρεαστεί."

Η Revolut, η οποία διαθέτει τραπεζική άδεια στη Λιθουανία, δεν θα πει ακριβώς πόσοι πελάτες επηρεάστηκαν. Η ιστοσελίδα της αναφέρει ότι η εταιρεία έχει περίπου 20 εκατομμύρια πελάτες. Το 0,16% θα μεταφραζόταν σε περίπου 32.000 πελάτες. Ωστόσο, σύμφωνα με την αποκάλυψη παραβίασης της Revolut στις αρχές της Λιθουανίας, που εντοπίστηκε για πρώτη φορά από την Bleeping Computer, η εταιρεία λέει ότι 50.150 πελάτες επηρεάστηκαν από την παραβίαση, συμπεριλαμβανομένων 20.687 πελατών στον Ευρωπαϊκό Οικονομικό Χώρο και 379 Λιθουανών πολιτών.

Η Revolut αρνήθηκε επίσης να πει σε ποιους τύπους δεδομένων έγινε πρόσβαση, αλλά είπε στο TechCrunch ότι δεν έγινε πρόσβαση ή κλοπή κεφαλαίων στο περιστατικό. Σε ένα μήνυμα που εστάλη στους επηρεαζόμενους πελάτες που δημοσιεύτηκε στο Reddit, η εταιρεία είπε ότι «δεν έγινε πρόσβαση σε στοιχεία κάρτας, PIN ή κωδικούς πρόσβασης». Ωστόσο, η αποκάλυψη παραβίασης αναφέρει ότι οι επιτιθέμενοι πιθανότατα είχαν πρόσβαση σε δεδομένα μερικής πληρωμής με κάρτα, μαζί με ονόματα, διευθύνσεις, διευθύνσεις ηλεκτρονικού ταχυδρομείου και αριθμούς τηλεφώνου πελατών.

Η Google κυκλοφορεί ένα εργαλείο που διευκολύνει την κατάργηση των αποτελεσμάτων αναζήτησης που περιέχουν τη διεύθυνση, τον αριθμό τηλεφώνου σας και άλλες προσωπικά αναγνωρίσιμες πληροφορίες, ανέφερε το 9to5Google. Αυτό αποκαλύφθηκε για πρώτη φορά τη λειτουργία "αποτελέσματα για εσάς" ("results about you") στην I/O 2022 τον Μάιο, περιγράφοντάς την ως έναν τρόπο "να σας βοηθήσει να ελέγχετε εύκολα εάν οι προσωπικές σας πληροφορίες μπορούν να βρεθούν στα αποτελέσματα αναζήτησης".

Εάν δείτε ένα αποτέλεσμα με τον αριθμό τηλεφώνου, τη διεύθυνση κατοικίας ή το email σας, μπορείτε να κάνετε κλικ στο μενού με τις τρεις κουκκίδες επάνω δεξιά. Αυτό ανοίγει το συνηθισμένο πλαίσιο "Σχετικά με αυτό το αποτέλεσμα", αλλά τώρα περιέχει μια νέα επιλογή "Κατάργηση αποτελέσματος" στο κάτω μέρος της οθόνης. Ένα παράθυρο διαλόγου αναφέρει ότι εάν το αποτέλεσμα περιέχει ένα από αυτά τα τρία πράγματα, "μπορούμε να ελέγξουμε το αίτημά σας πιο γρήγορα".

Στη συνέχεια, μπορείτε να παρακολουθήσετε το αίτημα από ένα νέο στοιχείο μενού στην εφαρμογή Google που ονομάζεται "Αποτελέσματα σχετικά με εσάς", που είναι διαθέσιμο πατώντας το προφίλ χρήστη σας επάνω δεξιά. Στη συνέχεια, μπορείτε να παρακολουθείτε την πρόοδο των αιτημάτων μέσω των φίλτρων "Όλα τα αιτήματα", "Σε εξέλιξη" και "Εγκρίθηκε".

Η ίδια σελίδα, σάς επιτρέπει επίσης να υποβάλετε ένα νέο αίτημα με ένα βήμα "Γιατί θέλετε να καταργήσετε αυτό το αποτέλεσμα". Οι διαθέσιμες επιλογές είναι:

• "Δείχνει τα προσωπικά μου στοιχεία επικοινωνίας",
• "Εμφανίζει την επαφή μου με σκοπό να με βλάψει",
• "Εμφανίζει άλλες προσωπικές πληροφορίες",
• "Περιέχει παράνομες πληροφορίες" 
• "Είναι ξεπερασμένο".

Προηγουμένως, ωστόσο, η Google είχε πει ότι ενδέχεται να μην ικανοποιηθούν όλα τα αιτήματα:

"Είναι σημαντικό να σημειωθεί ότι όταν λαμβάνουμε αιτήματα κατάργησης, θα αξιολογούμε όλο το περιεχόμενο της ιστοσελίδας για να διασφαλίσουμε ότι δεν περιορίζουμε τη διαθεσιμότητα άλλων πληροφοριών που είναι γενικά χρήσιμες, για παράδειγμα σε άρθρα ειδήσεων. Και φυσικά, η κατάργηση των στοιχείων επικοινωνίας από την Αναζήτηση Google δεν τα αφαιρεί από τον ιστό, γι' αυτό μπορεί να θέλετε να επικοινωνήσετε απευθείας με τον ιστότοπο φιλοξενίας, εάν αισθάνεστε άνετα."

Η νέα λειτουργία έχει κυκλοφορήσει μόνο σε περιορισμένο αριθμό χρηστών στις ΗΠΑ και την Ευρώπη, σημειώνει το 9to5Google. Εν τω μεταξύ, μπορείτε να αφαιρέσετε άλλες πληροφορίες προσωπικής ταυτοποίησης ή περιεχόμενο doxxing από την Αναζήτηση Google μέσω ενός αιτήματος κατάργησης — υπάρχουν περισσότερες πληροφορίες σχετικά με αυτές διαθέσιμες εδώ.