Körülbelül júniusban bukkant fel a téma, miszerint a Google naptáron keresztül tömegesen támadtak címeket például orosz bűnözői csoportok. Az adathalász támadások a naptárba mentett, távoli támadók által jegyzett események emlékeztetőjén keresztül próbálkozott.
A dolog úgy lehetséges, hogy az alapértelmezett beállítások mellett a bűnözők létrehoznak egy eseményt a naptárban, amely az emlékeztetőben kattintható - gyakran linkrövidített, kontrolállhatatlan - linket ajánl fel. A megtévesztés alkalmával itt aztán szerepelhet nyereményjáték, valamilyen felmérésben történő részvétel, vagy bármi egyéb érdekesnek, vonzónak tűnő dolog.
Természetesen tehetünk ellene még azon felül is, hogy kéretlen, becsali tartalmakra nem kattintunk. Megnyitva a Google naptárt, a Beállítások -> Általános ->
Megtekintési beállítások pontnál ellenőrizzük le, hogy ne legyen pipa az "Elutasított események megjelenítése". Ennél is lényegesebb, hogy az alapértelmezett beállítások miatt a Beállítások -> Általános -> Eseménybeállítások menüpontnál a "Meghívók automatikus hozzáadása" résznél állítsuk át "Nem, csak azok a hívások jelenjenek meg, amelyekre válaszoltam" lehetőségre.
Ízlés szerint kivehető az "Események automatikus hozzáadása a naptáramhoz a Gmailből" opció is, ekkor a levelezésből nem kerülnek át ellenőrizetlenül, beavatkozásunk nélkül az események a meghívókból.
Persze, ez a mostani incidens is érdekes, viszonylag friss, de amit inkább lényeges kiemelni ebből az egészből, az a fejlesztők, szolgáltatók nehézfejűsége, amely az incidenseket lehetővé alapértelmezett opciókat gyakran alárendeli a profitnak, a nagyobb forgalomnak, a több megosztásnak, a "felhasználói élménynek". Ahogy azt egy régebbi posztunkban már megírtuk, az Electronic Frontier Foundation például összegyűjtötte a 2005. és 2010. között alkalmazott felhasználó szerződéseket, és itt jól nyomon lehet követni a "fejlődésnek" nevezett változásokat.
Látható, amint az évek során így változott a megosztott adatok aránya, egyre terebélyesedett a kör, amelynek középpontja a barátok, afölött a barátaink barátai, azt követi a minden Facebook tag, végül a külső kör pedig a teljes internet. Pedig minden személyes dolgunkat nem igazán szeretnénk ennyire közkinccsé tenni.
Éppen emiatt Graham Clueley 2010-ben tartott egy miniszavazást is, amelyben az alapértelmezett "mindent megosztok, amit le nem tiltok" gyakorlata csapott össze a "legyen minden privát, és majd én beikszelem, amit esetleg nyilvánosan is megosztani szeretnék" módszerrel.
Minő meglepetés, többségi (persze a biztonsági blogot látogatók közül) egészen pontosan 93% fölötti eredményt ért el a szigorúbbat preferálva ebben. És örömmel konstatálhatjuk, hogy ezt azonnal maximálisan figyelembe is vette a Facebook a fejlesztéseinél (ja nem ;-).
És hogy a végére is legyen valami néznivaló, a 2014-es Hacktivity egyik videós előadását ajánljuk, amelynek az volt a címe, hogy "A vírustörténelem legnagyobb baklövései". Ebben vastagon szerepeltek hasonló mulasztások a szoftverfejlesztők részéről, ahol megjelent a tömeges támadás, masszív vírusfertőzés, ám mégis csak nagyon sokkal később, gyakran csak 5-6 év múlva vagy esetleg azóta sem változtatott, javított a gyártó.
Például nyitva volt akkoriban a Windows XP admin rights 2001-2007 között, sebezhető volt a Windows autorun 2007-2011 közt, a Microsoft Office makrók automatikusan lefutottak, pedig már 1995-ben voltak makrovírusok, ám generális lekapcsolásuk mégis csak 2000-ben történt meg. Sőt a Windows ismert fájltípusok kiterjesztésének elrejtése még mind a mai napig is fennáll, pedig az első ilyen vírusok 2000-ben jelentek meg (Loveletter, Kournikova).
Szóval a biztonságnak mindenképpen egyik nagyon fontos pillére a precízen beállított, alapértelmezett helyett a jól paraméterezett, ellenőrzött hálózati és szoftverkörnyezet.
