Информационная безопасность в социальных информационных сетях
В последние 3-4 года тема информационной безопасности и приватности в социальных сетях привлекает много внимания. Это вполне объяснимо: сети все больше открываются внешнему миру, были случаи утечки личных данных, аккаунты пользователей легко взламываются, а у администрации сетей есть доступ к любой информации. Но все это только внешняя часть, которая лежит на поверхности и о которой пишет пресса, однако далеко не полная картина потенциальных угроз для личных данных [71].
Самым безобидным, на первый взгляд, вариантом использования личных данных без разрешения пользователя можно считать внутренние механизмы социальных сетей для показа рекламы, подбора потенциальных знакомых или отбора потенциально интересного контента. Эти механизмы стали стандартом почти во всех социальных сетях, и никто не скрывает данный факт: все они собирают и анализируют личные данные, которых в любой сети очень много, а потом используют их в коммерческих целях. Более того, социальные сети передают личные данные во внешний мир, и уже официально успели признать этот факт [71].
Больше проблем пользователям создает утечка личных данных по вине сети, что неоднократно случалось в разных проектах. Одной из самых больших по размерам можно считать утечку личных данных 77 млн. пользователей игровой сети PlayStation Network в апреле 2011 года, и еще до конца не ясны последствия этого инцидента, возможно, имеет место утечка платежных данных пользователей. Проблем с безопасностью всегда много и вполне вероятно, что большинство подобных утечек просто скрывается от общественности [71].
Еще более серьезные проблемы может вызвать взлом отдельных аккаунтов и получение доступа ко всей личной информации отдельного пользователя, если цель злоумышленников – определенный человек. Сделать сегодня это не сложно даже для обыденного пользователя, который просто знает человека и может использовать социальную инженерию, а, кроме того, есть специальные услуги по взлому, стоимость этого всего 20$. Мотивация злоумышленников может быть самая разная, от взлома аккаунтов должностных лиц определенной компании в целях промышленного шпионажа до личных целей. Так, например, брачные юристы США уже сейчас фиксируют каждый пятый развод из-за социальных сетей: супруги получают доступ к профилю партнера, находят там переписку с любовником / любовницей, и в результате это приводит к разводу [71].
Отдельно стоит вспомнить о вирусах и фишинге, которые могут незаметно для пользователя воровать логины и пароли и после использовать их для незаконных действий (например, автоматическая рассылка спама от лица пользователя). Для реализации фишинговой атаки, злоумышленник создаёт сайт, похожий на страницу авторизации сайта какой-либо популярной социальной сети. Затем он рассылает от имени этой сети сообщения со ссылкой на созданный фальшивый сайт. При переходе по ссылке пользователю предлагают авторизоваться (ввести свой логин и пароль). Если он сделает это, его учётные данные перехватываются фишерами и используются для сбора конфиденциальной информации и/или рассылки спама и вредоносных сообщений от его лица [71, 76].
Однако самая большая угроза заключается в том, что доступ ко всей личной информации есть у довольно большой группы людей, и они могут в любой момент её просматривать, даже, если человек удалил что-то из сети. Во-первых, это сотрудники самой социальной сети: у них есть доступ к базам данных, в которых содержится вся информация, а также специальные инструменты входа в аккаунты пользователей, как, например, специальный мастер-пароль в Facebook, который позволяет войти в любой аккаунт. Во-вторых, доступ к информации также имеют правоохранительные органы, такие как ЦРУ в США или ФСБ в России. Не так давно известный разоблачитель Джулиан Ассандж, основатель Wikileaks, заявил, что Facebook имеет специальный интерфейс, который использует разведка США, а в России ранее популярная сеть ВКонтакте уже успела публично признать факты сотрудничества с правоохранительными органами и передачи личных данных. Все это вполне логично: сотрудники социальных сетей не могут не иметь доступ, в этом заключается их работа, а сотрудники правоохранительных органов ловят в сетях преступников, однако это не избавляет от опасности передачи данных третьим лицам, причем часто такими данными могут быть целые психологические портреты или конфиденциальная информация [30, 33, 71].
Помимо кражи персональных данных, у пользователей СИС существует большая угроза заражения компьютера вредоносным программным обеспечением (эти угрозы будут рассмотрены отдельно, в следующем пункте главы).
В последнее время пользователи все меньше доверяют социальным сетям и все чаще начинают фильтровать информацию, которую готовы доверить сети, давать ложную информацию или вообще удаляются из сети, однако даже удаление не дает уверенности: часто информация сохраняется на серверах компании и может использоваться в дальнейшем, в частности так делает Facebook, ВКонтакте и другие сети [30, 33, 71].
В последнее время возрастает угроза использования социальных сетей в террористических целях.
С точки зрения террористических организаций, в зависимости от того какие цели она перед собой ставит, СИС могут быть как объектом воздействия, так и средством достижения поставленной цели.
В качестве примера использования СИС как средства достижения цели можно привести организационные и коммуникационные технологии подготовки террористических актов:
Многие террористические организации:
через СИС собираются пожертвования для террористических структур, для чего достаточно ввести лишь данные кредитной карточки. При этом террористы часто размещают запросы о пожертвовании от имени благотворительных организаций, имеющих счета в солидных американских и европейских банках;
террористические структуры активно используют социальные сети для привлечения новых членов посредством создания тематических групп для непосредственного контакта с потенциальными сторонниками;
активно используют при подготовке и координации терактов передачу зашифрованных посланий и приказов посредством сервисов социальных сетей[38].
Теперь сфокусируем наше внимание на тех целях, которые ставят перед собой террористические организации для воздействия на пользователей СИС:
В СИС террористами совершаются следующие акции:
публикуются:
дезинформационные сообщения;
угрозы о готовящихся терактах;
новости, вызывающие панику и ощущение безнадежности у населения;
фото- и видеоматериалы, внушающие ужас.
дезинформационные акции с применением средств создания виртуальной реальности, в частности, с имитацией речи и видеоизображения политических и общественных деятелей;
программирование поведения людей с применением средств подпорогового психосемантического воздействия через аудиовизуальное раздражение подсознания (25-й кадр и т.п.).
Обобщенная схема террористических воздействий на СИС представлена на Схеме 1.2
Схема 1.2 –Схема террористических воздействий на СИС
В социальных сетях много легкодоступной информации. Поэтому социальные сети активно используются для добычи самой разной информации о людях или организациях.
В феврале 2008 года Министерство обороны Канады распространило меморандум, который гласит, что военным не следует оставлять личные сведения о себе в социальных сетях Интернета, так как за такими сайтами пристально наблюдают боевики « Аль-Каиды ».
В последнее время появляется огромное количество дополнительных сервисов и служб в социальных сетях, таких как торрент треккеры и тематические форумы, возможность быстрого обмена сообщениями, а так же платежные системы все это таит в себе немалую угрозу, ввиду того у социальных сетей есть доступ к двум важнейшим источникам информации:
1.Профиль и информация, заполненная самим пользователем
2. Его поведение, недобровольно данная информация
На основе профилей социальные сети террористы могут эффективно таргетировать свои материалы: по полу, возрасту, доходу, профессии и т.д. Тем самым добиваясь максимального эффекта от своей деятельности.
Социальные сети могут быть использованы для привлечения денежных средств для террористических организаций, с помощью использования подставных благотворительных организаций, а так же путем похищении денежных средств с виртуальных кошельков пользователей [113].