Bezpieczeństwo telefonu¶

Smartfon to dziś narzędzie do komunikacji, pracy, rozrywki i przechowywania ogromnych ilości danych. Ta wygoda niesie jednak ryzyko: cyberprzestępcy nieustannie szukają sposobów na dostęp do naszych urządzeń i informacji. W tym artykule podpowiadamy, jak chronić telefon, i przedstawiamy najczęstsze zagrożenia.

Aktualizacje systemu¶

Aktualizacje przynoszą nowe funkcje i poprawiają działanie aplikacji, ale z punktu widzenia bezpieczeństwa najważniejsze jest co innego: usuwają podatności. Każde oprogramowanie, nawet dopracowane, zawiera błędy, a część z nich daje się wykorzystać do kradzieży danych lub przejęcia kontroli nad urządzeniem. To właśnie te błędy nazywamy podatnościami. Producent, który wykryje taki błąd, publikuje poprawkę, a informacje o znanych podatnościach trafiają do katalogów CVE oraz biuletynów bezpieczeństwa (Apple, Google).

Problem w tym, że opis podatności zwykle jest jawny: gdy tylko poprawka zostanie opublikowana, atakujący wiedzą, czego szukać na urządzeniach, które jej jeszcze nie zainstalowały. Nowych podatności przybywa przy tym cały czas, więc aktualizować trzeba regularnie. A skutki udanego ataku bywają znacznie poważniejsze niż chwila poświęcona na aktualizację: kradzież haseł i danych logowania, dostęp do danych osobowych czy przejęcie kont lub nawet całego telefonu.

Złośliwe oprogramowanie¶

Mobilne złośliwe oprogramowanie ukrywa się pod postacią zwykłych aplikacji, fałszywych aktualizacji czy znanych marek. Może wykraść dane osobowe (kontakty, zdjęcia, wiadomości) i dane logowania (np. do bankowości), a nawet zamienić telefon w narzędzie do dalszych ataków (spam, DDoS). Na telefon trafia dwiema drogami:

• Instalacja aplikacji ze strony internetowej lub linku w wiadomości. Plik instalacyjny pobrany prosto ze strony, otwarty z linku w SMS-ie lub e-mailu albo „piracka” wersja płatnej aplikacji omijają kontrolę, którą przechodzą aplikacje publikowane w App Store, Google Play i innych sklepach z aplikacjami. Nie wiadomo więc, kto taki plik przygotował ani co zrobi po instalacji. Sama kontrola nie jest przy tym nieomylna: złośliwe aplikacje trafiają czasem także do oficjalnych sklepów (np. kampania Joker), są tam jednak szybko wykrywane i usuwane.
• Wykorzystanie podatności w oprogramowaniu. Złośliwe oprogramowanie może wykorzystać niezałataną podatność w systemie. W rzadkich, wycelowanych atakach dzieje się to bez żadnej akcji użytkownika: tak działał FORCEDENTRY, który samą wiadomością iMessage instalował oprogramowanie szpiegujące Pegasus (Apple usunęło tę podatność w iOS 14.8). Takie ataki są kosztowne i wymierzone w konkretne osoby. Znacznie częściej wykorzystywane są podatności, dla których poprawka już istnieje, ale nie została zainstalowana.

Sprawdzaj uprawnienia aplikacji. Zarówno Android, jak i iOS pytają o zgodę na dostęp do danych (kontakty, aparat, lokalizacja) i pozwalają nią zarządzać w ustawieniach; na Androidzie aplikacje skanuje dodatkowo Google Play Protect. Niezależnie od systemu zwróć uwagę, o co aplikacja prosi: dostęp nieadekwatny do jej funkcji (kalkulator chcący czytać SMS-y) to sygnał ostrzegawczy.

Phishing i smishing¶

Phishing to oszustwo oparte na socjotechnice: atakujący podszywa się pod zaufaną instytucję lub osobę, by nakłonić ofiarę do ujawnienia poufnych danych, takich jak hasła czy numery kart. Smishing to jego odmiana przez SMS, a vishing przez połączenia głosowe. Forma dotarcia jest drugorzędna. Liczy się rozpoznanie schematu.

Oszuści podszywają się pod firmy, banki, instytucje publiczne, a nawet znajomych czy rodzinę. Wiadomości zawierają zwykle pilne wezwanie do działania (nieautoryzowana transakcja, wygrana, problem z paczką) oraz link do fałszywej strony, która kradnie dane logowania. Presja czasu i drobna kwota do dopłaty (np. za rzekomą przesyłkę) to tylko pretekst: prawdziwym celem są Twoje dane do bankowości. Jedyna różnica między stroną prawdziwą a fałszywą bywa z pozoru błaha: adres domenowy w pasku adresu. Więcej na ten temat można przeczytać w naszym artykule, gdzie szczegółowo omawiamy, jak rozpoznać fałszywe strony internetowe i uniknąć phishingu.

Jak się chronić:

• Zachowaj szczególną ostrożność wobec nieoczekiwanych, emocjonalnych wiadomości.
• Zanim podasz dane, zwłaszcza w panelu logowania, dokładnie sprawdź domenę w pasku adresu i porównaj ją z tą, którą znasz.
• Uważaj na błędy językowe, nietypowe formatowanie i próby wywołania poczucia pilności.

Publiczne Wi-Fi¶

Publiczne sieci Wi-Fi mają opinię niebezpiecznych: wciąż można przeczytać, że korzystanie z otwartej sieci w kawiarni, hotelu, na lotnisku czy innym miejscu publicznym to proszenie się o kłopoty, bo atakujący podsłucha w ten sposób ruch i wykradnie dane czy też hasła. Kiedyś mogło się tak zdarzyć, dziś już nie. Poniżej pokażemy dlaczego.

Dlaczego publiczne Wi-Fi ma złą prasę?¶

Obawy są zrozumiałe: od lat słyszy się ostrzeżenia o hakerach przechwytujących w kawiarni hasła i dane bankowe, a taki obraz mocno zapadł w pamięć. Problem w tym, że opisuje on stan sprzed lat. W międzyczasie standardem stało się szyfrowanie ruchu między urządzeniem a stroną. To ono, a nie sama sieć Wi-Fi, decyduje dziś o bezpieczeństwie danych.

HTTPS: szyfrowanie niezależne od sieci¶

HTTPS (Hypertext Transfer Protocol Secure) to szyfrowana wersja protokołu HTTP; do ochrony danych używa mechanizmu TLS (Transport Layer Security). Gdy łączysz się ze stroną po HTTPS, Twoje urządzenie i serwer ustalają wspólny klucz, a od tej chwili wszystko, co przesyłasz (hasła, numery kart, treść wiadomości), jest zaszyfrowane. Działa to tak samo w sieci domowej, w transmisji komórkowej i w publicznym hotspocie. Nawet gdyby ktoś podsłuchał ruch w otwartej sieci Wi-Fi, zobaczyłby jedynie zaszyfrowany, bezużyteczny ciąg znaków. Z HTTPS korzysta już zdecydowana większość stron wymagających logowania. Szyfrowanie jest dziś na tyle powszechne, że przeglądarki przestały je osobno oznaczać. Ostrzegają natomiast wyraźnie, gdy połączenie nie jest szyfrowane.

VPN (wirtualna sieć prywatna) dodaje kolejną warstwę szyfrowania i bywa przydatne w szczególnych sytuacjach (np. praca zdalna, większa dbałość o prywatność), ale przy powszechnym wykorzystaniu HTTPS nie jest konieczny do podstawowego bezpieczeństwa w publicznej sieci.

Fałszywe sieci¶

Zagrożenia nie zniknęły całkowicie. Atakujący wciąż mogą uruchomić własną sieć o wiarygodnie brzmiącej nazwie, licząc, że ktoś się z nią połączy. Nawet wtedy HTTPS chroni jednak dane przesyłane do bezpiecznych stron. Główne ryzyko polega na czym innym: taka sieć może przekierować Cię na fałszywą stronę logowania i w ten sposób wyłudzić dane (phishing). To samo może się jednak zdarzyć w sieci domowej, dlatego niezależnie od tego, z jakiego Wi-Fi korzystasz, kluczowe jest sprawdzenie adresu strony, na której podajesz dane.

Antywirus na smartfonie¶

Android i iOS mają rozbudowane, wbudowane mechanizmy ochrony. Dla większości użytkowników, o ile instalują aplikacje wyłącznie z oficjalnych sklepów i mają włączone automatyczne aktualizacje, dodatkowy program antywirusowy jest zbędny.

Android: Każda aplikacja działa we własnej piaskownicy: system nadaje jej odrębny identyfikator użytkownika (UID) i izoluje jej procesy na poziomie jądra, więc jedna aplikacja nie sięgnie do danych innej ani nie wykona uprzywilejowanych działań bez zgody. Zainstalowane aplikacje, także pobrane spoza sklepu, skanuje Google Play Protect, ostrzegając przed tymi szkodliwymi i usuwając je. Dane na urządzeniu są domyślnie szyfrowane; urządzenia, które trafiły na rynek z Androidem 10 lub nowszym, muszą stosować szyfrowanie plikowe (File-Based Encryption), a starsze szyfrowanie całego dysku nie jest już dopuszczalne (AOSP). Słabym punktem bywa czas wsparcia, który zależy od producenta i modelu. Topowe telefony (Google Pixel 8 i nowsze oraz flagowe Samsungi od 2024 roku) dostają nawet 7 lat aktualizacji, ale tańsze i starsze urządzenia często znacznie mniej. Dlatego przy zakupie warto sprawdzić, jak długo producent zobowiązuje się dostarczać poprawki zabezpieczeń.

iOS: Bezpieczeństwo opiera się na zamkniętym ekosystemie. Każda aplikacja i jej aktualizacja przechodzi weryfikację App Review, a cały uruchamiany kod musi być podpisany certyfikatem Apple. Aplikacje działają w równie ścisłej piaskownicy co na Androidzie: mają własny, izolowany katalog i nie widzą danych innych aplikacji. Pliki są szyfrowane sprzętowo (AES-256) kluczami chronionymi przez Secure Enclave. Te same restrykcje sprawiają, że klasyczny antywirus na iOS nie zadziała: działając w piaskownicy, nie ma jak przeskanować systemu ani innych aplikacji, więc jego wartość jest znikoma. Aplikacje sprzedawane jako „antywirus na iOS” oferują zwykle co innego: VPN, ochronę przed phishingiem czy monitoring wycieków.

Hasła¶

Temat haseł omówiliśmy w osobnym artykule, gdzie wyjaśniamy, dlaczego liczy się długość i unikalność, a nie wymuszona złożoność czy cykliczna zmiana. Wskazujemy praktyczne metody tworzenia silnych haseł-zdań oraz rolę menedżerów haseł i uwierzytelniania dwuskładnikowego (2FA).

Podsumowanie¶

Nowoczesny telefon jest domyślnie dobrze zabezpieczony i w większości przypadków nie potrzebuje dodatkowego oprogramowania ochronnego. O bezpieczeństwie danych decydują dziś przede wszystkim codzienne nawyki: aktualizowanie systemu i aplikacji, instalowanie ich wyłącznie z oficjalnych sklepów oraz sprawdzanie adresu strony, zanim wpiszesz na niej hasło lub dane karty. Najczęstsze ataki nie łamią zabezpieczeń telefonu, lecz biorą na cel jego użytkownika.