Перевіряйте дію, яку дозволяєте, а не лише вигляд коду.
У повідомленні сказано, що для вступу до приватної групи або збереження доступу до облікового запису потрібно відсканувати QR-код. Наступний екран пропонує прив’язати пристрій. Це різні дії. Зупиніться перед підтвердженням: справжній механізм прив’язування до облікового запису теж можна використати з нечесною метою.
Наскрізне шифрування захищає повідомлення між кінцевими пристроями, що беруть участь в обміні. Воно не може визначити, чи справді ви хотіли додати пристрій, який тепер їх отримує. Цей посібник пояснює, як розрізняти вебпосилання, запит на прив’язування пристрою та код перевірки контакту — і що перевірити, якщо ви вже діяли.
Дві різні пастки з QR-кодами
Підроблений сайт: код відкриває сторінку, що імітує знайомий сервіс, де вас просять ввести пароль або інші чутливі дані. Федеральна торгова комісія США (FTC) застерігає щодо QR-кодів у неочікуваних повідомленнях і радить перевіряти адреси призначення та звертатися до ймовірного відправника через відомий канал, а не виконувати вказівки з повідомлення. Знайомий логотип не доводить, хто керує сторінкою. Рекомендації FTC щодо шахрайства з QR-кодами.
Небажаний прив’язаний пристрій: зловмисник переконує вас під’єднати його комп’ютер або інший пристрій до вашого облікового запису в месенджері. Це може бути зловживання законною функцією, а не злам шифрування. Google Threat Intelligence задокументувала атаки на прив’язування пристроїв Signal, замасковані під запрошення до груп і сповіщення безпеки. У цих спостережуваних атаках успішне прив’язування дозволяло доставляти майбутні повідомлення на пристрій під контролем зловмисника. Дослідження Google про фішинг через прив’язування пристроїв.
Різниця важлива. Зміна пароля не замінює перевірку прив’язаних пристроїв. Водночас саме лише наведення камери на код не доводить захоплення облікового запису. З’ясуйте, яка сторінка відкрилася, яку інформацію ви надали та яку дію підтвердили.
Три схожі коди — три різні призначення
| Код або екран | Призначення | Запитання перед продовженням |
|---|---|---|
| QR-код сайту | Відкрити адресу | Це адреса, яку я очікував незалежно від повідомлення? |
| QR-код прив’язування пристрою | Дозволити доступ іншому пристрою | Це мій пристрій і я сам почав його прив’язування? |
| QR-код перевірки контакту | Порівняти дані криптографічної ідентичності | Я на екрані перевірки контакту й порівнюю дані з потрібною людиною? |
Наприклад, Signal описує окрему процедуру прив’язування через налаштування прив’язаних пристроїв і вбудовану камеру застосунку. Поточна інструкція також передбачає вибір щодо перенесення історії повідомлень. Це не та сама дія, що перевірка номера безпеки контакту. Інструкція Signal щодо прив’язаних пристроїв.
Документація Signal про номери безпеки описує порівняння чисел або сканування перевірочного QR-коду контакту, бажано особисто. Таке порівняння допомагає перевірити криптографічну ідентичність розмови; це не вказівка надати новому комп’ютеру доступ до вашого облікового запису. Саме по собі воно не доводить особу людини в реальному світі. Орієнтуйтеся на призначення відкритого екрана, а не на опис відправника. Пояснення номерів безпеки Signal.
Практичний приклад: запрошення змінює зміст
Уявіть вигадану ситуацію. Міна отримує повідомлення нібито від колеги: «Група проєкту переїхала. Відскануй це, щоб приєднатися знову». Сторінка виглядає професійно. Вона просить відкрити сканер прив’язування пристроїв у месенджері.
Міна помічає невідповідність: вона хотіла долучитися до розмови, а не під’єднати ще один комп’ютер. Вона скасовує дію, самостійно відкриває звичний запис контакту та перевіряє прохання в колеги через інший довірений канал. Номером телефону з підозрілої сторінки вона не користується.
Цей приклад ілюструє корисне правило: якщо дозвіл, який запитує застосунок, ширший за вашу мету або відрізняється від неї, зупиніться. Знайомого облікового запису відправника недостатньо: його можуть підробити або зламати. Навіть переконлива адреса сайту сама по собі не пояснює, навіщо неочікуваному пристрою доступ.
Короткий список перевірок перед підтвердженням
- Назвіть свою мету. Ви відкриваєте сторінку, вступаєте до групи, перевіряєте контакт чи прив’язуєте власний комп’ютер?
- Почніть самостійно. Для керування обліковим записом відкрийте встановлений застосунок або вже відомий вам сайт замість виконання вказівок із непроханого повідомлення.
- Прочитайте запит застосунку. Прив’язування пристрою, відновлення облікового запису та введення облікових даних — окремі рішення. Скасуйте запит, який не відповідає вашій меті.
- Визначте інший пристрій. Прив’язуйте лише техніку, якою ви планували користуватися та яку контролюєте. Привітна назва пристрою не доводить права власності.
- Не передавайте секрети в чатах. Не надсилайте паролі, реєстраційні коди чи ключі відновлення людині, яка нібито допомагає.
- Використовуйте актуальне ПЗ. Оновлення та вбудовані попередження важливі, але вони не роблять неочікуваний запит на підтвердження надійним.
Власні рекомендації Signal проти фішингу радять незалежну перевірку, збереження кодів у таємниці та обережність із неочікуваними запитами. Signal також відрізняє свої офіційні оголошення, доступні лише для перегляду, від шахрая, який веде діалог від імені підтримки. Це особливості Signal, а не твердження про підтримку всіх месенджерів. Рекомендації Signal щодо фішингу та видавання себе за інших.
Якщо ви вже відсканували код або підтвердили дію
Виходьте з того, що справді сталося:
- Лише відкрили сторінку: закрийте її та припиніть взаємодію. Перевірте, чи вводили ви інформацію, щось завантажували або підтверджували дію в застосунку. Саме сканування не доводить ані злам, ані безпеку.
- Ввели облікові дані або передали код: із довіреного пристрою скористайтеся офіційними інструкціями сервісу з відновлення. Змініть розкриті паролі та перевірте доступ до облікового запису; окремо подбайте про паролі, які використовували повторно.
- Прив’язали незнайомий пристрій: відкрийте справжній список пристроїв або сеансів у застосунку й видаліть небажане підключення. Не вважайте, що видалення шахрайського повідомлення скасовує доступ.
- Установили ПЗ або надали незвичні дозволи: дослідіть це окремо. Відкликання сеансу облікового запису саме по собі не видаляє шкідливе ПЗ з телефона.
Саме для Signal рекомендації із захисту передбачають перегляд прив’язаних пристроїв, видалення незнайомих записів і, за наявності сумнівів, усіх перелічених пристроїв. Інструкції з відв’язування пояснюють, як відкликати доступ пристрою з основного телефона. В інших сервісах елементи керування можуть відрізнятися. Рекомендації Signal із захисту облікового запису, інструкції Signal із відв’язування пристроїв.
Відкликання доступу не повертає інформацію, вже скопійовану деінде. Обсяг розкритих даних залежить від сервісу, наданих дозволів, вибору перенесення історії та тривалості доступу — універсального правила «усі чати» немає. Якщо чутливі розмови могли стати доступними стороннім, повідомте постраждалих через довірений канал і дотримуйтеся відповідного порядку повідомлення про інциденти.
Що перевірити під час оцінювання Livara чи іншого месенджера
З’ясуйте, як надається доступ новим пристроям, де показано активні сеанси, як відкликається доступ і чи переноситься історія окремо. Переглядайте актуальну документацію продукту, а не припускайте, що позначка про шифрування відповідає на ці запитання. Ця стаття не встановлює, що Livara використовує вхід за QR-кодом або певну процедуру прив’язування пристроїв.
Практичний висновок простий: перевіряйте дію, яку дозволяєте, а не лише вигляд коду.
