Как не получить утечку данных в подарок за покупку

Завтра стартует осенний марафон распродаж. Он откроется зародившимся на востоке Днем шоппинга, продолжится пришедшей с запада Черной пятницей и плавно перетечет в исконно российскую предновогоднюю охоту за подарками, праздничной атрибутикой, сувенирами для сикрет санты и обновками для корпоратива.

У киберпреступников тоже начинается горячая пора, и они уже составили список дел.

Мы уже подсчитали, что в конце октября количество DDoS‑атак на сайты и приложения интернет‑магазинов выросло в 1,5 раза и достигло 6 млн. Злоумышленники с помощью ботов, имитирующих поведение реальных пользователей, исчерпывают ресурсы сервера и делают его недоступным для настоящих покупателей на радость конкурентов. Другая категория преступников охотится на базы данных, используя уязвимости приложений — число таких атак в октябре выросло почти втрое.

Уберечься от этих угроз помогают сервисы анти-DDoS, расширенной защиты от атак высокого уровня (к которым и относятся атаки на уровне приложений), маскирование критических данных и другие. Но мошенникам даже не придется тратиться на сложные дорогостоящие атаки, если пользователь сам вручит им ключи от своих данных или впустит в периметр своей компании.

По сути, это одно и то же, если вы ведете в соцсетях аккаунт своего малого бизнеса или даже личный блог на несколько тысяч человек. Один неосторожный клик на сайте с невероятными скидками, и Черная пятница станет черным днем для вашей репутации. Преступник может продать вашей аудитории несуществующий товар, уведя их на подложную платежную страницу, объявить сбор средств или просто потребовать выкуп за возврат аккаунта.

Рядовой сотрудник может создать похожую ситуацию, даже если скомпрометирует только свою личную страницу. Из профиля мошенники могут узнать место работы и подобрать пароли к рабочим аккаунтам. Эта задача будет совсем простой, если человек использует одну и ту же комбинацию для разных ресурсов. Другой фактор риска — заражение корпоративной инфраструктуры вредоносным ПО, который возрастает, если сотрудник празднует День шоппинга прямо на рабочем месте со служебного компьютера.

Базовые меры профилактики подобных внутренних угроз — зрелая парольная политика в компании, многофакторная аутентификация, автоматизированные системы контроля доступа. Но преступник может преодолеть многие барьеры методами социальной инженерии — обмануть и вынудить совершить ошибку, нажимая на действенные рычаги: поманить покупателя выгодой и поторопить, сославшись на ограниченное время действия акции.

Непрестанно повышать киберграмотность, свою и тех, кто рядом с вами. На одни и те же уловки люди попадаются вновь и вновь, и это не только дети и пенсионеры, но и уверенные пользователи, опытные люди, иногда даже работающие в диджитал‑сфере. Какими бы банальными не казались правила безопасности, напоминайте о них своим близким, сотрудникам и клиентам.

Вот наш топ советов, как уберечься от киберпреступников, особенно актуальных в период распродаж.

Если вы нашли товары, особенно известных брендов, по очень низким ценам, убедитесь, что вы не на фейковом сайте. Первым делом проверьте адрес — если он парой букв отличается от названия популярной площадки, возможно, вас специально пытаются запутать. В лучшем случае вам продадут подделку, в худшем — украдут деньги или данные.

Вам предлагают невероятную скидку, но воспользоваться ей можно только здесь и сейчас. Такое, конечно, бывает, но если у вас есть ощущение, что вас торопят и манипулируют, это повод взять небольшую паузу. Окиньте критическим взглядом страницу или сообщение, постарайтесь убедиться в его подлинности и найти отзывы об этом продавце на сторонних источниках.

Мошенники могут создавать поддельные платежные страницы, цель которых — собрать данные вашей карты. В будущем они могут использовать их, чтобы украсть деньги со счета. Будьте внимательны к внешнему виду страницы и вдвойне осторожны, если попали на нее не с официального сайта, а после клика по баннеру или ссылке от незнакомого отправителя.

Если вам пришло письмо с неизвестного адреса или рассылка от магазина, на которую вы не подписывались, не спешите переходить по ссылкам или открывать файлы во вложении. И даже если вам кажется, что вы знаете отправителя, убедитесь, что мошенник не написал вам с подложного адреса, который только похож на корпоративный или принадлежащий известному бренду.

Если вы все-таки совершили одну из этих или какую-то другую ошибку, в результате которой мошенники могли завладеть вашими данными, лучше перестраховаться. Смените пароль на более сложный и позвоните в банк, чтобы заблокировать карту.

Пусть сезон распродаж будет удачным для вас, но не для киберпреступников!