O DeepSeek w kontekście podatności modelu R1 już na Hacku pisaliśmy. Postanowiliśmy jednak wrócić do tematu, by zwrócić uwagę na alarmujący problem. Miliony nieświadomych użytkowników, w tym pracownicy rządowi, wchodzą na stronę internetową DeepSeek, rejestrując się i udostępniając dane osobowe bez rozważenia ryzyka związanego z bezpieczeństwem i prywatnością. Taki brak ostrożności jest niestety powszechny w przypadku mediów społecznościowych i aplikacji internetowych. Pomimo szkoleń w zakresie świadomości bezpieczeństwa użytkownicy często tracą czujność, wchodząc w interakcje z tymi platformami, co czyni ich celami hakerów. Atakujący wykorzystują dane zebrane z aplikacji jako podwaliny pod wyrafinowane cyberataki.
Wielu użytkowników zaślepionych natychmiastowymi korzyściami płynącymi z nowych platform, takich jak DeepSeek, ignorują zasady prywatności po zarejestrowaniu się. Gdyby je przejrzeli, zdaliby sobie sprawę, że DeepSeek zbiera ogromną liczbę danych – znacznie przewyższającą nawet tę TikToka! Oprócz danych wprowadzanych przez użytkownika (tekst, dźwięk, historia czatów i przesłane pliki), DeepSeek automatycznie zbiera adresy IP, unikalne identyfikatory urządzeń, model urządzenia i system operacyjny, wzorce lub rytmy naciśnięć klawiszy, język systemu, a także identyfikatory użytkowników i pliki cookie. Duża część tych danych jest niepotrzebna do celów zapytań AI, co budzi poważne obawy dotyczące prywatności.
Zagrożenie mediów społecznościowych i aplikacji internetowych
Na SecurityWeek ukazał się artykuł, którego autor – Torsten George – stawia tezę, że media społecznościowe i aplikacje internetowe stanowią poważny martwy punkt w cyberbezpieczeństwie. Zwracaliśmy na to uwagę wielokrotnie, a socjotechnice poświęciliśmy całą kampanię. Podkreślaliśmy fakt, że platformy często wyświetlają posty publicznie i atakujący mogą zbierać dane użytkownika bez jego wiedzy. Informacje udostępniane w mediach społecznościowych mogą być wykorzystywane do odgadywania haseł, podszywania się pod osoby lub tworzenia ukierunkowanych ataków phishingowych.
Typowa strategia ataku obejmuje:
Wybór celu (Target Selection) – przeglądanie serwisu, np. LinkedIn, pod kątem wartościowych pracowników korporacyjnych i użytkowników o niskich uprawnieniach, którzy mogą być bardziej podatni na socjotechnikę.
Zbieranie danych (Data Collection) – przeszukiwanie mediów społecznościowych w celu pozyskania danych osobowych, takich jak imiona zwierząt domowych, ulubione drużyny sportowe lub historia edukacji – wskazówek, które można wykorzystać do odgadnięcia haseł lub odpowiedzi na pytania bezpieczeństwa.
Atakowanie (Attack Execution) – wdrażanie phishingowych wiadomości e-mail, podszywanie się pod markę, złośliwe oprogramowanie czy stosowanie taktyk socjotechnicznych w celu uzyskania dostępu do danych uwierzytelniających, co może prowadzić do potencjalnych naruszeń danych.
Jak zminimalizować ryzyko ataku związane z korzystaniem z Internetu?
Aby zmniejszyć ryzyko bezpieczeństwa związane z mediami społecznościowymi i aplikacjami internetowymi, należy przestrzegać następujących kluczowych zasad:
Przestudiuj zasady ochrony prywatności!
Przejrzyj zasady ochrony prywatności dostawcy usług, aby ocenić, jakie dane są gromadzone, i przeprowadzić ocenę ryzyka.
Wzmocnij bezpieczeństwo konta!
- Używaj silnych, unikalnych haseł dla każdego konta.
- Włącz uwierzytelnianie wieloskładnikowe (MFA), jeśli to możliwe.
- Unikaj udostępniania danych logowania.
- Regularnie aktualizuj hasła i pytania bezpieczeństwa.
Chroń dane osobowe!
- Ogranicz udostępnianie danych osobowych online, zwłaszcza podczas interakcji z platformami opartymi na sztucznej inteligencji.
- Dostosuj ustawienia prywatności, aby kontrolować, kto może przeglądać Twoje informacje.
- Wyłącz udostępnianie lokalizacji, gdy nie jest ono konieczne.
- Unikaj publikowania poufnych danych, takich jak adresy, numery telefonów, dane finansowe lub adres IP firmy.
Uważaj na phishing i oszustwa!
- Unikaj klikania podejrzanych linków w wiadomościach e-mail lub komunikatorach.
- Zweryfikuj autentyczność próśb o dodanie do znajomych i wiadomości bezpośrednich.
- Uważaj na fałszywe profile.
Przeglądaj uprawnienia aplikacji!
- Pobieraj aplikacje tylko ze sprawdzonych źródeł (Google Play Store, Apple App Store).
- Regularnie przeglądaj i dostosowuj uprawnienia aplikacji (np. aparat, mikrofon, dostęp do lokalizacji).
- Odinstalowuj nieużywane aplikacje.
Aktualizuj oprogramowanie!
- Regularnie aktualizuj aplikacje i urządzenia mediów społecznościowych, aby usuwać luki w zabezpieczeniach.
- Instaluj aktualizacje zabezpieczeń dla swojego systemu operacyjnego i przeglądarki.
Monitoruj aktywność konta!
- Sprawdzaj aktywność konta i historię logowania pod kątem nieautoryzowanego dostępu.
- Włącz powiadomienia o nierozpoznanych logowaniach lub naruszeniach bezpieczeństwa.
Używaj bezpiecznych wiadomości i szyfrowania!
- Do przesyłania wiadomości używaj aplikacji z szyfrowaniem typu end-to-end, takich jak Signal lub WhatsApp.
- Unikaj udostępniania poufnych danych za pośrednictwem czatów w mediach społecznościowych.