Безопасность в мессенджерах

Основная статья: Мессенджеры (Instant Messenger, IM)

2025: Евгений Касперский попросил у Минцифры API для доступа к мессенджерам пользователей. Почему это развеселило участников рынка - TA мнения

В феврале 2025 года основатель и генеральный директор «Лаборатории Касперского» Евгений Касперский поднял тему открытия доступа ИБ-компаниям к перепискам и звонкам пользователей в мессенджерах для борьбы с мошенничеством. TAdviser опросил экспертов и участников рынка, чтобы узнать их мнения относительно этой инициативы.

По мнению Евгения Касперского, по аналогии с фильтрацией спама в электронной почте алгоритмы, разработанные и применяемые «Лабораторией Касперского», могут быть использованы для обнаружения и блокировки мошеннического трафика в мессенджерах. Для реализации этой функции требуется наличие API (интерфейса программирования приложений) для доступа к данным в мессенджере, считает глава антивирусной компании.

𝓲

Фото: Марина Молдавская/Коммерсантъ

Электронная почта и мессенджер - в целом, суть-то одна и та же. При этом мы технически задачу решаем в электронной почте. А вот если то же самое сделать в мессенджерах, то в целом гораздо меньше работы будет и у полиции, и у прокуратуры, и головной боли будет меньше у всех. Мы готовы это сделать, если у нас будут инструменты нужные технические, - сказал Касперский, выступая в Екатеринбурге на одном из форумов по кибербезопасности, который был организован Банком России.

Однако министр цифрового развития, связи и массовых коммуникаций Максут Шадаев не согласился с этой позицией. Он подчеркнул, что доступ к звонкам и переписке пользователей невозможен без их явного согласия. В своей реакции глава Минцифры отметил, что подобная инициатива может вызвать негативное восприятие у пользователей, если доступ будет осуществляться техническими средствами без их участия или согласия, особенно в случаях, когда такой доступ не требуется в рамках работы правоохранительных органов.Дмитрий Пенязь, OpenYard: Мы живем во времена бэби-бума на российском ИТ-рынке 6.6 т

Касперский, в свою очередь, заявил, что пользователи не будут возражать против использования алгоритмов для прослушивания трафика, если это осуществляется автоматизированно и способствует повышению качества сервиса. Он сравнил эту ситуацию с антиспам-алгоритмами в электронной почте, отметив, что пользователи удовлетворены улучшением качества почтовых сервисов, даже если они не осведомлены о процессе фильтрации. Касперский уверен, что если алгоритмы будут использоваться для блокировки мошеннических звонков в мессенджерах, то это получит положительный отклик от пользователей.

Он также уточнил, что алгоритмы не будут передавать данные, а просто выявят мошеннические звонки, после чего автоматически прекратят соединение и предупредят пользователя о риске. В качестве примера он предложил установить такую программу своим близким, подчеркнув ее полезность для защиты от мошенников.

Максут Шадаев при этом отметил, что установка программы на устройства пользователей сама по себе является формой согласия на доступ к необходимой информации для ее функционирования.

Председатель Банка России Эльвира Набиулина, которая также принимала участие в этой дискуссии, поддержала мнение Максута Шадаева, предложив начать с добровольного согласия пользователей на использование технической фильтрации сообщений и далее анализировать, как будет развиваться ситуация.

На это замечание Касперский высказал мнение, что человеку не все равно, если доступ к его переписке и звонкам получает другой человек, но если прослушивает алгоритм — это совсем иное дело.

Вспомните, пожалуйста, откровение Сноудена, когда он рассказал, что весь интернет-трафик пронюхивается, прослушивается, просматривается. Это что-то поменяло? Да вообще ничего. Он до сих пор прослушивается и просматривается. Всем это все равно. В почте есть антиспам-алгоритмы, которые ее проверяют. Кого это волнует?, — отметил программист.

По мнению Касперского, все довольны, если качество почты становится лучше. И также все будут рады, когда станет в разы меньше мошеннических звонков — пусть даже будет прослушиваться телефонный трафик в интернете, в мессенджерах.

В Минцифры сообщили TAdviser, что вопрос предоставления доступа антивирусам к перепискам в мессенджерах к февралю 2025 года не рассматривается. Участники рынка согласны с позицией Максута Шадаева.

Генеральный директор АНО «Национальный центр компетенций по информационным системам управления холдингом» (НЦК ИСУ) Кирилл Семион в разговоре с TAdviser назвал предложение Евгения Касперского «странным» и «опасным для развития гражданского общества».

Без согласия гражданина получать доступ к его личной переписке или разговорам можно только в соответствии с законом, в нем все прописано. И потом - это не борьба с мошенниками, а попытка помешать самому факту мошенничества. Лечить симптомы, а не болезнь?, — отметил Семион.

Директор продуктового направления компании «КомьюнитиТех» (Community tech) Игорь Горячев напомнил, что к 2025 году практика предоставления доступа к переписке и голосовым сообщениям уже существует и регламентируется законами и нормативными актами. Существует техническое решение СОРМ, которое обеспечивает сбор и обработку трафика и голосовых сообщений, однако нет единого стандарта для доступа к данным внутри мессенджеров.

По мнению Горячева, предоставление технического доступа через API не должно означать сплошной и непрерывный доступ к данным. Необходимо сохранить практику получения формального юридического (судебного) разрешения на доступ к личной переписке. Общество должно быть уверено в том, что существуют гарантии защиты от злоупотреблений техническими решениями, заявил собеседник TAdviser.

Гендиректор SkyDNS (разрабатывает системы интернет-фильтрации) Вячеслав Новоселов считает, что ослабление шифрования, которое по сути предлагает Евгений Касперский, может усилить отток ИТ-специалистов и инвестиций.

Касперский, будучи экспертом в сфере информационной безопасности, прекрасно понимает последствия «цифровой слежки». Судя по всему, он использует эту идею как провокацию для дискуссии, так называемый популистский шаг, так как на практике подобные меры требуют тотальной перестройки цифровой экосистемы, что нереально без катастрофических последствий для гражданских свобод и ИТ-индустрии, — предположил Новоселов.

Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин допускает, что Евгений Касперский не всерьез предложил открыть доступ к переписке и голосовому трафику в мессенджерах.

Если речь не о дружеском троллинге, то не вполне понятно, для чего эта инициатива была предложена, — рассуждает Полунин.

По его словам, неясно, как API, о котором говорит глава «Лаборатории Касперского, будет получать доступ к ключам шифрования на клиентских устройствах, и как будет обеспечена безопасность этого API. Кроме того, открыт вопрос о том, какую именно ответственность понесут авторы инициативы, когда переписка миллионов людей окажется в открытом доступе, добавил эксперт.^[1]

2024

Владельцы крупных каналов смогут передавать информацию о себе в РКН через «Госуслуги»

Комитет Госдумы по информполитике, информтехнологиям и связи поддержал поправку об обязанности владельцев каналов в мессенджерах и социальных сетях с аудиторией более 10 тыс. человек сообщать сведения о себе в Роскомнадзор. Соответствующие поправки были внесены ко второму чтению законопроекта, направленного на защиту граждан РФ от преступлений с использованием мобильной связи. Об этом 30 июля 2024 годща сообщила пресс-служба члена комитета ГосДумы РФ по информационной политике, информационным технологиям и связи Антона Немкина со ссылкой на заявление Александра Хинштейн. Подробнее здесь.

Мошенники обманывают компании, создавая фейковые аккаунты директоров в мессенджерах

Сбер зафиксировал еще один вид мошенничества в отношении корпоративных клиентов. Преступники создают в мессенджерах фейковый аккаунт якобы руководителя компании. Для большей достоверности могут загрузить в ненастоящий профиль фото из доступных источников: взять, например, его с сайта компании или использовать аватар настоящего аккаунта.

Затем с фейкового аккаунта мошенники начинают переписку с бухгалтером компании. После нескольких общих фраз (приветствие, вопрос) «руководитель» даёт поручение перевести средства на указанные в сообщении реквизиты. Если подчинённый не замечает подмену и выполняет задачу, деньги компании уходят на счета дропов — людей, которые обналичивают и переводят похищенные кибермошенниками средства. Об этом Сбер сообщил 23 января 2024 года.

Кибермошенники реже обманывают юридических лиц, чем физических, однако украденные суммы в этих случаях значительно больше. Теперь появился данный способ мошенничества через создание фейкового аккаунта руководителя компании в мессенджерах. Сбер успешно выявляет такие схемы, и фрод-мониторинг банка уже дополнен знанием об этом виде мошенничества. Но я хочу ещё раз попросить наших корпоративных клиентов быть более бдительными, внимательными и при получении таких сообщений задавать себе вопросы: почему вдруг у руководителя появился новый телефон и аккаунт в мессенджере, почему в нём скрыты данные, почему директор странно к вам обратился. Должны насторожить любые изменения, особенно если они касаются материально ответственных сотрудников компании. Чтобы не оказаться жертвой преступников, лучше лично связаться с руководителем и уточнить все вопросы с ним по телефону или при очной встрече, сказал Станислав Кузнецов, заместитель Председателя Правления Сбербанка.

2022: В Telegram зафиксирован рост рынка преступных киберуслуг

Специалисты Positive Technologies проанализировали публикации на киберпреступную тематику в каналах и чатах Telegram. Исследование показало, что большинство сообщений в мессенджере посвящены компрометации пользовательских данных, в том числе их покупке и продаже. Рекордное число сообщений на хакерскую тематику эксперты зафиксировали во II квартале 2022 года. Об этом сообщила компания Positive Technologies 11 октября 2022 года.

Иллюстрация:itzine.ru

Согласно исследованию Positive Technologies, число постов киберпреступников в Telegram начало заметно увеличиваться с 2020 года, а в 2021 году активность пользователей в тематических каналах и группах возросла в 3,5 раза. Во II квартале 2022 года специалисты отмечают рекордное количество постов на хакерскую тематику — более 27 тысяч, что в 2,5 раза больше, чем во II квартале 2021 года. Эксперты объясняют такой рост возможным массовым переходом пользователей киберпреступных форумов в мессенджеры. Это произошло после того, как в 2020–2021 годах было выявлено множество критически опасных уязвимостей в форумных движках, а в 2021 году произошло несколько крупных взломов форумов, что также могло спровоцировать отток их аудитории.

Большинство проанализированных сообщений связаны с пользовательскими данными, в том числе с торговлей ими и мошенническими операциями (52%), далее в статистике расположились посты на тему киберпреступных услуг (29%) и распространения вредоносного программного обеспечения (15%). Среди вредоносов самыми востребованными оказались программы для удаленного управления (30%), а также стилеры (16%). Самым известным стилером стал RedLine, о котором специалисты компании говорили в исследовании актуальных киберугроз за I квартал 2022 года. Упоминания о RedLine встречаются более чем в 18% сообщений на тему ВПО: это многочисленные обсуждения функций, продажа и раздача исходного кода ВПО, а также информации, собранной с помощью стилера. Кроме того, в Telegram обсуждают такие стилеры, как Anubis, SpiderMan, Oski Stealer, Loki Stealer. Их стоимость может составлять от 10 до 3500 $.

Эксперты отмечают, что на цену готового ВПО влияют тип вредоноса, его функциональные возможности, а также сроки использования программы. Например, инструменты для обфускации (запутывания кода) могут стоить от 20 до 100 $, а ботнет или руководство по его созданию — до 750 $. Стоимость майнера колеблется от 10 до 1000 $: за 10 $ можно приобрести достаточно простое ВПО с ограниченными возможностями, а за 1000 $ — исходный код инструмента с широким набором функций, включая обход антивирусных программ и возможность заражения системы без привилегий администратора.

Согласно результатам исследования, 66% сообщений на тему киберпреступных услуг составляют обсуждения обналичивания денежных средств, например вывод криптовалют. DDoS-атаки оказались вторыми по популярности, составив 16% сообщений в этой теме. Еще около 9% постов — это предложения услуг по взлому ресурсов; эти услуги включают в себя кражу почтовых аккаунтов и аккаунтов в социальных сетях, а также взлом веб-сайтов и серверов.

По данным аналитиков Positive Technologies, каждое пятое сообщение на тему DDoS-атак — это объявление о продаже услуг. Стоимость проведения DDoS-атаки зависит от ее продолжительности: за час цена составит 8 $, а неделя атаки обойдется в 200 $ и более. В I квартале 2022 года, когда наблюдался рост числа атак на веб-ресурсы организаций, количество сообщений на тему DDoS-атак увеличилось в четыре раза. Это подтверждает выводы о том, что активность злоумышленников в мессенджере отражает тренды кибератак.

Сообщения об услугах по взлому аккаунтов «ВКонтакте», Telegram, WhatsApp, Viber и других социальных сетей и мессенджеров составляют 72% от общего числа публикаций о взломе ресурсов. Компрометация аккаунта «ВКонтакте» может стоить от 10 до 50 $. Мессенджеры обойдутся дороже: например, взлом профиля в Telegram, Viber и WhatsApp может стоить от 350 $. При этом стоимость компрометации корпоративного аккаунта существенно выше: за нее хакеры могут запросить не менее 200 $, когда за взлом личного почтового аккаунта берут 100 $.

Значительную часть всех сообщений на тему компрометации защищенной информации составляют посты, где фигурируют персональные (43%) или учетные (42%) данные: это объявления о покупке или продаже личных сведений, об услугах по фальсификации документов, обсуждения утечек.

В 2021 году компрометации учетных записей была посвящена практически половина всех сообщений, но в первом полугодии 2022 года преобладающей стала тема документов, персональных данных и услуг, связанных с ними (71%). Число сообщений на эту тему существенно выросло во II квартале 2022 года: на фоне многочисленных атак и утечек, замеченных в I квартале 2022 года, возросло число услуг, связанных с предоставлением украденных из учреждений копий документов. Так, 28% сообщений на эту тему составляют объявления о продаже данных и предоставлении услуг, связанных с данными (например, о подделке документов, изготовлении электронной подписи), а каждое десятое сообщение посвящено их покупке, отметила аналитик Positive Technologies, Екатерина Семыкина.

Больше всего сообщений на тему учетных данных посвящено продаже аккаунтов стриминговых платформ, социальных сетей, криптобирж, брокерских контор. Так, аккаунт Spotify может стоить 5 $, а премиум-аккаунт Netflix с подпиской на год — от 10 $.

В исследовании также говорится о популярности в Telegram услуг спама и массовой рассылки. Чаще всего предлагают SMS-спам (54% сообщений на эту тему), немного реже — спам по электронной почте (32%). Цены обычно рассчитываются в зависимости от длительности рассылки или от количества сообщений. Например, средняя стоимость для одного почтового адреса — около 50 рублей за час спама или за 1000 писем.

2021: Artezio опубликовала обновленный рейтинг безопасных мессенджеров в мире

Аналитический отдел Artezio (входит в группу компаний ЛАНИТ) провел очередное комплексное тестирование существующих мессенджеров и опубликовал обновленный рейтинг приложений, которые могут обеспечить высокий уровень приватности. Об этом ЛАНИТ сообщил 25 февраля 2021 года.

Эксперты оценили текущее техническое состояние программных продуктов, провели тестирование средств защиты и заявленных разработчиками инструментов для обеспечения безопасной переписки. В чек-лист тестирования вошло больше 30 приложений для различных платформ, которые оценивались по 50 критериям. В итоговый раунд тестирования прошли только мессенджеры с end-to-end encryption, которые способны обеспечить действительно высокий уровень защиты передаваемых данных. Тестирование проводилось с фокусом на качество шифрования данных и надежность средств защиты информации. В исследовании принимали участие профильные специалисты и разработчики программных решений с экспертизой в области безопасности данных.

Специалисты разделили рекомендательный список на две категории — для личного и корпоративного использования. Мессенджеры, которые попали в список «Лучше для бизнеса», по мнению экспертов, способны обеспечить самый высокий уровень безопасности.

В тройку самых безопасных мессенджеров вошли Signal, Wickr и Viber, который опередил Telegram. Мессенджер Signal по-прежнему получает высокую оценку экспертов за качество протоколов шифрования, наличие двухфакторной идентификации, шифрование по умолчанию и готовность к раскрытию персональных данных. Призывы Илона Маска переходить на Signal выглядят обоснованными.

Итоговый ТОП-8 приложений выглядит следующим образом:

1. Signal
2. Wickr
3. Viber
4. Telegram
5. Confide
6. Slack
7. iMessage
8. WhatsApp

Среди существенных изменений в результатах тестирования мессенджеров, которые проводились Artezio в 2018 году, эксперты отметили улучшение позиций Viber и iMessage. Так, Viber по итогам тестов сместил на 4-е место Telegram, а iMessage от Apple с существенным отрывом опережает WhatsApp. Мессенджер от Facebook сохраняет место в рейтинге самых безопасных браузеров, даже несмотря на скандал с обновленным пользовательским соглашением. Эксперты и ранее указывали на то, что мессенджер передает всю информацию Facebook. Однако, обновленное пользовательское соглашение должно было заставить делится данными пользователей, которые раньше явным порядком запретили это делать.

Мессенджеры Facebook эксперты не рекомендуют использовать для деловой переписки или отправки приватной информации.

Из списка мессенджеров, составленного в 2018 году, выбыл Line, он не соответствует критериям, которые предъявляются к безопасным мессенджерам. Его место занял Slack, который эксперты уверенно рекомендуют для безопасной корпоративной переписки.

Несмотря на ожидания, Telegram продолжает терять позиции в рейтинге безопасных приложений для коммуникации. Ранее он опережал Viber, однако по итогам актуального тестирования уступил разработке компании Rakuten.

Участники исследования отмечают безусловное улучшение качества защиты пользовательских данных у мессенджеров. Однако экспертов беспокоит замедление процесса разработки независимых решений, которые могли бы использовать иные подходы и инструменты для обеспечения безопасности данных и конфиденциальности переписки.

2018

Риски использования публичных мессенджеров

Человеческий фактор

• Социальная инженерия - Мошеннические методики с целью получения конфиденциальной информации
• Случайный фактор - Неосмотрительность сотрудников, утеря оборудования
• Бывшие сотрудники -Информация, которая остается на устройствах сотрудников, уже не работающих в компании

Технический фактор

• Уязвимость протокола SS7
• Вирусы
• Атаки «Man in the Middle»
• Утечка информации через push-уведомления

WhatsApp, Telegram и Signal уязвимы к атакам по сторонним каналам

По сообщению от 13 декабря 2018 года исследователи из Cisco Talos сообщили об уязвимостях в популярных мессенджерах, использующих шифрование. По словам специалистов, WhatsApp, Telegram и Signal можно взломать с помощью атак по сторонним каналам.

Защищенные мессенджеры возлагают часть функций по обеспечению конфиденциальности переписки на операционную систему, что упрощает задачу киберпреступникам.

Эксперты говорят, что суть защищенных приложений для общения заключается в том, что весь пересылаемый между пользователями контент шифруется без участия третей стороны. Для обеспечения сквозного шифрования эти приложения либо сами разработали протокол, либо используют сторонний.

Большинство приложений используют разработанный организацией Open Whisper Systems протокол с открытым исходным кодом Signal или его варианты. Telegram работает на базе собственного закрытого протокола TM. Однако эти протоколы обеспечивают шифрование данных только в процессе передачи, но не во время их обработки или после получения конечным пользователем.

По словам исследователей, к атакам уязвимы и другие функции, например, хранилище данных, фреймворк пользовательского интерфейса, а также механизмы и развертывание групп. В частности, Telegram уязвим к перехвату сеанса на ПК. Хотя дополнительный сеанс будет виден в настройках, среднестатистический пользователь вряд ли его заметит.

WhatsApp и Signal также уязвимы к перехвату сеанса на ПК. В случае с Signal перехват сеанса вызовет так называемое «состояние гонки» («race condition»), и жертва получит сообщение об ошибке. Среднестатистический пользователь может принять его за рядовое уведомление и не придать значения, тогда как атакующему откроется доступ к переписке и контактам.

В случае с WhatsApp жертва также получит уведомление о попытке злоумышленника установить дополнительный сеанс. Пользователь может отклонить попытку, однако в этот промежуток времени у атакующего будет доступ к его предыдущим перепискам и контактам.

Помимо прочего, Telegram также уязвим к «затенению сеанса» («session shadowing») на мобильном устройстве. Используя вредоносное Android-приложение, злоумышленник может получить доступ к данным переписки и контактам жертвы^[2].

Мессенджер Facebook признан самым небезопасным

Аналитический отдел Artezio (Артезио) (входит в группу компаний ЛАНИТ) 26 ноября 2018 года опубликовал список 20 мессенджеров, способных обеспечить высокий уровень приватности. Рейтинг был составлен по итогам комплексного тестирования программ, при этом качество шифрования данных и надежность средств защиты информации были ключевыми критериями при формировании итоговой экспертной оценки, сообщили TAdviser представители Artezio.

Самым небезопасным для ведения конфиденциальной переписки эксперты признали мессенджер от Facebook. В качестве серьезных недостатков указаны низкая защита пользовательской информации, включая готовность корпорации делиться информацией о пользователях, отсутствие инструмента для удаления сообщений на определенных устройствах.

Топ-8 программ с высоким уровнем приватности возглавляет мессенджер Signal. Он получил лучшую оценку за наличие двухфакторной идентификации, шифрование по умолчанию, высокое качество протокола шифрования и готовность к раскрытию персональных данных. Среди недостатков эксперты отметили отсутствие функционала для отзыва (удаления) контента и защиты от создания снимков экрана.

На втором месте оказался мессенджер Wickr, рейтинг которого понижен экспертами из-за наличия платной, более функциональной версии программы и отсутствия данных по раскрытию информации о пользователях.

Telegram расположился на третьем месте в списке, опередив Confide, Viber, Line, WhatsApp и iMessage.

По результатам испытаний оптимальным для частной приватной переписки специалисты Artezio назвали Signal, а бизнесу порекомендовали использовать Wickr.

В общей сложности в ходе испытаний разработанные для платформ iOS и Android мобильные приложения оценивались по 30 критериям, включая надежность шифрования данных, уровень защиты персональной информации (наличие двухфакторной идентификации), готовность к раскрытию персональных данных, функциональность систем хранения переписки, уровень защиты от нестандартных методов копирования информации. Программы, которые не отвечали минимальным требованиям по обеспечению конфиденциальности переписки, были исключены из списка.

2017

Корпоративные мессенджеры становятся значимой мишенью для киберпреступников

Все больше предприятий предпочитают использовать мессенджеры для общения внутри компании. Так, 77% компаний из списка Fortune 100 используют Slack − один из популярных корпоративных мессенджеров. Благодаря тому, что такие платформы являются бесплатными и легко интегрируются в клиентские системы и бизнес-процессы, они представляют интерес не только для бизнеса, так и для киберпреступников. Trend Micro изучила наиболее популярные корпоративные платформы, чтобы выяснить, каким угрозам они подвержены. Исследование проводилось на примере таких мессенджеров, как Slack, Discord, Telegram, Twitter, Facebook и др^[3].

Основные выводы отчета:

• Корпоративные платформы оказались уязвимы перед различными видами вредоносного программного обеспечения. В частности, вредоносные программы, файлы, и биткоин-майнеры использовали интерфейс популярной в США платформы Discord,. А разновидности таких вредоносных программ, как KillDisk или программа-вымогатель TeleCrypt используют протоколы Telegram для связи с C&C- сервером.
• Наиболее безопасным для пользователей оказался корпоративный мессенджер Slack – за время подготовки отчета, не было обнаружено никаких вредоносных программ или кибератак, связанных с этой платформой.
• Платформа Twitter долгое время оставалась крупной мишенью для злоумышленников, в результате чего социальная сеть адаптировалась к обнаружению учетных записей, зараженных вредоносным ПО, основываясь на данных поведенческого анализа пользователей.
• В скором времени будет появляться все больше примеров того, как киберпреступники используют программные интерфейсы таких приложений в своих целях. Например, вместо создания с нуля специализированного интерфейса для связи с жертвой программы-вымогателя, злоумышленник может использовать уже существующий мессенджер и отправить пользователю сообщение с описанием процесса оплаты выкупа.

Чтобы не стать жертвой киберпреступников, Trend Micro рекомендует следующее:

• Установить четкие правила для безопасного использования корпоративных мессенджеров среди сотрудников.
• Проводить обучение среди сотрудников и информировать о наиболее широко применяемых видах кибератак, таких как фишинг или спам.
• Удостовериться, что IT-команда знает о киберугрозах, которые могут возникнуть при использовании корпоративных мессенджеров, а также постоянно отслеживает подозрительную сетевую активность.
• Оценить, насколько критично использование корпоративных платформ для ежедневного общения. Если не критично – лучше остановить ее использование.

Solar Security исследовала защищённость мессенджеров

Solar Security, разработчик продуктов и сервисов для целевого мониторинга и оперативного управления информационной безопасностью, представила в марте 2017 года исследование защищенности мобильных приложений для мгновенного обмена сообщениями. Для участия в исследовании были выбраны международные популярные бесплатные мобильные приложения для мгновенного обмена сообщениями — Facebook Messenger, QQ International, Signal, Skype, Slack, Telegram Мессенджер, Viber, WeChat и WhatsApp.

Каждое приложение рассматривалось в двух реализациях — для мобильных операционных систем iOS и Android. Проверка безопасности осуществлялась автоматически, с помощью российского решения Solar appScreener (ранее Solar inCode), которое использует методы статического, динамического и интерактивного анализа кода.

По данным компании, реализации приложений для платформы Android оказались более защищенными по сравнению с реализациями под iOS. Среди проанализированных Android-мессенджеров в тройку наиболее защищенных вошли Signal, Facebook Messenger и Slack. При этом Signal показал высокий результат. Отсутствие серьезных уязвимостей позволяет говорить о том, что приложение достаточно безопасно как в части защиты данных пользователей, так и в устойчивости к атакам с помощью троянов или известных эксплойтов. Хорошее качество кода продемонстрировали Facebook Messenger и Slack.

Лидерами среди iOS-приложений для мгновенного обмена сообщениями стали Facebook Messenger, Viber и Skype. Четвертое место с небольшим отставанием занял Signal. Больше всего уязвимостей обнаружено в мессенджерах QQ International и WeChat, которые представляются наименее защищенными вне зависимости от платформы, указали в Solar Security.

Исследование также показало, что все проанализированные приложения содержат уязвимости, которые можно разделить на две группы по возможному способу эксплуатации: уязвимости, повышающие риски компрометации информации, хранимой на устройстве — логинов, паролей, переписки и т.д. (как правило, уязвимости такого типа могут быть проэксплуатированы при помощи вредоносного программного обеспечения); уязвимости, позволяющие проводить атаку Man-in-the-Middle («человек посередине»), в результате которой злоумышленник может получить доступ ко всем данным, пересылаемым через мессенджер (данная атака может быть успешно реализована, например, при использовании общественного Wi-Fi).

При подготовке исследования декомпиляция и деобфускация приложений не производилась. Статический анализ осуществлялся в отношении бинарного кода.

2016

Positive Technologies примет участие в работах по защите госмессенджера

Компания Positive Technologies и Институт развития интернета (ИРИ) заявили в декабре 2016 года о начале сотрудничества в сфере обеспечения информационной безопасности госмессенджера: эксперты Positive Technologies войдут в экспертный совет рабочей группы проекта ИРИ, протестируют мессенджеры на их уязвимость к кибератакам и подготовят рекомендации по повышению уровня защищенности.

WSJ: Степень надежности мессенджеров невысока

Эксперты сходятся во мнении: привычный для всех WhatsApp, пропускающий через себя десятки миллиардов сообщений в сутки, едва ли можно назвать безопасным. То и дело появляются новости об уязвимостях программы. В ходе одного из исследований выяснили, что располагающийся в памяти устройства файл с историей переписки, будучи зашифрованным, взламывается за несколько мгновений с помощью простого скрипта. Да и тем более, с недавних пор сервис и вовсе принадлежит компании Facebook, известной своими связями с американскими спецслужбами .

У других бесплатных сервисов для общения, от Viber до iMessage, дела обстоят не лучше.

К Telegram, который создал Павел Дуров, также были вопросы. Сообщалось, что хакерам удавалось получить доступ к аккаунтам. Исключением являются секретные чаты. Таким образом, при взломе злоумышленник может не только вести переписку от имени жертвы, но и прочитать всю переписку, которую клиент Telegram подгружает в телефон.

Amnesty International: Facebook и WhatsApp самые защищенные мессенджеры

Международная правозащитная организация Amnesty International анонсировала осенью рейтинг защищенности мессенджеров от несанкционированного доступа к переписке пользователей^[4].

Составители доклада оценивали мессенджеры по ряду критериев, связанных с безопасностью, по 100-балльной системе.

Высшие оценки — по 73 балла — получили Facebook Messenger и WhatsApp. Вторую и третью строчку разделили iMessage, FaceTime и Telegram Мессенджер, набравшие по 67 баллов.

Оценки ниже 50 баллов получили Viber (47), Skype (40), Snap Inc. (Snapchat) (26) и Blackberry (20).

Замыкают рейтинг китайские мессенджеры QQ и WeChat, безопасность которых в Amnesty International оценили в ноль баллов.

Всего в рейтинг Amnesty International попали 16 мессенджеров от 11 компаний.

В Facebook Messenger не применяется по умолчанию шифрование на устройствах, которое позволяет максимально защитить переписку. Этот режим нужно включать отдельно для каждого собеседника. То же самое — в Telegram. В WhatsApp, iMessage и Facetime такое шифрование работает по умолчанию для всех контактов.

«Грустно наблюдать, как «неправительственная организация» выступает в качестве пиар-инструмента для правительств и корпораций», — говорится в сообщении Павла Дурова.

По мнению главы Telegram, утверждая, что сервисы Facebook более защищены, Amnesty International принимает граждан за идиотов.

Дуров полагает, что Facebook принимала участие в шпионской программе PRISM, организованной Агентством национальной безопасности (АНБ) США.

ФРИИ, Ростелеком и Tele2 выбрали защищенные мессенджеры

Фонд развития интернет-инициатив при экспертной поддержке Ростелекома и Tele2 объявили летом 2016 года лучшие защищенные мессенджеры с потенциалом внедрения в крупных российских корпорациях, госкомпаниях, а также государственных структурах и ведомствах. В шортлист вошли четыре лучших проекта с российскими корнями: Сибрус, Титаниум, Флодиум и SyncCloud. Партнеры проведут due diligence компаний-разработчиков и выберут наиболее перспективное решение для инвестиций.

Исследуя рынок, партнеры рассмотрели более 800 проектов мессенджеров, чатов и социальных сетей из базы преакселератора ФРИИ, а также популярные зарубежные решения, такие как Slack или Skype. Команда экспертов ФРИИ, Ростелекома и Tele2 провела детальную оценку 12 лучших технологических решений, а с 7 командами разработчиков, вышедшими в финал отбора, прошли очные встречи и интервью. Четыре наиболее совершенных и безопасных решения - Сибрус, Титаниум, Флодиум и SyncCloud - в настоящий момент проходят инвестиционную оценку, по итогам которой ФРИИ, Ростелеком и Tele2 рассмотрят возможность войти в капитал или поддержать иным образом самый перспективный проект. Объем и структура сделки будут определены по завершению процесса due diligence.

По плану партнеров, технология защищенного мессенджера ляжет в основу разработки комплексного решения для бизнеса в области «унифицированных коммуникаций» (UC - Unified Communications). UC-решение предполагает интеграцию в реальном времени таких сервисов как обмен мгновенными сообщениями (чат) и информацией о присутствии (presence), телефония и видеоконференц-связь, управление календарем, обмен файлами и совместная работа с документами. Поскольку такое решение востребовано не только частным сектором, но и государственными структурами России, ключевыми критериями выбора стали: защищенность и шифрование данных, поддержка голосовой и видеоконференц-связи, возможность обмена медиафайлами и документами всех основных форматов, мультиплатформенность, поддержка технологий создания рабочих групп и управления календарем, а также наличие протоколов Application Programming Interface (API) для внешних решений и возможность разработки бот-платформы. Законченное UC-решение может не только стать основным инструментом бизнес-коммуникаций в крупных российских корпорациях и госкомпаниях, но также и лечь в основу взаимодействия государства с населением в секторе госуслуг: например, с помощью автоматизации ряда сервисов за счет технологии «ботов».

В мире более 4,2 млрд пользователей мессенджеров, в России - более 60 млн, согласно оценкам аналитиков Tele2. Всего в мире насчитывается свыше ста различных мессенджеров, в России наиболее популярны Viber, WhatsApp и Skype. Мировой рынок услуг в области «унифицированных коммуникаций», по оценкам PwC, в 2015 году составил 24 млрд долларов. В то время как рынок традиционной телефонии растет лишь на 2% в год, рынок UC-услуг растет на 11% ежегодно и к 2018 году достигнет 32 млрд долларов. Согласно оценке аналитиков Global Market Insights, порядка 60% объема рынка обеспечит корпоративный сектор, около 20% - государственные заказчики. Что касается России, то по прогнозам ФРИИ, к 2018 году отечественный рынок решений и услуг в сфере «унифицированных коммуникаций» может составить от 0,7 млрд до 1 млрд долларов.

Смотрите также

Примечания