קרב חשבון. מייסד רשת Jeffrey's Coffee תובע את VKontakte

רמאים גנבו את דף VKontakte של היזם אלכסיי מירונוב עקב פגיעות במערכת זיהוי הלקוחות של MTS. הרשת החברתית מעולם לא החזירה אותו לבעליה ודורשת ממנו את הבלתי אפשרי. כעת הוא תובע על כך את VKontakte. הוא מיוצג על ידי המרכז לזכויות דיגיטליות.

אלכסיי מירונוב הוא המייסד של רשת קפה ג'פרי. זהו זיכיון של בתי קפה במוסקבה ובאזורים. אלכסיי תקשר לעתים קרובות עם עמיתים ושותפים ב-VKontakte ותחזק שם דף ציבורי פופולרי מאוד עבור הרשת שלו, המונה יותר מ-50 מנויים.

בנובמבר 2018, מוקדם בבוקר, כאשר אלכסיי היה בנסיעת עסקים בסין, דף ה-VKontakte שלו נפרץ. הוא קיבל SMS מ-VKontakte, WhatsApp והודעה ממפעילת MTS, שבה נכתב כי הוגדר העברה למספר אחר. אלכסיי לא הגדיר שילוח, אז הוא מיד הפך מודאג והתקשר ל- MTS. הם אפילו לא קבעו מיד שאכן יש הפניה מחדש. המפעיל הצליח לכבות אותו רק שעתיים לאחר השיחה של אלכסיי. MTS מעולם לא מצא נתונים על איך ומתי הופעל ההעברה.

אלכסיי בדק גישה לרשתות חברתיות ולמסרים מיידיים וראה שהוא לא יכול יותר להיכנס אליהם באמצעות מספר הטלפון שלו. ההאקרים קישרו מספר נוסף לחשבונות שלו. עם WhatsApp הבעיה נפתרה במהירות. מיד לאחר ביטול ההעברה, החזיר השליח את הגישה לחשבון לבעלים החוקיים.

אלכסיי כתב לתמיכה של VKontakte בבקשה להחזיר את הדף ושלח תמונה של הדרכון שלו. בערב הוא קיבל הודעת SMS שהבקשה נדחתה, שכן הבעלים הנוכחי אישר את זכות העיון.

מומחה תמיכה טכנית הצהיר כי אלכסיי יכול להעביר מרצונו את הגישה לדף שלו לצדדים שלישיים, כך שהם לא ישחזרו את הגישה שלו. אלכסיי הסביר את מצב הפריצה, אך הוא התבקש לשלוח מכתב אישור מ-MTS, בו יאשר המפעיל שהתרחשה פריצה. אלכסיי סיפק מכתב מ-MTS. לאחר מכן, הנהלת VKontakte דרשה שהמכתב הזה יאושר על ידי המשטרה. דרישה זו קשה מאוד למילוי מכיוון שלא מתפקידה של המשטרה לאשר מכתבים ותעודות החותם. אלכסיי הצליח לחסום את הדף הפרוץ רק על ידי בקשה אישית מעובדי VKontakte שלו לעשות זאת. העמוד עדיין לא הוחזר. הדבר היחיד שאלכסיי השיג היה חסימת החשבון שלו. כעת לא הרמאים ולא הוא עצמו יכולים להשתמש בזה.

שירות התמיכה של VKontakte הוא סיפור אחר. רק משתמשים מורשים יכולים לפנות לשירות התמיכה של VKontakte. המשמעות היא שאם תאבד גישה לעמוד שלך, עליך ליצור דף חדש או לבקש מחבריך לתת גישה לדפים שלהם כדי לכתוב תמיכה. אלכסיי התכתב עם מומחי שירותי תמיכה מהדף של אשתו, וזה לא הפריע להם, למרות שהסכם המשתמש אינו מאפשר להעביר את פרטי הכניסה והסיסמה למישהו אחר.

הפריצה לדף ואובדן גישה נוסף לחשבון ולדף הציבורי פגעו כמובן הן במוניטין העסקי של אלכסיי והן באינטרסים הרכושיים שלו. שלא לדבר על כך שהדבר איפשר לכמות משמעותית של מידע אישי ומסחרי לדלוף ליעדים לא ידועים. רמאים מחשבונו של איש העסקים ביקשו מחבריו להעביר להם סכומי כסף גדולים. אדם אחד העביר להם 34 אלף רובל. לתוקפים הייתה גישה למידע אישי מחשבונו של אלכסיי במשך XNUMX שעות.

תביעה נגד VKontakte

אלכסיי מירונוב הגיש תביעה נגד הרשת החברתית VKontakte בבית המשפט המחוזי סמולנינסקי בסנט פטרסבורג וכעת הוא ממתין להעברת התיק. הוא מבקש מבית המשפט לחייב את הרשת החברתית לקיים הסכם משלה, שנערך בצורה של הסכם משתמש ולהחזיר לו גישה לעמוד שלו. עד היום, ממשל VKontakte ממשיך לשלול מאלקסיי גישה לחשבון שלו באופן בלתי סביר, תוך שהוא מילא אחר תנאי הסכם המשתמש והודיע ​​מיד לשירות התמיכה הטכנית של הרשת החברתית על הפריצה. VKontakte סירב לשחזר את הגישה שלו לדף, תוך ציון סעיף בהסכם המשתמש האוסר על משתמשים להעביר את פרטי הכניסה והסיסמה של הדף שלהם לצדדים שלישיים. סוכן התמיכה של VKontakte שאיתו שוחח אלכסיי קבע שאתה יכול להגדיר העברת מספרי טלפון רק על ידי ביקור במשרד המפעיל והצגת הדרכון שלך. למעשה, זה לא המקרה, וזה אושר על ידי Roskomnadzor בתגובה לפנייתו של אלכסיי.

הרשת החברתית, תוך הפרה של הסכם המשתמש, הגבילה באופן בלתי סביר את הגישה של אלכסיי לשימוש בעמוד שלו. זהו סירוב חד צדדי למלא התחייבויות, המפר את סעיף 1 לאמנות. 30 הקוד האזרחי של הפדרציה הרוסית. בכך ששללה ממנו את הגישה לחשבון שלו, VK גם שללה מאלכסיי את הזכויות לנהל את העמוד הציבורי שלו, שהוא נכס בלתי מוחשי חשוב עבורו. (כתבנו על השוק הציבורי כצורה חדשה של נכס דיגיטלי ועל המוזרויות של סיום עסקאות איתם מוקדם יותר)

חורי אבטחה במערכת הזיהוי MTS

מהתכתובת שניהלו הרמאים בשם היזם עולה כי ידעו על נסיעת העסקים והעסקים שלו. הם התקשרו למרכז הקשר של MTS, הצליחו להזדהות בשמו של אלכסיי והגדירו העברת שיחות. תוקפים יכלו להשיג את נתוני הדרכון שלו באמצעות הנדסה חברתית. אלכסיי מירונוב הוא מייסד הזיכיון, ולכן אנשים רבים המעורבים בפתיחת מפעלי זיכיון יכולים לקבל את פרטי הדרכון שלו. MTS ערכה חקירה פנימית, אך לא הצליחה לקבוע מי בדיוק התקין את ההעברה וכיצד יירט התוקף את ה-SMS. החברה לא הודתה באשמה, אך במקביל הציעה לאלכסיי פיצוי מוזר מאוד - 750 רובל.

סברנו שזיהוי מנוי מרחוק רק באמצעות נתונים אישיים נכונים הוא נוהג מפוקפק מאוד וכתבנו תלונה ל-Roskomnadzor כדי לוודא את התאימות של תהליך חברה מסוג זה לדרישות החקיקה בנושא נתונים אישיים. כתוצאה מכך, רוסקומנדזור התייצב לצד MTS, והצביע על כך שניהול שירותי תקשורת לאחר זיהוי מרחוק בטלפון תוך מתן נתונים אישיים נכונים הוא די נורמלי, והקמת שיטות נוספות להגנה מפני פעולות בלתי מורשות מסוג זה היא כאב ראש עבור המנוי עצמו, לא החברה. (קרא את התשובה המלאה - כאן)

הפריצה לחשבון של אלכסיי מירונוב היא לא המקרה הראשון של גישה לא מורשית לנתוני מנויי MTS. בשנת 2018, מאגר הנתונים של 500 אלף מנויים גנב בנובוסיבירסק שני תוקפים, אחד מהם היה עובד החברה. הם ניסו למכור את מסד הנתונים במחיר של 1 רובל עבור הנתונים של מנוי אחד.

בשנת 2016 היו פרוץ דיווחי טלגרם של פעילי האופוזיציה גאורגי אלבורוב ואולג קוזלובסקי. החשבונות שלהם נקשרו למספרי MTS, וזמן קצר לפני הפריצה, שירות ה-SMS שלהם הושבת וההעברה הופעלה. גם נסיבות הפריצה לא הוכחו. ב-2019 הגיש אולג קוזלובסקי תביעה נגד MTS, אך בית המשפט דחה אותה.

הגנה על חשבונות של שירותי אינטרנט ואפליקציות שונים מפני פריצה היא באחריות המשתמש עצמו. עמדה זו משותפת הן למפעילי הטלקום והן לרגולטור עצמו, לפיה הם מסרבים לחלוק את הסיכונים הללו עם המנויים שלהם.

RKN מתאר זאת כך בתגובתו:
"... על פי סעיף 2.11 לתנאי MTS, לצורכי זיהוי, ניתנת למנויים ממפעילת הטלקום אפשרות להשתמש במילת קוד - רצף של סמלים (אותיות, מספרים) שצוין על ידי המנוי בצורה שנקבעה ע"י. המפעיל, המשמש לזיהוי המנוי בעת ביצוע ההסכם. למנוי יש אפשרות להגדיר מילת קוד הן בעת ​​כריתת הסכם (במקרה זה היא מוזנת בטופס ההסכם יחד עם פרטי החובה) והן בכל עת במהלך ביצוע ההסכם. למרות זאת, המנוי מירונוב א.ק. מילת הקוד לא נקבעה לפני החיבור השנוי במחלוקת של השירות. בנסיבות כאלה, רק המנוי, באמצעות יצירת מילת קוד במהלך ההזדהות עם מפעילת הטלקום, יכול היה לנטרל את הסיכון להשלכות שליליות ממצבים כאלה, אך לא ניצל הזדמנות זו".

שחזור חשבון. משימה בלתי אפשרית

תלונה על חוסר מעש של רוסקומנדזור כבר הוגשה לפרקליטות. בינתיים, המשטרה ממשיכה לשמור על שתיקה בדו"ח הפשע. אף אחד לא מדווח שום דבר בתוך החברה גם על תוצאות החקירה. MTS לא מודה באשמה. לאף אחד לא אכפת. במקביל, VKontakte ממשיכה לסרב לבעל החשבון להחזיר את הגישה אליו עד שיביא מהמשטרה החלטה לפתיחת תיק פלילי הקובע את העובדות שצוינו ומכתב מ-MTS, שיאשר כי שירות ההפניה ניתן לערעור. במכתב עם הסברים נרחבים למדי, יש גם דרישה כי מירונוב חייב לספק גם אישור מ-MTS שהוא המשתמש הבלעדי (ומה, באיזה מקום מפעילים רושמים בעלות משותפת על מספרי טלפון?) של מספר הטלפון שהיה מקושר אליו. העמוד. התגובה הגיעה בסוף השבוע שעבר, ובהינתן המבוי הסתום במצב וחוסר האפשרות להגיע להסכם עם VKontakte כבר חצי שנה, פנינו לבית המשפט.

איך להגן על עצמך מפני פריצה

תוקפים יכולים לקבל גישה לניהול מספר טלפון גם דרך נקודות תורפה אחרות - פרוטוקול SS7 או השגת כרטיס SIM כפול בעזרת עובדי מפעיל חסרי מצפון.

SS7 הוא פרוטוקול טכני המשמש מפעילי טלקום. הוא מכיל פריט ישן וככל הנראה בלתי ניתן להסרה פגיעות, המאפשר ליירט נתונים המועברים על ידי מנויים במהלך שיחה או באמצעות SMS. רק למפעילים יש גישה ל-SS7, אבל תוקפים יכולים לקבל אותה על ידי רכישת גישה ברשת האפלה ממפעילים במדינות לא מפותחות או דרך עובדים חסרי מצפון של מפעילי סלולר. התקפה מתרחשת כאשר תוקף משנה את כתובת מערכת החיוב של המנוי לכתובת שלו. לרוב, תוקפים מודיעים למערכת שהמנוי נמצא בנדידה בינלאומית, כך שהדרך הקלה ביותר להגן על עצמך היא להשבית את הנדידה הבינלאומית אם אינך משתמש בה.

לאלכסיי מירונוב עדיין לא הייתה מערכת אימות דו-גורמי שהוגדרה עבור Vkontakte. הפונקציה הזו הופיע ב-VK ביוני 2014. אולי היא תוכל להגן על החשבון שלו מפני פריצה. כדאי לזכור שפשוט קישור חשבון למספר טלפון אינו אימות דו-גורמי. אימות דו-גורמי — זוהי הגנה על כניסה לחשבון כאשר, בנוסף לסיסמה, מתבצעת פעולה נוספת. האפשרות הנפוצה ביותר היא קוד SMS. שיטה זו אינה האמינה ביותר, מכיוון שתוקפים יכולים ליירט את הודעת ה-SMS. אפשרויות מאובטחות יותר הן קובץ מפתח, קודים זמניים, אפליקציה לנייד ואסימון חומרה.

למרבה הצער, אנו נאלצים לחיות בעידן שבו הבטחת אבטחת המידע הופכת לבעיה שלנו. הם מקווים שהמפעילים ישאו באופן עצמאי באחריות במקרה של פריצה, אבל כנראה שזה לא המקרה. כמו גם להסתמך על Roskomnadzor, שכבר מזמן הייתה מנותקת מהמציאות בשיטות הגנת המידע שלה. קשה להפליא לפרוץ את השריון של "חומר הסירוב" של השוטר המקומי שיקבל את פנייתך במקרה דומה, במיוחד עבור אדם רגיל שלא יודע איך המערכת הזו עובדת. מה נותר? אל תשכח את ההיגיינה הדיגיטלית, סמוך על המתמטיקה והגן על זכויותיך בבית המשפט.

מקור: www.habr.com