Так, исследователи описали новый метод обхода VPN, которому присвоили название TunnelVision. Суть, если не вдаваться в технические подробности, такова – злоумышленники могут настроить свой сервер так, чтобы устройство думало, что оно подключено к безопасному VPN. Но на самом деле весь трафик проходит через сервер киберпреступников. Это позволяет хакерам видеть и изменять ваши данные. При этом то, какой VPN используется, значения не имеет. Киберпреступники используют уязвимость сетевого протокола.
Это далеко не первая уязвимость, которая касается абсолютно любых VPN. Ранее исследователи обнаружили еще один способ читать и перехватывать передаваемый через туннель трафик. Он касается тех, кто регулярно подключается к общественным Wi-Fi-сетям, не проявляя при этом разборчивость. В результате платой за бесплатный интернет становятся персональные данные пользователя. Хакеры манипулируют таблицей маршрутизации, чтобы заставить жертву отправлять трафик за пределы VPN-туннеля без ее ведома.
Кроме того, согласно исследованию Qrator Labs, общее число ботов, задействованных в DDoS-атаках на ИТ-системы российских компаний с помощью ботнетов, в I квартале 2024 г. выросло в 1,6 раза по сравнению с аналогичным периодом 2023 г. – с 3 млрд до 5 млрд. Ботнет – сеть из зараженных пользовательских устройств, которую злоумышленники используют для преступных целей. И именно VPN-сервисы зачастую становятся проводником вредоносного ПО, которое может превратить гаджет в часть ботнета. При этом пользователь устройства даже не узнает, что стал соучастником киберпреступлений.
Разумеется, читатель может возразить: «Просто не качай VPN где попало и пользуйся нормальными платными сервисами!». Но проблема в том, что подобные «сюрпризы» есть даже в тех приложениях, которые доступны в официальных магазинах за деньги. К примеру, специалисты компании Human Security обнаружили в магазине приложений Google Play 28 VPN-сервисов, которые делали из смартфонов своих жертв прокси-серверы для киберпреступников и торговых ботов. Только 17 из них, по данным экспертов, были бесплатными.
Стоит отметить, что абсолютное большинство новостей, связанных с утечками и прочими проблемами, касается персональных VPN-приложений. Настоящий, серьезный, профессиональный VPN – то, чем обычно пользуются организации для обеспечения доступа удаленных сотрудников. Да, он тоже не застрахован от хакеров, но зачастую VPN в компании не существует сам по себе. За кибербезопасность организации может отвечать отдельный сотрудник или целый отдел, в чьи обязанности входит оперативное реагирование на уязвимости и устранение последствий возможных атак. И если у вас нет возможности нанять личную команду профессионалов, от использования VPN лучше отказаться.
Автор — член комитета Государственной Думы РФ по информационной политике, информационным технологиям и связи Антон Немкин.