La Corporation Google ha pubblicato «Quanto è efficace la base della sicurezza dell'account per prevenirne il furto» su cosa può fare il proprietario dell'account per evitare che venga rubato da malintenzionati. Ti presentiamo la traduzione di questo studio.
Purtroppo, il modo più efficace utilizzato da Google stesso non è stato incluso nel rapporto. Costretto a scrivere io stesso di questo metodo alla fine.
Ogni giorno proteggiamo gli utenti da centinaia di migliaia di tentativi di hacking degli account. proviene da bot automatici con accesso a sistemi di hacking della password di terze parti, ma ci sono anche attacchi di phishing e mirati. In precedenza ti abbiamo raccontato come , come l'aggiunta di un numero di telefono, possono aiutarti a proteggerti, ma ora vogliamo dimostrarlo nella pratica.
Un attacco di phishing è un tentativo di ingannare l'utente in modo che fornisca volontariamente informazioni utili al furto. Ad esempio, replicando l'interfaccia di un'applicazione legittima.
Gli attacchi con bot automatici sono tentativi di hacking di massa non mirati a utenti specifici. Di solito vengono effettuati utilizzando software accessibile al pubblico e sono disponibili anche per gli 'hacker' inesperti. I malintenzionati non conoscono le specifiche di utenti particolari; avviano semplicemente il programma e 'catturano' tutte le credenziali vulnerabili nelle vicinanze.
Gli attacchi mirati sono violazioni di account specifici, durante le quali viene raccolta ulteriore informazione su ciascun account e il suo proprietario, con possibili tentativi di intercettazione e analisi del traffico, oltre all'uso di strumenti di hacking più complessi.
(Nota del traduttore)
Ci siamo uniti a ricercatori della New York University e della University of California per scoprire quanto effettivamente l'igiene di base degli account prevenga i loro 'furti'.
Uno studio annuale su e è stato presentato mercoledì durante un incontro di esperti, politici e utenti intitolato .
Le nostre ricerche mostrano che l'aggiunta semplice di un numero di telefono al tuo account Google può bloccare fino al 100% degli attacchi da bot automatici, il 99% degli attacchi di phishing di massa e il 66% degli attacchi mirati emersi durante la nostra indagine.
Protezione proattiva automatica di Google contro il furto dell'account
Implementiamo una protezione proattiva automatica per meglio proteggere tutti i nostri utenti da violazioni dell'account. Ecco come funziona: se rileviamo un tentativo di accesso sospetto (ad esempio, da un nuovo luogo o dispositivo), ti chiederemo ulteriori prove che sei veramente tu. Questa conferma può consistere nel garantire che hai accesso a un telefono di fiducia o nella risposta a una domanda di cui solo tu conosci la giusta risposta.
Se hai effettuato l'accesso al tuo telefono o fornito il numero di telefono nelle impostazioni del tuo account, possiamo garantire lo stesso livello di sicurezza della verifica a due fattori. Abbiamo scoperto che il codice SMS inviato al numero di telefono per il recupero ha contribuito a bloccare il 100% dei bot automatici, il 96% degli attacchi di phishing di massa e il 76% degli attacchi mirati. Inoltre, le richieste sul dispositivo che richiedono di confermare l'operazione, come sostituto più sicuro degli SMS, hanno aiutato a prevenire il 100% dei bot automatici, il 99% degli attacchi di phishing di massa e il 90% degli attacchi mirati.
La protezione basata sia sul possesso di dispositivi specifici che sulla conoscenza di determinati fatti aiuta a contrastare i bot automatici, mentre la protezione basata solo sul possesso di dispositivi è utile per prevenire il phishing e anche gli attacchi mirati.
Se non hai un numero di telefono configurato nel tuo account, potremmo dover ricorrere a metodi di protezione più deboli, basati su conoscenze su di te, come il luogo dell'ultimo accesso al tuo account. Questo funziona bene contro i bot, ma il livello di protezione contro il phishing potrebbe ridursi al 10%, e per gli attacchi mirati la protezione è praticamente inesistente. Questo accade perché le pagine di phishing e i malintenzionati nei casi di attacchi mirati possono costringerti a rivelare qualsiasi informazione aggiuntiva che Google potrebbe richiedere per la verifica.
Data la provenienza di una tale protezione, ci si potrebbe chiedere perché non richiediamo di utilizzarla per ogni accesso al sistema. La risposta è che ciò creerebbe ulteriori complicazioni per gli utenti (specialmente per i meno esperti — ndt). e aumenterebbe il rischio di blocco dell'account. Un esperimento ha rivelato che il 38% degli utenti non aveva accesso al proprio telefono durante l'accesso al proprio account. Inoltre, il 34% degli utenti non è riuscito a ricordare il proprio indirizzo email aggiuntivo.
Se hai perso l'accesso al tuo telefono o non riesci ad accedere, puoi sempre tornare a un dispositivo fidato da cui ti sei già collegato per accedere al tuo account.
Analizziamo gli attacchi di "hacking a pagamento"
Dove la maggior parte degli strumenti automatici di protezione blocca la maggior parte dei bot e degli attacchi di phishing, gli attacchi mirati stanno diventando più dannosi. Come parte dei nostri sforzi continui per , stiamo costantemente scoprendo nuovi gruppi criminali di "hacking a pagamento", che chiedono in media 750 dollari per hackerare un singolo account. Questi delinquenti spesso si fidano di email di phishing che si presentano come membri della famiglia, colleghi, funzionari governativi o anche Google. Se l'obiettivo non cede al primo tentativo di phishing, gli attacchi successivi continuano per oltre un mese.
Esempio di attacco di phishing "man in the middle", che verifica la correttezza della password in tempo reale. Successivamente, sulla pagina di phishing viene chiesto alle vittime di inserire i codici di autenticazione SMS per accedere all'account della vittima.
Secondo le nostre stime, solo uno su un milione di utenti è esposto a un rischio così elevato. I malintenzionati non prendono di mira persone a caso. Anche se le ricerche dimostrano che la nostra protezione automatica può contribuire a ritardare e persino prevenire fino al 66% degli attacchi mirati che abbiamo analizzato, raccomandiamo comunque che gli utenti ad alto rischio si registrino nel nostro . Come è emerso durante la nostra indagine, gli utenti che utilizzano esclusivamente chiavi di sicurezza (ossia l'autenticazione a due fattori tramite codici inviati agli utenti — nota del traduttore.), sono diventati vittime di phishing mirato.
Dedica un po' di tempo per proteggere il tuo account
Utilizzi le cinture di sicurezza per proteggerti durante i viaggi in automobile. E con i nostri puoi garantire la sicurezza del tuo account.
Secondo le nostre ricerche, una delle cose più semplici che puoi fare per proteggere il tuo account Google è impostare un numero di telefono. Per gli utenti ad alto rischio, come giornalisti, attivisti, leader aziendali e team di campagne politiche, il nostro programma aiuta a garantire il massimo livello di sicurezza. Puoi anche proteggere i tuoi account di servizi di terze parti (non Google) dagli attacchi alle password installando l'estensione .
È interessante notare che Google non segue i consigli che esso stesso fornisce ai propri utenti. per la modalità di autenticazione a due fattori di oltre 85.000 dei suoi dipendenti. Secondo fonti della corporation, non ci sono stati furti di account registrati dall'inizio dell'uso dei token hardware. Confronta con i dati presentati in questo rapporto. Così è evidente che l'utilizzo di token hardware token per l'autenticazione a due fattori è l'unico modo affidabile per proteggere sia gli account che le informazioni (e in alcuni casi anche i soldi).
Per proteggere gli account Google vengono utilizzati token generati secondo lo standard FIDO U2F, come ad esempio . E per l'autenticazione a due fattori nei sistemi operativi Windows, Linux e MacOS vengono utilizzati .
(Nota del traduttore)
Fonte: habr.com
