S3 Ep111: ความเสี่ยงทางธุรกิจของ “การปลดตัวกรองภาพเปลือย” ที่ไม่สุภาพ [เสียง + ข้อความ]

คลิกแล้วลากบนคลื่นเสียงด้านล่างเพื่อข้ามไปยังจุดใดก็ได้ นอกจากนี้คุณยังสามารถ ฟังโดยตรง บนซาวด์คลาวด์

ดั๊ก.  การปราบปราม, Zero-days และ Tik Tok โป๊

ทั้งหมดนั้นและอีกมากมายในพอดแคสต์ Naked Security

[โมเด็มดนตรี]

ยินดีต้อนรับสู่พอดคาสต์ทุกคน

ฉัน Doug Aamoth; เขาคือพอล ดักคลิน

พอล ขออภัยเสียงของฉัน

ฉันไม่สบาย แต่ฉันรู้สึกจิตใจเฉียบแหลม!

---

เป็ด.  สุดยอดดั๊ก

ตอนนี้ ฉันหวังว่าคุณจะมีวันหยุดสุดสัปดาห์ที่ดี และหวังว่าคุณจะทำวัน Black Fridaying ที่ยอดเยี่ยม

---

ดั๊ก.  ฉันมีลูกมากเกินกว่าจะทำอะไรสนุกๆ ได้… พวกเขายังเด็กเกินไป

แต่เราได้รับสองสิ่งในวัน Black Friday ทางอินเทอร์เน็ต

เพราะฉันไม่รู้ ฉันจำไม่ได้ว่าครั้งสุดท้ายที่ฉันไปร้านค้าปลีกครั้งล่าสุดเป็นอย่างไร แต่วันหนึ่งฉันจะกลับไป

---

เป็ด.  ฉันคิดว่าคุณจบ Black Friday ตั้งแต่คุณถูกขัดขวางไม่ให้ซื้อ Nintendo Wii ในศตวรรษที่ 18 ดั๊ก?

---

ดั๊ก.  ที่จริงใช่

นั่นกำลังเดินเตาะแตะไปที่แถวหน้า และผู้หญิงบางคนพูดว่า “คุณต้องการตั๋ว” เมื่อเห็นว่าแถวยาวแค่ไหนและพูดว่า “ตกลง นี่ไม่ใช่ที่สำหรับฉัน”

---

เป็ด.  [หัวเราะ] ตั๋วน่าจะเป็นเพียงเพื่อ *เข้า* คิว... จากนั้นคุณจะพบว่าพวกเขาเหลืออยู่จริงหรือไม่

---

ดั๊ก.  ใช่ และพวกเขาก็ไม่… สปอยล์!

---

เป็ด.  “เซอร์กำลังเข้าร่วมคิวล่วงหน้าเท่านั้น”

---

ดั๊ก.  ใช่.

เลยไม่รู้สึกอยากสู้กับคนหมู่มาก

ภาพทั้งหมดที่คุณเห็นในข่าว...นั้นจะไม่มีวันเป็นฉัน

เราชอบที่จะเริ่มการแสดงด้วย สัปดาห์นี้ในประวัติศาสตร์เทคโนโลยี ส่วน และเรามีคุณลักษณะสองครั้งในสัปดาห์นี้ พอล

เมื่อวันที่ 28 พฤศจิกายน พ.ศ. 1948 กล้องโพลารอยด์ Land รุ่น 95 วางจำหน่ายที่ห้างสรรพสินค้า Jordan Marsh ในเมืองบอสตัน

เป็นกล้อง Instant เชิงพาณิชย์ตัวแรกในปี 1948

และแล้ววันหนึ่ง (และอีกหลายปีต่อมา) คือวันที่ 29 พฤศจิกายน พ.ศ. 1972 Atari ได้เปิดตัวผลิตภัณฑ์แรกของบริษัท นั่นคือเกมเล็ก ๆ ชื่อ PONG

---

เป็ด.  เมื่อคุณแจ้งความประสงค์ที่จะประกาศให้กล้องแลนด์เป็น ประวัติเทคโนโลยีฉันคิดว่า… “มันคือปี 1968”

อาจจะเร็วกว่านั้นเล็กน้อย - อาจจะในช่วงปลายทศวรรษ 1950 ซึ่งเป็นยุคของ "ยุคสปุตนิก"

1948 เอ๊ะ?

ว้าว!

การย่อส่วนที่ยอดเยี่ยมสำหรับเวลานั้น

หากคุณคิดว่าคอมพิวเตอร์ยังใหญ่แค่ไหน ไม่ใช่แค่ว่าพวกเขาต้องการห้อง แต่พวกเขาต้องการอาคารขนาดใหญ่ของตัวเองด้วย!

และนี่คือกล้องที่เกือบจะมหัศจรรย์ – เคมีในมือคุณ

พี่ชายของฉันมีหนึ่งในนั้นตอนที่ฉันยังเป็นเด็ก และฉันจำได้ว่ารู้สึกทึ่งกับมันมาก

แต่ดั๊กไม่แปลกใจเท่าตอนที่เขาพบว่าฉันถ่ายภาพซ้ำซ้อนสองสามภาพเพื่อดูว่ามันทำงานอย่างไร

เพราะแน่นอนว่าเขาเป็นคนจ่ายค่าภาพยนตร์เรื่องนี้ [หัวเราะ]

ซึ่งไม่ถูกมากเท่ากับฟิล์มในกล้องทั่วไป

---

ดั๊ก.  ไม่ครับท่าน!

เรื่องแรกของเราเป็นแนวอิงประวัติศาสตร์อีกเรื่องหนึ่ง

นี่คือหนอนต้นคริสต์มาสในปี 1987 หรือที่เรียกว่า CHRISTMA EXEC ซึ่งเขียนด้วยภาษาสคริปต์ REXX:

เวิร์มเครือข่าย CHRISTMA EXEC – 35 ปีและเพิ่มขึ้นเรื่อย ๆ!

REXX… ฉันไม่เคยได้ยินเรื่องนี้มาก่อน

มันวาดต้นคริสต์มาสแบบ ASCII และแพร่กระจายทางอีเมล ทำให้เกิดการหยุดชะงักครั้งใหญ่กับเมนเฟรมทั่วโลก และเป็นตัวตั้งต้นของ Miluji tě,en ไวรัสที่ส่งผลกระทบต่อพีซีของ IBM

---

เป็ด.  ฉันคิดว่าผู้คนจำนวนมากประเมินทั้งขอบเขตของเครือข่ายของ IBM ในช่วงปี 1980 และพลังของภาษาสคริปต์ที่มีให้ เช่น REXX ต่ำเกินไป

คุณเขียนโปรแกรมเป็นข้อความธรรมดาๆ – คุณไม่จำเป็นต้องใช้คอมไพเลอร์ มันเป็นเพียงไฟล์

และถ้าคุณตั้งชื่อไฟล์แปดอักขระ ดังนั้น CHRISTMA ไม่ใช่ CHRISTMAS (แม้ว่าคุณจะสามารถ *พิมพ์* CHRISTMAS ได้ เพราะมันจะไม่สนใจ -S)...

…และถ้าคุณตั้งชื่อไฟล์นามสกุล EXEC (เช่น: CHRISTMA [space] EXEC) เมื่อคุณพิมพ์คำว่า “Christmas” ที่บรรทัดคำสั่ง มันจะทำงาน

มันควรจะเป็นการยิงเตือนที่คันธนูทั้งหมดของเรา แต่ฉันคิดว่ามันให้ความรู้สึกว่ามีแสงวาบเล็กน้อยในกระทะ

จนกระทั่งหนึ่งปีต่อมา…

…แล้ว Internet Worm, Doug ก็มาถึง ซึ่งแน่นอนว่าโจมตีระบบ Unix และแพร่กระจายไปทั่ว:

ความทรงจำของหนอนอินเทอร์เน็ต – 25 ปีต่อมา

และในตอนนั้น ฉันคิดว่าเราทุกคนตระหนักว่า "เอ่อ ฉากไวรัสและเวิร์มนี้อาจสร้างปัญหาได้พอสมควร"

ใช่แล้ว CHRISTMA EXEC… ง่ายมาก

มันวางต้นคริสต์มาสและนั่นหมายถึงสิ่งที่ทำให้ไขว้เขว

คุณดูที่ต้นคริสต์มาส ดังนั้นคุณอาจไม่ได้สังเกตเห็นสัญญาณเล็กๆ น้อยๆ ที่ด้านล่างของเทอร์มินัล IBM 3270 ของคุณที่แสดงกิจกรรมของระบบทั้งหมด จนกระทั่งคุณเริ่มได้รับข้อความต้นคริสต์มาสเหล่านี้กลับมาจากผู้คนหลายสิบคน

[เสียงหัวเราะ]

และมันก็ดำเนินไป เรื่อยไป เรื่อยไป

“สุขสันต์วันคริสต์มาสและความปรารถนาดีของฉันในปีหน้า” มันพูดทั้งหมดด้วยศิลปะ ASCII หรือบางทีฉันควรจะพูดว่าศิลปะ EBCDIC

มีความคิดเห็นที่ด้านบนของซอร์สโค้ด: "ปล่อยให้ EXEC นี้ทำงานและสนุกกับตัวเอง"

และถัดลงมาเล็กน้อย มีข้อความระบุว่า: “การเรียกดูไฟล์นี้ไม่สนุกเลย”

ซึ่งแน่นอนว่าถ้าคุณไม่ใช่โปรแกรมเมอร์ก็เป็นเรื่องจริง

และข้างใต้เขียนว่า “เพียงพิมพ์ Christmas จาก command prompt”

ดังนั้น เช่นเดียวกับมัลแวร์แมโครสมัยใหม่ที่บอกกับผู้ใช้ว่า “เฮ้ มาโครถูกปิดใช้งาน แต่เพื่อความปลอดภัยเป็นพิเศษของคุณ คุณต้องเปิดใช้อีกครั้ง… ทำไมไม่คลิกปุ่มล่ะ มันง่ายกว่ามากด้วยวิธีนั้น”

เมื่อ 35 ปีที่แล้ว [LAUGHS] ผู้เขียนมัลแวร์ได้เข้าใจแล้วว่าหากคุณขอให้ผู้ใช้ทำบางสิ่งที่ไม่สนใจเลย พวกเขาบางคน หรือหลายคนอาจทำอย่างนั้น

เมื่อคุณอนุญาตแล้ว มันก็สามารถอ่านไฟล์ของคุณได้ และเนื่องจากมันสามารถอ่านไฟล์ของคุณได้ มันจึงสามารถรับรายชื่อคนทั้งหมดที่คุณติดต่อด้วยตามปกติจากชื่อเล่นหรือไฟล์ NAMES ของคุณและระเบิดตัวเองออกไปยัง ทั้งหมด.

---

ดั๊ก.  ฉันไม่ได้บอกว่าฉันพลาดครั้งนี้ แต่มีบางอย่างที่น่าปลอบใจอย่างประหลาด เมื่อ 20 ปีที่แล้ว Hotmail ก็เริ่มทำงานและเห็นอีเมลหลายร้อยฉบับจากผู้คนที่มีฉันอยู่ในรายชื่อผู้ติดต่อ...

… และเพียงแค่ *รู้* ว่ามีบางอย่างเกิดขึ้น

เช่น “มีหนอนชอนไชไปทั่ว” เพราะฉันได้รับอีเมลจำนวนมากจากผู้คนที่นี่

---

เป็ด.  คนที่คุณไม่เคยได้ยินมาเป็นเวลาสองสามปี… ทันใดนั้นพวกเขาจะอยู่ทั่วกล่องจดหมายของคุณ!

---

ดั๊ก.  ตกลง เรามาเริ่มกันที่สิ่งใหม่ สู่ยุคปัจจุบันกันเถอะ...

…และ TikTok “Invisible Challenge” นี้:

มัลแวร์ลามก TikTok “Invisible Challenge” ทำให้เราทุกคนตกอยู่ในความเสี่ยง

ซึ่งโดยพื้นฐานแล้วเป็นฟิลเตอร์บน TikTok ที่คุณนำไปใช้ได้ซึ่งทำให้คุณดูเหมือนล่องหน… แน่นอน สิ่งแรกที่ผู้คนทำคือ “ทำไมฉันไม่ถอดเสื้อผ้าออกทั้งหมดแล้วดูว่ามันทำให้ฉันล่องหนจริง ๆ ไหม”

และแน่นอน พวกสแกมเมอร์หลายๆ คนก็จะประมาณว่า "มาสร้างซอฟต์แวร์ปลอมที่จะ 'มองไม่เห็น' คนเปลือยกายกันเถอะ"

ฉันมีสิทธิ์นั้นไหม

---

เป็ด.  ใช่ น่าเศร้าที่ดั๊ก นั่นก็มีทั้งเรื่องยาวและเรื่องสั้น

และน่าเสียดายที่สิ่งนี้พิสูจน์แล้วว่าเป็นสิ่งล่อใจที่ดึงดูดใจผู้คนจำนวนมากทางออนไลน์

คุณได้รับเชิญให้เข้าร่วมช่อง Discord นี้เพื่อหาข้อมูลเพิ่มเติม... และเพื่อไปต่อ คุณต้องกดถูกใจเพจ GitHub

ทั้งหมดนี้คือคำทำนายที่สำเร็จด้วยตนเอง….

---

ดั๊ก.  ส่วนหนึ่งของมันคือ (ฉันเกลียดที่จะใช้ B-word [brilliant])… แง่มุมนั้นเกือบจะคู่ควรกับ B-word เพราะคุณกำลังทำให้โครงการนอกกฎหมายนี้ถูกต้องตามกฎหมาย เพียงแค่ทุกคนโหวตให้
.

---

เป็ด.  แน่นอน!

“โหวตก่อน แล้ว *จากนั้น* เราจะบอกคุณทั้งหมดเกี่ยวกับมัน เพราะแน่นอนว่ามันจะดีมาก เพราะ 'หนังโป๊ฟรี'”

และตัวโปรเจกต์เองนั้นล้วนเป็นเรื่องโกหก – มันแค่เชื่อมโยงผ่านไปยังที่เก็บอื่นๆ (และนั่นเป็นเรื่องปกติในฉากโอเพ่นซอร์สซัพพลายเชน)… พวกมันดูเหมือนโปรเจ็กต์ที่ถูกกฎหมาย แต่โดยพื้นฐานแล้วมันเป็นการโคลนโปรเจ็กต์ที่ถูกกฎหมายด้วยอันเดียว เปลี่ยนบรรทัดที่ทำงานระหว่างการติดตั้ง

ซึ่งเป็นธงสีแดงขนาดใหญ่โดยวิธีการที่แม้ว่าสิ่งนี้จะไม่ได้มีธีมโป๊ 'คนเปลื้องผ้าที่ไม่ตั้งใจ' ที่ไม่สุภาพอยู่ในนั้น

คุณสามารถลงเอยด้วยซอฟต์แวร์ที่ถูกกฎหมาย ติดตั้งจริงจาก GitHub แต่ขั้นตอนของการติดตั้ง ตอบสนองการพึ่งพาทั้งหมด ดึงข้อมูลบิตทั้งหมดที่คุณต้องการ… *กระบวนการนั้น* เป็นสิ่งที่แนะนำมัลแวร์

และนั่นคือสิ่งที่เกิดขึ้นที่นี่

มี Python หนึ่งบรรทัดที่สับสน เมื่อคุณถอดรหัสซอร์สโค้ดที่สร้างความสับสน โดยทั่วไปแล้วจะเป็นโปรแกรมดาวน์โหลดที่จะไปและดึงข้อมูล Python เพิ่มเติม ซึ่งเป็นการรบกวนขั้นสูง ดังนั้นจึงไม่ชัดเจนเลยว่ามันใช้ทำอะไร

โดยพื้นฐานแล้วแนวคิดคือให้มิจฉาชีพติดตั้งอะไรก็ได้ที่พวกเขาต้องการ เพราะตัวดาวน์โหลดนั้นไปที่เว็บไซต์ที่มิจฉาชีพควบคุม ดังนั้นพวกเขาจึงสามารถใส่อะไรก็ได้ที่พวกเขาต้องการเพื่อดาวน์โหลด

และดูเหมือนว่ามัลแวร์หลักที่อาชญากรต้องการติดตั้ง (แม้ว่าพวกเขาจะติดตั้งอะไรก็ได้) เป็นโทรจันที่ขโมยข้อมูลตามโครงการ WASP…

…ซึ่งโดยพื้นฐานแล้วจะตามหลังไฟล์ที่น่าสนใจในคอมพิวเตอร์ของคุณ โดยเฉพาะอย่างยิ่งรวมถึงสิ่งต่าง ๆ เช่น กระเป๋าเงินคริปโตคอยน์ บัตรเครดิตที่เก็บไว้ และที่สำคัญ (คุณอาจเดาได้ว่าสิ่งนี้เกิดขึ้นที่ไหน!) รหัสผ่าน Discord ข้อมูลรับรอง Discord ของคุณ

และเรารู้ว่าทำไมอาชญากรถึงชอบรหัสผ่านโซเชียลมีเดียและข้อความโต้ตอบแบบทันที

เพราะเมื่อพวกเขาได้รับรหัสผ่านของคุณแล้ว พวกเขาก็จะสามารถติดต่อกับเพื่อน ครอบครัว และเพื่อนร่วมงานในกลุ่มปิดได้โดยตรง...

…เชื่อได้เลยว่าพวกมันจะต้องได้รับอัตราความสำเร็จในการหลอกล่อเหยื่อรายใหม่ได้ดีกว่าที่พวกเขาทำด้วยการสเปรย์และอธิษฐาน เช่น อีเมลหรือ SMS

---

ดั๊ก.  ตกลง เราจะจับตาดูสิ่งนั้น – มันยังคงพัฒนาอยู่

แต่สุดท้ายก็มีข่าวดี: การหลอกลวง “Cryptorom” ซึ่งเป็นกลลวงแบบเข้ารหัสลับ/โรแมนติก…

…เรามีการจับกุม การจับกุมครั้งใหญ่ ใช่ไหม?

ยึดเว็บไซต์หลอกลวง CryptoRom มูลค่าหลายล้านดอลลาร์ ผู้ต้องสงสัยถูกจับกุมในสหรัฐอเมริกา

---

เป็ด.  ใช่.

สิ่งนี้ได้รับการประกาศโดยกระทรวงยุติธรรมของสหรัฐอเมริกา [DOJ]: เจ็ดไซต์ที่เกี่ยวข้องกับการหลอกลวง Cryptorom ถูกลบออก

และรายงานนั้นเชื่อมโยงกับข้อเท็จจริงที่ว่า ฉันคิดว่าเมื่อเร็วๆ นี้มีคน 11 คนถูกจับกุมในสหรัฐฯ

ตอนนี้ Cryptorom เป็นชื่อที่นักวิจัยของ SophosLabs ตั้งให้กับแผนการก่ออาชญากรรมทางไซเบอร์นี้โดยเฉพาะ เพราะอย่างที่คุณพูด มันผสมผสานกับแนวทางที่พวกโรแมนซ์สแกมเมอร์ใช้ (เช่น ค้นหาคุณในเว็บไซต์หาคู่ สร้างโปรไฟล์ปลอม กลายเป็นเพื่อนกับคุณ) ด้วยการหลอกลวง cryptocurrency

แทนที่จะเป็น “เฮ้ ฉันอยากให้คุณตกหลุมรักฉัน ขอแต่งงาน; ตอนนี้ส่งเงินมาให้ฉันเพื่อขอวีซ่า” หลอกลวง…

…โจรว่า “บางทีเราอาจจะไม่ได้เป็นสิ่งของ แต่เรายังเป็นเพื่อนที่ดี [DRAMATIC VOICE] ฉันมีโอกาสลงทุนสำหรับคุณไหม!”

ทันใดนั้นรู้สึกเหมือนมาจากคนที่คุณไว้ใจได้

เป็นการหลอกลวงที่เกี่ยวข้องกับการบอกให้คุณติดตั้งแอปนอกตลาด แม้ว่าคุณจะมี iPhone ก็ตาม

“มันยังอยู่ระหว่างการพัฒนา มันใหม่มาก; คุณสำคัญมาก คุณอยู่ที่แกนกลางของมัน มันยังอยู่ระหว่างการพัฒนา ดังนั้นให้ลงทะเบียนสำหรับ TestFlight ซึ่งเป็นโปรแกรมเบต้า”

หรือพวกเขาจะพูดว่า “โอ้ เราเผยแพร่ให้กับผู้ที่เข้าร่วมธุรกิจของเราเท่านั้น ดังนั้น ให้เราควบคุมการจัดการอุปกรณ์เคลื่อนที่ (MDM) บนโทรศัพท์ของคุณ จากนั้นคุณสามารถติดตั้งแอปนี้ได้ [เสียงลับ] และอย่าบอกเรื่องนี้กับใคร มันจะไม่อยู่ในแอพสโตร์ คุณคือคนพิเศษ."

และแน่นอน แอปนี้ดูเหมือนแอปซื้อขายสกุลเงินดิจิทัล และได้รับการสนับสนุนด้วยกราฟที่ดูน่ารักที่เพิ่มสูงขึ้นอย่างน่าประหลาด Doug

การลงทุนของคุณไม่เคยลดลงเลยจริงๆ… แต่ทั้งหมดนั้นเป็นเรื่องโกหก

จากนั้นเมื่อคุณต้องการเงินออก (โดยทั่วไปคือ Ponzi หรือกลอุบายแบบปิรามิด) บางครั้งพวกเขาจะให้คุณถอนเงินออกมาเล็กน้อย… คุณกำลังทดสอบ ดังนั้นคุณจึงถอนออกเล็กน้อยและคุณจะได้รับมัน กลับ.

แน่นอนว่าพวกเขาแค่ให้เงินที่คุณคืนไปแล้วหรือบางส่วน

---

ดั๊ก.  [เศร้า] ใช่

---

เป็ด.  แล้วการลงทุนของคุณก็เพิ่มขึ้น!

จากนั้นพวกเขาก็จัดการคุณ: "ลองนึกภาพถ้าคุณยังไม่ได้ถอนเงินนั้น ทำไมคุณไม่ใส่เงินคืนเข้าไปล่ะ? เฮ้ เราจะให้คุณยืมเงินเพิ่มด้วยซ้ำ เราจะใส่บางอย่างกับคุณ และทำไมไม่รับเพื่อนของคุณเข้ามา? เพราะบางสิ่งที่ยิ่งใหญ่กำลังจะมา!”

ดังนั้นคุณจึงใส่เงินเข้าไป และเรื่องใหญ่ก็เกิดขึ้น เช่น ราคาพุ่งสูงขึ้น และคุณจะพูดว่า “ว้าว ฉันดีใจมากที่ได้นำเงินที่ฉันถอนออกไปลงทุนใหม่!”

และคุณยังคงคิดว่า “การที่ฉันถอนตัวได้นั้นต้องหมายความว่าคนเหล่านี้ถูกต้องตามกฎหมาย”

แน่นอนว่าไม่ใช่ – เป็นเพียงการโกหกที่ใหญ่โตกว่าที่เคยเป็นในตอนแรก

และในที่สุดเมื่อคุณคิดว่า “ฉันควรจะถอนเงินออกมาดีกว่า” ทันใดนั้นก็มีปัญหาทุกประเภท

“มีภาษี” ดั๊ก “มีภาษีหัก ณ ที่จ่ายของรัฐบาล”

แล้วคุณก็พูดว่า “ตกลง ฉันจะตัดส่วนบนออก 20%”

จากนั้นเรื่องราวก็คือ “อันที่จริง ไม่ใช่ *ในทางเทคนิค* ภาษีหัก ณ ที่จ่าย” (ซึ่งเป็นที่ที่พวกเขาแค่เอาเงินออกจากผลรวมและให้ส่วนที่เหลือแก่คุณ)

“อันที่จริง บัญชีของคุณถูก *ระงับ* ดังนั้นรัฐบาลจึงไม่สามารถระงับเงินได้”

คุณต้องจ่ายภาษี ... จากนั้นคุณจะได้รับเงินคืนทั้งหมด

---

ดั๊ก.  [WINCING] โอ้ พระเจ้า!

---

เป็ด.  คุณควรได้กลิ่นหนู ณ จุดนี้… แต่พวกมันอยู่รอบตัวคุณ พวกเขากดดันคุณ พวกเขากำลังกำจัดวัชพืช ถ้าไม่กำจัดวัชพืช พวกเขากำลังบอกคุณว่า “คุณอาจมีปัญหาได้ รัฐบาลอาจตามล่าคุณ!”

ผู้คนกำลังใส่ 20% และตามที่ฉันเขียน [ในบทความ] ฉันหวังว่าจะไม่หยาบคาย: จบเกม ใส่เหรียญเพื่อเริ่มเกมใหม่

ในความเป็นจริง คุณอาจได้รับการติดต่อในภายหลังจากใครบางคนที่น่าอัศจรรย์ ดั๊ก พูดว่า “เฮ้ คุณถูกกลโกง Cryptorom หรือไม่? ฉันกำลังตรวจสอบอยู่ และสามารถช่วยให้คุณได้เงินคืน”

เป็นเรื่องที่แย่มากเพราะทุกอย่างเริ่มต้นด้วยส่วน "rom" [ความโรแมนติก]

จริงๆ แล้วพวกเขาไม่ได้ตามหาเรื่องรักๆ ใคร่ๆ แต่พวกเขา *ตามหามิตรภาพที่มากพอจนคุณรู้สึกว่าไว้ใจได้

คุณกำลังเข้าสู่สิ่งที่ "พิเศษ" อย่างแท้จริง นั่นคือสาเหตุที่เพื่อนและครอบครัวของคุณไม่ได้รับเชิญ

---

ดั๊ก.  เราเคยพูดถึงเรื่องนี้มาหลายครั้งแล้ว รวมถึงคำแนะนำซึ่งอยู่ในบทความที่นี่

การลงจากหลังม้า [รายการหลัก] ในคอลัมน์คำแนะนำคือ: รับฟังเพื่อนและครอบครัวของคุณอย่างเปิดเผยหากพวกเขาพยายามเตือนคุณ

สงครามจิตวิทยาเหมือนเดิม!

---

เป็ด.  จริง

และอันดับสองก็เป็นสิ่งที่ควรจำเช่นกัน: อย่าหลงกลเพราะคุณไปที่เว็บไซต์ของสแกมเมอร์และดูเหมือนว่าจะเป็นของจริง.

คุณคิดว่า "Golly พวกเขาสามารถจ่ายนักออกแบบเว็บไซต์มืออาชีพได้จริงหรือ"

แต่ถ้าคุณดูว่าคนเหล่านี้ทำเงินได้มากแค่ไหน: [A] ใช่ พวกเขาทำได้ และ [B] พวกเขาไม่จำเป็นด้วยซ้ำ

มีเครื่องมือมากมายที่สร้างเว็บไซต์คุณภาพสูงและเป็นมิตรกับสายตาด้วยกราฟเรียลไทม์ ธุรกรรมเรียลไทม์ เว็บฟอร์มสวยงามที่ดูมีมนต์ขลัง...

---

ดั๊ก.  เผง

ทุกวันนี้เป็นเรื่องยากที่จะสร้างเว็บไซต์ที่ดู *แย่*

คุณต้องพยายามให้มากขึ้น!

---

เป็ด.  จะมีใบรับรอง HTTPS; มันจะมีชื่อโดเมนที่ดูถูกต้องตามกฎหมาย และแน่นอน ในกรณีนี้ มันมาพร้อมกับแอป *ที่เพื่อนของคุณไม่สามารถชำระเงินให้คุณด้วยการดาวน์โหลดเอง* จาก App Store และพูดว่า “คุณกำลังคิดอะไรอยู่เนี่ย”

เพราะมันเป็น "แอปลับพิเศษ" ผ่านช่องทาง "พิเศษสุด" ที่ทำให้มิจฉาชีพหลอกคุณได้ง่ายขึ้นโดยดูดีมากเกินพอ

ดังนั้นดูแลคน!

---

ดั๊ก.  ระวังตัวด้วย!

และเรามาต่อกันที่เรื่องการปราบปราม

นี่เป็นการปราบปรามครั้งใหญ่อีกเรื่องหนึ่ง – เรื่องนี้น่าสนใจมากสำหรับฉัน ดังนั้นฉันจึงสนใจที่จะฟังว่าคุณไขมันอย่างไร:

เว็บไซต์หลอกลวงด้วยเสียง “iSpoof” ถูกยึด 100 คนถูกจับกุมในการปราบปรามครั้งใหญ่

นี่คือเว็บไซต์สแกมมิ่งด้วยเสียงที่เรียกว่า iSspoof… และฉันก็ตกใจที่มันได้รับอนุญาตให้ดำเนินการได้

นี่ไม่ใช่เว็บไซต์มืด แต่เป็นเว็บปกติ

---

เป็ด.  ฉันเดาว่าหากไซต์ของคุณกำลังทำอยู่ “เราจะให้บริการ Voice Over IP [VoIP] แก่คุณด้วยมูลค่าเพิ่มที่ยอดเยี่ยม ซึ่งรวมถึงการตั้งค่าหมายเลขโทรศัพท์ของคุณเอง”...

…หากพวกเขาไม่พูดอย่างเปิดเผยว่า “เป้าหมายหลักของสิ่งนี้คือการก่ออาชญากรรมทางไซเบอร์” ก็อาจไม่มีภาระผูกพันทางกฎหมายสำหรับบริษัทโฮสติ้งที่จะต้องปิดเว็บไซต์

และถ้าคุณเป็นเจ้าภาพด้วยตัวเองและคุณเป็นคนโกง ... ฉันเดาว่ามันค่อนข้างยาก

ฉันเชื่อว่าต้องมีคำสั่งศาลในท้ายที่สุด ซึ่งได้รับมาจาก FBI และดำเนินการโดยกระทรวงยุติธรรม เพื่อไปอ้างสิทธิ์ในโดเมนเหล่านั้นและตั้ง [ข้อความว่า] “โดเมนนี้ถูกยึดแล้ว”

ดังนั้นมันจึงเป็นการดำเนินการที่ค่อนข้างยาวนาน อย่างที่ฉันเข้าใจ แค่พยายามที่จะอยู่เบื้องหลังสิ่งนี้

ปัญหาคือมันง่ายมากสำหรับคุณที่จะเริ่มต้นบริการหลอกลวง โดยเมื่อคุณโทรหาใครบางคน โทรศัพท์ของพวกเขาจะเด้งขึ้นมาพร้อมชื่อธนาคาร High Street ที่พวกเขาได้ป้อนลงในรายชื่อผู้ติดต่อทางโทรศัพท์ *เว็บไซต์ของธนาคาร*

เนื่องจากน่าเศร้าที่มีการรับรองความถูกต้องเพียงเล็กน้อยหรือไม่มีเลยในโปรโตคอล Caller ID หรือ Calling Line Identification

หมายเลขเหล่านั้นที่ปรากฏขึ้นก่อนที่คุณจะรับสาย?

พวกเขาไม่ได้ดีไปกว่าคำใบ้ ดั๊ก

แต่โชคไม่ดีที่ผู้คนมองว่ามันเป็นความจริงแบบหนึ่งของข่าวประเสริฐ: “มันบอกว่าเป็นธนาคาร ใครจะปลอมแปลงได้อย่างไร ต้องเป็นธนาคารที่โทรหาฉัน”

ไม่จำเป็น!

หากคุณดูจำนวนการโทรที่โทรออก… เฉพาะสหราชอาณาจักรสามล้านครึ่งคืออะไร?

10 ล้านคนทั่วยุโรป?

ฉันคิดว่าพวกเขาโทรออกสามล้านครึ่ง มีผู้ตอบ 350,000 คนและใช้เวลานานกว่าหนึ่งนาที ซึ่งบ่งชี้ว่าบุคคลนั้นเริ่มเชื่อว่าเป็นการปลอมแปลงทั้งหมด

ดังนั้น: “โอนเงินไปยังบัญชีที่ไม่ถูกต้อง” หรือ “อ่านรหัสการตรวจสอบสิทธิ์แบบสองปัจจัยของคุณ” หรือ “ให้เราช่วยคุณเกี่ยวกับปัญหาทางเทคนิคของคุณ – เริ่มต้นด้วยการติดตั้ง TeamViewer” หรืออะไรก็ตาม

และแม้กระทั่งถูกเชิญโดยมิจฉาชีพ: "ตรวจสอบหมายเลขถ้าคุณไม่เชื่อฉัน!"

---

ดั๊ก.  นั่นนำเราไปสู่คำถามที่ว่าฉันอ่านบทความนี้ตลอดเวลา และมันก็เข้ากันได้ดีกับความคิดเห็นของผู้อ่านประจำสัปดาห์

ผู้อ่าน Mahnn แสดงความคิดเห็นว่า “บริษัทโทรคมนาคมควรได้รับส่วนผิดจากการปล่อยให้มีการปลอมแปลงบนเครือข่ายของตน”

ดังนั้น ด้วยจิตวิญญาณนั้น พอล มีอะไรที่ telcos สามารถทำได้จริงเพื่อหยุดสิ่งนี้หรือไม่?

---

เป็ด.  น่าประหลาดใจที่ผู้แสดงความคิดเห็นคนถัดไป (ขอบคุณ John สำหรับความคิดเห็นนี้!) กล่าวว่า "ฉันหวังว่าคุณจะพูดถึงสองสิ่งที่เรียกว่า STIR และ SHAKEN"

นี่คือความคิดริเริ่มของอเมริกา – เพราะพวกคุณชอบคำพ้องเสียงของคุณ คุณชอบ CAN-SPAM Act ไหม

---

ดั๊ก.  พวกเราทำ!

---

เป็ด.  ดังนั้น STIR คือ “ยืนยันตัวตนทางโทรศัพท์ที่ปลอดภัยอีกครั้ง”.

และเห็นได้ชัดว่า SHAKEN ย่อมาจาก (อย่ายิงฉัน ฉันเป็นแค่ผู้ส่งสาร ดั๊ก!)… มันคืออะไร “การจัดการตามลายเซ็นของข้อมูลที่ถูกยืนยันโดยใช้โทเค็น”.

มันก็เหมือนกับการพูดว่า “ในที่สุดเราก็คุ้นเคยกับการใช้ TLS/HTTPS สำหรับเว็บไซต์”

มันไม่สมบูรณ์แบบ แต่อย่างน้อยก็มีมาตรการบางอย่างเพื่อให้คุณสามารถตรวจสอบใบรับรองได้หากต้องการและจะหยุดเพียงแค่ใครก็ตามที่แสร้งทำเป็นใครก็ได้

ปัญหาคือสิ่งเหล่านี้เป็นเพียงความคิดริเริ่ม เท่าที่ฉันรู้

เรามีเทคโนโลยีที่จะทำสิ่งนี้ อย่างน้อยก็สำหรับโทรศัพท์ผ่านอินเทอร์เน็ต...

…แต่ดูว่าเราใช้เวลานานแค่ไหนกว่าจะทำเรื่องง่าย ๆ อย่างการรับ HTTPS บนเว็บไซต์เกือบทั้งหมดในโลก

มีฟันเฟืองขนาดใหญ่ต่อต้านมัน

---

ดั๊ก.  ใช่!

---

เป็ด.  และแดกดันมันไม่ได้มาจากผู้ให้บริการ

มันมาจากการที่ผู้คนพูดว่า “ฉันทำเว็บไซต์เล็ก ๆ แล้วทำไมฉันต้องกังวลเกี่ยวกับเรื่องนี้ด้วย? ทำไมฉันต้องดูแล”

ดังนั้นฉันคิดว่าอาจใช้เวลาหลายปีก่อนที่จะมีเอกลักษณ์ที่ชัดเจนที่เกี่ยวข้องกับสายเรียกเข้า ...

---

ดั๊ก.  โอเค อาจใช้เวลาสักครู่ [WRYLY] แต่อย่างที่คุณพูด เราได้เลือกคำย่อแล้ว ซึ่งเป็นขั้นตอนแรกที่สำคัญมาก

ดังนั้นเราจึงหลีกทางให้… และเราจะมาดูกันว่าในที่สุดสิ่งนี้จะเป็นรูปเป็นร่างหรือไม่

ขอบคุณ Mahnn ที่ส่งสิ่งนั้นเข้ามา

หากคุณมีเรื่องราว ข้อคิดเห็น หรือคำถามที่น่าสนใจที่คุณต้องการส่ง เรายินดีที่จะอ่านในพอดแคสต์

คุณสามารถส่งอีเมลไปที่ tips@sophos.com แสดงความคิดเห็นเกี่ยวกับบทความของเรา หรือจะติดต่อผ่านโซเชียลได้ที่ @NakedSecurity

นั่นคือการแสดงของเราในวันนี้ ขอบคุณมากสำหรับการฟัง

สำหรับ Paul Ducklin ฉันชื่อ Doug Aamoth เตือนคุณ: จนกว่าจะถึงครั้งหน้า…

---

ทั้งสอง  รักษาความปลอดภัย

[โมเด็มดนตรี]