Співробітники Al Jazeera стали ціллю комерційного шпигунського ПЗ Candiru, згідно з оглядом Risky Bulletin, опублікованим цього тижня. Новина коротка, але вона важлива: це ще один приклад того, як засоби стеження, створені для урядів, зрештою спрямовуються проти журналістів. У цій статті розглядається історія про шпигунське ПЗ Candiru та журналістів Al Jazeera, що встановлено, а що ні, і які засоби захисту є реалістичними.

Примітка щодо джерел: у підсумку Risky Bulletin зазначено лише те, що співробітники Al Jazeera стали ціллю шпигунського ПЗ Candiru. Такі деталі, як кількість пристроїв, метод зараження та атрибуція того, хто замовив стеження, у цьому джерелі відсутні, тому ця стаття їх не стверджує. Читачам слід звернутися до оригінальних заяв слідчих та самої Al Jazeera для отримання конкретних подробиць.

Як шпигунське ПЗ Candiru націлилося на співробітників Al Jazeera

Основний факт простий. Співробітники великої новинної організації були виокремлені як ціль за допомогою шпигунського ПЗ, створеного комерційним постачальником. Candiru — це назва, пов'язана з індустрією комерційного шпигунського ПЗ, де компанії розробляють інструменти вторгнення та ліцензують їх клієнтам. Така модель відокремлює людей, які створюють інструменти, від людей, які обирають цілі.

Для редакції ризик не є абстрактним. Телефон, скомпрометований шпигунським ПЗ, може розкрити повідомлення, контакти, місцезнаходження та особи джерел. Навіть один заражений пристрій може вплинути на колег і людей, які конфіденційно спілкувалися з цим журналістом.

Як комерційне шпигунське ПЗ потрапляє на пристрої журналістів

Комерційному шпигунському ПЗ зазвичай потрібен спосіб потрапити на пристрій. Поширені шляхи в галузі включають шкідливі посилання, експлойти в додатках або браузерах та вразливості в операційній системі. Який шлях було використано проти співробітників Al Jazeera, у підсумку джерела не висвітлюється, тому називати його тут було б спекуляцією.

Що можна сказати в загальних рисах:

  • Ці інструменти дорогі та зазвичай використовуються проти конкретних людей, а не широкої громадськості.
  • Вони покладаються на вразливості програмного забезпечення, які постачальники виправляють через оновлення, щойно вади стають відомими.
  • Журналісти, активісти, юристи та посадовці є звичайними високоцінними цілями.

Оскільки атаки вибіркові, людина може стати ціллю, не роблячи нічого незвичайного. Обережні звички допомагають, але вони не гарантують безпеки.

Практичний захист: оновлення, режим блокування та обмеження VPN

Жодне окреме налаштування не зупинить цілеспрямоване шпигунське ПЗ, але кілька кроків підвищують ціну для атакувальника.

Оновлюйте своєчасно. Шпигунське ПЗ часто залежить від відомих або нещодавно виявлених вад. Встановлення оновлень операційної системи та додатків щойно вони з'являються закриває дірки, які інакше могли б бути використані проти вас.

Використовуйте режими типу блокування. Деякі платформи пропонують посилений режим, який вимикає певні функції, як-от деякі вкладення в повідомленнях і попередній перегляд посилань, щоб зменшити поверхню атаки. Це знижує зручність, тому він найбільше підходить для людей із підвищеним ризиком. Він зменшує вразливість, але не може обіцяти імунітету.

Розумійте, що робить VPN. VPN шифрує трафік між вашим пристроєм і VPN-сервером та приховує вашу IP-адресу від сайтів, які ви відвідуєте. Він не видаляє шпигунське ПЗ, яке вже на вашому телефоні, і не блокує експлойт, який його встановлює. Якщо пристрій скомпрометовано, шпигунське ПЗ може читати дані ще до того, як вони будуть зашифровані. VPN — корисний інструмент для приватності, але він не є захистом від такого типу загроз.

Зменшуйте свою вразливість. Регулярно перезавантажуйте пристрої, видаляйте додатки, якими не користуєтеся, уникайте натискання на несподівані посилання та ведіть чутливі розмови на платформах із надійним шифруванням. Організації повинні надавати співробітникам із підвищеним ризиком чіткі вказівки та підтримку, а не залишати безпеку на розсуд окремої людини.

Ширший ландшафт загроз: DataSuckers, фабрики ноутбуків КНДР та справа інсайдера OpenAI

Той самий випуск Risky Bulletin висвітлює інші історії, які показують, наскільки різноманітними є загрози:

  • Росія заарештовує DataSuckers. Російська влада заарештувала членів хакерської групи, відомої як DataSuckers.
  • США знешкоджують 40 фабрик ноутбуків КНДР. США вжили заходів проти 40 фабрик ноутбуків, пов'язаних із Північною Кореєю, — нагадування про те, що загрози можуть надходити через канали віддаленої роботи та найму, а також через технічні експлойти.
  • Заарештовано співробітника OpenAI. Співробітника OpenAI було заарештовано за встановлення шпигунського пристрою — випадок інсайдера, який показує, що фізичний доступ і довірені посади також мають значення.

Підсумок джерела не надає подальших деталей щодо цих справ, тому їх краще читати як сигнали, а не як повні історії. Довіра та інфраструктура також формують безпеку на інших рівнях інтернету. Наша стаття про відкликання TLS-сертифікатів, пов'язане з Іраном і Росією пояснює, як дотримання санкцій може сягати сертифікатів, на які покладаються браузери.

Що це означає для вас

Більшість людей навряд чи стануть ціллю комерційного шпигунського ПЗ, але уроки застосовні широко. Підтримання пристроїв в актуальному стані захищає вас від багатьох видів атак, а не лише екзотичних. Якщо ви працюєте в журналістиці, сфері прав людини, юриспруденції чи політиці, ваш профіль ризику вищий, і додаткові запобіжні заходи виправдані. Ставтеся до VPN як до одного рівня мережевої приватності, а не як до захисту від скомпрометованого пристрою.

Ключові висновки

  • Встановлюйте оновлення системи та додатків своєчасно, особливо якщо ви належите до групи підвищеного ризику.
  • Увімкніть режим типу блокування, якщо ваш пристрій його пропонує і ваша робота робить вас імовірною ціллю.
  • Пам'ятайте, що VPN не зупиняє шпигунське ПЗ і не видаляє зараження.
  • Якщо ви підозрюєте компрометацію, зверніться до служби безпеки вашої організації або фахівця з цифрової безпеки, а не покладайтеся на здогадки.
  • Дотримуйтеся офіційних заяв і звітів слідчих для підтверджених деталей у справі про шпигунське ПЗ Candiru та журналістів Al Jazeera.