-
Пользователи Интернета легко могут читать чужую почту
В последнее время в компьютерной сети появилась новая услуга – взлом чужих электронных почтовых ящиков. Срок выполнения заказа – до двух недель, стоимость – от 700 рублей. В почтовых компаниях утверждают, что ящики защищены надежно. Однако эксперты полагают, что уберечь свой почтовый ящик от взлома практически невозможно.
На электронные адреса приходят письма с предложениями получить доступ к чужим почтовым ящикам. Авторы обещают взломать любые почтовые ящики, размещенные на бесплатных почтовых серверах, причем утверждается, что все клиенты останутся анонимными, а владелец почтового ящика, чьи письма будут прочитаны, никогда не узнает, что его ящик был взломан.
По данным, подобную услугу предоставляет целый ряд фирм. Если ящик принадлежит отдельному человеку, за его взлом возьмут от 700 до 3,5 тыс. рублей. На взлом корпоративных почтовых ящиков твердых тарифов не существует, цена обсуждается в каждом случае отдельно. Помимо почтовых ящиков, может быть взломана aська (ICQ), а также аккаунты в социальных сетях.
Владельцы почтовых серверов, в свою очередь, утверждают, что переписка граждан находится в безопасности. Вице-президент Mail.ru Анна Артамонова заявила, что «с технической точки зрения» взломать почтовый ящик на этом сервере практически невозможно. Одна из систем защиты отсеивает письма с вирусами, другая препятствует подбору пароля и ответа на секретный вопрос. Однако если взлом почтового ящика все же произошел, никакой ответственности почтовый сервер не несет. В соглашении, которое заключает пользователь при регистрации на сервере, говорится, что человек сам отвечает за безопасность своего логина и пароля, а также за сохранность данных, так что подавать в суд на почтовый сервер бесперспективно.
Полит.ру
-
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
Сообщение от
Hanson
Владельцы почтовых серверов, в свою очередь, утверждают, что переписка граждан находится в безопасности.
А разве журналисты другого ответа ожидали, если учесть, сколько подобные сервера получают за рекламу с многочисленными баннерами?
Сообщение от
Hanson
Вице-президент Mail.ru Анна Артамонова заявила, что «с технической точки зрения» взломать почтовый ящик на этом сервере практически невозможно. Одна из систем защиты отсеивает письма с вирусами [blah blah blah]
... Хе-хе-хе... Улыбнуло...
Девушка что-то не догаваривает... Проблема в том, что внутри домена Mail.ru ВСЕ считаются доверенными; в результате их антивирус там отдыхает когда приходит злосчастное вложение из того-же Mail.ru...
P.S.: Новость об этом и о куче ещё других уязвимостей, возможно, ещё не дошла до руководства самого домена mail.ru...
P.S.2: Немного больше защиты (но совсем немного) можно добиться если:
* Вы забираете почту через почтовый клиент, где принимается только простой текст, а не HTML, ява, и т.д..
* У вас отключена обработка скриптов в браузере + add-ons и plugins
* Вы не открываете вложений от незнакомых, даже если тот живёт в том же домене
* У вас не установлен Mail Agent
* Вы не участвуете в группах фоток, видео, и пр.
Paul
Последний раз редактировалось XP user; 01.10.2008 в 13:00.
-
p2u, все еще проще, чем Вы думаете.
Если есть возможность отсниффить момент соединения атакуемого юзера с почтовым сервером, то ящик можно считать взломанным.
-
-
Сообщение от
DVi
p2u, все еще проще, чем Вы думаете.
Если есть возможность отсниффить момент соединения атакуемого юзера с почтовым сервером, то ящик можно считать взломанным.
https://secure.mail.ru/ - можно попытаться такой вход использовать, Внимание только обратите что при заходе в ящик данные опять передаются по http без шифрования...
-
-
Сообщение от
zerocorporated
https://secure.mail.ru/ - можно попытаться такой вход использовать, Внимание только обратите что при заходе в ящик данные опять передаются по http без шифрования...
Насколько я знаю, дополнение NoScript в Firefox может теперь предотвращать перенаправление с https на http... Если на Mail.ru есть поддержка для https, то тогда перенаправления уже не будет. Но я не думаю, что разница в рисках будет велика...
Paul
Последний раз редактировалось XP user; 01.10.2008 в 17:13.
-
Сообщение от
zerocorporated
Странные там админы.
Сообщение от
zerocorporated
Внимание только обратите что при заходе в ящик данные опять передаются по http без шифрования...
Логи и пароль передаются по шифрованному каналу. Этого достаточно, чтобы уберечься от их потери.
Ну а письма, да, читаются уже без шифрации.
p2u, NoScript тут не при делах: сам веб-интерфейс почтового ящика не доступен по HTTPS.
-
-
Сообщение от
p2u
Проблема в том, что внутри домена Mail.ru ВСЕ считаются доверенными; в результате их антивирус там отдыхает когда приходит злосчастное вложение из того-же Mail.ru
При отправке по smtp, отправляемые письма проверяются на Mail.ru
Сообщение от
p2u
Как эта "уязвимость" может помочь взломать ящик? И если не изменяет память, было это исправленно в течении пары часов
-
Сообщение от
Winsent
При отправке по smtp, отправляемые письма проверяются на Mail.ru
Почтовым клиентом, как я уже говорил выше. А сколько клиентов Mail.Ru пользуются этим свойством? Всё-таки думаю, что веб-интерфейс самый популярный, нет?
Сообщение от
Winsent
Как эта "уязвимость" может помочь взломать ящик?
Зломышленник получает адресную книгу пользователя если я правильно понял. Дальше уже дело техники - на веб-хак, античат и других форумах такой направленности этому обучают... Social Engineering это называется...
Сообщение от
Winsent
И если не изменяет память, было это исправленно в течении пары часов
Они уже годами одно и то же исправляют. Нет повода у меня доверять им.
Paul
-
Сообщение от
p2u
Почтовым клиентом, как я уже говорил выше. А сколько клиентов Mail.Ru пользуются этим свойством? Всё-таки думаю, что веб-интерфейс самый популярный, нет?
Возможно, практически не пользуюсь web интерфейсом
Сообщение от
p2u
Зломышленник получает адресную книгу пользователя если я правильно понял. Дальше уже дело техники - на веб-хак, античат и других форумах такой направленности этому обучают... Social Engineering это называется...
Процент пользователей использующих встроенную адресную книгу, еще меньше чем пользователей Почтовых программ.
Сообщение от
p2u
Они уже годами одно и то же исправляют. Нет повода у меня доверять им.
Paul
Сильно уж категорично. В том же "самом безопасном" gmail сколько уже находили куда более серьезных уязвимостей.
Первое что попалось:
Копирование всех имеющихся писем с gmail
Сервисы Google работают на хакеров
-
1). 90% подобных контор (а в первом посте разговор идет о, так называемых, фирмах, предлагающих подобные услуги, а раз эти злоумышленники названы гордым названием, то как минимум: они производят спам рассылки по мылам/асям - не важно сами или заказывают, имеют свой сайт/ы) - просто кидалы, стригущие деньги с "фраеров". К примеру вот несколько методик кидалова:
1.1 Утром деньги вечером стулья
1.2 Утром половина денег вечером стулья и вторая половина денег
1.3 Злоумышленник дает архив под паролем и говорит, что там все - после оплаты он скажет тогда пароль на архив
1.4 Дается скриншот изнутри ящика - только перечисления папок
1.5 Отправка письма с взламываемого адреса (подделать адрес - просто, уличить в обмане без элементарных знаний - нельзя)
1.6 и т.д
2). Эти "фирмы" не дают никакой гарантии взлома, еще раз повторяю - никакой. Если дают - см. пункт первый
3). Не надо считать их ("фирмы") сборищем древнегреческих богов. У этих "фирм" на руках известные нам всем инструменты (если идет взлом просто стороннего мыла незнакомого человека). Т.е к примеру:
3.1 Брут пароля/по словарю
3.2 Брут ответа на секр. вопрос/по словарю
3.3 Подбор ответа на вопрос/пароля
3.4 Подкидывание фейка
3.5 Взлом с использованием других сервисов (например вконтакте, форма и т.д)
3.6 Зловред (под любым соусом в любом проявлении - аттач к письму, ссылка на вредоносную страницу и т.д)
3.7 Уязвимость в мыльном сервисе - уже много лет не встречал ничего круче чем xss - тут главное, что бы "клиент" перешел куда надо, что бы у него при этом настройки на вход в мыло были какие надо и т.д - нюансов много.
3.8 СИ
3.9 комбинации и ответвления и другая элементарщина о которой забыл упомянуть во время написания этого поста на форуме
4). Пробовал заказывать в подобных конторах ("РИК") взлом собственного мыла (регал мыло для этого специально) - все что против мыла пробовали укладывается в изложенные выше три пункта.
-
Сообщение от
Winsent
Процент пользователей использующих встроенную адресную книгу, еще меньше чем пользователей Почтовых программ.
Речь идёт об адресной книге на веб-сервере, нет? Или я неправильно понял когда я читал про уязвимость? По моему по умолчанию каждый новый адресат или отправитель предлагается туда добавить если скрипты включены.
Сообщение от
Winsent
Сильно уж категорично. В том же "самом безопасном" gmail сколько уже находили куда более серьезных уязвимостей.
Нет, gmail и mail.ru нельзя даже сравнивать. На gmail, например, можно действительно работать через https. См. здесь как: http://virusinfo.info/showthread.php?t=29961
Стоит отметить, что мой почтовый ящик не на том, не на другом серверах.
Сообщение от
Winsent
Про Mail.Ru не буду даже предлагать ссылки - сами найдёте. Первый результат в Гугле даёт сообщения начиная с 2000 г. и это продолжается до 2008 г.
На gmail нашли больше потому что есть воле хорошо искать, и действительно изменить положение - в этом этот ресурс на мой вкус сильно отличается от Mail.Ru. Когда я сообщаю в gmail об уязвимости и потенциальной возможности взломать ящик, они серьёзно рассматрывают это дело; в mail.ru в таком случае встречаешь только хамство, из-за чего я лично убрал свой официальный ящик там...
P.S.: Ходите по хакерским сайтам в РуНете и посмотрите 'учебников' взлома почтовых ящиков - Mail-Ru там по моему гараздо более популярный, чем gmail. Но делается много через именно Mail Agent и r.mail.ru (где фотки)...
P.S.2: Через веб-мейл защита mail.ru действительно слабовата - Мне удалось некоторое время назад отправить pMetroSetup.exe (по моему 3.28 МБ весил) со вклейеным, отсносительно 'старым' Пинчом (который на virustotal.com детектится) своему другу (мы заранее договорились, конечно ) с моего тестового ящика на mail.ru на его тестовой ящик на mail.ru. Упакован был этот exe в архиве RAR и без пароля. Такое на gmail не пройдёт...
Paul
Последний раз редактировалось XP user; 02.10.2008 в 10:01.
-
Сообщение от
p2u
P.S.2: Через веб-мейл защита действительно слабовата - Мне удалось некоторое время назад отправить pMetroSetup.exe (по моему 3.28 МБ весил) со вклейеным, отсносительно 'старым' Пинчом (который на virustotal.com детектится) своему другу (мы заранее договорились, конечно
) с моего тестового ящика на mail.ru на его тестовой ящик на mail.ru. Упакован был этот exe в архиве RAR и без пароля. Такое на gmail не пройдёт...
а я не могла отправить абсолютно безопасный экзешник другу с гмейла на гмейл, ибо там заблокирована вообще любая передача исполняемых файлов. Пришлось разрешение удалять) тогда прошло....
паранойя тоже не очень хорошо....
Но гмейл мне нравится больше... щас в основном пользуюсь им.
At this very moment, your eternal soul may be less than twenty miles from the burning fires of hell. If you go to hell, be sure - you'll be there forever... (c, Primal Fear, Devil's ground)
-
-
Сообщение от
ScratchyClaws
а я не могла отправить абсолютно безопасный экзешник другу с гмейла на гмейл,
Я имел в виду именно mail.ru - добавил уточнение. Спасибо.
Paul
-
Сообщение от
p2u
Я имел в виду именно mail.ru - добавил уточнение.
я поняла) просто написала про свой случай с гмейлом.
когда все файлы можно отправлять без ограничений (мэил) - плохо
когда все файлы нельзя отправлять (гмэил) - тоже плохо
золотая середина нужна...
At this very moment, your eternal soul may be less than twenty miles from the burning fires of hell. If you go to hell, be sure - you'll be there forever... (c, Primal Fear, Devil's ground)
-
-
Сообщение от
p2u
Речь идёт об адресной книге на веб-сервере, нет? Или я неправильно понял когда я читал про уязвимость? По моему по умолчанию каждый новый адресат или отправитель предлагается туда добавить если скрипты включены.
Да, адресная книга которая встроенная в сервис Mail.ru.
Попробовал сейчас отправить с web. Верно, при отправлении с web, адресат заноситься в адресную группу " автоматические контакты"
Сообщение от
p2u
Нет, gmail и mail.ru нельзя даже сравнивать. На gmail, например, можно действительно работать через https.
И в то же время как https помог предотвратить копирование писем с ящика пользователей злоумышленниками?
Сообщение от
p2u
даёт сообщения начиная с 2000 г. и это продолжается до 2008 г.
По моему это показывает только то, что Mail.ru работает с 1998 года, а Gmail намного позже.
Сообщение от
p2u
Стоит отметить, что мой почтовый ящик не на том, не на другом серверах.
Присутствует ящики и там и там у меня.
-
Сообщение от
Winsent
По моему это показывает только то, что Mail.ru работает с 1998 года, а Gmail намного позже.
Не думаю, что такие статистики здесь помогут объяснить количество и серьёзность багов, но согласен - mail.ru более популярным в РФ, чем gmail...
Paul