תראו כמה קל לפרוץ לנו לסמארטפון

Sagicohen, sagic, 17.03.2015

המידע הכי רגיש שלנו שמור בטלפון הנייד. תמונות, אנשי קשר, פרטי חשבון בנק, דואר אלקטרוני, חשבונות של רשתות חברתיות, קבצים ומסמכים ומה לא. זה המקום שבו נאגר המידע הכי פרטי ואישי שלנו.

גם ההאקרים יודעים את זה, ולא פלא שהטלפון הנייד הפך בשנים האחרונות ליעד מרכזי למתקפות ושלל וירוסים, רוגלות ושאר תוכנות זדוניות. כולם מנסים לפרוץ את הטלפון שלנו. לפי דוח של חברת אבטחת המידע קספרסקי, ברבעון הרביעי 2014 זוהו כ-12 מיליון תוכנות זדוניות שמיועדות נגד סמארטפונים, לעומת כ-1 מיליון בתחילת 2012. רובן מיועדות לשלוח מהמכשיר סמסים בתשלום ללא ידיעת המשתמש או דוחפות מודעות פרסומת, ואחרות מיועדות לריגול של ממש: כ-15% מהתוכנות הזדוניות מיועדות לשלוט מרחוק מהמכשיר, כ-5% מהתוכנות הללו גונבות את המידע מהמכשיר, ושיעור דומה גונבות מידע פיננסי.

מסתבר שלחדור למכשיר שלכם זה לא כל כך מסובך: ההאקר מסוגל לחדור לנו אל הטלפון ולחטט לנו בחיים הפרטים כאוות נפשו. החדשות הרעות: תוכנות ההגנה והאנטי וירוסים הקיימים לא תמיד יצליחו לעצור בעדם. החדשות הטובות: כדי להתגונן מפני רוב המתקפות, יש צורך רק בזהירות, ערנות, מודעות ומעט היגיון בריא.

כדי להבין את הבעיה לעומקה, הזמנו את יאיר עמית, יוצא יחידה 8200 ומייסד שותף וסמנכ״ל הטכנולוגיות של חברת סקייקיור, אחת מחברות הסטארטאפ הבולטות בישראל שעוסקות בתחום אבטחת מידע עבור טלפונים ניידים. על עמית הטלנו משימה חריגה: לגלם את תפקידו של האקר מרושע, שרוצה לפרוץ לטלפונים החכמים של כמה נסיינים, שלכולם טלפונים מאובטחים שקיבלו ממקום העבודה, ומעוניין לחטט בחייהם הפרטיים ולשלוף מהם כל בדל מידע אפשרי.

לצורך כך עושה עמית שימוש בכלי מיוחד שפותח בסקייקיור למטרות הדגמה בלבד, המאפשר להשתיל תוכנות זדוניות לטלפונים ניידים. הכלי הזה מדמה את הכלים הנפוצים בידיהם של האקרים כיום.

מטרת הבדיקה שערכנו היא לא להפחיד, אבל חשוב להעלות את המודעות ולהמחיש עד כמה המידע שלנו עלול להיות פרוץ אם לא מקפידים על כמה כללי זהירות בסיסיים/

סיבוב ראשון: ההאקר נגד סמארטפון אנדרואיד

עמית מתחיל עם הקורבן הקל: סמארטפון סמסונג גלקסי S4 של הנסיין הראשון. עמית מגלם את ההאקר המרושע, והעורך את הקורבן חסר הישע. הדבר הראשון והבסיסי ביותר שההאקר זקוק לו הוא מספר הטלפון של הקורבן, או לחילופין כתובת המייל שלו ואפילו את חשבון הפייסבוק שלו. זו לא בעיה עבור האקרים: מאגרים כאלה מסתובבים ונמכרים ברשת לכל דורש.

הפעם וויתרנו על השלב הזה, ופשוט ביקשנו מהנסיין את מספר הטלפון שלו. עמית מקליד את מספר הסלולרי למחשב שלו, ומיד הגלקסי מצפצף: הודעת סמס הגיעה. ההודעה, תמימה למראה, מזמינה אותו להוריד אפליקצייה פופולארית להזמנת מוניות. לחיצה על הלינק והאפליקציה מותקנת. הכל נראה לגיטימי: מפעילים את האפליקציה ואפשר להזמין מוניות.

אך לפתע, בין רגע, מופיע על המסך של עמית, ההאקר כביכול, מידע מוכר: אנשי הקשר מהטלפון, פגישות מהיומן, שיחות ומה לא.

מה קרה כאן? על פני השטח, מדובר באפליקציה עצמה שפועלת כרגיל באופן תקין. אך לתוכה "הוזרק" קוד זדוני המאפשר להאקר

אנחנו מבצעים ניסיון דומה על מכשיר אנדרואיד נוסף של נסיין שני, סמארטפון גלקסי מוגן בקוד סודי ומאובטח בתוכנת אנטי

תוכנת האנטי וירוס שמותקנת על הסמארטפון סורקת את האפליקציה, אך היא לא מזהה את האיום ומודיעה ללא היסוס: "האפליקציה בטוחה לשימוש". עמית מסביר: "רוב תוכנות האנטי וירוס יודעות להזהיר רק מפני וירוסים ידועים ומוכרים. כאן מדובר באיום חדש, שאינו מוכר, ולכן הוא עובר מתחת לרדאר".

סיבוב שני: ההאקר נגד אייפון

מערכת האנדרואיד ידועה כמערכת פתוחה וקלה לפריצה מצד האקרים. אבל מה עם האייפון? הרי ידוע שאי אפשר להתקין על האייפון אפליקציות שלא אושרו ונבדקו על ידי אפל, וקשה מאוד לחדור את המכשיר, שנחשב לבטוח ומוגן מאוד. אך בסקייקיור מצאו שהאקרים מסוגלים לעקוף גם את ההגנות הללו, על ידי זיוף "פרופילים" (תכונה באייפון המאפשרת לשנות הגדרות מסוימות, ונעשה בה שימוש על ידי ספקיות הסלולר, למשל).

האייפון של נסיינית שלישי מנודב להיות הקורבן. התרחיש: אנחנו רוצים לצפות בסדרה לצפייה ישירה ברשת. אנו גולשים לאתר שמציג כפתור גדול ומזמין: "לחץ כאן כדי לגשת לסרטים". לחיצה, ומסך חדש נפתח – שבו אנו מתבקשים "להתקין פרופיל" בשם "סרטים בחינם". סימן V ירוק ומרגיע מאשר לנו שמדובר בפרופיל מאומת. בגלל שאין לנו שמץ של מושג מה זה "להתקין פרופיל", אנחנו לא מהססים ומאשרים אותו; תנו כבר לצפות בסדרה.

אך כמובן ששום סדרה לא הוקרנה על המסך: למעשה, התוקף המדומה הצליח לחדור לנו לאייפון, וכעת הוא יכול לנטר בזמן אמת את כל הפעולות שאנו מבצעים ואפילו לשלוט בו מרחוק. לנגד עינינו עמית מקליד במחשב שלו – והמילים מופיעות על מסך האייפון. כל דבר, כתובת, שמות משתמש וסיסמא שנקליד באייפון, נחשפים מיד לנגד עיניו. הוא יכול לראות ססמאות וחשבונות של אתרי בנק או חברות אשראי, גם באתרים מאובטחים. הוא יכול לראות את המייל האישי ואת הסיסמא שלו. הוא אפילו נכנס לחשבון הפייסבוק של הנסיינית וכותב בשמה סטטוס מביך.

כך תתגוננו

החדשות הטובות הן שברוב המקרים, כדי להתקין אפליקציות זדוניות על הטלפון הנייד שלנו, ההאקרים זקוקים לאישור שלנו. לכן הם משתמשים בפתיונות (כמו סמס או מייל המזמינים להוריד אפליקציה) כדי לשכנע אותנו להוריד את האפליקציה הנגועה למכשיר. כך, למעשה, אנחנו אלה שפותחים את הדלת בפני הוירוסים והרוגלות. לכן, מומלץ קודם כל להוריד אפליקציות ומשחקים רק מחנויות האפליקציות המסודרות:  גוגל פליי ואפסטור. תהיו חשדניים: לחשוב פעמיים לפני שמתקינים משחקים או אפליקציות ממקומות אחרים, לא סטנדרטיים, אפילו אם הם הגיעו בסמס או מייל ממנהל או חבר. להאקרים אין בעיה לזייף את מקור הסמס, להסוות את עצמם לאנשי הקשר שלכם ולשלוח סמס כבכיכול בשם מישהו שאתם מכירים. יש לכם מכשיר אנדרואיד? וודאו שלא ניתן להתקין אפליקציות ממקורות לא ידועים. בתפריט ההגדרות תחת פונקציה "אבטחה", הסירו את סימון ה-V מהפונקציה "מקורות בלתי ידועים".

בנוסף, אם יש לכם אנדרואיד, כדאי להתקין אפליקציית אנטי וירוס על הטלפון הנייד – שתסייע להתגונן כנגד חלק מהאיומים, כמו AVG או Lookout החינמיות.

אך כמו שראינו, האפליקציות הללו לא תמיד מזהות את האיומים. לדברי עמית, תוכנת ההגנה שפיתחו בסקייקיור מסוגלת לזהות

מודעות פרסומת
Post a comment or leave a trackback: Trackback URL.

להשאיר תגובה

הזינו את פרטיכם בטופס, או לחצו על אחד מהאייקונים כדי להשתמש בחשבון קיים:

הלוגו של WordPress.com

אתה מגיב באמצעות חשבון WordPress.com שלך. לצאת מהמערכת / לשנות )

תמונת Twitter

אתה מגיב באמצעות חשבון Twitter שלך. לצאת מהמערכת / לשנות )

תמונת Facebook

אתה מגיב באמצעות חשבון Facebook שלך. לצאת מהמערכת / לשנות )

תמונת גוגל פלוס

אתה מגיב באמצעות חשבון Google+ שלך. לצאת מהמערכת / לשנות )

מתחבר ל-%s

%d בלוגרים אהבו את זה: