Отже, про «короткі лінки».
Сервіси скорочення посилань придумано для зручності – як і абсолютну більшість інформаційних технологій (ІТ).
Досить часто повна URL-адреса ресурсу (це те, що ми бачимо у адресному рядку браузера) - доволі довга, і може займати кілька рядків на кілька сотень знаків. Але на деяких ресурсах існують обмеження на введення кількості знаків. Наприклад у Twitter. Також це обмеження є у формах зворотнього зв’язку на сайтах та ще у деяких випадках. І часто це виправдано, з міркувань безпеки. Stack overflow і все таке.
Та й виглядає довге гіперпосилання на 150-200 знаків негарно та страшнувато.
Що, власне, є головною причиною виникнення сервісів «скорочення посилань» (shortener service, URLshortener, etc).
Їх багато різних існує, але усі працюють за одним принципом: ось у цьому полі вводиш повну довгу лінку, а у цьому - отримуєш красивsie, вдесятеро коротшу. Безкоштовно, або за реєстрацію.
Якщо спрощено, то сервіси скорочення посилань просто записують у себе довгий лінк, присвоюють йому власне коротке ім’я та віддають взад, тобто фактично “дзеркалять” оригінальне посилання, «пропускаючи» його через свій сервер.
Як це часто буває, нові технології взяли на озброєння кіберзлочинці, і почали вказувати короткі посилання у своїх фішингових повідомленнях: у месенджерах, email, у соцмережах.
Проблема у тому, що дивлячись на коротке посилання, користувач не бачить справжньої адреси кінцевого сайту/хоста/домена. А справжня адреса може вести на шахрайський сайт, або на хост малварі (шкідливе ПЗ) або на фейкову сторінку банку, тощо.
Явище набуло настільки масового характеру, що короткі лінки почали асоціюватися з шахрайством та кіберзлочинністю. І у деяких випадках так воно і є.
Але.
Навіть більшість з просунутих користувачів навряд чи зможуть ідентифікувати певний ресурс як шахрайський або шкідливий. Навіть якщо б бачили його повну адресу. Шахраї доволі часто купують красиві доменні імена, щоб вони виглядали дуже переконливо.
Тому найпростіший спосіб перевірити «короткий» лінк - скопіювати посилання правою кнопкою миші (не відкриваючі лінк), вставити його у Virustotal.com, де близько 90 існуючих у Світі антивірусів та безпекових сервісів перевірять його, причому протягом 1 хвилини. Якщо буде нуль – тобто виглядатиме як, наприклад, 0/90 – можна відкривати, але знов-таки, не відключаючи обережності та здорового глузду. Тому що VirusTotal детектує лише вже відомі загрози, і шахрайський лінк вже має десь раніше “засвітитися” у різних кібербезпекових сервісах.
Сучасні соцмережі здорової людини - такими я вважаю Facebook, Twitter, Youtube, Instagram (у сенсі безпеки) - роблять схожу перевірку автоматично, “на льоту”. Тому що, по перше, вони дотримуються анти-кібер-кримінального законодавства країни реєстрації (США), а також тамтешніх законів із захисту персональних даних.
По-друге, у цих соцмережах працюють потужні команди професійних кібербезпечників, за гідні, дуже конкурентні гроші. І ці немаленькі команди уважно стежать, щоб у їхніх соцмережах не розповсюджувалася всяка хрінь. Бо безліч штрафувальників у різних країнах тільки цього й чекають.
Звісно, «нападники» постійно вигадують нові способи та техніки розводів у соцмережах, а «захисники» намагаються максимально швидко їх виявити та локалізувати. Не завжди в останніх все виходить ідеально. Але краще поки ніяк, навіть за всі гроші Світу. Боротьба, як то кажуть, триває.
Але головна загроза «короткого посилання» ось у чому: а з якого джерела воно прийшло?
Смс з невідомого номера? Від невідомого користувача месенджера? З невідомого email? Та навіть якщо з відомого – який був супровідний текст? Чи не виглядає він якось дивно та незвично? Чи не могли хакнути акаунт вашого знайомого?
За найменших сумнівів копіюєте лінк та перевіряєте у VirusTotal. А ще краще зателефонувати цьому знайомому і голосом (!) перепитати “а ти точно пересилав мені оту дивну лінку?»
Довжина ж посилання – то вже другорядне. Шахраї можуть зробити його як коротким, так і довгим – хоча б тому, що «усі бояться коротких лінків». Навіть з https можуть (див. попередній допис).
Тому самі по собі короткі посилання не страшні, і не слід їх боятися як таких.
А от чого насправді слід остерігатися – так це невідомих та часто підозрілих джерел їх надходження, особливо від незнайомців.
При цьому навіть ретельне виконання правил з цього допису не дає твердих гарантій безпеки, а лише зменшує вірогідність успішної атаки: адже світ кіберзлочинності надзвичайно динамічний, адаптивний, вигадливий та креативний.
І до речі: протягом останнього року українська кіберполіція неодноразово робила масову розсилку смс із закликом приєднуватися до якоїсь кібер-армії і з коротким посиланням, яке вело у телеграм-бот. Скоріш за все, це були не шахраї, а дійсно якісь недалекі українські держслужбовці (не факт, що саме з кіберполіції). Але держслужбовці ці однозначно були безвідповідальними, малограмотними невігласами. Без найменших уявлень про кібербезпеку та про можливі наслідки подібної примітивної «активності». Яка дуже скидалася на фішинг. Ну от прям дуже. Замість навчати корисним речам вони наглядно показали як робити не треба. Чим вкотре підірвали залишки довіри до вітчизняної правопохеронної системи.
Підписуйтесь на наш Telegram канал Enigma