Összesen 500 millió Zoom-fiók van sötét weben eladó a „hitelesítő adatok kitöltésének” köszönhetően. A bűnözők általánosan alkalmazott módszer az online számlák feltörésére. Itt van, hogy ez a kifejezés valójában mit jelent, és hogyan védheti meg magát.
A kiszivárgott jelszó adatbázisokkal kezdődik
Az online szolgáltatások elleni támadások gyakoriak. A bűnözők gyakran kihasználják a rendszerek biztonsági hibáit, hogy megszerezzék a felhasználónevek és jelszavak adatbázisát. Lopott bejelentkezési adatok adatbázisai gyakran online értékesítik a sötét háló , bűnözők fizetnek be Bitcoin az adatbázis elérésének kiváltsága miatt.
Tegyük fel, hogy volt fiókja az Avast fórumon, ami volt megtört még 2014-ben . Ezt a fiókot megsértették, és a bűnözők rendelkezhetnek az Ön felhasználói nevével és jelszavával az Avast fórumon. Az Avast felvette Önnel a kapcsolatot, és megváltoztatta a fórum jelszavát, akkor mi a probléma?
Sajnos a probléma az, hogy sokan ugyanazokat a jelszavakat használják fel újra különböző webhelyeken. Tegyük fel, hogy az Avast fórum bejelentkezési adatai a „[email protected]” és az „AmazingPassword” voltak. Ha ugyanazokkal a felhasználónévekkel (e-mail címed) és jelszavakkal jelentkeztél be más webhelyekre, akkor minden bűnöző, aki megszerzi a kiszivárgott jelszavakat, hozzáférhet ezekhez a többi fiókhoz.
ÖSSZEFÜGGŐ: Mi a sötét web?
Hitelesítő adatok kitöltése
A „hitelesítő adatok kitöltése” magában foglalja a kiszivárgott bejelentkezési adatokat tartalmazó adatbázisok használatát, és megpróbálja belépni velük más online szolgáltatásokban.
A bűnözők nagy adatbázisokat vesznek a kiszivárgott felhasználónév és jelszó kombinációkból - gyakran millió bejelentkezési adatot -, és megpróbálnak velük bejelentkezni más webhelyeken. Vannak, akik ugyanazt a jelszót több webhelyen is felhasználják, így néhány meg fog egyezni. Ezt általában szoftverrel lehet automatizálni, sok bejelentkezési kombinációt gyorsan kipróbálva.
Olyan veszélyes dologért, ami annyira technikailag hangzik, ennyi az egész - megpróbálva kiszivárogtatni a más szolgáltatásokra vonatkozó hitelesítő adatokat, és megnézni, mi működik. Más szavakkal, a „hackerek” betömik az összes bejelentkezési adatot a bejelentkezési űrlapba, és megnézhetik, mi történik. Néhányan biztosan működnek.
Ez az egyik leginkább A támadók általánosan használt online fiókok „feltörése” ezek a napok. Csak 2018-ban a tartalomszolgáltató hálózat Akamai csaknem 30 milliárd hitelesítő adatot kitöltő támadást regisztrált.
ÖSSZEFÜGGŐ: Hogyan is támadók valójában "feltörik a számlákat" online és hogyan védekezhet
Hogyan védekezhet
A hitelesítő adatok kitöltése ellen nagyon egyszerű megvédeni magát, és ugyanazokat a jelszóbiztonsági gyakorlatokat kell követnie, amelyeket a biztonsági szakértők évek óta ajánlanak. Nincs mágikus megoldás - csak a jó jelszó-higiénia. Íme a tanács:
- Kerülje a jelszavak újrafelhasználását: Minden online fiókhoz használjon egyedi jelszót. Így még akkor is, ha a jelszava kiszivárog, nem lehet más webhelyekre bejelentkezni. A támadók megpróbálhatják más bejelentkezési űrlapokba tölteni a hitelesítő adatokat, de nem fognak működni.
- Jelszókezelő használata: Az erős egyedi jelszavakra való emlékezés szinte lehetetlen feladat, ha számos webhelyen van fiókja, és szinte mindenki rendelkezik ezzel. Ajánljuk jelszókezelő használatával mint 1Jelszó (fizetett) ill Bitwarden (ingyenes és nyílt forráskódú), hogy emlékezzen a jelszavakra. Akár a semmiből is előállíthatja ezeket az erős jelszavakat.
- Kétfaktoros hitelesítés engedélyezése: Val vel kétlépcsős hitelesítés , meg kell adnia valami mást - például egy alkalmazás által létrehozott vagy SMS-ben elküldött kódot - minden alkalommal, amikor bejelentkezik egy webhelyre. Még akkor is, ha a támadónak megvan a felhasználóneve és jelszava, nem tud bejelentkezni a fiókjába, ha nem rendelkezik ezzel a kóddal.
- Szivárgott jelszó értesítések: Olyan szolgáltatással, mint Pwned voltam? , tudsz értesítést kap, ha a hitelesítő adatai szivárgásban jelennek meg .
ÖSSZEFÜGGŐ: Hogyan ellenőrizhetjük, hogy a jelszavát ellopták-e?
Hogyan védhetik meg a szolgáltatások a hitelesítő adatok kitöltését
Míg az egyéneknek felelősséget kell vállalniuk a számlájuk biztonságáért, az online szolgáltatások számos módon védekezhetnek a hitelesítő adatok kitöltése elleni támadások ellen.
- Szivárgott adatbázisok keresése felhasználói jelszavakhoz: Facebook és Netflix szkennelték kiszivárgott adatbázisok a jelszavakhoz, összehasonlítva őket saját szolgáltatásaik bejelentkezési adataival. Ha van egyezés, a Facebook vagy a Netflix arra ösztönözheti saját felhasználóját, hogy változtassa meg jelszavát. Ez egy módja annak, hogy ütközésbe verjük a hitelesítő adatokat.
- Kétfaktoros hitelesítés ajánlata: A felhasználóknak lehetővé kell tenniük a kétfaktoros hitelesítést az online fiókok biztonsága érdekében. A különösen érzékeny szolgáltatások ezt kötelezővé tehetik. Azt is megteheti, hogy a felhasználó egy e-mailben kattintson a bejelentkezés ellenőrző linkjére a bejelentkezési kérelem megerősítéséhez.
- CAPTCHA igénye: Ha a bejelentkezési kísérlet furcsának tűnik, akkor egy szolgáltatás megkövetelheti a képen megjelenített CAPTCHA-kód megadását, vagy egy másik űrlapon történő kattintással ellenőrizheti, hogy egy ember - és nem egy bot - próbál-e bejelentkezni.
- Korlátozza az ismételt bejelentkezési kísérleteket : A szolgáltatásoknak meg kell próbálniuk blokkolni a botokat abban, hogy rövid időn belül nagyszámú bejelentkezési kísérletet kíséreljenek meg. A modern, kifinomult robotok megpróbálhatnak egyszerre több IP-címről bejelentkezni, hogy leplezzék hitelesítő adataikat.
A rossz jelszó-gyakorlat - és hogy igazságos legyek, a rosszul biztonságos online rendszerek, amelyekbe túl könnyen lehet kompromisszumokat kötni - a hitelesítő adatok kitöltését komoly veszélyt jelentik az online fiók biztonságára. Ez nem csoda a technológiai ipar számos vállalata biztonságosabb világot akar felépíteni jelszavak nélkül .
ÖSSZEFÜGGŐ: A műszaki ipar meg akarja ölni a jelszót. Vagy megteszi?
