Google 계정 도난을 방지하기 위해 해야 할 일

구글이 발표했다 исследование 계정 소유자가 범죄자의 계정 도난을 방지하기 위해 할 수 있는 조치에 대해 "계정 도난을 방지하는 데 기본적인 계정 위생이 얼마나 효과적인지"에 대해 설명합니다. 우리는 이 연구의 번역본을 여러분의 주의에 제시합니다.
사실, Google 자체에서 사용하는 가장 효과적인 방법은 보고서에 포함되지 않았습니다. 이 방법에 대해서는 마지막에 직접 작성해야 했습니다.

우리는 매일 수십만 건의 계정 해킹 시도로부터 사용자를 보호합니다. 대부분의 공격 타사 비밀번호 크래킹 시스템에 액세스할 수 있는 자동화된 봇에서 발생하지만 피싱 및 표적 공격도 존재합니다. 이전에 우리는 방법을 이야기했습니다. 다섯 가지 간단한 단계만 거치면 됩니다, 전화번호 추가 등의 방법은 안전을 유지하는 데 도움이 될 수 있지만 이제 이를 실제로 증명해 보겠습니다.

피싱 공격은 사용자를 속여 해킹 과정에서 유용한 정보를 공격자에게 자발적으로 제공하려는 시도입니다. 예를 들어 법적 애플리케이션의 인터페이스를 복사합니다.

자동화봇을 이용한 공격은 특정 사용자를 대상으로 하지 않는 대규모 해킹 시도이다. 일반적으로 공개적으로 사용 가능한 소프트웨어를 사용하여 수행되며 훈련받지 않은 "크래커"도 사용할 수 있습니다. 공격자는 특정 사용자의 특성에 대해 아무것도 모릅니다. 그들은 단지 프로그램을 실행하고 주변의 제대로 보호되지 않은 모든 과학 기록을 "잡아냅니다".

표적 공격은 특정 계정을 해킹하는 것으로, 각 계정과 소유자에 대한 추가 정보를 수집하고, 트래픽을 가로채고 분석하려는 시도가 가능하며, 보다 복잡한 해킹 도구를 사용할 수도 있습니다.

(번역자 주)

우리는 뉴욕 대학교 및 캘리포니아 대학교의 연구원들과 협력하여 기본적인 계정 위생 관리가 계정 도용을 예방하는 데 얼마나 효과적인지 알아보았습니다.

에 관한 연례 연구 대규모 и 표적 공격 수요일 전문가, 정책 입안자 및 사용자 회의에서 발표되었습니다. 웹 컨퍼런스.
조사에 따르면 Google 계정에 전화번호만 추가하면 자동화된 봇 공격을 최대 100%, 대량 피싱 공격을 99%, 표적 공격을 66% 차단할 수 있는 것으로 나타났습니다.

계정 도용에 대한 자동 사전 Google 보호

우리는 모든 사용자를 계정 해킹으로부터 더 잘 보호하기 위해 자동 사전 보호를 구현합니다. 작동 방식은 다음과 같습니다. 의심스러운 로그인 시도(예: 새로운 위치나 기기에서 시도)가 감지되면 해당 사용자가 본인인지 확인하는 추가 증거를 요청합니다. 이 확인은 귀하가 신뢰할 수 있는 전화번호에 액세스할 수 있는지 확인하거나 귀하만이 정답을 알고 있는 질문에 답변하는 것일 수 있습니다.

휴대폰에 로그인되어 있거나 계정 설정에 전화번호를 제공한 경우 100단계 인증과 동일한 수준의 보안을 제공할 수 있습니다. 복구 전화번호로 전송된 SMS 코드는 자동 봇 96%, 대량 피싱 공격 76%, 표적 공격 100%를 차단하는 데 도움이 되는 것으로 나타났습니다. 그리고 SMS를 더욱 안전하게 대체하는 거래 확인 메시지는 자동 봇 99%, 대규모 피싱 공격 90%, 표적 공격 XNUMX%를 방지하는 데 도움이 되었습니다.

장치 소유권과 특정 사실에 대한 지식을 기반으로 한 보호는 자동화된 봇에 대응하는 데 도움이 되며, 장치 소유권 보호는 피싱은 물론 표적 공격까지 방지하는 데 도움이 됩니다.

귀하의 계정에 전화번호가 설정되어 있지 않은 경우, 당사는 귀하가 마지막으로 계정에 로그인한 위치 등 귀하에 대해 알고 있는 정보를 기반으로 보다 약한 보안 기술을 사용할 수 있습니다. 이는 봇에 대해서는 잘 작동하지만 피싱에 대한 보호 수준은 10%로 떨어질 수 있으며 표적 공격에 대한 보호는 사실상 없습니다. 이는 피싱 페이지와 표적 공격자가 Google에서 확인을 요청할 수 있는 추가 정보를 공개하도록 강요할 수 있기 때문입니다.

이러한 보호의 이점을 고려하면 왜 로그인할 때마다 이를 요구하지 않는지 의문이 생길 수 있습니다. 대답은 사용자에게 추가적인 복잡성을 야기한다는 것입니다(특히 준비되지 않은 경우 - 약. 번역.) 계정이 정지될 위험이 높아집니다. 실험 결과, 사용자의 38%가 계정에 로그인할 때 휴대폰에 액세스할 수 없는 것으로 나타났습니다. 또 다른 34%의 사용자는 보조 이메일 주소를 기억하지 못했습니다.

휴대폰에 액세스할 수 없거나 로그인할 수 없는 경우 언제든지 이전에 로그인했던 신뢰할 수 있는 장치로 돌아가 계정에 액세스할 수 있습니다.

해킹 공격 이해

대부분의 자동화된 보호 기능이 대부분의 봇과 피싱 공격을 차단하는 반면, 표적 공격은 더욱 피해를 입힙니다. 우리의 지속적인 노력의 일환으로 해킹 위협 모니터링, 우리는 하나의 계정을 해킹하는 데 평균 750달러를 청구하는 새로운 범죄 해킹 그룹을 지속적으로 식별하고 있습니다. 이러한 공격자는 가족, 동료, 정부 공무원, 심지어 Google을 사칭하는 피싱 이메일을 사용하는 경우가 많습니다. 첫 번째 피싱 시도에도 포기하지 않으면 이후 공격은 한 달 이상 지속된다.

비밀번호의 정확성을 실시간으로 확인하는 중간자 피싱 공격의 예. 그러면 피싱 페이지는 피해자에게 피해자의 계정에 접근하기 위해 SMS 인증 코드를 입력하라는 메시지를 표시합니다.

우리는 백만 명의 사용자 중 단 한 명만이 이러한 높은 위험에 처해 있는 것으로 추정합니다. 공격자는 임의의 사람을 표적으로 삼지 않습니다. 연구에 따르면 우리의 자동화된 보호 기능은 우리가 연구한 표적 공격의 최대 66%를 지연시키고 심지어 예방하는 데 도움이 될 수 있는 것으로 나타났습니다. 하지만 우리는 여전히 고위험 사용자가 우리 보완적 보호 프로그램. 조사 결과, 보안키만을 사용하는 사용자(즉, 사용자에게 전송된 코드를 사용한 XNUMX단계 인증입니다. 번역), 스피어 피싱의 피해자가 되었습니다.

잠시 시간을 내어 계정을 보호하세요.

자동차를 타고 여행하는 동안 생명과 신체를 보호하기 위해 안전벨트를 사용합니다. 그리고 우리의 도움으로 다섯 가지 팁 계정의 보안을 보장할 수 있습니다.

Google의 연구에 따르면 Google 계정을 보호하기 위해 할 수 있는 가장 쉬운 방법 중 하나는 전화번호를 설정하는 것입니다. 언론인, 지역사회 활동가, 비즈니스 리더, 정치 캠페인 팀 등 고위험 사용자를 위한 당사 프로그램 고급 보호 최고 수준의 보안을 보장하는 데 도움이 됩니다. 확장 프로그램을 설치하면 Google 이외의 계정을 비밀번호 해킹으로부터 보호할 수도 있습니다. Chrome 비밀번호 점검.

Google이 사용자에게 제공하는 조언을 따르지 않는다는 점이 흥미롭습니다. Google은 하드웨어 토큰을 사용합니다. 85명 이상의 직원을 위한 이중 인증을 위해. 회사 관계자에 따르면 하드웨어 토큰을 사용하기 시작한 이후 단 한 건의 계정 도용도 기록되지 않았습니다. 본 보고서에 제시된 수치와 비교해보세요. 따라서 하드웨어를 사용하는 것이 분명합니다. 토큰 이중 인증을 위해 보호할 수 있는 유일하고 신뢰할 수 있는 방법 계정과 정보 모두(어떤 경우에는 돈도 포함).

Google 계정을 보호하기 위해 FIDO U2F 표준에 따라 생성된 토큰을 사용합니다. 예를 들면 다음과 같습니다. 이러한. Windows, Linux 및 MacOS 운영 체제의 이중 인증의 경우, 암호화 토큰.

(번역자 주)

출처 : habr.com