Самый частый вопрос, который я слышу в эфирах или на конференциях, — «почему государство требует от меня биометрические данные (фотку лица), я не хочу ими делиться, я хочу сохранить приватность».
Тогда я спрашиваю, выкладывал ли человек селфи в соцсетях?
Как правило, ответ — да.
Получается, люди готовы делиться своей приватностью с кем угодно, даже не понимая этого. Причем государство здесь — наименее опасный контрагент.
Итак, что могут сделать нехорошие люди, раздобыв ваше фото, например, из мессенджера?
Есть нейронки, которые делают поиск по изображениям, не буду здесь их называть, они легко находятся. Загружаете фотографию или указываете ее URL, и сервисы показывают вам схожие изображения. С высокой долей вероятности это будут картинки из ваших соцсетей.
Зная ваши соцсети, нетрудно выяснить ваше имя, даже если у вас никнейм. Попробуйте сделать поиск по нику — найдутся ваши старые регистрации и где-нибудь всплывет адрес вашей электронной почты.
Поиск по почте даст еще больше сведений — и регистрации на сторонних сайтах, и юрлица, и доски объявлений, и много чего еще, где вы успели наследить за свою жизнь в интернете.
И там точно будет ваше имя.
Далее — гуглим имя, и где-то в дальней выдаче находим номер мобильника, например, из объявления 2012 года о продаже смартфона.
Заметьте, мы здесь не говорим о даркнете и слитых базах, где есть паспортные данные и номера кредиток. Вся информация легко находится в обычном инете — без денег и с минимумом усилий.
В целом этих данных уже достаточно, чтобы сочинить подробный сценарий социальной инженерии и устроить вам приключения. Но предположим, что нам попался старательный мошенник, что еще он может узнать о вас в интернете?
Место работы. Многие компании выкладывают данные своих сотрудников на сайте, да и вы сами можете указать в профиле, где работаете. Зачастую место работы можно определить по фоткам (на фоне вывески или с мерчем в руках) или по геотегу в соцсетях.
Место работы — это физический адрес, со всеми вытекающими, но я не думаю, что кто-то станет за вами следить, есть более простые способы.
Вот вам пример простейшей социальной инженерии, как можно узнать ваш домашний адрес. Представьте, что вам звонит якобы курьер и спрашивает, куда принести посылку. Да, у него нет номера посылки, он скажет: «Посмотреть номер сейчас не могу, но вам нужна посылка или нет?» Скорее всего, любопытство и жажда халявы пересилят. Для пущей достоверности злоумышленники могут подсмотреть, какими брендами вы хвастались в соцсетях в последнее время, или сказать, что доставляют цветы от анонима. А чтобы не перепутать дом с работой, будут звонить на исходе рабочего времени.
Но вернемся к техническим аспектам. Что еще можно узнать по фотографиям?
У каждой фотки есть метаданные, например, географические данные (геотеги) — снимок обычно содержит информацию о месте, где его сделали. Это может быть точная локация или приблизительные сведения — город/регион.
Метаданные фотографии могут содержать информацию о дате и времени съемки, о камере или устройстве, с помощью которого сделали фотографию.
У фотографии могут быть авторские данные или информация о владельце.
Все это в совокупности дает максимально полную информацию о вас и позволяет придумать сценарий социальной инженерии любой сложности.
Какими неприятностями это вам грозит?
Кибербуллинг. Вы становитесь уязвимыми к психологическому давлению. Оппонент из Сети может жестоко вас затроллить или запугать просто из вредности, если ему не понравились ваши комментарии на городском портале.
Фиктивный аккаунт в социальной сети или другом онлайн-сервисе. Неизвестные могут подделать вашу личность, используя ваше фото и представляясь вами. Это приведет к различным проблемам, включая развод на деньги ваших друзей и знакомых.
Фишинг. Выманить личные данные, пароли или другие реквизиты у ваших знакомых поможет электронное письмо, где для убедительности будут указаны ваши имя и фото.
Вымогательство. С помощью добытой информации мошенники способны ввести вас в заблуждение, запугать и раскрыть неприятные факты из вашей жизни, чтобы требовать вознаграждение.
Различные методы социальной инженерии. Вас будут провоцировать перевести деньги, взять кредит, переписать на другого человека машину и так далее.
Как всего этого избежать? Несколько простых советов.
- Знайте, что такое вообще бывает. Помните — если позвонил человек, которому многое о вас известно, это не обязательно агент 007 или должностное лицо, наделенное полномочиями.
- Самый надежный способ не наделать глупостей — скидывать непонятный звонок и гуглить номер. Есть вероятность, что на абонента уже жаловались, и это — верный признак мошенничества. Если вычислить номер не получается, обратите внимание на региональный код. Звонивший может представиться московским следователем, но удмуртский код прозрачно намекнет, что «следователь» находится в местах не столь отдаленных.
- Когда вам звонит «банк» или «друзья сына», скидывайте и перезванивайте напрямую на горячую линию банка, непосредственно сыну. Это разрешит все сомнения.
- Если у вас на попечении поколение 80+, просто вбейте в телефоны старших родственников безопасные номера, а при звонках со всех остальных запретите брать трубку. Лучше самим перезванивать на неотвеченные, чем нервировать бабушек и дедушек.
- От фишинговых писем вас избавит антивирус, который будет проверять всю корреспонденцию на предмет вредоносного ПО — это поможет не кликнуть на нехорошую ссылку или зараженный файл.
- О кибербуллинге и говорить нечего. Кнопка «заблокировать пользователя» обычно решает все проблемы. Важнее объяснить детям, как себя вести в Сети, но это тема другого разговора.
- И последний совет. Мне тоже нравится своя фотка в качестве аватарки для соцсетей и мессенджеров, я просто прогнал ее через нейросетку и использую полученные картинки. По ним невозможно найти исходник, и у них нет метаданных обычной фотографии.
