Популярность push-уведомлений объясняется просто — маркетологи заметили, что клиенты охотнее читают короткие сообщения, которые не обязательно открывать, и чаще переходят по ссылкам в них.
Поэтому разные компании давно взяли на вооружение и активно используют этот канал коммуникаций с клиентами. А злоумышленники используют push-уведомления для фишинга, распространения вредоносного ПО и других киберугроз. В статье рассказываем какими схемами пользуются злоумышленники, что стоит учесть разработчикам сервисов и как не стать жертвой мошенников.
Пользователь может сам управлять уведомлениями: запрещать, разрешать полностью или частично. Push-уведомления обычно сохраняются в личном кабинете на сайте, в приложении или в центре уведомлений, если телефон на iOS и в журнале уведомлений, если у вас Android 10 и выше.
Со стороны пользователей push-уведомления выглядят удобными. Человек получает десятки пушей в день — от СМИ, банков, маркетплейсов, мессенджеров. В коротких текстах сообщается о скидках, появлении товара на складе, новых акциях, напоминания. Кроме этого в push-уведомлениях приходят оповещения о списании средств или пополнении карты, коды для прохождения аутентификации и входа в свой аккаунт или личный кабинет в разных сервисах и сайтах. Этим пользуются злоумышленники — из-за большого количества входящей информации и часто, невнимательности, жертва мошенников может легко кликнуть на ссылку в выскочившем на экране «пуше».
В конце февраля 2024 года опубликовали статью, в которой рассказывается о новом методе слежки ФБР за подозреваемыми с помощью push-уведомлений. Агентство более 130 ордеров на раскрытие данных push-уведомлений в 14 штатах. Это стало возможным, благодаря одной особенности «пушей». Когда пользователь регистрируется в приложении, на серверах Apple и Google создается и хранится его уникальный идентификатор — «push-токен». Этот токен впоследствии можно использовать для идентификации человека, использующего приложение, на основе информации об устройстве.
Защитники данных обеспокоены, что эта возможность ставит под угрозу конфиденциальность пользователей не только со стороны государства, но и злоумышленников.
Чтобы получить возможность присылать жертве push-уведомления, мошенник должен заразить устройство вредоносным ПО. Например, банковский троян Ginp, который «Лаборатория Касперского». Помимо стандартного набора умений для банковского трояна: передавать весь список контактов своим владельцам, перехватывать СМС и перекрывать экран поддельными страницами, зловред использует фейковые push-уведомления, чтобы убедить жертву открыть фишинговую страницу.
В марте 2024 российские СМИ писали о мошенников. Злоумышленники присылали пуш-уведомления от имени мобильных операторов. В тексте сообщается о необходимости подтвердить паспортные данные, чтобы продлить работу номера телефона. После перехода по ссылке, жертва оказывается на поддельном сайте оператора, а затем на фейковом портале «Госуслуги», где ее просят ввести логин и пароль от личного кабинета. Так у злоумышленников появляется доступ к чужому аккаунту на Госуслугах, а операторы связи теряют доверие граждан.
Также нельзя забывать про важность шифрования при работе с push-уведомлениями. И напоминать пользователям о правилах кибербезопасности, чтобы предотвратить нелегитимные действия со стороны злоумышленников.
Лишние уведомления лучше просто отключить, а ненужные приложения удалить с телефона. Когда «пуши» вам могут отправлять ограниченное количество сервисов, легче заметить подозрительное сообщение.
Чтобы предотвратить угрозы и снизить количество жертв мошенников необходимы совместные усилия разработчиков, специалистов по кибербезопасности и самих пользователей.
Поэтому разные компании давно взяли на вооружение и активно используют этот канал коммуникаций с клиентами. А злоумышленники используют push-уведомления для фишинга, распространения вредоносного ПО и других киберугроз. В статье рассказываем какими схемами пользуются злоумышленники, что стоит учесть разработчикам сервисов и как не стать жертвой мошенников.
Как злоумышленники используют push-уведомления
Push-уведомление напоминает СМС, состоит из заголовка и короткого сообщения, иконки с именем отправителя, также в нем могут быть изображение и кнопки для совершения определенного действия, например, перехода по ссылке. Кроме этого отличия «пушей» и СМС заключаются в том, что последние приходят на мобильный телефон любой модели, а их доставка происходит через мобильных операторов. Для получения push-уведомлений необходим смартфон, поддерживающий эту функцию, установку приложений и доступ в интернет.Пользователь может сам управлять уведомлениями: запрещать, разрешать полностью или частично. Push-уведомления обычно сохраняются в личном кабинете на сайте, в приложении или в центре уведомлений, если телефон на iOS и в журнале уведомлений, если у вас Android 10 и выше.
Со стороны пользователей push-уведомления выглядят удобными. Человек получает десятки пушей в день — от СМИ, банков, маркетплейсов, мессенджеров. В коротких текстах сообщается о скидках, появлении товара на складе, новых акциях, напоминания. Кроме этого в push-уведомлениях приходят оповещения о списании средств или пополнении карты, коды для прохождения аутентификации и входа в свой аккаунт или личный кабинет в разных сервисах и сайтах. Этим пользуются злоумышленники — из-за большого количества входящей информации и часто, невнимательности, жертва мошенников может легко кликнуть на ссылку в выскочившем на экране «пуше».
В конце февраля 2024 года опубликовали статью, в которой рассказывается о новом методе слежки ФБР за подозреваемыми с помощью push-уведомлений. Агентство более 130 ордеров на раскрытие данных push-уведомлений в 14 штатах. Это стало возможным, благодаря одной особенности «пушей». Когда пользователь регистрируется в приложении, на серверах Apple и Google создается и хранится его уникальный идентификатор — «push-токен». Этот токен впоследствии можно использовать для идентификации человека, использующего приложение, на основе информации об устройстве.
Защитники данных обеспокоены, что эта возможность ставит под угрозу конфиденциальность пользователей не только со стороны государства, но и злоумышленников.
Чтобы получить возможность присылать жертве push-уведомления, мошенник должен заразить устройство вредоносным ПО. Например, банковский троян Ginp, который «Лаборатория Касперского». Помимо стандартного набора умений для банковского трояна: передавать весь список контактов своим владельцам, перехватывать СМС и перекрывать экран поддельными страницами, зловред использует фейковые push-уведомления, чтобы убедить жертву открыть фишинговую страницу.
В марте 2024 российские СМИ писали о мошенников. Злоумышленники присылали пуш-уведомления от имени мобильных операторов. В тексте сообщается о необходимости подтвердить паспортные данные, чтобы продлить работу номера телефона. После перехода по ссылке, жертва оказывается на поддельном сайте оператора, а затем на фейковом портале «Госуслуги», где ее просят ввести логин и пароль от личного кабинета. Так у злоумышленников появляется доступ к чужому аккаунту на Госуслугах, а операторы связи теряют доверие граждан.
Рекомендации для разработчиков сервисов
Прежде, чем подключать push-уведомления к сервису, рекомендуется изучить их слабые стороны и предусмотреть защиту данных пользователей от утечки. Ограничить информацию, которая передается сервису push-уведомлений, в том числе метаданные.Также нельзя забывать про важность шифрования при работе с push-уведомлениями. И напоминать пользователям о правилах кибербезопасности, чтобы предотвратить нелегитимные действия со стороны злоумышленников.
Меры защиты
Для того, чтобы не стать жертвой мошенников пользователям необходимо соблюдать несколько правил, в том числе быть внимательными и не принимать на автомате предложения, не переходить бездумно по ссылкам из «пушей».Лишние уведомления лучше просто отключить, а ненужные приложения удалить с телефона. Когда «пуши» вам могут отправлять ограниченное количество сервисов, легче заметить подозрительное сообщение.
Заключение
Push-уведомления широко используются различными компаниями и организациями, так как этот канал коммуникации с клиентами показывает высокие результаты по открываемости и конверсии. Кроме того, это удобный инструмент для пользователей, чтобы оперативно получать интересующую их информацию. Популярность push-уведомлений привлекает и злоумышленников, которые не упускают случая найти новую схему для обмана и обогащения.Чтобы предотвратить угрозы и снизить количество жертв мошенников необходимы совместные усилия разработчиков, специалистов по кибербезопасности и самих пользователей.
