Какво трябва да направите, за да предотвратите кражба на акаунта ви в Google

Google публикува проучване „Колко ефективна е основната хигиена на акаунта за предотвратяване на кражба на акаунт“ за това какво може да направи собственик на акаунт, за да предотврати кражбата му от престъпници. Представяме на вашето внимание превод на това изследване.
Вярно е, че най-ефективният метод, който се използва от самия Google, не беше включен в доклада. Накрая трябваше да пиша за този метод.

Всеки ден защитаваме потребителите от стотици хиляди опити за хакване на акаунти. Повечето атаки идва от автоматизирани ботове с достъп до системи за кракване на пароли на трети страни, но фишинг и целеви атаки също присъстват. По-рано казахме как само пет прости стъпки, като добавянето на телефонен номер, може да ви помогне да сте в безопасност, но сега искаме да го докажем на практика.

Фишинг атаката е опит да се подмами потребител да предостави доброволно на атакуващия информация, която ще бъде полезна в процеса на хакване. Например чрез копиране на интерфейса на легално приложение.

Атаките с помощта на автоматизирани ботове са масови опити за хакване, които не са насочени към конкретни потребители. Обикновено се извършва с помощта на публично достъпен софтуер и може да се използва дори от необучени „кракери“. Нападателите не знаят нищо за характеристиките на конкретни потребители - те просто стартират програмата и „хващат“ всички лошо защитени научни записи наоколо.

Целенасочените атаки представляват хакване на конкретни акаунти, при което се събира допълнителна информация за всеки акаунт и неговия собственик, възможни са опити за прихващане и анализ на трафика, както и използването на по-сложни хакерски инструменти.

(Бележка на преводача)

Обединихме усилия с изследователи от Нюйоркския университет и Калифорнийския университет, за да разберем колко ефективна е основната хигиена на акаунта за предотвратяване на кражба на акаунт.

Годишно проучване за мащабен и целеви атаки беше представена в сряда на среща на експерти, политици и потребители Уеб конференцията.
Нашето изследване показва, че простото добавяне на телефонен номер към вашия акаунт в Google може да блокира до 100% от автоматизираните бот атаки, 99% от груповите фишинг атаки и 66% от целевите атаки в нашето разследване.

Автоматична проактивна защита на Google срещу кражба на акаунт

Внедряваме автоматична проактивна защита, за да защитим по-добре всички наши потребители от хакване на акаунти. Ето как работи: Ако открием подозрителен опит за влизане (например от ново местоположение или устройство), ще поискаме допълнително доказателство, че това наистина сте вие. Това потвърждение може да е проверка, че имате достъп до доверен телефонен номер или отговор на въпрос, на който само вие знаете правилния отговор.

Ако сте влезли в телефона си или сте предоставили телефонен номер в настройките на акаунта си, можем да предоставим същото ниво на сигурност като потвърждаването в две стъпки. Установихме, че SMS код, изпратен до телефонен номер за възстановяване, е помогнал за блокиране на 100% от автоматизираните ботове, 96% от груповите фишинг атаки и 76% от целевите атаки. И подканите на устройството за потвърждаване на транзакция, по-сигурен заместител на SMS, помогнаха за предотвратяване на 100% от автоматизираните ботове, 99% от масовите фишинг атаки и 90% от целевите атаки.

Защитата, базирана както на собствеността на устройството, така и на познаването на определени факти, помага за противодействието на автоматизирани ботове, докато защитата на собствеността на устройството помага за предотвратяване на фишинг и дори насочени атаки.

Ако нямате зададен телефонен номер във вашия акаунт, може да използваме по-слаби техники за сигурност въз основа на това, което знаем за вас, като например къде последно сте влезли в акаунта си. Това работи добре срещу ботове, но нивото на защита срещу фишинг може да падне до 10% и на практика няма защита срещу целеви атаки. Това е така, защото фишинг страниците и целевите нападатели могат да ви принудят да разкриете допълнителна информация, която Google може да поиска за проверка.

Имайки предвид предимствата на такава защита, някой може да попита защо не я изискваме при всяко влизане. Отговорът е, че би създало допълнителна сложност за потребителите (особено за неподготвени - ок. превод.) и би увеличило риска от спиране на акаунта. Експериментът установи, че 38% от потребителите не са имали достъп до телефона си, когато са влезли в акаунта си. Други 34% от потребителите не могат да си спомнят своя вторичен имейл адрес.

Ако сте загубили достъп до телефона си или не можете да влезете, винаги можете да се върнете към надеждното устройство, от което сте влезли преди това, за да получите достъп до акаунта си.

Разбиране на хакерските атаки

Когато повечето автоматизирани защити блокират повечето ботове и фишинг атаки, целевите атаки стават по-вредни. Като част от нашите постоянни усилия за наблюдение на хакерски заплахи, ние постоянно идентифицираме нови престъпни групи за хакване срещу наемане, които таксуват средно $750 за хакване на един акаунт. Тези нападатели често разчитат на фишинг имейли, които се представят за членове на семейството, колеги, държавни служители или дори Google. Ако целта не се откаже при първия опит за фишинг, следващите атаки продължават повече от месец.

Пример за фишинг атака "човек по средата", която проверява правилността на паролата в реално време. След това фишинг страницата подканва жертвите да въведат SMS кодове за удостоверяване, за да получат достъп до акаунта на жертвата.

Изчислихме, че само един на милион потребители е изложен на такъв висок риск. Нападателите не се насочват към случайни хора. Въпреки че изследванията показват, че нашите автоматизирани защити могат да помогнат за забавяне и дори предотвратяване на до 66% от целевите атаки, които сме изследвали, ние все пак препоръчваме на високорисковите потребители да се регистрират в нашия програма за допълнителна защита. Както беше наблюдавано по време на нашето разследване, потребителите, които използват изключително ключове за сигурност (тоест удостоверяване в две стъпки с помощта на кодове, изпратени до потребителите - прибл. превод), са станали жертва на фишинг.

Отделете малко време, за да защитите акаунта си

Използвате предпазни колани, за да предпазите живота и крайниците си, докато пътувате в автомобили. И то с помощта на нашите пет съвета можете да гарантирате сигурността на вашия акаунт.

Нашето проучване показва, че едно от най-лесните неща, които можете да направите, за да защитите акаунта си в Google, е да настроите телефонен номер. Нашата програма е за потребители с висок риск като журналисти, обществени активисти, бизнес лидери и политически екипи Разширена защита ще помогне да се осигури най-високо ниво на сигурност. Можете също така да защитите своите акаунти извън Google от хакване на пароли, като инсталирате разширението Проверка на паролата в Chrome.

Интересно е, че Google не следва съветите, които дава на своите потребители. Google използва хардуерни токени за двуфакторна автентификация за повече от 85 000 свои служители. Според представители на корпорацията, от началото на използването на хардуерни токени не е регистрирана нито една кражба на акаунт. Сравнете с цифрите, представени в този доклад. Така става ясно, че използването на хардуер жетони за двуфакторна автентификация единственият надежден начин за защита както сметки, така и информация (а в някои случаи и пари).

За защита на акаунтите в Google се използват например токени, създадени според стандарта FIDO U2F такъв. А за двуфакторно удостоверяване в операционни системи Windows, Linux и MacOS, криптографски токени.

(Бележка на преводача)

Източник: www.habr.com