Datorită naturii lor stealth, atacurile fără clic sunt greu de evitat, indiferent dacă folosești un iPhone, un dispozitiv Android, un Mac sau un PC.
Iată cum funcționează și ce poți face pentru a te proteja.
„Atacul fără clic” poate suna înspăimântător, dar tu și dispozitivele tale sunteți expuși? Să vedem ce presupune un astfel de atac și de ce sunt atât de îngrijorătoare.
De asemenea, vom discuta cum te poți apăra eficient.
Așa cum sugerează și numele, un atac fără clic poate compromite un dispozitiv fără nicio acțiune din partea utilizatorului.
Alte metode, precum phishing-ul sau smishing-ul, se bazează pe inginerie socială pentru a convinge oamenii să acceseze linkuri malițioase sau să instaleze fișiere periculoase.
Atacurile fără clic folosesc vulnerabilități deja existente în sistemele de operare pentru a le ocoli complet.
Nu trebuie confundate cu atacurile zero-day, care sunt deja exploatate și necesită patch-uri urgente, dar tot necesită implicarea utilizatorului pentru a rula codul.
Atacurile fără clic permit accesul la dispozitiv fără nicio acțiune a utilizatorului, putând prinde în capcană chiar și cei mai pricepuți folositori de tehnologie.
Cea mai notorie metodă recentă de tip zero-click este spyware-ul Pegasus, creat de firma israeliană NSO Software.
Laboratorul Citizen Lab de la Universitatea din Toronto a semnalat atacuri asupra dispozitivelor iOS și Android în 2018 și în 2021.
Deși NSO neagă orice abuz, Citizen Lab susține că clienții folosesc Pegasus pentru spionarea activiștilor și oficialilor de rang înalt.
În decembrie, echipa Project Zero de la Google a publicat o analiză tehnică a exploit-ului FORCEDENTRY folosit pentru a infiltra spyware-ul Pegasus pe iPhone-uri prin iMessage.
Atacurile fără clic sunt foarte periculoase pentru că sunt aproape invizibile.
Tot ce trebuie să facă atacatorul este să trimită codul malițios către telefon sau computer, fără ca tu să faci vreun clic.
Victimele nici măcar nu își dau seama că sunt atacate, astfel încât atacatorii pot explora liniștiți datele dispozitivului.
„Din perspectiva unui atacator, frumusețea unui atac fără clic constă în faptul că nu trebuie să se bazez pe inginerie socială sau pe metode de tip «spray and pray» (ca phishing-ul tematic COVID-19) cu rată scăzută de succes,” spune cercetătorul în securitate David Balaban pentru IT Governance.
Atacurile fără clic exploatează breșe din funcția de validare a datelor a aplicațiilor și a sistemelor de operare.
Orice platformă care analizează automat datele primite pentru a le verifica poate fi vulnerabilă.
Atacatorii ascund codul malițios într-un atașament aparent inofensiv, cum ar fi un PDF, o imagine ascunsă sau un mesaj text.
Un exemplu real ar fi o vulnerabilitate într-o aplicație de email de pe telefonul tău.
Dacă un hacker rău intenționat găsește acea breșă, tot ce trebuie să facă este să îți trimită un email cu cod malițios.
Odată receptat, acel cod se activează și infectează telefonul, oferindu-i hackerului acces la toate mesajele tale.
Chiar dacă ștergi emailul, infecția persistă și nu rămâne urme evidente pe termen lung.
Măsurile de securitate destinate protejării utilizatorilor pot ajuta, paradoxal, atacurile fără clic.
Aplicațiile de mesagerie cu criptare end-to-end, cum este iMessage de la Apple, fac aproape imposibil de detectat dacă un atac are loc, deoarece doar expeditorul și destinatarul pot vedea pachetul de date.
Grupări de hackeri rău intenționați dezvoltă adesea instrumente pentru exploatarea acestor vulnerabilități și le vând cu milioane pe piața neagră.
Datorită naturii lor greu de urmărit, atacurile fără clic sunt folosite frecvent în operațiuni de spionaj la nivel de stat.
Jurnaliștii pot fi și ei vizați.
Conform The Indian Express, jurnalista Rania Dridi din Londra și-a văzut telefonul compromis în ciuda măsurilor de precauție.
Atacul a forțat-o să șteargă aplicații esențiale pentru munca ei privind drepturile femeilor în lumea arabă.
Documentarul „The Spy in Your Phone” de la Al Jazeera prezintă un caz similar de infectare cu Pegasus.
Natura stealth a atacurilor fără clic le face greu de evitat dacă devii țintă.
Totuși, există măsuri de securitate cibernetică pe care le poți adopta pentru a te proteja.
Păstrează-ți aplicațiile și sistemele actualizate regulat.
Producătorii de software lansează patch-uri pentru vulnerabilități imediat ce le descoperă.
Actualizările de rutină conțin, de obicei, aceste remedieri și pot fi instalate în doar câteva minute.
Atenție la dezvoltatorii aplicațiilor pe care le instalezi.
Dacă nu există informații despre producător, nu sunt recenzii sau dezvoltatorul nu este verificat în magazinul de aplicații, e mai sigur să eviți acea aplicație.
Șterge periodic aplicațiile pe care nu le mai folosești sau, cel puțin, retrage-le permisiunile de acces la cameră sau bibliotecă media.
Folosește pe cât posibil autentificarea cu doi factori pentru site-urile importante, email și rețele sociale.
Nu folosi aceeași parolă de pe vremea liceului pentru toate conturile.
Un manager de parole te poate ajuta să alegi un cod master puternic și să stochezi restul parolelor în siguranță.
Instalează extensii care blochează ferestrele pop-up și spam-ul sau configurează-ți browserul pentru a le evita.
Anti-malware-ul și antivirusul de calitate pot preveni multe infecții, așa că rulează scanări regulate.
Dacă manipulezi informații sensibile, ia în considerare să folosești două telefoane: unul pentru muncă și unul personal.
Astfel, dacă unul este compromis, nu pierzi toate datele.
Oricare ar fi activitatea ta, fă backup regulat și păstrează-l separat de hard disk-ul principal.
În cazul unui atac cu ransomware, vei putea recupera datele fără să renunți la calculatorul principal.
Atacurile fără clic sunt, fără îndoială, înspăimântătoare, dar nu trebuie să pierzi nopți de somn din cauza lor.
Marea majoritate a vulnerabilităților zero-click sunt exploatate de state împotriva persoanelor cu profil înalt.
Totuși, e bine să fii atent la activități suspecte pe dispozitivele tale.
Pentru mai multe informații, vezi cum îți dai seama dacă telefonul are malware și 7 semne că ai malware și cum să scapi de el.
