Злоумышленники, которые украдут ваши учетные данные, могут войти в вашу учетную запись. Оказавшись там, они могут делать то, что умеете делать вы: отправлять сообщения, публиковать посты, покупать волшебные мечи или кольца с бриллиантами… Ограничения только те, что и у вас в учетной записи в данном сервисе (или во всех сервисах, где вы используете одно и то же имя пользователя и пароль). Если захваченный аккаунт является банковским счетом, деньги могут быть перемещены, а если аккаунт является кредитной картой, то вор может потратить деньги, которые владелец счета должен будет вернуть. (На это ожидание может влиять закон о защите прав потребителей или деловая практика эмитентов карт. Поскольку это распространенное явление, у владельца учетной записи есть четкий порядок действий, позволяющий отказаться от списаний.) Если это учетная запись в социальной сети и вы были пьяны, когда писали в X (Twitter), проще всего заявить, что учетная запись была взломана.
Легкость и частота кражи кредитных карт привели к тому, что ей дали отдельное название – «кража личности» (identity theft), и есть несколько важных вариантов, включая захват учетной записи и создание новой учетной записи.
Реальный захват аккаунта
Когда принцесса Лея появляется во дворце Джаббы, она маскируется под настоящего охотника за головами Боушха, чтобы выдать себя за известного преступника. Насколько нам известно, Боушх никогда об этом не узнает.
Для того чтобы мы могли отреагировать на захват, он должен быть обнаружен либо сервисом, либо клиентом. Если захват обнаружил клиент, он должен убедить сервис в том, что учетная запись была взломана, повторно пройти аутентификацию и лишить злоумышленника возможности аутентификации. Если захват обнаружит сервис, он должен сообщить об этом реальному клиенту и заручиться его содействием (в обоих случаях отказав в передаче контроля над аккаунтом). Затем учетную запись необходимо исправить как на техническом, так и на бизнес-уровне. Злоумышленники добавят дополнительные приложения с доступом к учетной записи, дополнительные варианты восстановления, такие как новые секретные вопросы или новые механизмы проверки подлинности резервных копий. Злоумышленники также будут предпринимать определенные действия, в зависимости от типа учетной записи. Например, злоумышленники, занимающиеся компрометацией деловой электронной почты, будут добавлять правила обработки электронной почты, чтобы скрыть свою активность.
Вопрос о том, можно ли вернуть захваченный аккаунт и связанный с ним бизнес, а также кто отвечает за восстановление, зависит от типа учетной записи. У злоумышленника есть ваши электронные письма; кто знает, куда они делись? Кольцо с бриллиантом, отправленное в Нью-Йорк, должно быть кем-то оплачено. Злоумышленники будут передавать волшебные мечи в игре за доллары за ее пределами, усложняя работу, которую операторы игры должны проделать для решения проблемы. Если учетная запись Алисы была скомпрометирована и злоумышленники купили волшебный меч с помощью ее кредитной карты, а затем продали его в игре Ланселоту, вы заберете меч у Ланселота? Что произойдет, если игрок, стоящий за Ланселотом, скажет, что отправил Алисе биткоины? Давайте посчитаем возможные опровержения: Алиса отказывается от покупки меча и, возможно, лжет. Ланселот непременно будет утверждать, что он невинная жертва, отрицая свое участие в мошенничестве. Если вы заберете у него игрушку, он может попытаться отказаться от оплаты. Возможно, вам понадобится «стрижающий меч», чтобы попытаться прорваться сквозь сложность проблемы, но «стрижающий меч» – это не световой меч, он просто делает «взы-взы».
Ложные утверждения о захвате аккаунта
Поскольку учетные записи имеют возможность быть взломанными, люди могут ложно утверждать, что их учетные записи были захвачены, чтобы опровергнуть действия с этим аккаунтом. Любой из сторон трудно окончательно доказать, чья тут вина. Системным операторам нравится верить, что всему виной плохая безопасность (вредоносное ПО, плохие пароли). Людям нравится верить, что они ничего не могли поделать.
Захват учетных записей является частой проблемой, поэтому ложные заявления о захвате учетных записей могут оказаться правдоподобными. Такие захваты приводят к необходимости отказа и механизмов для утверждения этих претензий и управления ими. Также можно создать реальную учетную запись, которая не привязана к реальному человеку, и создавать сообщения, которые должны быть опровергнуты реальным человеком.
Тот, кто хочет участвовать в клевете, розыгрыше, кэтфишинге или другом вреде, может просто создать новую учетную запись с именем или ярлыком, которые правдоподобно связаны с именем его жертвы. Эта жертва должна опровергнуть свою связь как с сообщениями, так и с учетной записью.
Кража личности
Термин «кража личности» имеет много пересекающихся значений, включая захват учетной записи и мошенничество с новыми учетными записями. Критики указывают на то, что это просто мошенничество, а термин «кража личности» используется для того, чтобы переложить вину на жертв, которые имеют мало влияния на информацию, используемую для совершения преступления, или механизмы, используемые для совершения этого мошенничества. Это важный момент, но не единственный. Конечно, лучший способ борьбы с мошенничеством – это возложить расходы на тех, кто имеет возможность его предотвратить.
Неполнота аргумента о том, что «кража личности – это просто мошенничество», упускает из виду ущерб, наносимый людям, чьи личные данные украдены. Они должны потратить время на походы в полицию и отказ от претензий кредиторов. (Как упоминалось ранее, полицейские отчеты считаются авторитетными.) Однако проблемы усугубляются особенностями американской системы кредитной отчетности. Бюро кредитных историй могут объединять информацию, которая слабо связана между собой (например, то же имя и номер социального страхования с другим адресом или похожие имена и адреса, такие как Уилл Смит и Уиллоу Смит).
Недостоверная информация, содержащаяся в кредитных отчетах, исключается из законов о клевете и решается с помощью запутанных, сложных для применения «систем разрешения споров», разработанных и эксплуатируемых бюро кредитных историй. По крайней мере, в одном крупном случае эти системы разрешения споров оказались небезопасными [Bomey, 2020].
Центр по борьбе с хищениями персональных данных (Identity Theft Resource Center) отмечает, что долгосрочный ущерб, нанесенный некоторым жертвам, является формой травмы, когда жертвы начинают остерегаться подавать заявки на получение кредита или его использование, потому что боятся, что им снова придется иметь дело с бюрократической волокитой. В этом смысле у них крадут их доброе имя.
Создание фальшивых аккаунтов
Хотя это не то же самое, что захват аккаунта, во многих системах легко настроить учетную запись с любым именем. Вы можете использовать их, чтобы выдавать себя за кого-то как в личном общении, так и в каком-либо социальном пространстве. Например, после создания учетной записи Darthvader57 вы можете отправить электронное письмо имперским подрядчикам с просьбой предоставить секреты. Или вы можете создать учетную запись для Yoda900 на веб-сайте и использовать ее, чтобы «признаться» в ложных утверждениях о джедаях. Делать или не делать. Не нужно даже пробовать, настолько это просто.
Дипфейки
Клонирование голоса или дипфейк видео может изображать кого-то, кто произносит слова, которых он никогда не говорил, или делать то, чего не делал. Когда человек на самом деле этого не делал, он хочет опровергнуть дипфейк. Когда он это сделал, он может заявить, что видео было сфальсифицировано. Легкость создания таких фейков усложняет опровержение. Действительно ли это дипфейк или ложное утверждение, чтобы отвлечь внимание от реального контента? Клонирование голоса, дипфейк-видео и подобные атаки на то, «Кто вы такой», обсуждаются подробнее в главе 1 «Спуфинг и аутентичность».
Журналы являются основным инструментом для обнаружения инцидентов и реагирования на них. Обнаружение инцидентов и реагирование на них выходят далеко за рамки отказа, и если вы думаете об отречении от веры в то, что «никто не взламывал наши системы» или «это полностью вооруженная и работоспособная боевая станция», то журналы являются основными инструментами реагирования на инциденты. («Вы думаете, что эта боевая станция полностью работоспособна? Никто не заметил программы-вымогателя на основных компьютерах управления пушками!») Сюда относятся «инциденты» с отказом, когда кто-то запрашивает возврат средств через ваш колл-центр, инициирует возврат платежа по карте или скандал в социальных сетях. Все эти журналы подвергаются различным атакам. Есть атаки на сами журналы, есть атаки, которые переносятся в журналы, и есть атаки через системы реагирования.
Атаки на журналы
Поскольку журналы помогают защитникам расследовать атаки, в том числе атаки с отказом, злоумышленники пытаются повредить или уничтожить их либо представить ложные доказательства. Это приводит к атакам на то, как журналы создаются, передаются, принимаются, маршрутизируются и хранятся.
Создание журнала может быть атаковано путем вмешательства в библиотеку регистрации входа клиентов или путем отключения этой функции. В мире идет битва между людьми, которые хотят конфиденциальности, и рекламодателями. Техническая реализация означает, что один и тот же конфликт разыгрывается снова и снова в различных контекстах. К таким контекстам относятся браузеры и частные плагины, предприятия, которые могут блокировать передачу журналов, и мобильные приложения. В каждом из них атакуется создание или ведение журналов. (Это проливает свет на важный вопрос «Безопасность от кого?». Если вы переходите от предоставления безопасных систем к поставке систем безопасности, вы должны справиться с этим. Этический кодекс Association for Computing Machinery прекрасно подойдет для начала, даже если вы не являетесь членом ACM.) Если программное обеспе