Какво трябва да направите, за да защитите вашата Google профил от кражба

Корпорацията Google публикува изследване „Насколько ефективна базовата хигиена на акаунта за предотвратяване на неговото кражба“ относно това, какво може да направи собственикът на акаунта, за да предотврати кражба от недоброжелатели. Представяме ви превод на това изследване.
Всъщност, най-ефективният метод, който се използва в самата Google, не бе включен в доклада. Прилича, че ще трябва сам да пиша за този метод в края.

Всеки ден защитаваме потребителите от стотици хиляди опити за хакване на акаунти. Повечето атаки произлизат от автоматизирани ботове с достъп до външни системи за хакване на пароли, но също така съществуват фишинг и целеви атаки. По-рано споделихме как само пет прости стъпки, като добавяне на телефонен номер, могат да помогнат на вас да се защитите, но сега искаме да докажем това на практика.

Фишинг атаката — опит за заблуждение на потребителя така, че той доброволно да предаде информация на недоброжелателя, която ще бъде полезна в процеса на хакване. Например, чрез клониране на интерфейса на законно приложение.

Атаките с автоматизирани ботове — масови опити за хакване, които не са насочени спрямо конкретни потребители. Обикновено се извършват с помощта на общодостъпни софтуерни платформи и са достъпни дори за неподготвени „хакери“. Недоброжелателите не знаят нищо за особеностите на конкретните потребители — просто стартират програмата и „уловват“ всички слабо защитени акаунти наоколо.

Целевите атаки — хаквания на конкретни акаунти, при които за всяка учетна запис и нейният собственик се събира допълнителна информация, възможни са опити за подслушване и анализ на трафика, както и прилагане на по-сложни инструменти за хакване.

(Бележка на преводача)

Обединихме усилия с изследователи от New York University и University of California, за да разберем колко ефективна е базовата хигиена на акаунтите при предотвратяване на „угони“.

Годишно проучване за широкомасштабни и целеви атаки беше представено в сряда на събрание на експерти, политици и потребители, наречено The Web Conference.
Нашите изследвания показват, че просто добавянето на телефонен номер в вашия Google акаунт може да блокира до 100% от атаките на автоматични ботове, 99% от масовите фишинг атаки и 66% от целевите атаки, наблюдавани по време на нашето разследване.

Автоматична проактивна защита на Google от „откраднати“ акаунти

Прилагаме автоматична проактивна защита, за да защитим по-добре всички наши потребители от хакване на акаунти. Ето как работи: ако открием подозрителен опит за вход (например, от ново място или устройство), ще поискаме допълнителни доказателства, че наистина сте вие. Такова потвърждение може да бъде проверка за достъп до доверен телефон или отговор на въпрос, на който само вие знаете правилния отговор.

Ако сте влезли в телефона си или сте посочили телефонен номер в настройките на акаунта, можем да предоставим същото ниво на защита, както с двустепенна проверка. Открихме, че SMS кодът, изпратен на номера за възстановяване, помогна да се блокират 100% от автоматичните ботове, 96% от масовите фишинг атаки и 76% от целевите атаки. А исканията на устройството, изискващи потвърждение на операцията, което е по-сигурна алтернатива на SMS, помогнаха да се предотвратят 100% от автоматичните ботове, 99% от масовите фишинг атаки и 90% от целевите атаки.

Защитата, основана както на притежаване на определени устройства, така и на знания за определени факти, помага да се противостои на автоматичните ботове, а защитата, основана на притежаване на определени устройства, е за предотвратяване на фишинг и дори целеви атаки.

Ако в акаунта ви не е настроен телефонен номер, можем да се опрем на по-слаби методи на защита, основани на знания за вас, като местоположението на последния вход в акаунта. Това работи добре срещу ботове, но нивото на защита от фишинг може да падне до 10%, а защита срещу целеви атаки практически отсъства. Това се случва, защото фишинг страниците и злонамерените лица при целевите атаки могат да ви накарат да разкриете всяка допълнителна информация, която Google може да изисква за потвърждение.

Като се имат предвид предимствата на тази защита, може да се запитате защо не изискваме да я използваме за всеки вход в системата. Отговорът е, че това би създало допълнителни затруднения за потребителите (особено за неподготвените — бел. прев). И би увеличило риска от блокиране на акаунта. По време на експеримента бе установено, че 38% от потребителите нямат достъп до телефона си при влизане в акаунта. Още 34% от потребителите не можаха да си спомнят допълнителния си имейл адрес.

Ако сте загубили достъпа до телефона си или не можете да влезете, винаги можете да се върнете към доверено устройство, от което преди сте влизали, за да получите достъп до акаунта си.

Разбиране на атаките „хакера по поръчка“

Там, където повечето автоматични защитни средства блокират повечето ботове и фишинг атаки, целевите атаки стават по-пагубни. В контекста на нашите постоянни усилия за мониторинг на заплахите от хакерство, ние постоянно идентифицираме нови криминални групи „хакери по поръчка“, които искат около 750 долара за хакването на един акаунт. Тези злонамерени лица често разчитат на фишинг имейли, които се представят за членове на семейството, колеги, държавни служители или дори за Google. Ако целта не се предаде при първата опит за фишинг, последващите атаки продължават повече от месец.

Пример за фишинг атака „човек в средата“, която проверява валидността на паролата в реално време. След това на фишинговата страница на жертвите се предлага да въведат SMS кодове за удостоверяване, за да получат достъп до акаунта на жертвата.

Според нашите оценки, само един от милион потребители е изложен на такъв висок риск. Злонамерените лица не целят случайни хора. Въпреки че проучванията показват, че нашата автоматична защита може да помогне да се забавят и дори да предотвратят до 66% от целевите атаки, които изследваме, все пак препоръчваме на потребителите с висок риск да се регистрират в нашата програма за допълнителна защита. Както бе отбелязано по време на нашето разследване, потребителите, които използват изключително ключове за сигурност (тоест — двустепенна автентикация с помощта на изпратени на потребителите кодове — бел. прев.), станаха жертви на целеви фишинг.

Отделете малко време, за да защитите акаунта си

Вие използвате предпазни колани, за да защитите живота и здравето си по време на пътувания с автомобили. И с помощта на нашите пет съвета ще можете да осигурите безопасността на акаунта си.

Както показват нашите изследвания, едно от най-простите неща, които можете да направите, за да защитите акаунта си в Google, е да зададете телефонен номер. За потребители с висок риск, като журналисти, обществени активисти, бизнес лидери и екипи за политически кампании, нашата програма Advanced Protection ще помогне да осигурите най-високо ниво на безопасност. Можете също така да защитите акаунтите си в трети услуги (не Google) от хакерски атаки, като инсталирате разширението Chrome Password Checkup.

Интересно е, че Google не следва съветите, които сам дава на потребителите си. Google използва хардуерни токени за двуфакторна автентикация за над 85 000 от своите служители. Според представители на корпорацията от момента на използването на хардуерни токени не е регистрирана нито една кражба на акаунт. Сравнете с цифрите, представени в този доклад. Така можем да видим, че използването на хардуерни токени за двуфакторна автентикация е единственият надежден начин за защита както на акаунтите, така и на информацията (а в редица случаи и на парите).

За защита на акаунтите в Google се използват токени, създадени по стандарта FIDO U2F, например такъв. А за двуфакторна автентикация в операционните системи Windows, Linux и MacOS се използват криптографски токени.

(Бележка на преводача)

Източник: habr.com