Криптовалюта открывает новые возможности, но вместе с этим приходят и риски. Чтобы защитить свои средства и средства доноров, важно понимать, как безопасно хранить крипту, принимать пожертвования и минимизировать угрозы.

Прежде чем начать использовать криптовалюту, важно понять, где и как ваши средства будут храниться. Есть два основных типа кошельков:

• Кастодиальные кошельки - это когда ваши средства хранятся у третьей стороны, например, на бирже или в сервисе (Coinbase, Binance). Плюс: удобно и быстро. Минус: вы полностью зависите от работы сервиса - если сервис будет недоступен, взломан или ограничен по законам и правилам (например, на время расследования транзакций), вы временно не сможете использовать свои средства;

По сути вы не держите ключи сами - формально это ваши средства, но контроль за ними не полностью ваш.

• Некастодиальные кошельки - это когда вы сами храните свои средства, обычно с помощью “сид-фразы”. Плюс: полный контроль - никто не сможет использовать ваши средства без вашего ключа. Минус: потеря сид-фразы означает потерю доступа ко всем средствам навсегда; с помощью фишинга можно подменить адрес получателей, а с помощью атаки на устройство можно получить доступ к управлению средствами.

Горячий кошелек — это некастодиальный кошелек, подключенный к интернету (например, мобильное приложение или десктоп-кошелек). Удобен для быстрых переводов и ежедневных расходов, но уязвим к фишингу и взлому через заражение устройства.

• надежно хранить сид-фразу - потеря фразы приведет к невозможности доступа к кошельку, а её компрометация (слив или кража) позволит злоумышленнику полностью управлять средствами;
• использовать защищенные устройства: обновлять ОС, проверять отсутствие подозрительных приложений;
• сильный пароль и двухфакторная аутентификация;
• проверка возможностей восстановления доступа с другого устройства, если текущее сломается.

• Аппаратные кошельки - физические устройства для хранения ключей и подписания транзакций. Даже при заражении компьютера средства остаются в безопасности. Аппаратные кошельки помогают минимизировать риск потери средств при поломке или заражении устройства.

Аппаратные (холодные) криптокошельки – одно из ключевых средств защиты: они хранят приватные ключи оффлайн, изолируя их от интернет-угроз;

• Мультиподпись (Multi-signature) -  требует нескольких подтверждений для перевода. Полезно, если нескольким людям нужно совместно управлять средствами;
• Режим “watch-only” - позволяет проверять баланс и поступления, но не переводить средства. Отличная дополнительная защита.

При приеме пожертвований в криптовалюте важно думать о безопасности и конфиденциальности как для организации, так и для доноров. Большинство криптовалют, например Bitcoin, Ethereum и USDT, имеют полностью открытые блокчейны, где все транзакции видны публично. Для доноров, которым важна приватность, есть криптовалюты с повышенной конфиденциальностью, такие как Monero или Zcash. При этом необходимо учитывать действующие законы и правила в каждой стране.

Основные рекомендации по безопасной работе с криптодонатами:

• Разделяйте кошельки: на горячий и холодный: не держите все средства в одном месте. Небольшие суммы для ежедневных расходов храните на “горячем” кошельке (подключенном к интернету), а основные средства - на “холодном” кошельке без постоянного подключения к сети. Даже если горячий кошелек будет скомпрометирован, основные средства останутся в безопасности;
• Используйте отдельные адреса для каждого донора;
• Проверяйте и защищайте кошельки: используйте надежные пароли, двухфакторную аутентификацию и, при возможности, аппаратные кошельки;
• Следите за обновлениями: обновляйте ПО кошельков, сайта и форм приема платежей. Это снижает риски вредоносного ПО;
• Минимизируйте сбор лишних данных: старайтесь собирать только необходимые сведения о донорах и аккуратно использовать аналитические сервисы;
• Используйте мультиподпись при совместном управлении средствами: это повышает безопасность при переводе крупных сумм.

Представьте, что вашим подписчикам приходят странные сообщения якобы от вашего имени или появляются посты, которых вы не публиковали. Это почти наверняка означает, что аккаунт взломан злоумышленниками. Ниже - простые шаги, как распознать взлом, что делать сразу и как защититься в будущем.

• Посторонние входы: появляются уведомления о входе с незнакомых устройств или мест. В настройках безопасности видны активные сеансы на устройствах, которыми вы не пользуетесь;
• Необычная активность: появляются публикации и рассылки, которых вы не делали, например, спам или подозрительные ссылки. Иногда меняются фото профиля, имя или другие данные без вашего ведома;
• Потеря доступа: пароль перестал подходить, хотя вы его не меняли. Иногда приходят письма о смене пароля или адреса почты, которые вы не запрашивали.

• Фишинг - жертве присылают письмо или ссылку, замаскированную под официальный сайт. Введенные данные на таком сайте сразу попадают к мошенникам;
• Социальная инженерия - мошенник обманным путем выманивает код доступа или пароль, например, выдавая себя за техподдержку. Никогда не сообщайте одноразовые коды и пароли!
• Повторяющиеся или простые пароли - если один пароль используется на нескольких сервисах, его утечка открывает доступ к другим учетным записям;
• Кража сессии (cookie) или токена доступа - злоумышленник получает доступ к вашей действующей сессии через получение доступа к устройству. Это может быть атака онлайн – тогда защититься поможет антивирус и базовая защита устройства или атака оффлайн –кража или изъятие устройства – тогда поможет шифрование жесткого диска;
• Перехват SMS - если злоумышленник получает одноразовый код, он может войти в ваш аккаунт. Спасает двухэтапная аутентификация через приложение Authenticator или электронный ключ (например, Yubikey).

• Смените пароль - используйте функцию восстановления доступа через email или телефон. Если восстановить доступ не удается, пишите в поддержку платформы;
• Завершите чужие сеансы - в настройках безопасности завершите все активные сессии на чужих устройствах;
• Проверьте настройки профиля - убедитесь, что контактные данные (например, почта и телефон) ваши. Удалите сторонние приложения с доступом к аккаунту;
• Замените повторяющиеся пароли - если этот же пароль использовался где-то ещё, измените его;
• В каждом сервисе свои нюансы - ознакомьтесь с инструкциями платформы;
• Предупредите аудиторию - сообщите коллегам и подписчикам через другие каналы, что аккаунт взломан, и попросите игнорировать странные сообщения;
• Проведите “уборку” устройства - проверьте компьютер или телефон на вирусы и обновите ОС.

• Двухфакторная аутентификация - включите 2FA везде, где возможно. Это самый надежный способ защитить аккаунт;
• Надежные пароли - длинные, сложные, уникальные для каждого сервиса. Рекомендуем использовать менеджер паролей;
• Осторожность со ссылками - не переходите по сомнительным ссылкам. Лучше вручную вводить адрес сайта или использовать официальное приложение нужного сервиса;
• Контроль устройств и обновления - регулярно проверяйте активные сеансы и держите ОС и приложения обновленными;
• Резервное восстановление - привяжите актуальную почту, номер телефона и, если возможно, запасной адрес электронной почты. Запишите процедуры восстановления для каждой соцсети - так вы быстро вернете доступ в экстренной ситуации. Имейте ввиду, что если захватят резервную почту, то могут захватить и этот аккаунт – защищайте все активы, которые у вас есть;
• Не делитесь доступом - не сообщайте пароли коллегам и никому постороннему. Техподдержка не спрашивает код из SMS. Если нужно передать пароль или второй фактор коллегам – создайте общую папку в облачном парольном менеджере.

Лучший способ справиться с проблемой — это подготовиться к ней заранее. Поэтому сделайте это, не откладывая:

Установите сложный пароль.

Забудьте про 4-значные PIN-коды и простые графические ключи (L, Z, квадрат). Используйте минимум 6-значный PIN-код, а лучше — пароль из букв и цифр.

Если вы географически находитесь в таком месте, где вас не могут заставить разблокировать телефон против воли, включите биометрию - это отличная защита от кражи! Активируйте Face ID или сканер отпечатка пальца.

Активируйте службу поиска.

На iPhone: Зайдите в Настройки > [ваше имя] > Локатор > Найти iPhone и убедитесь, что все три переключателя (Найти iPhone, Сеть Локатора, Последняя геопозиция) активны. «Сеть Локатора» — это та самая функция, которая поможет найти телефон, даже если он выключен.

На Android: Зайдите в Настройки > Google > Найти устройство (или поищите "Найти устройство" поиском по настройкам) и включите его.

Запишите IMEI.

Наберите на телефоне команду *#06#. Появится уникальный 15-значный IMEI-код вашего устройства. Сфотографируйте его или запишите и сохраните в надежном месте. Он понадобится для заявления в полицию.

Настройте резервное копирование.

Если вам нужна информация с телефона, настройте резервное копирование. Включите автоматическое создание резервных копий в iCloud (для iPhone) или Google One/Google Фото (для Android), чтобы не потерять ценные данные.

Как только вы поняли, что телефона у вас нет, действуйте.

Для Android:

Воспользуйтесь сервисом Google «Найти устройство» (android.com/find). Войдите в тот же аккаунт Google, что и на потерянном телефоне. В этом сервисе есть опции:

Прозвонить: Устройство будет издавать громкий звуковой сигнал в течение 5 минут, даже если включен беззвучный режим. Идеально, если вы думаете, что телефон где-то рядом.

Заблокировать устройство: Это самый важный шаг. Телефон немедленно заблокируется вашим PIN-кодом или паролем. Дополнительно на экране блокировки можно вывести сообщение (например, «Телефон утерян, пожалуйста, позвоните по номеру +XXXXXXXXXXX») и номер для связи.

Очистить устройство: Крайняя мера. Все данные с устройства будут удалены безвозвратно. После этого вы больше не сможете отследить телефон через сервис Google. Используйте эту функцию, только если уверены, что не сможете вернуть устройство и на нем хранятся критически важные данные.

Для владельцев Samsung:

У Samsung есть свой мощный сервис Find My Mobile (findmymobile.samsung.com), который предлагает уникальные функции: удаленное создание резервной копии данных, просмотр последних звонков и сообщений, и даже включение режима энергосбережения, чтобы продлить время работы батареи для отслеживания.

Для iPhone:

Используйте сервис «Локатор» через сайт icloud.com/find или приложение «Локатор» на другом устройстве Apple. В этом сервисе есть опции:

Воспроизвести звук: Аналогично Android, поможет найти устройство поблизости.

Отметить как пропавшее (Режим пропажи): Это приоритетное действие. Устройство немедленно блокируется паролем, а на его экране отобразится ваше сообщение с контактным номером. Важно, что в этом режиме отключается Apple Pay, но телефон все еще можно отследить. Телефон, переведенный в режим пропажи, становится практически бесполезным для нашедшего или вора.

Стереть iPhone: Полное удаление всех данных. Как и в случае с Android, после этого отслеживание станет невозможным. При стирании можно оставить сообщение на экране.

Важно! Если телефон выключен или не в сети, все команды (блокировка, стирание) будут исполнены, как только он появится в сети или будет обнаружен через офлайн-сеть «Локатор».

Заблокируйте SIM-карту.

Немедленно позвоните своему мобильному оператору и попросите заблокировать SIM-карту. Это нужно, чтобы злоумышленник не смог использовать ваш номер для получения SMS-кодов для сброса паролей от банков и других сервисов. Вы сможете легко восстановить свой номер на новой SIM-карте. Если у вас была eSIM, процедура аналогична.

Выйдите из важных аккаунтов.

Даже если вы заблокировали телефон, лучше перестраховаться. С компьютера или другого устройства:

Google: Перейдите в Настройки аккаунта Google > Безопасность > Ваши устройства и нажмите «Выйти» на потерянном устройстве.

Apple ID: Перейдите на сайт appleid.apple.com, войдите в свой аккаунт и удалите потерянное устройство из списка доверенных.

Социальные сети и мессенджеры (Telegram, WhatsApp, Facebook): В настройках безопасности каждого сервиса есть раздел «Активные сеансы» или «Подключенные устройства». Завершите сеанс на потерянном устройстве.

Банковские приложения: Позвоните на горячую линию вашего банка, объясните ситуацию и следуйте их инструкциям. Часто достаточно просто выйти из сессий удаленно, но консультация с банком не будет лишней.

Если вы находитесь в юрисдикции, где полиция занимается такими делами, подайте заявление в полицию. Это особенно важно, если вы уверены, что телефон украли. Вам понадобится паспорт, документы на телефон (если есть) и тот самый IMEI-код, который вы сохранили заранее. Это увеличивает шансы на возврат.

При этом остерегайтесь мошенников!  Если вы включили «Режим пропажи» и оставили свой номер, вам могут приходить SMS или сообщения в мессенджеры якобы от Apple или Google с текстом «Ваш телефон найден! Его местоположение можно увидеть по ссылке: [фишинговая ссылка]». НИКОГДА не переходите по таким ссылкам и не вводите там свой пароль! Это уловка, чтобы украсть ваш Apple ID или Google-аккаунт и отвязать от него телефон. Проверяйте статус устройства только на официальных сайтах: icloud.com/find и android.com/find.

Используйте менеджер паролей:

Сервисы вроде Bitwarden, 1Password или встроенные решения от Apple/Google надежно хранят все ваши пароли. Вам нужно будет помнить только один — главный.

Настройте пути восстановления для аккаунтов:

Для Apple ID:

Зайдите в Настройки > [ваше имя] > Вход и безопасность. Добавьте номер телефона, или имейл для восстановления, можете настроить «Контакт для восстановления» или «Ключ восстановления».

Для Google Account:

Зайдите в настройки аккаунта Google, раздел «Безопасность». Убедитесь, что указаны резервный номер телефона и резервная электронная почта.

Сохраните ключи шифрования:

Если вы используете шифрование диска (BitLocker на Windows, FileVault на Mac), система предлагает сохранить ключ восстановления. Обязательно сделайте это! Распечатайте его, сохраните в менеджере паролей или в надежном облачном хранилище. Без этого ключа и пароля данные могут быть потеряны навсегда.

Включите регулярное резервное копирование:

Настройте автоматические бэкапы в iCloud (iPhone), Google One (Android), Time Machine (Mac) или «Историю файлов» (Windows).

Если вы забыли пароль от Windows

Метод 1: Сброс пароля аккаунта Microsoft (данные сохранятся)

- Если вы входите в Windows с помощью учетной записи Microsoft (например, [email protected]), это самый простой способ;

- На экране входа в систему нажмите на ссылку «Я не помню свой пароль»;

- Следуйте инструкциям на экране. Вам будет предложено подтвердить свою личность с помощью резервной почты или телефона, которые вы указывали при регистрации;

- После подтверждения вы сможете задать новый пароль.

Метод 2: Использование ключа восстановления BitLocker

Если ваш диск зашифрован с помощью BitLocker и система запрашивает ключ восстановления, его можно найти (в зависимости от того, куда вы его сохраняли):

- В вашем аккаунте Microsoft по ссылке: account.microsoft.com/devices/recoverykey;

- Или на USB-накопителе, если вы сохраняли его туда;

- Или в распечатанном виде, если вы его распечатали.

Метод 3: Сброс локального пароля (требует технических навыков, данные сохранятся)

Если вы использовали локальный аккаунт (без привязки к Microsoft), и диск не зашифррован или у вас есть ключ, можно использовать установочный диск Windows или специальную загрузочную флешку для сброса пароля. Этот метод требует уверенных знаний ПК. Для большинства пользователей проще и безопаснее будет переустановить систему.

Метод 4: Переустановка Windows (все данные на системном диске будут удалены!)

Если ничего не помогает, остается только полная переустановка операционной системы с помощью установочной флешки.

Если вы забыли пароль от macOS

Метод 1: Сброс с помощью Apple ID (данные сохранятся)

- На экране входа несколько раз введите неверный пароль;

- Должна появиться опция сброса пароля с помощью вашего Apple ID;

- Введите данные Apple ID и следуйте инструкциям для создания нового пароля.

Метод 2: Использование ключа восстановления FileVault (данные сохранятся)

Если при включении шифрования FileVault вы у себя сохранили ключ восстановления, система предложит использовать его для сброса пароля.

Метод 3: Режим восстановления macOS (данные могут быть удалены!)

- Выключите ваш Mac;

- Включите его и сразу зажмите определенную комбинацию клавиш (Command + R для Mac на Intel, удерживайте кнопку питания для Mac на Apple Silicon);

- В открывшемся меню «Утилиты macOS» можно воспользоваться «Терминалом» для сброса пароля (сложный метод) или переустановить macOS. Переустановка поверх существующей системы может сохранить данные, но гарантий нет.

Важно: В отличие от компьютеров, на современных смартфонах обойти пароль без полного сброса и потери всех данных практически невозможно. Это сделано для защиты вашей информации в случае кражи.

Если вы забыли пароль от iPhone или iPad

Если Face ID или Touch ID не работают, а пароль вы не помните, единственный выход — стереть устройство. Данные можно будет восстановить позже из резервной копии iCloud или на компьютере (если они сделаны).

Способ 1: Через iCloud / Локатор (если телефон онлайн)

- Зайдите на сайт icloud.com/find с любого другого устройства;

- Войдите в свой Apple ID;

- Выберите ваш iPhone в списке устройств и нажмите «Стереть iPhone»;

- После стирания устройство перезагрузится, и вы сможете настроить его заново, восстановив данные из последней резервной копии.

Способ 2: Через режим восстановления (если телефон офлайн или способ 1 не работает)

- Подключите iPhone к компьютеру;

- На Mac откройте Finder, на ПК с Windows — iTunes (или приложение «Устройства Apple»);

- Переведите iPhone в режим восстановления. Процесс отличается для разных моделей (поищите инструкцию «режим восстановления [ваша модель iPhone]»);

- Компьютер предложит «Восстановить» или «Обновить» устройство. Выберите «Восстановить»;

- После завершения процесса настройте iPhone как новый или восстановите из бэкапа.

Если вы забыли пароль от Android-смартфона

Как и с iPhone, придется стирать все данные.

Способ 1: Через сервис Google «Найти устройство» (если телефон онлайн)

- Перейдите на сайт android.com/find;

- Войдите в аккаунт Google, который привязан к устройству;

- Выберите ваш смартфон и опцию «Очистить устройство».

Важно: После сброса на большинстве Android телефонов сработает система защиты Factory Reset Protection (FRP). Это значит, что при первом включении телефон потребует ввести логин и пароль от последнего Google-аккаунта, который был на нем. Если вы не помните и эти данные, телефон останется заблокированным (хотя специализированными приложениями можно разблокировать некоторые модели телефонов). Поэтому убедитесь, что у вас есть доступ к своему Google-аккаунту, прежде чем стирать данные.

Способ 2: Через меню Recovery (Hard Reset)

- Выключите телефон;

- Зажмите комбинацию клавиш для входа в меню Recovery (обычно это «Громкость вниз» + «Питание»). Комбинация может отличаться в зависимости от производителя или вообще не работать;

- В появившемся меню кнопками громкости выберите пункт Wipe data/factory reset и подтвердите выбор кнопкой питания;

- После сброса телефон перезагрузится. Защита FRP также сработает, и потребуется ввод данных старого Google-аккаунта.

Существует несколько основных векторов атак:

Физический доступ: Злоумышленник получает ваш телефон (кража, потеря) и пытается подобрать пароль, чтобы извлечь данные напрямую.

Удаленный доступ: Устройство заражается вредоносным программным обеспечением (ПО) через интернет. Самые частые каналы удаленного заражения:

* Социальная инженерия: Вас обманом заставляют совершить нужное действие;

* Вредоносные приложения: Загрузка приложений из неофициальных источников или даже из официальных магазинов, где зловредное ПО маскируется под безобидные утилиты;

* Уязвимости в ПО и атаки «ноль-кликов»: Наиболее опасный тип атак. Они используют неизвестные разработчикам уязвимости в операционной системе или популярных приложениях (iMessage, WhatsApp). Такие атаки, как знаменитая Pegasus, не требуют от пользователя никаких действий — заражение происходит незаметно.

При успешном взломе злоумышленники могут получить практически полный контроль над устройством и доступ к:

• Файлам, фотографиям, документам (включая удаленные);
• Переписке в мессенджерах, SMS и электронной почте;
• Паролям, данным банковских карт, доступу к онлайн-банкингу;
• Списку контактов и истории звонков;
• Данным о вашем местоположении (GPS).

Кроме того, шпионское ПО может незаметно:

• Активировать микрофон и камеру для записи окружения;
• Делать скриншоты и записывать все, что вы делаете на экране;
• Устанавливать другие вредоносные приложения.

Признаками взлома могут быть:

• Появление незнакомых приложений, которые вы не устанавливали;
• Неожиданное открытие или закрытие приложений без вашего участия;
• Появление всплывающих окон, которых ранее не было;
• Предупреждения от системы безопасности устройства о подозрительной активности.

Для повышения безопасности рекомендуется:

• Регулярно обновлять все приложения и операционную систему, чтобы закрыть известные уязвимости;
• Не использовать устройства, которые больше не получают обновлений безопасности;
• Избегать использования ПО из ненадежных источников, так как оно может содержать встроенные вирусы;
• Не переходить по подозрительным ссылкам и не скачивать файлы из ненадёжных источников;
• Использовать сложные и уникальные пароли для различных учётных записей и регулярно их обновлять;
• Контролировать разрешения приложений и проверять, к чему приложения на смартфоне запрашивают доступ. Фонарику не нужен доступ к вашим контактам и микрофону
• Включить двухфакторную аутентификацию там, где это возможно, для дополнительной защиты учётных записей.Соблюдение этих рекомендаций поможет снизить риск взлома и защитить ваши персональные данные.

• Отключитесь от интернета: Включите авиарежим, чтобы остановить передачу данных;
• Смените пароли: Используя другое, безопасное устройство, немедленно смените пароли от почты, банков и других ключевых аккаунтов;
• Предупредите контакты: Сообщите близким, чтобы они не реагировали на странные сообщения от вас;
• Сделайте резервную копию важных файлов: Сохраните только фото, видео и документы. Не копируйте приложения и их данные;
• Выполните полный сброс до заводских настроек: Это самый надежный способ удалить вредоносное ПО с устройства.

Дипфейк – это технология на основе искусственного интеллекта, которая позволяет подделывать внешний вид и голос человека в видео. То есть мошенник может появиться на экране в образе вашего знакомого и говорить его голосом, но на самом деле вы будете видеть двойника, почти не отличимого от реального человека. Это похоже на очень продвинутый «фильтр», или «маску», которые «накладывают» чужое лицо на видео в реальном времени.

К сожалению, такие технологии стремительно становятся доступнее, и случаи мошенничества с дипфейками растут взрывными темпами – за 2023 год их число увеличилось в 31 раз по всему миру. А в 2024 году число таких случаев превысило показатели всех предыдущих лет вместе взятых.

Дипфейк-видеозвонки представляют собой прежде всего разновидность социальной инженерии – обмана доверия. 

• Мошенничество с финансами 

Злоумышленники могут выдавать себя за директора или бухгалтера вашей организации и просить срочно перевести деньги на какой-то счёт. Были случаи, когда сотрудников обманывали на миллионы долларов, устроив видеоконференцию с поддельными «коллегами» – все участники, включая финансового директора, оказались дипфейками. 

Для некоммерческих организаций это может означать потерю грантовых средств или пожертвований.

• Фишинг и утечка данных 

Под видом знакомого человека мошенник может выманивать конфиденциальную информацию: пароли, списки подопечных, внутренние документы. Например, вам может позвонить «коллега из другой организации» с просьбой поделиться отчетами или доступом к аккаунтам.

• Имитация руководства и дискредитация

Ещё один риск – когда аферисты притворяются вашим руководителем или известным лицом, чтобы дать вам задания или вовлечь в сомнительные действия. Бывали случаи, когда мошенники выдавали себя за публичных персон и в видеозвонке провоцировали людей на откровенные высказывания. Затем запись такого разговора выкладывалась в сеть для дискредитации участников.

• Неожиданное обращение или странная ситуация 

Первый тревожный «звоночек» – вам пишет или звонит знакомый человек с нового номера или аккаунта, да ещё и с необычной просьбой. Например, директор внезапно просит позвонить ему по видеосвязи в WhatsApp, хотя раньше вы общались только в Signal. Необычный канал связи — повод насторожиться, особенно при срочных финансовых поручениях или давлении.

• Несовпадения в видео и голосе 

В дипфейках часто видны мелкие искажения и неестественные детали: лицо кажется «плоским», без эмоций, границы волос/ушей/фона размыты, мимика не совпадает с речью.
Проверьте синхронность губ и звука — задержка или опережение; движение глаз - редкое/слишком частое или асинхронное моргание, «пустой» взгляд — повод насторожиться.
Обратите внимание на зубы: алгоритмы часто плохо прорисовывают отдельные зубы, создавая слитную или неестественную текстуру.

• Неестественная речь и паузы. 

Даже если голос очень похож, прислушайтесь к интонации и паузам. Синтезированный или поддельный голос может звучать чуть более монотонно, «роботично» или с непривычным акцентом. Кроме того, если задать внезапный вопрос, фальшивка может замешкаться, так как тому, кто скрывается за маской, нужно время среагировать. 

Эксперты советуют: задайте вопрос, ответ на который точно знает ваш настоящий знакомый, и посмотрите на реакцию. Настоящий коллега ответит сразу, а вот мошенник, вероятно, уйдёт от ответа.

• Плохое качество видео, скрытое лицо 

Мошенники могут специально ухудшить условия связи, чтобы вы не заметили изъяны дипфейка. Обратите внимание на неестественное освещение: тени на лице могут не совпадать с источниками света в комнате.

• Странности при движении 

Ещё один способ проверить – попросить собеседника выполнить простое действие в кадре, например, показать, что написано на кружке или снять на секунду очки. Резкое движение (повернуть голову в профиль на 90°, провести рукой перед лицом, пригубить из чашки) может вывести дипфейк из строя. 

Ни один из этих признаков сам по себе не гарантирует 100% разоблачения, но совпадение нескольких сигналов – серьезный повод не доверять увиденному. 

Атака с использованием дипфейка обычно разворачивается по определённому сценарию. 

Как правило, всё начинается с неожиданного контакта.

• Необычное приглашение на звонок

Жертва получает письмо, сообщение в мессенджере или звонок от лица, выдающего себя за знакомого (начальника, партнёра, донора и т.п.). Вас могут попросить срочно выйти на видеоконференцию по внеплановому поводу. 

Часто злоумышленники используют поддельный или взломанный аккаунт знакомого человека, чтобы обращение выглядело правдоподобно.

• Видеозвонок с «двойником» 

Сотрудник подключается к конференции. На экране действительно появляется лицо знакомого человека – например, руководителя. Мошенник с помощью программы в реальном времени транслирует поддельное изображение и голос. Первые минуты могут не вызывать подозрений: голос узнаваем, внешность совпадает (особенно если связь не слишком чёткая).

• Манипуляции во время разговора 

Далее мошенник переходит к сути: под каким-то предлогом просит совершить действия. 

Важный момент – злоумышленники давят на срочность или авторитет.

• Завершение атаки

После получения желаемого (денег, информации) мошенник может быстро прервать связь и исчезнуть. Иногда, если жертва сомневается, аферисты могут устроить дополнительный «спектакль» – например, подключат других фейковых участников для убедительности или попытаются надавить повторно. 

• Всегда подтверждайте личность по другому каналу 

Прежде чем выполнять просьбу из видеозвонка, перезвоните этому человеку по известному вам номеру или напишите в привычный чат. То же касается любых внезапных звонков с неизвестных аккаунтов от коллег или партнёров. Альтернативно (или дополнительно) можно договориться внутри команды о кодовом слове для экстренной проверки. 

• Не поддавайтесь давлению, берите паузу

Мошенники спешат заставить вас сделать перевод или выдать данные «прямо сейчас». Не торопитесь! Прекратите разговор при малейшем подозрении. 

• Внутренние финансовые процедуры и MFA 

Для защиты денег введите правило: один сотрудник не должен в одиночку проводить значимые транзакции по чьей-то устной команде. Всегда нужна двойная проверка – например, подтверждение второго ответственного лица. Используйте многофакторную аутентификацию (MFA) везде, где можно: в почте, мессенджерах, рабочих аккаунтах. 

• Обучение команды и обмен опытом 

Обсудите с сотрудниками и волонтерами случаи дипфейк-мошенничества. Убедитесь, что люди знают об этой угрозе и не считают её «фантастикой». Проведите небольшой тренинг: разошлите статью или разыграйте сценарий подозрительного звонка на общем собрании. Найдите базовые инструменты, которыми пользуются мошенники для подмены лица и поэкспериментируйте.

• Настройте безопасность видеоконференций 

Используйте возможности платформ Zoom, Teams и прочих, чтобы обезопасить встречи от посторонних. Например, ставьте пароль на важные звонки, делайте их по индивидуальной ссылке, не публикуйте открыто ID конференции. 

Чем меньше шансов у злоумышленника вообще попасть с вами на связь, тем лучше. Кроме того, следите за обновлениями: современные видеосервисы работают над внедрением средств распознавания дипфейков и верификации участников. 

Сертификат — это «пропуск» для сайта: если устройство ему доверяет, то в адресной строке браузера появляется замочек, исчезают предупреждения и обмен данными происходит по HTTPS. 

Сертификаты безопасности, такие как SSL/TLS, предназначены для шифрования данных между пользователем и сайтом. Они подтверждают подлинность ресурса и защищают информацию от перехвата. При наличии такого сертификата соединение считается безопасным, что отображается в браузере значком замка рядом с адресом сайта.

Есть сертификат сайта (действует для одного домена, например google.com) и есть корневой сертификат — главный ключ, которому доверяет вся операционная система. Владелец корневого сертификата может выпускать сертификаты на любые сайты. 

После 2022 года многие зарубежные центры сертификации перестали выдавать и продлевать сертификаты для российских сайтов. Госуслуги и банки начали открываться с ошибками. В ответ, Минцифры запустило свой центр сертификации и предложило гражданам доверять его корневому сертификату, чтобы сайты Госуслуг и банков открывались. 

Установка российских сертификатов безопасности вызывает споры. С одной стороны, они позволяют устранить предупреждения браузеров о небезопасном соединении и обеспечивают доступ к сайтам. С другой стороны, существует вероятность, что такие сертификаты могут использоваться для отслеживания или перехвата трафика пользователя. 

Есть вероятность, что если пользователь доверяет корневому сертификату Минцифры, то к его трафику незаметно для него могут получить доступ структуры, обладающие технической возможностью перехвата и имеющие интерес к мониторингу интернет-активности. 

В Казахстане в 2015-2019 году продвигали «национальный» корневой сертификат. После установки сертификата, правоохранительные органы Казахстана получали доступ к трафику пользователей. В ответ Google, Mozilla и Apple заблокировали этот корневой сертификат в своих браузерах.

Технически-возможный сценарий в России. Если у вас установлен корневой сертификат, то, например, при вводе в браузер google.com третьи лица, обладающие технической возможностью перехвата и мониторинга интернет-активности, через подконтрольный DNS могут перенаправить вас на свой сервер. При этом вам показывается настоящий интерфейс Google, и никаких ошибок или предупреждений браузер не выдаёт, поскольку сертификат поддельного сайта подписан тем самым корневым сертификатом. В итоге можно получить доступ к логину и паролю, а все действия на сайте могут просматриваться. 

Чтобы не устанавливать российские сертификаты на всю операционную систему, можно воспользоваться браузерами, в которые уже они уже встроены. Например, можно установить Яндекс браузер, в котором корневой сертификат уже встроен, и использовать его только для тех сайтов, где сертификат обязателен. Но помните: это не убирает риск — все, что вы делаете через Яндекс браузер, может отслеживаться.

Часто удобно использовать официальные мобильные приложения банков и госуслуг — в многие из них сертификат также установлен.

Без российских сертификатов некоторые российские сайты могут отображаться с ошибками или вовсе быть недоступными. Это касается, в первую очередь, государственных и финансовых ресурсов. Пользователю в таком случае придётся либо установить сертификат на всю операционную систему, либо использовать браузеры, в которое установлен сертификат или мобильные приложения сервисов.

1. Установите отдельный браузер только для сайтов, которые не работают без корневого сертификата (Госуслуги, банки). Для всего личного советуем использовать другой браузер.
2. Не устанавливайте корневой сертификат на всю операционную систему. Доверяйте сертификату лишь внутри конкретного браузера. Для бОльшей защищённости используйте виртуальную машину или отдельный смартфон для работы с российскими сайтами.

Общий совет такой: действуйте по принципу наименьшего доверия, а именно ограничивайте установку одним браузером, разделяйте рабочие и личные контексты и, по возможности, переходите на мобильные приложения. Это не снимает угрозу полностью, но ощутимо сокращает возможный ущерб.

Просьба разблокировать телефон на российской границе стала уже стандартной процедурой. Спорить о ее законности на месте бесполезно и контрпродуктивно. Ваша главная задача — спокойно пройти границу, и это на 99% зависит от подготовки.

Это руководство поможет вам подготовить вашу технику, минимизировать риски и сохранить спокойствие.

Если времени мало, пройдитесь по этому списку. Для полного понимания рисков изучите инструкцию целиком.

• Соцсети, чаты, каналы, история поиска и YouTube — почищены от рискованного контента;
• Контакты и фотографии/видео (включая папку «Недавно удаленные») — проверены и очищены;
• Приложения нежелательных СМИ, VPN-сервисы и банковские приложения с историей «опасных» донатов — удалены;
• Face ID / Touch ID — отключены (для предотвращения принудительной разблокировки);
• Установлен сложный пароль на разблокировку (минимум 6 цифр).

Главная стратегия: «Выглядеть скучно, а не стерильно».

Ваша цель — не вызвать подозрений. Абсолютно пустой, «стерильный» телефон может привлечь внимание. Телефон должен выглядеть как устройство обычного человека: есть мессенджеры, пара игр, приложение для заказа такси, несколько нейтральных фотографий. Задача — при беглом осмотре уставшего пограничника показаться ему неинтересным.

Начните подготовку заранее.

Все ценное, что вы удаляете с телефона, предварительно сохраните в облачное хранилище, доступ к которому с телефона будет закрыт.

• Защитите Telegram.

Это самое проверяемое приложение. Удалять его бесполезно — могут заставить скачать и войти заново.

Установите облачный пароль (2FA). Это обязательно. Зайдите в Настройки > Конфиденциальность > Двухэтапная аутентификация. Без этого пароля ваши переписки не защищены. Храните пароль в надежном менеджере, но не в телефоне.

• Почистите контент.

Отпишитесь от всех «опасных» каналов, удалите переписки, чаты и загруженные файлы по стоп-словам.

Вручную или через поиск найдите и удалите из всех приложений (чаты, заметки, браузер) упоминания следующих тем:

• Номера, начинающиеся с +380 в контактах (лучше временно переименовать);
• Военно-политическая лексика и связанные с ней ключевые слова;
• Содержание, затрагивающее политическую оппозицию, военные действия и протестную активность;
• Наименования политических и вооружённых формирований, а также связанных с ними организаций.

Перечень экстремистских организаций можно найти здесь.

Перечень организаций, признанных нежелательными, здесь.

• Проверьте фото, видео и контакты.

Внимательно просмотрите галерею и очистите папку «Недавно удаленные». Удалите все, что может быть неоднозначно истолковано: фото с митингов, с флагами Украины, фото военкоматов и военной инфраструктуры, а также просто мемы, скриншоты новостей.

Не используйте функцию «Скрытые фото» на iPhone! Она легко обнаруживается.

Проверьте записную книжку: могут ли имена или фамилии контактов привлечь внимание? Временно переименуйте их.

• Обязательно очистите историю поиска и просмотров за весь период:

Браузер (Safari, Chrome): История > Очистить историю.

YouTube: Настройки > История и конфиденциальность > Очистить историю просмотров / поиска.

• Удалите или деактивируйте рискованные приложения и аккаунты.

Приложения: Удалите VPN, приложения «нежелательных» СМИ, а также банковские приложения, если в них есть история донатов в фонды, которые могут считаться «вражескими».

Соцсети: Удалите «оппозиционные» посты, материалы с ЛГБТК+ тематикой. Можете временно деактивировать аккаунты Facebook и Instagram (это делается через настройки). Аккаунт VK можно удалить. Это не вызовет подозрений, а восстановление займет немного времени.

• Отключите Face ID и Touch ID.

Это важный шаг, чтобы предотвратить разблокировку телефона без вашего согласия (например, поднеся его к вашему лицу) и исключить автозаполнение паролей.

iPhone: Настройки > Face ID (или Touch ID) и код-пароль > Сбросить Face ID / Отключить Touch ID.

Android: Настройки > Безопасность > Блокировка экрана.

• Установите цифровой пароль не менее 6 знаков.
• Скройте уведомления на заблокированном экране, чтобы содержание сообщений не было видно посторонним.

iPhone: Настройки > Уведомления > Показ миниатюр > Без блокировки.

Android: Настройки > Уведомления > Уведомления на экране блокировки > Не показывать уведомления.

С точки зрения удаления контента те же правила подготовки относятся к ноутбукам и планшетам. Кроме этого, самый надежный способ защиты — полнодисковое шифрование, на телефонах оно всегда включено, а на компьютерах оно может быть выключено.

Windows: Включите BitLocker.

macOS: Включите FileVault.

Продвинутый уровень: Используйте VeraCrypt для создания скрытых зашифрованных контейнеров, которые невозможно обнаружить при стандартной проверке.

Приезжайте в аэропорт заранее. Дайте себе запас времени на случай долгой проверки.

Сохраняйте спокойствие. Вы подготовились. Молча и нейтрально выполняйте требования сотрудника.

Если телефон изымают, а не просто осматривают, вежливо, но настойчиво требуйте составить протокол изъятия, где будут указаны модель, IMEI и причина.

Если на ваших устройствах много потенциально опасного и вы не уверены, что можете все хорошо почистить, тогда возможно, самая безопасная стратегия — путешествовать с отдельным, «чистым» телефоном и компьютером. Но если вы едете с основным, это руководство поможет вам свести риски к минимуму.

В основе ChatGPT — архитектура Transformer: модель разбивает текст на токены (фрагменты слов) и, определив контекст, предсказывает следующий токен. Сначала идёт предобучение на гигантских массивах текстов, а затем — донастройка с помощью диалогов и обратной связи пользователей, чтобы ответы были полезнее и безопаснее.

Кроме того, в сервисах для частных пользователей (например, в личном аккаунте ChatGPT) новые диалоги могут использоваться для улучшения моделей. Это происходит в том случае, если вы не отключили эту функцию в настройках. Для бизнес-продуктов (ChatGPT Team/Enterprise и API) действует иной режим: данные по умолчанию не используются в обучении моделей.

Давайте разберемся, где хранятся данные ваших диалогов.

1) Провайдер 

Данные передаются в компанию, которая предоставляет ИИ сервис. 

Если мы приводим в пример ChatGPT, то его разработчик, компания OpenAI, зарегистрирована в США и подчиняется местным законам. Данные из чатов персонального аккаунта могут быть выданы властям и специальным службам США. При этом, на сегоднящний день крайне маловероятно, что они будут переданы российским структурам.

Данные личных чатов используются для обучения модели. То есть они могут появиться случайно в разговоре с ChatGPT любого человека (это крайне маловероятно, но возможно). В личном чате эту функцию можно отключить, или включить Temporary Chat, который хранится до 30 дней и не используется для тренировки.

Если делиться чатом по ссылке (функция share), то он может попасть в выдачу Google и любой человек, у которого окажется ссылка, сможет получить доступ к содержимому.

ИИ-модели уязвимы к Prompt Injection: злоумышленник вводит вредоносные команды, и модель может выдать чужие диалоги или внутреннюю информацию. Защищаться очень сложно; хотя OpenAI и другие инвестируют в защиту, лучше считать, что всё, что вы отправляете в ИИ-сервисы, может стать публичным.

2) Ваш эккаунт

История ваших чатов хранится в аккаунте на сайте ChatGPT или другой модели, которой вы пользуетесь. Но эккаунт можно захватить, например, через фишинг, повтор паролей, угон сессии, утёкшие API-ключи. Получив доступ к вашему аккаунту, атакующий может посмотреть историю переписки и данные, которыми вы делились в диалогах.

3) Ваше устройство

Если устройство заражено или плохо защищено, злоумышленники могут отслеживать ваши действия, в том числе всё, что вы вводите в чат, с помощью вредоносных программ, небезопасных расширений или утилит для записи экрана.

Вывод: передавать конфидециальную информацию чату небезопасно. Чем выше чувствительность данных, тем жёстче должны быть процессы: минимизация, корпоративные тарифы режим «временного чата», соглашения об обработке данных (DPA) и внутренние политики обращения с ИИ-инструментами. Так же, можно поднимать ИИ-инструменты на своём оборудовании, чтобы исключить утечки (много ИИ-инструментов и инструкций можно найти тут). 

У пользователей есть Data Controls — переключатели, позволяющие управлять историей и использовать (или не использовать) ваши разговоры для улучшения моделей:

1. В веб-версии/десктопе: Профиль → Settings → Data Controls → отключите «Improve the model for everyone» (после этого новые чаты не будут использоваться для обучения).
2. На iOS/Android: меню → Settings → Data Controls → Chat History & Training (тот же переключатель доступен в мобильных приложениях).
3. Временный чат (Temporary Chat) — альтернативный быстрый вариант для разовых запросов: не попадает в историю, не используется для обучения, удаляется в течение 30 дней. Запускается из выпадающего меню в окне чата.
4. Для бизнеса (ChatGPT Team/Enterprise и API) данные по умолчанию исключены из обучения; при необходимости подписывается DPA и настраиваются сроки хранения/резиденция данных.

Сбор и использование личных данных зависит от сервиса и режима использования.

• DeepL (бесплатные сервисы): в условиях использования прямо указано, что загруженный контент может временно обрабатываться для обучения и улучшения нейросетей. То есть вводимые вами тексты потенциально могут стать частью данных для улучшения качества.
• DeepL для бизнеса (Pro/Enterprise): позиция иная — «тексты не хранятся и не используются для обучения без вашего согласия»; заявлены расширенные меры защиты и соответствие требованиям безопасности.
• Google Translate: Google прямо пишет, что «мы собираем информацию о том, как вы используете наши сервисы», и что эта информация может быть применена для совершенствования алгоритмов.
• Google Cloud Translation (корпоративный API от Google): контент используется только для предоставления сервиса; публичной публикации и передачи третьим лицам не происходит. Это отдельный продукт от потребительского «Google Переводчика» на translate.google.com.
• Microsoft Azure AI Translator: заявляет, что данные клиентов не записываются на постоянное хранение во время перевода (нет записи отправленного текста/речи в дата-центрах Microsoft).

Бесплатные «пользовательские» переводчики нередко используют данные для улучшения сервиса, а корпоративные API-продукты крупных разработчиков специально спроектированы так, чтобы не использовать ваш контент для обучения и минимизировать хранение. Если вы работаете с договорами, медицинскими документами, то выбирайте режимы и тарифы с понятными гарантиями (и оформляйте договор об обработке данных).

1) Оцените чувствительность

Если это персональные данные, коммерческая тайна, сведения о здоровье/финансах — избегайте бесплатных потребительских сервисов. Используйте корпоративные планы (ChatGPT Team/Enterprise, API) или локальные решения.

2) Настройте Data Controls — Отключите «Improve the model for everyone», если не хотите делиться диалогами для обучения;
 — Для разовых конфиденциальных запросов пользуйтесь Temporary Chat.

3) Минимизируйте данные

Заменяйте ФИО, номера договоров и другие маркеры псевдонимами. Вставляйте фрагменты, необходимые для ответа, а не целые документы.

4) Следите за каналами и следами 

Не вставляйте секретные данные (ключи API, пароли) в любые чаты. Не загружайте закрытые документы в бесплатные переводчики.

5) Проверьте политику переводчика

Для DeepL — используете ли вы Free (контент может использоваться для улучшения) или Pro/Enterprise (контент не хранится/не используется без согласия).

Для Google — различайте Cloud Translation API (строгие условия обработки) и Google Translate (данные будут использованы для обучения).

Для Microsoft — убедитесь, что работаете через Azure Translator, где нет постоянного логирования переводимого текста.

6) Формализуйте правила 

Для компании — пропишите политику использования ИИ: какие сервисы разрешены, кто может отправлять и какие данные, какие предъявляются требования к анонимизации, запрет на загрузку персональных данных в недоверенные ИИ-инструменты, порядок экспорта/удаления.

7) Не забывайте про «человеческий фактор» 

Нейросети уверенно «галлюцинируют». В критичных задачах (юридическая экспертиза, медицина, финансы) всегда опирайтесь на второе мнение человека и проверяйте первоисточники.

8) Используйте функцию памяти осознанно 

Если включена «память» (Memory), она может запоминать ваши предпочтения; в Data Controls её можно отключить и очистить накопленную информацию.

9) Удаляйте информацию 

Чаты можно удалять или вести их в «временном» режиме. Для личных чатов действует стандартный цикл удаления; в режиме Temporary Chat — автоудаление в 30 дней. 

В России законы дают государству большие полномочия контролировать цифровые коммуникации. Так, закон «Об информации» требует, чтобы определённые сервисы, входящие в реестр ОРИ – организаторов распространения информации, хранили сведения о передаче сообщений, саму переписку и ключи для расшифровки, и выдавали это правоохранительным органам по первому требованию.

Операторы связи обязаны устанавливать оборудование СОРМ и предоставлять правоохранителям все данные о звонках, SMS, подключениях и прочих услугах связи.

По этим правилам у властей на руках почти любая информация о пользователе. Например, в 2023 году российские силовики направили к «Яндексу» десятки тысяч запросов именно по сервисам такси и доставки: почти 20 000 запросов в первой половине года и ещё 22 918 во второй половине. 

Технически российский софт принципиально не отличается от зарубежного. Вопрос лишь в простоте доступа государственных органов к таким данным и том, как именно они их используют — от проведения расследований и предотвращения преступлений до мониторинга активности пользователей и возможного давления на оппозиционно настроенных граждан.

Технически SIM-карта – обычная карта абонента. Но по законам российские операторы обязаны хранить и передавать правоохранителям данные о местоположении абонента, всех звонках и SMS. Даже за границей, если вы заходите в сеть через роуминг российского оператора, ваш звонок и данные в роуминге фиксируются в его системе. Поэтому любая активность – звонки, SMS, интернет-сессии – известна оператору и при необходимости по запросу передаётся спецслужбам. Так что для людей, которые избегают слежку, российские SIM-карты представляют серьёзный риск – даже если их используют вне страны.

• Передача данных в спецслужбы. Любая компания в России должна по закону выдавать ваши данные правоохранителям. Даже простой заказ такси или пиццы даёт доступ к информации о ваших передвижениях и адресах доставки. 
  
  
• Дата-брокеры и реклама. Многие приложения собирают больше информации, чем нужно для работы. Сведения о вашем телефоне, местоположении, предпочтениях могут передаваться маркетинговым агентствам и дата-брокерам - фирмам, которые агрегируют личные данные пользователей из разных источников и продают их рекламодателям или организациям. 

В России развита связка информационных компаний с государством: зарубежные и российские компании (например, Яндекс, VK) продают доступ к целевой рекламе. Такие практики помогают спецслужбам дополнять профиль человека. 

• Системы аналитики и слежки. Существуют автоматизированные системы для мониторинга интернета и соцсетей. Например, российский проект «Демон Лапласа» позволяет круглосуточно собирать и анализировать посты из Facebook, «ВКонтакте», Telegram, СМИ и блогов, чтобы выявлять экстремизм и прогнозировать протестные акции. 
  
  
• Уязвимости и утечки. Даже если сервис собирает минимум данных, его система может дать сбой. Даже если один сервис собирает минимальное количество информации и в нем происходит утечка, например, электронных адресов, ущерб всё равно может быть значительным. Это связано с тем, что утекшие данные могут быть обогащены информацией из других источников. 

• Мобильные приложения. Чаще всего именно они запрашивают доступ к камере, микрофону, контактам, геолокации и другим личным данным. Многие приложения собирают информацию о вас «на всякий случай» и передают её рекламодателям. Активистам стоит тщательно проверять, какие разрешения получает приложение. 
• Мессенджеры. Кроме Российский мессенджеров и сервисов (MAX, VK, ОК, TamTam и т.д.), к которым есть прямой доступ спецслужб, есть другие сервисы, которые могут быть привязаны в российской сим-карте (Telegram, WhatsApp, Signal и тд). Несмотря на шифрование, в этих мессенджерах концентрируется много личной информации: переписки, фото, видео, контакты. Даже если зашифрованный канал надёжен, злоумышленники могут зайти в аккаунт, обойдя 2FA через SMS или «клонирование» SIM-карты. Как мы писали выше, спецслужбы России имеют доступ к SMS-сообщениям на территории России и за её пределами. 
• Браузеры. Веб-браузер хранит историю посещений, куки и может «запоминать» логины и пароли. Если вы пользуетесь Яндекс браузером, то нужно помнить, что Яндекс входит в реестр ОРИ (организаторов распространения информации) и по закону все данные о пользователях могут быть переданы спецслужбам. 

В целом, стоит помнить: удобство и безопасность часто противопоставлены. Живя или работая в России, полностью отказаться от отечественных сервисов и SIM-карт невозможно. Но можно свести риск к минимуму: использовать VPN, шифрование, разделять устройства и тщательно контролировать, какие данные вы раскрываете и кому. Так вы существенно повысите собственную цифровую безопасность и сохраните свободу действий в сложных условиях.