Безпечний пароль, відкрите ім'я користувача: все ще рецепт катастрофи

У кожному з останніх нападів на Evernote, Facebook, Twitter та інші, залучені компанії швидко вказали, що паролі залишаються безпечними. Але інформація про користувачів має своє власне життя, і наслідки нападу на людину можна відчути задовго після закінчення атаки.

Напади, які ми бачили

Як правило, те, що ви чуєте, коли велика компанія зазнала компрометації, - це те, як платіжна інформація все ще захищена, паролі були зашифровані, але інша інформація була доступною. Зазвичай це включає імена користувачів та електронні листи.

Для більшості з нас це може не здаватися небезпечним. Зрештою, ми постійно видаємо власні електронні листи - навіть публікуємо їх в Інтернеті. Але є ризики для користувачів, яким піддався навіть цей невеликий обсяг інформації.

Дерек Халлідей, старший менеджер із продуктів мобільної безпеки Lookout, пояснив SecurityWatch, як ці шматочки інформації можуть зробити користувачів націленими. "Інформація про облікові записи може бути використана для потенційного включення підводного польоту, оскільки вона забезпечує деяку унікальну контекстну інформацію про людей - спосіб зв’язатися з ними", - сказав він. "І те, що вони в один момент часу підписалися на певну послугу".

Ось чому законні повідомлення електронної пошти часто нагадують користувачам, які, можливо, виявили їх інформацію про те, що ніхто ніколи не запитає їх пароль. Якщо хакер знає, що ви використовуєте Evernote (наприклад), це недовга робота над створенням повідомлення, яке, як видається, від Evernote та надсиланням на електронну адресу, яку ви використовуєте для керування своїм обліковим записом. Можливо, це запропонує вам вказати свій пароль, або платіжну інформацію, або, можливо, обдурить вас, натиснувши шкідливе посилання.

"Ми бачили кіберзлочинців, які готові брати участь у" довгому конфірмації ", - сказав Марк Рішер, співзасновник і генеральний директор компанії Impermium. "Багатоступенева атака, яка виходить за рамки прямого розкрадання конфіденційних даних".

"Коли злочинці потрапляють в обліковий запис соціальної мережі, вони часто можуть знайти особисті дані, що додають легітимності підводному полю", - продовжив Рішер, який назвав асоціацію випускників як одну з таких особистих деталей. Він пояснив, що може бути використаний для розблокування функції "секретного питання", яка іноді запитує, яким був ваш шкільний талісман чи ім'я вашого першого вихованця - на іншому веб-сайті.

Найгірший випадок

Chester Wisniewski, старший радник із безпеки компанії Sophos, заявив, що навіть незважаючи на те, що Evernote та інші нещодавно компрометовані веб-сайти захищали свої паролі криптографічними хешами та випадковими даними "солі", не всі користувачі можуть бути захищені. Він пояснив, що якщо користувачі вибирають слабкі або загальні паролі, "то, мабуть, у злочинців це є".

Завдяки обмеженій кількості доступних відомостей прості паролі все ще можна отримати. "Злочинці збираються забивати справді легких людей і, можливо, не заважатимуть решті", - сказав Вішневський.

Для деяких поганих хлопців достатньо просто отримати доступ до акаунтів у соціальних мережах, таких як Facebook чи Twitter. Деякі використовують це як можливість заробити гроші, намагаючись поширити зараження зловмисними програмами. Більш заповзятливі зловмисники можуть спробувати використовувати розкрадений пароль для розблокування облікового запису веб-пошти.

"Вони часто шукають пошту в банку користувача; часто в цьому банку є функція" Я забув пароль ", яка покладається виключно на доступ до облікового запису електронної пошти", - сказав Рішер.

Продовжуючи найгірший сценарій, зловмисники, можливо, не будуть вчинені, як тільки вони отримають доступ до інтернет-банківської інформації. "Дуже багато цих хлопців не збираються безпосередньо займатися крадіжками особи, вони продадуть її", - сказав Вішневський.

Він пояснив, що у випадку з банківськими троянами зловмисники будуть використовувати перші 10 відсотків рахунків, тобто ті, у яких є найбільш доступні кошти, і продаватимуть інші 90 відсотків інформації. Це означає, що інформація про користувачів, коли вона буде поставлена ​​під загрозу, може продовжувати використовуватись та використовуватись доти, доки власник нарешті не поверне контроль.

Бережіть себе

"Хороша новина у всіх останніх - те, що нічого особистих не було встановлено", - сказав Вішневський, який кілька разів підкреслював, що потерпілі компанії принаймні зробили хороші кроки для захисту інформації про користувачів.

Але, як ми бачили, цього не завжди достатньо. Користувачам потрібно прислухатися до попереджень про зміну паролів, коли на них з'явиться запит на злому служб. Вони також повинні прагнути вибирати міцні та унікальні паролі для кожної онлайн-служби, можливо, використовуючи диспетчер паролів, щоб полегшити завдання.

Що важливо розуміти, це те, що інформація про користувачів є цінною і може бути корисною для зловмисників задовго після того, як ви захистили один з них. Інтернет надає численні способи розважитися та працювати, але він також забезпечує так само багато авеню для нападу.