CERT Polska w analizie opublikowanej 23 września powiązał 852 zabezpieczone reklamy z 17 aplikacjami Google Play przez wspólny kod lub infrastrukturę. Badacze obserwowali zadania dotyczące SMS Premium i płatności przez operatora, kierowane także do polskich urządzeń. Dla osoby odpowiedzialnej za telefony służbowe to powód, by sprawdzić razem katalog aplikacji, ich uprawnienia do SMS oraz limity usług o podwyższonej opłacie.

Czy na pytanie o bezpieczeństwo służbowego telefonu wystarczy odpowiedź: aplikacje pochodzą z Google Play? Ustalenia CERT Polska dają konkretny powód, by takiej odpowiedzi nie przyjmować jako końca rozmowy. Przy przeglądzie firmowych zasad zapytaj również, które aplikacje mogą korzystać z SMS i jakie płatności dopuszczono dla służbowego numeru. Potraktuj te pytania jako zakres kontroli, bez zakładania z góry, że opisana operacja objęła urządzenie. Samo korzystanie z tego samego sklepu nie przesądza o udziale telefonu w kampanii. Do oceny własnej sytuacji potrzebujesz ustaleń dotyczących konkretnego urządzenia i numeru, a nie wyłącznie nazwy miejsca pobrania aplikacji.

852 reklamy i 17 aplikacji: co ustalili badacze

Według analizy CERT Polska podstawą powiązania reklam z aplikacjami był wspólny kod lub infrastruktura. Liczby 852 i 17 opisują odpowiednio zabezpieczone reklamy oraz powiązane aplikacje. Nie odczytuj ich jako liczby poszkodowanych abonentów, zainfekowanych telefonów ani naliczonych opłat. Z tych danych nie da się też obliczyć strat konkretnej organizacji.

Drugie ustalenie dotyczy celu obserwowanych zadań: SMS Premium i płatności przez operatora. To właśnie ten zakres uzasadnia włączenie ustawień płatności do przeglądu telefonów służbowych. Sprawdzenie samej listy aplikacji nie odpowie na pytanie, jakie limity obowiązują dla numeru. Z kolei odczytanie limitu nie zastąpi sprawdzenia, której aplikacji przyznano dostęp do SMS.

W przeglądzie rozdziel więc ustalenia dotyczące oprogramowania od ustaleń dotyczących rozliczeń. Przy aplikacji zapisz jej obecność i uprawnienia, przy numerze stan ustawień płatności. Nie wpisuj „bezpieczny” tylko dlatego, że udało się potwierdzić pochodzenie programu z Google Play. Zakończ kontrolę dopiero po udokumentowaniu odpowiedzi na pytania objęte jej zakresem.

Zapis o Google Play wymaga sprawdzenia na telefonie

Nie wiadomo z przytoczonych ustaleń, jakie procedury obowiązywały w organizacjach ani czy uczestniczyły w kampanii urządzenia służbowe. Nie ma zatem podstaw, by przypisywać pracownikom łamanie regulaminów. Można natomiast wykorzystać badanie CERT Polska do sprawdzenia własnej procedury: czy określa ona wyłącznie dopuszczalne źródło aplikacji, czy obejmuje również ich uprawnienia i płatności?

Jeżeli firmowa zasada kończy się na wskazaniu Google Play, uzupełnij ją o kryteria dopuszczania aplikacji do SMS. Dla każdej sprawdzanej aplikacji poproś o wskazanie celu służbowego, który uzasadnia taki dostęp. Gdy uzasadnienia brakuje, zapisz potrzebę decyzji o uprawnieniu i przypisz ją osobie odpowiedzialnej za telefon. Nie uznawaj braku odpowiedzi za potwierdzenie potrzeby dostępu.

Zgoda na aplikację powinna obejmować ocenę jej dostępu do SMS.

Porównaj następnie zapis procedury z ustawieniami wybranego urządzenia. W notatce rozróżnij dostęp wymagany do pracy, dostęp bez potwierdzonego uzasadnienia oraz stan, którego nie udało się sprawdzić. To propozycja sposobu kontroli po analizie CERT Polska, bez założenia, że którykolwiek z tych stanów dowodzi udziału w kampanii.

Płatności przez operatora potrzebują właściciela decyzji

Dla zarządu punktem wyjścia powinno być ustalenie, kto zatwierdza możliwość korzystania z SMS Premium i płatności przez operatora na służbowym numerze. Wyznacz osobę, która potwierdzi potrzebę takich usług, oraz osobę, która sprawdzi ich ustawienia. Jeśli odpowiedzialność jest podzielona, wymagaj wspólnej odpowiedzi obejmującej telefon i numer.

Nie szacuj budżetu ryzyka przez mnożenie 17 aplikacji przez założoną opłatę. Przytoczone fakty nie określają wysokości strat. Zamiast tworzyć pozornie precyzyjną kwotę, odnotuj obowiązujące limity i zdecyduj, czy odpowiadają potrzebom służbowym. Osobno zweryfikuj zakres ograniczeń dla SMS Premium oraz płatności przez operatora; nie zakładaj bez sprawdzenia, że ustalenie dotyczące jednej usługi obejmuje drugą.

Decyzja o służbowym numerze powinna obejmować także dopuszczone płatności i ich limity.

Przy wyjaśnianiu rozliczeń zachowaj ostrożność w przypisywaniu odpowiedzialności. Zgodnie z zastrzeżeniem CERT Polska dostawcy rozliczeń nie są przez sam udział w przepływie płatności operatorami kampanii. Pytanie o naliczoną usługę powinno służyć ustaleniu jej szczegółów; samo wystąpienie podmiotu w rozliczeniu nie uzasadnia oskarżenia go o prowadzenie operacji.

Polskie urządzenia znalazły się w obserwacji CERT Polska

Według CERT Polska zadania związane z SMS Premium i płatnościami przez operatora kierowano także do polskich urządzeń. To wystarczająca przesłanka, by uwzględnić opisany problem w przeglądzie telefonów używanych w Polsce. Nie trzeba do tego przyjmować, że kampania dotknęła każdą polską firmę.

W wewnętrznej informacji dla osób zarządzających telefonami podaj zakres obserwacji CERT Polska i zakres zleconego sprawdzenia. Oddziel informację o kampanii od wyników kontroli własnych urządzeń. Dopóki tych wyników nie ma, pozostaw status do ustalenia. Nie zastępuj go ani zapewnieniem o braku problemu, ani stwierdzeniem, że doszło do obciążenia firmowego rachunku.

Co z tym zrobić w poniedziałek

  1. Sprawdź katalog na wybranym telefonie. W ciągu 30 minut porównaj listę zainstalowanych aplikacji z firmowym katalogiem dopuszczonych programów. Zapisz rozbieżności i osobę, która rozstrzygnie ich status. Jeśli katalogu brakuje, odnotuj ten brak jako wynik kontroli, bez uznawania wszystkich aplikacji za zatwierdzone.
  2. Przejrzyj dostęp do SMS. Poświęć 30 minut temu samemu urządzeniu: zapisz aplikacje z takim uprawnieniem i dostępne uzasadnienia służbowe. Przy brakującym uzasadnieniu wskaż osobę odpowiedzialną za decyzję. Wynik ma opisywać sprawdzone ustawienia, bez domysłów o zachowaniu użytkownika.
  3. Odczytaj limity dla numeru. W ciągu 30 minut sprawdź dostępne ustawienia lub dokumentację SMS Premium i płatności przez operatora. Zapisz zakres każdego potwierdzonego ograniczenia. Jeśli nie możesz ustalić ustawień, przygotuj konkretne pytanie do osoby zarządzającej usługą i wyznacz odpowiedzialnego za uzyskanie odpowiedzi.

Polityka telefonów służbowych powinna łączyć decyzję o dopuszczeniu aplikacji z oceną dostępu do SMS i płatności przez operatora. Po ustaleniach CERT Polska zarząd ma powód, by oczekiwać udokumentowanego sprawdzenia tych ustawień. Kryterium zakończenia przeglądu powinny być odpowiedzi dotyczące własnych urządzeń i numerów, ze wskazanymi brakami, które wymagają dalszej decyzji.

Źródła

Redakcja cyberinsight.pl.