Protect YOURSELF

Цифровая гигиена
v. 1.0

Цифровая Гигиена v. 1.0

ЦИФРОВАЯ
ГИГИЕНА V. 1.0
Protect YOURSELF
1. Безопасность паролей и 2FA популярных сервисов
Если ты жесткий параноик, то можешь проверить свои учетки на слив.
Существует портал https://haveibeenpwned.com, там ты можешь чекнуть -
«утекла» ли куда-нибудь твоя учётка. Статистика портала говорит, что
сейчас в сети содержатся данные 433 млн. взломанных сайтов = учётки и т.
д. При чем здесь безопасность паролей?

Суть в том, что, если кто-то хакает базу данных сайта, то любому человеку
в Интернете становятся доступны все эти данные. Допустим, твой email
есть в утечке и там же доступен пароль. Любой энтузиаст, включая хакера,
может использовать его для получения доступа к остальным аккаунтам на
других площадках (gmail, Yandex, mail, online-banking, etc.). Распишу один из
возможных сценариев: у вас ассиметричный пароль от старого почтового
ящика, про который вы успешно забыли, и от ЛК Интернет-банка(web-
версия), которым пользуетесь редко, потому что в основном используете
мобильное приложение. В таком случае злодея ждет успех: украдет деньги.
Если он найдет еще и чувствительные фотографии или переписку, то
попробует тоже монетезировать это в виде шантажа. Вывод простой: если
использовать один и тот же пароль от всего, то ничего хорошего не будет.
Безопасность – это не авось прокатит, она любит бдительность и чистоту.
Но иметь разные пароли тоже не панацея. Злоумышленник может сделать
дубликат пароля. Как этого избежать?

Есть два простых способа:

• Использование сложных и неповторяющихся паролей для каждого

сервиса.
• Использование двухфакторной аутентификации для каждого сервиса.

Для реализации первого пункта есть несколько методов:

1) Необходимо скачать и использовать одно из ПО: 1Password, KeePass,

MacPass (я юзаю его). Вы создаете базу данных с паролями,
хранящуюся в зашифрованном формате. Для этой базы вы
придумываете мастер-пароль уникальный и сложный пароль,
который никогда и никому не рассказываете и записываете на
листок и убираете в сейф. Далее, в программе вы вручную вбиваете
Protect YOURSELF
сайт и логин, после чего создаете автоматически все свои новые
пароли.

Если из строя выйдет жёсткий диск. Что делать? В качестве одного из

вариантов надёжного хранилища можно воспользоваться облаком, в
котором настроить синхронизацию с созданным ранее файлом.
Каждый раз при изменении базы данных паролей, обновленный
файл автоматически будет загружаться в ваше облако.

Если вы параноик и не доверяете безопасности первого метода,

копию зашифрованного файла можно всегда держать на флешке в
сейфе. Если сейфа нет, то существует еще эффективный способ
защиты, который можно реализовать при помощи KeyFile. Так вы
защитите как сам файл с аутентификационными данными, так и
криптоконтейнер, куда всё это возможно поместить.

2) Если не хотите использовать ПО и это не удобно, то необходимо

будет каждый раз к любому сервису генерировать сложный пароль,
который необходимо каждый раз записывать в блокнот и убирать в
надежное место. Существует много способ генерации таких сложных
паролей. Например, используйте слова из категорий: животные,
слова из песен, цветы и т. д. Для усиления пароля допускайте
умышленное допущение орфографических ошибок в написании слов
и словосочетаний. Также дополняйте пароль числами и
спецсимволами. Например,

Для реализации второго пункта необходимо активировать

соответствующие функции в настройках безопасности аккаунта
конкретного сервиса. Ниже ссылки на инструкции по включению 2FA в
самых популярных сервисов:

• Для идентификатора Apple ID: https://support.apple.com/ru-

ru/HT204915
• Для Google-аккаунтов: https://www.google.com/landing/2step/?hl=ru
• Для Яндекс-
паспорта: https://yandex.ru/support/passport/authorization/twofa-
on.html
Protect YOURSELF
• Для учетной записи Twitch: https://help.twitch.tv/s/article/two-factor-
authentication-with-authy?language=ru
• Для аккаунта Mail.ru: https://help.mail.ru/mail/settings/2fa/activate
• Для аккаунта ВКонтакте: https://vk.com/@security-dvuhfaktornaya-
autentifikaciya-2fa
• Для аккаунта в Facebook
(ENG): https://www.facebook.com/help/148233965247823
• Для аккаунта в Facebook (RU): https://ru-
ru.facebook.com/help/instagram/1124604297705184?helpref=related

В большинстве сервисов 2FA – это использование СМС. Но это не самый

безопасный вариант. Поэтому, скачайте и установите приложения типа
Google Authenticator или Яндекс.Ключ. Они значительно повысят
безопасность.
Protect YOURSELF
2. Диверсификация почты – залог безопасности
Настоятельно рекомендую завести отдельные почтовые сервисы для
разных нужд – так вы не пропустите важное письмо и обеспечите
безопасность своих данных. Например, делить ящики имеет смысл на
следующие категории:

• Личный: вся текущая переписка, регистрация в сервисах, уведомления

от которых важны.
• Секретный: все, что связано с финансами и любой иной
чувствительной информацией. Рекомендую пользоваться сервисом с
типом шифрования End-to-end (например, Voltage SecureMail я
пользуюсь им).
• Облачный: привязки сервисов типа iCloud, Google Drive, мессенджеры.
Желательно иметь несколько ящиков на каждый сервис.
• Спам: почтовые рассылки и интернет-магазины, случайные
регистрации.

Сделать прямо сейчас:

• Разделить личное и рабочее.

• Очистить почту от спама.
• Удалить файлы с конфиденциальной информацией и письма с
восстановлением парольных данных, если есть.
Не подвергайте себя риску, соблюдайте цифровую гигиену электронной
почты.
Protect YOURSELF
3. Навести порядок в облачных сервисах
Необходимо проверить облачный сервис, которым вы пользуетесь. Иначе,
будет поздно, просто потеряете информацию или если информация
сенситивная-,, возможно, быть жертвой шантажа. Согласитесь, это мало
приятно.

Проверьте файлы в своих облачных хранилищах, удалите все ненужное.

Проверьте доступ к давно забытым документам для совместного
редактирования в облаке. Возможно среди них есть конфиденциальные.
Вообще все расшаренные документы нужно проверить на то, какой к ним
предоставлен доступ и кому. Сейчас очень популярный метод взлома
Supply Chain. Например, две компании ведут обмен документами по
какому-то B2B-порталу или ведут совместный проект в google drive,
злоумышленник взламывает сначала одну, а потом другую. Также и с
физическими лицами.

Проверьте настройки бэкапов на своих мобильных телефонах. Например,

“яблочные” устройства выгружают по умолчанию все загруженные файлы
и фотографии в iСloud. Возможно, вам давно стоило ограничить эту
“вседозволенность”. Обратная сторона заключается в том, что при потере
устройства, синхрон iCloud с новым айфоном восстановит только то, что вы
ему разрешили.
Protect YOURSELF
4. Безопасность мессенджеров
WhatsApp, Telegram, WeChat – самые популярные мессенджеры у
обывателя. Wickr Me, Threema и Signal – популярны в кибербезе. Но каждый
из них не гарантирует 100% защиты. Это не панацея. Везде необходимо
усиливать безопасность. Handbook: что нужно делать на регулярной
основе:

• Регулярно обновлять ПО для каждого из используемых мессенджеров.

Большая часть обновлений всегда касается безопасности. Попросту
говоря, разработчики закрывают всевозможные дыры в ПО, которые
могли быть проэксплуатированы злодеями в прошлой версии ПО.
Будьте на чеку и регулярно обновляйтесь.
• Включайте двухфакторную аутентификацию и не выключайте ее
никогда.
• Больше относится в обладателях Android. Внимательно смотрите
откуда скачиваете мессенджер. Только из Google Play.

“Как включать двухфакторку в мессенджерах”. Распишу на примере двух

основных мессенджеров:

• WhatsApp: Настройки - Учётная запись - Двухшаговая проверка -

Включить (для версии WhatsApp под iOS) или Настройки - Аккаунт -
Двухшаговая проверка - Включить (для версии под Android). После
этого введите шестизначный PIN-код, который будет запрашиваться
при доступе к WhatsApp и подтвердите его повторным вводом. Для
дополнительной защиты вашего аккаунта, можно добавить адрес
электронной почты.
• Telegram: Настройки - Конфиденциальность - Облачный пароль (Two -
Step Verification) - Включить (Turn Passcode On). После этого введите
сложный пароль из букв и цифр (к счастью, в “телеге” есть такая
возможность), который будет запрашиваться при доступе к Telegram и
подтвердите его повторным вводом. Детальное описание по
включению этой опции дано в инструкции на официальном сайте
мессенджера: https://telegram.org/blog/sessions-and-2-step-verification

Неважно какой мессенджере вы используете, главное, чтоб в нем была

включена двухфакторная аутентификация.
Protect YOURSELF
5. Безопасность телефонов, различных девайсов и SIM-
карт
Что касается телефонов: есть две основные операционные системы,
которые используются по всему миру – Andoid и IOS. Подробно говорить
мы о них не будем. Запомните, что Android самая уязвимая ОС, т. к. она
самая популярная, как и Windows. Поэтому, не качайте лишнего и не
устанавливайте сомнительные программы не из официального магазина.
Что касается Apple, у них очень сильная команда по безопасности, и они
педантично следят за ней. Ну и эта ОС менее популярна, чем Android,
поэтому на нее гораздо меньше эксплойтов. Все что популярно – всегда
притягивает больше внимания.

Для умных устройств дома необходимо сменить стандартные пароли.

Иначе обычное обновление ПО не сильно поможет. А вот когда поменяли
пароли - поставьте самые новые версии всего софта. Софт не должен
требовать супер-полномочий и подозрительных доступов к ресурсам
устройства, и качать его нужно исключительно с официального ресурса.

Самая свежая версия ПО не гарантирует отсутствия уязвимостей, но, как

правило, существенно снижает вероятность успешного взлома.

Позаботьтесь о защите своей сим-карты. Для этого нужно сделать два

несложных шага:

• на симку надо поставить PIN-код.

• оформить у вашего оператора сотовой связи запрет на перевыпуск
сим-карты без вашего личного участия. Примеров из жизни хватает –
бизнесмен Данила Бондарь, медиаменеджер Анна Знаменская и т. д...
Если интересно – погуглите.
Protect YOURSELF
6. Безопасность роутера, Wi-Fi и VPN
Если ваш Wi-Fi-роутер древний, то самое время его сменить.
Незащищенный роутер и беспроводная сеть могут стать точкой входа для
соседа, который практикует свои знания, или для настоящего
злоумышленника.

Постоянно обновляйте ПО на роутере, но только от доверенного

разработчика. Софт не должен требовать сверх доступов, см. пункт 5.

Основные рекомендации по защите Wi-Fi:

• Откажитесь от паролей по умолчанию. Да опять пароли…В первую

очередь необходимо сменить пароль для входа в настройках роутера.
Для этого вам потребуется IP-адрес устройства, который можно узнать,
посмотрев на обратной стороне устройство специальную наклейку.
Далее необходимо по данному IP-адресу перейти в браузере и ввести
логин/пароль.
• Установите сложные пароли к сети Wi-Fi и к административной панели
роутера (см. выше).
• Измените стандартное имя административной учетной записи.
• Измените стандартный IP-адрес устройства.
• Обновите прошивку и установите новые версии ПО.
• Отключите WPS.
• Отключите удаленный доступ к роутеру.
• В качестве технологии, по которой работает Wi-Fi сеть, установите, как
минимум WPA2, а лучше WPA3. Можно также включить
комбинированный режим WPA2+WPA3 (если в вашем роутере нет
WPA3 — пора заменить его на новый). Ни в коем случае не используйте
WEP или WPA – это старейшие технологии.

Я рекомендую обзавестись хорошим VPN. Все сенситивные операции

выполняйте только через подключение к VPN - проверка личного
почтового ящика, работа с конфиденциальной информацией, доступ к
Protect YOURSELF
интернет-банку и тд. Мои рекомендации: NordVPN, ExpressVPN, Surfshark.
Вот здесь есть рейтинг VPN на любой вкус.

Вывод, чтобы ваша беспроводная сеть была в безопасности необходимо:

• Ставить сложные и устойчивые пароли к методам брутфорса

(автоматического перебора паролей).
• Обновлять роутер и ПО на нем.
• Не использовать дефолтные имя учетной записи и IP-адрес устройства.
• Отключить WPS и удаленный доступ.
• Включить WPA3.
• Иметь надежный VPN
Protect YOURSELF
7. Безопасность личного ПК или ноутбука.
Зашифруйте свой компьютер и создайте его зашифрованную резервную
копию на внешнем носителе информации. Старайтесь придерживаться
плана своевременной актуализации резервной копии — неделя-месяц-
квартал. Храните носитель информации с резервной копией в не очень-то
доступном для кого бы то ни было месте. Данная мера позволит
обеспечить защиту ваших данных: служебных и личных файлов, переписок
и различных банковских данных.

Для шифрования достаточно активировать FileVault 2 в вашей MacOS или

BitLocker в вашей Windows. Это штатные встроенные средства
шифрования, которых вполне достаточно при использовании стойкого
пароля. Учтите, что, если вы забыли пароль для расшифровки, все ваши
данные будут безвозвратно потеряны.

Перекинули копию на хард и убрали подальше от чужих глаз.

Используйте antivirus. Вполне подойдет Kaspersky для Windows. Этого

будет более чем достаточно.
Protect YOURSELF
8. «Социальная инженерия» и отличие фишинговых
сайтов от оригинальных
Самый незащищенный, это человек, а не железо и ПО. Большинство
кибератак осуществляется с помощью использования фишинговых писем,
которые могут сопровождаться звонками, и поддельных сайтов. Чтобы не
быть жертвой, достаточно быть осторожным при открытии ссылок и
файлов, научиться отличать google.com от qoogle.com и обращать внимание
на каждую мелочь

Основные признаки фишингового письма:

-”Типо друг”: злодей может представиться вашим знакомым, использовать

его фото и его манеру текста, однако, можно вычислить недоброжелателя,
если внимательно посмотреть на адрес, с которого пришло письмо.
Постараться найти отличия.

- Письма, которые содержат эмоциональной окрас: страх, паника,

побуждение, жажда халявы и т. д. В большинстве случаев – мошеннические
письма.

- Использование злободневной повестке (пандемия коронавируса, отмена

рейсов, теракты или ЧС).

Будьте бдительны: позвоните или напишите в мессенджере тому, от кого

пришло сообщение. Наверное, вы не получите ответа.

Рекомендую использовать полезные плагины (HTTS Everywhere, WOT и

др.) для веб-браузеров, которые вы используете. Я использую Chrome. Они
помогут отсеять много мусора, т. к. давно уже все перешли на протокол
HTTS, вы можете увидеть замочек рядом с ссылкой в левом углу. Поэтому
внимательней смотрите на ресурсы, которые переходите.

Совершайте платежи через сервисы 3DS. Обязательно смотрите, что это

платеж по реквизитам, а не перевод на личную карту какого-то лица. Это
очень эффективный способ мошенничества. Лучше всего заводить
отдельную карту для онлайн-покупок

Перед оплатой проверьте дату регистрации домена. Это можно сделать с

помощью публичных сервисов, например, whois7.ru. Если сайт создан
менее года назад - вероятность мошенничества велика.
Protect YOURSELF
9. Чек-лист

Прямо сейчас:

✓ Завести отдельную карту для покупок в интернете.

✓ Отключить функцию автозаполнения в браузере.
✓ Наконец установить менеджер паролей.
✓ Создать разные пароли для разных аккаунтов.
✓ Установить 2FA везде, где это возможно.
✓ Сменить логин и пароль на роутере.

Всегда:

✓ Быть осторожным при открытии ссылок и файлов.

✓ Пользоваться официальными магазинами приложений: App Store,
Google Play, Windows Market.
✓ Разделять личное и рабочее.
✓ Контролировать доступ приложений к устройству.
✓ Отказываться от автоматического подключения к Wi-Fi.

Регулярно:

✓ Очищать почту от спама.

✓ Сканировать устройства антивирусом.
✓ Создавать везде резервные копии данных.
✓ Менять все пароль.
✓ Удалять ненужные файлы и приложения.
✓ Обновлять ПО всех устройств.
✓ Очищать историю браузера и cookies.