Компьютерная экспертиза при взломе паролей и аккаунтов помогает установить, каким образом был получен несанкционированный доступ к информационной системе или учетной записи. Специалист исследует цифровые следы, технические журналы и электронные устройства, чтобы восстановить последовательность событий и определить значимые обстоятельства инцидента.
Такое исследование может иметь значение при обращении в правоохранительные органы, рассмотрении спора между пользователем и оператором сервиса, а также при расследовании утечки конфиденциальной информации.
Что исследует специалист
- Журналы событий. Анализируются записи о входах в систему, изменении пароля, подключении новых устройств, восстановлении доступа и других действиях с учетной записью.
- Способ получения доступа. Определяется, могли ли использоваться фишинговая страница, подбор пароля, вредоносная программа, перехват сессии или иной способ воздействия.
- Сетевые сведения. Изучаются IP-адреса, сведения о подключениях, время сеансов и характеристики использованных устройств. При этом IP-адрес сам по себе не всегда позволяет установить конкретного человека, поскольку может использоваться совместно несколькими пользователями или скрываться за промежуточными серверами.
- Изменения в учетной записи. Проверяется, менялись ли пароль, адрес электронной почты, номер телефона, настройки двухфакторной аутентификации и права доступа.
- Последствия инцидента. Устанавливается, какие данные могли быть просмотрены, скопированы, удалены или изменены, а также какие действия выполнялись от имени владельца аккаунта.
Результатом исследования становится заключение специалиста или эксперта, в котором описываются примененные методы, обнаруженные цифровые следы и ответы на поставленные вопросы. Правовая оценка действий конкретных лиц относится к компетенции органов расследования и суда, а не к технической части исследования.
Основные способы взлома аккаунтов
Фишинг
При фишинге пользователь получает сообщение, внешне похожее на уведомление банка, социальной сети, почтового сервиса или другой знакомой организации. Ссылка ведет на поддельную страницу, где человека побуждают ввести логин, пароль или код подтверждения. Полученные сведения затем используются для входа в настоящую учетную запись.
Подбор пароля
Злоумышленник может применять автоматизированный перебор комбинаций или использовать часто встречающиеся пароли. Риск особенно высок, если один и тот же пароль применяется сразу в нескольких сервисах либо связан с легко угадываемыми сведениями о пользователе.
Социальная инженерия
В этом случае воздействие направлено не на программное обеспечение, а на самого пользователя. Например, злоумышленник представляется сотрудником службы поддержки и просит назвать код из сообщения, предоставить пароль или подтвердить операцию.
Вредоносные программы
Кейлоггеры, шпионские приложения и другие вредоносные программы способны фиксировать нажатия клавиш, перехватывать данные из браузера или получать доступ к сохраненным сеансам. Наличие такого программного обеспечения может подтверждаться исследованием компьютера, смартфона или другого носителя информации.
Перехват активной сессии
Если злоумышленник получает идентификатор действующей сессии, он иногда может использовать аккаунт без повторного ввода пароля. Подобная ситуация возможна при заражении устройства, использовании небезопасного соединения или компрометации браузера.
Злоупотребление процедурой восстановления
Доступ может быть получен через электронную почту, номер телефона, контрольные вопросы или иные способы восстановления пароля. Если эти каналы недостаточно защищены, злоумышленник способен изменить учетные данные и заблокировать владельцу доступ.
Повторное использование паролей
Утечка данных одного сервиса может привести к попыткам входа в другие аккаунты. Поэтому уникальный пароль для каждого ресурса является важной мерой безопасности.
Подмена отправителя и технических данных
При спуфинге злоумышленник старается создать видимость, что сообщение, звонок или сетевой запрос поступили от доверенного источника. Такая подмена может использоваться вместе с фишингом и социальной инженерией.
Какие цифровые следы имеют значение
Для установления обстоятельств инцидента могут исследоваться:
- системные и серверные журналы;
- история входов и уведомления о смене настроек;
- данные браузеров и почтовых программ;
- сведения о подключенных устройствах;
- резервные копии и файлы конфигурации;
- переписка, электронные письма и сообщения о восстановлении доступа;
- данные о вредоносных файлах и подозрительных приложениях.
Важна не только сама информация, но и способ ее получения. Электронные данные должны сохраняться так, чтобы можно было проверить их происхождение и убедиться, что после изъятия или копирования они не подвергались несанкционированному изменению.
Как действовать после взлома
- С другого, по возможности безопасного устройства сменить пароль и завершить активные сеансы.
- Включить двухфакторную аутентификацию и проверить резервные способы восстановления доступа.
- Сохранить уведомления, электронные письма, переписку, сведения о входах и снимки экрана.
- Не переустанавливать операционную систему и не удалять подозрительные файлы до фиксации обстоятельств инцидента.
- Проверить компьютер и смартфон на наличие вредоносных программ.
- Обратиться в службу поддержки соответствующего сервиса и запросить сведения, которые могут быть предоставлены владельцу аккаунта.
- При наличии признаков правонарушения обратиться в правоохранительные органы.
Самостоятельное изменение настроек и удаление журналов может уничтожить сведения, необходимые для последующего исследования. Поэтому сначала желательно зафиксировать состояние учетной записи и устройств, а уже затем предпринимать восстановительные действия.
Правовые основания
В Республике Казахстан неправомерный доступ к информационным системам и иные действия с компьютерной информацией могут получать уголовно-правовую оценку в соответствии с Уголовным кодексом Республики Казахстан. При анализе инцидентов также учитываются положения Закона Республики Казахстан «Об информатизации» и Закона Республики Казахстан «О персональных данных и их защите».
Если исследование проводится в рамках уголовного процесса, порядок назначения и проведения соответствующих исследований определяется Уголовно-процессуальным кодексом Республики Казахстан. Конкретные вопросы специалисту должны быть сформулированы так, чтобы они касались технических обстоятельств: времени входа, способа доступа, наличия изменений в данных и возможности выполнения определенных действий с конкретного устройства.
Как формулировать вопросы для исследования
Вопросы должны быть ясными и проверяемыми. Например, можно установить:
- имел ли место вход в учетную запись с неизвестного устройства;
- изменялись ли пароль и настройки безопасности в определенный период;
- каким способом могли быть получены учетные данные;
- имеются ли на устройстве признаки работы вредоносной программы;
- производились ли удаление, копирование или изменение файлов;
- соответствует ли представленная переписка данным, обнаруженным на устройстве или в резервной копии.
Не следует подменять технические вопросы юридическими. Установление того, кто именно совершил противоправное действие и какая ответственность должна наступить, требует оценки всех доказательств и относится к полномочиям компетентных органов.
Защита аккаунтов строится на сочетании технических и организационных мер. Уникальные длинные пароли, менеджер паролей, двухфакторная аутентификация, обновление программ и внимательное отношение к входящим сообщениям заметно снижают вероятность компрометации учетной записи.
