Надішліть це людям, які вам дорогі. Будь-хто, хто користується інтернетом — а це фактично всі, — має знати, що відбувається і як захистити себе.
Просто зараз, поки ви це читаєте, рої ШІ-агентів, імовірно, намагаються зламати сайти, якими ви користуєтесь. Не один із них. Багато.
Ми перебуваємо в епіцентрі найбільшої за останні роки події у сфері кібербезпеки. Деякі експерти з безпеки вже називають її Чорним жовтнем.
Я пишу це не для того, щоб вас налякати. Багато з цього від вас не залежить. Але є прості речі, які ви можете зробити, щоб захистити себе, і будь-яка ваша дія краща за бездіяльність.
Щогодини цього тижня ставала відома ще одна атака. Поки ви дочитаєте цей текст, їх, мабуть, побільшає.
Тож ось що відбувається і що з цим робити.
Що відбувається просто зараз
Якщо зараз на це важко дивитися, сміливо переходьте одразу до розділу що з цим робити. Але я дуже раджу прочитати все до кінця.
Вчора виявили серйозну вразливість у PHP — програмному забезпеченні, на якому працює приблизно 70% сайтів.
Уявіть так: хтось з'ясував, що мільйони будинків у країні мають однаковий зламаний замок, і тепер усі знають, як його відкрити. Виробник замків надіслав виправлення, але кожен власник будинку має встановити його самостійно, і багато хто цього ще не зробив.
За словами генерального директора Cloudflare, протягом двох годин після новини зловмисники намагалися підібрати цей замок сотні тисяч разів. Тепер рахунок іде на мільйони. Amazon заявляє, що хтось намагався використати цю вразливість ще за чотири дні до її публічного оголошення, а керівник служби безпеки компанії каже, що дірка "зараз масово використовується зловмисниками". (Це Amazon б'є на сполох, а не повідомляє про свій злам.) Поки ніхто не підтвердив успішного злому через неї, але атакують звідусіль. На всяк випадок організація, яка керує Вікіпедією, вимкнула частину своїх систем, а уряди Нідерландів, Фінляндії, Німеччини, Франції та інших країн відключили свої сайти.
І це лише одна історія, верхівка айсберга. Я поділюся кількома найбільшими. Якби я перелічив усе, ви б читали годинами.
- Хакерське угруповання, пов'язане з китайською державою, використало ШІ-інструмент для злому, щоб спробувати проникнути у понад 2000 організацій через сервіс резервного копіювання, від якого залежать ІТ-компанії, повідомляє Microsoft.
- Хмарна платформа, якою користуються близько двох мільйонів розробників, заявила, що до секретних ключів клієнтів міг бути отриманий доступ. Сьогодні вранці мій друг зіткнувся з тим, що хтось спустошував його акаунт на одному з таких сервісів.
- Найбільший банк Індії повідомив, що особисті дані майже 3900 клієнтів опинилися в даркнеті.
- Злочинне угруповання використало ШІ-інструменти, щоб атакувати понад 400 банків і фінансових компаній по всій Латинській Америці.
- Хакери зламали 16 фінансових установ у Південній Кореї, включно з великими банками.
- Уряд Японії закликав компанії посилити захист після витоків, які могли скомпрометувати дані десятків мільйонів людей.
- Сайти та додатки мереж Stop & Shop, Hannaford і Food Lion не працювали понад тиждень.
- ФБР, АНБ та ще три відомства попередили, що хакери, які використовують написані ШІ скрипти для атак, розвідують системи, що керують водопостачанням, енергетикою та виробничими підприємствами.
Уряди це передбачали. У червні США та їхні найближчі союзники попередили про злом за допомогою ШІ: "Мова йде не про роки, а про місяці". Минуло чотири місяці — і ось ми тут.
Оригінальна версія цієї статті доступна тут.
Чому цього разу все інакше
Ви чули про злами роками. Ось що змінилося.
У кожної будівлі є слабкі місця: вікно, яке не зачиняється, задні двері з дешевим замком. З програмами те саме. Вони повні прихованих вразливостей. Десятиліттями їх пошук вимагав рідкісних висококваліфікованих спеціалістів, яких було небагато. Це і був наш захист. Не надійні замки, а просто дефіцит зломщиків.
Цей дефіцит закінчився. Три речі сталися одночасно.
По-перше, ШІ тепер може знаходити слабкі місця. Вразливість у PHP була знайдена за допомогою ШІ, і ШІ-інструменти виявляють тисячі помилок, які роками залишалися непоміченими.
По-друге, ШІ тепер може зламувати самостійно. Без досвідченого хакера. Одна людина дала ШІ-агентам інструкції, коротші за твіт — менше ніж 100 китайських ієрогліфів — і дозволила їм працювати майже автономно. Вони зламали сайти понад 100 компаній, включно з John Deere, витративши орієнтовно 50 доларів на кожен злом. Вони не сплять і не нудьгують. Просто продовжують спроби, доки не знайдуть шлях усередину.
По-третє, захисники щосили намагаються встигнути. Кожну вразливість досі треба виправити, протестувати та встановити на мільйонах систем, якими керують люди, що й так перевантажені. Навіть для найсерйозніших помилок потрібно в середньому близько двох тижнів, лише щоб випустити виправлення, а безліч сайтів взагалі ніколи не оновлюються. Компанія з кібербезпеки Cisco оцінює, що приблизно половина серверів із цим програмним забезпеченням, доступних з інтернету, занадто старі, щоб отримати офіційне виправлення.
Складіть усе це разом, і отримаєте гру в кішки-мишки, де атакуючим достатньо виграти лише раз. Саме цей розрив між нападниками та захисниками ви й бачитимете в новинах найближчими днями.
Це триватиме й ставатиме гіршим
Це не просто невдалий тиждень. Це початок того, до чого нам усім треба бути готовими.
Погляньте на цифри. Компанія з кібербезпеки CrowdStrike повідомляє, що кількість атак, які вона фіксує й у яких, імовірно, задіяні ШІ-агенти, більш ніж подвоїлася в серпні, а потім подвоїлася знову у вересні. І якщо судити з цього тижня, процес лише прискорюється. ШІ стає кращим кожні кілька місяців, а його використання — дешевшим. Інструменти, якими хакери користуються сьогодні, — найгірші з тих, що вони коли-небудь матимуть.
До того ж ці інструменти вже "гуляють" мережею. Коли ШІ-інструмент для злому пов'язали з атаками на корейські банки, його творець припинив публічне поширення, а сторінку завантаження видалили. Але це нічого не змінило. Будь-хто, хто вже завантажив його, може ним користуватися.
Хороша новина полягає в тому, що захисники теж мають ШІ, і він знаходить та виправляє вразливості швидше, ніж будь-коли. З часом зламати програмне забезпечення стане набагато складніше, ніж сьогодні. Але зараз напад випереджає захист, і так може тривати ще деякий час.
Що це означає для вас
Просто зараз великі американські банки, включно з JPMorgan, Bank of America та Wells Fargo, виявляють несанкціонованих ШІ-агентів в акаунтах клієнтів, пише Axios. Деяких налаштували самі клієнти, але багато банків не можуть відрізнити, хто діє від імені клієнта, а хто — ні. Керівники банків назвали ситуацію "жахливою". Axios не повідомляв про викрадення грошей.
Але для більшості людей сьогодні найбільшу небезпеку становлять три інші речі. Ваші дані витікають, тож шахраї знають ваше ім'я, дату народження, адресу та банк, а їхні дзвінки й повідомлення звучать правдоподібно. Ваші акаунти захоплюють через якийсь сайт, яким ви скористалися раз багато років тому, використовуючи той самий пароль, що й скрізь. А сервіси, від яких ви залежите — додаток, аптека чи сайт магазину — не працюють днями.
Зрозумійте правильно: це триває, але найгірші сценарії, яких люди бояться найбільше, поки не справдилися. Сподіваюся, цього ніколи не станеться. Але краще перестрахуватися, ніж потім шкодувати, особливо враховуючи, що це повторюватиметься.
Що зробити сьогодні
По-перше, уникайте незнайомих сайтів, поки буря не вщухне. Користуйтеся великими, відомими ресурсами: вашим банком, Amazon, Google. Маленькі сайти найменш імовірно встигли встановити виправлення, а ззовні цього не перевірити. Найближчі кілька тижнів не вводьте паролі чи номери карток на незнайомих ресурсах.
По-друге, оновіть усе: телефон, комп'ютер, планшет і браузер. Коли власні налаштування телефону чи комп'ютера повідомляють про доступне оновлення — встановіть його. Це ваш замок. Зробіть те саме для роутера, а якщо він настільки старий, що більше не отримує оновлень, замініть його. Але ніколи не встановлюйте "оновлення" зі спливаючих вікон на сайтах або за посиланнями в повідомленнях чи листах. Це поширена схема шахраїв. Не знаєте, як це зробити? Ось проста покрокова інструкція.
По-третє, зачиніть двері, якими не користуєтесь. Відключіть непотрібні розумні пристрої та видаліть додатки, які не використовуєте. Кожен підключений гаджет — це ще один шлях для злому.
По-четверте, захистіть свій банківський рахунок. Якщо хтось телефонує, пише чи надсилає лист із проханням назвати пароль або код, який щойно прийшов на телефон, — це шахрайство. Завжди. Ці коди потрібні лише для того, щоб ви самі вводили їх у додатку чи на сайті свого банку. Ставтеся до кожного дзвінка, повідомлення чи листа щодо вашого банку як до підозрілого, доки не перевірите це самостійно: не натискайте на посилання та не телефонуйте за номером, який вам дали. Покладіть слухавку та зателефонуйте за номером на звороті вашої картки. Якщо це справді був ваш банк, вони зможуть допомогти.
Вводьте логін і пароль від банку лише в офіційному додатку чи на сайті вашого банку. Не передавайте їх нікому, включно зі ШІ-асистентом чи іншим додатком, якими б корисними вони не здавалися. Chase радить не давати їх нікому. Увімкніть двоетапну автентифікацію для електронної пошти та банку (ось як це зробити) і припиніть використовувати однакові паролі. Менеджер паролів значно це спрощує, а у вашому iPhone чи Android він уже вбудований.
Якщо хочете бути максимально обережними, тримайте вдома трохи готівки — достатньо для покупки продуктів на кілька днів — плюс запас їжі та води. Це звичайний набір для екстрених ситуацій, і мати його варто в будь-якому разі.
Чого я б точно не робив, так це знімав усі гроші з банку. Паніка — це саме те, на що розраховують шахраї. Якщо банк збанкрутує, вклади в банках, застрахованих FDIC, захищені на суму до 250 000 доларів на одну людину в одному банку. Ця страховка не покриває гроші, викрадені зі зламаної картки. Але федеральні правила зазвичай обмежують ваші втрати від несанкціонованих переказів, якщо ви повідомите про них швидко, тому часто перевіряйте рахунки та одразу телефонуйте в банк, якщо щось виглядає підозріло. Гроші, які ви самі переказали через обман, повернути набагато складніше, тому шахрайські дзвінки — більша загроза.
Найближчі кілька днів будуть дивними. Попереду ще багато новин. Сподіваюся, більшість систем продовжать працювати. Просто зробіть сьогодні ці нудні, але важливі речі.
Надішліть це своїм близьким просто зараз. Батькам, бабусям і дідусям, друзям, у групові чати. Будь-хто, хто підключений до інтернету — а це буквально всі, — має знати, що відбувається. Ті, хто найменш імовірно про це почує, постраждають найбільше.
Оригінальна версія цієї статті доступна тут.
