Die Google-Korporation hat veröffentlicht „Wie effektiv ist die grundlegende Hygiene von Konten zur Verhinderung von deren Diebstahl?“ darüber, was Kontoinhaber tun können, um nicht Opfer von Kriminellen zu werden. Hier präsentieren wir Ihnen die Übersetzung dieser Studie.
Wahr ist, dass die effektivste Methode, die Google selbst verwendet, im Bericht nicht erwähnt wurde. Ich musste am Ende selbst über diese Methode schreiben.
Jeden Tag schützen wir Benutzer vor Hunderttausenden von Versuchen, Konten zu hacken. stammen von automatischen Bots mit Zugang zu externen Passwort-Hacking-Systemen, aber es gibt auch Phishing- und gezielte Angriffe. Früher haben wir erzählt, wie , wie die Hinzufügung einer Telefonnummer, Ihnen helfen können, sich abzusichern, aber jetzt wollen wir dies praktisch beweisen.
Ein Phishing-Angriff ist der Versuch, den Benutzer so zu täuschen, dass er freiwillig Informationen an einen Kriminellen übergibt, die im Hackprozess nützlich sein werden. Zum Beispiel durch Kopieren der Benutzeroberfläche einer legitimen Anwendung.
Angriffe mithilfe automatischer Bots sind massenhafte Versuche des Hackens, die nicht auf bestimmte Benutzer abzielen. In der Regel werden sie mit kostenloser Software durchgeführt und sind auch für unvorbereitete „Hacker“ zugänglich. Kriminelle haben keine Kenntnisse über die Eigenschaften einzelner Benutzer – sie starten einfach das Programm und „fangen“ alle schlecht geschützten Konten in der Umgebung.
Gezielte Angriffe sind Hacks von spezifischen Konten, bei denen über jedes Konto und dessen Besitzer zusätzliche Informationen gesammelt werden; es sind auch Versuche zur Abhörung und Analyse des Datenverkehrs sowie der Einsatz komplexerer Hack-Tools möglich.
(Anmerkung des Übersetzers)
Wir haben uns mit Forschern der New York University und der University of California zusammengeschlossen, um herauszufinden, wie effektiv die grundlegende Hygiene von Konten deren „Entführung“ verhindert.
Eine jährliche Studie über und wurde am Mittwoch auf einem Treffen von Experten, Politikern und Nutzern vorgestellt, das den Titel trägt .
Unsere Untersuchungen zeigen, dass das einfache Hinzufügen einer Telefonnummer zu Ihrem Google-Konto bis zu 100 % der Angriffe von automatischen Bots, 99 % der Massenphishing-Angriffe und 66 % der gezielten Angriffe, die während unserer Ermittlungen auftraten, blockieren kann.
Automatischer proaktiver Schutz von Google gegen Kontoübernahmen
Wir implementieren automatischen proaktiven Schutz, um alle unsere Benutzer besser vor Kontohackern zu schützen. So funktioniert es: Wenn wir einen verdächtigen Anmeldeversuch feststellen (z. B. von einem neuen Ort oder einem neuen Gerät), bitten wir um zusätzliche Nachweise, dass Sie tatsächlich der sind, der Sie vorgeben zu sein. Diese Bestätigung kann darin bestehen, dass Sie nachweisen, dass Sie Zugang zu einem vertrauenswürdigen Telefon haben, oder dass Sie eine Antwort auf eine Frage geben, deren richtige Antwort nur Sie kennen.
Wenn Sie sich auf Ihrem Telefon angemeldet oder eine Telefonnummer in den Kontoeinstellungen angegeben haben, können wir denselben Schutzgrad wie bei der Zwei-Faktor-Authentifizierung gewährleisten. Wir haben festgestellt, dass der per SMS an die Wiederher Telefonnummer gesendete Code 100 % der automatischen Bots, 96 % der Massenphishing-Angriffe und 76 % der gezielten Angriffe blockieren konnte. Außerdem haben Anfragen auf dem Gerät, die eine Bestätigung der Aktion fordern, eine sicherere Alternative zu SMS, 100 % der automatischen Bots, 99 % der Massenphishing-Angriffe und 90 % der gezielten Angriffe verhindert.
Ein Schutz, der sowohl auf dem Besitz bestimmter Geräte als auch auf dem Wissen über bestimmte Fakten basiert, hilft, automatischen Bots entgegenzuwirken, während der Schutz, der auf dem Besitz bestimmter Geräte basiert, zur Verhinderung von Phishing und sogar gezielten Angriffen dient.
Wenn in Ihrem Konto keine Telefonnummer eingestellt ist, können wir auf schwächere Schutzmethoden zurückgreifen, die auf Ihrem Wissen basieren, wie z. B. dem Ort Ihres letzten Anmeldeversuchs. Dies funktioniert gut gegen Bots, jedoch kann das Schutzniveau gegen Phishing auf bis zu 10 % sinken, und der Schutz gegen gezielte Angriffe ist praktisch nicht vorhanden. Das liegt daran, dass Phishing-Seiten und Angreifer bei gezielten Angriffen Sie dazu bringen können, zusätzliche Informationen preiszugeben, die Google zur Überprüfung anfordern könnte.
Angesichts der Vorteile eines solchen Schutzes könnte man fragen, warum wir nicht verlangen, dass er für jeden Systemzugang verwendet wird. Die Antwort liegt darin, dass dies zusätzliche Komplikationen für die Benutzer schaffen würde (besonders für unvorbereitete – Anm. des Übersetzers). und das Risiko einer Konto-Blockierung erhöhen könnte. Im Rahmen unseres Experiments stellte sich heraus, dass 38 % der Benutzer beim Anmelden in ihr Konto keinen Zugang zu ihrem Telefon hatten. Weitere 34 % der Benutzer konnten sich nicht an ihre zusätzliche E-Mail-Adresse erinnern.
Wenn Sie den Zugriff auf Ihr Telefon verloren haben oder sich nicht anmelden können, können Sie jederzeit zu einem vertrauenswürdigen Gerät zurückkehren, von dem Sie zuvor auf Ihr Konto zugegriffen haben.
Wir klären über Auftrags-Hacking-Angriffe auf
Während die meisten automatischen Schutzmaßnahmen die meisten Bots und Phishing-Angriffe blockieren, werden gezielte Angriffe immer schädlicher. Im Rahmen unserer ständigen Bemühungen um , identifizieren wir ständig neue kriminelle Gruppen des „Auftrags-Hackings“, die im Durchschnitt 750 US-Dollar für das Hacking eines Kontos verlangen. Diese Angreifer verlassen sich häufig auf Phishing-E-Mails, die sich als Verwandte, Kollegen, Regierungsbeamte oder sogar als Google ausgeben. Wenn das Ziel sich beim ersten Phishing-Versuch nicht ergibt, gehen die nachfolgenden Angriffe über einen Zeitraum von mehr als einem Monat weiter.
Ein Beispiel für einen Phishing-Angriff „Man-in-the-Middle“, der das Passwort in Echtzeit überprüft. Anschließend wird den Opfern auf der Phishing-Seite angeboten, SMS-Authentifizierungscodes einzugeben, um auf das Konto des Opfers zuzugreifen.
Nach unseren Schätzungen ist nur einer von einer Million Benutzern einem so hohen Risiko ausgesetzt. Angreifer zielen nicht auf zufällige Personen ab. Obwohl Studien zeigen, dass unser automatischer Schutz bis zu 66 % der gezielten Angriffe, die wir untersucht haben, verzögern und sogar verhindern kann, empfehlen wir weiterhin, dass Hochrisiko-Benutzer sich in unser eintragen. Wie während unserer Untersuchung festgestellt wurde, nutzen Benutzer, die ausschließlich Sicherheitsschlüssel verwenden (das heißt – zweistufige Authentifizierung mittels an die Nutzer gesendeter Codes – Anm. d. Übers.), wurden Opfer gezielten Phishings.
Nehmen Sie sich etwas Zeit, um Ihr Konto zu schützen
Sie verwenden Sicherheitsgurte, um Ihr Leben und Ihre Gesundheit während Autofahrten zu schützen. Und mit unseren können Sie die Sicherheit Ihres Kontos gewährleisten.
Wie unsere Forschung zeigt, ist eine der einfachsten Maßnahmen, die Sie zum Schutz Ihres Google-Kontos ergreifen können, die Angabe einer Telefonnummer. Für Nutzer mit hohem Risiko, wie Journalisten, soziale Aktivisten, Unternehmensleiter und politische Kampagnenteams, wird unser Programm helfen, das höchste Sicherheitsniveau zu gewährleisten. Sie können auch Ihre Konten bei Drittanbietern (nicht Google) vor Passwortdiebstahl schützen, indem Sie die Erweiterung .
Interessanterweise hält sich Google nicht an die Ratschläge, die es seinen Nutzern gibt. für die Zwei-Faktor-Authentifizierung von mehr als 85.000 seiner Mitarbeiter. Laut Unternehmensvertretern gab es seit der Einführung von Hardwaretokens keinen einzigen Fall von Kontodiebstahl. Vergleichen Sie das mit den Zahlen, die in diesem Bericht präsentiert werden. Somit wird deutlich, dass die Verwendung von Hardware Zugangstoken für die Zwei-Faktor-Authentifizierung die einzige zuverlässige Methode zum Schutz sowohl von Konten als auch von Informationen (in einigen Fällen sogar von Geld).
Zum Schutz von Google-Konten werden Tokens verwendet, die nach dem FIDO U2F Standard erstellt wurden, beispielsweise . Und für die Zwei-Faktor-Authentifizierung in den Betriebssystemen Windows, Linux und MacOS werden .
(Anmerkung des Übersetzers)
Quelle: habr.com
