Проверяйте действие, которое разрешаете, а не только внешний вид кода.
В сообщении говорится, что для вступления в закрытую группу или сохранения доступа к аккаунту нужно отсканировать QR-код. На следующем экране предлагается привязать устройство. Это разные действия. Не спешите подтверждать: настоящий механизм привязки к аккаунту тоже можно использовать с нечестной целью.
Сквозное шифрование защищает сообщения между участвующими конечными устройствами. Оно не может определить, действительно ли вы хотели добавить устройство, которое теперь получает сообщения. Это руководство поможет отличить веб-ссылку, запрос на привязку устройства и код проверки контакта, а также разобраться, что проверить, если вы уже что-то сделали.
Две разные ловушки с QR-кодами
Поддельный сайт: код открывает страницу, имитирующую знакомый сервис, где просят пароль или другие конфиденциальные данные. Федеральная торговая комиссия США (FTC) предупреждает о QR-кодах в неожиданных сообщениях и рекомендует проверять адрес назначения, а с предполагаемым отправителем связываться по известному каналу, не следуя указаниям из сообщения. Знакомый логотип не доказывает, кто управляет страницей. Рекомендации FTC о мошенничестве с QR-кодами.
Нежелательное привязанное устройство: злоумышленник убеждает вас подключить его компьютер или другое устройство к вашему аккаунту в мессенджере. Для этого можно злоупотребить законной функцией, не взламывая шифрование. Google Threat Intelligence задокументировала атаки на привязку устройств Signal, замаскированные под приглашения в группы и уведомления безопасности. В наблюдавшихся атаках успешная привязка позволяла доставлять будущие сообщения на устройство под контролем злоумышленника. Исследование Google о фишинге через привязку устройств.
Это различие важно. Смена пароля не заменяет проверку привязанных устройств. Но и одно лишь наведение камеры на код не доказывает захват аккаунта. Выясните, какая страница открылась, какие сведения вы передали и какое действие подтвердили.
Три похожих кода — три разные задачи
| Код или экран | Назначение | Вопрос перед продолжением |
|---|---|---|
| QR-код сайта | Открыть адрес | Это тот адрес, который я ожидал независимо от сообщения? |
| QR-код привязки устройства | Разрешить доступ другому устройству | Это моё устройство и я сам начал его привязку? |
| QR-код проверки контакта | Сравнить данные криптографической идентичности | Я нахожусь на экране проверки контакта и сравниваю данные с нужным человеком? |
Например, Signal описывает отдельную процедуру привязки через настройки привязанных устройств и встроенную камеру приложения. В актуальной инструкции также предусмотрен выбор, переносить ли историю сообщений. Это не то же самое, что проверка номера безопасности контакта. Инструкция Signal по привязанным устройствам.
Документация Signal о номерах безопасности описывает сравнение чисел или сканирование проверочного QR-кода контакта, желательно лично. Такое сравнение помогает проверить криптографическую идентичность беседы; это не указание предоставить новому компьютеру доступ к аккаунту. Само по себе оно не доказывает личность человека в реальном мире. Ориентируйтесь на назначение открытого экрана, а не на то, как его описывает отправитель. Объяснение номеров безопасности Signal.
Практический пример: приглашение меняет смысл
Представьте вымышленную ситуацию. Мина получает сообщение якобы от коллеги: «Группа проекта переехала. Отсканируй это, чтобы вернуться». Страница выглядит профессионально. Она предлагает открыть в мессенджере сканер для привязки устройств.
Мина замечает несоответствие: она хотела присоединиться к беседе, а не подключить ещё один компьютер. Она отменяет действие, самостоятельно открывает привычную запись контакта и проверяет просьбу у коллеги по другому доверенному каналу. Номером телефона с подозрительной страницы она не пользуется.
Этот пример показывает полезное правило: если приложение запрашивает разрешение, которое шире вашей задачи или отличается от неё, остановитесь. Знакомого аккаунта отправителя недостаточно: аккаунт могут подделать или взломать. Даже внушающий доверие адрес сайта сам по себе не объясняет, зачем неожиданному устройству нужен доступ.
Короткий список проверок перед подтверждением
- Сформулируйте задачу. Вы открываете страницу, вступаете в группу, проверяете контакт или привязываете собственный компьютер?
- Начните самостоятельно. Для управления аккаунтом откройте установленное приложение или уже известный вам сайт, вместо того чтобы выполнять указания из непрошеного сообщения.
- Прочитайте запрос приложения. Привязка устройства, восстановление аккаунта и ввод учётных данных — отдельные решения. Отмените запрос, который не соответствует вашей задаче.
- Определите, что это за устройство. Привязывайте только технику, которой вы намерены пользоваться и которую контролируете. Приятное название устройства не доказывает, кому оно принадлежит.
- Не передавайте секреты в чатах. Не отправляйте пароли, регистрационные коды или ключи восстановления тому, кто обещает помочь.
- Используйте актуальное ПО. Обновления и встроенные предупреждения важны, но они не делают неожиданную просьбу о подтверждении заслуживающей доверия.
В собственных рекомендациях против фишинга Signal советует независимо проверять запросы, хранить коды в тайне и осторожно относиться к неожиданным обращениям. Также Signal отличает свои официальные объявления, доступные только для чтения, от мошенника, который ведёт диалог от имени поддержки. Это особенности Signal, а не утверждение о службах поддержки всех мессенджеров. Рекомендации Signal о фишинге и выдаче себя за других.
Если вы уже отсканировали код или подтвердили действие
Исходите из того, что действительно произошло:
- Только открыли страницу: закройте её и прекратите взаимодействие. Проверьте, вводили ли вы данные, что-либо скачивали или подтверждали действие в приложении. Само сканирование не доказывает ни взлом, ни безопасность.
- Ввели учётные данные или передали код: с доверенного устройства воспользуйтесь официальной инструкцией сервиса по восстановлению. Смените раскрытые пароли и проверьте доступ к аккаунту; отдельно разберитесь с паролями, которые использовались повторно.
- Привязали незнакомое устройство: откройте настоящий список устройств или сеансов в приложении и удалите нежелательное подключение. Не считайте, что удаление мошеннического сообщения отменяет доступ.
- Установили программу или дали необычные разрешения: исследуйте это отдельно. Отзыв сеанса аккаунта сам по себе не удаляет вредоносное ПО с телефона.
Для Signal рекомендации по защите предусматривают просмотр привязанных устройств, удаление незнакомых записей и, при сомнениях, всех перечисленных устройств. Инструкция по отвязке объясняет, как отозвать доступ устройства с основного телефона. В других сервисах элементы управления могут отличаться. Рекомендации Signal по защите аккаунта, инструкция Signal по отвязке устройств.
Отзыв доступа не возвращает информацию, уже скопированную в другое место. Объём раскрытых данных зависит от сервиса, выданных разрешений, выбора переноса истории и продолжительности доступа — универсального правила «все чаты» нет. Если конфиденциальные беседы могли стать доступны посторонним, предупредите затронутых людей по доверенному каналу и выполните применимую процедуру сообщения об инциденте.
Что проверить при оценке Livara или другого мессенджера
Выясните, как разрешается доступ новым устройствам, где отображаются активные сеансы, как отзывается доступ и переносится ли история отдельно. Изучайте актуальную документацию продукта, а не предполагайте, что отметка о шифровании отвечает на эти вопросы. Эта статья не устанавливает, что Livara использует вход по QR-коду или определённую процедуру привязки устройств.
Практический вывод прост: проверяйте действие, которое разрешаете, а не только внешний вид кода.
