Вы пользуетесь услугами компании, которая тратит слишком мало денег на безопасность. В один прекрасный момент их взламывают, и вся клиентская база оказывается в руках злоумышленников: телефоны, почтовые адреса, имена, фамилии, ваши покупки. Почти всегда такие базы в итоге оказываются в публичном доступе. В итоге ваши данные станут доступны всем желающим.

Вы пользуетесь услугами компании в высококонкурентном бизнесе, где цена данных клиентов очень высока. Некоторые сотрудники уходят к компаниям-конкурентам, скопировав себе клиентскую базу. Каким образом эта база будет использована, и не пойдёт ли она дальше по рукам — нет никаких гарантий.

Вы пользуетесь услугами компании, которая собирает данные своих клиентов, чтобы предлагать скидки и акции. Для этого они рассылают рекламу, пользуясь услугами другой компании. Эта компания делает рассылки постоянно, и заинтересована иметь свои данные по клиентам. Поэтому у второй компании накапливаются базы с данными чужих клиентов, которые могут быть потом переиспользованы для других рассылок.

Наверняка у вас возникло возражение: неужели это никак не контролируются законом? Они не могут легально пользоваться этими данными!

К сожалению, законодательство в сфере обработки персональных данных (ПДн) не поспевает за реалиями. Обмен виртуальными (не физическими!) данными трудно отследить и пресечь. Более того, рынок нелегального обмена ПДн настолько развит, что большие игроки лоббируют его легализацию. В таких условиях нельзя положиться на защиту государства или гарантии компаний, и нам необходимо относиться более сознательно к тому, какие данные и в каком количестве мы отдаём другим.

Почти все мы имеем рабочие и личные дела. Поэтому начать стоит с разделения этих сфер жизни.

Большинство крупных компаний предлагают сотрудникам корпоративную связь: или вы берёте новую сим-карту от компании, или на ваш личный номер подключают рабочий тариф.

Но даже если такой возможности нет, всегда заводите отдельный номер телефона. У меня есть несколько аргументов: - Ваши аккаунты невозможно будет связать по номерам автоматически, кроме как через договор с оператором. А это уже высокий уровень защиты! - С отдельным телефоном на порядок легче мыслить в категориях приватности. У вас есть выбор, какой номер привязать к смс-банкингу, а какой на публичном сайте компании. - Работа есть работа, она должна быть отделена от отдыха и вашей личной жизни. И второй телефон пойдёт только на пользу. :)

Можно выделить 3 сегмента сервисов, которые помогают защитить ваш реальный номер телефона.

Чтобы усложнить поиск информации о вас, рекомендуется использовать ящики с умом: используя техническую возможность создания вариаций ящиков. Согласно официальным соглашениям, после алиаса и перед знаком @ вы можете указывать дополнительный суффикс с “+”, например nickname+facebook@google.com. Письма на такой электронный ящик будут приходить к владельцу nickname@google.com, но с точки зрения сайтов это будет совершенно другой ящик. У Google, к тому же, существует особенность: любые точки в алиасе рассматриваются как опциональные и работают как суффиксы после “+”.

Существует несколько схем использования: уникальный ящик для каждого сервиса, уникальный ящик для каждой “личности” либо использование только для некоторых сервисов по известной только вам схеме.

Дополнительные преимущества использования суффиксов и точек описаны здесь. Также вы можете проверить использование своего почтового ящика на разных сервисах с помощью инструмента mailto_analyzer.

Отдельно стоит отметить привычку большого количества людей использовать отдельный “мусорный” почтовый ящик для некритичных сервисов и разнообразных спам-подписок. Само по себе разделение почтовых ящиков полезно, но только если оно сознательно (см. выше).

Если же вы не заглядываете в такой ящик, и письма там лежат непрочитанными тысячами и более, то это важный сигнал: разберитесь, действительно ли вам нужен этот ящик. Если нет, то отпишитесь от всех рассылок и удалите связанные с ним аккаунты, чтобы минимизировать вероятность использования этого email-адреса для сбора информации о вас.

Существует большое количество сервисов, предоставляющих одноразовые почтовые ящики на 10-15 минут. Они хороши для одноразовых регистраций на сайтах, куда вы попадаете в первый раз и больше, скорее всего, не воспользуетесь. Здесь рассмотрим те сервисы, которые создаются на случайных доменах.

Сервисы, генерирующие правдоподобно выглядящие алиасы (имя.фамилия):

• TemporaryMail

• MinuteInbox

Другие популярные сервисы: - 10minutemail - TEMPMAIL - Mohmal

Также в Интернете можно найти сервисы, которые дают возможность использовать ваш алиас для временного ящика. Такие почтовые адреса удобно использовать для сервисов, в которых email должен выглядеть правдоподобно.

Примеры таких сервисов:

• Maildrop

• Mailsac

• templail+

• Yopmail - также поддерживает пересылку (см. ниже)

Сервисы, которые позволяют пересылать письма используют, так называемые “маски”, позволяющие скрыть ваш настоящий электронный адрес.

Принцип работы очень простой: - Адрес-маска получает письмо - С этого адреса идет пересылка письма на ваш настоящий адрес

Пример на основе Firefox Relay:

Сначала предоставляется маска, которая скрывает настоящий адрес.

Теперь, используя данный адрес-маску мы можем получать письма на свой электронный адрес, не показывая его всему Интернету.

Раздел будет дополняться

Примеры сервисов:

• SimpleLogin

• AnonAddy - делает адреса по шаблону *@ivanov.anonaddy.com

• Firefox Relay - делает случайные адреса на домене mozmail.com

• erine.email - делает адреса по шаблону *.ivanov@erine.email

Раздел будет дополняться

Парольный менеджер BitWarden позволяет генерировать случайные алиасы почты с плюсом, а также адреса catch-all почтовых ящиков и даже почтовые ящики для пересылки.

Раздел будет дополняться

В различных областях действуют нормы, обязывающие или поощряющие публикацию документов с персональными данными. С одной стороны, открытость в этих областях помогает прозрачности в отрасли (например, госзакупки, списки прошедших/выпускников), но нас более волнует, что, однажды попав в такой документ, нам будет сложно из него удалиться.

К России относятся следующее: - списки абитуриентов в университетах: часто выкладываются с полными ФИО, количеством баллов, из года приказа о зачислении можно сделать вывод о возрасте; - информация об индивидуальных предпринимателях, руководителях и учредителях компаний (ЕГРЮЛ/ЕГРИП); - публичные картотеки судебных дел: однажды совершив правонарушение и даже сумев оправдаться, вас можно будет найти по истории дел; - общедоступные телефонные базы: большей частью содержат неактуальную информацию, но с привязкой к дому и квартире; - публичные реестры задолженностей и залогов; - и так далее.

Раздел будет дополняться

Современная архитектура авторизации и регистрации в онлайн-сервисах предполагает активное использование сторонних “проверенных” учётных записей. Например, почти везде в зарубежном сегменте интернета есть возможность входа через Facebook, в то время как в России всё больше распространяется вход через VK. В каких-то сервисах это подразумевается неявно, например, вход в YouTube через Google-аккаунт.

Если вы таким образом авторизуетесь на неосновном и общедоступном устройстве (например, телевизор или игровая приставка), то есть риск раскрытия о себе публично отображаемой информации, например, имени и фамилии. Для минимизации этого риска стоит переименовывать аккаунт с “Имя Фамилия” на что-нибудь нейтральное, например, “Аккаунт”.

• Не публикуйте фотографии в “сыром” виде, файлами. Часто они содержат информацию о месте съёмки.

• Если пользуетесь доставкой, указывайте минимально необходимое количество информации в стандартных полях адреса. Самый предпочтительный вариант - указать лишь номер дома и встретить курьера снаружи. Всё остальное (этаж/квартира/домофон) пишите в поле дополнительной информации — курьер его легко прочтёт, а вот в базу данных с вашим адресом такая неструктурированная информация попадёт с меньшей вероятностью.

В России есть единый государственный оператор почтовой сети: Почта России. Он осуществляет большинство почтовых отправлений.

Для доставки обычно используется адрес пребывания человека и его имя, т.е., необходимо указывать ФИО, почтовый индекс, а также полный адрес, включая номер квартиры. Обычные письма или извещения о заказных письмах/посылках доставляются почтальонами вплоть до почтового ящика на двери дома или в подъезде многоквартирного дома.

Однако, существует возможность анонимной для отправителя доставки писем с использованием абонентских ящиков. Это выделенный ящик для почты в конкретном почтовом подразделении. Каждый ящик имеет свой номер, онлайн можно выбрать любой незанятый, наппример, 777. Также при договоре заключении аренды ему можно присвоить произвольное имя - это платная (и относительно дорогая) услуга. Единственный минус с точки зрения приватности - для аренды ящика необходимо создать аккаунт на abox.pochta.ru, указав свой номер телефона и паспортные данные.

После заключения договора вы получите ключ от ящика, и можете открыть его в любое время. Но важно понимать, что ящики расположены на территории почтовых отделений, и доступ к ним регламентирован его временем работы. Поэтому удобнее выбирать самые большие отделения, где абонентский отдел работает круглосуточно. В Москве, например, это почта на улице Мясницкой, индекс 101000.

Каким образом теперь отправлять письма? В качестве адреса просите ваших корреспондентов указывать только индекс и номер ящика. Возьмём примеры выше.

Каноничная запись: 101000, а/я 777

Или же коротко: 101000, 777

А если вы присвоили ящику имя “Свалка”, то: 101000, свалка

Стандартные рекомендации по использованию 8 символов, которые включают в себя специальные символы, буквы, цифры не работают! Ведь P@ssw0rd тоже подходить под эти требования, а это не самый крутой пароль, поэтому давайте разбирать методы для создания стойких паролей.

Это то, чем должен пользоваться каждый! Вспоминаем главный принцип из первой строки и сразу в голову приходит вопрос - “Ну, мне что теперь, запоминать 100 паролей!?!?”. Нет, не нужно запоминать 100 паролей, требуется один, это пароль от менеджера паролей.

Менеджер паролей позволит генерировать стойкие пароли и хранить их в одном, а что главное - безопасном месте.

Обзор популярных менеджеров паролей можно прочитать в данной статье - Обзор менеджеров паролей

Личной рекомендацией составителей руководства будет сервис Bitwarden. Для личного использования его хватит с головой, бесплатная версия включает хранение неограниченного количества паролей, использование с неограниченного количества устройств и все основные функции менеджеров паролей. Помимо хранения паролей, также можно хранить свои номера банковских карточек и заметки. Генератор паролей позволяет сгенерировать стойкий пароль и проверить его в утечках, что несомненно является одной из “Killer Feature”.

• Свободный менеджер паролей LessPass работает на чистой функции

На постсоветском пространстве для поиска по фотографии лица всё ещё можно использовать Яндекс. Но одного его мало: ниже — сервисы, которые ищут именно лица, а не похожие картинки.

Если вы активно использовали социальные сети, то можете обнаружить не только свой аккаунт, но и фотографии с вашим лицом в аккаунтах ваших друзей, знакомых или других людей, которые даже не имеют к вам отношения. Разумеется, такие фото удалить чрезвычайно затруднительно, и если вы не хотите, чтобы они указывали на вас, то следует грамотно удалить аккаунт.

Условия очень разные: от бесплатного удаления по селфи за минуту до письма анонимному владельцу на gmail. А у одного сервиса такой возможности нет вовсе.

FaceCheck.ID. Удаление бесплатное и, по заявлению сервиса, мгновенное: нужно найти себя поиском по собственному фото, отметить свои снимки на странице Remove My Photos и подтвердить личность селфи прямо в браузере.

PimEyes. Форма отказа требует загрузить несколько фотографий лица с разных ракурсов и скан паспорта или удостоверения личности. То есть чтобы вас перестали находить по лицу, нужно отдать сервису дополнительные фотографии вашего лица и документ. Скан просят обезличить, закрыв всё лишнее, но решать, стоит ли такой размен, всё равно вам.

Geometria. Здесь путь законный, но бумажный: оператор — российское юрлицо, ООО «ГЕОПРОМЕДИЯ», и отозвать согласие на обработку данных можно, отправив скан письменного заявления на law@geo.pro или оригинал заказным письмом. Отзыв удаляет учётную запись и записи с вашими персональными данными, но не сами фотографии: они остаются в репортажах, а контент администрация по соглашению удаляет исключительно по своему усмотрению.

Search4Faces. Формы нет, но есть почта: сервис прямо пишет, что запросить удаление своих изображений из поисковой выдачи можно письмом на search4faces@gmail.com, и обещает ответить в течение суток. Гарантий, кроме этого обещания, никаких — кто владеет сервисом, неизвестно: домен зарегистрирован через багамского регистратора приватности, а переписка идёт с обычного ящика на gmail.

VK.watch. Политика приватности у сервиса есть, и в ней даже описано право потребовать удаления данных письмом на support@vk.watch. Но читать её стоит внимательно: она описывает данные подписчика — почту, платёжные реквизиты, технические логи, историю запросов. Архивных профилей ВКонтакте в перечне собираемых данных нет вовсе, и обязательства убрать вас из архива в ней тоже нет. Право на удаление здесь есть у того, кто ищет, а не у того, кого находят.

Но профилактика надёжнее любого письма: в архиве останется тот снимок, который был сделан при сборе, и сменить аватарку задним числом бесполезно — в этом и смысл архива.

Главное: удаление из индекса не удаляет саму фотографию. Она остаётся там, где лежала — в чужом альбоме, на сайте мероприятия, в новостной заметке — и её переиндексирует следующий сервис. Устойчиво работает только удаление первоисточника: удалить свой аккаунт или попросить владельца сайта убрать снимок.

И эти сервисы — не все, а лишь те, что видны снаружи. Например, Clearview AI собирает такой же индекс, но продаёт доступ только государственным заказчикам, и проверить себя в нём нельзя никак. Есть и другие закрытые сервисы, которые ищут по индексу фотографий из социальных сетей и даже из мессенджеров, популярных в отдельных странах, — WhatsApp, Telegram и прочих. А там фотография профиля по умолчанию открыта: её видит любой, кто наткнулся на ваш аккаунт в общей группе или нашёл вас по номеру телефона, так что закрыть её настройками приватности стоит не только от знакомых.

Раздел будет дополняться

Раздел будет дополняться

• Большой брат (пока) подслеповат

• Новый макияж короля

Четыре действия, на которые хватит вечера. Подробности и объяснения — дальше в главе, но начать можно прямо с них.

1. Поищите себя по номеру телефона и по почте в сервисах проверки утечек. Вы узнаете, в каких именно базах уже лежите, — а дальше станет понятно, что чинить в первую очередь.

2. Смените пароли там, где они повторяются. В российских утечках пароль почти всегда лежит рядом с логином, так что один раскрытый пароль открывает все ваши аккаунты сразу.

3. Включите вход по коду — двухфакторную аутентификацию — везде, где она есть. Тогда одного украденного пароля уже не хватит.

4. Заведите отдельную почту для магазинов, доставок и разовых регистраций. Такие базы утекают чаще всего, и пусть утекает адрес, который не связан с вашими главными аккаунтами.

Дальше — почему это работает именно так и что делать, если данные уже утекли.

Начинать стоит не с чтения, а с проверки: по телефону, почте или ФИО можно посмотреть, в каких известных утечках вы уже есть. Сервисы для этого и риски каждого разобраны в разделе Поиск себя в утечках.

Главное оттуда: за любым онлайн-поиском может стоять желание дополнить ваш профиль — записать ваш адрес в сети, связать несколько ваших запросов между собой и понять, кого вы ищете. Поэтому надёжнее искать себя в самих файлах утечек, а не через чужой сайт, хоть это и труднее.

Никак. Это главный неприятный факт главы, и обойти его нечем.

Попросить популярные сервисы убрать вашу запись из поиска можно, и это стоит сделать. Но сама база от этого не исчезает: к моменту, когда утечка стала публичной, её успели скачать десятки людей, она разошлась по частным сервисам и закрытым ботам, и отозвать все копии невозможно. Запрос на удаление убирает вас из одного окна, а не из данных.

Теоретическая возможность удалиться всё-таки есть, и знать о ней стоит — хотя бы чтобы понимать, кому она доступна. Люди с высоким статусом или служащие в силовых структурах добиваются удаления себя из выдачи давлением на сами сервисы, которые этой выдачей торгуют. Но удаляют так только тех, на кого есть чем надавить, — и у этого есть обидный побочный эффект: само удаление работает как маркер. Если человек находится в одном сервисе и отсутствует в другом, из этого видно и то, какие сервисы чистят выдачу, и то, что за конкретным человеком кто-то приходил. А удалиться полностью всё равно не выходит: баз слишком много, и договориться со всеми разом не получится ни у кого.

Это не повод ничего не делать — это повод делать другое.

Утекают не только логины и пароли. Чтобы было видно, насколько это шире, — разберём одну реальную базу по полям, а потом посмотрим на остальные.

Это лишь часть одной базы — а таких по всем регионам России собраны сотни.

Здесь полезно развести две разные вещи: сколько данных утекло и как к ним получают доступ.

Существует много сайтов, которые позволяют по телефону, почте или даже ФИО самостоятельно найти себя в утечках информации и слитых базах. Использовать их надо с осторожностью, потому что за любым онлайн-поиском может стоять дополнительная цель в обогащении данных. Например, сбор IP-адреса, связывание нескольких поисков одного человека для сбора информации о его окружении.

Поэтому предпочтительным вариантом всегда остаётся самостоятельный поиск в файлах утечек. Но это может быть затруднительно: надо найти файл (или много файлов, если нужен исчерпывающий поиск), понять его структуру, выполнить эффективный поиск.

Если же вы пошли более простым путём, то рекомендую использовать такие ресурсы, по убыванию рисков:

Gmail и другие крупные почтовые сервисы поддерживают специальные символы для создания алиасов вашего почтового ящика. Почта, отправленная на алиас, придёт к вам, но в поле “Получатель” вы будете явно видеть, куда она пришла.

То есть, soxoj@protonmail.com будет эквивалентен soxoj+gitlab@protonmail.com:

Строго рекомендуется использовать эту возможность во всех сайтах, где она поддерживается. Таким образом: 1. Вы в случае утечек или рассылки спама будете точно знать, откуда была получена почта. 2. В случае целенаправленного сбора информации по вашему email информация с нескольких сайтов с меньшей вероятностью будет объединена в одно досье.

Разумеется, при сборе утечек часто используется нормализация почт: удаление подобных частей алиасов и очистка лишнего. Поэтому можно говорить только про снижение риска, а не стопроцентную защиту.

Отдельно стоит упомянуть про указание почтовых адресов для отправки чеков при покупках в Интернете.

Кроме непосредственно поиска себя в базах, вы можете проактивно оставить “маячки”, по которым быстро найдёте сайт или компанию-виновника. Чаще всего в жизни это происходит при спам-звонках, в которых упоминают ваше имя, например, указанное на сайте с объявлениями.

Сайты по-разному относятся к корректности имени и фамилии аккаунтов. Кто-то требует того, чтобы они совпадали с паспортными данными (например, в ВК), кто-то только сверяет их с документами в случае финансовых операций, а большинство вообще не валидируют.

В зависимости от строгости правил сервиса (ToS, Terms of Service) можно использовать трюки, перечисленные ниже. Но перед использованием я настоятельно советую изучить, какие санции возможны, если вы укажете некорректное имя, и оценить эти риски для себя.

Парольный менеджер BitWarden позволяет генерировать случайные алиасы почты с плюсом, а также адреса catch-all почтовых ящиков и даже почтовые ящики для пересылки.

Подробнее про эти возможности читайте в разделе “🥷 Продвинутый уровень” секции Почтовый ящик.

Пройти это по своим данным вместе со специалистом — определить источник утечки, завести подставные адреса и имена для разных сервисов и потом увидеть, какой из них сдал вас первым, — можно по адресу counter-osint+book@soxoj.com.

Возможно, вы видели ссылки в биографии на странице ВК, которые никуда не ведут (либо ведут в приложение “Узнай, кто за тобой шпионит” или вроде того). Это простейшая форма канарейки.

Существует замечательный онлайн-сервис - Canary Tokens, который позволяет создавать своих собственных канареек.

Он позволяет создать различного рода канарейки, которые мы можем использовать для детектирования любопытных сотрудников вашей организации или обнаружить компрометацию ваших систем еще до того как злоумышленник сможет выполнить некоторые деструктивные действия.

Какие виды можно сгенерировать и при каких условиях будет получено уведомление: - URL-токен. При переходе по ссылке. - DNS-токен. При разрешение доменного имени. - AWS-ключи. При использовании ключа AWS. - Microsoft Word/Excel Document. При открытии файла. - Kubeconfing. При использовании Kubeconfig. - WireGuard VPN. При использовании конфига. - Cloned Website. При клонировании веб-сайта. - MySQL Dump. При загрузке дампа MySQL. - Windows Folder. При попытке открыть папку. - Fast Redirect. При попытке посетить сайт, с последующим перенаправлением. - Slow Redirect. При попытке посетить сайт, с последующим медленным перенаправлением, для получения большей информации. - Custom Image Web Bug. При просмотре вашей картинки. - Acrobat Reader PDF Document. При открытии PDF документа в Adobe Reader. - Custom exe / binary. При запуске исполняемых файлов. - SQL Server. При загрузке базы данных SQL Server. - SVN. При открытии папки SVN. - Unique email address. При отправке почты на электронный адрес.

Пример уведомления на почту:

Раздел будет дополняться

Раздел будет дополняться

Создаём аккаунт с идентификаторами, которые используются в активном поиске по данным из утечек.

Раздел будет дополняться

Почты:

• https://randomuser.me/

• https://www.fakenamegenerator.com/

• https://www.behindthename.com/random/

Раздел будет дополняться

Многие приложения сделали свой бизнес только лишь на доступе к телефонной книге пользователя. Самое нашумевшее - GetContact, которое прошлось волной и по российским пользователям. Принцип прост – связка из имени контакта и телефонного номера из вашей книги утекают на сервера, там объединяются в одну базу данных. После чего становится возможным узнать ФИО по номеру телефона, запросив напрямую в базе. А иногда и профессию, и возраст, и вообще что угодно. Для примера: “Иван ФСБ”, “Александр Клиент”, “Валерия Хрущёва 42”, “Машка Петрова Якобы Модель”. Сейчас все эти данные можно легко получить через Telegram-ботов.

Некоторые другие приложения (например, вполне официальные вроде Сбербанка) запрашивают доступ к телефонной книге, чтобы сократить телодвижения для переводам по номеру телефона на пару кликов. При этом, очевидно, контакты в любом случае загрузятся к ним на сервер, и что там с ними произойдёт - неизвестно.

Поэтому первым и очевидным шагом в сторону приватности (как себя, так и своих близких и знакомых) будет ограничение доступа к телефонной книге – не даём его приложениям по запросу, т.к. они должны функционировать без него (Сбербанк прекрасно обходится и без этого). В противном случае внимательно изучаем приложение и ищем альтернативы, если оно безоговорочно требует дать ваши номера.

Продолжая тему из предыдущего абзаца: приложения для сбора контактов работали не только явно, но скрыто, внедряясь за деньги в другие, бесплатные приложения. Таким образом, большое количество невнимательных людей сами сливали свои данные, не обращая внимание на то, что очередная игра из Google Play запрашивает слишком много расширений. А лицензионные соглашения в наше время мало кто читает, увы.

• Список сервисов и приложений-альтернатив, нацеленных на приватность

Каждый телефон, который может подключиться к беспроводной интернет-сети, обладает MAC-адресом. Этот адрес используется телефоном не только во время подключения, но и даже при поиске “знакомых” Wi-Fi-сетей вокруг.

Этим пользуются компании, организующие интернет в общественных пространствах. Они настраивают свои устройства на сбор всех MAC-адресов проходящих вокруг людей. Таким образом, становится возможным не только отслеживать перемещения и посещения, но даже следить за конкретными людьми до места жительства. А если человек подключился к “опасной” точке доступа, то становится возможным связать телефон с ним напрямую.

Отдельная заметка касательно сбора MAC-адресов телефонов, находящихся в режиме поиска сетей. Устройства Apple по умолчанию поддерживают создание случайных MAC при поиске, с версии iOS 14 также делают случайные адреса для каждой сети Wi-Fi при подключении. Устройства Android менее приватны, возможность использования случайных идентификаторов появилась только с версии Android 10.

Придерживайтесь следующих правил: - Выключайте Wi-Fi на устройстве, когда он вам не нужен. - Не подключайтесь к публичным беспроводными сетям. - Периодически очищайте список известных Wi-Fi в телефоне.

Раздел будет дополняться

• Прошли мимо кафе, а вам тут же показали его рекламу? Это не паранойя

• Telegram-канал про защиту смартфонов на Android

Этот раздел в “Быстрых настройках конфиденциальности” очень важен для нас - он позволяет “разорвать связь” между вашим телефоном и почтой и аккаунтом.

• Хабр - Настройки приватности Facebook VS OSINT

Telegram даёт возможность гибко управлять белыми и чёрными списками по доступу к вашим данным. Для пунктов в этом подразделе можно скрыть информацию от всех или показать всем либо использовать список ваших контактов. Также возможно добавлять точечно исключения в виде отдельных аккаунтов или всех людей, состоящих в определённых группах.

Контактами в данный момент в Telegram считаются не только те аккаунты, для которых вам известен телефон (так было ранее), но и аккаунты, вручную добавленные в контакты приложения. Поэтому полагаться на список контактов в настройках сильно не следует – как минимум, в вашей телефонной книге уже могут быть посторонние номера, а контакты внутри приложения легко добавить по ошибке. Поэтому рекомендуется сделать ревизию телефонной книги либо вообще не расшаривать к ней доступ. Подробнее смотрите в разделе доступов для мобильных приложений.

При работе с программным кодом и такими системами контроля версий как git существует риск раскрытия своего персонального почтового ящика. Часто это происходит при одновременной работе с личными/рабочими проектами на одном устройстве.

Чтобы избежать этого, проверяйте корректность глобальных настроек или настроек в директории конкретного репозитория:

git config --global user.name

git config --global user.email

GitHub предоставляет возможность скрывать ваш email из интерфейса и блокировать “утечку” основного ящика, привязанного к аккаунту:

Раздел будет дополняться

• Форма входа. Например, сервис может отвечать сообщениями “пользователь с таким email не существует” и “вы ввели неправильный пароль”, что однозначно подтверждает наличие аккаунта с вашим почтовым ящиком.

Прежде чем удалять — найдите, что удалять. По одному нику обычно находится больше аккаунтов, чем вы помните сами: старые форумы, сервисы, куда регистрировались один раз, площадки с автоматической регистрацией через почту. Для быстрой самопроверки подойдёт бот Maigret — он ищет аккаунты по имени пользователя на тысячах сайтов, устанавливать ничего не нужно.

Несмотря на то, что интернет всё помнит, удаление аккаунтов остаётся одним из самых сильных средств против базовой разведки по вам. Кажется, что это тривиальная тема, но есть несколько важных нюансов:

Перед удалением: 1. Запросите у сервиса выгрузку своих личных данных по GDPR. Это поможет на следующих шагах и даст вам понимание того, что сервис знает о вас. 2. Переименуйте свой аккаунт, удалите/поменяйте фото, выждите несколько дней. Это необходимо, чтобы сайты-индексаторы и поисковики успели обновить информацию про ваш аккаунт, и впоследствии вас нельза было найти по его последней копии. Также не забывайте, что с этого момента нельзя оставлять какие-либо комментарии и сообщения публично. 3. Все старые комментарии/твиты/сообщения желательно удалить. В соцсетях и мессенджерах есть механизмы, позволяющие выйти на вас даже после удаления: упоминания (ссылка на ваш профиль, выглядящая как имя), пометка авторства, репосты/ретвиты. От всех подобных зацепок стоит избавиться. 4. Обновите выдачу поисковиков, попросив их переиндексировать вашу изменённую страницу (Google) и подождите некоторое время, чтобы другие системы, сохраняющие информацию из соцсетей, также получили новую версию вашего аккаунта.

После этого аккаунт можно удалять встроенными средствами платформы.

Google предлагает целый ряд различных форм, через которых можно запросить удаление и обновление контента в поисковой выдаче.

• Удаление устаревшего контента из поиска - хорошо подходит для страниц, которые нужно переиндексировать (см. выше п. 4 про удаление аккаунтов).

Краткие инструкции по удалению ваших данных из популярных сервисов - Have I Been Pwned, Leakcheck, IntelX и т.д.

Для заявок в сервисы, которые заинтересованы в хранении ваших данных, необходимо готовить полный перечень всей информации, которую вы хотите подчистить. Он должна включать: - никнеймы - телефоны - почты - адреса - госномера автомобилей - государственные идентификаторы (номер паспорта, СНИЛС, ИНН, ФИО и т.д.) - любые данные из строк слитых баз данных

Все приведённые ниже идентификаторы можно использовать для поиска владельца.

Какие услуги по получению данных через сотрудников доступны в России?

• Данные от мобильных операторов: Билайн, Мегафон, МТС. Детализация звонков, местоположение (так называемая “Вспышка”).

• ПФР (Пенсионный фонд России). СНИЛС, выписка с лицевого счета застрахованного лица (СЗИ-6), дата смерти, актуальное место работы, материнский капитал.

• МВД (Министерство внутренних дел). Базы ИБД-Р, ИБД-Ф, Роспаспорт, Поток, Мигрант, Магистраль, Рубеж.

• ГИБДД (подразделение МВД). Карточки, штрафы, ограничения, список авто, карты ТС (транспорных средств), ВУ.

• ФНС (Федеральная налоговая служба). СНИЛС, счета, ЕГРН, ЕГРЮЛ, 2НДФЛ, книги покупки и продажи, архивная выписка, декларация, аффилированность, страховые взносы, задолженности.

В декабре 2021 года произошла утечка программного кода регионального сайта Госуслуг. Федеральный сайт не был затронут, но вероятность утечки данных с него существует.

В феврале 2022 года произошла утечка базы доставки Яндекс.Еды. Были опубликованы имена и фамилии клиентов, номера телефонов, полный адрес доставки клиента и комментарии к заказу. Всего почти 7 миллионов уникальных номеров из РФ и Казахстана, даты с 19.06.2021 по 04.02.2022. Для проверки своих данных энтузиастами был поднят сервис https://saverudata.info/.

Все приведённые ниже идентификаторы можно использовать для поиска владельца.

Раздел будет дополняться

В январе 2022 года появилась информация об утечке базы сервиса Дія. Несмотря на заверения властей о том, что утечка фальшивая, энтузиастами было подтверждено её происхождение.

Проверить факт утечки ваших данных из сервиса можно здесь.

Все приведённые ниже идентификаторы можно использовать для поиска владельца.

Раздел будет дополняться

В 2021 было хакеры заявили о получении доступа к АИС “ГАИ-Центр”, АИС “Паспорт”, к базе УСБ и “Беспорядки” МВД Беларуси, а также о взломе БД сотрудников СК Беларуси. В публичном доступе были выложены только некоторые данные, но журналистам также предоставили возможность проверить персональные данные конкретных людей и проанализировать массив персональных данных 1.4 миллиона умерших жителей.

В феврале 2022 года произошла утечка базы доставки Яндекс.Еды. Были опубликованы имена и фамилии клиентов, номера телефонов, полный адрес доставки клиента и комментарии к заказу. Всего 206 тысяч уникальных номеров из Беларуси, даты с 19.06.2021 по 04.02.2022. Для проверки своих данных энтузиастами был поднят сервис https://saverudata.info/.

Все приведённые ниже идентификаторы можно использовать для поиска владельца.

Раздел будет дополняться

Летом 2019 года во время президентских выборов произошла утечка персональных данных 11 миллионов казахстанцев из ЦИК (Центральной избирательной комиссии).

В феврале 2022 года произошла утечка базы доставки Яндекс.Еды. Были опубликованы имена и фамилии клиентов, номера телефонов, полный адрес доставки клиента и комментарии к заказу. Всего почти 7 миллионов уникальных номеров из РФ и Казахстана, даты с 19.06.2021 по 04.02.2022. Для проверки своих данных энтузиастами был поднят сервис https://saverudata.info/.

CPF — ключевой документ для идентификации в Федеральной налоговой службе Бразилии, ведомстве, отвечающем за федеральные налоги. Номер состоит из 11 цифр, включая две контрольные. CPF обязателен для всех бразильцев и иностранцев, проживающих в стране, и требуется для широкого круга финансовых операций: открытия банковских счетов, получения кредитов, подачи налоговых деклараций.

Кроме того, CPF необходим для доступа к социальным программам (например, Bolsa Família), участия в государственных экзаменах и отборах, а также для поступления в учебные заведения. Номер CPF может быть напечатан на удостоверении личности или на национальном водительском удостоверении.

RG — удостоверение личности, выдаваемое органами общественной безопасности штатов. Состоит из порядкового номера и аббревиатуры штата, его выдавшего. RG содержит такие сведения, как имя, дату рождения, данные о родителях, фотографию, подпись и отпечаток пальца владельца. Помимо функции удостоверения личности, RG действует на всей территории страны и может использоваться как документ для поездок в странах МЕРКОСУР.

Важно отметить, что RG часто требуется при открытии банковских счетов, получении официальных документов и участии в государственных экзаменах. Получение RG также связано с обязательной воинской регистрацией для мужчин старше 18 лет.

CNPJ — документ, идентифицирующий компанию в Федеральной налоговой службе Бразилии. Состоит из 14 цифр, включая две контрольные. CNPJ содержит такие сведения, как полное наименование, торговое наименование, адрес, вид экономической деятельности и размер уставного капитала.

Для компаний CNPJ необходим для ведения коммерческой деятельности, выставления счетов, найма сотрудников и исполнения налоговых обязательств. Кроме того, он используется для получения кредитов, открытия корпоративных банковских счетов и участия в государственных тендерах. Номер CNPJ может быть напечатан на разрешении на деятельность или на карточке Simples Nacional.

RENAVAM — документ, идентифицирующий транспортное средство в Национальном департаменте транспорта (Denatran), ведомстве, координирующем работу дорожных служб штатов. Состоит из 11 цифр и содержит сведения о марке, модели, годе выпуска, цвете, номерном знаке и номере шасси.

Помимо того, что RENAVAM обязателен для всех транспортных средств в эксплуатации, он необходим для перерегистрации авто, уплаты связанных с ним пошлин и налогов, ежегодного продления лицензии, а также для оформления таких процедур, как передача права собственности и смена муниципалитета регистрации.

Номер RENAVAM также указан в Свидетельстве о регистрации и лицензировании транспортного средства (CRLV) и доступен на портале Denatran.

CRV — документ, подтверждающий право собственности на транспортное средство в Департаменте автотранспорта штата (Detran) по месту проживания владельца. Содержит те же сведения, что и RENAVAM, и одновременно служит документом для передачи права собственности на ТС.

Помимо перечисленных функций, CRV необходим при купле-продаже автомобилей с пробегом, так как формализует передачу права собственности, обеспечивая регистрацию и законность сделки. Поэтому документ следует хранить в надёжном месте и не возить вместе с автомобилем.

Вопросы безопасности данных актуальны во всём мире, и Бразилия не исключение: страна сталкивалась с инцидентами утечек чувствительной информации, способных серьёзно повлиять на приватность и безопасность её граждан.

Защита персональных данных в интернете критически важна для предотвращения мошенничества, кражи личных данных и других проблем. Вот меры, которые помогут повысить вашу онлайн-безопасность:

• Управляйте паролями: используйте сильные, уникальные и сложно угадываемые пароли для каждого сервиса. Периодически меняйте их и никому не сообщайте. Используйте менеджер паролей для хранения и генерации надёжных паролей.

• Не публикуйте чувствительные данные в соцсетях: воздержитесь от публикации адреса, телефона, CPF, RG, сведений о доходах, местоположении и распорядке дня. Эти данные могут быть использованы злоумышленниками для выдачи себя за вас или для слежки. Настройте приватность в своих соцсетях.

• Распознавайте и избегайте мошенничества: не переходите по подозрительным ссылкам, не открывайте неизвестные вложения, не сообщайте личные данные на ненадёжных сайтах и в письмах. Многие схемы используют фишинг, чтобы обманом получить ваши данные или установить вредоносное ПО на устройство. Используйте антивирус и межсетевой экран.

• Будьте осторожны при покупках онлайн: совершайте покупки только на проверенных сайтах и убеждайтесь, что они используют протокол HTTPS (защищённое соединение). Избегайте ввода данных кредитных и дебетовых карт на неизвестных и подозрительных сайтах; используйте виртуальные карты или сервисы онлайн-платежей, чтобы не светить банковские данные.

• Не доверяйте публичным сетям: избегайте публичных Wi-Fi и общих компьютеров для работы с сервисами, требующими личных данных (почта, банкинг, соцсети). Такие сети могут прослушиваться или содержать вредоносное ПО. Если иначе нельзя — используйте VPN для шифрования трафика.

Защита данных и осознанное отношение к безопасности — основа цифровой эпохи, где персональная информация всё плотнее переплетена с повседневной жизнью. Проактивные меры безопасности в Сети помогают сохранить вашу приватность и защитить вас от возможных киберугроз.