What you need to know about stalkerware | Eva Galperin

Перекладач: Sandra Alekseeva Утверджено: Inna Fedorenko

I want you to travel back in time with me,

Я б хотіла, щоб ви разом зі мною вирушили в минуле

to the before time, to 2017.

до давніх давен, до 2017.

I don't know if you can remember it,

Може, ви вже й забули ті часи,

dinosaurs were roaming the earth.

землею ще блукали динозаври.

I was a security researcher,

Я досліджую безпеку,

I had spent about five or six years

п'ять чи шість років я витратила

doing research on the ways in which APTs,

на вивчення, яким чином РСЗ,

which is short for advanced persistent threats,

або розвинені сталі загрози,

а точніше державні суб'єкти,

which stands for nation-state actors,

spy on journalists and activists

шпигують за журналістами та активістами,

and lawyers and scientists

юристами та вченими,

та й просто за звичайними людьми, які відверто розмовляють із владою.

and just generally people who speak truth to power.

And I'd been doing this for a while

Я займалася цим уже певний час,

when I discovered that one of my fellow researchers,

коли дізналася, що один з моїх колег-дослідників,

with whom I had been doing this all this time,

з яким я весь цей час працювала,

was allegedly a serial rapist.

ймовірний серійний ґвалтівник.

So the first thing that I did

Я почала з того,

що прочитала купу статей на цю тему.

was I read a bunch of articles about this.

І в січні 2018 року

And in January of 2018,

I read an article with some of his alleged victims.

я прочитала статтю з однією з його ймовірних жертв.

And one of the things that really struck me about this article

Мене в цій статті найбільше вразила одна річ —

is how scared they were.

наскільки сильно вони боялися.

They were really frightened,

Вони були дуже налякані.

they had, you know, tape over the cameras on their phones

Вони заклеювали камери на телефонах

and on their laptops,

і на ноутбуках.

and what they were worried about was that he was a hacker

Їх лякало, власне, що він хакер

and he was going to hack into their stuff

і може зламати їхні пристрої

and he was going to ruin their lives.

та зруйнувати їхнє життя.

And this had kept them silent for a really long time.

І через це вони дуже довго мовчали.

So, I was furious.

Звісно, я розлютилась.

And I didn't want anyone to ever feel that way again.

Мені хотілося, щоб нікому більше не доводилося через таке проходити.

So I did what I usually do when I'm angry:

Тому я вчинила так, як завжди роблю, коли сердита.

I tweeted.

Написала твіт.

(Laughter)

(Сміх)

And the thing that I tweeted

А написала я от що:

was that if you are a woman who has been sexually abused by a hacker

якщо ви жінка, котра зазнала сексуального насильства від хакера,

and that hacker has threatened to break into your devices,

і той хакер погрожував зламати ваш пристрій,

that you could contact me

можете звернутися до мене,

and I would try to make sure

і я влаштую для вашого пристрою

that your device got a full, sort of, forensic look over.

повний, так би мовити, криміналістичний огляд.

And then I went to lunch.

А потім я пішла обідати.

(Laughter)

(Сміх)

Десять тисяч ретвітів опісля

Ten thousand retweets later,

(Laughter)

(Сміх)

I had accidentally started a project.

я випадково започаткувала проєкт.

Щоранку я прокидалась і знаходила повну скриньку листів.

So every morning, I woke up and my mailbox was full.

It was full of the stories of men and women

Вона була переповнена історіями чоловіків і жінок,

telling me the worst thing that had ever happened to them.

котрі розповідали мені про найгірше, що з ними будь-коли траплялось.

I was contacted by women who were being spied on by men,

Мені писали жінки, за якими шпигували чоловіки,

by men who were being spied on by men,

і чоловіки, за котрими шпигували чоловіки,

by women who were being spied on by women,

і жінки, за якими шпигували жінки,

but the vast majority of the people contacting me

але переважна більшість людей, що мені писали,

були жінки, які зазнали сексуального насильства з боку чоловіків,

were women who had been sexually abused by men

who were now spying on them.

які тепер за ними шпигували.

The one particularly interesting case

Був один особливо цікавий випадок,

involved a man who came to me,

коли до мене звернувся чоловік,

because his boyfriend had outed him as gay

тому що його хлопець розповів членам його надзвичайно консервативної

to his extremely conservative Korean family.

корейської родини, що він гей.

So this is not just men-spying-on-women issue.

Тож це не лише проблема жінок, за якими стежать чоловіки.

And I'm here to share

Сьогодні я прийшла сюди поділитися тим,

what I learned from this experience.

чого мене навчив цей досвід.

А навчив він мене тому, що дані витікають.

What I learned is that data leaks.

It's like water.

Вони як вода.

It gets in places you don't want it.

І потрапляють туди, куди не треба.

Human leaks.

Сама людина протікає.

Your friends give away information about you.

Ваші друзі розповсюджують дані про вас.

Your family gives away information about you.

Ваші родичі розповсюджують дані про вас.

You go to a party,

Ви йдете на вечірку,

somebody tags you as having been there.

і хтось відмічає вас там на фото.

And this is one of the ways

Саме з таких джерел нападники і збирають про вас інформацію,

in which abusers pick up information about you

that you don't otherwise want them to know.

якої ви самі не хочете їм надавати.

It is not uncommon for abusers to go to friends and family

Порушники також нерідко приходять до друзів і родичів

and ask for information about their victims

і розпитують їх про своїх жертв,

under the guise of being concerned about their "mental health."

приховуючи справжні наміри під турботою про "психічне здоров'я".

Один з бачених мною видів витоку інформації —

A form of leak that I saw

was actually what we call account compromise.

те, що ми звемо зламом акаунту.

So your Gmail account,

Ваш акаунт в джі-мейл (Gmail- анг.),

your Twitter account,

акаунт в твіттері,

your Instagram account,

в інстаграмі,

your iCloud,

в айклауді (iCloud - англ.)

ваш епл-айді (Apple ID-англ.)

your Apple ID,

your Netflix, your TikTok --

чи Нетфлікс, чи Тікток —

I had to figure out what a TikTok was.

я ще розбиралася, що таке той Тікток.

Якщо є акаунт,

If it had a login,

I saw it compromised.

його можна зламати.

And the reason for that is because your abuser is not always your abuser.

Причина в тому, що ваш кривдник не завжди є кривдником.

It is really common for people in relationships to share passwords.

Люди, які живуть разом, дуже часто мають спільні паролі.

Furthermore, people who are intimate,

В інтимних стосунках люди можуть знати одне про одного

who know a lot about each other,

стільки, що легко вгадають

can guess each other's security questions.

відповіді на контрольні запитання.

Or they can look over each other's shoulders

Чи можуть зазирати одне одному через плече

to see what code they're using in order to lock their phones.

і бачити, якими кодами блокуються телефони.

They frequently have physical access to the phone,

У них часто є фізичний доступ до телефонів

or they have physical access to the laptop.

або фізичний доступ до ноутбуків,

і це дає їм безліч можливостей,

And this gives them a lot of opportunity

щось зробити з чужими обліковими записами.

to do things to people's accounts,

which is very dangerous.

А це дуже небезпечно.

The good news is that we have advice

Гарна новина: ми можемо порадити,

for people to lock down their accounts.

як захистити свій акаунт.

This advice already exists, and it comes down to this:

Ці поради вже існують, і в них йдеться ось про що.

Use strong, unique passwords for all of your accounts.

Використовуйте сильні, унікальні паролі для всіх ваших акаунтів.

Use more strong, unique passwords

Використовуйте ще міцніші унікальні паролі

as the answers to your security questions,

як відповіді на контрольні питання,

so that somebody who knows the name of your childhood pet

щоб хтось, кому відоме ім'я вашого першого домашнього улюбленця,

can't reset your password.

не зміг перевстановити ваш пароль.

And finally, turn on the highest level of two-factor authentication

І зрештою, увімкніть найвищий рівень двофакторної автентифікації,

that you're comfortable using.

який вам зручно використовувати.

So that even if an abuser manages to steal your password,

Щоб навіть у разі, коли ваш кривдник таки поцупить пароль,

because they don't have the second factor,

то йому не вдасться увійти

they will not be able to log into your account.

до вашого акаунту, бо він не матиме другого фактору.

The other thing that you should do

Інше, що слід зробити,

is you should take a look at the security and privacy tabs

це переглянути налаштування безпеки та конфіденційності

for most of your accounts.

у ваших акаунтах.

Most accounts have a security or privacy tab

Більшість акаунтів має такі вкладки,

that tells you what devices are logging in,

які підкажуть вам, з яких пристроїв входили до акаунту,

and it tells you where they're logging in from.

а також звідки входили.

For example, here I am,

Наприклад, якщо я входжу

logging in to Facebook from the La Quinta,

до акаунту фейсбука з "Ла Кінта",

where we are having this meeting,

де ми зараз зібралися,

and if for example,

а поглянувши, на мою історію реєстрації у фейсбуці,

I took a look at my Facebook logins

and I saw somebody logging in from Dubai,

побачу, що хтось входив туди з Дубаю,

I would find that suspicious,

це видасться дещо підозрілим.

because I have not been to Dubai in some time.

Адже я давненько не була в Дубаї.

But sometimes, it really is a RAT.

Але інколи це таки ПВД,

If by RAT you mean remote access tool.

Або програма віддаленого доступу.

And remote access tool

Коли ми говоримо про програми-шпигуни,

is essentially what we mean when we say stalkerware.

то маємо на увазі саме програми віддаленого доступу.

So one of the reasons why getting full access to your device

Отже, уряди мають ту саму причину прагнути отримати доступ

is really tempting for governments

до ваших пристроїв,

що і схильні до насильства партнери,

is the same reason why getting full access to your device

is tempting for abusive partners and former partners.

та колишні партнери.

Цілий день ми носимо в своїх кишенях пристрої стеження.

We carry tracking devices around in our pockets all day long.

We carry devices that contain all of our passwords,

Носимо пристрої, що зберігають всі наші паролі,

all of our communications,

все наше спілкування,

including our end-to-end encrypted communications.

включно із зашифрованим спілкуванням.

All of our emails, all of our contacts,

Всю нашу електронну пошту, всі контакти,

all of our selfies are all in one place,

всі селфі зібрано в одному місці,

often our financial information is also in this place.

часто там зберігаються і фінансові дані.

And so, full access to a person’s phone

Отже, кращим за повний доступ до чийогось телефону

is the next best thing to full access to a person's mind.

може бути лише доступ до його мозку.

І шпигунське програмне забезпечення дає саме такий доступ.

And what stalkerware does is it gives you this access.

So, you may ask, how does it work?

Ви спитаєте, як же воно працює?

The way stalkerware works

А відбувається це так:

is that it's a commercially available program,

є комерційно доступна програма,

which an abuser purchases,

котру кривдник купляє

installs on the device that they want to spy on,

і встановлює на пристрій, за яким хоче стежити,

usually because they have physical access

бо зазвичай має до нього фізичний доступ

or they can trick their target into installing it themselves,

чи може хитрощами домогтись, аби жертва сама її встановила,

by saying, you know,

сказавши щось на кшталт:

"This is a very important program you should install on your device."

"Це дуже потрібна програма, встанови її обов'язково".

And then they pay the stalkerware company

А потім вони платять компанії, яка надає ці шпигунські послуги,

for access to a portal,

за доступ до порталу,

which gives them all of the information from that device.

котрий дає йому всю необхідну інформацію з даного пристрою.

And you're usually paying something like 40 bucks a month.

Платить він зазвичай щось близько 40 баксів на місяць.

So this kind of spying is remarkably cheap.

Бачите, таке шпигунство надзвичайно дешеве.

Do these companies know

Чи знають ці компанії,

that their tools

що їхні ресурси

are being used as tools of abuse?

використовуються для насильства?

Absolutely.

Звісно.

Якщо ви поглянете на маркетингові матеріали Cocospy,

If you take a look at the marketing copy for Cocospy,

which is one of these products,

одного з таких продуктів,

it says right there on the website

то просто на сайті прочитаєте,

that Cocospy allows you to spy on your wife with ease,

що "Cocospy" дозволяє вам з легкістю шпигувати за дружиною:

"You do not have to worry about where she goes,

"Вам не потрібно переживати, куди вона пішла,

who she talks to or what websites she visits."

з ким розмовляє чи які сайти відвідує".

So that's creepy.

Моторошно, правда?

HelloSpy, which is another such product,

На рекламній сторінці іншого такого продукту, "HelloSpy",

had a marketing page in which they spent most of their copy

більшість тексту відведено обговоренню

talking about the prevalence of cheating

поширеності подружньої зради

and how important it is to catch your partner cheating,

і як важливо упіймати партнера на гарячому,

including this fine picture of a man

а ще є це чудове зображення чоловіка,

who has clearly just caught his partner cheating

котрий явно щойно спіймав свою партнерку на зраді

and has beaten her.

та відлупцював її.

She has a black eye, there is blood on her face.

Вона має синець під оком, кров на обличчі.

And I don't think that there is really a lot of question

Не думаю, що тут є якісь сумніви щодо того, на чиєму боці

about whose side HelloSpy is on in this particular case.

в цьому випадку знаходиться "HelloSpy".

And who they're trying to sell their product to.

І на кого орієнтований їхній продукт.

It turns out that if you have stalkerware on your computer or on your phone,

Виявляється, якщо у вас в телефоні чи комп'ютері є програма-шпигун,

it can be really difficult to know whether or not it's there.

то дізнатися про це буде доволі важко.

And one of the reasons for that

Причина полягає в тому,

is because antivirus companies

що антивірусні компанії

often don't recognize stalkerware as malicious.

часто не позначають програми-шпигуни як шкідливі програми.

They don't recognize it as a Trojan

Їх не визначають, як трояни

or as any of the other stuff that you would normally find

чи щось таке, що, як ви знаєте,

that they would warn you about.

зазвичай викликає попередження.

These are some results from earlier this year from VirusTotal.

От результати, отримані раніше цього року з сайту VirusTotal.

I think that for one sample that I looked at

Для одного зразка, який я перевіряла,

I had something like a result of seven out of 60

я отримала такий результат: приблизно 7 з 60 платформ

of the platforms recognized the stalkerware that I was testing.

розпізнали програму-шпигуна, яку я тестувала.

And here is another one where I managed to get 10,

Для іншого вдалося отримати 10,

10 out of 61.

10 з 61.

So this is still some very bad results.

Це доволі поганий результат.

I have managed to convince a couple of antivirus companies

Мені вдалося переконати кілька антивірусних компаній

to start marking stalkerware as malicious.

почати позначати програми-шпигуни як шкідливі.

So that all you have to do

В такому разі,

if you're worried about having this stuff on your computer

якщо ви турбуєтесь, чи немає чогось такого на вашому комп'ютері,

is you download the program,

достатньо лише завантажити програму,

you run a scan and it tells you

запустити сканування, і вона скаже:

"Hey, there's some potentially unwanted program on your device."

"Гей, твій комп'ютер має потенційно небажаний застосунок".

It gives you the option of removing it,

І дає можливість видалити його,

but it does not remove it automatically.

але не робить цього автоматично.

And one of the reasons for that

Для цього є причина: таким є

is because of the way that abuse works.

один з аспектів переслідування.

Frequently, victims of abuse aren't sure

Часто жертва переслідування не впевнена,

whether or not they want to tip off their abuser

чи хоче вона відключити кривдника,

і таким чином дати зрозуміти, що його розкрито.

by cutting off their access.

Or they're worried that their abuser is going to escalate to violence

Жертва може боятися, що кривдник стане ще небезпечнішим

or perhaps even greater violence

і завдасть ще більшої шкоди,

than they've already been engaging in.

ніж уже завдав.

Kaspersky was one of the very first companies

"Kaspersky " були однією з перших компаній,

that said that they were going to start taking this seriously.

які сказали, що сприйматимуть це серйозно.

And in November of this year,

І в листопаді цього року

they issued a report in which they said

вони видали звіт, в якому сказали,

that since they started tracking stalkerware among their users

що відтоді, як вони почали відстежувати програми-шпигуни серед своїх користувачів,

that they had seen an increase of 35 percent.

вони помітили зростання на 35%.

Likewise, Lookout came out with a statement

Також із заявою виступив "Lookout",

saying that they were going to take this much more seriously.

вони сказали, що відтепер сприйматимуть це значно серйозніше.

And finally, a company called Malwarebytes also put out such a statement

Зрештою, компанія "Malwarebytes"

and said that they had found 2,500 programs

також заявила, що за час пошуків

in the time that they had been looking,

вони знайшли 2500 програм,

which could be classified as stalkerware.

які класифікували як шпигунські.

Finally, in November I helped to launch a coalition

Нарешті, в листопаді я допомогла заснувати об'єднання,

called the Coalition Against Stalkerware,

що називається "Спілка проти програм-шпигунів".

made up of academics,

В неї входять вчені,

people who are doing this sort of thing on the ground --

люди, що займаються цим на практиці —

the practitioners of helping people to escape from intimate partner violence --

допомагають іншим захиститися від насилля з боку близького партнера,

and antivirus companies.

а також антивірусні компанії.

And our goal is both to educate people about these programs,

Нашою метою є як навчити людей давати раду з цими програмами,

but also to convince the antivirus companies

так і переконати антивірусні компанії

to change the norm

змінити свої правила

in how they act around this very scary software,

відносно цього дуже моторошного програмного забезпечення.

so that soon, if I get up in front of you

І якщо я незабаром, наприклад, наступного року,

and I talk to you about this next year,

знову виступатиму тут перед вами,

I could tell you that the problem has been solved,

щоб я змогла сказати, що цю проблему вирішено,

and all you have to do is download any antivirus

і вам треба лише завантажити будь-який антивірус,

and it is considered normal for it to detect stalkerware.

і він обов'язково розпізнає програми-шпигуни.

That is my hope.

На це я сподіваюсь.

Thank you very much.

Дякую вам.

(Applause)

(Оплески)