ສິ່ງທີ່ທ່ານຕ້ອງເຮັດເພື່ອປ້ອງກັນບໍ່ໃຫ້ບັນຊີ Google ຂອງທ່ານຖືກລັກ

ກູໂກໄດ້ຈັດພີມມາ ການສຶກສາ "ການອະນາໄມບັນຊີຂັ້ນພື້ນຖານມີປະສິດທິພາບແນວໃດໃນການປ້ອງກັນການລັກບັນຊີ" ກ່ຽວກັບສິ່ງທີ່ເຈົ້າຂອງບັນຊີສາມາດເຮັດເພື່ອປ້ອງກັນມັນຈາກການຖືກລັກໂດຍອາດຊະຍາກອນ. ພວກເຮົາສະເຫນີໃຫ້ທ່ານເອົາໃຈໃສ່ການແປພາສາຂອງການສຶກສານີ້.
ຄວາມຈິງ, ວິທີການທີ່ມີປະສິດທິພາບທີ່ສຸດ, ເຊິ່ງຖືກນໍາໃຊ້ໂດຍ Google ເອງ, ບໍ່ໄດ້ລວມຢູ່ໃນບົດລາຍງານ. ຂ້ອຍຕ້ອງຂຽນກ່ຽວກັບວິທີນີ້ດ້ວຍຕົນເອງໃນຕອນທ້າຍ.

ທຸກໆມື້ພວກເຮົາປົກປ້ອງຜູ້ໃຊ້ຈາກຄວາມພະຍາຍາມ hack ບັນຊີຫຼາຍຮ້ອຍພັນເທື່ອ. ການໂຈມຕີສ່ວນໃຫຍ່ ມາຈາກ bots ອັດຕະໂນມັດທີ່ມີການເຂົ້າເຖິງລະບົບ cracking ລະຫັດຜ່ານຂອງພາກສ່ວນທີສາມ, ແຕ່ phishing ແລະການໂຈມຕີເປົ້າຫມາຍຍັງມີຢູ່. ກ່ອນຫນ້ານີ້ພວກເຮົາໄດ້ບອກວິທີການ ພຽງ​ແຕ່​ຫ້າ​ຂັ້ນ​ຕອນ​ທີ່​ງ່າຍ​ດາຍ​ເຊັ່ນ: ການເພີ່ມເບີໂທລະສັບ, ສາມາດຊ່ວຍໃຫ້ທ່ານປອດໄພ, ແຕ່ຕອນນີ້ພວກເຮົາຕ້ອງການພິສູດໃນການປະຕິບັດ.

ການໂຈມຕີ phishing ແມ່ນຄວາມພະຍາຍາມເພື່ອຫລອກລວງຜູ້ໃຊ້ໃຫ້ສະຫມັກໃຈໃຫ້ຂໍ້ມູນການໂຈມຕີທີ່ຈະເປັນປະໂຫຍດໃນຂະບວນການ hacking. ຕົວຢ່າງ, ໂດຍການຄັດລອກການໂຕ້ຕອບຂອງຄໍາຮ້ອງສະຫມັກທາງດ້ານກົດຫມາຍ.

ການໂຈມຕີໂດຍໃຊ້ bots ອັດຕະໂນມັດແມ່ນຄວາມພະຍາຍາມ hacking ຂະຫນາດໃຫຍ່ທີ່ບໍ່ໄດ້ແນໃສ່ຜູ້ໃຊ້ສະເພາະ. ປົກກະຕິແລ້ວດໍາເນີນການໂດຍໃຊ້ຊອບແວທີ່ມີສາທາລະນະແລະສາມາດນໍາໃຊ້ໄດ້ເຖິງແມ່ນວ່າ "crackers" ບໍ່ໄດ້ຝຶກອົບຮົມ. ຜູ້ໂຈມຕີບໍ່ຮູ້ຫຍັງກ່ຽວກັບຄຸນລັກສະນະຂອງຜູ້ໃຊ້ສະເພາະ - ພວກເຂົາພຽງແຕ່ເປີດໂຄງການແລະ "ຈັບ" ບັນທຶກທາງວິທະຍາສາດທີ່ມີການປ້ອງກັນທີ່ບໍ່ດີທັງຫມົດ.

ການໂຈມຕີເປົ້າຫມາຍແມ່ນການ hack ບັນຊີສະເພາະ, ເຊິ່ງຂໍ້ມູນເພີ່ມເຕີມແມ່ນເກັບກໍາກ່ຽວກັບແຕ່ລະບັນຊີແລະເຈົ້າຂອງຂອງຕົນ, ຄວາມພະຍາຍາມຂັດຂວາງແລະວິເຄາະການຈະລາຈອນ, ເຊັ່ນດຽວກັນກັບການນໍາໃຊ້ເຄື່ອງມືການ hack ສະລັບສັບຊ້ອນຫຼາຍແມ່ນເປັນໄປໄດ້.

(ບັນທຶກຂອງຜູ້ແປ)

ພວກເຮົາໄດ້ຮ່ວມມືກັບນັກຄົ້ນຄວ້າຈາກມະຫາວິທະຍາໄລນິວຢອກ ແລະ ມະຫາວິທະຍາໄລຄາລິຟໍເນຍ ເພື່ອຊອກຫາວິທີການອະນາໄມບັນຊີຂັ້ນພື້ນຖານທີ່ມີປະສິດຕິຜົນໃນການປ້ອງກັນການລັກລອບບັນຊີ.

ການສຶກສາປະຈໍາປີກ່ຽວກັບ ຂະໜາດໃຫຍ່ и ການ​ໂຈມ​ຕີ​ເປົ້າ​ຫມາຍ​ ໄດ້ຖືກນໍາສະເຫນີໃນວັນພຸດໃນກອງປະຊຸມຂອງຜູ້ຊ່ຽວຊານ, ຜູ້ສ້າງນະໂຍບາຍແລະຜູ້ໃຊ້ທີ່ເອີ້ນວ່າ ກອງປະຊຸມເວັບໄຊຕ໌.
ການຄົ້ນຄວ້າຂອງພວກເຮົາສະແດງໃຫ້ເຫັນວ່າພຽງແຕ່ການເພີ່ມເບີໂທລະສັບໃສ່ບັນຊີ Google ຂອງທ່ານສາມາດສະກັດກັ້ນການໂຈມຕີ bot ອັດຕະໂນມັດໄດ້ເຖິງ 100%, 99% ຂອງການໂຈມຕີ phishing ຫຼາຍ, ແລະ 66% ຂອງການໂຈມຕີເປົ້າຫມາຍໃນການສືບສວນຂອງພວກເຮົາ.

ການປົກປ້ອງ Google ແບບເຄື່ອນໄຫວອັດຕະໂນມັດຕໍ່ກັບການລັກລອບບັນຊີ

ພວກ​ເຮົາ​ປະ​ຕິ​ບັດ​ການ​ປົກ​ປັກ​ຮັກ​ສາ​ອັດ​ຕະ​ໂນ​ມັດ​ເພື່ອ​ປົກ​ປັກ​ຮັກ​ສາ​ຜູ້​ໃຊ້​ທັງ​ຫມົດ​ຂອງ​ພວກ​ເຮົາ​ທີ່​ດີກ​ວ່າ​ຈາກ​ການ​ແຮັກ​ບັນ​ຊີ. ນີ້ແມ່ນວິທີການເຮັດວຽກ: ຖ້າພວກເຮົາກວດພົບຄວາມພະຍາຍາມເຂົ້າສູ່ລະບົບທີ່ໜ້າສົງໄສ (ຕົວຢ່າງ: ຈາກສະຖານທີ່ ຫຼືອຸປະກອນໃໝ່), ພວກເຮົາຈະຮ້ອງຂໍໃຫ້ມີຫຼັກຖານເພີ່ມເຕີມວ່າມັນແມ່ນທ່ານແທ້ໆ. ການຢືນຢັນນີ້ອາດຈະເປັນການຢັ້ງຢືນວ່າທ່ານເຂົ້າເຖິງເບີໂທລະສັບທີ່ເຊື່ອຖືໄດ້, ຫຼືການຕອບຄໍາຖາມທີ່ມີພຽງແຕ່ທ່ານຮູ້ຄໍາຕອບທີ່ຖືກຕ້ອງ.

ຖ້າທ່ານເຂົ້າສູ່ລະບົບໂທລະສັບຂອງທ່ານຫຼືໃຫ້ເບີໂທລະສັບໃນການຕັ້ງຄ່າບັນຊີຂອງທ່ານ, ພວກເຮົາສາມາດສະຫນອງຄວາມປອດໄພໃນລະດັບດຽວກັນກັບການຢັ້ງຢືນສອງຂັ້ນຕອນ. ພວກເຮົາພົບວ່າລະຫັດ SMS ທີ່ສົ່ງໄປຫາເບີໂທລະສັບສຳລັບກູ້ຄືນບັນຊີໄດ້ຊ່ວຍບລັອກ 100% ຂອງບອທ໌ອັດຕະໂນມັດ, 96% ຂອງການໂຈມຕີແບບຟິດຊິງຫຼາຍ ແລະ 76% ຂອງການໂຈມຕີແບບມີເປົ້າໝາຍ. ແລະອຸປະກອນເຕືອນໃຫ້ຢືນຢັນການເຮັດທຸລະກໍາ, ການທົດແທນທີ່ປອດໄພກວ່າສໍາລັບ SMS, ໄດ້ຊ່ວຍປ້ອງກັນ 100% ຂອງ bots ອັດຕະໂນມັດ, 99% ຂອງການໂຈມຕີ phishing ຂະຫນາດໃຫຍ່, ແລະ 90% ຂອງການໂຈມຕີເປົ້າຫມາຍ.

ການປົກປ້ອງທີ່ອີງໃສ່ທັງຄວາມເປັນເຈົ້າຂອງອຸປະກອນ ແລະຄວາມຮູ້ກ່ຽວກັບຂໍ້ເທັດຈິງບາງຢ່າງຊ່ວຍຕ້ານການບອທ໌ອັດຕະໂນມັດ, ໃນຂະນະທີ່ການປົກປ້ອງຄວາມເປັນເຈົ້າຂອງອຸປະກອນຊ່ວຍປ້ອງກັນການຫຼອກລວງ ແລະແມ້ກະທັ້ງການໂຈມຕີແບບມີເປົ້າໝາຍ.

ຖ້າທ່ານບໍ່ມີເບີໂທລະສັບຕັ້ງຢູ່ໃນບັນຊີຂອງທ່ານ, ພວກເຮົາອາດຈະໃຊ້ເຕັກນິກຄວາມປອດໄພທີ່ອ່ອນແອກວ່າໂດຍອີງໃສ່ສິ່ງທີ່ພວກເຮົາຮູ້ກ່ຽວກັບທ່ານ, ເຊັ່ນ: ບ່ອນທີ່ທ່ານເຂົ້າສູ່ລະບົບບັນຊີຂອງທ່ານຄັ້ງສຸດທ້າຍ. ນີ້ເຮັດວຽກໄດ້ດີຕໍ່ກັບ bots, ແຕ່ລະດັບຂອງການປົກປ້ອງ phishing ສາມາດຫຼຸດລົງເຖິງ 10%, ແລະເກືອບບໍ່ມີການປ້ອງກັນການໂຈມຕີເປົ້າຫມາຍ. ນີ້ແມ່ນຍ້ອນວ່າຫນ້າ phishing ແລະຜູ້ໂຈມຕີເປົ້າຫມາຍສາມາດບັງຄັບໃຫ້ທ່ານເປີດເຜີຍຂໍ້ມູນເພີ່ມເຕີມທີ່ Google ອາດຈະຮ້ອງຂໍໃຫ້ມີການກວດສອບ.

ເນື່ອງຈາກຜົນປະໂຫຍດຂອງການປົກປ້ອງດັ່ງກ່າວ, ຄົນເຮົາອາດຈະຖາມວ່າເປັນຫຍັງພວກເຮົາບໍ່ຕ້ອງການມັນສໍາລັບທຸກໆການເຂົ້າສູ່ລະບົບ. ຄໍາຕອບແມ່ນວ່າມັນຈະສ້າງຄວາມສັບສົນເພີ່ມເຕີມສໍາລັບຜູ້ໃຊ້ (ໂດຍສະເພາະສໍາລັບການບໍ່ໄດ້ກະກຽມ - ປະມານ. ການແປ.) ແລະຈະເພີ່ມຄວາມສ່ຽງຕໍ່ການລະງັບບັນຊີ. ການທົດລອງພົບວ່າ 38% ຂອງຜູ້ໃຊ້ບໍ່ສາມາດເຂົ້າເຖິງໂທລະສັບຂອງເຂົາເຈົ້າເມື່ອເຂົ້າສູ່ລະບົບບັນຊີຂອງເຂົາເຈົ້າ. ອີກ 34% ຂອງຜູ້ໃຊ້ບໍ່ສາມາດຈື່ທີ່ຢູ່ອີເມວສຳຮອງຂອງເຂົາເຈົ້າໄດ້.

ຖ້າທ່ານສູນເສຍການເຂົ້າເຖິງໂທລະສັບຂອງທ່ານ ຫຼືບໍ່ສາມາດເຂົ້າສູ່ລະບົບໄດ້, ທ່ານສາມາດກັບຄືນໄປຫາອຸປະກອນທີ່ເຊື່ອຖືໄດ້ທີ່ທ່ານເຄີຍເຂົ້າສູ່ລະບົບກ່ອນໜ້ານີ້ເພື່ອເຂົ້າເຖິງບັນຊີຂອງທ່ານ.

ເຂົ້າໃຈການໂຈມຕີ hack-for-hire

ບ່ອນທີ່ການປ້ອງກັນອັດຕະໂນມັດສ່ວນໃຫຍ່ຂັດຂວາງ bots ແລະການໂຈມຕີ phishing, ການໂຈມຕີເປົ້າຫມາຍຈະກາຍເປັນຄວາມເສຍຫາຍຫຼາຍຂຶ້ນ. ເປັນສ່ວນຫນຶ່ງຂອງຄວາມພະຍາຍາມຢ່າງຕໍ່ເນື່ອງຂອງພວກເຮົາທີ່ຈະ ການ​ຕິດ​ຕາມ​ກວດ​ກາ​ໄພ​ຂົ່ມ​ຂູ່ hacking​, ພວກເຮົາກຳລັງຊອກຫາກຸ່ມແຮັກເພື່ອຈ້າງທາງອາຍາຢ່າງຕໍ່ເນື່ອງທີ່ຄິດຄ່າສະເລ່ຍ $750 ເພື່ອແຮັກບັນຊີໜຶ່ງບັນຊີ. ຜູ້ໂຈມຕີເຫຼົ່ານີ້ມັກຈະອີງໃສ່ອີເມວ phishing ທີ່ປອມຕົວເປັນສະມາຊິກຄອບຄົວ, ເພື່ອນຮ່ວມງານ, ເຈົ້າຫນ້າທີ່ລັດຖະບານ, ຫຼືແມ້ກະທັ້ງ Google. ຖ້າເປົ້າຫມາຍບໍ່ຍອມແພ້ຕໍ່ຄວາມພະຍາຍາມ phishing ຄັ້ງທໍາອິດ, ການໂຈມຕີຕໍ່ມາຍັງສືບຕໍ່ເປັນເວລາຫຼາຍກວ່າຫນຶ່ງເດືອນ.

ຕົວຢ່າງຂອງການໂຈມຕີ phishing ຜູ້ຊາຍໃນກາງທີ່ກວດສອບຄວາມຖືກຕ້ອງຂອງລະຫັດຜ່ານໃນເວລາຈິງ. ຈາກນັ້ນໜ້າ phishing ຈະເຕືອນໃຫ້ຜູ້ເຄາະຮ້າຍໃສ່ລະຫັດຢືນຢັນ SMS ເພື່ອເຂົ້າເຖິງບັນຊີຂອງຜູ້ເຄາະຮ້າຍ.

ພວກເຮົາຄາດຄະເນວ່າມີພຽງແຕ່ຫນຶ່ງໃນລ້ານຜູ້ໃຊ້ທີ່ມີຄວາມສ່ຽງສູງນີ້. ຜູ້ໂຈມຕີບໍ່ໄດ້ແນເປົ້າໝາຍໃສ່ຄົນສຸ່ມ. ໃນຂະນະທີ່ການຄົ້ນຄວ້າສະແດງໃຫ້ເຫັນວ່າການປົກປ້ອງອັດຕະໂນມັດຂອງພວກເຮົາສາມາດຊ່ວຍຊັກຊ້າແລະແມ້ກະທັ້ງປ້ອງກັນເຖິງ 66% ຂອງການໂຈມຕີເປົ້າຫມາຍທີ່ພວກເຮົາໄດ້ສຶກສາ, ພວກເຮົາຍັງແນະນໍາໃຫ້ຜູ້ໃຊ້ທີ່ມີຄວາມສ່ຽງສູງລົງທະບຽນກັບພວກເຮົາ. ໂຄງ​ການ​ປົກ​ປັກ​ຮັກ​ສາ​ເສີມ​. ດັ່ງທີ່ໄດ້ສັງເກດເຫັນໃນລະຫວ່າງການສືບສວນຂອງພວກເຮົາ, ຜູ້ໃຊ້ທີ່ໃຊ້ກະແຈຄວາມປອດໄພສະເພາະ (ນັ້ນແມ່ນ, ການກວດສອບສອງຂັ້ນຕອນໂດຍໃຊ້ລະຫັດທີ່ຖືກສົ່ງໄປຫາຜູ້ໃຊ້ - ປະມານ. ການແປ), ໄດ້ກາຍເປັນຜູ້ເຄາະຮ້າຍຂອງ spear phishing.

ໃຊ້ເວລາເລັກນ້ອຍເພື່ອປົກປ້ອງບັນຊີຂອງທ່ານ

ທ່ານໃຊ້ເຂັມຂັດນິລະໄພເພື່ອປົກປ້ອງຊີວິດ ແລະແຂນຂາໃນຂະນະທີ່ເດີນທາງໃນລົດ. ແລະດ້ວຍການຊ່ວຍເຫຼືອຂອງພວກເຮົາ ຫ້າຄໍາແນະນໍາ ທ່ານສາມາດຮັບປະກັນຄວາມປອດໄພຂອງບັນຊີຂອງທ່ານ.

ການຄົ້ນຄວ້າຂອງພວກເຮົາສະແດງໃຫ້ເຫັນວ່າຫນຶ່ງໃນສິ່ງທີ່ງ່າຍທີ່ສຸດທີ່ທ່ານສາມາດເຮັດໄດ້ເພື່ອປົກປ້ອງບັນຊີ Google ຂອງທ່ານແມ່ນການຕັ້ງເບີໂທລະສັບ. ສໍາລັບຜູ້ໃຊ້ທີ່ມີຄວາມສ່ຽງສູງເຊັ່ນ: ນັກຂ່າວ, ນັກເຄື່ອນໄຫວຊຸມຊົນ, ຜູ້ນໍາທຸລະກິດແລະທີມງານໂຄສະນາທາງດ້ານການເມືອງ, ໂຄງການຂອງພວກເຮົາ ການປ້ອງກັນຂັ້ນສູງ ຈະຊ່ວຍຮັບປະກັນຄວາມປອດໄພໃນລະດັບສູງສຸດ. ນອກນັ້ນທ່ານຍັງສາມາດປົກປ້ອງບັນຊີທີ່ບໍ່ແມ່ນ Google ຂອງທ່ານຈາກການ hack ລະຫັດຜ່ານໂດຍການຕິດຕັ້ງສ່ວນຂະຫຍາຍ ການກວດສອບລະຫັດຜ່ານ Chrome.

ມັນຫນ້າສົນໃຈທີ່ Google ບໍ່ປະຕິບັດຕາມຄໍາແນະນໍາທີ່ມັນໃຫ້ຜູ້ໃຊ້ຂອງມັນ. Google ໃຊ້ tokens ຮາດແວ ສໍາລັບການພິສູດຢືນຢັນສອງປັດໃຈສໍາລັບຫຼາຍກວ່າ 85 ຂອງພະນັກງານຂອງຕົນ. ອີງຕາມຜູ້ຕາງຫນ້າຂອງບໍລິສັດ, ນັບຕັ້ງແຕ່ການເລີ່ມຕົ້ນຂອງການນໍາໃຊ້ tokens ຮາດແວ, ບໍ່ມີການລັກບັນຊີດຽວໄດ້ຖືກບັນທຶກໄວ້. ປຽບທຽບກັບຕົວເລກທີ່ນໍາສະເຫນີໃນບົດລາຍງານນີ້. ດັ່ງນັ້ນຈຶ່ງເຫັນໄດ້ຊັດເຈນວ່າການນໍາໃຊ້ຮາດແວ ໂທເຄັນ ສໍາລັບການພິສູດຢືນຢັນສອງປັດໃຈ ວິທີດຽວທີ່ເຊື່ອຖືໄດ້ເພື່ອປົກປ້ອງ ທັງບັນຊີແລະຂໍ້ມູນ (ແລະໃນບາງກໍລະນີຍັງມີເງິນ).

ເພື່ອປົກປ້ອງບັນຊີ Google, ພວກເຮົາໃຊ້ tokens ທີ່ສ້າງຂຶ້ນຕາມມາດຕະຖານ FIDO U2F, ຕົວຢ່າງ ດັ່ງ​ກ່າວ. ແລະສໍາລັບການພິສູດຢືນຢັນສອງປັດໃຈໃນລະບົບປະຕິບັດການ Windows, Linux ແລະ MacOS, cryptographic tokens.

(ບັນທຶກຂອງຜູ້ແປ)

ແຫຼ່ງຂໍ້ມູນ: www.habr.com