Токен под рукой. И это уже проблема ⌨️
Недавно заходил за напитком в одно заведение, что из этого вышло, читайте ниже...
Если говорить честно, многие инциденты начинаются не с сложной атаки, а с очень бытовой халатности. Не через zero day, не через APT, а через кассу, к которой можно просто подойти и получить доступ к тому, что должно быть под контролем.
Именно такую картину я увидел в одном из городских кафе. На рабочем месте, доступном из клиентской зоны, в USB порт подключён токен с биркой, на которой читается «ГА ЕГАИС». Сам адрес я намеренно не привожу, потому что здесь важен не конкретный объект, а типовая управленческая ошибка.
🔵Проблема не в токене
Важно не путать наличие средства защиты с реальной безопасностью. Сам по себе токен может использоваться как элемент контроля доступа или подтверждения операций, но когда он физически доступен любому посетителю, он перестаёт быть средством защиты и превращается в источник риска.
Если судить по маркировке на бирке, речь, вероятно, идёт о носителе, связанном с ЕГАИС, то есть с процессами учёта продукции. Гипотетически такой токен может использоваться для аутентификации, подписания операций, обмена данными с кассовым или учётным ПО. Но даже без точного знания его полномочий уже очевидно главное: критичный носитель находится там, где до него может дотянуться посторонний человек.
🔵Почему это опасно:
На практике я вижу другое: бизнес часто недооценивает физический доступ как вектор атаки. Всем кажется, что главные угрозы живут где то в сети, а между тем человек у стойки иногда получает больше возможностей, чем удалённый злоумышленник без опоры внутри объекта.
🔵Что это даёт на практике:
- Токен можно просто извлечь и забрать.
- Его можно временно отключить для срыва операций.
- Его можно изучить как ориентир для дальнейшей атаки, потому что сама подпись уже подсказывает назначение устройства.
- Само рабочее место рядом с токеном может стать точкой для подключения постороннего USB устройства или для иных действий с кассовым компьютером.
Самое опасное здесь в том, что такие истории редко воспринимаются как инцидент до первого серьёзного сбоя. Пока всё работает, владельцу кажется, что риска нет. На мой взгляд, это одна из самых дорогих иллюзий в операционной безопасности.
Безопасность не должна быть оператором шлагбаума. Но она обязана отделять удобство от беспечности. Если устройство участвует в значимом бизнес процессе, оно не должно висеть в открытом доступе как брелок на витрине.
🔵Для такого объекта базовые меры очевидны:
- Убрать системный блок и носители из зоны доступа клиентов.
- Не оставлять токен подключённым постоянно, если он нужен только для отдельных операций.
- Проверить, кто и как использует PIN код или иные реквизиты доступа.
- Ограничить права на кассовом рабочем месте.
- Разделить бытовое удобство сотрудников и требования к защите критичных операций.
- Сменить PIN код с дефолтного, на стойкий.
Это не история про большие бюджеты. Это история про минимальную дисциплину, которая стоит дешевле любого простоя, разбирательства или потери доверия.
🔵Ошибка выглядит маленькой только до инцидента
Проблема не в том, что в кафе используют токен. Проблема в том, что контроль, который должен подтверждать доверенную операцию, визуально и физически доступен любому человеку рядом со стойкой.
Я часто говорю, что защищённость надо оценивать не по наличию коробок, лицензий и регламентов, а по тому, насколько сложно нарушить процесс в реальной жизни. Здесь ответ, к сожалению, выглядит слишком простым.
Хороший вопрос для владельца такого бизнеса звучит не так: «Есть ли у нас токен?». Правильный вопрос другой: «Кто может воспользоваться им раньше, чем это заметит сотрудник?».
