מה אתה צריך לעשות כדי למנוע גניבת חשבון Google שלך

גוגל פרסמה מחקר "כמה יעילה היגיינת חשבון בסיסית במניעת גניבת חשבון" לגבי מה שבעל חשבון יכול לעשות כדי למנוע ממנו להיגנב על ידי פושעים. אנו מציגים לתשומת לבך תרגום של מחקר זה.
נכון, השיטה היעילה ביותר, בה משתמשת גוגל עצמה, לא נכללה בדוח. הייתי צריך לכתוב על השיטה הזו בעצמי בסוף.

מדי יום אנו מגנים על משתמשים מפני מאות אלפי ניסיונות פריצה לחשבונות. רוב ההתקפות מגיע מבוטים אוטומטיים עם גישה למערכות פיצוח סיסמאות של צד שלישי, אך קיימות גם התחזות והתקפות ממוקדות. בעבר סיפרנו איך רק חמישה צעדים פשוטים, כמו הוספת מספר טלפון, יכול לעזור לך להישאר בטוח, אבל עכשיו אנחנו רוצים להוכיח זאת בפועל.

מתקפת פישינג היא ניסיון להערים על משתמש למסור מרצונו את התוקף מידע שיהיה שימושי בתהליך הפריצה. למשל, באמצעות העתקת ממשק של אפליקציה משפטית.

התקפות באמצעות בוטים אוטומטיים הן ניסיונות פריצה מאסיביים שאינם מכוונים למשתמשים ספציפיים. מבוצע בדרך כלל באמצעות תוכנות זמינות לציבור וניתן להשתמש בהן גם על ידי "קרקרים" לא מאומנים. התוקפים אינם יודעים דבר על המאפיינים של משתמשים ספציפיים - הם פשוט משיקים את התוכנית ו"תופסים" את כל הרשומות המדעיות המוגנות בצורה גרועה מסביב.

התקפות ממוקדות הן פריצה לחשבונות ספציפיים, בהם נאסף מידע נוסף על כל חשבון ובעליו, נסיונות ליירט ולנתח תעבורה, כמו גם שימוש בכלי פריצה מורכבים יותר.

(הערת המתרגם)

חברנו לחוקרים מאוניברסיטת ניו יורק ומאוניברסיטת קליפורניה כדי לגלות עד כמה היגיינת חשבון בסיסית יעילה במניעת חטיפת חשבון.

מחקר שנתי על בקנה מידה גדול и התקפות ממוקדות הוצג ביום רביעי בפגישה של מומחים, קובעי מדיניות ומשתמשים שנקראו ועידת האינטרנט.
המחקר שלנו מראה שפשוט הוספת מספר טלפון לחשבון Google שלך ​​יכולה לחסום עד 100% מהתקפות בוטים אוטומטיות, 99% מהתקפות דיוג בכמות גדולה ו-66% מהתקפות ממוקדות בחקירה שלנו.

הגנה יזומה אוטומטית של Google מפני חטיפת חשבון

אנו מיישמים הגנה יזומה אוטומטית כדי להגן טוב יותר על כל המשתמשים שלנו מפני פריצת חשבונות. כך זה עובד: אם נזהה ניסיון התחברות חשוד (לדוגמה, ממיקום או מכשיר חדש), נבקש הוכחה נוספת לכך שזה באמת אתה. אישור זה יכול להיות אימות שיש לך גישה למספר טלפון מהימן, או מענה על שאלה שרק אתה יודע לה את התשובה הנכונה.

אם אתה מחובר לטלפון שלך או סיפקת מספר טלפון בהגדרות החשבון שלך, נוכל לספק את אותה רמת אבטחה כמו אימות דו-שלבי. מצאנו שקוד SMS שנשלח למספר טלפון לשחזור עזר לחסום 100% מהבוטים האוטומטיים, 96% מהתקפות הדיוג בכמות גדולה ו-76% מההתקפות הממוקדות. והנחיות במכשיר לאשר עסקה, תחליף מאובטח יותר ל-SMS, עזרו למנוע 100% מהבוטים האוטומטיים, 99% מהתקפות דיוג המוניות ו-90% מהתקפות ממוקדות.

הגנה המבוססת הן על בעלות על מכשיר והן על ידע של עובדות מסוימות עוזרת להתמודד עם בוטים אוטומטיים, בעוד שהגנת בעלות על מכשיר מסייעת במניעת דיוג ואפילו התקפות ממוקדות.

אם אין לך מספר טלפון מוגדר בחשבונך, אנו עשויים להשתמש בטכניקות אבטחה חלשות יותר בהתבסס על מה שאנו יודעים עליך, כגון היכן התחברת לאחרונה לחשבונך. זה עובד היטב נגד בוטים, אבל רמת ההגנה מפני פישינג יכולה לרדת ל-10%, ואין למעשה הגנה מפני התקפות ממוקדות. הסיבה לכך היא שדפי פישינג ותוקפים ממוקדים יכולים לאלץ אותך לחשוף כל מידע נוסף שגוגל עשויה לבקש לאימות.

בהתחשב ביתרונות של הגנה כזו, אפשר לשאול מדוע איננו דורשים זאת עבור כל התחברות. התשובה היא שזה ייצור מורכבות נוספת עבור המשתמשים (במיוחד עבור לא מוכנים - בערך. תִרגוּם.) ויגדיל את הסיכון להשעיית חשבון. הניסוי מצא של-38% מהמשתמשים לא הייתה גישה לטלפון שלהם בעת הכניסה לחשבון. עוד 34% מהמשתמשים לא הצליחו לזכור את כתובת האימייל המשנית שלהם.

אם איבדת את הגישה לטלפון שלך או אינך יכול להיכנס, תמיד תוכל לחזור למכשיר המהימן שממנו נכנסת בעבר כדי לגשת לחשבון שלך.

הבנת התקפות פריצה להשכרה

היכן שרוב ההגנות האוטומטיות חוסמות את רוב הבוטים והתקפות הדיוג, התקפות ממוקדות הופכות להזיק יותר. כחלק מהמאמצים המתמשכים שלנו ניטור איומי פריצה, אנו מזהים כל הזמן קבוצות פריצה פליליות חדשות שגובות 750 דולר בממוצע כדי לפרוץ חשבון אחד. תוקפים אלה מסתמכים לעתים קרובות על הודעות דיוג המתחזות לבני משפחה, עמיתים, פקידי ממשל או אפילו גוגל. אם המטרה לא מוותרת על ניסיון הדיוג הראשון, ההתקפות הבאות נמשכות יותר מחודש.

דוגמה להתקפת פישינג של man-in-the-middle שמאמתת את נכונות הסיסמה בזמן אמת. לאחר מכן, דף ההתחזות מבקש מהקורבנות להזין קודי אימות SMS כדי לגשת לחשבון של הקורבן.

אנו מעריכים שרק אחד מכל מיליון משתמשים נמצא בסיכון גבוה זה. התוקפים אינם מכוונים לאנשים אקראיים. אמנם מחקרים מראים שההגנות האוטומטיות שלנו יכולות לעזור לעכב ואפילו למנוע עד 66% מההתקפות הממוקדות שחקרנו, אבל אנחנו עדיין ממליצים למשתמשים בסיכון גבוה להירשם אצלנו תוכנית הגנה משלימה. כפי שנצפה במהלך החקירה שלנו, משתמשים המשתמשים אך ורק במפתחות אבטחה (כלומר, אימות דו-שלבי באמצעות קודים הנשלחים למשתמשים - כ. תִרגוּם), הפכו לקורבנות של פישינג ממוקד.

קח קצת זמן כדי להגן על החשבון שלך

אתה משתמש בחגורות בטיחות כדי להגן על החיים והגפיים בזמן נסיעה במכוניות. ובעזרתנו חמישה עצות אתה יכול להבטיח את אבטחת החשבון שלך.

המחקר שלנו מראה שאחד הדברים הקלים ביותר שאתה יכול לעשות כדי להגן על חשבון Google שלך ​​הוא להגדיר מספר טלפון. עבור משתמשים בסיכון גבוה כגון עיתונאים, פעילי קהילה, מנהיגים עסקיים וצוותי קמפיינים פוליטיים, התוכנית שלנו הגנה מתקדמת יעזור להבטיח את רמת האבטחה הגבוהה ביותר. אתה יכול גם להגן על חשבונות שאינם של Google מפני פריצות לסיסמאות על ידי התקנת התוסף בדיקת סיסמאות של Chrome.

מעניין שגוגל לא ממלאת אחר העצות שהיא נותנת למשתמשים שלה. גוגל משתמשת באסימוני חומרה לאימות דו-גורמי עבור יותר מ-85 מעובדיה. לטענת נציגי התאגיד, מאז תחילת השימוש באסימוני חומרה לא נרשם ולו גניבת חשבון אחד. השווה לנתונים המוצגים בדוח זה. לפיכך ברור שהשימוש בחומרה אסימונים לאימות דו-גורמי הדרך האמינה היחידה להגן גם חשבונות וגם מידע (ובמקרים מסוימים גם כסף).

כדי להגן על חשבונות גוגל, נעשה שימוש באסימונים שנוצרו על פי תקן FIDO U2F, למשל כזה. ועבור אימות דו-גורמי במערכות ההפעלה Windows, Linux ו-MacOS, אסימונים קריפטוגרפיים.

(הערת המתרגם)

מקור: www.habr.com