Totalt är 500 miljoner Zoom-konton till salu på det mörka nätet tack vare "referensfyllning." Det är ett vanligt sätt för brottslingar att bryta sig in på konton online. Här är vad termen egentligen betyder och hur du kan skydda dig själv.
Det börjar med läckta lösenordsdatabaser
Attacker mot onlinetjänster är vanliga. Brottslingar utnyttjar ofta säkerhetsfel i system för att skaffa databaser med användarnamn och lösenord. Databaser med stulna inloggningsuppgifter säljs ofta online den mörka banan , med brottslingar som betalar in Bitcoin för privilegiet att komma åt databasen.
Låt oss säga att du hade ett konto på Avast-forumet, vilket var bröt tillbaka 2014 . Det kontot har brutits och brottslingar kan ha ditt användarnamn och lösenord på Avast-forumet. Avast kontaktade dig och hade du ändrat ditt lösenord i forumet, så vad är problemet?
Tyvärr är problemet att många människor använder samma lösenord på olika webbplatser. Låt oss säga att dina Avast-foruminloggningsuppgifter var "[email protected]" och "AmazingPassword." Om du loggade in på andra webbplatser med samma användarnamn (din e-postadress) och lösenord kan alla brottslingar som förvärvar dina läckta lösenord få tillgång till de andra kontona.
RELATERAD: Vad är det mörka nätet?
Credential fyllning i aktion
”Credential stuffing” innebär att du använder dessa databaser med läckta inloggningsuppgifter och försöker logga in med dem på andra onlinetjänster.
Brottslingar tar stora databaser med läckta användarnamn och lösenordskombinationer - ofta miljontals inloggningsuppgifter - och försöker logga in med dem på andra webbplatser. Vissa människor återanvänder samma lösenord på flera webbplatser, så vissa kommer att matcha. Detta kan vanligtvis automatiseras med programvara, vilket snabbt försöker många inloggningskombinationer.
För något så farligt som låter så tekniskt är det allt - att pröva redan läckta referenser till andra tjänster och se vad som fungerar. Med andra ord fyller "hackare" alla dessa inloggningsuppgifter i inloggningsformuläret och ser vad som händer. Några av dem kommer säkert att fungera.
Detta är en av de mest vanliga sätt som angripare "hackar" online-konton dessa dagar. Bara under 2018, innehållsleveransnätverket Akamai loggade nästan 30 miljarder attacker.
RELATERAD: Hur angripare faktiskt "hackar konton" online och hur du skyddar dig själv
Hur du skyddar dig själv
Det är ganska enkelt att skydda dig mot autentiseringsuppfyllning och att följa samma lösenordsskyddspraxis som säkerhetsexperter har rekommenderat i flera år. Det finns ingen magisk lösning - bara god lösenordshygien. Här är rådet:
- Undvik att återanvända lösenord: Använd ett unikt lösenord för varje konto du använder online. På det sättet, även om ditt lösenord läcker, kan det inte användas för att logga in på andra webbplatser. Angripare kan försöka fylla dina uppgifter i andra inloggningsformulär, men de fungerar inte.
- Använd en Password Manager: Att komma ihåg starka unika lösenord är en nästan omöjlig uppgift om du har konton på en hel del webbplatser, och nästan alla har det. Vi rekommenderar med en lösenordshanterare tycka om 1Lösenord (betald) eller Bitwarden (gratis och öppen källkod) för att komma ihåg dina lösenord åt dig. Det kan till och med generera de starka lösenorden från grunden.
- Aktivera tvåfaktorautentisering: Med tvåstegsautentisering måste du ange något annat - som en kod som genereras av en app eller skickas till dig via SMS - varje gång du loggar in på en webbplats. Även om en angripare har ditt användarnamn och lösenord kan de inte logga in på ditt konto om de inte har den koden.
- Få läckta lösenordsmeddelanden: Med en tjänst som Har jag blivit pwned? , du kan få ett meddelande när dina uppgifter visas i läckage .
RELATERAD: Hur man kontrollerar om ditt lösenord har stulits
Hur tjänster kan skydda mot pappersfyllnad
Medan individer behöver ta ansvar för att säkra sina konton, finns det många sätt för onlinetjänster att skydda mot påfyllningsattacker.
- Skanna läckta databaser för användarlösenord: Facebook och Netflix har skannat läckt databaser för lösenord, korsreferens mot inloggningsuppgifter på sina egna tjänster. Om det finns en match kan Facebook eller Netflix uppmana sin egen användare att ändra sitt lösenord. Det här är ett sätt att slå referenser.
- Erbjud tvåfaktorautentisering: Användare bör kunna aktivera tvåfaktorautentisering för att säkra sina onlinekonton. Särskilt känsliga tjänster kan göra detta obligatoriskt. De kan också låta en användare klicka på en inloggningsverifieringslänk i ett e-postmeddelande för att bekräfta inloggningsförfrågan.
- Kräv en CAPTCHA: Om ett inloggningsförsök ser konstigt ut kan en tjänst kräva att du anger en CAPTCHA-kod som visas i en bild eller klickar igenom ett annat formulär för att verifiera att en människa - och inte en bot - försöker logga in.
- Begränsa upprepade inloggningsförsök : Tjänsterna bör försöka blockera robotar från att försöka ett stort antal inloggningsförsök på kort tid. Moderna sofistikerade bots kan försöka logga in från flera IP-adresser på en gång för att dölja sina försök med referensfyllning.
Dålig lösenordspraxis - och, för att vara rättvis, dåligt skyddade onlinesystem som ofta är för lätta att kompromissa - gör autentiseringsfyllning till en allvarlig fara för kontosäkerhet online. Det är inte konstigt många företag inom teknikindustrin vill bygga en säkrare värld utan lösenord .
RELATERAD: Teknikindustrin vill döda lösenordet. Eller gör det?
