Špijunski softver bez klika mijenja model prijetnji
Godinama se savjeti o sigurnosti mobilnih uređaja temeljili na jednoj ključnoj ideji: ne klikajte na sumnjive poveznice, ne otvarajte nepoznate privitke i ne dodirujte ništa što izgleda sumnjivo. Taj savjet i dalje vrijedi, ali nedavna analiza špijunskog softvera Pegasus naglašava kategoriju prijetnji koja čini oprez korisnika nebitnim. Pegasus, jedan od najpoznatijih komercijalnih špijunskih softvera, bio je sposoban za infekciju bez klika. To znači da je telefon mete mogao biti kompromitiran jednostavnom dostavom putem iMessagea ili WhatsAppa, bez klika, bez preuzimanja i bez ikakve radnje korisnika.
Ova razlika je važna jer ruši tradicionalnu pretpostavku da je oprezan korisnik svjestan sigurnosti sigurniji od nemarnog. Sa špijunskim softverom bez klika, sam telefon postaje ranjivost, a ne osoba koja ga koristi.
Kako se napadi bez klika razlikuju od ranijeg špijunskog softvera
Ranije generacije komercijalnog špijunskog softvera općenito su zahtijevale neki oblik interakcije mete. Žrtva je možda morala kliknuti na zlonamjernu poveznicu poslanu putem SMS-a ili e-pošte, ili instalirati lažnu aplikaciju prikrivenu kao nešto legitimno. Taj zahtjev za interakcijom davao je braniteljima uporište: edukacija korisnika, svijest o phishing napadima i osnovna digitalna higijena mogli su značajno smanjiti rizik.
Pegasus je razbio taj obrazac. Iskorištavajući ranjivosti u platformama za razmjenu poruka poput iMessagea i WhatsAppa, mogao je tiho isporučiti svoj teret. Nakon instalacije, izvješća pokazuju da je bio sposoban pristupiti porukama prije nego što su šifrirane, zajedno s kamerom, mikrofonom, podacima o lokaciji i pohranjenim datotekama. Učinkovito, nakon što je telefon kompromitiran, gotovo svaki senzor i pohrana podataka na uređaju postali su vidljivi onome tko je upravljao špijunskim softverom.
Ovo je značajan pomak u razumijevanju mobilnih prijetnji. Enkripcija štiti podatke u prolazu između dviju krajnjih točaka, ali ne može zaštititi podatke koji su uhvaćeni na izvoru prije nego što se enkripcija uopće primijeni. Ako špijunski softver može čitati poruke dok se tipkaju ili prikazuju, snaga enkripcijskog protokola postaje nebitna za taj konkretni napad.
Zašto je to važno izvan mete visokog profila
Komercijalni špijunski softver poput Pegasusa povijesno se prodavao vladama i koristio protiv novinara, aktivista, disidenata i političkih figura, a ne protiv šire javnosti. Ali postojanje metoda dostave bez klika pokreće šire pitanje koje seže daleko izvan bilo kojeg pojedinačnog špijunskog softvera: koliko sigurnosti uređaja zapravo ovisi o temeljnoj infrastrukturi za razmjenu poruka koju milijarde ljudi koriste svaki dan?
To pitanje povezuje se s većim obrascem rasprava o politici privatnosti i tehnologije koje se odvijaju daleko izvan špijunskog softvera. Baš kao što kalifornijski pristup provjeri dobi pokazuje regulatore kako prebacuju odgovornost između preglednika, operativnih sustava i platformi, model bez klika kod Pegasusa pokazuje koliko povjerenja obični korisnici polažu u aplikacije i operativne sustave koji se izvode na njihovim telefonima. Kada ranjivost postoji duboko u protokolu za razmjenu poruka, prosječni korisnik nema načina da je otkrije, a kamoli da se protiv nje brani, bez potpunog oslanjanja na pružatelja platforme da će zakrpati grešku.
Što to znači za vas
Većina ljudi nisu vjerojatne mete špijunskog softvera razine državnih aktera poput Pegasusa. Ipak, temeljna lekcija primjenjuje se široko: sigurnost mobilnih uređaja ne može se oslanjati isključivo na ponašanje korisnika. Ranjivosti bez klika znače da čak i najoprezniji, najinformiraniji korisnik može biti kompromitiran bez ikakve pogreške.
Najpraktičniji odgovor je smanjiti oslanjanje na bilo koju pojedinačnu točku kvara. Održavajte operativne sustave i aplikacije za razmjenu poruka ažuriranima, jer se zakrpe za ranjivosti bez klika obično objavljuju kroz rutinska ažuriranja softvera, a ne kroz sigurnosna upozorenja usmjerena korisnicima. Razmotrite omogućavanje bilo kojeg dostupnog načina zaključavanja ili visoke sigurnosti koji nudi proizvođač vašeg uređaja, a koji su posebno dizajnirani za smanjenje površine napada za sofisticirane eksploite. I budite svjesni da je sigurnost na razini platforme, a ne samo osobna budnost, sada ključni dio onoga što štiti vaše podatke.
Ključni zaključci
Špijunski softver bez klika poput Pegasusa pokazuje da sigurnost mobilnih uređaja više nije samo izbjegavanje sumnjivih klikova. Ona uvelike ovisi o sigurnosti platformi za razmjenu poruka i operativnih sustava koji se izvode u pozadini svakodnevnog života. Ažurirajte svoje uređaje odmah, koristite ugrađene sigurnosne značajke gdje su dostupne i shvatite da neke prijetnje djeluju u potpunosti izvan vaše kontrole. Održavanje informiranosti o tome kako ti napadi funkcioniraju jedna je od rijetkih obrana koju korisnici zapravo imaju.
