Множественные уязвимости высокой степени риска в программном обеспечении Yota были обнаружены экспертами HeadLigt Security еще в августе 2015 года. Одна из уязвимостей позволяет выполнить код на удаленном компьютере без непосредственного взаимодействия с пользователем (достаточно просто посетить определенный веб-сайт). В сентябре Yota была неоднократно проинформирована о наличие проблем безопасности в выпускаемых этой компанией модемах и ПО, однако обновлений безопасности так и не последовало.

Демонстрация использования уязвимостей приводится в этом видео:

Дмитрий Евтеев выступил на заседании, посвященном обсуждению законодательных мер по борьбе с фишингом. В ходе встречи технический директор HeadLigt Security обратил внимание представителей Генпрокуратуры, МВД, Минкомсвязи, Госдумы и Центробанка на зарубежный опыт реализации антифишинговых законов и основные ошибки, способные навредить отрасли информационной безопасности.

 «В качестве примера можно вспомнить принятый в 2008 году в Великобритании запрет на создание и использование хакерских инструментов, — рассказал Дмитрий Евтеев. —  В результате под запрет попало легальное программное обеспечение, которое необходимо для обеспечения информационной безопасности. Впоследствии данная мера была признана технически неграмотной».

По словам Дмитрия, без использования специального программного обеспечения практически невозможно получить объективную оценку защищенности информационной среды организации, а запрет такого ПО развяжет руки в первую очередь киберпреступникам.

«Тестирование на проникновение является одним из наиболее эффективных методов контроля безопасности используемых приложений, — добавил Дмитрий. — Ведущие банки, государственные организации, критически важные отраслевые предприятия заказывают данную услугу для проверки защищенности своих сервисов и IT-инфраструктр. Тестирование на проникновение предполагает моделирование действий злоумышленника и требует соответствующего инструментария. И если завтра вне закона будет, к примеру, такой дистрибутив для проведения пентестов, как Kali Linux, специалисты по информационной безопасности окажутся в роли хирурга, у которого отобрали скальпель по причине потенциальной опасности этого инструмента».

Дмитрий поделился опытом выявления и расследования хакерских атак в компании HeadLigt Security, рассказав об основных приемах фишеров и типичной методике консалтинга по противодействию фишингу. Данная методика, в частности, включает  в себя регистрацию нового домена, имитирующего фишинговый сайт, копирование элементов с электронного ресурса заказчика, размещение «фишингового» сайта на серверах консалтинговой компании и целевую рассылку фокус-группе.

Среди первоочередных мер, необходимых всем участникам отрасли ИБ для борьбы с фишингом — необходимость создания общедоступного реестра подозрительных сайтов. В настоящее время сервисы репутаций функционируют разрозненно и являются частной собственностью отдельных компаний, что не позволяет развивать бесплатные инструменты для защиты пользователей и подключить широкую общественность для их развития. Вместе с тем, необходимо тщательно проработать действия по блокировке фишинговых ресурсов, так как вредоносное ПО зачастую размещается на обычных сайтах без ведома их владельцев, и процедура блокировки может легко быть использована в недобросовестной конкурентной борьбе.

Круглый стол «Противодействие хищению персональных данных и платёжной информации в сети Интернет посредством фишинга» состоялся 29 октября в здании Государственной думы. Во встрече приняли участие член комитета Госдумы по безопасности и противодействию коррупции Илья Костунов, заместитель начальника отдела управления «К» МВД России Александр Вураско, представитель Генпрокуратуры РФ Елена Малык, заместитель директора департамента инфраструктурных проектов Минкомсвязи РФ Вартан Хачатуров, начальник центра мониторинга и реагирования на компьютерные атаки ЦБ РФ Дмитрий Фролов, представители коммерческих компаний в области информационной безопасности.

Ранее сообщалось, что в Госдуме предлагают ввести уголовную ответственность за фишинг. Остальные подробности заседания можно прочитать в материалах «Парламентcкой газеты» и агентства REGNUM.