סיסמה מאובטחת, שם משתמש חשוף: עדיין מתכון לאסון

בכל אחת מההתקפות האחרונות על אברנוטה, פייסבוק, טוויטר ואחרות, מיהרו החברות המעורבות לציין כי הסיסמאות נותרו מאובטחות. אך למידע על משתמשים יש חיים משלו, ואת ההשפעות של התקפה על אדם ניתן לחוש זמן רב לאחר סיום ההתקף.

ההתקפות שראינו

בדרך כלל מה שאתה שומע כשחברה מרכזית נפגעה זה משהו שבסופו של דבר מידע התשלום עדיין מאובטח, סיסמאות הוצפנו, אך מידע אחר היה נגיש. בדרך כלל זה כולל שמות משתמש והודעות דוא"ל.

לרובנו זה אולי לא נראה מסוכן. אחרי הכל, אנו מוסרים דוא"ל משלנו כל הזמן - אנו אפילו מפרסמים אותם ברשת. אך יש סיכונים למשתמשים שחשפו אפילו כמות קטנה זו של מידע.

דריק האלידיי, מנהל מוצר בכיר ב- Lookout אבטחה לנייד הסביר ל- SecurityWatch כיצד פיסות המידע הללו יכולות להפוך את המשתמשים למטרות. "ניתן להשתמש במידע על החשבון כדי לאפשר פוטוש פישינג מכיוון שהוא מספק מידע קונטקסטואלי ייחודי על אנשים - דרך ליצור איתם קשר, " אמר. "והעובדה שהם בשלב מסוים נרשמו לשירות מסוים."

זו הסיבה שדוא"ל התראות לגיטימיות מזכירות לעיתים קרובות משתמשים שעלולים לחשוף את המידע שלהם כי איש מעולם לא יבקש את סיסמתם. אם האקר יודע שאתה משתמש ב- Evernote (לדוגמה), זו עבודה קצרה ליצור הודעה שנראית מ- Evernote ולשלוח לכתובת הדוא"ל בה אתה משתמש לניהול חשבונך. אולי זה יבקש ממך לספק את הסיסמה שלך, או את פרטי התשלום, או אולי להערים אותך ללחוץ על קישור זדוני.

"ראינו עברייני סייבר שמוכנים לעסוק ב'המצב הארוך ', " אמר מארק ריישר, המייסד והמנכ"ל של אימפרימיום. "מתקפה מרובת שלבים שהיא מעבר לניקור ישיר של נתונים רגישים."

"כאשר פושעים מתפרצים לחשבון של רשת חברתית, הם יכולים למצוא לעתים קרובות פרטים אישיים המוסיפים לגיטימציה לדייג חוד", המשיך ריישר, שהביא לאיגוד בוגרים פרט אישי כזה. הוא הסביר שאפשר להשתמש בו כדי לבטל את נעילת התכונה "השאלה הסודית" - ששואלת לפעמים מה היה הקמע שלך בבית הספר, או את שם חיית המחמד הראשונה שלך - באתר אחר.

המקרה הכי גרוע

צ'סטר וויסנייבסקי, יועץ האבטחה הבכיר בסופוס, אמר כי למרות שאברנוטה ואתרים אחרים שהתפשרו לאחרונה הבטיחו את הסיסמאות שלהם באמצעות חיפזות קריפטוגרפיות ונתוני "מלח" אקראיים, לא כל המשתמשים עשויים להיות מוגנים. הוא הסביר שאם משתמשים בוחרים בסיסמאות חלשות או נפוצות, "כנראה שיש לפושעים את זה."

עם המידע המצומצם הקיים, ייתכן שהסיסמאות הקלות יותר עדיין ניתן לאחזר. "פושעים הולכים לחטוף את הקלים באמת, ואולי לא יטרחו עם השאר", אמר ויסנייבסקי.

עבור חלק מהרעים, פשוט להשיג גישה לחשבונות מדיה חברתית כמו פייסבוק או טוויטר זה מספיק. חלקם מנצלים זאת כהזדמנות להרוויח כסף, על ידי ניסיון להפיץ זיהומים זדוניים. תוקפים יוזניים יותר עשויים לנסות להשתמש בסיסמה שנקבעה כדי לבטל את נעילת חשבון הדואר האלקטרוני.

"לעתים קרובות הם מחפשים דואר מהבנק של המשתמש; לעתים קרובות יש פונקציה של 'שכחתי את הסיסמא שלי' בבנק ההוא שנשען אך ורק על גישה לחשבון הדואר האלקטרוני, " אמר ריישר.

בהמשך במקרה הגרוע ביותר, יתכן והתוקפים לא ייעשה לאחר שהם קיבלו גישה למידע בנקאי מקוון. "הרבה מהחבר'ה האלה לא מתכוונים לעסוק ישירות בגניבת זהות, הם ימכרו את זה", אמר ויסנייבסקי.

הוא המשיך והסביר כי במקרה של סוסים טרויאנים בנקאיים, התוקפים ישתמשו בעשרת האחוזים המובילים בחשבונות - כלומר אלה עם הכספים הזמינים ביותר - וימכרו את 90 האחוזים האחרים של המידע. משמעות הדבר היא שמידע המשתמש, לאחר שייפרץ, יכול להמשיך להשתמש בו ולעשות בו שימוש חוזר עד שהבעלים סוף סוף יחזור לשליטה.

שמור על עצמך

ויסניעווסקי, שהודיע ​​כמה פעמים כי נראה כי החברות המושפעות נקטו צעדים טובים לאבטחת מידע על המשתמשים.

אבל כפי שראינו, זה לא תמיד מספיק. משתמשים צריכים להקפיד על אזהרות כדי לשנות סיסמאות כאשר תתבקש על ידי שירותי פריצה. עליהם גם לשאוף לבחור סיסמאות חזקות וייחודיות לכל שירות מקוון, אולי באמצעות מנהל סיסמאות כדי להקל על המשימה.

מה שחשוב להבין הוא שמידע על משתמשים הוא בעל ערך, ועדיין יכול להיות שימושי לתוקפים הרבה אחרי שאבטחת חשבון מושפע אחד. האינטרנט מספק מספר דרכים להשתעשע ולעבוד, אך הוא מספק גם כמה שיטות להתקפה.